White-IT – Blöd-IT ?

Schon wieder eine neue Variante der Kinderpornographie-Filterung.

Ich dachte eigentlich, daß man vom Scheitern der Kinderpornosperre das ein oder andere (sicherheits-)technische Problem gelernt haben könnte. Die ZEIT berichtet heute darüber, daß jetzt der nächste Politiker damit um die Ecke kommt.

Hinter White-IT steckt das Niedersächsische Ministerium für Inneres und Sport. (Niedersachsen? War nicht Ursula von der Leyen aus Niedersachsen? Steckt die am Ende wieder dahinter? Und überhaupt Niedersachsen: Böse Zungen böser Zyniker könnten ja nun fast den Verdacht äußern, daß solche Filtermethoden, wie sie hier nun vorgeschlagen werden, am Ende gar dazu genutzt werden könnten, unerwünschte Vergangenheitsfotos der Ehefrauen gewisser Politiker aus dem Verkehr zu ziehen…)

Zwei Aspekte sind mir daran schon a priori suspekt: Wenn die Exekutive anfängt Vereine zu gründen, habe ich immer den Verdacht, daß es darum geht, irgendwelches Recht zu umgehen. Und wenn jemand mit einem Logo daherkommt, das eine Anmutung hat, als stünde es für einen evangelischen Kirchentag, wird’s mir auch komisch. Dann geht bei mir die Warnlampe an, daß mir da jemand auf der emotionalen Schiene kommt und daher Schwächen auf der rationalen hat.

Was haben die vor? Schaut man auf deren Webseite in die „Problemanalyse”, dann findet man (nur) das:

„Das Internet hat sich in den letzten Jahren als weltweit nutzbringendes Kommunikationsnetzwerk für Millionen von Menschen bewährt. Mit keinem anderen Medium der Welt lassen sich große Distanzen, kulturelle Unterschiede und nationalstaatliche Grenzen schneller überwinden. Das „Netz der Netze“ als grundsätzlich wertneutrale Technologie ist allerdings auch ein Medium, welches sich Pädokriminelle zu Nutze machen, um kinderpornographische Inhalte feilzubieten, zu tauschen oder gewinnbringend zu veräußern. Die verteilte und überstaatliche Struktur des Internets behindert die effektive Strafverfolgung und begünstigt die Aktivitäten der Pädokriminellen. Der Vorstoß der Bundesregierung zur Sperrung hat gezeigt, dass „Alleingänge“ oft nur punktuell wirken und insbesondere rein technische Maßnahmen bestenfalls am Rande zur Problemlösung beitragen.”

Und das nennen die „Problemanalyse”? Sie wollen ein Problem lösen, das sie selbst nicht greifbar artikulieren können?

Kann man aus diesem Absatz irgendetwas konkretes herauslesen, worum es eigentlich geht? Eigentlich liest sich das ja nur wie das Gekeife seniler Leute, Internet sei alles Mist. Es liest sich wie die Aussage jemandes, der Internet nur vom Hörensagen kennt. Nebulöses Blabla wie „das Netz der Netze”. Heidernei, ist das schlimm. Ein Satz darin stößt mir aber sauer auf: „Die verteilte und überstaatliche Struktur des Internets behindert die effektive Strafverfolgung und begünstigt die Aktivitäten der Pädokriminellen.” Oha. Da stört sich jemand daran, daß das Internet verteilt und überstaatlich ist. Will da etwa jemand zurück zum zentralisierten innerstaatlichen Datennetz wie seinerzeit BTX? Steckt das dahinter?

Ein paar Details dazu findet man immerhin im Artikel der ZEIT: Sie wollen böse Bilder anhand ihrer Hashsummen identifizieren. Mit einer Liste dieser Hashsummen böser Bilder sollen dann Anbieter in der Lage sein, Kinderpornographie auszufiltern.

Der Kontext deutet an, daß es sich dabei wohl um die einschlägigen kryptographischen Hash-Summen handeln dürfte, tatsächlich verbirgt sich das aber hinter dem Produkt „Perkeo++”, an dem wohl irgendwie ein LKA und angeblich in Kooperation das BKA beteiligt sind. Das Manual ist schon ein Lacher:

PERKEO++ ist der Datenscanner zum Aufspüren von Kinderpornographie und Tierpornographie in Datenbeständen jeglicher Art.

