Johnny Mnemonic unter dem Gesichtspunkt von Cybersicherheit

Die Zukunft, die sich William Gibson in seiner Kurzgeschichte ausmalte, auf die der Kinofilm Vernetzt – Johnny Mnemonic basiert, verkörpert alle wichtigen Aspekte des Science-Fiction-Genres Cyberpunk – aufregend, gefährlich, sehr fortschrittlich und äußerst technisch. Da der Film interessanterweise in 2021 spielt, haben wir ihn unter dem Gesichtspunkt von Cybersicherheit analysiert und die damalige fiktive Welt von 2021 mit der Gegenwart verglichen.

Filmbeschreibung

Die Filmhandlung findet in einer eher düsteren Welt statt, die von großen High-Tech-Konzernen beherrscht wird. Die Hälfte der Erdbevölkerung leidet am „Nerve Attenuation Syndrom“ (NAS), für das es bisher kein Heilmittel gibt. Die Ursache der Krankheit wurde von einem der Filmcharaktere folgendermaßen beschrieben: „Informationsflut! All die Elektronik, die uns umgibt, vergiftet die Luft.“

Übermächtige Konzerne, Pandemien und Verschwörungstheorien über neue Technologien. Kommt Ihnen das bekannt vor? Na ja, ganz stimmt das fiktive Jahr 2021 nicht mit dem aktuellen Jahr überein – Im Film ist es 2021 möglich Speicherkarten im menschlichen Gehirn zu implantieren. In unserer realen Welt sind wir trotz den Anstrengungen von Elon Musk noch nicht so weit. Mit der für die 80er/90er-Jahre typischen Darstellung des Internets als schräges Virtual-Reality-Universum werden wir uns nicht detailliert befassen. So ist das Internet nun einmal nicht, zumindest nicht in unserem 2021.

Pharmaindustrie

Laut der Filmhandlung gibt es ein Heilmittel für NAS, aber ein großer Pharmakonzern hält es geheim, da es wesentlich gewinnbringender ist die Symptome zu lindern, als die Krankheit ein für alle Mal aus der Welt zu schaffen. Einige der Mitarbeiter des Pharmakonzerns sind nicht damit einverstanden. Sie beschließen medizinische Informationen zu stehlen und löschen teilweise wichtige Unternehmensdaten.

Es liegt auf der Hand, dass das Pharmaunternehmen einige Schwachstellen im IT-Sicherheitssystem hatte:

• Die Rechte für Datenzugriff wurden zu großzügig an die Wissenschaftler vergeben. Natürlich müssen Arzneientwickler in der Lage sein, betriebliche Informationen einzusehen und eventuell auch an den Server zu schreiben. Aber warum sollten sie auch dazu berechtigt sein, geheime Informationen permanent zu löschen?
• Der Pharmakonzern verfügte über kein Back-up (zumindest über keine Offline-Sicherungskopie). Diese Tatsache ist wesentlich für die restliche Handlung des Films – einschließlich der Jagd auf den „mnemonischer Kurier“ (mehr darüber weiter unten) – denn das Unternehmen musste unbedingt die Daten zurückbekommen, egal wie … Mit den richtigen Sicherheitskopien hätte das Unternehmen die Daten einfach wiederherstellen, das Datenleck beheben und die Daten des Kuriers löschen können. Im Film bestand die einzige Lösung für das Unternehmen darin, den Kopf des Datenkuriers abzusägen, ohne die darin enthaltene Speicherkarte zu beschädigen.

Es ist auch erwähnenswert, dass im Unternehmensnetzwerk des Pharmakonzerns eine digitale Kopie der Erinnerungen des Unternehmensgründers zu finden war. Darüber hinaus verfügte die künstliche Intelligenz nicht nur über eigene Willensfreiheit und ungehinderten Zugang zum kompletten Internet, sondern war auch nicht mit der Entwicklung des Unternehmens einverstanden, das sich langsam aber sicher in etwas Fürchterliches entwickelte.

