Moralfrage

[Olli]

Hi,

mich hat jemand, der behauptet aus Griechenland zu stammen und dort angeblich seinen Doktor macht, vor zwei oder drei Wochen angeschrieben und gefragt, ob ich ihm weiterhelfen kann Avenue-Skripte (AVX - extension, APR - project) zu "entschlüsseln". Damit hatte ich zuletzt vor einigen Jahren (fast 4) im Rahmen eines Projektes damit zu tun hatte, war das alles nicht mehr sonderlich frisch. Aber ich ließ mich erstmal drauf ein, zumal meine damalige Anwendung auch nicht sonderlich perfekt gelungen war.^Nun habe ich seit gestern einen voll funktionstüchtigen Prototypen (12kB, CUI, C++), den ich theoretisch veröffentlichen oder zumindest dieser Person schicken könnte. Zeitaufwand bisher inkl. aller Tests ~36h.

Nun lassen sich aber im Internet bekanntlich Identitäten schwerlich nachprüfen, woraufhin ich mir dachte, daß ich mir am besten erstmal anwaltlichen Rat einhole. Die besagte Person schrieb mir nun heute, daß ich es schicken solle, woraufhin ich entgegnete, daß ich erst einen Anwalt konsultieren würde (bzgl. rechtlicher Probleme bei einer Veröffentlichung). Daraufhin wurde die Person verbal grob und verabschiedete sich sehr schnell. Ich "bedankte" mich dann noch für die Verschwendung meiner Zeit - woraufhin (eigenartigerweise) diese Person meinte daß ich ihre Zeit verschwendet hätte.

Was haltet ihr von der Sache? Ich habe keine große Lust es jetzt noch überhaupt zu veröffentlichen. Im Grunde ist mir sogar eine Menge meiner bisherigen Hilfbereitschaft bitter wie Galle aufgestossen.

Einige Fakten zum Schluß:

• Das Ver-/Entschlüsseln basiert auf einem 8-Byte langen statischen "Schlüssel".
• Jedes Byte im "Schlüssel" ist ein vorzeichenbehafteter Integer und wird benutzt um den aktuellen Bytewert zu "berechnen" (Vgl. ROT13 usw.).
• Es wurde kein RCE/RE benutzt um es zu schreiben - also kein "Knacken" von Kopierschutz oder so.

Gruß aus der "rauchigen Bucht" (Reykjavik),

[IngoD7]

Zitat:

Zitat von Olli

Hi,

mich hat jemand [...] vor zwei oder drei Wochen angeschrieben und gefragt, ob ich ihm weiterhelfen kann Avenue-Skripte (AVX - extension, APR - project) zu "entschlüsseln". [...] Aber ich ließ mich erstmal drauf ein,

:shock:
Darf dich jeder anschreiben und irgendwelche Dinge von dir wünschen? So ganz unbekannterweise aus den Weiten des Internets??? :roll: Sei froh, dass du den Kontakt gelöst hast, bevor du in Sachen hineingezogen wirst, die du nicht absehen kannst.

Ich habe keinen blassen Schimmer, um was es fachlich geht. Irgendwas mit Verschlüsseln. Klingt spannend - ist mir aber wurscht.

Wenn du alle rechtlichen Bedenken deinerseits per Anwalt ausräumen konntest, dann ist es doch einzig deine Entscheidung, ob und was du mit dem Teil nun anstellst. Was interessiert da der Grieche noch?

Soll auch heißen: Zu was möchtest du denn jetzt genau eine Meinung hören? :?:

[bigg]

moin,

Das klingt alles sehr seltsam, aber eine Frage hätte ich trotzdem: Wieso hast du die Person nicht gleich darauf angesprochen? Eine Woche für lau programmieren, scheint ja ziemlich langweilig zu sein, bei euch dort drüben. :stupid:

[Olli]

Zitat:

Zitat von IngoD7

Darf dich jeder anschreiben und irgendwelche Dinge von dir wünschen? So ganz unbekannterweise aus den Weiten des Internets??? :roll:

Gegenfrage, darf jeder hier im Forum eine Frage stellen und würdest du sie beantworten, wenn du eine Antwort wüßtest? Es war eine sehr spezifische Frage und ich bin mir bewußt, daß ich im Moment einer derjenigen bin die wissen wie's geht, auch wenn es normalerweise mit etwas Probieren nicht allzu schwer herauszufinden wäre.

Zitat:

Zitat von IngoD7

Sei froh, dass du den Kontakt gelöst hast, bevor du in Sachen hineingezogen wirst, die du nicht absehen kannst.

Das "Schlimmste" was ich mir an "Sachen" vorstellen kann, ist ein geplantes Plagiat. Es gibt natürlich auch völlig unbedenkliche (moralisch gesehen) Anwendungsgebiete, aber das Verhalten der Person hat mich dann doch reichlich nachdenklich gemacht.

