PHPGangsta - Der praktische PHP Blog

Gastartikel von Oliver Sperke.

Ich bin 35 Jahre alt und seit 11 Jahren selbständiger Webentwickler. Mein Fokus liegt dabei auf der Erstellung, Beratung und Optimierung in den Bereichen High Performance, Usability und Sicherheit in den gängisten Internetsprachen: PHP, HTML, Javascript und CSS.

Wie Ihr vielleicht schon mit bekommen habt, habe ich für AnonSphere einige Dinge entwickelt. Meine Hauptaufgabe dabei war es, die Nachteile der meisten VPNs so gut es geht zu minimieren, aber die Vorteile beizubehalten oder noch zu verbessern. Michael fragte, ob ich das Ganze gern vorstellen möchte. Ich sagte natürlich „Ja klar, aber nicht ganz ohne Mehrwert“. Deshalb nun ein paar VPN Grundlagen und danach 10 gute Gründe, warum der Schutz Eurer Privatsphäre keine abstrakte Idee bleiben sollte, sondern noch heute für Euch wichtig sein kann.

Was ist ein VPN und was passiert da?

Ein VPN (Virtuelles privates Netzwerk) ist ein abgeschlossenes Teilnetz innerhalb eines größeren IP Netzes, indem die Teilnehmer meist räumlich getrennt sind. Die Teilnehmer verbinden sich über ein VPN Protokoll (OpenVPN, L2TP, usw.) zum Hauptserver und erhalten eine eigene IP. Sofern die Verbindung verschlüsselt ist, können Computer ausserhalb des VPN die Daten weder lesen, noch verändern. Ein VPN ermöglicht also die Kommunikation mit ausgewählten Rechnern und gleichzeitig die sichere Trennung von anderen Netzwerken. Der Trick ist, dass die Kommunikation über eine simulierte Netzwerkkarte erfolgt, jedes Programm kann es nutzen ohne irgendwelche zusätzlichen Einstellungen. Einmal verbunden können Eure Daten standardmässig über diese Netzwerkkarte verschickt werden.

Kommerzielle VPN Anbieter bieten im Allgemeinen zwei Besonderheiten. Eine Kommunikation innerhalb des VPN sollte nicht möglich sein, so dass andere Teilnehmer nicht abgehört werden können und es gibt die Möglichkeit, Daten ins Internet zu senden und daraus zu empfangen. Der einzelne Teilnehmer im VPN bleibt anonym, denn er teilt sich den Zugang ins Netz mit anderen Teilnehmern und der Datenverkehr funktioniert nur über die nach aussen sichtbare IP des VPN Server. Der Datenverkehr wird durch die „Schwachstellen“ jedes Internetzugangs sicher getunnelt. Der Datenverkehr kann weder im lokalem Netz, noch beim Provider abgehört werden. Die Daten am Ausgang können den echten Nutzern nicht zugeordnet werden.

Das Schema zeigt den Weg einer Anfrage durch das AnonSphere VPN. Die orangene Linie ist der Weg, auf dem Ihr normalerweise surft. Die grüne Linie ist das VPN, das in den Datenstrom eingebettet wird. Durch eine starke Verschlüsselung ist es nicht möglich, diese Daten mit zu lesen. Eine direkte Kommunikation ins Internet mit der beim Provider registrierten IP ist ausgeschlossen. Ihr bewegt Euch also anonym hinter der IP des Netzwerkes.

Euer Rechner ist direkt mit dem Eingangsserver verbunden. Dieser übernimmt die Aufgaben, die normalerweise Euer Router übernimmt, wie z. B. das Auflösen von Domainnamen und die Zuteilung der IP Adressen. Der Ausgangsserver übernimmt die Kommunikation nach Aussen.

In den meisten VPN Netzwerken wird aus Kostengründen und der Einfachheit halber nur ein VPN Server genutzt, der gleichzeitig auch die Verbindung ins Netz stellt. Das bringt aber in meinen Augen einige Nachteile. Man könnte in den meisten Fällen feststellen, welcher Nutzer zu welchem Zeitpunkt eine bestimmte IP genutzt hat, denn man kann ja problemlos feststellen, zu welchem VPN Server er verbunden ist. Durch die Analyse der ein- und ausgehenden Daten könnte es sogar möglich sein, den Datenstrom eines Benutzers zu identifizieren, indem man bestimmte Muster überprüft. Ein Server wäre erst dann sicher, wenn er gut ausgelastet ist.

