Vertrauen in closed-source-Betriebssysteme wie Windows

pascal schrieb:
> da Windows ja closed-source ist, könnte es natürlich sein, dass das
> Betriebssystem jeden Prozess und alle Daten, mit denen gearbeit wird,
> verarbeitet, bzw. der NSA/CIA/... zur Verfügung stellt.

Sagen wir mal so: wenn us-amerikanische Geheimdienste nicht dazu fähig 
wären us-amerikanische Unternehmen zu unterwandern, würde ich mir sehr 
ernsthafte Sorgen machen. Denn am Ende sind NSA, CIA, BND etc. am Ende 
schließlich immer noch Institutionen demokratischer Rechtsstaaten.

Ich würde mir wesentlich mehr Sorgen machen, wenn hier es um Putler 
seine Geheimdienste gehen würde.

> Warum wird dennoch beinahe überall Windows genutzt, statt auf sicherere
> Open-Source-Alternativen zurückzugreifen, z.B. Linux-Kernel-basierte
> Betriebssysteme? Wenn da eine Spionagefunktion integriert wäre, würde
> man das beim Durchlesen des Sourcecodes ja entdecken.

Ach, Du hast den Quellcode also durchgelesen? Wow.

> Sollte mann nicht viel grundlegendere Dinge wie das
> Betriebssystem in allererster Linie infrage stellen?

Natürlich.

> verschlüssele ich etwas in Veracrypt, denke ich, das wäre sicher.
> Aber wenn Windows die Tastatureingabe einfach auslesen kann, und den
> Algorithmus durch das entsprechende Programm (hier Veractypt) kennt,
> dann ist es doch ein Leichtes, AES zu knacken...

Wenn ich ein Geheimdienstler wäre, würde ich nicht auf der Systemebene 
anfangen -- die Hardware wäre da viel lukrativer.

So, und jetzt setzt Du Dich einmal hin und bastelst Dir ein USB-Gerät 
zum Beispiel mit LUFA [1], und dann lässt mal Du Deine Fantasie spielen. 
Viel Spaß!

[1] http://www.fourwalledcubicle.com/LUFA.php

Lothar schrieb:
> Sobald Du ein Hardware Produkt verkaufst auf dem Open Source läuft oder
> ein Software Produkt verkaufst - also nicht entsprechend der GPL
> verschenkst - das Open Source beinhaltet, hast Du erhebliche Abmahn- und
> Haftungsrisiken:
>
> 
https://www.heise.de/newsticker/meldung/Linux-in-Elektronikgeraeten-Streit-ueber-Lizenzbedingungen-geht-in-naechste-Instanz-3986181.html
>
> http://www.manager-magazin.de/unternehmen/it/a-322293.html

Sorry, aber das ist der schlechteste Beitrag ever. Ein Copyright-Troll, 
der jemanden trollt, der die Lizenzbestimmungen verletzt hat?

Und dazu noch ein 14 Jahre alter Beitrag einer Rechtsanwältin, die nur 
auf Selbstverständliches hinweist und natürlich die Rechtsprechung der 
letzten nicht abbilden kann?

Erstaunlich.

Dieter Flash schrieb:
> Windows kann durch NSA gezwungen werden
> gezielt Malware Updates zu verteilen

Und die deutsche Telekom macht das, wie jeder ISP, ganz freiwillig, auch 
bei jedem X-beliebigen Download möglich. Wenn Du den Zugriff der 
Geheimdienste auf Deine Installation verhindern willst, musst Du schon 
den auf einer sicheren Diskette hinterlegten Quelltext von Linux auf 
Deinem selbst geschriebenen Compiler bauen.

Rainer schrieb:
> Bestandteil des Vertrages mit MS ist es, alternative SW bewusst nicht
> zuzulassen oder zumindest zu behindern.

Wenn das stimmt, wäre das ein starkes Stück.

Was kommt als nächstes? Führerschein-Prüfungen dürfen nur mehr in Autos 
des VW-Konzerns abgenommen werden?

