Getagged : ePerso

in Ärger, Politik, Security, Wirtschaft

Sicherste Technik, die es gibt – wer’s glaubt

Mustermann nPA (neuer Personalausweis ab 1.11.2010) / Bundesministerium des Innern / Genehmigung: §5 (1) UrhG, official work

Mustermann nPA (neuer Personalausweis ab 1.11.2010) / Bundesministerium des Innern / Genehmigung: §5 (1) UrhG, official work

Nun ist er da, der “sagenumwobene” nPA (neuer elektronischer Personalausweis)!

Und die Befürworter aus Staat und Industrie versuchen trotz des Zwangsstartes dieser Woche diesen in positiven Licht darzustellen. Der erhoffte “Run” auf den neuen Ausweis blieb aber weit hinter den Erwartungen. Speziell in den “neuen” Bundesländern ging der Einführungstermin einher mit auslaufenden alten Ausweisen. Dumm nur, dass im Vergleich zu den regulären Ausweisbeantragungen in der letzten Woche sehr viele noch den guten alten Ausweis in Auftrag gaben, wie es zB. die Piraten in Potsdam in ihrem letzten Wochenrückblick aufzeigen. Sicherlich mag hier der Umstand ebenso geschuldet sein, dass man für ein derartiges Dokument statt 8€ nun 28,80€ auf den Tisch legen muss und viele Leute mit dieser Hyper-Technik nichts am Hut haben.

Dass es hier nicht nur um Sicherheit geht, sondern auch um wirtschaftliche Interessen, zeigt zB. ein Interview vom 01.10.2010 auf Radio1 (interessant ab ca. 4:00). Ein “sicheres“ Bonuspunkte-Programm kann damit abgewickelt werden – soso. Was das bisherige (und in meinen Augen sehr zweifelhafte) Bonuspunkte-Programm des Handels unsicher darstellen lässt, läuft wohl eher dahingehend hinaus, dass man z.B. nicht eindeutig einen Einkauf auf eine Person zurück schließen lassen kann. Mit dem nPA ja alles kein Problem mehr und wird auch noch fertig gebacken dem “Kunden” in naher Zukunft aufgezwungen. Man kann ja dann ohne nPA die tollen Funktionen nicht nutzen und auch nicht mehr “sicher” einkaufen.

Kritik gab es zudem viel – besonders im Zusammenhang mit dem durch die Bundesregierung erworbenen Sicherheitskits, die gratis unters Volk geworfen werden sollten. Speziell diese haben ein eklatantes Sicherheitsproblem, da die 6-stellige PIN via Computer-Tastatur eingegeben werden muss. Der CCC hatte hierzu Sicherheitsmängel aufgezeigt, weil es dadurch mit einfachen Mitteln möglich ist, die PIN bei Eingabe auf dem Computer auszulesen und diese gar automatisiert durch ein Schadprogramm zu nutzen. Ich denke der letzte Satz ist genau der ausschlaggebende Punkt:

Mitlesen der PIN und automatisierte Legitimation

Wohl bemerkt: das alles, wenn der nPA in der Nähe des Lesegerätes sich befindet.

Nun gibt es auf der FAZ seit gestern ein “tolles” Interview mit der IT-Beauftragten der Bundesregierung Cornelia Rogall-Grothe. Dieses Interview zeigt, dass man keine Juristen in die Position des Bundes-CIO hieven sollte. So oft kann man sich nicht an die Stirn schlagen, wie man eigentlich gern wollte (#facepalm).

Aber beginnen wir von vorn … Weiter lesen …

in Hard & Software, Netz, Politik, Security, Wirtschaft

ePerso macht das Leben einfacher und sicherer ohne Kontrollen

Ich bin kein Freund des ePerso – ganz ehrlich. Wenn ich dann noch Dinge lese, wie derzeit auf Heise, dass Microsoft mal flugs zeigt, wie man mit dem ePerso Flüge sicher und zertifiziert buchen kann, dann bin ich noch weniger ein Freund davon. Der Sinn des ganzen erschließt sich mir nicht einmal ansatzweise und dieser Gedankengang wird in der dünnen Argumentationskette pro nur noch bestärkt. So heißt es, als Pro-Argument:

Nach der Abfrage freier Plätze einer bestimmten Verbindung über den Internet Explorer kann der Anwender den Flug buchen und seine Identität mit dem elektronischen Personalausweis bestätigen. Dieses Verfahren soll künftig die Flugbuchungen noch sicherer machen, bei denen ansonsten eine ID-Kontrolle erst am Flughafen erfolgt.

Erstens – Einsatz hier mit Hilfe des Internet Explorers. Da wird bestimmt eine Art ActiveX-Komponente dann eingesetzt, die die Schnittstelle zum Lesegerät auslesen kann. Dieses ActiveX wird garantiert wie jedes andere auch frei von Fehlern und Lücken sein.

