Ottawa fordert Befugnis, geheime Backdoors in Netzwerken zur Überwachung zu schaffen

 (theglobeandmail.com)
1 Punkte von GN⁺ 2024-05-30 | 1 Kommentare | Auf WhatsApp teilen

Problematische Punkte im kanadischen Cybersicherheitsgesetz

Zentrale Inhalte von Gesetzentwurf C-26

  • Gesetzentwurf C-26 verleiht der kanadischen Regierung die Befugnis, Telekommunikationsanbieter heimlich anzuweisen, Backdoors in verschlüsselten Netzwerken einzubauen.
  • Dadurch könnten 5G-Verschlüsselungsstandards verändert werden, um staatliche Überwachung zu erleichtern.

Schwachstellen bestehender Netzwerke

  • In heutigen Netzwerken bestehen bereits viele Schwachstellen.
  • So ist etwa das 1975 entwickelte Signaling System No.7 eine zentrale Sicherheitslücke im Mobilfunk.
  • Laut einem Bericht des Citizen Lab aus dem Jahr 2023 gibt es im Kernbereich mobiler Netzwerke weltweit weitreichende Schwachstellen.

Probleme des Gesetzentwurfs

  • Statt neue Schwachstellen zu schaffen, sollte die Regierung bestehende Sicherheitslücken beheben.
  • Gesetzentwurf C-26 verleiht weitreichende Befugnisse, technische Änderungen zu erzwingen, die die „Vertraulichkeit, Integrität und Verfügbarkeit“ kanadischer Telekommunikationsdienste beeinträchtigen können.
  • Durch dieses Gesetz würde die Regierung zum alleinigen Schiedsrichter darüber, ob die vertraulichsten Kommunikationskanäle der Kanadier sicher sind oder nicht.

Risiken einer Schwächung von Verschlüsselung

  • Die Verschlüsselung der 5G-Technologie schützt mobile Kommunikation und Nutzerdaten vor Man-in-the-Middle-Angriffen.
  • Der Gesetzentwurf könnte auch Cloud-verbundene Smart Devices und satellitengestützte Dienste betreffen.
  • Historisch betrachtet haben staatliche Backdoors eine ernsthafte Bedrohung für die Cybersicherheit dargestellt.

Widersprüche in der Cybersicherheitsstrategie der Regierung

  • Kanada blockierte 2022 zwar Telekommunikationsausrüstung von Huawei und ZTE, doch Gesetzentwurf C-26 würde Kanada die Befugnis geben, per Geheimanordnung Verschlüsselung zu schwächen.
  • Das steht im Widerspruch zu Kanadas verschlüsselungsfreundlicher Politik und zu Empfehlungen von Fachleuten.

Sichere Backdoors gibt es nicht

  • Laut einem Bericht des GCHQ wird die Bedrohung durch kommerzielle Hacking-Unternehmen großen Einfluss auf das Cyber-Umfeld haben.
  • Wenn die kanadische Regierung Telekommunikationsanbieter dazu zwingt, Sicherheitsfunktionen zu schwächen, werden Cyber-Spionagefirmen und andere Angreifer mehr Wege finden, auf Kommunikation zuzugreifen.

Meinung von GN⁺

  • Bedeutung von Verschlüsselung: Verschlüsselung ist ein Kernbestandteil der Cybersicherheit, und ihre Schwächung gefährdet die Sicherheit des gesamten Systems.
  • Widersprüchliche Regierungspolitik: Die Politik der kanadischen Regierung ist inkonsistent, was auch international negative Auswirkungen haben kann.
  • Technische Schwachstellen: Sollte der Gesetzentwurf verabschiedet werden, ist die Entstehung neuer technischer Schwachstellen sehr wahrscheinlich.
  • Bedarf an Alternativen: Kanada sollte sein Cybersicherheitsgesetz in Richtung Schutz und Stärkung von Verschlüsselung überdenken.
  • Internationale Auswirkungen: Kanadas Gesetzentwurf könnte auch anderen Staaten als Rechtfertigung für ähnliche repressive Gesetze dienen.

