gegen Null kalkuliert

ICQ wurde letzte Woche abgeschaltet. Zum Stand meines Ersatzes:

Ach, Crypto-Bibliotheken

Ich möchte gern End-to-End-Encryption haben, so dass die Chose 100 % abhörsicher ist. Also, richtig, nicht so wie bei WhatsApp oder Signal.

Natürlich bin ich nicht so blöd, die Crypto selber zu schreiben. Unter Linux muss ich wohl oder übel OpenSSL nutzen; aber unter Windows gibt es immerhin die Microsofts Crypto-API – die wird über Windows-Updates sicher gehalten anstatt dass ich dafür verantwortlich bin.

Und was soll ich sagen? OpenSSL, WinCrypto, das tut sich alles nichts. Das wahre Grauen ist nämlich der Dschungel aus kaum spezifizierten Formaten, Kodierungen, und Standards.

Ihr habt vielleicht schonmal gesehen, wie ein digitaler Schlüssel aussieht:

-----BEGIN RSA PUBLIC KEY-----
MIIBCgKCAQEA61BjmfXGEvWmegnBGSuS+rU9soUg2FnODva32D1AqhwdziwHINFa
D1MVlcrYG6XRKfkcxnaXGfFDWHLEvNBSEVCgJjtHAGZIm5GL/KA86KDp/CwDFMSw
luowcXwDwoyinmeOY9eKyh6aY72xJh7noLBBq1N0bWi1e2i+83txOCg4yV2oVXhB
o8pYEJ8LT3el6Smxol3C1oFMVdwPgc0vTl25XucMcG/ALE/KNY6pqC2AQ6R2ERlV
gPiUWOPatVkt7+Bs3h5Ramxh7XjBOXeulmCpGSynXNcpZ/06+vofGi/2MlpQZNhH
Ao8eayMp6FcvNucIpUndo1X8dKMv3Y26ZQIDAQAB
-----END RSA PUBLIC KEY----

Diese Dinger muss ich erzeugen, damit die Kommunikation sicher ist. Die Benutzeroberfläche kann ich später schön machen und das Protokoll kann ich auch später noch verbessern, aber die Schlüssel müssen von Anfang an richtig gemacht sein – denn die können wir nie mehr ändern. Wenn jemand die Schlüssel ändern könnte, wäre das ja nicht mehr abhörsicher.

Dazu gehört auch, dass ich die Schlüssel unter Windows erzeuge und unter Linux nutze, und umgekehrt – denn wenn ich erst in einem Jahr merke, dass die Schlüssel alle unter Linux nicht funktionieren, sitzen wir tief in der Patsche!

15 Standards, um einen Schlüssel zu laden

Das Beispiel oben sieht aus, als wären es einfach ein paar Zeilen Text mit Base64-Kodierung, oder?

Arschlecken!

Diese StackOverflow-Antwort fasst es gut zusammen:

That is your PEM DER ASN.1 PKCS#1 RSA Public key

• PEM: synonym for base64
• DER: a flavor of ASN.1 encoding
• ASN.1: the binary encoding scheme used
• PKCS#1: The formal specification that dictates representing a public key as structure that consists of modulus followed by an exponent
• RSA public key: the public key algorithm being used

Mit dem (korrekten!) Kommentar:

Sorry for the nitpick, but PEM isn't a synonym for base64. It has a complicated and not very well defined history, but PEM is in itself a data format.

Alles klar? So ein Schlüssel basiert auf drei oder vier RFCs zur Erzeugung und ein paar Dutzend RFCs zur Speicherung (PKCS ist mittlerweile bei Version 15 angekommen; X.509 bei Version 9.1).

