Mikko Hypponen: Three types of online attack

Mikko Hypponen: Drei Arten von Online-Angriffen

Übersetzung: Judith Matz Lektorat: Alex Boos

In the 1980s, in communist Eastern Germany,

In den 80er Jahren,

im kommunistischen Ostdeutschland,

musste man, wenn man eine Schreibmaschine besaß,

if you owned a typewriter,

you had to register it with the government.

diese bei der Regierung registrieren.

Sie mussten auch

You had to register a sample sheet of text out of the typewriter.

ein Blatt mit Beispieltext

aus dieser Schreibmaschine registrieren.

And this was done so the government could track

Der Grund dafür:

die Regierung konnte zurückverfolgen, wo ein Text herkam.

where the text was coming from.

Fanden sie einen Artikel

If they found a paper which had the wrong kind of thought,

mit falschem Gedankengut,

they could track down who created that thought.

konnten sie den Urheber

dieser Gedanken aufspüren.

Und wir im Westen konnten nicht verstehen,

And we in the West

wie irgendjemand so etwas tun könnte,

couldn't understand how anybody would do this,

how much this would restrict freedom of speech.

und wie sehr das die Redefreiheit einschränken würde.

In unseren eigenen Ländern

We would never do that in our own countries.

würden wir so etwas nie tun.

Aber wenn Sie heute im Jahr 2011

But today, in 2011, if you go and buy a color laser printer

einen neuen Farblaserdrucker

from any major laser printer manufacturer

von den führenden Laserdruckerfabrikanten kaufen

und eine Seite ausdrucken,

and print a page,

dann hat diese Seite

that page will end up

having slight yellow dots printed on every single page,

helle gelbe Flecke

auf jeder Seite aufgedruckt,

in einem Muster, das die Seite eindeutig

in a pattern which makes the page unique to you and to your printer.

auf Sie und Ihren Drucker rückverfolgen lässt.

Das passiert

This is happening to us today.

uns heute.

Und darüber scheint sich niemand aufzuregen.

And nobody seems to be making a fuss about it.

Und das war ein Beispiel,

And this is an example

auf welche Weise

of the ways our own governments are using technology

unsere eigenen Regierungen

die Technologie

gegen uns, die Bürger, einsetzen.

against us, the citizens.

Und das ist eine der drei Hauptquellen

And this is one of the main three sources of online problems today.

von den heute existierenden Online-Problemen.

If we look at what's really happening in the online world,

Schauen wir uns einmal an, was wirklich auf der Welt passiert:

we can group the attacks based on the attackers.

Wir können die Angriffe in Kategorien aufteilen.

Wir haben drei Hauptgruppen.

We have three main groups.

We have online criminals.

Es gibt Online-Kriminelle.

Like here, we have Mr. Dmitry Golubov,

Zum Beispiel hier, das ist Herr Dimitry Golubow

from the city of Kiev in Ukraine.

aus Kiew in der Ukraine.

Und die Motive von Online-Kriminellen

And the motives of online criminals are very easy to understand.

sind sehr leicht zu verstehen.

These guys make money.

Diese Leute verdienen Geld.

They use online attacks to make lots of money --

Sie verwenden Online-Angriffe,

um viel Geld zu verdienen,

and lots and lots of it.

einen riesigen Haufen Geld.

We actually have several cases of millionaires online, multimillionaires,

Es gibt mehrere bekannte Fälle

von Online-Millionären, Multimillionären,

die ihr Geld durch Angriffe verdient haben.

who made money with their attacks.

Here's Vladimir Tsastsin, from Tartu in Estonia.

Das hier ist Wladimir Tsastsin aus Tartu in Estland.

Das ist Alfred Gonzalez.

This is [Albert] Gonzalez.

Stephen Watt.

This is Stephen Watt.

Björn Sundin.

This is Bjorn Sundin.

This is Matthew Anderson, Tariq Al-Daour

Das sind Matthew Anderson, Tariq Al-Daour

and so on and so on.

und so weiter und so fort.

Diese Leute

These guys make their fortunes online,

sind online zu Reichtum gekommen,

aber sie haben es illegal erworben,

but they make it through the illegal means

of using things like banking Trojans

indem sie z.B. Trojaner eingesetzt haben,

um Geld aus unseren Bankkonten zu klauen,

to steal money from our bank accounts while we do online banking,

während wir unser Online-Banking erledigen,

oder auch Keylogger, die unsere Kredikarteninformationen

or with keyloggers

bei der Eingabe über die Tastatur gesammelt haben,

to collect our credit card information

while we are doing online shopping from an infected computer.

während wir über einen infizierten Computer online einkaufen.

