(english summary at the end of the post)

Updates:
– smtpd and dovecot logfiles at the end of the post
– heise.de has a second source confirmation from Marc “van Hauser” Heuse who sniffed the traffic from the phone to discvoeryservice.blackberry.com and found the actual credential transmission. So the chain of evidence is now complete.

Ich bin ja Angehöriger der Minderheit, die über den aktuellen Smartphone-Trend mit immer größeren Bildschirmen und ohne Tastaturen nicht froh sind. Deswegen bin ich immer auf der Suche nach einem modernen Telefon mit ordentlichem Texteingabe-Keyboard. Eine der ganz wenigen verbliebenen Optionen sind die aktuellen Blackberry-Geräte der Q-Serie. Die Hardware überzeugt ziemlich, das Blackberry10- Betriebssystem macht einen soliden und erwachsenen Eindruck, was die Bedienkonzepte angeht.

Leider zeigt sich trotz aller Betonung der Sicherheitsfeatures der neuen Blackberrys schon bei relativ flüchtigem Hinschauen ein gravierendes Vertrauens- und Sicherheitsproblem, das höchstwahrscheinlich sogar einen Verstoß gegen deutsches Recht darstellt. Wenn man eine der Hauptfunktionen des Telefons, den E-Mail-Client für POP und IMAP benutzt, werden die kompletten Account-Daten inklusive Username und Passwort an Blackberrys Server übertragen, ohne Warnung, ohne Hinweis, ohne Option, dieses Verhalten abzustellen. Sobald man einen E-Mail-Account auf dem Telefon einrichtet, kann man auf seinem Mailserver erfolgreiche Verbindungsversuche für IMAP und SMTP von der Adresse 68.171.232.33 sehen, und zwar mit dem Username und Passwort des Accounts, den man gerade eingerichtet hat.

Die Adresse gehört zum Netzbereich von Research In Motion, kurz RIM, der Herstellerfirma der Blackberry-Telefone in Kanada.

NetRange: 68.171.224.0 – 68.171.255.255
CIDR: 68.171.224.0/19
OriginAS: AS18705
NetName: RIMBB-IPV4-05
(…)
OrgName: Research In Motion Limited
OrgId: RIM
Address: 295 Phillip Street
City: Waterloo
StateProv: ON
PostalCode: N2L-3W8
Country: CA

Schaut man sich einen Traceroute zu diesem Server an, sieht man, daß dieser nicht nur in Kanada steht, die Verbindung geht auch noch über Großbritannien und die USA. Wenn man kein zwangsweises SSL/TLS auf seinem Mailserver konfiguriert hat, wandern der Nutzername und das Passwort direkt durch die Schnüffelinstallationen der Briten und Amerikaner. Aber selbst wenn die Verbindung zum Mailserver wg. SSL/TLS verschlüsselt ist, hat Blackberry diese Daten trotzdem.

Mit anderen Worten: Blackberry sammelt die Zugangsdaten aller E-Mail-Accounts seiner Nutzer, womit diese den kanadischen Behörden zugänglich sind. Und Kanada ist Mitglied der “Five Eyes”, der extrem engen Kooperation, unter der die NSA nicht nur mit dem britischen GCHQ – jüngst durch das TEMPORA-Abhörprogramm bekannt geworden – sondern auch mit den entsprechenden Schnüffel-Diensten Australiens, Neuseelands und Kanadas zusammenarbeitet.

Um Mißverständnissen vorzubeugen: Diese Accountdaten-Übermittlung erfolgt unmittelbar nach der Konfiguration eines E-Mail-Kontos auf dem Telefon. Sie dient offenbar der möglichst komfortablen Konfiguration der korrekten Maileinstellungen, die aber auch ohne weiteres direkt auf dem Telefon erledigt werden könnte. Es gibt keinerlei technische Notwendigkeit für ein derartiges Vorgehen. Das Problem hat nichts mit PIN-Messaging, BBM-Messaging, Push-E-Mail oder anderen Blackberry-Diensten zu tun, bei denen der Nutzer wissentlich die Dienste von Blackberry in Anspruch nimmt. Das Telefon darf nicht anderes tun, als sich direkt mit dem E-Mailserver zu verbinden, ohne jegliche Beteiligung von Blackberry-Servern. Gerade die Möglichkeit, normale E-Mail ohne Blackberry-Infrastruktur zu benutzen ist einer der Hauptverkaufspunkte für die neuen Blackberry-10-Geräte.