Verwandte Beiträge

1 Kommentare

 
GN⁺ 2024-05-30
Hacker-News-Meinungen

  • Kanada hat bereits die Befugnis, zu Überwachungszwecken Backdoors in Telekommunikationsnetzen vorzusehen. Jeder souveräne Staat tut das für seine eigene Infrastruktur als Teil der RAN-Architektur
    https://en.wikipedia.org/wiki/Lawful_interception
    Was Kanada offenbar wirklich will, ist ein Weg, dies ohne traditionelle rechtliche Hürden wie richterliche Beschlüsse oder ohne rechtliche Aufsicht zu tun

    • In einer Situation, in der die Privatsphäre Einzelner rapide geschwächt wird, sollte man bei solchen Ausweitungen von Befugnissen genau darauf achten, welche Behörde in welchem Kontext sie nutzt
      Zum Beispiel ist es heutzutage naheliegend anzunehmen, dass NSA-artige Nachrichtendienste die elektronische Kommunikation, die sie haben wollen, bereits fast reibungslos bekommen. In den USA soll es zwar Schutzmechanismen gegen die Inlandsüberwachung eigener Bürger geben, aber wir haben schon gesehen, wie schnell und einfach sie über Five-Eyes-Partnerbehörden oder kommerzielle Datenbroker umgangen werden
      Noch beängstigender ist der Fall, dass inländische Strafverfolgungsbehörden neue Wege bekommen, Reibung wie Anforderungen an Durchsuchungs- bzw. Überwachungsbeschlüsse oder Verfahren für Einzelanfragen zu beseitigen. Solche Anfragen lassen sich theoretisch nachverfolgen und überprüfen, um Missbrauch aufzudecken; dass inländische Ermittlungsbehörden Zugang zu einem Full-Take-Feed bekommen, der alles enthält, und später riesige Metadaten-Verknüpfungsgraphen erstellen und durchsuchen können, ist wirklich furchtbar
    • Kanada hat seit 1982 in seiner Charta eine notwithstanding clause, sodass das Parlament Inhalte mit dem Charakter einer Bill of Rights ignorieren kann; man könnte also sagen, dass es faktisch keine Verfassung gibt
    • Der Unterschied liegt meist darin, wo die Überwachung stattfindet
      Die meisten Staaten hatten, seit es Signale gibt, die Fähigkeit, Signale abzufangen
      Was man jetzt will, ist, Betriebssysteme oder Anwendungen unter Kontrolle zu bringen, damit sie den Klartext von Nachrichten vor der Verschlüsselung oder nach der Entschlüsselung ins Heimatland schicken
      Aber man kann nicht einfach in ein Unternehmen hineinspazieren und anordnen, dass es das tut; man braucht also die Befugnis, Unternehmen zur Umsetzung solcher Änderungen zu zwingen. Deshalb enden solche Gesetzesvorhaben oft sehr vage
    • Ich frage mich, wie das möglich sein soll. Verhindert HTTPS nicht das Abhören von Ende zu Ende?
      Ich weiß nicht, ob das bedeutet, dass sie die Fähigkeit haben, das zu knacken, oder ob sie lediglich vom Eigentümer des Endpunkts, mit dem ich kommuniziere, verlangen können, Informationen herauszugeben
    • Das ist nicht nur Sache der Telekommunikationsanbieter. Geräteanbieter bauen Funktionen für rechtmäßiges Abhören in die Geräte ein, und die Betreiber müssen nur noch den Zugriff konfigurieren
      Ich kann es gerade nicht verifizieren, aber soweit ich mich erinnere, war das auch Teil öffentlicher Standards

  • Nennt es Paranoia, meinetwegen, aber ich halte clientseitige Scanner wie Recall für einen Versuch, Ende-zu-Ende-Verschlüsselung zu umgehen, ohne Mathematik oder Hardware zu brechen
    Wenn NPU-basiertes clientseitiges Scanning mit Techniken zur lexikalischen Analyse kombiniert wird, könnte ein gewöhnlicher anonymer Freund Copilot+ mit aktiviertem Recall nutzen, selbst wenn ich selbst gut genug Bescheid weiß, um Apple/Google/Microsoft dauerhaft zu meiden. Dann kann Microsoft auf dem Gerät dieses Freundes die Unterhaltung lesen und mich identifizieren

    • Es wird nicht lange dauern, bis Microsoft eine Funktion anbietet, um Recall-Daten in OneDrive zu „sichern“, und dann können Strafverfolgungsbehörden sie leicht per Vorladung bekommen
      WhatsApp etwa drängt stark zu Drive-Backups, und aus Sicht der Polizei ist es einfach, dort eine Kopie zu bekommen
    • Es ist nur eine Frage der Zeit, bis Betreiber von Betriebssystemen oder Recall merken, dass sie auf einem Haufen wichtiger Informationen sitzen, die „zufällig“ gesammelt wurden, und in den Markt der Datenbroker einsteigen