Lo Teks

Die Untergrundorganisation Lo Teks kämpft gegen die übermächtigen Unternehmen. In der Originalgeschichte waren die Le Teks eher gegen Technologie, aber in der adaptierten Version für das Kino werden sie als moderne Hacker dargestellt. Der Cyborg-Delfin Jones lebt gemeinsam mit den Lo Teks zusammen und nutzt seine kryptografischen Fähigkeiten, um an wertvolle Informationen heranzukommen, die die Gruppe mithilfe eines gehackten Fernsehsignals veröffentlichen. Mitten im Unterschlupf der Gruppe befindet sich ein großer Müllberg aus Kabeln und alten Röhrenfernsehern.

Trotz der gelegentlichen Streiche auf TV-Sendungen wurden den Lo Teks keinerlei Beachtung geschenkt (noch ihre Existenz wahrgenommen), bis sie sich mit Johnny zusammenschlossen.

Online-Kommunikation

Im Film versucht Johnny eine alte Bekanntschaft zu kontaktieren. Zu diesem Zeitpunkt wird deutlich, dass die Experten des Pharmakonzerns, die mit Yakuza zusammenarbeiten, alle Bekannten von Johnny überwachen – im Sci-Fi-Jahr 2021 steht es mit der Privatsphäre also schlechter als heute.

Eigentlich könnte man davon ausgehen, dass ein Hacker und Schmuggler in der Lage sein müsste online anonym zu kommunizieren, aber es stellt sich heraus, dass Johnnys Beziehungen alle bekannt sind und sein Standort sofort entdeckt wird (auch wenn er über einen neuen, frisch gestohlenen Computer mit einer Art heimlichen Modul auf das Internet zugreift).

Das Pharmaunternehmen aktiviert außerdem einen „Virus“, um Johnnys Kommunikation zu beeinträchtigen. Wie es bei Filmen in der Regel üblich ist, wird es auch hier mit der Terminologie nicht so genau genommen und in diesem Fall scheint es eher ein Tool für  Denial-of-Service-Angriffe zu sein als ein Virus.

Mnemonische Kurier

Lassen Sie uns jetzt einen Blick auf das Hauptthema des Films werfen, bei dem es sich überwiegend um Cybersicherheit dreht – denken Sie an den Beruf der Hauptrolle. Als mnemonischer Kurier wird der Kopf von Johnny buchstäblich als Datenspeicher verwendet. Diese Datenkuriers werden eingesetzt, um äußerst wertvolle Daten zu transportieren, die im Internet nicht sicher sind. Die rebellischen Wissenschaftler beauftragen Johnny damit, die gestohlenen medizinischen Daten an ein Ärzteteam in Newark zu überbringen.

Das Datenimplantat

Die hier angewendete Technologie ist ziemlich unlogisch – Die Daten werden direkt im Gehirn gespeichert und um Platz dafür zu machen, muss Johnny den Großteil seiner Kindheitserinnerungen opfern. Der normale Speicherplatz beträgt 80 GB, erweiterbar auf 160 GB, indem kurz eine externe Box angeschlossen wird. Tatsächlich ist es aber möglich die doppelte Menge an Daten, d. h. bis zu 320 GB zu speichern. Durch diese Datenmenge wird das Gehirn allerdings stark zusammengedrückt und der Kurier leidet an Krämpfen und Nasenbluten und sogar die Daten könnten beschädigt werden.

Im Film sind die Datenimplantate recht leicht zu entdecken. Zum Beispiel werden die Menschen jedes Mal gescannt, wenn sie eine Grenze überqueren und die Implantate werden dabei entdeckt. Die Scanner scheinen aber nicht so gut zu funktionieren, denn die Speicherkarte wird nur als Gerät zur Vorbeugung von Legasthenie eingestuft. Warum der Datenspeicher bei den Grenzbeamten keinen Verdacht hervorgerufen hat, wird im Film nicht erklärt.