Das AnonSphere System arbeitet wesentlich aufwendiger, aber es bringt neben höherer Sicherheit auch mehr Komfort. Ein IP Wechsel ist mit einem Klick erledigt, dass Routing erfolgt über Serversysteme, die für Dauerbelastungen ausgelegt sind. Es ist also merklich schneller und durch aufwendige Proxysysteme konnte ich diese Geschwindigkeitsvorteile noch mal wesentlich steigern. Als wichtigsten Punkt macht es aber die Netzwerkauslastung planbar. Ich war schon Kunde bei mehreren VPN-Anbietern und hatte regelmässig mit stark schwankenden Geschwindigkeiten zu kämpfen. Trotzdem kam ich in den meisten Fällen nicht über 2 MBit hinaus. AnonSphere kann in dem Fall eingreifen und den Datenstrom so umleiten, so dass es keine Engpässe bei der Geschwindigkeit gibt.

Ich hoffe, ich konnte das Prinzip bis hier hin gut erklären, aber eine Frage bleibt noch: Warum brauche ich das?

1. Weil Euer Netzwerk unsicher ist!

Als ich meinen ersten eigenen Internetanschluss bekam, waren Router noch weitgehend unbekannt. Zum einen waren Computer noch zu teuer, um davon mehrere zu haben und zweitens war die Technik noch nicht so weit, leistungsstarke Geräte in so kleine Gehäuse zu packen. Es funktionierte also so, dass man „den Computer noch direkt in die Wand stecken musste“ und sich dann vom angeschlossenem Rechner aus einwählen.

Heute weiß jeder, was ein Router ist, da sie uns das tägliche Leben erleichtern. Wir sind ständig online, oftmals mit wechselnden Geräten wie Tablets, Telefonen oder Radios. Diese Geräte müssen nicht ständig am Netz sein, aber wenn man sie benutzt, hat man keine Lust, lange darauf zu warten. Router sind klein, verbrauchen wenig Strom und man bekommt jederzeit Zugang.

Gleichzeitig bergen sie aber auch Gefahren, über die sich die meisten gar nicht bewusst sind. Ein Router ist sowohl die Verbindung als auch die Trennung vom Internet. Die meisten Geräte sind so eingestellt, dass sie Euch vor Gefahren aus dem Netz auf der anderen Seite der Wand schützen. Aber was schützt Euch eigentlich in Euren vier Wänden. Die Antwort ist: Nichts! Computer sollen untereinander kommunizieren können. Sie sollen Daten tauschen können – dafür ist ein Netzwerk nun mal da.

Innerhalb Eures privaten Netzwerkes werden aber alle Daten unverschlüsselt zwischen den Geräten getauscht und auch ans Internet übertragen. Mit einfachen Mitteln kann auch jede Firewall umgangen werden. Das Problem ist nämlich nicht Euer Rechner, sondern das kurze Stück zwischen Euch und dem Internet.

Jetzt höre ich immer zwei Sachen:

1. Ich habe doch nichts zu verbergen!
2. Hier wohnt doch kein IT Profi!

Zum ersten Punkt kann ich nur sagen: Tut mir leid für Euch, dass Euer Leben so langweilig ist. Vor allem der Aufenthalt in sozialen Netzwerken birgt doch ständig die Gefahr, mit Dingen konfrontiert zu werden, die vielleicht zu Sprengstoff für eine Beziehung oder Freundschaft werden können. Damit meine ich nicht einmal nur den anzüglichen Facebookchat mit der bzw. dem Internetbekannten, sondern auch Dinge, für die man selbst nichts kann. Der zotige Witz, der durch den eigenen Stream läuft oder das freizügige Foto oder Video. Jeder hat das schon mal gesehen, aber muss deshalb auch jeder andere im eigenem Netzwerk darüber urteilen?