Es handelt sich um ein geschachteltes Binärformat (außen PEM/Base64, dann ASN.1, und im Kern ein Blob DER), das aufgeschlüsselt so aussieht:

30 82 01 22          ;SEQUENCE (0x122 bytes = 290 bytes)
|  30 0D             ;SEQUENCE (0x0d bytes = 13 bytes) 
|  |  06 09          ;OBJECT IDENTIFIER (0x09 = 9 bytes)
|  |  2A 86 48 86   
|  |  F7 0D 01 01 01 ;hex encoding of 1.2.840.113549.1.1
|  |  05 00          ;NULL (0 bytes)
|  03 82 01 0F 00    ;BIT STRING  (0x10f = 271 bytes)
|  |  30 82 01 0A       ;SEQUENCE (0x10a = 266 bytes)
|  |  |  02 82 01 01    ;INTEGER  (0x101 = 257 bytes)
|  |  |  |  00             ;leading zero of INTEGER
|  |  |  |  EB 50 63 99 F5 C6 12 F5  A6 7A 09 C1 19 2B 92 FA 
|  |  |  |  B5 3D B2 85 20 D8 59 CE  0E F6 B7 D8 3D 40 AA 1C 
|  |  |  |  1D CE 2C 07 20 D1 5A 0F  53 15 95 CA D8 1B A5 D1 
|  |  |  |  29 F9 1C C6 76 97 19 F1  43 58 72 C4 BC D0 52 11 
|  |  |  |  50 A0 26 3B 47 00 66 48  9B 91 8B FC A0 3C E8 A0
|  |  |  |  E9 FC 2C 03 14 C4 B0 96  EA 30 71 7C 03 C2 8C A2  
|  |  |  |  9E 67 8E 63 D7 8A CA 1E  9A 63 BD B1 26 1E E7 A0  
|  |  |  |  B0 41 AB 53 74 6D 68 B5  7B 68 BE F3 7B 71 38 28
|  |  |  |  38 C9 5D A8 55 78 41 A3  CA 58 10 9F 0B 4F 77 A5
|  |  |  |  E9 29 B1 A2 5D C2 D6 81  4C 55 DC 0F 81 CD 2F 4E 
|  |  |  |  5D B9 5E E7 0C 70 6F C0  2C 4F CA 35 8E A9 A8 2D 
|  |  |  |  80 43 A4 76 11 19 55 80  F8 94 58 E3 DA B5 59 2D
|  |  |  |  EF E0 6C DE 1E 51 6A 6C  61 ED 78 C1 39 77 AE 96 
|  |  |  |  60 A9 19 2C A7 5C D7 29  67 FD 3A FA FA 1F 1A 2F 
|  |  |  |  F6 32 5A 50 64 D8 47 02  8F 1E 6B 23 29 E8 57 2F 
|  |  |  |  36 E7 08 A5 49 DD A3 55  FC 74 A3 2F DD 8D BA 65
|  |  |  02 03          ;INTEGER (03 = 3 bytes)
|  |  |  |  010001

(Diese Ausgabe ist von Microsofts certutil, das sich wesentlich kooperativer verhält als OpenSSL!)

… und das alles, um eine große Zahl zu übertragen, die dann als Schlüssel dient.

Für private Schlüssel ist die Struktur noch wesentlich komplexer (private Schlüssel enthalten alle Parameter, um den öffentlichen Schlüssel daraus abzuleiten).

Und natürlich möchte man den Schlüssel gern passwortgeschützt speichern. Dann kommt noch ein Wrapper drum herum – denn man muss ja ein Salt mit abspeichern; man muss wissen, mit welchem Algorithmus verschlüsselt wurde; wie der Schlüssel aus dem Passwort gebildet wird; …

Das erfordert tausende Zeilen Code und Zehntausende Zeilen Spezifikation, nur um eine große Ganzzahl zu parsen. Und diese Komplexität muss jede Krypto-Bibliothek unterstützen – egal, für welche man sich entscheidet.

Ich hatte erwartet, dass ich die meiste Zeit in ein vernünftiges Protokoll versenken müsste. Pustekuchen! Ich sitze schon den n-ten Abend hier und versuche nichts anderes, als ein Zertifikat geparst zu kriegen!

Zurechtstutzen

Ich versuche, das so weit wie möglich zu reduzieren, weil die ganze Komplexität für mich natürlich auch Aufwand bedeutet.

Anstatt alle Arten von X.509-kompatiblen Zertifikaten zu unterstützen, gibt es mir nur Schlüssel im DER-Format der 90er. Ohne den Base64-Wrapper. Halbiert locker die Menge der involvierten RFCs, und ebenso den Code-Umfang. Passwortschutz wird PBKDF2 mit AES. Das ist zwar mittlerweile veraltet, aber Passwörter werden sowieso immer nur lokal benutzt und nie an den Server geschickt – wenn jemand auf eurem System herumhackt, habt ihr eh andere Sorgen als die Güte des Passwort-Hashings für unseren Chat.