Angesichts der durch die NSA-Leaks von Edward Snowden bekannt gewordenen Details der Abhör- und Datenzugriffssysteme und dem kompletten Verschweigen des beschriebenen Vorgehens gegenüber dem nichtsahnenden Nutzer ist ein solches heimliches Übermitteln der Accountdaten nach Kanada vollkommen inakzeptabel. Nach deutschem Recht ist es höchstwahrscheinlich komplett illegal, da der Nutzer weder darauf hingewiesen wird, noch eine Option zur Abwahl dieser Funktion hat und obendrein nicht einmal einen Dienstleistungsvertrag mit Blackberry abgeschlossen hat. Der Zweck der Acountdatenspeicherung ist somit nicht von der deutschen Rechtsordnung gedeckt. Ich bin gespannt, was die entsprechenden Verantwortlichen bei den Datenschützern und beim BSI dazu meinen.

Kurzfristig sollten alle Blackberry10-Nutzer das eingebaute Mailprogramm nicht weiter benutzen, die Accountdaten aus dem Telefon sofort löschen und die so exponierten Mailpassworte umgehend ändern. Als alternatives Mailprogramm für das Telefon empfiehlt sich zum Beispiel das freie K9Mail.

Summary in english:

When you enter your POP / IMAP e-mail credentials into a Blackberry 10 phone they will be sent to Blackberry without your consent or knowledge. A server with the IP 68.171.232.33 which is in the Research In Motion (RIM) netblock in Canada will instantly connect to your mailserver and log in with your credentials. If you do not have forced SSL/TLS configured on your mail server, your credentials will be sent in the clear by Blackberrys server for the connection. Blackberry thus has not only your e-mail credentials stored in its database, it makes them available to anyone sniffing inbetween – namely the NSA and GCHQ as documented by the recent Edward Snowden leaks. Canada is a member of the “Five Eyes”, the tigh-knitted cooperation between the interception agencies of USA, UK, Canada, Australia and New Zealand, so you need to assume that they have access to RIMs databases. You should delete your e-mail accounts from any Blackberry 10 device immediately, change the e-mail password and resort to use an alternative mail program like K9Mail.

Clarification: this issue is not about PIN-messaging, BBM, push-messaging or any other Blackberry service where you expect that your credentials are sent to RIM. This happens if you only enter your own private IMAP / POP credentials into the standard Blackberry 10 email client without having any kind BER, special configuration or any explicit service relationship or contract with Blackberry. The client should only connect directly to your mail server and nowhere else. A phone hardware vendor has no right to for whatever reason harvest account credentials back to his server without explicit user consent and then on top of that connect back to the mail server with them.

Recipe for own experiment:
1. set up your own mail server with full logging on an unused domain
2. create throw-away IMAP account
3. enter IMAP account credentials into Blackberry 10 device, note time
4. check mail with Blackberry
5. look in logfiles for IP 68.171.232.33 (or others from RIM netblock)

Update:

Since some diehard Blackberry friends doubted the veracity of this discovery here are example logfiles from dovecot and smtpd. The original domain has been replaced with “mymailserver.org” and the IP with “217.xxx.xxx.xxx”.
I started configuring the mail account 13:46. As can be clearly seen, long before there is a successful connect from my mobile operator E-Plus (46.115.99.217) that should have happened in the very first place, the Blackberry server 68.171.232.33 connected back to my mailserver apparently trying to figure out the correct configuration for the account, as soon as I had entered user, password and mailserver name. And it logged in sucessfully with my e-mail credentials after figuring out the correct SSL / TLS configuration.

smtpd log:

