mahablog's soup

47 Technokraten und Sicherheitsexperten haben zusammen mit der Electronic Frontier Foundation und dem Center for Democracy & Technology einen offenen Brief an die NSA Review Group veröffentlicht. Die Ratio der Unterzeichner ist recht einleuchtend: Wenn das selbst ernannte Ziel einer ‘Review Group’ ist, zu untersuchen inwieweit die technischen Maßnahmen der NSA die Bürgerrechte wahren, dann sollte zumindest einer aus der Gruppe den nötigen technischen Sachverstand haben. Dem ist leider nicht so. Die NSA Review Group setzt sich aus folgenden Leuten zusammen:

• Michael Morell, seit 1980 beim CIA
• Richard Clarke, Clintons und Bushs Berater für Nationale Sicherheit
• Cass Sunstein, Jura-Professor und langjähriger Berater Obamas
• Peter Swire, Jura-Professor und Datenschutzbeauftragter unter Clinton
• Geoffrey Stone, Jura-Professor

Es gibt einige Kritik an der Zusammensetzung dieser Expertengruppe, von der Barack Obama behauptet, sie sei “unabhängig” und “betriebsfremd” (in Bezug auf die Geheimdienste). Der Director of National Intelligence, der die Gruppe auf Geheiß Obamas ins Leben rief, definierte als Ziel der Ermittlungen folgendes:

The Review Group will assess whether, in light of advancements in communications technologies, the United States employs its technical collection capabilities in a manner that optimally protects our national security and advances our foreign policy while appropriately accounting for other policy considerations, such as the risk of unauthorized disclosure and our need to maintain the public trust.

Ungeachtet der Tatsache, dass die Expertgruppe weder betriebsfremd, noch unabhängig ist, ist sie vor allem nicht in der Lage die implementierten Maßnahmen aus technischer Perspektive zu beurteilen. Dies ist jedoch von enormer Wichtigkeit seitdem bekannt wurde, dass die NSA aktiv Verschlüsselungsverfahren bricht, kompromittiert und Einfluss auf die NIST-Standardisierungsverfahren nimmt. All das kann diese Expertengruppe nicht beurteilen. Nichtmal ansatzweise. Daher der offene Brief.

The Review Group must have deep, competent technical expertise. You must also have access to granular technical details to do this work and you must be able to properly situate the technical reality you find behind the veil of secrecy surrounding the surveillance programs. You must recognize that current NSA surveillance activities make everyone less secure and call into question the extent to which human rights translate into the online environment.

Der Brief endet mit 6 Fragen, die die NSA Review Group gegenüber der NSA stellen sollte.

1. Wie genau gelangt die NSA an private SSL Schlüssel von X.509 Zertifikaten?
2. Inwieweit wird die Effizienz, Genauigkeit, Einhaltung von Vorschriften und Nutzen der Programme überprüft?
3. Wie werden die gesammelten Daten abgespeichert und wer hat unter welchen Bedingen Zugriff auf diese Daten?
4. Was sind beispielhafte Datensätze, die erfasst oder zusammengestellt werden, für jedes aktive NSA Programm?
5. Was genau wird durch Upstream erfasst, basierend auf welchen Identifikatoren?
6. Wie genau wird zwischen Bürger und Ausländer unterschieden?

Wir wollen netzpolitik.org weiter ausbauen. Dafür brauchen wir finanzielle Unterstützung. Investiere in digitale Bürgerrechte.