Schluss mit Windows 7 .. LPD in Braunschweig

Es ist mal wieder soweit, der Linux Presentation Day (LPD) 2019.2 ist da! In Braunschweig geht unter anderem um Datenschutz und … „Schluss mit Windows(7)“ 🙂

„Schluss mit Windows 7“

Das Schwerpunktthema des zweiten LPD in diesem Jahr lautet „Schluss mit Windows 7“

Am 14. Januar 2020 lĂ€uft der Support von Windows 7 SP1 endgĂŒltig aus, das Betriebssystem bekommt dann regulĂ€r letztmalig Sicherheitsupdates. Als Fortsetzung bliebe dann nur noch WIN10: Aber, will man das? Und, braucht man das?

Wir sagen: NEIN!

Neben Win7 haben wir diesmal auch wieder Linux auf dem Tablet im Angebot, Hardcore Tabellenkalkulationing mit Libreoffice, Besucher können verschiedene Linuxsysteme in der Selbsterfahrungsecke ausprobieren, Wir geben wieder AnfĂ€ngervortrĂ€ge zu Linux und natĂŒrlich ist auch fĂŒr das leibliche Wohl gesorgt.

Wie waren noch mal die Eckdaten?

Veranstalter: Die Braunschweiger Linux Usergroup
Ort: Haus der Talente, Elbestraße 45, Ecke Saalestraße, Braunschweig-Weststadt
Zeit: Samstag, 16.11.2019 an 13 Uhr bis ca. 18 Uhr.
Eintritt: frei \o/

Mehr Infos aus https://bs-lug.de .

OpenShot trackt UseraktivitÀt via Google-Analytics

Das beliebte Videoschnittprogramm OpenShot trackt seine User im Rahmen der Produktverbesserung via Google-Analytics. Dazu bekommt jede Installation eine eigene CID, die zusammen mit Versionummer, Sprache, OS Version und dem jeweiligen aktuellen Programmfenster an Google-Analytics ĂŒbermittelt wird. Und genau darin liegt das Problem. Keine Panik, das ist kein Public Shaming Artikel, vielmehr ein „wo liegt da eigentlich das Problem“ Artikel.

OpenShot trackt UseraktivitÀt via Google-Analytics

Bei der Erstinstallation von OpenShot wird der Benutzer zwar gefragt, ob er zur Produktverbesserung beitragen möchte, aber in welcher Form dies passiert, darĂŒber wird er nicht informiert. Was er auch nicht weiß ist, das bereits der erste Start an die Google Server ĂŒbertragen wird, denn es ist ein OPT-OUT. Die Einwilligung ist vorausgefĂŒllt und wird beim Start auch als gegeben angesehen, wie dies Startprotokoll zeigt:

sudo dnf install openshot

Installiert:
openshot-2.4.4-2.fc29.noarch blender-1:2.80-5.fc29.x86_64
bitstream-vera-sans-fonts-1.10-32.fc29.noarch openshot-lang-2.4.4-2.fc29.noarch
….
python3-libopenshot-0.2.3-1.fc29.x86_64

Fertig.
[surface ~]$ openshot-qt
Loaded modules from installed directory: /usr/lib/python3.7/site-packages/openshot_qt
launch:INFO ————————————————
launch:INFO OpenShot (version 2.4.4)
launch:INFO ————————————————
app:INFO openshot-qt version: 2.4.4
app:INFO libopenshot version: 0.2.3