  • Wenn Snowden und Assange uns eines gelehrt haben, dann, dass man die Beweisanforderungen bei staatlich gelenkter Überwachung nicht zu hoch ansetzen sollte
    Die verfügbaren Belege hinken der Realität immer hinterher, und Dinge, die früher als Übertreibung oder außergewöhnlicher Verdacht galten — etwa „die NSA weiß sogar, dass ich Brokkoli hasse“ — waren am Ende nicht völlig unbegründet

    • Die NSA hat tatsächlich auch in World of Warcraft überwacht. [1]
      Wenn Geheimdienstmitarbeiter für die „nationale Sicherheit“ als Elfen im Spiel herumlaufen, weiß man, dass wir in einer dummen, aber endlos unterhaltsamen Zeitlinie leben
      [1] - https://www.theguardian.com/world/2013/dec/09/nsa-spies-onli...

  • Solche Debatten wiederholen sich in den meisten Ländern alle paar Jahre. Offenbar vergessen alle, dass Telekommunikation in fast jedem Land eine lizenzierte Branche ist und die Bereitstellung rechtmäßiger Überwachung eine gesetzliche Pflicht dieser Lizenz ist

    • Die Befugnis, Überwachungs-Backdoors in Telekommunikationsnetzen zu haben, existiert bereits; was man tatsächlich will, ist aber ein Weg, dies ohne traditionelle rechtliche Hürden wie richterliche Beschlüsse oder ohne rechtliche Aufsicht zu tun
      Deshalb sollte man es nicht einfach mit der Begründung abtun: „Das können sie doch ohnehin schon“
    • Ach so, weil es so im Gesetz steht, ist es natürlich akzeptabel

  • „2017 zeigte CBC, dass Hacker allein anhand der Mobiltelefonnummer eines kanadischen Abgeordneten dessen Bewegungen verfolgen sowie SMS und Anrufe abfangen konnten“
    In dem verlinkten Artikel heißt es, die Hacker hätten ein Gespräch zwischen Dubé in seinem Büro auf Parliament Hill und seiner Radio-Canada-Kollegin Brigitte Bureau, die in einem Café in Berlin saß, aufzeichnen können
    Ich habe so viele Fragen. Funktioniert das immer noch? Geht das bei allen Telefonen, die SS7 nutzen? Gilt das sowohl für Festnetz- als auch für Mobiltelefone? Ist es von überall auf der Welt zu überall auf der Welt möglich? Wo liegen die Grenzen des Angriffs? Wenn jeder die Anrufe anderer mithören kann, warum ist das dann nicht ein viel größeres Problem?

  • Das Problem solcher Vorstöße ist nicht, dass sie auf reale Kriminalität oder Sicherheitsprobleme reagieren sollen, sondern dass sie Parteiherrschaft absichern und abweichende Meinungen kontrollieren sollen.
    Vergleicht man das Tempo des technologischen Wandels mit dem Managerialismus, wirken solche politischen Vorstöße wie ein Signal, dass Kanada faktisch auf einen Weg gerät, auf dem es jahrzehntelang den Status eines Entwicklungslands haben wird. Ähnlich wie Portugal, Griechenland, Argentinien und Spanien in der zweiten Hälfte des 20. Jahrhunderts als arme Länder galten; die damaligen Regierungsparteien ähneln dem heutigen Kanada.
    Wenn eine Regierung ihren Fokus von Wachstum auf das Management abweichender Meinungen und von Kapitalabflüssen verlagert, ist das Ende im Grunde schon absehbar.

  • Ich kenne mich im Bereich Legal Interception (LI) einigermaßen aus. Einige Behörden und Unternehmen in den USA/Kanada machen das mit Tools von JSI Telecom.
    Sie betreiben Deep Packet Inspection und zeichnen Anrufe auf; die Aufbewahrungsrichtlinien werden je nach nationalem Recht festgelegt. Auch bei aufgezeichneten Anrufen dürfen Gespräche mit Anwälten nicht aufgezeichnet werden, deshalb muss jemand mithören und stummschalten. In manchen Ländern sind Aufzeichnungen nicht erlaubt, sodass jemand das Gespräch in Echtzeit mithören muss.
    Persönlich glaube ich, dass Demokratien verschwinden und Republiken die Oberhand gewinnen werden, in denen Regierungen machen, was sie wollen. Es scheint ohnehin in diese Richtung zu gehen, und dieses theaterhafte Prozedere ist ermüdend.