Meine Fresse, hätte ich das früher gewusst. Ich hatte Server und Client nach ein paar Tagen laufen, sogar mit Dummy-Ver-und-Entschlüsselung. Jetzt nur noch die Schlüssel reinladen, dachte ich mir. Berühmte letzte Worte.

Warum hat das eigentlich noch niemand weggeschmissen und neu gemacht?!

Jäger der chinesischen Volksbefreiungsarmee patrouillieren in der Morgendämmerung über dem südchinesischen Shenzhen (Quelle).

Es ist mal wieder so weit, auch wenn das Wetter nicht mitspielt …

Letzte Woche: Joggerin auf Schermbecker Waldweg niedergestochen. Großaufgebot der Polizei; Hubschraubereinsatz; Hundertschaften durchkämmen die Gegend; BLÖD titelt Hier jagen sie den Messerstecher von Schermbeck.

Gestern: Die Frau wurde erneut vernommen und die Polizei kommt indirekt zum Ergebnis, dass sie sich die Verletzungen selber zugefügt und den Angriff erfunden hat.

(Danke, Tombo!)

Und jetzt nochmal die peinlichsten Fascho-Kommentare von Twitter zur Erstmeldung – damit wir auch alle wissen, warum man die Fresse hält, bis die Ermittlungen abgeschlossen sind:

NikkiSixx

@Steffen14434180

Ich glaube, der sogenannte Heilige Krieg hat begonnen. Anders ist das alles nicht mehr zu erklären. Es wird ja täglich mehr

Dr. Peter Backé 🏁🚴‍♂️

@dr73450

Laut Statistik wählen junge Frauen überproportional häufig linksgrün. Ich fürchte, es werden noch viele tausende junge Frauen ins Gras beißen müssen, bevor dieses juste milieu allmählich seinen Standpunkt zu hinterfragen beginnt.

joergthereader

@joergthereader

Das ist in Israel schon länger bekannt und die Leute sind auf der Hut. In D wird das „normal“ werden. Viele Leute begreifen das leider noch nicht.das wird Jihad Stabbing genannt.

Spawn nwapS

@NwapsSpawn53762

Bei mir im Ort.....ich bin fassungslos......kann nur eine Herkunft haben.
Und unser Dorf bekommt noch mehr von denen zugewiesen😡😡😡

Joerg Weber

@trueJoergWeber

Danke, Frau Merkel 😡

Rekin

@Rekin1973

Einfach mal im nächstgelegenen Flüchtlingsheim nachschauen, da ist der Täter zu finden

MedienMichel

@MedienMichel

In den klassischen Medien…. Kein Wort.

Thomas 🇩🇪

@srg_tommi

Einzelfallllllllllllllllllllllllllllllllllllllllllllllllllllllllllllllllllll

npub12hhpljjshyz34t94tax4a8rs6m28ha7v0n0r2aszvwq

@Daniel_Buhl_sh

Lass uns bitte nicht ablenken und besser über die richtige&wichtige Ukraine Politik der Bundesregierung sprechen!

Gerd Freimann

@derOstfale

Ah, mal wieder nur regionale Bedeutung. Na dann..

My two Cent

@jmy2ct

Ich wünsche der Joggerin eine schnelle Genesung, und dem Attentäter einen schnellen Heimflug.

Aber wahrscheinlich war es ein

TE᙭TᖇOᐯEᖇT

@textrovert05

Yay! Und wenn man ihn dann doch erwischt, ist er psychisch krank und bekommt hier erstmal ein paar Jahre Vollpension, bevor man ihn wieder rauslässt. Alles so schön bunt hier.

Ich danke den Teilnehmenden, sich mit ihrer öffentlichen Migrantenhetze und ihrer Vorverurteilung blamiert zu haben. Das Thema ist ein paar Hundert Beiträge lang; da hatte meine Blockierliste viel zu tun.

Und ich weise meine Leser darauf hin, dass Twitter seit der Musk-Übernahme mehr denn je zu einem stinkenden Moloch aus Nazi-Scheiße und russischer Fake-News geworden ist.

Beteigeuze ist zwar noch nicht reif, aber ein kleineres Explosiönchen steht kurz bevor: T Coronae borealis.