Zweitens wird suggeriert, dass man mit dem ePerso nicht mehr an einem Flughafen ausweisen braucht, weil man es ja bereits getan hat. Ohne ePerso muss ich mich am Flughafen kontrollieren lassen, Ahja … meine letzten Flugerfahrungen haben bezüglich der Beurkundung meiner Person dem Flughafenpersonal gegenüber beim Einchecken keinerlei Zeitverlust gebracht. Koffer hingestellt, Ausweis raus, lieb gelächelt und fertig! Wo ist jetzt also der Nutzeffekt für das Ganze, für das Geld verschlingende Monster? Was macht das Ganze sicherer und einfacher?

Vielleicht kann mich mal Jemand aufklären – vielleicht denke ich ja auch nur eindimensional!

in Ärger, Kommentar, Politik

ePerso sucht Abnehmer

Wie Heise vermeldet, tönen die Befürworter und Initiatoren in vollstem Gedöhns, was man alles mit dem ePerso machen kann. Sie freuen sich, dass nächstes Jahr das Teil eingeführt werden kann – wenn zugestimmt wird. Dazu müssen noch einige Gesetze geändert werden: allen voran das derzeitige Personalausweisgesetz der Bundesrepublik Deutschland.

Mit Hilfe dieser Änderung wird die biometrische Erfassung jedes Einzelnen gesetzlich vorgeschrieben und Weigerung mit Strafe bedroht, da es ja Pflicht ist, einen Ausweis bei sich zu haben. Von den Kosten, die auf das 5-10 fache des derzeitigen Ausweises basieren, rede ich erst gar nicht. Das müssen WIR selbst bezahlen.

Nun mag man von den Features, wie die digitale Signatur, halten, was man will. Ich für meinen Teil erachte dies als höchst gefährlich und wird weitaus mehr Risiken bezüglich Identitätsdiebstahl mit sich bringen, als uns heute bereits lieb ist. RFID ist bisher mehrfach aus großer Entfernung auslesbar, Softwareanwendungen auf dem PC sind fälsch- bzw. umgehbar, eine erneute PIN in 6-stelliger Größe muss sich neben der PIN für die eGK, EC-Karte usw. gemerkt werden.

Viel schlimmer sind Fragen, die bisher nicht beantwortet wurden.

  • Wer besitzt den privaten Schlüssel für die Signatur? Ich, oder irgendein Amt? Denn solange ich nicht selbst meinen privaten Schlüssel für die Karte habe, kann weiß Gott wer das Ganze ausnutzen. 
  • Was passiert, wenn ein Ausweis wegen Diebstahls, Signatur kaputt (Hardwaredefekt) ungültig geworden ist? Dann muss ja irgendwo eine zentrale Stelle im Internet existieren, die abgefragt werden kann. Ohne eine solche Stelle wäre ja der Diebstahl des ePerso für das Online-Banking oder Einkaufen massivstes Gift für einen Selbst. So schnell kann man dann nicht schaun, wie das Konto leer geräumt wird. Mit einer solchen Stelle weiß eben diese Stelle immer, wofür und mit wem gerade ein Handel oder ein Datenaustausch vorgenommen wird, denn die Signaturen müssen dann bei jedem Einsatz erst einmal auf deren Gültigkeit überprüft werden. Logisch, oder?
  • Wer bezahlt das alles, wenn sich Firmen lizensieren, Kartenlesegeräte angeschafft, PINs verwaltet und teuer beantragt werden müssen? Na wir alle – das gutgläubige Wahlvieh.
  • Wer sorgt dafür, dass beim Sammeln der Daten zur Ausstellung der Ausweise nichts passiert? Datenlecks gab es, gibt es und wird es immer wieder geben und irgendwann fliegen die Daten auf DVDs durch die Lande und keiner will es gewesen sein.
  • Wird es einfacher sein, die Daten vom heimischen Rechner aus abzuzweigen? Ich denke ja, wenn Schädlinge sich der im heimischen Hause, am PC angeschlossenen, Auslese-Peripherien bedienen und Sicherheitsvorkehrungen ausschalten können, sind die PIN und die Daten auf dem ePerso bei Leuten, wo man selbst nicht sein möchte.

Es ist nur ein Ausweis? Aber mit beachtlichen, noch optionalen aber sicherheitskritischen “Features”, die kaum einer von uns im vollsten Umfang erahnen kann. Gerät der in falsche Hände, wird er bzw. dessen Daten bzw. unsere Identität missbraucht. Da kann man nicht so einfach sagen: “Ich war es nicht, der Ausweis wurde mir gestohlen!” – es wurde doch alles digital korrekt signiert. Und der Gelackmeierte sind wir – und ein anderer besitzt unser Foto, unseren Fingerabdruck, unsere Daten inkl. PIN.

Für mich gibt es nur eine Anwendung für den ePerso – als Wurfobjekt für den Papierkorb.

in Ärger, Kommentar, Politik

Interessantes gegen den ePerso

Es wurde oft von mir berichtet, welche Folgen und Probleme mit dem ePerso, den Fingerabdrücken und den biometrischen Passbildern kommen können.