Und zum zweiten Punkt. Wir sind nicht mehr im Jahr 2000, wo MITM Attacken nur was für Netzwerkadmins mit Informatikstudium waren. Die Dinge sind seit Jahren dokumentiert und dank guter Programme und guter Anleitungen für Jedermann nach einer kurzen Googlesuche nutzbar.

Jeder, der das hier lesen kann, kann auch andere abhören – die meisten wissen das nur nicht!

2. Weil jedes Netzwerk unsicher ist!

In der heutigen Zeit ist es für uns quasi normal geworden, immer und überall online gehen zu können. Die bekanntesten Beispiele dürften wohl die Burgerbude mit dem Clown und der Kaffeeladen mit der Fischfrau sein. Öffentliches WLAN findet man aber auch mittlerweile in jedem zweiten Café. Für alle diese Bereich gilt aber genau das gleiche wie ich schon unter 1. erklärt habe. Sobald Ihr Euch mit anderen in einem Netzwerk bewegt, seid Ihr ein leichtes Ziel, weil alle Sicherheitsvorkehrungen ausgehebelt sind. Schlimmer noch. Ihr seid plötzlich von Leuten umgeben, die Ihr nicht kennt und denen die Folgen für Euch egal sind.

Es ist auch kein Zufall, dass immer wieder Facebookkonten und andere private Daten an öffentlichen Orten ausspioniert werden. Im besten Fall fallen nur ein paar private Nachrichten und Bilder in die falschen Hände, im schlimmsten Fall entsteht echter Schaden. Übrigens seid Ihr auch weniger anfällig, wenn es um Sicherheitslücken in anderen Programmen geht, wie in diesem aktuellem Beispiel.

Macht es anderen nicht so leicht!

3. Weil Ihr selbst wisst, was gut für Euch ist!

Wer viel unterwegs ist und öfters in Hotels übernachtet oder öffentliche Hotspots nutzt kennt einige Probleme, die über 1. und 2. hinaus gehen. Es sind plötzlich Internetseiten blockiert, die sonst keine Probleme machen. Dies ist ein völlig gängiges Mittel, um sich vor „Missbrauch“ zu schützen. Das kann Seiten betreffen, die vielleicht moralisch verwerflich, aber legal sind. Das kann aber auch bestimmte Dienste betreffen, auf die man beruflich angewiesen ist.

Sich aus einem Hotel zu einem OpenSSH Server zu verbinden kann schnell zur frustrierenden Aufgabe werden. Manchmal ist es auch gar nicht die „gut gemeinte Absicht“ des Hotels, sondern einfach nur der Tatsache geschuldet, dass in diesem Land einfach andere Gesetze gelten, die z. B. Internetzensur von australischen Zahnärzten gesetzlich vorschreibt.

Wenn Ihr Journalist oder Blogger seid, dann habt Ihr das Problem, Dinge recherchieren zu müssen, die Euch evtl. selbst an den Rand der Legalität bringen. Um über ein Thema investigativ zu berichten führt aber kein Weg daran vorbei, sich diese Dinge auch anzusehen, um eine Bewertung durchführen zu können. Oftmals sieht man sich dann mit Problemen konfrontiert, die einem im täglichen Leben gar nicht so bewusst sind.

Censorship is telling a man he can’t have a steak just because a baby can’t chew it.

Robert A. Heinlein (The Man Who Sold the Moon)

Im Land, dass angeblich wegen seiner Geschichte die Meinungsfreiheit hoch hält, werden jedes Jahr tausende Ergebnisse aus den Suchmaschinen heraus gefiltert. Mehr noch: Deutschland zensiert aus Google und Youtube wesentlich mehr Inhalte als alle anderen Länder ausser den USA zusammen.

Zum Teil, weil sie (ausschliesslich) in Deutschland illegal sind, oftmals aber auch nur, weil sie gegen das Jugendschutzrecht verstoßen. Auch Youtube wird stark von unseren Sicherheitsbehörden und Richtern zensiert. Und das betrifft bei weitem nicht nur „Schmuddelvideos“. Mir ist von einem Fall bekannt, wo ein Ausschnitt einer öffentlich-rechtliche Satiresendung von Youtube verbannt wurde, weil sich den Ermittlern wohl der Witz nicht erschlossen hat.