Dieter Flash schrieb:
> Ich finde Windows müsste verboten werden an Schulen und Behörde.

Ja, DRINGEND! Generell muss auf Closed-Source-Software so weit wie 
möglich verzichtet werden, insbesondere solcher aus den USA.
Dass die USA alle Möglichkeiten der Spionage, die sich ihnen bieten, 
nutzen, sollte ja nun inzwischen wirklich jedem bekannt sein. Also wie 
kommt man dann auf die Idee, dass ausgerechnet Windows, das fast überall 
zu finden ist, da eine Ausnahme wäre?

> Heutzutage kann alles passieren. Windows kann durch NSA gezwungen werden
> gezielt Malware Updates zu verteilen oder bei Streit zw.  USA und Europa
> könnte Trump einfach beschließen Windows durch ein Update stillzulegen
> und damit Europa!

Ja, so wie sie in der Vergangenheit auch schon GPS für andere lahmgelegt 
haben, weshalb ja inzwischen mehrere andere Satellitennetze aufgebaut 
wurden.

Michael R. schrieb:
> Rainer schrieb:
>> Bestandteil des Vertrages mit MS ist es, alternative SW bewusst nicht
>> zuzulassen oder zumindest zu behindern.
>
> Wenn das stimmt, wäre das ein starkes Stück.

Das klingt nach den üblichen Knebelverträgen von Microsoft, wie sie in 
Computerläden seit Jahrzehnten üblich sind.
Aber dass sie hier schon die Kinder konditionieren wollen, indem sie 
alles, was nicht von Microsoft kommt, verbieten, ist schon echt krass. 
Keine Skrupel…
Über sowas sollten sie mal im Fernsehen berichten. Aber vermutlich 
interessiert das dann keinen, weil sowieso fast alle Zuschauer Windows 
benutzen und LibreOffice nicht mal kennen.

So mancher fühlt sich besonders sicher wenn die Polizei des Westens 
(NSA, CIA und Co.) alles vom jedem mitlesen. Ausserdem nutzt dir das 
saubere Linux-Kernel nix wenn der Spionagecode in der CPU steckt oder 
gar gleich total unsichtbar irgendwo läuft.

Ich habe mich immer gefragt wie sie Daten über das Netz schicken ohne 
das es jemand merkt. Oder sieht man das immer mit einem Daten-Überwacher 
am Router ?

Ich glaube, in der Praxis macht es einen gar nicht soooo grossen 
Unterschied, ob das OS nun Open oder Closed Source ist.

Was man bei Open Source-OS/Software deutlich seltener finden wird, sind 
eindeutige, offensichtliche Backdoors, wo dann im Quelltext etwas a la

1

backdoor_username="secretbackdoor";

2

backdoor_password="secretpassword";

steht. Da ist die Gefahr einfach viel zu hoch, dass irgendwer darüber 
stolpern würde.

Aber auch in Open Source Software werden Hintertüren etc. verbaut - nur 
halt nicht offensichtlich, sondern nach dem Prinzip der "plausible 
deniability" als Programmierfehler getarnt.

z.B. kannst Du getrost davon ausgehen, dass die Geheimdienste bei 
"OpenSSL" tief ihre Finger im Spiel haben und da im Quelltext der eine 
oder andere "Bug" mit katastrophalen Auswirkungen auf die Sicherheit 
lauert, den irgendein Geheimdienst dort eingeschleust hat. Das ist 
nämlich genau die Art von Software-Komponente, die für Geheimdienste am 
interessantesten ist: Eine Software-Bibliothek, die für 90% der Software 
die Verschlüsselung übernimmt. Dazu der übelste und aufgeblähteste 
Source Code, der je in diese Welt geschissen wurde, und der unter dem 
Deckmantel der "Performance-Steigerung" diverse Sicherheitsmassnahmen 
des Betriebssystems umgeht.