Jul 17 13:47:12 mymailserver vpopmail[98463]: vchkpw-submission: (PLAIN) login success frank@mymailserver.org:68.171.232.33
Jul 17 13:47:12 mymailserver vpopmail[98464]: vchkpw-submission: (PLAIN) login success frank@mymailserver.org:68.171.232.33
Jul 17 13:47:13 mymailserver vpopmail[98465]: vchkpw-smtp: (PLAIN) login success frank@mymailserver.org:68.171.232.33
Jul 17 13:47:13 mymailserver vpopmail[98466]: vchkpw-smtp: (PLAIN) login success frank@mymailserver.org:68.171.232.33
Jul 17 13:48:59 mymailserver vpopmail[98580]: vchkpw-smtp: (PLAIN) login success frank@mymailserver.org:46.115.99.217

dovceot log:

Jul 17 13:47:11 auth(default): Info: vpopmail(frank@mymailserver.org,68.171.232.33): lookup user=frank domain=mymailserver.org
Jul 17 13:47:11 auth(default): Info: client out: OK 1 user=frank@mymailserver.org
Jul 17 13:47:11 auth(default): Info: vpopmail(frank@mymailserver.org,68.171.232.33): lookup user=frank domain=mymailserver.org
Jul 17 13:47:11 auth(default): Info: master out: USER 96457 frank@mymailserver.org uid=89 gid=89 home=/usr/local/vpopmail/domains/mymailserver.org/frank
Jul 17 13:47:11 imap-login: Info: Login: user=<frank@mymailserver.org>, method=PLAIN, rip=68.171.232.33, lip=217.xxx.xxx.xxx, TLS
Jul 17 13:47:11 auth(default): Info: vpopmail(frank@mymailserver.org,68.171.232.33): lookup user=frank domain=mymailserver.org
Jul 17 13:47:11 auth(default): Info: client out: OK 1 user=frank@mymailserver.org
Jul 17 13:47:11 auth(default): Info: vpopmail(frank@mymailserver.org,68.171.232.33): lookup user=frank domain=mymailserver.org
Jul 17 13:47:11 auth(default): Info: master out: USER 96458 frank@mymailserver.org uid=89 gid=89 home=/usr/local/vpopmail/domains/mymailserver.org/frank
Jul 17 13:47:11 auth(default): Info: vpopmail(frank@mymailserver.org,68.171.232.33): lookup user=frank domain=mymailserver.org
Jul 17 13:47:11 auth(default): Info: client out: OK 1 user=frank@mymailserver.org
Jul 17 13:47:11 imap-login: Info: Login: user=<frank@mymailserver.org>, method=PLAIN, rip=68.171.232.33, lip=217.xxx.xxx.xxx, TLS
Jul 17 13:47:11 auth(default): Info: vpopmail(frank@mymailserver.org,68.171.232.33): lookup user=frank domain=mymailserver.org
Jul 17 13:47:11 auth(default): Info: master out: USER 96459 frank@mymailserver.org uid=89 gid=89 home=/usr/local/vpopmail/domains/mymailserver.org/frank
Jul 17 13:47:11 imap-login: Info: Login: user=<frank@mymailserver.org>, method=PLAIN, rip=68.171.232.33, lip=217.xxx.xxx.xxx, TLS
Jul 17 13:47:11 IMAP(frank@mymailserver.org): Info: Disconnected: Logged out bytes=8/328
Jul 17 13:47:11 IMAP(frank@mymailserver.org): Info: Disconnected: Logged out bytes=8/328
Jul 17 13:47:11 IMAP(frank@mymailserver.org): Info: Disconnected: Logged out bytes=8/328