Dabei ist es vollkommen gleichgültig, ob es sich bei den zu durchsuchenden Datenträgern um lokale Laufwerke, Netzwerklaufwerke, Proxy-Server, News-Server oder Webspace handelt. PERKEO++ findet illegale Pornographie schnell und zuverlässig. […]

Leistungsmerkmale:

* Extrem hohe Performance. Suchgeschwindigkeiten von mehr als 100 MB/s […]
* Suche in komprimierten Archiven (ZIP, ARJ)
* Suche in News, Webspace, E-Mail, Proxy-Cache
[…]

Installation:

PERKEO++ ist klein und leistungsfähig. Es besteht im wesentlichen aus zwei Dateien: PERKEO bzw. PERKEO.EXE ist das ausführbare Programm. PERKEO.LIB ist die zugehörige Suchlibrary.

Wer so’n Mist schreibt zeigt eigentlich schon, daß er nicht weiß, wovon er redet und Snake Oil verkauft.

Eine Suchgeschwindigkeit von 100 MB/s ohne jegliche Angabe zur verwendeten Hardware oder den verwendeten Daten. Das ist unseriösestes Marketinggeschwätz. Soviel gibt manche Festplatte an Lesegeschwindigkeit nicht her. Und vermutlich dürfte es die CPU zu 100% und schlimmer noch eine Menge Hauptspeicher auslasten, was so manchem Webserver ordentliche Probleme bereiten kann. Wenn mir im professionellen Bereich jemand mit solchen Versprechungen daherkäme, flöge der in der ersten Sichtungsrunde schon raus.

Und die Filterung von E-Mail ist schlichtweg verboten und kriminell. Das ist eigentlich schon Anstiftung zu bzw. Beteiligung an Straftaten.

Und wie genau das mit den Hash-Summen funktionieren soll, sagen sie auch nirgends.

Ich habe da aber so meine Zweifel. Anhand der äußerst spärlichen Informationen klingt das wie einer dieser typischen und immer wieder auftauchenden Lösungsversuche aus der Laiensphäre mit Halbwissen. Der klassische Entwurfsfehler: Man entwirft eine Methode die sich allein am Status Quo orientiert und überhaupt nicht betrachtet, ob sie trivial zu umgehen wäre, wie der Angreifer sie aushebeln könnte. Einerseits unterstellt man den Kinderpornograpieanbieter hohe Kriminalität und vermutet einen Milliardenmarkt, andererseits tut man so, als ließen die sich schon mit primitiven Filtermethoden aus dem Markt drängen, obwohl sie sie leicht umgehen könnten. Darin sehe ich eine der größten Unlogiken, einen der größten Denkfehler in der ganzen Kinderpornofilterei: Daß man die Täter einerseits für so mächtig, organisiert, kriminell und an einem Milliardengeschäft interessiert ausgibt, um die Notwendigkeit von Filtermaßnahmen zu motivieren, sie andererseits aber als so dämlich und motivationslos ausgibt, daß sie sich schon von Filtermethoden einschüchtern ließen, die jedes aufgewecktere Kind umgehen kann. Als ob sich die Mafia vom Drogenhandel abhalten ließe indem man verbietet, Beutel mit weißem Pulver zu transportieren. Irgendwie habe ich da immer den Eindruck, die halten nicht nur die Kriminellen für blöde, sondern auch den Bürger, dem sie das unterschieben wollen.

Die Hashsummen-Methode kann nicht funktionieren (mal unterstellt, sie verwenden kryptographische Hashsummen und haben nicht irgendwas zum Bildinhalt erfunden, was aber aufgrund der von ihnen zugesicherten 100%igen Genauigkeit nicht möglich ist):

