SecureDrop

SecureDrop
colspan="2" class="notheme" style="text-align:center; background:#Vorlage:Standardfarbe; color:#202122;" | SecureDrop Logo
Screenshot der SecureDrop Ansicht für Whistleblower. Screenshot der Ansicht für Whistleblower.
Basisdaten
Hauptentwickler	Freedom of the Press Foundation
Entwickler
Erscheinungsjahr	2013
Aktuelle Version	()
Aktuelle Vorabversion	()
Betriebssystem	Linux, Tails
Programmier­sprache	Shell, Python
Lizenz	AGPL<ref name="official-website" />
deutschsprachig	ja
securedrop.org

SecureDrop () ist eine freie Plattform zur sicheren Kommunikation zwischen Journalisten und Whistleblowern. Die Webanwendung wurde ursprünglich unter dem Namen DeadDrop von Aaron Swartz, James Dolan und Kevin Poulsen entwickelt.<ref name="techrepublic-how-strongbox-works" />

Die erste Instanz der Plattform wurde am 14. Mai 2013 unter dem Namen Strongbox von The New Yorker eingeführt.<ref name="the-new-yorker-introducing-strongbox" /> Nach dem Tod von Aaron Swartz wurde das Projekt im Oktober 2013 von der Freedom of the Press Foundation übernommen und unter dem Namen SecureDrop fortgeführt.<ref name="official-website" /> Inzwischen gibt es Installationen von verschiedenen Organisationen,<ref name="offizielle-liste" /> darunter sind auch The Guardian<ref name="guardian-launches-securedrop" />, The Washington Post<ref name="washpo-securedrop" />, The Intercept,<ref name="the-intercept-securely-contact" />, die New York Times<ref>The New York Times: Tips. Abgerufen am 25. Januar 2021 (). </ref>, die Süddeutsche Zeitung<ref>Christopher Ophoven: Investigativer Journalismus – Die unsichere Kommunikation mit anonymen Quellen. In: Deutschlandfunk. Abgerufen am 28. März 2019 (). </ref><ref>So erreichen Sie uns sicher. In: Süddeutsche Zeitung. Abgerufen am 28. März 2019. </ref> und der Heise-Verlag.<ref>Vorlage:Cite book/NameVorlage:Cite book/Name: [ Heise öffnet Enthüllungsplattform heise Tippgeber.] heise.de, , archiviert vom Vorlage:IconExternal (nicht mehr online verfügbar) am Vorlage:Cite book/URL; abgerufen am 26. März 2017: „Der sichere Briefkasten beruht auf dem speziell für solche Zwecke konzipierten Open-Source-Projekt Secure Drop der Freedom of the Press Foundation, das heise Security für den Einsatz im Redaktions-Alltag angepasst hat. […] heise Tippgeber ist damit das erste große deutsche Internet-Angebot, das einen anonymen Briefkasten auf Basis von Secure Drop anbietet.“ Vorlage:Cite book/URLVorlage:Cite book/MeldungVorlage:Cite book/Meldung2Vorlage:Cite book/MeldungVorlage:Cite book/MeldungVorlage:Cite book/MeldungVorlage:Cite book/MeldungVorlage:Cite book/Meldung</ref><ref>Jürgen Schmidt: Einfach / sicher. Hinter den Kulissen von heise Tippgeber. In: c't (Heise-Verlag). Nr. 17, 2016, S. 130–132.</ref>

2016 erhielt SecureDrop den FSF Award.

Sicherheit

SecureDrop verwendet das Tor-Netzwerk zur Anonymisierung; es soll eine sichere Kommunikation zwischen Whistleblowern und Journalisten ermöglicht werden.<ref name="techrepublic-how-strongbox-works" /> Installationen von SecureDrop sind deswegen nur als Tor Onion Services mit einer .onion-Adresse erreichbar. Beim Upload der sensiblen Dokumente, wird dem Whistleblower ein zufällig generierter Code-Name zugewiesen. Mit diesem können die Journalisten Nachrichten an den Whistleblower hinterlassen. Die Nachrichten können nur durch SecureDrop und mit dem richtigen Code-Namen abgerufen werden.<ref name="the-new-yorker-introducing-strongbox" />

Audits

Vor der Veröffentlichung jeder Hauptversion wird, von einem sich jedes Mal ändernden externen Expertenteam, ein Sicherheitsaudit durchgeführt.<ref name="announcing-v0.3.1" />

Im August 2013 wurde der erste Sicherheitsaudit von einem Team der University of Washington, zu dem unter anderem Bruce Schneier und Jacob Appelbaum gehörten, durchgeführt. Sie empfanden SecureDrop als ein technisch anständiges System, bemängelten aber die technische Kompetenz, die von Journalisten vorausgesetzt wird. Fehler in der Anwendung von Journalisten könnten die Anonymität der Quellen gefährden.<ref name="deaddrop-strongbox-security-assessment" />