Jul 17 13:47:12 auth(default): Info: vpopmail(frank@mymailserver.org,68.171.232.33): lookup user=frank domain=mymailserver.org
Jul 17 13:47:12 auth(default): Info: client out: OK 1 user=frank@mymailserver.org
Jul 17 13:47:12 auth(default): Info: vpopmail(frank@mymailserver.org,68.171.232.33): lookup user=frank domain=mymailserver.org
Jul 17 13:47:12 auth(default): Info: master out: USER 96460 frank@mymailserver.org uid=89 gid=89 home=/usr/local/vpopmail/domains/mymailserver.org/frank
Jul 17 13:47:12 imap-login: Info: Login: user=<frank@mymailserver.org>, method=PLAIN, rip=68.171.232.33, lip=217.xxx.xxx.xxx, TLS
Jul 17 13:47:12 auth(default): Info: vpopmail(frank@mymailserver.org,68.171.232.33): lookup user=frank domain=mymailserver.org
Jul 17 13:47:12 auth(default): Info: client out: OK 1 user=frank@mymailserver.org
Jul 17 13:47:12 auth(default): Info: vpopmail(frank@mymailserver.org,68.171.232.33): lookup user=frank domain=mymailserver.org
Jul 17 13:47:12 auth(default): Info: master out: USER 96461 frank@mymailserver.org uid=89 gid=89 home=/usr/local/vpopmail/domains/mymailserver.org/frank
Jul 17 13:47:12 imap-login: Info: Login: user=<frank@mymailserver.org>, method=PLAIN, rip=68.171.232.33, lip=217.xxx.xxx.xxx, TLS
Jul 17 13:47:12 auth(default): Info: vpopmail(frank@mymailserver.org,68.171.232.33): lookup user=frank domain=mymailserver.org
Jul 17 13:47:12 auth(default): Info: client out: OK 1 user=frank@mymailserver.org
Jul 17 13:47:12 auth(default): Info: vpopmail(frank@mymailserver.org,68.171.232.33): lookup user=frank domain=mymailserver.org
Jul 17 13:47:12 auth(default): Info: master out: USER 96462 frank@mymailserver.org uid=89 gid=89 home=/usr/local/vpopmail/domains/mymailserver.org/frank
Jul 17 13:47:12 imap-login: Info: Login: user=<frank@mymailserver.org>, method=PLAIN, rip=68.171.232.33, lip=217.xxx.xxx.xxx, TLS
Jul 17 13:47:12 IMAP(frank@mymailserver.org): Info: Disconnected: Logged out bytes=8/328
Jul 17 13:47:12 IMAP(frank@mymailserver.org): Info: Disconnected: Logged out bytes=8/328
Jul 17 13:47:12 IMAP(frank@mymailserver.org): Info: Disconnected: Logged out bytes=8/328
Jul 17 13:48:54 auth(default): Info: vpopmail(frank@mymailserver.org,46.115.99.217): lookup user=frank domain=mymailserver.org
Jul 17 13:48:54 auth(default): Info: client out: OK 1 user=frank@mymailserver.org
Jul 17 13:48:54 auth(default): Info: vpopmail(frank@mymailserver.org,46.115.99.217): lookup user=frank domain=mymailserver.org
Jul 17 13:48:54 auth(default): Info: master out: USER 96480 frank@mymailserver.org uid=89 gid=89 home=/usr/local/vpopmail/domains/mymailserver.org/frank
Jul 17 13:48:54 imap-login: Info: Login: user=<frank@mymailserver.org>, method=PLAIN, rip=46.115.99.217, lip=217.xxx.xxx.xxx, TLS