Beim "Heartbleed"-Bug liegt bspw. der Verdacht extrem nahe, dass es sich 
dabei um eine bewusst eingebaute Sicherheitslücke handelte. Nur, dass 
man das eben niemals beweisen können wird, weil Heartbleed eben wie ein 
ganz gewöhnlicher Programmierfehler aussieht, wie er jeden Tag 
millionenfach passiert.

So hat es Microsoft schon immer gemacht, das würde mich überhaupt nicht 
wundern. Das Lock-In ist für sie langfristig die einzige Möglichkeit, 
die marktbeherrschende Stellung zu erhalten. Und es wird alles bequemer, 
"Du musst Dich um nichts kümmern, wir machen das schon für Dich..."


@Walter Tarpan

Beim Download sind schon alle Messen gelesen, da die Pakete mit 
kryptografischen Signaturen abgesichert sind. Also müsste die 
Kompromittierung bei demjenigen passieren, der die Pakete baut und mit 
seinem privaten Schlüssel signiert.

Wobei die ISPs und insbesondere deren Hardware, die bei uns zuhause 
steht (DSL-Router), eine nicht zu unterschätzende Schwachstelle 
darstellen.

So habe ich z.B. zuhause einen Server stehen, auf dem u.a. Nextcloud 
läuft. Das SSL-Zertifikat darauf ist self-signed. Hin und wieder bekomme 
ich für die Seite, aber nur wenn ich im gleichen Netzwerk bin, ein auf 
*prossl (o.ä.) ausgestelltes Wildcardzertifikat angeboten. Was ich 
natürlich dankend ablehne, aber komisch ist das schon.

Rainer schrieb:
> Nach heftigem Protest ließ man mich
> (im Vertrauen) wissen, dass das vertraglich so mit MS vereinbart wäre:
> Bestandteil des Vertrages mit MS ist es, alternative SW bewusst nicht
> zuzulassen oder zumindest zu behindern.

Und du kannst diese Behauptung natürlich nur zum Schutze deines 
Informanten nicht mit Fakten belegen. z.B. mit Auszügen der betreffenden 
Passagen im Vertrag, damit der nicht von der CIA verhaftet und nach 
Guantanamo verfrachtet wird.

Joachim S. schrieb:
> Aber auch in Open Source Software werden Hintertüren etc. verbaut

Wozu Hintertüren verbauen, wenn es doch viel einfacher geht?

Es hat damals (erstaunlicherweise) wenig Aufsehen gegeben, und kaum 
einer kann sich erinnern, aber der NIST Dual_EC_DRBG Skandal zeigt doch 
ganz schön, mit wem man es zu tun hat...

https://de.wikipedia.org/wiki/Dual_EC_DRBG

Was ich auch bemerke ist, dass "gewöhnlichen" Windows- und 
Smartphone-Nutzern langsam jeglicher Sachverstand abhanden zu kommen 
scheint.

A. "Ich kann keine Mails versenden, weder mit Outlook noch mit dem 
Telefon"
B. Mails empfangen geht?
A. Ja.
B. gibt Mailadresse beim HPI Identity leak checker ein. "Vielleicht hat 
jemand Dein Passwort und versendet damit SPAM"
A. Sieht die ganzen roten Felder, googelt nach dem Name von dem Bruch 
mit den meisten roten Feldern und ist sich sicher: "Das stimmt nicht!"
B. Sieht ein, dass weitere Diskussionen sinnlos sind, hilft, das 
Passwort zurückzusetzen und denkt sich seinen Teil...

Ich denke schon, dass das beabsichtigt ist, Leute die vor 10-15 Jahren 
noch selbst eine Netzwerkkarte nebst Treiber installieren konnten, 
finden heute nicht mal mehr "Ich hab Probleme mit meinem Netzwerk".

Wie kann man sich den über Closed-source-Windows aufregen, und dabei die 
Intel-ME komplett außen vor lassen?

https://www.heise.de/ct/hotline/FAQ-Intel-Management-Engine-3978291.html

Immerhin gibt es für Geheimdienste wohl Rechner mit abgespeckter ME.