Der Quelltext der Version 0.2.1 wurde vor der Veröffentlichung von der Berliner Sicherheitsfirma Cure53 überprüft.<ref name="securedrop-dev-2014-01-09" /> In der Zusammenfassung des Penetrationstest-Berichts wurde angegeben, dass keine kritischen Fehler gefunden wurden. Zudem wird SecureDrop als gut gesicherte Anwendung mit geringen Angriffsmöglichkeiten beschrieben.<ref name="cure53-pentest-report" />

Vor der Veröffentlichung der Version 0.3 wurde ebenfalls ein Sicherheitsaudit von dem Sicherheitsunternehmen iSECpartners, unter der Leitung von Valentin Leon und Jonathan Chittenden, durchgeführt. Es wurden dabei zwei Schwachstellen entdeckt, welche jedoch als „schwer ausnutzbar“ eingestuft wurden und vor der Veröffentlichung ausgebessert wurden. Keine der entdeckten Schwachstellen wurde als kritisch eingestuft.<ref name="announcing-v0.3.1" />

Funktionsweise

Die bereitgestellten Dokumente werden mit OpenPGP verschlüsselt und zu einem abgetrennten Spiegelserver übertragen. Journalisten greifen mit einer Verbindung durch das Tor-Netzwerk auf den Server zu und speichern die verschlüsselten Dokumente auf einem USB-Speicherstick. Ein vom Internet getrennter Computer wird mit einer Live-CD gestartet; vor jeder Benutzung werden alle Daten komplett von diesem Computer gelöscht. Die zur Entschlüsselung benötigten Schlüssel sind auf einem weiteren USB-Stick gespeichert. Die Dokumente können jetzt entschlüsselt und für die Veröffentlichung vorbereitet werden.<ref name="official-website" /><ref name="techrepublic-how-strongbox-works" /><ref name="the-new-yorker-introducing-strongbox" />

Weblinks

• Offizielle Website
• Repository bei GitHub

Quellen

<references> <ref name="announcing-v0.3.1"> Garret Robinson: Announcing the new version of SecureDrop, with the results from our third security audit. 23. März 2015, archiviert vom Vorlage:IconExternal (nicht mehr online verfügbar) am 23. März 2015; abgerufen am 23. März 2015 ().  </ref> <ref name="securedrop-dev-2014-01-09"> Garrett Robinson: 0.2.1 Released! Abgerufen am 31. Juli 2014 ().  </ref> <ref name="official-website"> Freedom of the Press Foundation: SecureDrop. Abgerufen am 31. Juli 2014 ().  </ref> <ref name="techrepublic-how-strongbox-works">Michael Kassner: Aaron Swartz legacy lives on with New Yorker’s Strongbox: How it works. TechRepublic, 20. Mai 2013, archiviert vom Vorlage:IconExternal (nicht mehr online verfügbar) am 29. Juli 2013; abgerufen am 31. Juli 2014 ().  Info: Der Archivlink wurde automatisch eingesetzt und noch nicht geprüft. Bitte prüfe Original- und Archivlink gemäß Anleitung und entferne dann diesen Hinweis.@1@2Vorlage:Webachiv/IABot/www.techrepublic.com </ref> <ref name="the-new-yorker-introducing-strongbox"> Amy Davidson: Introducing Strongbox. The New Yorker, 14. Mai 2013, abgerufen am 31. Juli 2014 ().  </ref> <ref name="offizielle-liste"> Freedom of the Press Foundation: The Official SecureDrop Directory. Archiviert vom Vorlage:IconExternal (nicht mehr online verfügbar) am 2. Januar 2015; abgerufen am 31. Juli 2014 ().  Info: Der Archivlink wurde automatisch eingesetzt und noch nicht geprüft. Bitte prüfe Original- und Archivlink gemäß Anleitung und entferne dann diesen Hinweis.@1@2Vorlage:Webachiv/IABot/freedom.press  </ref> <ref name="guardian-launches-securedrop"> James Ball: Guardian launches SecureDrop system for whistleblowers to share files. The Guardian, 5. Juni 2014, abgerufen am 31. Juli 2014 ().  </ref> <ref name="the-intercept-securely-contact"> Micah Lee: How to Securely Contact The Intercept. The Intercept, 3. Februar 2014, abgerufen am 31. Juli 2014 ().  </ref> <ref name="cure53-pentest-report"> Mario Heiderich, Nikolai K., Fabian Fäßler: Pentest-Report SecureDrop 12.2013. (PDF) Cure53, Dezember 2013, S. 14, abgerufen am 4. August 2014 ().  </ref> <ref name="deaddrop-strongbox-security-assessment"> Alexei Czeskis, David Mah, Omar Sandoval, Ian Smith, Karl Koscher, Jacob Appelbaum, Tadayoshi Kohno, Bruce Schneier: DeadDrop/StrongBox Security Assessment. (PDF) University of Washington, 11. August 2013, S. 20, abgerufen am 4. August 2014 ().  </ref> <ref name="washpo-securedrop"> Washington Post: Q&A about SecureDrop on The Washington Post. Washington Post, 5. Juni 2014, abgerufen am 12. September 2014 ().  </ref> </references>