Der Baumsturz 2013 in Zeitlupe

Neulich war ich in der Privatbrauerei meines geschätzten Freundes Andreas Bogk in Kreuzberg zu Gast, konnte ein wenig beim Abfüllen der originalen Berliner Weiße zusehen und mir die Prozesse erklären lassen und ein paar Bilder machen. Andreas hatte seine Mission die Berliner Weisse in ihrer originalen Form wiederauferstehen zu lassen über die Crowdfunding-Plattform Inkubato anschubfinanziert, wobei die Unterstützer als Dankeschön Bier aus den ersten Braugängen bekommen. Damit sind Andreas und Papillon gerade schwer beschäftigt, bedingt durch die sehr übersichtliche Grösse der Brauerei ist das ein manueller Prozess mit viel Liebe und Handarbeit. Das Leergut wird als erstes gründlich gereinigt und getrocknet.

Im Gärfass wird der Weißen vor dem Abfüllen noch eine frische Portion Hefe und Mikroorganismen aus der nächsten Gärung zugesetzt, damit sie beim Reifen in der Flasche Kohlensäure entwickelt. Die Flaschen werden dann direkt aus dem Gärfass liebevoll per Hand befüllt.

Die Flaschen werden per Hand mit einer Hebelmaschine mit Kronkorken versehen.

Dann wandern die Flaschen in die wunderschönen Holzkisten um die letzten Wochen vor der Auslieferung in Ruhe zu reifen.

Viele dieser handgefertigten Holzkästen stehen bereit, um mit leckerem Bogk-Bier befüllt zu werden.

Ausser der laufenden Produktion von Berliner Weiße reifen gerade noch zwei weitere leckere Biersorten, über die gerade noch nichts verraten wird, in sehr schönen Edelstahltanks.

Die Tanks stehen unter Druck, jedes Bier benötigt seinen eigenen Reife- und Brauprozess. Während die Weiße in der Flasche ihren eigenen Druck beim Nachgären entwickelt müssen Lager und Weizen unter Druck im Tank reifen.

Moderne Brautechnik hat ohnehin viel mit Edelstahlverarbeitung zu tun.

Dementsprechend gab es Gelegenheit in der Bogkschen Privatbrauerei schönen Edelstahl-Teileporn zu fotografieren.

Ein diskreter Blick ins Malzlager verspricht noch jede Menge leckere Produkte aus dieser schönen kleinen Brauerei.

PS: Die zentrale Frage vergass ich natürlich zu beantworten: alle Bogk-Biere die ich ankosten durfte waren jetzt schon fürchterlich lecker, auch wenn sie eigentlich noch fertigreifen müssen.

Im Urlaub bin ich mal wieder ordentlich zum Lesen gekommen, dank der Fortschritte bei ebook-Readern ohne viel Schlepperei. Hier meine Kurzkritiken. Die Links gehen zu Amazon, nicht, weil ich den Laden toll finde, sondern weil sie teilweise zuerst als Kindle-Books erschienen sind bzw. als solche am billigsten zu haben sind.

Ernest Cline: Ready Player One
Großartiger und spannender Scifi-Spaß-Thriller für alle, die was mit Computerspielen anfangen können, insbesondere auch etwas ältere. Habe mich länger nicht so über ein Buch gefreut.

Douglas E. Richards: WIRED und AMPED

Eine der echten Entdeckungen des Urlaubs. Die Story des Zweiteilers dreht sich um eine geniale Wissenschaftlerin, die eine Methode entwickelt hat, Intelligenz vorrübergehend massiv zu boosten. Dummerweise macht das mehr oder weniger stark soziopathisch. Während sie drauf ist, entwickelt sie eine Lebensverlängerungs-Therapie, hinter der dann alle her sind. Die Wendungen sind überraschend, der Plot vielschichtig und streckenweise action-intensiv. Nebenbei werden ein paar sehr grundlegende Fragen zu den Auswirkungen von Technologie-Entwicklung und der Kontrolle von Macht in den schattigen Bereichen von Geheimdiensten und Militär gestellt.

William Hertling: Avogadro Corp und A.I. Apocalypse Scifi-Thriller-Zweiteiler (wird wohl noch fortgesetzt) um das Entstehen von künstlichen Intelligenzen und die resultierenden Probleme und Mißverständnisse. Teilweise ein wenig arg naive “Ghost in the Machine awakening”-Geschichte, aber durchaus spannend geschrieben. Der zweite Teil ist stilistisch besser als der erste.

Robert Harris: Fear Index Wo wir gerade bei Ghost in the Machine waren, Robert Harris, eher bekannt für seine lohnenswerten historischen Romane, hat einen Thriller über eine KI, die in einem Börsenhandelssystem entsteht geschrieben. Sehr spannend, man lernt nebenbei noch ein wenig über die Zockermärkte, muß aber wie auch bei den Avogadro-Büchern sein Wissen über reale KI-Entwicklung ein wenig hintenanstellen. Lohnt aber trotzdem deutlich.

Daniel Suarez: Kill Decision Der neue Suarez ist in einer anderen Welt als Daemon und Freedom(TM) angelegt, es geht um autonome Drohnen und das komplette Freidrehen von militärisch-industrieller Macht. Suarez hat es wieder geschafft, ein topaktuelles ernstes Thema in einen krassen Thriller zu packen. Unbedingt lesen und nebenbei einfach alle die Technologie und Acronyme, die benutzt werden, nachschlagen.