QMainWindow::addDockWidget: invalid ‚area‘ argument
metrics:INFO Track metric: [200] http://www.google-analytics.com/collect?cid=fc262946-270b-4bde-aa09-723466a9db8b&v=1&tid=UA-4381101-5&an=OpenShot+Video+Editor&aip=1&aid=org.openshot.openshot-qt&av=2.4.4&ul=en-us&ua=Mozilla%2F5.0+%28X11%3B+Linux+x86_64%29+AppleWebKit%2F537.36+%28KHTML%2C+like+Gecko%29+Chrome%2F37.0.2062.120+Safari%2F537.36&cd1=0.2.3&cd2=3.7.4&cd3=5.11.3&cd4=5.11.3&cd5=Fedora-29-Twenty+Nine&t=screenview&cd=main-screen | (35 bytes)
metrics:INFO Track metric: [200] http://www.google-analytics.com/collect?cid=&v=1&tid=UA-4381101-5&an=OpenShot+Video+Editor&aip=1&aid=org.openshot.openshot-qt&av=2.4.4&ul=en-us&ua=Mozilla%2F5.0+%28X11%3B+Linux+x86_64%29+AppleWebKit%2F537.36+%28KHTML%2C+like+Gecko%29+Chrome%2F37.0.2062.120+Safari%2F537.36&cd1=0.2.3&cd2=3.7.4&cd3=5.11.3&cd4=5.11.3&cd5=Fedora-29-Twenty+Nine&t=screenview&sc=start&cd=launch-app | (35 bytes)
metrics:INFO Track metric: [200] http://www.google-analytics.com/collect?cid=fc262946-270b-4bde-aa09-723466a9db8b&v=1&tid=UA-4381101-5&an=OpenShot+Video+Editor&aip=1&aid=org.openshot.openshot-qt&av=2.4.4&ul=en-us&ua=Mozilla%2F5.0+%28X11%3B+Linux+x86_64%29+AppleWebKit%2F537.36+%28KHTML%2C+like+Gecko%29+Chrome%2F37.0.2062.120+Safari%2F537.36&cd1=0.2.3&cd2=3.7.4&cd3=5.11.3&cd4=5.11.3&cd5=Fedora-29-Twenty+Nine&t=screenview&cd=initial-launch-screen | (35 bytes)
ui_util:INFO Initializing UI for MainWindow

Zwar werden direkt keine personenbezogenen Daten durch OpenShot ĂŒbermittelt, aber immerhin weiß Google jetzt, daß die IP a.b.c.d heute Fedora 29 benutzt, wieoft mit OpenShot rumspielt und das in English. Ich habe ĂŒber diese Daten keine Kontrolle. Anhang der eindeutigen CID lĂ€ĂŸt sich auch prima verfolgen, wie oft jemand Openshot startet und benutzt. NatĂŒrlich ist es das Ziel der Produktverbesserung, daß man etwas ĂŒber das Userverhalten erfĂ€hrt, aber wieso muß Google das auch wissen?

HĂ€tte man da nicht einen eigenen Server benutzen können? So schwer ist das nicht und da OpenShot eine eigene Webseite hat (https://www.openshot.org/de/privacy/), wĂ€re das kein großer Aufwand.

Nehmen wir mal an, die DSGVO wĂŒrde gelten

Fast selbstredend muß ich an dieser Stelle auf die Datenschutzprobleme hinweisen. Wie Ihr ja wisst, werden IP Adressen seit dem Urteil des Kammergerichts in Berlin aus 2013 als personenbezogene Daten gewertet. An der EinschĂ€tzung habe ich meine Zweifel, aber das Gericht sah es nun mal so an. Jetzt ist der Hersteller von Openshot in den USA ansĂ€ssig und unterliegt somit normalerweise nicht der EU DS GVO.

Das hindert aber natĂŒrlich niemanden daran, das mal vom Datenschutz ĂŒberprĂŒfen zu lassen, schliesslich werden auch US Firmen mit Strafen versehen, die keinen Sitz in der EU haben, sich aber an EU BĂŒrger wenden. Durch die Monopolstellung von OpenShot im Linuxbereich, oder kennt Ihr eine andere brauchbare Software fĂŒr den Videoschnitt, könnte man eine Sonderbehandlung des Herstellers rechtfertigen. Ich werde das mal unserem BundesdatenschĂŒtzer vortragen, mal sehen was er dazu sagt.

Die DS GVO sagt dazu jedenfalls folgendes:

Art. 3 DSGVO RĂ€umlicher Anwendungsbereich

(2) Diese Verordnung findet Anwendung auf die Verarbeitung personenbezogener Daten von betroffenen Personen, die sich in der Union befinden, durch einen nicht in der Union niedergelassenen Verantwortlichen oder Auftragsverarbeiter, wenn die Datenverarbeitung im Zusammenhang damit steht

a) betroffenen Personen in der Union Waren oder Dienstleistungen anzubieten, unabhÀngig davon, ob von diesen betroffenen Personen eine Zahlung zu leisten ist;

Der Fall ist erfĂŒllt, weil das Programm sich auch an deutsche Benutzer richtet. Ich tendiere also dazu, die DS GVO als zustĂ€ndig zu befinden. Das es Opensource und frei verfĂŒgbar ist, Ă€ndert nichts daran.