Da ich selber schon zweimal definitiv Opfer eines Plagiats wurde (einer derjenigen ist hier sogar im Forum unterwegs ;) ... bin ihm aber nicht mehr böse :zwinker: :mrgreen: ), ist mir halt nicht wohl dabei.

Zitat:

Zitat von IngoD7

Wenn du alle rechtlichen Bedenken deinerseits per Anwalt ausräumen konntest, dann ist es doch einzig deine Entscheidung, ob und was du mit dem Teil nun anstellst. Was interessiert da der Grieche noch?

a.) er würde trotz seines bescheuerten Verhaltens doch aus meiner Gutmütigkeit profitieren und b.) noch ist nichts ausgeräumt.

Zitat:

Zitat von IngoD7

Soll auch heißen: Zu was möchtest du denn jetzt genau eine Meinung hören? :?:

Zu der Frage ob ich sowas veröffentlichen sollte. Ich könnte auch einfach einen Kumpel fragen und eine Meinung bekommen. Aber ich denke es gibt mir bessere Perspektiven wenn ich die Meinung unterschiedlicher Leute erfahre.

@bigg: Sekunde, ich habe ja der Person angeboten das Skript auf meiner Seite zu "entschlüsseln"! Am Ende ging es dann aber offenbar um das frei Entschlüsseln jeglicher Skripte nach Gusto der Person. Er hätte mir ja einfach ein paar Skripte schicken können und ich hätte ihm die Ausgabe wieder zugeschickt.

[MrKnogge]

Allein an der Tatsache das er grob beleidigend wurde, würde ich mir an deiner Stelle keine Gedanken mehr darüber machen.

Gruß

[IngoD7]

Zitat:

Zitat von Olli

Zitat:

Zitat von IngoD7

Darf dich jeder anschreiben und irgendwelche Dinge von dir wünschen? So ganz unbekannterweise aus den Weiten des Internets??? :roll:

Gegenfrage, darf jeder hier im Forum eine Frage stellen und würdest du sie beantworten, wenn du eine Antwort wüßtest? Es war eine sehr spezifische Frage und ich bin mir bewußt, daß ich im Moment einer derjenigen bin die wissen wie's geht, auch wenn es normalerweise mit etwas Probieren nicht allzu schwer herauszufinden wäre.

Du kannst dich meinetwegen anschreiben lassen, von wem du möchtest. :???: Aber der Vergleich "dieses Forum" mit "mal ebenso von irgendwo aus dem Cyber" hinkt doch etwas.

Zitat:

Zitat von Olli

Zitat:

Zitat von IngoD7

Sei froh, dass du den Kontakt gelöst hast, bevor du in Sachen hineingezogen wirst, die du nicht absehen kannst.

Das "Schlimmste" was ich mir an "Sachen" vorstellen kann, ist ein geplantes Plagiat. Es gibt natürlich auch völlig unbedenkliche (moralisch gesehen) Anwendungsgebiete, aber das Verhalten der Person hat mich dann doch reichlich nachdenklich gemacht.

Verstehe ich jetzt nicht. Entweder du schenkst und schickst ihm Routinen/Code, um die er dich gebeten hat, oder eben nicht. Wenn du Angst vor Ideenklau hast - was ja durchaus berechtigt sein mag-, dann schickst du es ihm eben nicht. Die Überlegung machst du aber doch vorher. :gruebel: Oder anders herum: Warum programmierst du ihm das, wenn du (anscheinend) nicht sicher bist, es später auch rauszurücken? Na, ist auch egal ...

Halten wir also fest: Im besten Fall warst du also "nur" dabei, ihm (einen Teil) seine(r) Doktorarbeit zu schreiben. Auch etwas, wo ich fragen würde: Warum tust du das? :twisted: :wink:

Und nein - auch wenn ich lange nicht mehr hier war: Hausaufgaben oder Doktorarbeiten :wink: habe ich noch niemandem hier im Forum zusammengestrickt. Warum auch?

Zitat:

Zitat von Olli

Zitat:

Zitat von IngoD7

Soll auch heißen: Zu was möchtest du denn jetzt genau eine Meinung hören? :?:

Zu der Frage ob ich sowas veröffentlichen sollte.

:?: :?:
Verstehe ich nach wie vor nicht. :cry: Mit "veröffentlichen" meinst du doch nicht, es dem Griechen zu geben, oder?
Daher hier meine Gegenfrage: Was spricht denn deiner Meinung nach dagegen, es zu veröffentlichen?

[marabu]

Hallo Olli,

1996 hat Mark Ontkush (Rutgers University) seinen Aufsatz GIS Data and Application Security veröffentlicht. Drei Jahre später wurde er auch gelesen - von Bill Huber, der sich allerdings noch Gedanken darüber machte, was er wem antun würde, wenn er sein decrypting tool veröffentlichen würde.