Der US-amerikanische Geheimdienst

The US Secret Service,

fror vor zwei Monaten

two months ago, froze the Swiss bank account

das Schweizer Konto

of Mr. Sam Jain right here,

von Herrn Sam Jain hier ein,

und auf diesem Konto waren 14,9 Millionen US-Dollar,

and that bank account had 14.9 million US dollars in it

als es eingefroren wurde.

when it was frozen.

Herr Jain selbst ist auf freiem Fuß,

Mr. Jain himself is on the loose; nobody knows where he is.

der Aufenthaltsort ist unbekannt.

And I claim it's already today

Und ich behaupte, dass es heute

wahrscheinlicher ist, dass wir

that it's more likely for any of us to become the victim of a crime online

Opfer eines Online-Verbrechens werden,

als eines Verbrechens in der realen Welt.

than here in the real world.

Und es ist sehr offensichtlich,

And it's very obvious that this is only going to get worse.

dass dies nur noch schlimmer werden wird.

In the future, the majority of crime will be happening online.

In der Zukunft werden sich die meisten Verbrechen

online abspielen.

Die zweitgrößte Angreifergruppe,

The second major group of attackers that we are watching today

die wir heute beobachten können,

are not motivated by money.

sind nicht durch Geld motiviert.

Sie sind durch etwas anderes motiviert -

They're motivated by something else --

Proteste etwa,

motivated by protests,

eine Meinung,

motivated by an opinion,

oder durch ihr Publikum.

motivated by the laughs.

Groups like Anonymous have risen up over the last 12 months

Gruppen wie Anonymous

sind über die letzten 12 Monate aufgestiegen

und sind zu einem der Hauptspieler

and have become a major player in the field of online attacks.

auf dem Feld der Online-Angriffe geworden.

Das sind also die drei Hauptangriffsgruppen:

So those are the three main attackers:

Kriminelle, die es des Geldes wegen tun,

criminals who do it for the money,

Hacktivisten wie Anonymous,

hacktivists like Anonymous doing it for the protest,

die damit Widerstand leisten,

but then the last group are nation states --

aber die letzte Gruppe sind Nationen,

governments doing the attacks.

Regierungen, die die Angriffe leiten.

Da liegen uns Fälle vor,

And then we look at cases like what happened in DigiNotar.

wie der von DigiNotar.

Es zeigt beispielhaft, was passiert,

This is a prime example of what happens when governments attack

wenn Regierungen

against their own citizens.

ihre eigenen Bürger angreifen.

DigiNotar ist ein Vollmachtszertifikat

DigiNotar is a certificate authority from the Netherlands --

aus den Niederlanden –

bzw. war es das.

or actually, it was.

Im letzten Herbst

It was running into bankruptcy last fall,

musste es Insolvenz anmelden,

denn DigiNotar war gehackt worden.

because they were hacked into.

Jemand war eingebrochen

Somebody broke in and they hacked it thoroughly.

und hatte das System gründlich gehackt.

And I asked last week,

Und letzte Woche in einem Treffen

mit niederländischen Regierungsvertretern stellte ich

in a meeting with Dutch government representatives,

einem der Leitenden dieser Gruppe die Frage,

I asked one of the leaders of the team

ob er es für möglich hielte,

whether he found plausible that people died

dass aufgrund des DigiNotar-Hacks

because of the DigiNotar hack.

Leute gestorben waren.

Und seine Antwort war "Ja".

And his answer was: yes.

Nun, wie sterben Leute

So how do people die

in Folge eines solchen Hacks?

as the result of a hack like this?

DigiNotar ist eine Zertifizierungsstelle.

Well, DigiNotar is a CA.

They sell certificates.

Sie verkaufen Zertifikate.

What do you do with certificates?

Was macht man mit Zertifikaten?

Well, you need a certificate if you have a website

Nun, ein Zertifikat benötigt man,

wenn man eine Webseite mit HTTPS,

that has https, SSL encrypted services,

mit SSL-verschlüsselten Diensten hat,

services like Gmail.

zum Beispiel Gmail.

Nun verwenden wir alle, oder viele von uns,

Now we all, or a big part of us, use Gmail or one of their competitors,

Gmail oder einen ihrer Konkurrenten.

Doch diese Dienste sind besonders verbreitet

but these services are especially popular in totalitarian states like Iran,

in totalitären Staaten

wie dem Iran,

where dissidents use foreign services like Gmail

wo Dissidenten

ausländische Anbieter wie Gmail verwenden,

because they know they are more trustworthy than the local services

da sie wissen, dass sie denen mehr vertrauen können als lokalen Anbietern

und dass sie über SSL-Verbindungen verschlüsselt sind,

and they are encrypted over SSL connections,

so the local government can't snoop on their discussions.

so dass die lokale Regierung

nicht in ihren Gesprächen herumschnüffeln kann.

Können sie aber doch, wenn sie sich in eine ausländische

Except they can,

if they hack into a foreign CA and issue rogue certificates.