Openshot ist nicht Facebook

Damit wir uns nicht falsch verstehen, der OpenShot Hersteller ist keiner von den „Bösen Akteuren“ wie Facebook. Das ist mehr so eine „unglĂŒcklich umgesetzt“ Geschichte. Entsprechend habe ich das Problem auch beim Hersteller angesprochen. Was dabei raus kommt, werdet Ihr bei Zeiten erfahren.

ZurĂŒck zur IP. Wir nehmen ja mal an, daß die DS GVO gilt. In diesem Fall wĂ€re die Übermittlung der IP durch den Webrequest bei Google, eine Übermittlung von Personenbezogenen Daten an Dritte. Dieser Übermittlung muß der Kunde zustimmen bzw. bei GeringfĂŒgigkeit, was hier der Fall ist, in der DatenschutzerklĂ€rung mitgeteilt bekommen. Wer auf seiner Webseite Google Analytics einsetzt, muß das ja auch in der DSE angeben. Jetzt liegt dem Produkt OpenShot aber gar keine DatenschutzerklĂ€rung bei. Nicht mal ein Link, den am anklicken könnte, existiert. Damit habe ich als Anwender keine Chance zu erfahren, daß meine Daten an Google ĂŒbermittelt werden, welche das genau sind und wie oft das passiert. Transparenz geht anders.

Was OPT-OUT in der RealitÀt bedeutet

Wie ich anfangs gezeigt habe, werden schon beim Programmstart Daten an Google ĂŒbermittelt, noch bevor ich das per Entfernen des Zustimmungshakens verhindern kann. Das dĂŒrfte keine böse Absicht sein, weil der Code den ersten Start es Programms einfach genauso behandelt, wie jeden anderen auch. Da werden also die gleichen Methoden durchlaufen wie sonst auch. Das kann aber nur passieren, weil der Entzug der Zustimmung die Ausnahme ist. OPT-OUT halt. Bei einem OPT-IN wĂŒrde man also ggf. nie einen Datenabfluß haben.

Die DS GVO verlangt eine qualifizierte Zustimmung zu so einer Übermittlung, was einem OPT-IN-Zwang gleichkommt. WĂŒrde die GVO also fĂŒr OpenShot gelten, wĂ€re das wie es jetzt ist ein Verstoß gegen Artikel 6 Absatz 1 a , weil auf 1f kann sich der Anbieter nicht berufen, da es datenschutzfreundlichere Wege gibt und nachlesen kann ich es in einer DatenschutzerklĂ€rung auch nicht.

Artikel 7 Absatz 1 legt einem Datenschutzverantwortlichen explizit auf, daß er jederzeit nachweisen können muß, daß der Benutzer eingewilligt hat. Schon der Punkt wird zum Problem, weil der nötige Flag lokal auf der Benutzerfestplatte liegt und zu allem ĂŒbel auch noch vorausgefĂŒllt war. Wenn jemand sein Homeverzeichnis mal neu macht, ist die BestĂ€tigung der Einwilligung futsch, weil wird nicht auf dem Firmenserver (ja Openshot wird von einer Firma entwickelt) gespeichert. Da wird ein Beweis im Worst-Case schlicht unmöglich.

Zusammenfassung

Meine Kritikpunkte sind daher:

  1. OPT-OUT, statt OPT-IN
  2. Daten werden an Google ĂŒbermittelt
  3. Daten werden vor der Zustimmung ĂŒbermittelt
  4. Keine Information ĂŒber die Art und den Umfang der DatenĂŒbermittlung
  5. nur durch einen Zufall ĂŒberhaupt darĂŒber gestolpert.

Das Produkt hat also so kleinere DatenschutzmĂ€ngel. Einige davon kann man leicht beheben, ohne das die Firma Einbußen hinnehmen muß. Der Hersteller hat da auch einige Tips von mir bekommen, wie er das anstellen könnte. Warten wir mal ab. Wie gesagt, es sind nicht die bösen Datenabgreifer, es ist einfach unĂŒberlegt umgesetzt worden. Wenn aber jemand eine Datenschutzbeschwerde einreichen wĂŒrde, und so diese von der Behörde angenommen wĂŒrde, hat der Hersteller von OpenShot IMHO, schon wegen des fehlenden Einwilligungsbeweises, ein grĂ¶ĂŸeres Problem am Hacken.