Kleines Doppelsternsystem aus rotem Riesen und weißem Zwerg, nicht weit von uns. Zwar wird keiner der beiden vollständig explodieren – der weiße Zwerg sammelt aber beständig Gasreste seines Partners und verdichtet sie, so dass alle 78 Jahre die Kernfusion wieder zündet und der Stern für ein paar Tage hell leuchtend seine Hülle abbrennt.

Zuletzt war es 1946 so weit … und nun stehen die Chancen gut, dass die nächste Explosion vor September stattfindet. Für eine oder zwei Nächte haben wir dann einen neuen Stern am Himmel, der etwa so hell wie der Polarstern leuchtet. Beobachten lässt er sich dann im Sternbild Nördliche Krone.

Die Speerspitze der Computeranimation 1994, von den Entwicklern eines weit verbreiteten Amiga-3D-Werkzeugs.

Kennt ihr das auch? Die Dealer stehen vor dem Netto rum; komische Männer quatschen die Kinder auf dem Schulweg an; Jogger werden abgestochen … okay, ist vielleicht einfach Dorsten.

Aber vor den Wahlen heißt es doch jedes Mal: Wir brauchen mehr Polizei! Und mehr gute Polizeiarbeit! Keine parallelgesellschaften oder rechtsfreien Räume!

Darum komme ich mit guten Nachrichten: Der Polizei gelang ein koordinierter Schlag gegen … Hasspostings im Internet.

Insgesamt seien mehr als 70 Wohnungen durchsucht, zahlreiche Beschuldigte vernommen und weitere Maßnahmen durchgeführt worden […] mehr als 130 polizeiliche Maßnahmen in allen Bundesländern […] volksverhetzende Inhalte und Propagandadelikte […] Darüber hinaus seien Postings verfolgt worden, in denen Drohungen und Beleidigungen gegen Politiker, Amts- und Mandatsträger ausgesprochen wurden.

Wie schön, dass sich Politiker wieder sicher fühlen können! Dafür wurde Polizei gemacht!

Bundesinnenministerin Nancy Faeser sprach von "widerwärtigen Morddrohungen gegen Amts- und Mandatsträger in unserem Land" und rief alle, "die im Netz diffamiert und bedroht werden", dazu auf, Anzeige zu erstatten. "Der Hass, der im Netz verbreitet wird, ist der Nährboden für Gewalt", erklärte sie in einer Mitteilung ihres Ministeriums. Deshalb gingen die Behörden konsequent gegen Hasskriminalität vor.

Aber aber! Das waren doch alles scheiß Nazis und gg0 ist stramm links!!!

… und jetzt versetzen wir uns mal ein paar Jahre in die Zukunft, mit Merz als Kanzler. Und in dem Abschnitt oben ist nicht Faeser unsere Innenministerin, sondern Bernd Höcke. Und dann schickt der die Bullen gegen alles los, was er als Hass im Netz oder Propagandadelikte empfindet.

Weil böse Wörter im Internet ja ein Nährboden für Gewalt in der realen Welt sind. Sagt China auch so!

Aber vielleicht fahren wir dann einfach ein paar Begrenzungspfähle um.

War wirklich alles so schlecht in der Sovietunion? Nicht unbedingt – der Robotron-Computer aus der DDR war beispielsweise ziemlich gut. Aber der Rest … hier seht ihr einen Drucker in typisch sovietischer Fertigungsqualität! Einfach wow.

Das eigentlich schockierende an dem Video ist ja, dass es mal Drucker gab, die dir kein Tinten-Abo andrehen wollten.

Deshalb höre ich nur noch Vaporwave. Das ist zumindest ehrliche Nostalgie.

Moderne Autos schnorcheln ja mehr Daten ab als die werbeverseuchte Webseite einer mittelgroßen Dorfzeitung. Und das freut vor allem … die Bullen!

Im Auto gilt kein gesondertes Grundrecht wie bei der Unverletzlichkeit der Wohnung.

… man braucht also keine richterliche Anordnung, um persönliche Daten abzugreifen.

Jetzt hilft die Totalüberwachung der Autofahrer durch Polizei doch total, schlimme Raubmord-Kinderporno-Terroristen zu fangen, oder?