Matthias S. schrieb:
> Wie kann man sich den über Closed-source-Windows aufregen, und dabei die
> Intel-ME komplett außen vor lassen?

Wie kann man sich über das ach so böse US-M$-Windows aufregen und das 
ganze völlig entspannt auf Technik mit dem angefressenen Apfel tippen?

Michael R. schrieb:
> Joachim S. schrieb:
>> Aber auch in Open Source Software werden Hintertüren etc. verbaut
>
> Wozu Hintertüren verbauen, wenn es doch viel einfacher geht?
>
> Es hat damals (erstaunlicherweise) wenig Aufsehen gegeben, und kaum
> einer kann sich erinnern, aber der NIST Dual_EC_DRBG Skandal zeigt doch
> ganz schön, mit wem man es zu tun hat...
>
> https://de.wikipedia.org/wiki/Dual_EC_DRBG

Da hast Du natürlich völlig Recht - wo es möglich ist, ist es natürlich 
noch geschickter, einfach gleich in die Algorithmen oder Protokolle 
Hintertüren/Schwachstellen einzubauen.

Oder man schaue sich nur an, wie Geheimdienste/Behöreden etc. gerade 
versuchen, die Verschlüsselung von TLS 1.3 auszuhöhlen - und das mit 
ziemlich fadenscheinigen Ausreden begründen:
https://www.heise.de/newsticker/meldung/TLS-Standardisierung-Behoerden-und-Banken-wollen-Verschluesselung-aushoehlen-3999118.html

Muss man wohl auch so deuten, dass die bisherigen TLS-Versionen für die 
Geheimdienste in der Praxis kein Problem darstellen. Dafür spricht imho 
auch, dass man von staatlicher Seite ständig Forderungen nach 
Hintertüren für verschlüsselte Instant Messenger etc. hört, nicht aber 
für TLS/SSL - woran die Geheimdienste sicherlich noch viel 
interessierter wären, das zu knacken.

Rolf M. schrieb:
> Über sowas sollten sie mal im Fernsehen berichten. Aber vermutlich
> interessiert das dann keinen, weil sowieso fast alle Zuschauer Windows
> benutzen und LibreOffice nicht mal kennen.

Beitrag "Videotipp: ARD Doku über Microsoft Produkte in europäischen öffentlichen Behörden"

Pascal S. schrieb im Beitrag #5373539:
> zum Thema: gibt es vielleicht sowas wie Open-Source-Mainboards oder
> Open-Source-CPUs?

Es gibt zumindest OpenSource-CPU-Architekturen, von denen auch langsam 
echte
Hardware kommt:

https://de.wikipedia.org/wiki/RISC-V
https://www.heise.de/newsticker/meldung/RISC-V-Entwickler-Board-mit-64-Bit-Chip-und-Linux-ab-Juni-3960308.html

pascal schrieb:
> Warum wird dennoch beinahe überall Windows genutzt, statt auf sicherere
> Open-Source-Alternativen zurückzugreifen, z.B. Linux-Kernel-basierte
> Betriebssysteme? Wenn da eine Spionagefunktion integriert wäre, würde
> man das beim Durchlesen des Sourcecodes ja entdecken.

Liest du dir die kompletten Quellen durch und verstehst das komplette 
Zusammenspiel? Baust du dir dann dein System aus ebendiesen Quellen 
selbst oder lädst du ein fertiges Image runter? Das OpenSource kein 
Garant für 100% Sicherheit ist (wie auch, gibts ja nicht) sollte 
inzwischen auch klar sein.

Und wozu sollte man den Umweg über einen PC gehen, wenn man auch easy 
per Alexa, unsicheres Smart-Home-Gedöhns oder schlimmstenfalls eben im 
Backbone vom ISP an die gewünschten Daten kommt?

Ja, und da das ganze RISC-Projekt in Kalifornien beheimatet ist, wird es 
auch von Anfang an von der NSA gefördert.