Schon rein vom sicherheitstechnisch-methodischen Ansatz her beißt es einen geradezu in die Nase, daß das nicht funktionieren kann, denn zu den größten Fehlern, die man konstruktiv machen kann, gehört, sicherheitstechnische oder kryptographische Primitive (und zu denen gehören die Hash-Funktionen) für etwas zu verwenden oder eine Eigenschaft zu nutzen, für die sie nicht ganz explizit und erklärtermaßen konstruiert und entwickelt wurden. Und dazu gehört eben nicht aus der Vielzahl aller möglicher Nachrichten eine bestimmte Nachricht in allen möglichen Darstellungsformen oder semantisch gleichwertige aber anders dargestellte Nachrichten herauszufiltern. Hash-Summen sind dazu da, um eine Bit-(Zeichen-)Folge mit gewissen Eigenschaften eindeutig zu bezeichnen, so daß es schwer ist, zwei Nachrichten mit der gleichen Hash-Summe oder zu einer Hash-Summe eine passende Nachricht zu finden. Aus einer Nachrichtenquelle eine ganze Klasse von semantisch äquivalenten aber unterschiedlich dargestellten Nachrichten herauszufiltern ist schlichtweg keine funktionelle Eigenschaft von Hash-Summen. So wie man auf einer Kuh nicht fliegen kann weil Fliegen nicht zu den funktionellen Eigenschaften von Kühen zählt.

Und wenn man das Problem daran sieht, sieht man auch unzählige Probleme und Umgehungsmethoden dabei:

• Das Programm beruht laut seiner Beschreibung darauf, daß es Datei für Datei untersucht. Also eigentlich auf einem technischen Stand von vor mindestens 10 Jahren beruht. Denn das, worauf es abzielt, nämlich Webseiten, Foren usw., beruht bei größeren Anwendungen schon lange nicht mehr auf einzelnen Dateien, sondern auf Datenbanken. Und in denen etwas zu finden, kann ziemlich nicht-trivial sein. Ich weiß von einer IT-Abteilung, die komplett daran gescheitert ist, die Datenbankstrukturen von Microsoft’s Sharepoint verstehen zu wollen und aus einem Sharepoint, in dem irgendwas schiefgelaufen ist und das nicht mehr funktionierte, per SQL irgendwelche Informationen herauszuholen.
• Wenn jemand 100 Bilder überträgt, überträgt er die einzeln? Nein. Er packt sie in ein ZIP-Archiv. Oder macht einen Powerpoint-Vortrag draus. Oder ein PDF. Das heißt, es genügt nicht, nur die Hash-Summen ganzer Dateien zu untersuchen, man muß auch deren Struktur analysieren und rekursiv absteigen. Sie behaupten, das zu tun.

  Das braucht aber nicht nur höllisch viel Rechenzeit und Speicherplatz, sondern setzt auch enorme Software und die Kenntnis all dieser Strukturen voraus. Und funktioniert trotzdem nicht. Denn die meisten dieser Dateiformate unterstützen eine (wenn auch schwache) Verschlüsselung mit Passwort. Selbst wenn es sich um ein Trivialpasswort handelt, das direkt nebendran dabei steht, genügt das schon, um eine automatische Untersuchung auszuhebeln.

  Davon abgesehen ist das immer ein beliebtes Angriffsziel, mit solchen Archiven kann man herrlichen Blödsinn bauen. Tief verschachtelten Kram zum Beispiel. Oder ein Terabyte Nullen wird mit Run-Length-Coding wunderbar klein und bereitet viel Freude beim Auspacken. Macht mal

  dd if=/dev/zero count=1000 bs=1M | bzip2 > /tmp/datei
  

  Und schon habt ihr in nur 753 Byte Datei in ganzes Gigabyte Nullen eingepackt und da geht noch viel mehr. Mit solchen Fingertricks bringt man die meisten Virenscanner, die das rekursiv auspacken wollen, zur Verzweiflung.

  Davon abgesehen ist es ja im Normalfall schon nicht ganz einfach, jedes Archiv-Format zu dekodieren. Ich bekomme manchmal Krämpfe wenn ich im beruflichen Einsatz sehe, wieviele verschiedene Archivformate es gibt, die man mitunter einfach nicht lesen kann. Und dazu kommt, daß deshalb unglaublich oft Daten in irgendeinem völlig proprietären und unbekannten Format gleich mit der Dekodierungssoftware als .exe zusammengebunden werden (was ich ganz schrecklich finde, aber so ist es nun mal). Wie will man sowas untersuchen?