Wie schaltet man das jetzt wieder ab?

Kommen wir mal zur Lösung des Problems auf Eurer Seite. Das ist zum GlĂŒck einfach und zuverlĂ€ssig machbar. Im „Bearbeiten“ MenĂŒ in die „Voreinstellungen“ wechseln, dort die „Fehlerbehebung“ aufrufen und diesen Haken hinter „Mess- und Fehlerdaten anonym senden“ entfernen:

Damit ĂŒbermittelt Openshot dann ab sofort keine Daten mehr an Google. Habe ich natĂŒrlich geprĂŒft 😉

Aber denke bitte daran, daß Ihr die nĂ€chste Installation von OpenShot ohne Internetzugang ( Stecker ziehen, Netzwerk abschalten ) startet und dann gleich den Haken entfernt.

Diese Woche im Netz

ZFS wurde endlich als stabile Version fĂŒr Debian vorgestellt und soll kurzfristig fĂŒr alle GNU Linuxe wie Fedora und Ubuntu usw. bereit stehen. ZFS ist ein Userland Filesystem, daß durch Dedublikation Speicherplatz einsparen kann. Wie das allerdings den meisten Endanwendern helfen soll, die kaum ĂŒber doppelte Daten verfĂŒgen dĂŒrfen, ist mir ein RĂ€tsel. Im Serverbereich ist die Dedublikation schon lange ein Thema, da hier tatsĂ€chlich oftmals die gleichen Daten anfallen. Beispiel: 10 User installieren WordPress 4.5. Mit ZFS gibt es die Files nur einmal auf der Platte, aber 10 User glauben Sie hĂ€tten das fĂŒr sich 🙂 Im Prinzip sind das Symlinks auf Datenblockebene, die vom Filesystem selbst gemanagt werden. Ich bin mal gespannt wie stabil das wirklich ist, denn mein letzter Versuch endete im Datengau, zum GlĂŒck ohne realen Datenverlust.

Quelle: ZFS on Linux

Android Central hat T-Mobile geehrt, als den Carrier ( Mobilfunkanbieter ) bei dem man am einfachsten aus dem Vertrag raus kommt, wenn man wechseln will. Wie schlimm muß das bei den anderen sein, wenn der Mutterkonzern von T-Mobile, also die DTAG, schon ! 6 ! Monate braucht, um einen Festnetzanschluß zu kĂŒndigen und die Nummer zur Portierung freizugeben ?

Hab das gerade selbst erlebt, also keine SchmÀhkritik, sondern leider die RealitÀt.

Quelle: How do i cancel T-Mobile

Endlich mal eine sinnvolle IT Entscheidung: der EuGH Gutachter meint, daß IP Adressen zwar persönliche Daten sind (, weil ja auch jeder sofort herausbekommen kann, wer die IP grade inne hat 😉 ), aber trotzdem von Webseitenbetreiber auf „Vorrat“ gespeichert werden dĂŒrfen, denn diese hĂ€tten ein „berechtigtes Interesse“ ihre Infrastruktur in Stand zu halten. Das meint ĂŒbersetzt, daß man IP’s speichern darf, damit man z.b. DOSangriffe erkennen und abwehren kann.  Wir halten das fĂŒr SINNVOLL!

Der Bundesdatenschutz sieht das ĂŒbrigens anders, denn wenn es nach den Datenschutzgesetzauslegungen gehen wĂŒrde, dĂŒrfte man die IPs nicht speichern, weil das persönliche Daten sind und die unterliegen ja, zu Recht, einem besonders starken Schutz. Dahingehend haben DatenschĂŒtzer auch Webseitenbetreiber mit Strafe gedroht, sollte jemand mal IPs auf Vorrat speichern. Dumm nur, daß schon der Webserver im Errorlog die IPs speichert und man das nicht abschalten kann. Von den Accesslogs mal ganz abgesehen.

