🚀 go-pugleaf

In article  <1992Jan13.210022.9565@rusmv1.rus.uni-stuttgart.de>
ZRZM@rusvm1.rus.uni-stuttgart.de (Ihre Majestaeten Anna-Anonyma
von Anonymien die Kleine) writes:

>nicht so voreilig !
>Hi

>Also, ich glaube die Diskussion um die Ausspaehung "besonders geschuetzten
>Daten" geht an der Wirklichkeit ein bisschen vorbei. Schliesslich ist in vielen
>rrn-implementierungen problemlos ersichtlich, wer gerade welchen artikel liest.
[ ..  technische Hinweise auf Schnueffelmoeglichkeiten deleted .. ]

Die Frage, ob man/frau mit bestimmten technischen Mitteln als Admin oder User
bestimmte Informationen kriegen kann, ist fuer die Frage "besonders gesichert"
oder nicht von mittelbarem Belang. Man/frau kann auch einen "sniffer" (das 
ist in der Regel ein laptop mit grosser Platte und einem Haufen Analysesoft-
ware) in ein Ethernet haengen (dazu reicht i.d.R. eine Induktionsschleife)
und jedes Paket tracen. Durchsuchung nach Strings "login:" bzw. "Password:"
ist kein Problem.

Aehnlich ist die Durchschnueffelung von Hilfsdateien von Programmpaketen
zu werten. Solange nicht User durch -rwxrwxrwx auf ihrem Homedirectory
zu erkennen geben, dass ihnen egal ist, wieviel andere von ihren Aktivi-
taeten mitkriegen (oder durch passwortfreies account), sind ihre Daten
"besonders geschuetzt". Auch wenn man/frau durch Aufdruecken von Keller-
fenstern, Hochschieben von Balkontueren, Ueberklettern von Mauern, Dietriche,
Richtmikrofone, Infrarotfernglaeser oder Wanzen in die Privatsphaere ihrer/
seiner Mitmenschen ziemlich leicht eindringen kann, ist das deswegen nicht 
erlaubt.

>Da rechtlich nichts dagegenspricht, sich die Informationen: wer liest was,
>waehrend ihrer Entstehung (z.B. in einer Schleife) zu beschaffen, ist es
>schon ein bisschen verwegen, von "besonders geschuetzten Daten" zu reden.
Irrtum. Das Gewinnen personenbezogener Benutzerinformation durch automati-
sche Programme ist besonders sensibel. Wer sowas aufbaut, beweist damit
den Vorsatz des Ausspaehens von Daten, waehrend das Eindringen in ein
schlampig gesichertes account oder das mounten eines nicht dagegen ge-
schuetzten Verzeichnisses mit nfs auch schonmal unabsichtlich (jedenfalls 
bicht mit dem Vorsatz des Ausspaehens) geschehen kann. Hierzu gehoert
schon eine erhebliche kriminelle Energie, mit Einstellung des Verfahrens
nach 153a StPO waere da wohl nix mehr drin.

>Kein Mensch kann im Nachhinein sagen, auf welche Art die Information
>"Herr X liest Artikel/Newsgroup Y" zustande gekommen ist.
Solange das unbewiesen behauptet wird, waere es bis zum Beweis der 
Wahrheit ueble Nachrede, wuerde es bewiesen, muesste schon gesagt 
werden, wie. Das Lesen einer newsgroup waere dabei kaum jemandem
vorwerfbar, das Ausspaehen dagegen kriminell.