  • Ich frage mich, ob es nicht an der Zeit ist, dass demokratische Staaten Verschlüsselung verfassungsrechtlich innerhalb eines rechtsstaatlichen Verfahrensrahmens garantieren.
    Zumindest scheint das gut zum Konzept von Checks and Balances zu passen.

  • Kanada totalitär? Erstaunlich.

    • Ich weiß, dass Gegner der aktuellen Regierung solche Begriffe heutzutage gern verwenden, aber die kanadische Regierung ist so weit von Totalitarismus entfernt, dass es etwas lächerlich wirkt.
      Das eigentliche Problem ist nicht so etwas wie Faschismus, sondern ein Oligopol.
      Die Regierung verwendet den Großteil ihrer Energie darauf, befreundete Unternehmen und Branchen vor Wettbewerb zu schützen und sogar Steuergelder in diese Richtung zu lenken.
      Bei Bell und Rogers geht es jedes Jahr um Milliardenbeträge.
    • Kein Grund zur Sorge. Die EU versucht alle paar Wochen dasselbe.
      https://www.patrick-breyer.de/en/let-yourself-be-monitored-e...
    • Genauer gesagt ist es Autoritarismus. Totalitarismus erfordert die massenhafte Mobilisierung der Bevölkerung unter einer einzigen Ideologie.
      Putin versucht, ein totalitärer Führer zu werden, aber selbst ihm ist das nicht gelungen. Er stützt sich ziemlich stark auf die „schweigende Mehrheit“ eines entpolitisierten Russlands, das zu verängstigt oder zu bequem ist, sich den Sicherheitsorganen entgegenzustellen.
      Wäre Russland ein totalitärer Staat, würden wir sehen, wie diese Mehrheit sich darum reißt, in Militär und Regierung einzutreten.
    • Das ist nutzloser und schlecht informierter Zynismus.
      Kanada ist nicht totalitär. Ehrlich gesagt kann man das schwer behaupten, sofern man nicht eine sehr extreme politische Sicht hat, die etwa die Blockade der Innenstadt von Ottawa für gerechtfertigt hält.
      In Kanada gibt es durchaus verschwörungsideologisches Denken im MAGA-Stil, aber nach kanadischen Maßstäben ist das ein relativ neues Phänomen und auch nicht weithin akzeptiert.
    • Das ist eine miserable Einschätzung.
      In den vergangenen Jahrzehnten ist keine kanadische Regierung dem Totalitarismus, Autoritarismus oder etwas Ähnlichem nahegekommen. Das jüngste Beispiel im lebendigen Gedächtnis wären wohl die Residential Schools, die von Kirchen unter unterstützenden politischen Rahmenbedingungen der Bundes- und nachgeordneten Regierungen betrieben wurden. Ich will das nicht kleinreden, aber die letzte Residential School wurde 1997 geschlossen.
      Kanada ist ohne Frage eine repräsentative Demokratie, die in die Kategorie der westlichen liberalen Demokratie fällt. Am Neoliberalismus gibt es ebenso berechtigte Kritikpunkte wie am Neokonservatismus, aber der Vorwurf totalitärer Ambitionen trifft nur äußerst selten zu.
      Die größte Bedrohung für die kanadische Demokratie könnte vielmehr der Rückgang politischer Bildung sein. Wir wählen den Premierminister nicht direkt, aber viele Menschen stimmen so ab, als täten sie es. Es ist kein Zweiparteiensystem, sondern tatsächlich ein Mehrparteiensystem, in dem Minderheitsregierungen möglich sind, und das ist auch derzeit so; dennoch wählen viele Menschen so, als sei es faktisch ein Zweiparteiensystem mit ein paar „Witzparteien“, deren Stimmen verschenkt seien.
      Wir haben ein Zweikammerparlament, aber eine Kammer besteht ausschließlich aus gewählten Abgeordneten und hat sich bisher im Großen und Ganzen nur durch die Kraft guten Willens relativ besonnen verhalten. Langfristig halte ich das nicht für eine ausreichende Schutzvorkehrung, aber das ist ein anderes Thema.
      Die meisten Kanadier könnten aus dem Stegreif wohl nicht viel mehr darüber sagen, wie Gesetze ins Parlament eingebracht und verabschiedet werden, als dass es mehrere Lesungen gibt. Und tatsächlich stimmen die meisten eher nach Parteivorsitzenden und dem allgemeinen Auftreten während der Regierungszeit ab, statt zu verfolgen, was ihr Wahlkreisabgeordneter oder Provinzabgeordneter tut.

  • https://archive.is/y6d41