Datenschutz

Die Datenschutzmethode ist absolut originell. Während der Datenübertragung sieht sich der Kurier drei zufällig ausgewählte TV-Screenshots an. Die Daten werden „in den Screenshots aufgelöst“ und die Bildschirmfotos dienen später als „Download-Schlüssel“. Ohne diese Schlüssel ist es unmöglich die Daten herunterzuladen und sie können auch nicht gelöscht werden. Die Empfänger brauchen also diese Bildschirmfotos, um Zugriff auf die Daten zu erhalten. Das könnte man mit der heutigen Datenverschlüsselung gleichsetzen, aber es ist gleichzeitig ein Mechanismus, um Zugriff auf ein Implantat zu erhalten.

Kaum haben die Wissenschaftler die Daten in das Implantat hochgeladen, werden sie von der Yakuza-Killerbrigade des Pharmakonzerns angegriffen. Einer der Screenshots wird im darauffolgenden Schusswechsel zerstört, Johnny kann einen retten und der dritte gerät in die Hände der Angreifer.

Versendung der Schlüssel

Der „Schlüssel“ wird per Fax geschickt. Das ist gar nicht so lustig, wie es sich anhört. Auch wenn Fax im aktuellen 2021 längst veraltet ist, ist es sinnvoll die Schlüssel per Fax zu senden, weil hierfür das Telefonnetzwerk verwendet wird, was rein theoretisch sicherer sein kann als das Internet. Leider beeinträchtigt das Versenden per Fax die Bildqualität stark. Außerdem sind im Film alle Faxgeräte mit dem Internet verbunden, also spielt es hier sowieso keine Rolle.

Nachdem Johnny den Yakuzas entkommen konnte, versucht er die fehlenden Screenshots wiederherzustellen. Er findet das Fax, über das die Screenshots gesendet wurden und die Anmeldedaten im IT-System eines Hotels. Das IT-System konnte er mit dem dritten Versuch ganz einfach knacken. Es war garantiert kein starkes Passwort. Dazu muss gesagt werden, dass das mit unserem Jahr 2021 genau übereinstimmt – Für die meisten Hotels bedeutet Sicherheit immer noch ein gutes Türschloss. Auf jeden Fall findet Johnny die Fax-Adresse des Empfängers heraus.

Er braucht keine Authentifizierung, um sich mit dem Fax zu verbinden. Da er sich remote verbindet, kann jeder die Daten vom Zwischenspeicher ablesen, also ist dieser Kommunikationskanal vollkommen untauglich für vertrauliche Informationen.

Datenextraktion ohne Schlüssel

Die Situation sieht aussichtslos aus. Ohne die Schlüssel kann Johnny die Daten weder herunterladen noch in seinem Kopf löschen. Da er die doppelte Menge an Daten im Kopf transportiert, wird er bald daran sterben und das Heilmittel für die Pandemie wird für immer verloren gehen.

Moment mal – es gibt eine Menge Möglichkeiten Daten ohne Schlüssel zu extrahieren (die unterschiedlich schwerwiegende Folgen haben können):

• Die Yakuza hatten vor Johnnys Kopf abzusägen, um dann die Datenextraktion mithilfe des „Quantum-Interferenz-Melders“ durchzuführen.
• Ein auf Implantate spezialisierter Arzt verfügte über einige Entschlüsselungscodes, die mit etwas Glück für die Datenrückgewinnung tauglich sein könnten. In diesem Fall funktionierte es nicht, aber diese Szene deutete an, dass es manchmal doch funktioniert, wodurch die Zuverlässigkeit von Verschlüsselungsalgorithmen deutlich infrage gestellt wird.
• Daraufhin schlägt derselbe Arzt vor, die Daten und das Implantat chirurgisch zu extrahieren, was ein erhebliches Risiko für das Leben des Datenkuriers darstellt, abgesehen von den Folgeschäden der Operation …
• Der Cyborg-Delfin Jones wurde von der US-Navy dafür geschult, feindliche U-Boote remote zu hacken und kann seine Fähigkeit jetzt mit Johnnys Kopf ausprobieren.
• Einer der Yakuza erwähnte, dass selbst nach dem Herunterladen und Löschen der Daten, die Restdaten durch „mnemonische Sensoren“ wiederhergestellt werden könnten.

