...der kann jetzt einen Stein in seine Nachricht wickeln und damit bei der taz ein Fenster einschmeissen. Sicherer als deren selbstgestrickte "Sicherheitslösung" ist das auf jeden Fall und die eingeschmissenen Fenster sind total praktisch: die muss man weder putzen noch öffnen. Ein Kassiber, jedenfalls ist, wenn man mich fragt, immer noch eine sinnvollere und technisch elegantere Lösung, als das, was da unter informant.taz.de firmiert.
Einfach einen PGP-Schlüssel zu erstellen und den öffentlich zu machen, wäre ja auch zu einfach und zu professionell gewesen. Kann man natürlich auch nicht nebenher anbieten, das würde ja mindestens fünf Minuten dauern. Und der Fingerprint eines SSL-Keys ist ja schliesslich eine total viel bessere Authentifizierungsmethode, als ein von vertrauenswürdigen Dritten nachprüfbar signierter PGP-Key. Wer nämlich das böse schwierige GPG nicht begreift, ist sicherlich in der Lage, anonym mit einem SSL-Server Händchen zu schütteln, den Fingerprint zu extrahieren und die Certificate Chain zu verifizieren. So einfach ist das und doch kommt da keiner ausser der taz drauf.
Worauf die taz aber nicht kommt, ist die sattsam diskutierte und für wahrschleinlich befundene Möglichkeit dass man SSL derzeit nicht für derart kritische Transfers trauen kann, weil von CAs (Zertifikataussteller) über Zufallszahlengeneratoren bis zur Software selbst (Heartbleed, remember?) alles mögliche von Geh-Heim-Diensten sabotiert oder kompromittiert wurde. Zu unserer Sicherheit. Noch schlimmer aber ist meiner Meinung nach dran, wer auch die restlichen Tips der taz berücksichtigt und TOR benutzt, um die bekannte Adresse zu besuchen und dort Daten abzuwerfen: eine bekannte URI (http://informant.taz.de) , die darauf wartet, dass jemand dort geheime Dokumente per TOR ablegt, dürfte auf die "Dienste" ungefähr so wirken, wie ein Haufen Scheisse auf die Schmeissfliegen. Besagte Institutionen und deren ausländische Pendants werden jedenfalls grosse Mühe darin investieren, ihre Finger, Saugrüssel und Ermittlungsrichter an die Exit Node, die im tatsächlichen Fall zur taz connected, zu bekommen und ggfs auch gleich die entsprechende Man-In-The-Middle-Attacke zur Hand zu haben, um die tolle SSL-Verschlüsselung zu knacken. Dass die Männer mit den Löchern in der Zeitung derartige Attacken bereits ausgeführt und auch mehrere Zertifikatsaussteller kompromittiert haben (sofern die nicht ohnehin freiwillig mitspielen), ist allgemein bekannt. Zeit genug, an den Keys oder der SSL-Implementation der taz herumzumurksen, hätten sie ebenfalls.
Genau aus diesen Gründen hat Snowden übrigens PGP benutzt, als er Kontakt mit Greenbaum und Poitras aufnahm.
Alles in allem ist das zwar keine komplette Bankrotterklärung, wie etwa die Crypto-Policy der Süddeutschen Zeitung -auf die ich nicht mal verlinken will, weil mir die Zeit, danach zu googlen zu schade ist- aber eigentlich sollte es sich wenigstens bis zur taz (beim Rest der deutschen Zeitungslandschaft scheint man die Hoffnung, den Anschluss an die digitale Ära noch zu erreichen, ohnehin aufgegeben zu haben) herumgesprochen haben, dass als sicher etablierte Standards selbstgebastelten Sonderlösungen prinzipiell vorzuziehen sind. Mit den Hinweisen auf die benutzten Metadaten-Cleaner -und dem Hinweis darauf, dass Office-Dokumente und auch PDFs prinzipiell höchst verräterische Metadaten enthalten, macht man zwar noch mal einen Schritt in die richtige Richtung, aber den verkorksten Ansatz kann das halt auch nicht mehr retten. Es bleibt mir vollkommen schleierhaft, weshalb hier einem nicht weniger komplexen System mit einigen Fallstricken (Tor, Tor-Browser, bekannte Probleme bei SSL) der Vorzug gegenüber einem als sicher geltenden gegeben wird, beziehungsweise warum auf die Möglichkeit wenigstens alternativ GPG zu nutzen, was praktisch keinerlei zusätzlichen Aufwand bedeuten würde, vollkommen verzichtet wurde. Das sieht mir ganz so aus, als hätte man sich da eben irgendwann so und so entschieden und das dann aus Prinzip oder persönlicher Eitelkeit stur so durchgezogen.