Quelle: Webseitenbetreiber dĂŒrfen IP langfristig speichern

Erst der Bundestag, dann die CDU, ob das am Prestige der CDU kratzt, nicht die erste Wahl gewesen zu sein? 😀

Quelle: russische Hacker sollen CDU angegriffen haben

Ein Kommentar:

Als Webhoster und SachverstĂ€ndiger gegenĂŒber den Ermittlungsbehörden, kann ich aus leidlicher Erfahrung sagen, daß das keine gute Entscheidung war, auch wenn Sie vom EU-Generalstaatsanwalt als Empfehlung stammt. Wir haben mit der neuen Regelung einen Freibrief fĂŒr Kriminelle die jetzt per War Driving im WLAN um die Ecke alles von Erpressung, DOS Angriffen, Hacking, IdentitĂ€tsdiebstĂ€hle usw. machen können, ohne das es eine Handhabe gibt. Da die Betreiber nicht mal grundlegende Informationen aufzeichnen werden, wie z.b. die MAC des Teilnehmers, gibt es keine relistische Chance mehr die Kriminellen zu finden. Was Freifunker als Sieg feiern, werden wir alle sehr teuer bezahlen. Das ist so sicher wie das Amen in der Kirche.

Quelle: Golem: BGH Entscheidung zur Haftung von GĂ€sten
Quelle: Heise: Die-Hotspot-Wueste-lebt-Freude-ueber-Ende-der-WLAN-Stoererhaftung

Da hat das FBI wohl TOR-Benutzer durch eine Schwachstelle im TOR eigenen Firefoxbrowser enttarnt und Mozilla hÀtte jetzt gern den Exploit um die Schwachstelle zu fixen, sofern das in Firefox war.

Update: Mozilla ist mit seinem Gesuch gescheitert, an die genutzte SicherheitslĂŒcke zu kommen 🙁

Quelle: FBI muss Mozilla keine Informationen ueber Sicherheitsluecke uebergeben
Quelle: Mozilla asks Court to disclose Firefox Exploit used by FBI to hack Tor users

Es scheint ja bei der Beantwortung der Frage „wie man WordPress installiert“ echte Defizite zu geben, deswegen einfach mal hier das Video schauen. Es zeigt die Installation auf einem Linux Webserver mit Apache und MariaDB Datenbankserver. Die Konfiguration von WordPress kommt dann ca. 1 Minute spĂ€ter im Video.

Quelle: Wie am WordPress installiert

Hungry Shark World

Screenshot by Marius

Ein Free-2-Play Titel macht grade viral bei Androidbesitzern mit  5 Millionen Downloads in der ersten Woche die Runde : „Hungry Shark World“ .

In App Store wurden bereits die ersten NachahmungstĂ€ter gesichtet 😉 Wir stellen klar, das Spiel ist nur echt, wenn es von UBI SOFT kommt !

Wir haben es angespielt und es ist …. naja.. die Steuerung ist etwas zĂ€h, trotz der 341 MB InstallationsgrĂ¶ĂŸe lĂ€dt das Spiel beim Starten noch Sachen nach. Aber das Spiel scheint ganz nett zu sein. Spielt es aber lieber auf einem Tablet, beim Handyeinsatz verkrampft man so beim Spielen

Quelle: hungry-shark-world-goes-viral

Es scheint lustige IOT TĂŒrklingeln zu geben, die allerdings nicht nur das eigene Haus mit der Klingelfunktion versehen, sondern gleich die ganze Nachbarschaften „vernetzen“ 😀 Falls Sie auch eine „Ring Doorbell“ haben, sollten Sie mal prĂŒfen, ob Ihre TĂŒr nicht schon offen ist.

Quelle: some-ring-doorbell-pro-users-could-temporarily-see-other-peoples-houses

Microsoft Ă€ndert endlich seine Politik, das WLAN Passwort unter Windows 10 an die „Freunde“ des Besitzers zu „teilen“ 🙂

Quelle: windows10-wifi-sense

Und Sie fahren immer noch durch die Gegend, die gefakten GSM Basisstation in China, ĂŒber die Spams und Trojaner verteilt werden. Laut Reportern, sollen in der Industrie vor rund 4 Jahren bereits 1,6 Millionen Menschen als Webdesigner, Hacker und Fahrer gearbeitet haben.

Quelle : China-Spam-ueber-gefaelschte-Mobilfunk-Basisstationen

… und dann war da noch die Sache mit dem nutzlosen H264Codec von Cisco fĂŒr Fedora, der halt nur Baseline Profile codieren kann.

Quelle: OpenH264 in Fedora Workstation