Wie schon während der 28C3 Fnord News Show erwähnt hat Alternativlos irgendwann letzten Dezember mehr als 1 Million Downloads erreicht. Wir haben ja dieses Jahr ein wenig schwach angefangen, bedingt durch Reisen, Krankheiten und die technischen Probleme transkontinentaler Podcastproduktion und ein paar kleiner Unwohlseinserscheinungen unseres CDN bei der Folge 22. Daher habe ich die Statistik nur bis incl. Folge 21 ausgewertet.

Zuerst ein paar notwendige Erläuterungen zur Statistik. Wir messen Downloads sehr konservativ. Von jedem bereitgestellten Format (ogg und mp3) wird pro IP-Adresse je nur ein komplettierter Download gewertet. Mehrfach-Downloads von z.B. WGs zählen damit ebensowenig wie nach einem DSL-Reconnect wiedervergebene IP-Adressen. Wir gehen also davon aus, daß die tatsächlichen Download-Zahlen ein wenig höher sind, hatten aber noch nicht die Muße, das mal im Detail zu analysieren.

Man sieht hier relativ deutlich die populärsten Sendungen: Wikileaks, Atomkraft, Währungen und die Sendung mit Frank Schirrmacher über den politischen Diskurs. Die interessante Frage ist nun, wie sich das in Flattrs niederschlägt. Ausgewertet habe ich hier nur die Flattrs direkt für die Sendung, nicht die auf den allgmeinen Flattr-Button für Alternativlos. Insgesamt wurden die 21 Sendungen 6448 mal geflattrt, also im Schnitt 307 mal pro Sendung. Die Verteilungsspanne ist relativ weit, von 210 bis 492. Die Frage, die mich interessierte ist jedoch, wie sich das Verhältnis von Downloads zu Flattrs entwickelt. Wenn Flattr jemals eine ökonomische Basis für Kultur werden soll, ist die Frage, ab welcher Grössenordnung an Popularität und Aufmerksamkeit dies möglich ist. Wir verwenden die Flattr-Einnahmen bei Alternativlos ja nur dazu, Audiohardware, Recherchematerial und sonstigen Kleinkram zu kaufen und unser Recording-Studio in der Raumfahrtagentur zu unterstützen und müssen damit nicht unseren Lebensunterhalt bestreiten. Als experimentelle Grundlage dafür, ab wann genug reinkommen könnte, um echten Journalismus zu finanzieren ist das Projekt aber ob seiner relativ großen Reichweite durchaus geeignet.

Hier also die Zahlen:
Im Schnitt haben wir über alle Sendungen einen Flattr pro 170 Downloads. Die Schwankungsbandbreite reicht von 125 bis 237.

Man sieht am Chart relativ gut die Korrelation zwischen der Beliebtheit einer Sendung und der Anzahl der Flattrs. Anders ausgedrückt: die populärsten Sendungen haben in der Regel auch eine niedrigere Anzahl von notwendigen Downloads für einen Flattr. Dies ist insofern relevant, als das damit klar wird, daß die Hörer durchaus selektiv flattrn und gute Sendungen nicht nur mehr Downloads erzeugen sondern auch überproportional mehr Flattr abwerfen.

Flattr ist derzeit immer noch eher eine Nischenangelegenheit, die aber gerade in Deutschland durchaus Potential hat. Immerhin jeder 170ste Hörer ist willens, ein paar Cent zu spenden.

Update: hier noch die Rohdaten für die freundlichen Statistiker unter den Lesern. Sendung;Downloads;Flattrs

1;57174;245
2;43714;322
3;43847;312
4;42962;324
5;53346;428
6;48275;328
7;42780;286
8;52530;292
9;53200;320
10;60703;410
11;44096;272
12;45295;213
13;48799;219
14;65082;398
15;52737;312
16;61572;319
17;47697;226
18;52491;251
19;53411;269
20;72120;492
21;49733;210