Wer es nicht scheut, der möge sich mal den Antrag der Grünen (PDF) gegen die “Sicherheitsmechanismen” im ePerso durchlesen. Interessant ist mitunter die Anmerkung, dass durch weitere Gesetzesvorhaben der Zugriff auf die Fingerabdrücke, Fotos, Signaturdaten usw. für andere Zwecke ermöglicht gemacht werden kann/soll. Aber man hat ja nichts zu verbergen. Sollte man sich durch (noch wahlfrei, später – gemäß PDF – auch Pflicht) die Abgabe der Fingerabdrücke nicht wie ein Straftäter vorkommen?

Der ePerso ist zwar jetzt schon im Bundestag durchgewunken worden (ich sag nur Große Koalition), aber ich hoffe auf Aktionen dagegen. Ein weiterer Baustein des gesamten Konstruktes – aber “wir” haben ja nichts zu verbergen, oder? Die Liste der Beschlüsse, Kompetenzen und Befugnisse (mitunter gegen uns alle) wird immer länger und ich verweise immer gern auf dieses Informations- und Linksammelsurium…

in Ärger, Kommentar, Politik

Datenschutz, ePerso, BKA-Gesetz und Denunzierung

Kurz vor Weihnachten, wo jeder Normalsterbliche mit sich selbst und mit Geschenke kaufen, basteln, backen oder kochen ist, werden vom Innenausschuss, dem Bundestag und Bundesregierungen Altes erneuert, umgeändert und auf den Weg gebracht – zum Leidwesen der Bürger.

Man ist sich über die “Verbesserungen” im BKA-Gesetzespaket einig, welches die Freiheiten und Rechte der Bürger weiter einschränkt, aber beim Datenschutz sind sie keinen Deut weiter. In dieser Hinsicht zeigt die “Große Koalition” Geschlossenheit.

Auch der ePerso muss nur noch beschlossen werden, der alles noch “sicherer und besser” für uns machen soll – zu Lasten der Bürger. Finanziell, als auch Schaffung von neuen Datenbergen inkl. Speicherung von biometrischen Daten (noch optional der Fingerabdruck, Pflicht beim biometrischen Passbild) wird der Bürger belastet. Auch hier empfehle ich die Anmerkungen und Gedanken des Datenschutz-Blog.

Es war auch vorhersehbar, dass nach der ganzen beginnenden Öffentlichkeitsaufklärung die Bürger sich nach und nach “Aufrüsten”, um ihre Daten vor möglichen staatlichen Eingriffen zu schützen. Nicht umsonst schafft es TrueCrypt derzeit auf Platz 8 des Heise-Downloadarchivs. Bei anderen Download-Portalen sieht es nicht anders aus. Als Gegenleistung wirft die Regierung mit Denunzierungen um sich. Der AK Vorrat, welcher sich zumindest um Aufklärung und Folgen des ganzen Vorhaben seitens der Regierung beschäftigte, soll mitunter an den “Falschinformationen” und der Panikmache Schuld sein. Dazu kann ich persönlich nur sagen: einfach nur armseelig – unrechtsstaatliche Gesetze beschließen, die das Volk überwachbar werden lässt und sich beim Zusehen des Verfalls “ihres Produktes” wild mit den Armen rudernd und die Schuld auf die Datenschützer und VDS Kritiker schieben.

Kindergarten – ich will, ich will .. und wenn es nicht so klappt wie sie wollen, dann werden sie bockig und lassen keine Diskussion oder Kritik zu – und diese ist bei solchen schwerwiegend eingreifenden Gesetzen bitter nötig.

Ich hatte letztens auch eine Diskussion in einer großen Gruppe. Ein Hauptargument war mitunter, was der Staat denn mit den Daten anfangen könnte. Solle er, wie auch die Wirtschaft, doch wissen, was man einkauft oder wann man telefoniert oder online geht.

Aber spätestens dann, wenn diejenigen sich engagieren, politisch oder gesellschaftlich aktiv werden, weil sie mit der Politik und dem Ganzen nicht einverstanden sind – spätestens dann wird es wieder interessant. Wie lange es dauert, bis das eintritt? Vielleicht schneller, als uns allen lieb ist … ich sage nur steigende Arbeitslosigkeit, sinkende Gehälter und Löhne und somit steigende Unzufriedenheit bei vielen Betroffenen. Und was meint ihr, was passieren wird, wenn der “Volksmob” sich auf die Straße begibt und mitunter sich des §20 Satz 4 bedienen möchte? Oder wenn jemand politisch daran was ändern möchte und sich somit engagiert? Irgendwie muss man sich doch bei Demonstrationen oder anderen “Kundgebungen”, sowie kommunikativ mit Gleichgesinnten und Bürgern untereinander verständigen – via Mail, Telefon/Handy, Internet.