In einem demokratischen Land sollte der Bürger entscheiden, welche legalen Inhalte für ihn geeignet sind und nicht der Staat!

4. Weil Sicherheit kein Standard ist!

Der nächste Punkt trifft uns als Entwickler besonders häufig. Wir sind auf die Vorarbeiten von Anderen angewiesen. Diese sind oftmals, und das sage ich aus eigener Erfahrung, nicht so gesichert, wie man es eigentlich erwarten kann. Das ist aber auch nicht weiter verwunderlich, denn wenn die Expertise da wäre, würde man uns ja nicht holen.

Immer wieder bekomme ich Zugangsdaten für FTP Server und Telnet. Beides funktioniert natürlich, aber aus Sicherheitsbedenken sollte beides sofort verboten werden. Trotzdem sollen wir ans Ziel kommen und dabei auch noch die Sicherheit gewährleisten. Ein VPN kann das, denn es verlagert den Endpunkt der unverschlüsselten Verbindung in einen Bereich, in dem die Daten besonders geschützt sind. Eine Überwachung oder Ausspähung gestaltet sich ungleich schwieriger.

„Nicht-Entwickler“ sind aber ebenfalls betroffen. Durch Dienste, die Ihre Daten unverschlüsselt mit webdav übertragen., Freemailer, die kein TLS anbieten oder nur über einfaches Imap oder Pop3 abgefragt werden können. Das gibt es leider viel häufiger als manche denken.

Bei jeder unverschlüsselten Übertragung sind Eure und fremde Daten in Gefahr!

5. Weil ein Suchbegriff nichts über Eure Absichten aussagt!

Wer hat nicht schon vorm TV gesessen und einfach mal nach gesucht, was da erzählt wurde? Die Bombenanleitungen, die ja an jeder Ecke zu finden sind? Die Krankheit, die in der Fernsehserie thematisiert wurde. Der Swingerclub, der nur ein paar Straßen weiter ist? Aber was sagt das über Euch aus oder noch besser, was sagt das über Euch aus, wenn jemand anderes die Hintergründe nicht kennt?

Seid Ihr interessierte Menschen oder „perverse Geistesgestörte“? Wenn Ihr ein Googlekonto habt, schaut doch mal ganz nüchtern Euer Webprotokoll durch und schaut, was es über Euch aussagen könnte. Ihr werdet vielleicht überrascht sein.

Euer Provider und damit auch jede Sicherheitsbehörde könnnen diese Daten durch Abhören erlangen, auch wenn Ihr andere Suchmaschinen nutzt oder das Suchprotokoll deaktiviert habt und werden diese Daten im Zweifel immer gegen Euch verwenden!

6. Weil andere ihre Probleme auf Euch abwälzen!

Ein anderes Problem mit Youtube, aber auch mit anderen Videoportalen ist, dass dort mit der Begründung des Urheberrechtes oder der ungeklärten Verwertersituation tausende Videos für den deutschen Markt gesperrt sind. Jeder von uns kennt diese Meldung. Das Internet sollte Euch die Möglichkeit bieten, auf Inhalte weltweit zu zugreifen und Euch aus öffentlichen Quellen frei zu informieren. Aber dieses Recht endet ausgerechnet da, wo amerikanische TV Sender glauben, dass man es nicht sehen darf, weil man es dann in Deutschland nicht mehr teuer verkaufen könnte. Beides ist natürlich Unsinn und wurde in vielen Studien widerlegt.

Wen es nicht abschreckt, Filme und Serien im Original zu schauen, kann mit einem VPN mit Ausgangspunkt in den USA viel Spaß haben. Nicht nur, dass 99,9% aller gesperrten Youtubevideos freigeschaltet sind, sondern man kann auch viele der dort vertretenen Flatrateanbieter nutzen wie Netflix, die für knapp über 6 Euro im Monat unbegrenzte Auswahl aus tausenden Filmen anbieten. Tipp: Im Herbst fängt die Seriensaison auf Hulu und Fox wieder an! All das gibt es ja, allerdings kann man es in Deutschland nicht nutzen. Die Nutzung gilt unter den meisten Juristen als nicht illegal.