Schlussfolgerungen

Es macht keinen Sinn mnemonische Kuriere zu verwenden. Für diesen ausgeklügelten Plan wird offensichtlich die symmetrische Verschlüsselung benutzt, was den Nachteil hat, dass egal wie komplex der Schlüssel an sich ist, er an den Empfänger übergeben werden muss. Die Schlüsselübertragung erfolgt über einen ungeschützten Kanal und der überladene Speicherplatz im Implantat verstößt gegen die Sicherheitsregeln, wodurch sowohl die Gesundheit des Kuriers als auch die Datensicherheit aufs Spiel gesetzt werden. Aber der größte Schwachpunkt dieser Methode besteht darin, dass es unzählige Möglichkeiten gibt, die Daten ohne Schlüssel zu extrahieren.

Außerdem gelingt es dem aquatischen Gehilfen von Johnny, der nur über zwei Screenshots verfügt, das Gehirn des Kuriers zu hacken und den dritten Schlüssel zu extrahieren. Die Schlüssel werden also in der verschlüsselten Information gespeichert und das ist eine sehr unsichere Methode.

Im heutigen 2021 wäre es einfach Daten mithilfe eines zuverlässigen asymmetrischen Verschlüsselungsalgorithmus per Internet zu verschicken. Auch wenn der Datentransfer an sich nicht geheim gehalten werden kann, wird immerhin gewährleistet, dass die Daten beim Empfänger ankommen. Und 320 GB werden heutzutage auch nicht mehr als eine große Datenmenge angesehen.

Was verwirklichte sich über die Jahre und was nicht?

Unser 2021 ist glücklicherweise nicht so düster wie im Sci-Fi-Film – zumindest nicht auf die Art und Weise, wie es im Film dargestellt wird. Cybersicherheit hat bereits eine beträchtliche Wegstrecke zurückgelegt. Sie fragen sich jetzt bestimmt, was von dem Film in unserer heutigen Welt tatsächlich passieren könnte.

• Im aktuellen 2021 werden mehrere Terabyte an vertraulichen Informationen, einschließlich Impfstoffdaten Das Datenleck des Pharmakonzerns im Film ist glaubwürdig und auch heute durchaus möglich.
• Angriffe und Sabotagen von Insidern, bzw. Mitarbeitern sind gar nicht ungewöhnlich. Wie beispielsweise dieser kürzlich aufgedeckte Vorfall, der auch die Gesundheitsbranche betraf.
• Sich seiner selbst bewusste künstliche Intelligenz gibt es in der Online-Welt (soweit wir wissen) noch nicht.
• Ein Cyborg-Delfin mit den Fähigkeiten eines Hackers ist zu weit hergeholt. Im Gegensatz zu vielen Sci-Fi-Prophezeiungen haben es Delfine noch nicht gelernt menschliche Daten zu verarbeiten und elektronische Geräte zu verwenden.
• Angriffe über das Rundfunksignal sind allerdings sehr real. Doch ist das Ausmaß meist gering und die Übeltäter werden in der Regel schnell identifiziert.
• Eine Person kann online anhand einer Verbindung mit einer bestimmten Adresse identifiziert werden, aber dafür ist umfangreiche Vorarbeit für notwendig.
• Ein Denial-of-Service-Angriff auf den Link von zwei Netzwerkkunden ist heutzutage möglich, allerdings wird der DoS-Angriff nicht mit einem Virus durchgeführt, sondern besteht darin, den Kommunikationskanal außer Betrieb zu setzen.
• Bis heute können weder Chips noch Speicherkarten in das menschliche Gehirn implantiert werden. Die aktuellen Experimente fokussieren darauf eine neutrale Schnittstelle für die Kommunikation mit Computern zu erstellen und nicht auf die Schaffung von Speicherplätzen.
• Und zu guter Letzt: Datentransfer über das menschliche Gehirn ist nicht nur unrealistisch, es ist schlicht und einfach Unsinn. Dank der heutigen Verschlüsselungsmethoden könnten Daten einfach und sicher über das Internet übertragen werden.