Dieter Flash schrieb:
> Windows kann durch NSA gezwungen werden
> gezielt Malware Updates zu verteilen oder bei Streit zw.  USA und Europa
> könnte Trump einfach beschließen Windows durch ein Update stillzulegen
> und damit Europa!

Hat doch auch was positives: Sollte Europa mal den USA den Krieg 
erklären, stellt die USA in Europa einfach sämtliche Windows-Rechner ab: 
Dann gibt es hier kein Internet, kein eMail, kein Strom, kein Wasser, 
nix zu essen usw. Es müsste nicht mal ein einziger Schuss fallen, die 
bedingungslose Kapitulation würde nach kürzester Zeit erfolgen.

Wobei 100%ige Abhängigkeiten längst die Regel sind: Wir betreiben nahezu 
alle unsere Haus- und Industrieheizungen und Befeuerungen mit Gas, haben 
aber selber kein Gas. Auf unseren Straßen fahren ziemlich genau 63,7 Mio 
mit Benzin oder Diesel angetriebene Fahrzeuge und wir importieren den 
Sprit dazu zu 100%. Wobei wir hier wegen Lagerhaltung eine Galgenfrist 
von einigen Wochen hätten, das totmachende Windows-Update gäbe es ganz 
vollautomatisch über Nacht.

Sheeva P. schrieb:
> Denn am Ende sind NSA, CIA, BND etc. am Ende
> schließlich immer noch Institutionen demokratischer Rechtsstaaten.


Kompliment.

Ein echt guter Scherz zum ersten des Monats April ...

So ein "Kill-Switch" ist wie ein Ass im Ärmel, man kann ihn praktisch 
nur einmal benutzen. Und das wird man nicht ohne Not tun, denn danach 
ist jegliches Vertrauen in US-IT Produkte nicht mehr existent. Egal ob 
bei Feind oder Freund, denn wer weiß, dass er nicht der Nächste ist?

Mich würde ja interessieren welche HW u. SW russen und Chinesen 
favorisieren.
Weis da jemand etwas dazu. kann mir nicht vorstellen dass man dort 
besonders Gern die Technik potentieller Gegner nutz , aber auch nicht 
das nioch auf dem Stand der 80er basteln.

Namaste

Windows gibt's auch in China. Dafür gibt es dort kein Google, kein 
Facebook u.s.w. Da gibt es ein Pendant dazu, das statt von durch den 
amerikanischen Staat kontrollierten Konzernen von durch den chinesischen 
Staat kontrollierten Konzernen betrieben wird.

Joerg W. schrieb:
> So ein "Kill-Switch" ist wie ein Ass im Ärmel, man kann ihn praktisch
> nur einmal benutzen.

So verblödet wie die durchschnittlichen Windows-Benutzer mittlerweile 
sind könnte man den zwölf mal benutzen und sie hättens immer noch nicht 
kapiert.

Da frag ich mich welche Eigenentwicklungen du nutzt um hier 
mitzuspielen?

Intelligenz ist wohl doch die am gerechtesten verteilte  Gabe: Jeder 
glaubt genug davon, also mehr als alle Anderen zu besitzen.

Namaste

Winfried J. schrieb:
> Intelligenz ist wohl doch die am gerechtesten verteilte  Gabe: Jeder
> glaubt genug davon, also mehr als alle Anderen zu besitzen.

Das stellte man auch an anderer Stelle fest:

Beitrag "Re: Aprilscherze unerwünscht, oder wie ein humorloser Moderator reagierte."

Rolf M. schrieb:
> Windows gibt's auch in China.

Soweit ich weiß, sogar ein spezielles Windows.
Ich meine auch mal gelesen zu haben, dass MS speziellen Kunden die 
Möglichkeit gibt, den Quellcode einzusehen.

Gerade ergoogelt:
https://www.heise.de/newsticker/meldung/Microsoft-laesst-Regierungen-kontrolliert-in-den-Quellcode-blicken-2678517.html