Warum sollen also deren Probleme plötzlich Eure Probleme sein?

7. Weil das Internet gefährlich ist!

Machen wir uns nichts vor, das Internet ist ein gefährlicher Ort. Damit meine ich jetzt nicht einmal die angebliche Radikalisierung durch irgendwelche Hassprediger sorry … da, sondern viel mehr die Tatsache, dass man Inhalte erst dann bewerten kann, nachdem man sie schon heruntergeladen und sich damit evtl. unwissentlich strafbar gemacht hat. Das liegt aber leider in der Natur der Sache. Ohne vollständige Daten kann Euer Computer nichts mit der Datei anfangen.

Vor allem Filesharing ist sehr gefährlich geworden. Auf der einen Seite treiben sich dort sehr viele Menschen herum, die Dateien aus welchen Gründen auch immer unter falschem Namen einstellen. Auf der anderen Seite sind es auch die bestüberwachte Dienste im ganzen Netz. Hier kann man nämlich im Zweifel die vermeintlich illegalen Dateien finden.

Es gibt dutzende Unternehmen, die Ihr Geld damit verdienen, Eure Kommunikation zu protokollieren und diese Information an die nächste Abmahnkanzlei zu verkaufen. Selbstverständlich ist hier auch viel Polizei unterwegs. Der Download von debian-squeeze.iso kann schnell zu einer Hausdurchsuchung führen, wenn in Wahrheit Lolita-14yr.avi hinter der Datei steckt. Das eigentliche Problem ist, man weiß es vorher nicht.

Für die Strafverfolgung mit allen negativen Folgen spielt es im Zweife keine Rolle, ob Ihr gesetzestreue Bürger seid!

8. Weil es heute so einfach ist, wie nie!

Vor wenigen Jahren waren auch VPN Anbieter eher umständlich zu bedienen. Die Software war oftmals schlecht oder nicht vorhanden. Die meisten Anbieter lieferten nur den reinen Zugang plus einer mehr oder weniger hilfreichen Anleitung. Wenn aber kluge Menschen lange an etwas arbeiten, kommt oftmals etwas raus, von dem auch der Normaluser profitieren kann. Die Anwendungen sind heute wesentlich einfacher und sicherer zu bedienen als noch vor wenigen Jahren. Heute sind komplette Programmpakete der Normalfall, in die Ihr nur noch Eure Zugangsdaten eintragt.

Das kann wirklich jeder … ja auch mein Kater!

9. Weil der Staat sich oft nicht an die Regeln hält!

Wir leben leider in einer Zeit, in der unsere Sicherheitsbehörden die geltenden Gesetze und vor allem die Verfassung eher als eine Art unverbindliche Hinweise statt als echte Regeln sehen. Das fängt schon damit an, dass höchstrichterlich Verbote ausgesprochen werden und die Polizei oder Politik antwortet „Ja, aber wir brauchen das, weil wir sonst alle im Terror untergehen!!!111″.

Beispiele dafür gibt es viele wie z. B. die massenhafte Erfassung von Mobiltelefonen oder der Einsatz des Staatstrojaners. Hier werden jeden Tag Gesetze gebrochen, aber man steht dem völlig machtlos gegenüber. Wer wirklich glaubt, dass die Polizei immer ein Freund und Helfer ist, muss entweder sehr blauäugig sein oder in den letzten 20 Jahren keine Nachrichten gelesen haben. Der Polizei mache ich dabei übrigens weniger einen Vorwurf. Es ist die Politik, die hier gefordert ist, nicht nur immer mehr und immer umfassendere Rechte zu fordern, sondern sich erstmal für die Einhaltung der bestehenden Regeln einzusetzen.

In einem Land, wo Politiker die Antikorruptions Richtlinien der UN nicht anerkennt, weil ein Abgeordneter keine Vorteile mehr annehmen darf, muss man sich nicht wundern, dass auch die Ermittlungsbehörden die bestehende Gesetze mit Füßen treten.

