Re: FreeBSD-basierter Firewall

On Thu, 17 Jan 2013 01:18:29 +0100, Bernhard(at)gtkx.de wrote:
>
>
> Von meinem iPhone gesendet
>
> Am 17.01.2013 um 00:26 schrieb Peter Ross <Peter.Ross(at)alumni.tu-berlin.de>:
>
> > On Thu, 17 Jan 2013, Bernhard(at)gtkx.de wrote:
> >
> >> ist dann irgendwann jede wohnung verwanzt um vorsorglich mitzuhören ob man was sagt das jemand andrem nicht pass?
> >
> > Darum geht es gar nicht. Ich habe Zugang zu aller Leute e-mail - die interessiert mich nicht die Bohne.
>
> richtig, admins können alles - dürfen es aber nicht! das ist der
> feine unterschied.

Etwas machen und das Gemachte bemerken ist auch ein feiner
Unterschied. Bei modifizierten Datenströmen mit einer wie auch
immer gearteten Form der Verschlüsselung + Zertifizierung (der
Authentizität) ist das sicher strittig. Das ist so, als würde
man eine Postsendung aufdampfen, den Inhalt abändern und den
Brief dann normal weiterleiten. Solange das niemand merkt,
existiert kein "faktisches" Problem.

> wenn du nun die emails lesen würdest, dann hättest irgenwann
> ein rechtliches problem.

Das ist jristische Auslegungssache, da es zu jeder Grundfreiheit
Ausnahmen gibt, die die Rückstellung dieser Freiheiten "unter
ganz bestimmten Regelungen" veranlassen können. Manche Regelungen
haben die Form des *-Wildcard-Zeichens. :-)

> besser ist es, obwohl aufwändiger, virenschutzprogramme auf den
> clients zu installieren.
> als admin ist man da auf der sicheren seite

Das ist in dem Moment eher unpraktisch, wo zentralisierte Installationen
(z. B. Terminaldienste) gefahren werden und keine "Clients" in _dem_
Sinne existieren. Hier kann DPI als Mittel durchaus helfen. Die
Frage ist: Wie _weit_ darf man dabei gehen? Der angeführte
Vergleich "Paket auf Port 25: Ist das SMTP?" illustriert die
Fragestellung, "wie schnell" man sehen kann, ob Port und Inhalt
zusammenpassen. Natürlich wird hier eine aufgelegte Verschlüsselung
die Sache nicht unbedingt einfacher machen. :-)

> > Auch findet dieses "Mitlesen" in einer Firma statt, und nicht in des Mitarbeiters Wohnung.
>
> für Briefe und da zählen emails dazu, gibt es das Briefgeheimnis.

Das ist strittig.

> Manipulationen sind strafbar.

Und auch das ist eine Frage für Strafjuristen. Der Admin, der auf
Anweisung von Cheffe eine möglicherweise illegale Maßnahme in die
Realität umsetzen soll, täte gut daran, das vorher mit einem Fach-
anwalt abzuklären...

> Und das unerlaubte entfernen eines viruses ist ein manitulation.
> Das ist so!

Das ist _eine_ mögliche (und durchaus valide) Interpretations-
möglichkeit.

Wenn man sich künstlich inne Hose scheißt, so kann man auch wie
folgt argumentieren: Ein Spam-Filter manipuliert den E-Mail-
Verkehr in unzulässiger Weise, da er die "Briefe" aus dem
Hausbriefkasten des Empfängers herausfischt und sie anderen
Ortes deponiert; das Kriterium, für _welche_ Briefe der Filter
das macht, ergibt sich aus dem Absender oder dem Inhalt (!)
der Briefe. (Hinweis: Hier werden die Briefe per se ja nicht
verändert, daher hinkt dieses Beispiel streckenweise.)

> > Natürlich kann man mit manchem Werkzeugen auch ungesetzliche Dinge machen. Muß ich aber nicht.
> >
> > Wenn tatsächlich ein Online-Banking "belauscht" wird, in meinem Szenario, dann gibt es nur einen Punkt, an dem das alles unverschlüsselt vorliegt, und das ist der Rechner, auf dem DPI läuft. Und das auch nur für die Zeit der Verbindung, es loggt den Verkehr nicht.
>
> kann es aber mitlogen. und in meinen augen ist DPI ein sehr dünnes
> eis, der admin muss sich genau überlegen was er tut!!! ER Haftet
> persönlich mit!!!

Und auch _das_ ist eine Frage für Juristen. Wenn jemand explizit
per schriftlicher Weisung die Verantwortung übernimmt (also Cheffe),
dann _kann_ es sein, daß ein Admin, der eine solche Lösung realisiert,
nicht haftet.

Aber Verantwortung wird stets von jenen in Anspruch genommen, die
die Macht auf ihrer Seite haben, während die Folgen ihrer Entscheidungen
von Anderen getragen werden müssen. :-)

> Darum gibt es doch den witz
>
> "als admin steht man mit einem bein im knast"

Dazu haben zwei Juristen drei Meinungen. :-)

> > Diese Maschine ist nicht öffentlich zugänglich, und auch nicht dem Firmenmanagement, sondern nur dem SysAdmin.
> >
>
> das ist total egal

Sehe ich auch so. Der Admin ist ja üblicherweise nur ein "Handlanger"
von Cheffe (sei dies nun eine Person oder ein Gremium). Und wenn der
Admin extern ist ("Da haben wir 'ne Firma für!"), geht die Party erst
richtig los. :-)

-- 
Polytropon
Magdeburg, Germany
Happy FreeBSD user since 4.0
Andra moi ennepe, Mousa, ...
To Unsubscribe: send mail to majordomo(at)de.FreeBSD.org
with "unsubscribe de-bsd-questions" in the body of the message