Heute kann man für 120 Euro ein solches Werkzeug legal kaufen - wenn ich das richtig sehe. Die Frage der Veröffentlichung ist also aus meiner Sicht nicht unbedingt eine Moralfrage, sondern eher eine Wirtschaftlichkeitsfrage. Die musst du dir aber selber beantworten, fürchte ich.

Guten Rutsch vom marabu

[Olli]

Zitat:

Zitat von IngoD7

Du kannst dich meinetwegen anschreiben lassen, von wem du möchtest. :???: Aber der Vergleich "dieses Forum" mit "mal ebenso von irgendwo aus dem Cyber" hinkt doch etwas.

Nicht wirklich, wenn du dir meine Seite, die Vielzahl von Programmen dort (mit Source), meine Aktivität in verschiedensten Foren über die letzten 8 Jahre sowie mein Engagement in einigen OSS-Projekten anschaust. Auch bei OSS-Projekten wird man ja um Features gebeten. Und wenn mich jemand etwas fragt was in meinem Wissensgebiet liegt, warum nicht ;)

Zitat:

Zitat von IngoD7

Verstehe ich jetzt nicht. Entweder du schenkst und schickst ihm Routinen/Code, um die er dich gebeten hat, oder eben nicht. Wenn du Angst vor Ideenklau hast - was ja durchaus berechtigt sein mag-, dann schickst du es ihm eben nicht. Die Überlegung machst du aber doch vorher. :gruebel: Oder anders herum: Warum programmierst du ihm das, wenn du (anscheinend) nicht sicher bist, es später auch rauszurücken? Na, ist auch egal ...

Warum, er kann mir ja die Skripte schicken, die er entschlüsselt haben will - und das war zum Anfang auch das Thema. Es ging nicht um den Weg sondern das Ziel. Inzwischen will er aber sozusagen einen Generalschlüssel haben.

Zitat:

Zitat von IngoD7

Halten wir also fest: Im besten Fall warst du also "nur" dabei, ihm (einen Teil) seine(r) Doktorarbeit zu schreiben. Auch etwas, wo ich fragen würde: Warum tust du das? :twisted: :wink:

Und nein - auch wenn ich lange nicht mehr hier war: Hausaufgaben oder Doktorarbeiten :wink: habe ich noch niemandem hier im Forum zusammengestrickt. Warum auch?

:lol:

Zitat:

Zitat von Olli

Verstehe ich nach wie vor nicht. :cry: Mit "veröffentlichen" meinst du doch nicht, es dem Griechen zu geben, oder?
Daher hier meine Gegenfrage: Was spricht denn deiner Meinung nach dagegen, es zu veröffentlichen?

Veröffentlichen ist schon allgemein zugänglich machen. Was spricht dagegen? Von mir privat nichts. Zuvor ging es ja quasi nur um den "Dienst" des Entschlüsselns.

[alzaimar]

So wie ich das sehe, wolltest Du jemandem einen Gefallen tun, hast Bedenken bekommen und einen Anwalt konsultiert. Mit deinen Bedenken konfrontiert wurde der Bittsteller unverschämt. Soweit richtig?

Wieso wird der Bittsteller unverschämt? Ich als Bittsteller würde jedenfalls -auch wenn ich es affig fände- (find ich aber nicht), höflich bleiben, weil ich ja etwas will. Wenn dieser Grieche dir also blöd kommt, ist er entweder ein arroganter Pisel oder hat etwas zu verbergen. Wozu also weiter drüber nachdenken?

[Olli]

Zitat:

Zitat von alzaimar

So wie ich das sehe, wolltest Du jemandem einen Gefallen tun, hast Bedenken bekommen und einen Anwalt konsultiert. Mit deinen Bedenken konfrontiert wurde der Bittsteller unverschämt. Soweit richtig?

Alles richtig bis auf die Tatsache, daß ich den Anwalt noch nicht konsultieren konnte.

Zitat:

Zitat von alzaimar

Wieso wird der Bittsteller unverschämt? Ich als Bittsteller würde jedenfalls -auch wenn ich es affig fände- (find ich aber nicht), höflich bleiben, weil ich ja etwas will. Wenn dieser Grieche dir also blöd kommt, ist er entweder ein arroganter Pisel oder hat etwas zu verbergen. Wozu also weiter drüber nachdenken?

Klingt nach einem Nein von dir.

Noch jemand anderes der seine Meinung kundtun möchte ohne zu hinterfragen wieso ich jemandem wohl einfach so einen Gefallen tun würde :zwinker:

[DGL-luke]

Frage: Was für Skripte sind das?