• Nahezu jedes Bildformat, insbesondere JPEG, hat genug Platz für beliebige Informationen außerhalb der eigentlichen Bildinformationen. In JPEG-Dateien kann man beliebige Datensegmente zusätzlich unterbringen, außerdem EXIF, IPTC, XMP und eigentlich was man will. Jedes geänderte Bit verändert die gesamte Hashsumme, macht den Filter unwirksam. Man kann also die Hash-Summe eines JPEG-Bildes beliebig oft und auf triviale Weise ändern ohne das Bild selbst zu ändern. In dem Moment, in dem solche Hash-Filter aktiv würden, gäbe es sofort Programme, Browser-Plugins usw. die automatisch an einem JPEG irgendwelche dieser Nebeninformationen verändern, etwa einfach eine Zufallszahl einfügen, um die gesamte Hash-Summe zu verändern. Anbieter von Kinderpornographie wüßten sofort, wie sie das machen müssen, um die Hashsummen ihrer gesammten Archive zu verändern.
• Auch die Bildinformation selbst kann verändert werden. Hashsummen arbeiten auf Bit-Ebene und nicht auf dem optischen Erscheinungsbild einer Datei. JPEG ist ja bereits selbst schon verlustbehaftet, geht also schon selbst davon aus, daß es zu jedem Bild eine ganze Klasse von Bildern gibt, sich sich zwar bitmäßig unterscheiden, aber für das Auge das „gleiche Bild” liefern. Da kann man beliebig viel ändern. Man muß nur irgendwo ein Pixel von Schwarz 0,0,0 auf 0,0,1 ändern und schon stimmt die Hash-Summe nicht mehr, obwohl man keinen Unterschied sieht. Oder einfach mal JPEG-de- und wieder neucodieren, schon kommt eine völlig andere Datei heraus, obwohl das Bild gleich aussieht.

Der Ansatz mit den Hash-Summen ist technisch gesehen einfach untauglich. Das kann nicht funktionieren. Und das scheinen sie sogar selbst zu wissen, denn sie betonen an mehreren Stellen, daß nur ein einziger Treffer ausreicht, um sich die Sache näher anzuschauen. Also mehr so ein Stochern im Nebel auf gut Glück.

Was die übrigens auch nicht betrachten ist der Aufwand. Schmeißt mal Euren Rechner an und laßt ihn mal die Prüfsummen aller Dateien in Eurem Home-Directory ausrechnen. Na? Das kostet. Rechenzeit, Speicher und Strom – und damit Geld. Man muß nicht nur mehr (schnellere) Hardware vorhalten, man vergeudet auch Energie. Würde mich nicht wundern, wenn da irgendwer um die Ecke käme und hochrechnet, daß die Überprüfung aller in Deutschland im Netz herumfliegenden Bild-Dateien die Leistung von drei Atomkraftwerken verbraucht, die man doch ansonsten einfach dicht machen oder anderweitig einsetzen könnte. Wollten wir nicht unseren CO2-Ausstoß verringern? Ich habe dieses Jahr einiges an Geld ausgegeben um meine Wohnungsbeleuchtung weitgehend auf stromsparende LED umzustellen und habe alte, dicke, laute Computer durch kleine, leise, stromsparende ersetzt oder ergänzt, um meinen Stromverbrauch zu reduzieren. Ein Kumpel von mir hat sich das Dach mit Solarzellen vollgepflastert und arbeitet daran, seinen Stromverbrauch auf die Größenordnung dessen zu reduzieren, was das Dach im Durchschnitt so liefert. Und dann kommen die Polit-Spinner aus Niedersachsen und schlagen vor, im großen Maßstab einfach mal richtig Strom zu vergeuden, indem wir von allen Daten, die im Internet herumfleuchen, die Prüfsummen errechnen, auch wenn das nichts bringt und in 99,99% ergebnislos verläuft. Gut, hat den Vorteil, daß die Leute in den Rechenzentren im Winter nicht so frieren, weil’s da dann schön mollig warm ist.

Letztlich bleibt bei mir der Eindruck, daß es da gar nicht um Kinderpornographie, sondern um Geschäftemacherei geht. Da wird mit viel Tam-Tam eine kommerzielle Software beworben.

Angeblich wurde dabei ja auf dem CCC-Congress gerade ein Vortrag drüber gehalten (seit wann gibt sich der CCC als Werbeplattform für kommerzielle Software her?), aber der Webserver zur Veranstaltung scheint offline zu sein, ich weiß also noch nicht, was da gesagt wurde.