>Da es auch zu den Aufgaben eines Admins gehoert, zu kontrollieren, was
>die User machen (z.B. ob sie gerade mit irgendwelchen Programmen Files mit
>den Passworten anderer User erstellen), kann man ihm rechtlich kaum etwas
>vorwerfen.
Ein/e Admin hat die Pflichten, die in den Benutzungsordnungen der jeweiligen
Rechner festgelegt sind. Die Nutzungsordnungen koennen dabei mehr oder weniger
restriktiv sein, abhaengig vom Zweck des Rechners und der betreibenden Insti-
tution. In Firmen (wo die Rechnerbenutzung in erster Linie dem Erwerbszweck 
des Unternehmens dient) oder im militaerischen oder polizeilichen Bereich
koennen dabei die Kontrollrechte sehr weitgehend sein.
An einer Universitaet koennen sie, soweit nicht zwingende technische Gruende
(z.B. die begrenzte Rechenzeit der einzigen Cray usw.) entgegenstehen, nicht
ueber die Aufsichtsregeln hinausgehen, wie sie an Bibliotheken oder anderen
der Information dienenden akademischen Einrichtungen bestehen. Ohne technisch
zwingende Gruende koennen sie nicht ueber die Rechte und Pflichten der
Universitaetsverwaltungen und der Universitaetsangehoerigen hinausgehen,
wie sie sich aus den Hochschulgesetzen und den nachgeordneten Verordnungen
ergeben.
Als Einrichtung des oeffentlichen Rechts ist eine Universitaet durch das
Grundgesetz und die allgemeinen Gesetze direkt gebunden.

Uebrigens wurde anfangs von /tmp-files mit rw-r--r-- gesprochen, also Be-
schnuefflung durch beliebige User. Diese waere auf jeden Fall "Ausspaehen",
die Eigenart eines Programmpaketes, das solche Aktivitaeten erlaubt, waere
keine Entschuldigung (Auch ein Schlosser darf nicht in jede Wohnung, in die
er/sie aufgrund technischer Kenntnisse leicht hereinkommt). Admins haben 
zwar auf Unix-Boxen alle Moeglichkeiten, das heisst nicht, dass sie alles
duerfen (Aehnlich dem Hausmeister mit dem Passepartout).
Selbst Admins auf solchen Anlagen sind keine Goetter oder absoluten Herrscher.
Das Erheben personenbezogener Benutzerdaten kann da nicht mit dem Rechen der
allgemeinen Beschnuefflung durchgefuehrt werden. Soweit accounting durch-
gefuehrt und ausgewertet wird, muss dies bekannt sein, ebenso Zweck und 
Umfang der Auswertung/Speicherung. Eine Auswertung "wer liest wann welchen
news-Artikel" waere durch keinen Zweck der Systemintegritaet zu recht-
fertigen. Ich wuerde solche Stasi-Methoden der Universitaetsleitung
bekanntmachen und auf Abmahnung, im Wiederholungsfalle Entlassung der
Verantwortlichen draengen, notfalls per einstweilige Anordnung des 
zustaendigen Verwaltungsgerichts.
>
>so long
>MUFTI
>
regards, es

>ps:
>Voreilig fand ich auch die Behauptung, dass soundso viele weibliche Wesen
>alt.sex -gruppen lesen wuerden, da sich diese Behauptung nur auf Vornamen
>aus der from-zeile stuetzt.
>Die Vornamensinformation laesst sich ja beeinflussen und gerade bei
>alt.sex koennte es Gruende geben, dies zu tun...
Nun ja. Sicher besteht die Moeglichkeit, sich unter jedem Namen auf einem 
Rechner einzutragen. Auf den Boxen, die ich im Rahmen meiner Taetigkeit 
administriert habe, haben sich die User immer mit ihrem richtigen Geschlecht
eingetragen (das waren schon ein paar hundert) und die PosterInnen, die ich
im Laufe meines Herumhaengens im net kennengelernt habe, haben ebenfalls
kein Geschlechtsmimikry getrieben. Von daher kann immerhin vermutet werden,
dass diese Art der Zuordnung mit hoher Wahrscheinlichkeit korrekte Aussagen 
ueber das Geschlecht der PosterInnen erlaubt. Die wenigen Ausnahmen duerften
zu einem so hohen Ausmass ueber die Geschlechter und die Gruppen gleichver-
teilt sein (Frau unter maennlichem Vornamen und umgekehrt), dass sie die
getroffenen Aussagen (z.B. mehr weibliche PosterInnen in allgemein gesell-
schaftlichen als in technischen Gruppen) kaum signifikant verfaelschen
duerften.

ps: Was soll das eigentlich mit dem anonymen Quatsch? Hast Du Angst?