Jeder, der beruflich mit sensiblen Daten zu tun hat, wie Ärzte, Rechtsanwälte, Abgeordnete, Beratungsstellen handeln in meinen Augen grob fahrlässig, wenn sie es zulassen, dass ihre Kommunikation nicht ausreichend geschützt ist. Auf ihre besondere rechtliche Stellung können und dürfen sie sich nämlich nicht verlassen.

Wenn die das für Euch nicht übernehmen, macht es selbst!

10. Weil ihr das verdammte Recht habt!

Wenn man die Medien und vor allem die Aussagen mancher Politiker verfolgt, bekommt man schnell das Gefühl, dass man sich entschuldigen müsste, sobald man auf Sicherheit und Privatsphäre wert legt. Man ist ja irgendwie verdächtig. Eigentlich müsste es aber höchst verdächtig sein, wenn man das nicht tut. Hier geht es nämlich um wesentlich mehr als nur mehr Sicherheit oder Eure kleinen oder großen Geheimnisse. Es geht um Eure Grundrechte!

Man konnte das eine ganze Zeit lang gut beobachten. Zunächst wurde die Ausnahme der Post-Privacy Vertreter als Standardfall angenommen. Wir haben ja alle nichts zu verbergen. Kurz danach kamen dann die Politiker aus Ihren Löchern gekrochen und forderten die Abschaffung der Anonymität im Internet, um endlich mal diesen bösen Meinungsäusserungen zu bekämpfen. Und jeder, der das nicht wollte, war sofort ein Pöbler und ein Verbrecher.

Euch steht das Recht zu, einen geschützten Bereich zu haben, indem niemand rum pfuschen darf. Es ist im Grundrecht verankert und von Verfassungsrichtern vielfach bestätigt. Mehr noch, es ist ein Menschenrecht. Niemand darf es Euch zum Nachteil machen, wenn Ihr Euren Rechner oder Eure Kommunikation verschlüsselt. Niemand darf es gegen Euch verwenden, wenn Ihr Eure echte IP nicht zu erkennen gebt und niemand sollte ein Problem damit haben, wenn nicht jeder alles von Euch wissen muss.

Die eigenen Rechte zu kennen und wahr zu nehmen, muss endlich wieder gesellschaftsfähig sein!

Das Gewinnspiel

Wie im Titel schon angekündigt, darf ich noch ein Gewinnspiel verkünden. Hier und heute verlost AnonSphere 5 Zugänge mit 2 MBit für 12 Monate im Gesamtwert von knapp 450 Euro. Um teilzunehmen, müsst Ihr nichts weiter tun als hier einen Kommentar zu schreiben. Michael wird dann den Gewinner mit seinem bewährtem System ermitteln und schickt Euch die Zugangsdaten. Die Gewinner werden am 27.09.2012 bekannt gegeben – zusammen mit dem zweiten Artikel zu diesem Thema, wo ich etwas aus dem Maschinenraum von AnonSphere plaudern möchte und was die größten Probleme und Herausforderungen waren. Teilnahmeschluss ist also der 26.09.2012 23:59:59. Wenn Ihr Euch über diesen Link anmeldet und nicht warten wollt, bekommt Ihr derzeit noch 25 % Rabatt auf alle Tarife.

Noch mal im Detail, was es zu gewinnen gibt

12 Monate AnonSphere „VPN Surf“ mit einer Verbindungsgeschwindigkeit von 2048 kbit down und 368 kbit up. Der Zugang erfolgt per OpenVPN, L2TP oder SSH Proxy. Experimentell kann ich auch noch ein Chrome Plugin zur Verfügung stellen. Die Verbindung kann über jede gängige Software (OpenVPN, L2TP, SSH) oder über die Zugangssoftware (OpenVPN, SSH Socks5 Tunnel) hergestellt werden. Der Zugang ist mit allen gängigen Betriebssysteme und Mobiltelefonen möglich. Ihr geht keine Verpflichtungen oder Verträge ein und Ihr könnt die Zugänge auch weiter verschenken. Mit der ersten Anmeldung beginnen die 12 Monate und enden automatisch.

Der Gesamtwert ist ca. 450 Euro und nun viel Glück!