“Streusand” gegen X-Pire! ?

Plagiieren die an der Uni jetzt immer öfter oder was?

Ein Leser schickt mir gerade einen Link (Danke!), da haut’s mich wieder vom Stuhl.

Auf Golem wird berichtet, daß Forscher der Uni Regensburg unter Professor Hannes Federrath jetzt zeigen wollen, daß X-Pire! nicht nur nutzlos, sondern sogar schädlich ist.

Schon die Schema-Graphik dort erinnert mich verblüffend an meinen eigenen Blog-Artikel zu X-Pire! vom Anfang Januar. Irgendwie kommt mir das alles so ziemlich genau wie das vor, was ich damals beschrieben habe, nur daß es statt „Piratenserver” nun „Streusandserver” heißt. Golem verweist dazu auf die PDF-Ankündigung, die nun wieder auf die Webseite des Projekts verweist.

Dabei verweist die Gruppe Regensburg am Rand darauf, daß die scip AG schon einen ersten Angriff vorgestellt hätte, ohne näher darauf einzugehen. Sie müssen das aber gelesen haben, sonst würden sie nicht auf deren Webseite verlinken. Und scip schreibt auf deren Webseite explizit, daß sie einen der von mir angesprochenen Kritikpunkte implementiert haben. Also mußten die Regensburger meinen Blogartikel kennen. Die Erklärung der Regensburger deckt sich auch frappierend mit meinem Blog-Artikel:

Ruft ein Nutzer des Streusand-Plugins eine Webseite mit einem durch X-pire! geschützten Bild auf (Schritt 1), wird dieses, wie auch im Fall des Original-Plugins, aus dem Dokumentbaum des Browsers geladen (Schritt 2). Die wesentliche Erweiterung zeigt sich in Schritt 3: Anstatt mit dem X-pire!-Schlüsselserver Kontakt aufzunehmen, wird die Anfrage nach dem Schlüssel zunächst an den “Streusand-Server” geschickt. Kennt dieser den angeforderten Schlüssel, gibt er ihn direkt und unabhängig vom Verfallsdatum an das Streusand-Plugin weiter, wo der Schlüssel zur Entschlüsselung des scheinbar geschützten Bildes verwendet wird (Schritt 6). Kennt der Streusand-Server den passenden Schlüssel hingegen nicht und ist das Verfallsdatum des Bildes noch nicht überschritten, bezieht das Streusand-Plug-in den Schlüssel über den X-pire!-Schlüsselserver (Schritt 4), entschlüsselt das Bild und lädt es zusammen mit dem Schlüssel auf den Streusand-Server (Schritt 5) hoch. Ab diesem Zeitpunkt ist das Bild in der öffentlich einsehbaren Streusand-Galerie frei verfügbar und der Schlüssel kann anderen Nutzern ohne jegliche zeitliche Restriktionen zur Verfügung gestellt werden.

Einziger Unterschied ist, daß ich vorgeschlagen habe, nur den Schlüssel hochzuladen um zu zeigen, daß das System durch den törichten Einsatz von Kryptographie sogar noch geschwächt wird, weil der Angreifer nur den kurzen Schlüssel und nicht das ganze Bild speichern muß, also schon ein normal dimensionierter PC für sowas reicht.

Und sogar die Argumentation, daß nicht nur böswillige Angreifer, sondern auch ehrliche Nutzer wegen der Bequemlichkeit auf das Plugin zurückgreifen werden, kommt bei den Regensburgern vor:

Da beim Einsatz des Streusand-Plugins im Vergleich zu X-pire! die von vielen Nutzern als störend empfundenen CAPTCHAs viel seltener angezeigt werden – nämlich nur beim allerersten Betrachten durch irgendeinen Nutzer – entsteht zudem ein Anreiz zur Nutzung von Streusand anstelle des X-pire!-Plugins. Der “Nutzwert” von Streusand steigt also direkt proportional mit seiner Verbreitung.

Und dann hat dieser Professor Hannes Federrath dazu noch die Vortragsfolien von einer Sitzung der Datenschutzbeauftragten des Bundes und der Länder auf der Webseite.

Eine Quellenangabe auf mein Blog findet sich dort aber nirgends.