Der Cybersicherheits-Experte Hof erinnert sich an den Einbruch ins Grüne Gewölbe 2019 in Dresden: "Aus dem Fluchtfahrzeug hatten die Täter sehr viel Elektronik ausgebaut, in der vielleicht noch Informationen hätten drinstecken können. Erst dann zündeten sie es an." Die Täter seien darauf vorbereitet gewesen, dass Ermittler Steuergeräte auslesen können. "Die meisten Informationen, die wertvoll gewesen wären, waren weg."

Nagut … bei professionellen Tätern hilft das also nicht weiter … aber bei unprofessionellen bestimmt! Geiselnahme, Terrorismus, irgendwas!

Ein unbekannter Täter beschädigte in Freiburg mutwillig mehr als 100 Autos. Die Bordkameras eines Autos filmten ihn dabei. […] Des Täters habhaft wurde die Polizei zwar nicht, sein Bild wanderte aber in ihre internen Datenbanken. Für eine öffentliche Fahndung war die Straftat nicht schwer genug.

Äh … okay … habt ihr nicht irgendwas mit Leib und Leben?! Entführung oder so?! Am besten irgendein Erfolg?!

Nachdem eine Fahranfängerin 2022 in der Pfalz einen Leitpfosten umgefahren hatte und sich von dannen machte, klingelte dennoch später die Polizei an ihrer Haustür. […] Durch eCall lagen aber die Fahrzeugdaten und somit auch die Halteranschrift vor. Die Folge: Strafverfahren wegen Unfallflucht - obwohl die EU durch die Reglementierung von eCall alles verhindern wollte, was den Anschein staatlicher Überwachung erwecken könnte.

Ja, das. Ein umgefahrener Begrenzungspfahl wurde aufgeklärt.

In einem 2000-Wörter-Artikel. Die einzige Straftat, die mit massenhafter Fahrzeugüberwachung (und freiem Polizeizugriff darauf) aufgeklärt werden konnte.

Kann man sich nicht ausdenken.

Falls ihr das nächste Mal einen Trottel nach mehr Überwachung schreien hört.

Tombo hat mir schon wiederholt gemeldet, dass ihm manchmal das falsche Video angezeigt wird. Ich konnte das sporadisch auch selber beobachten (wenn auch sehr selten).

Kurz: Aktualisierung erzwingen

Wenn das passiert, drückt Shift+F5, um eine volle Aktualisierung der Seite zu erzwingen.

Alternativ: öffnet nicht mehr als ein Video auf einmal. Aktualisiert nach jedem Video (normale Aktualisierung reicht) um geöffnete Videos zu schließen.

Lang: Mal gucken, was ich tun kann

Videos werden hier als <iframe> eingebunden – also als selbstständige Unterseite. Damit garantiere ich, dass euer Browser nicht mit YouTube/Vimeo/sonstwas kommuniziert, so lange ihr nicht auf den Knopf zum Abspielen drückt. Technische Details hier.

Nun stehen Browser vor Debakeln, wenn mehr als ein iframe offen ist und ihr bspw. die Zurück-Taste drückt. Dann muss der Browser die Seite neu zeichnen und geöffnete iframes offen halten.

Und hier geschieht die Verwechslung: Browser nummerieren die iframes einfach durch und merken sich die Nummer. Aktualisiere ich in der Zwischenzeit die Seite mit einem neuen Video, ist ein neuer iframe hinzugekommen und alle existierenden rutschen eine Position hoch. Schlimmer: Die falsche Nummerierung ist nun im Browser-Cache und bleibt bestehen, wenn ihr (normal) aktualisiert.

Chrome hat mal IDs der iframes als Hilfe genommen, aber irgendwann 2018 ging das kaputt und wurde wieder rausgeschmissen. Selbst wenn ich mir also die Mühe mache, allen iframes eindeutige Namen zu geben, wird das unter Chrome nicht helfen.

Ich mache es trotzdem und hoffe, dass die Browser-Entwickler mal echte Fehler beheben statt alle paar Wochen Knöpfe zu verschieben und Kanten abzurunden.

Oder ich poste in Zukunft einfach weniger Videos 😁

Das Team von CollegeHumor und Vimeo in unbeschwerten Zeiten – als das Internet noch Internet war.