Zertifizierungsbehörde hacken und gefälschte Zertifikate ausstellen.

Und genau das ist im Falle von

And this is exactly what happened with the case of DigiNotar.

DigiNotar passiert.

Wie verhält es sich mit dem arabischen Frühling

What about Arab Spring

und den Dingen, die zum Beispiel in Ägypten passiert sind?

and things that have been happening, for example, in Egypt?

Nun, in Ägypten

Well, in Egypt,

the rioters looted the headquarters of the Egyptian secret police

plünderten die Aufständischen im April 2011

das Hauptquartier

in April 2011,

der ägyptischen Geheimpolizei.

Und dabei fanden sie eine Menge Akten.

and when they were looting the building, they found lots of papers.

In diesen Akten befand sich

Among those papers was this binder entitled, "FinFisher."

ein Ordner namens "FINFISHER".

Und in diesem Ordner befanden sich Notizen

And within that binder were notes from a company based in Germany,

einer in Deutschland ansässigen Firma,

die der ägyptischen Regierung

which had sold to the Egyptian government

ein paar Programme verkauft hatten,

a set of tools for intercepting, at a very large scale,

mit denen sie –

in sehr großem Rahmen –

all the communication of the citizens of the country.

jegliche Kommunikation der ägyptischen Bürger abfangen konnten.

Sie hatten dieses Programm

They had sold this tool for 280,000 euros to the Egyptian government.

für 280.000 Euro an die ägyptische Regierung verkauft.

Das Firmenhauptquartier ist genau hier.

The company headquarters are right here.

Also versorgen westliche Regierungen

So Western governments are providing totalitarian governments with tools

totalitäre Regierungen mit Hilfsmitteln,

to do this against their own citizens.

damit die gegen ihre eigenen Bürger vorgehen können.

Aber westliche Regierungen helfen sich auch selbst.

But Western governments are doing it to themselves as well.

Zum Beispiel in Deutschland

For example, in Germany,

nur vor ein paar Wochen

just a couple of weeks ago, the so-called "State Trojan" was found,

der sogenannte Staatstrojaner gefunden.

Das war ein Trojaner,

which was a Trojan used by German government officials

der von deutschen Regierungsvertretern verwendet wurde,

to investigate their own citizens.

um ihre eigenen Bürger zu bespitzeln.

Wenn Sie in einem Kriminalfall verdächtigt werden,

If you are a suspect in a criminal case,

well, it's pretty obvious, your phone will be tapped.

dann wird mit ziemlicher Sicherheit Ihr Telefon angezapft.

Aber heute sind wir weit jenseits dessen.

But today, it goes beyond that.

Sie zapfen Ihre Internetverbindung an.

They will tap your Internet connection.

Sie verwenden Mittel wie den Staatstrojaner,

They will even use tools like State Trojan

um Ihren Computer mit einem Trojaner zu bespielen,

to infect your computer with a Trojan,

which enables them to watch all your communication,

der es ihnen erlaubt,

Ihre gesamte Kommunikation zu überwachen,

Ihre Online-Diskussionen abzuhören,

to listen to your online discussions,

Ihre Passwörter zu sammeln.

to collect your passwords.

Now, when we think deeper about things like these,

Wenn wir also weiter

über solche Dinge nachdenken,

dann wäre die offensichtliche Antwort der Leute:

the obvious response from people should be,

"Ok, das klingt schlecht,

"OK, well, that sounds bad, but that doesn't really affect me,

aber es betrifft mich ja nicht, weil ich ein braver Bürger bin.

because I'm a legal citizen.

Ich muss mir keine Sorgen machen!

Why should I worry? Because I have nothing to hide."

Ich habe nichts zu verstecken."

Und diese Argumentation

And this is an argument which doesn't make sense.

ergibt keinen Sinn.

Privatsphäre muss gegeben sein.

Privacy is implied.

Privatsphäre steht nicht zur Debatte.

Privacy is not up for discussion.

This is not a question

Es ist keine Entscheidung

between privacy

zwischen Privatsphäre

und Sicherheit.

against security.

It's a question of freedom

Es ist eine Entscheidung zwischen Freiheit

und Kontrolle.

against control.

Und während wir heute, im Jahr 2011,

And while we might trust our governments right now, right here in 2011,

unseren Regierungen vertrauen mögen,

any rights we give away will be given away for good.

ist doch jedes Recht, das wir abgeben, für immer abgegeben.

Und vertrauen wir, vertrauen wir blind

And do we trust, do we blindly trust, any future government,

einer jeden zukünftigen Regierung,

einer Regierung, die wir vielleicht

a government we might have 50 years from now?

in fünfzig Jahren haben werden?

Das sind die Fragen,

And these are the questions

mit denen wir uns die nächsten 50 Jahre beschäftigen müssen.

that we have to worry about for the next 50 years.