[Hansa]

Zitat:

Zitat von Olli

...Noch jemand anderes der seine Meinung kundtun möchte ohne zu hinterfragen...

Jo, ich natürlich. :mrgreen: Wie heißt es so schön : "ein gebranntes Kind scheut das Feuer". Du hast Dir die Finger aber offensichtlich immer noch nicht genug verbrannt. :stupid: Finger weg von solch dubiosen Sachen und unbekannten Leuten. Wenn schon, dann alles nur per Post verschicken, um die Authenzität des Auftraggebers überprüfen zu können. Und bei 36 h Aufwand in Griechenland nur gegen Vorschuss anfangen. :angel2:

[Olli]

Zitat:

Zitat von DGL-luke

Frage: Was für Skripte sind das?

GIS. Avenue ist die Skriptsprache von ArcView.

[DGL-luke]

Das heißt, die Skripte werden mit einer statischen Verschlüsselung obfuscated? Und der gute Herr Grieche wollte dich unbedingt in der Quellenangabe seiner Doktorarbeit haben?
Na ganz klar: Wenn der dich so anmacht, würd ich ihm nichts geben. Schon gar nicht "exklusiv".

Was es rechtlich für probleme geben könnte, weiß ich nicht - aber z.B. Ghostscript arbeitet auch ganz unbeschadet mit einem proprietären Format (PDF).

Also, wenn du drauf Bock hast (mit allen Konsequenzen, die du ja offensichtlich zur Genüge kennst), veröffentliche das ganze Open-Source. Oder eben nicht.

EDIT: Offensichtlich falsches gestrichen.

[marabu]

Hier noch ein Zitat im Nachgang zu meinem Beitrag #7, damit die Wirtschaftlichkeitsfrage besser abgeschätzt werden kann:

Mark Ontkush hat geschrieben

5.2 The AVENUE encryption scheme
5.2.1 Problem
AVENUE is the programming language of ArcView, a popular mapping software produced by ESRI of Redlands,CA. ArcView stores AVENUE 'scripts' (user-authored programs) as part of a simple text files (known as a 'project') with the extension 'apr'. These files are not proprietary and can be viewed with any text editor. The user has the option of encrypting these scripts with an algorithm by which, according to ESRI, "is an irreversible action which lets you build a project with customizations that are hidden from other users... ...Once encrypted, scripts cannot be restored to text for further development or debugging." But in reality, AVENUE uses a code that is literally thousands of years old to encrypt scripts (the Vigenere cipher), and its weaknesses are well known.

To encode using this cipher, a keyword must be chosen, such as "ARCVIEW". This is written above the plaintext repeatedly :

Code:

            ARCVIEWARCVIEWARCVIEWARCVIEWA
Plaintext:  MEETATMIDNIGHTBYTHEOLDOAKTREE

To encode the plaintext, one simply adds the position of the cipher letter in the alphabet to the position of the plaintext letter, using wraparound if necessary. So in the above example, the first coded letter would be 'A' (1st in alphabet) + 'M' (14th in alphabet) = 'N'(15th in alphabet) To decrypt the Vigenere cipher, you run this process in reverse. The keyphrase for Arcview is not a word but a 8-bit block of numeric shift values {-5,8,1,-2,7,4,-5,8}. These values are repeatedly cycled through the ASCII values of the encrypted script text to reproduce the sourcecode. A flaw of this algorithm is that long strings of identical characters repeat themselves in the encrypted text; notice for example the string of asterisks in this segment of an unencrypted and encrypted script. It was this exact pattern led to the decryption of the algorithm.
There are some caveats. All line feeds (ASCII Character 10) and Carriage Returns (ASCII Character 13) are ignored. Clearly this is an effort on behalf of the programmers to make the .apr files portable between different platforms (IBM, MAC, UNIX), as they all use different end-of-line signatures. The first and last double-quotes are ignored, these being the ones that surround the encrypted text. The forward slash '\' indicates that the next character is to be taken literally, although the initial forward slash is ignored. This is used for such characters as the double-quote and forward slash itself that can stand for plaintext characters in the encrypted text.

Freundliche Grüße

[DGL-luke]

*g*

Da würd ichs ja alleine deswegen veröffentlichen, um dem Hersteller eins auszuwischen (was wir hier wohl leider nur in kleinem Umfang vermögen). :)

[marabu]

Der Hersteller fühlte sich - abgesehen von der Blamage (er bewarb das Verfahren als nicht umkehrbar) - eigentlich kaum betroffen. Die Skript-Entwickler, die sich auf die Aussage des Herstellers verlassen hatten, fühlten sich anfangs in ihrer Existenz bedroht. Inzwischen ist diese Sicherheitslücke 10 Jahre bekannt und neue Entwicklungen verwenden dieses Verschlüsselungsverfahren wohl nicht mehr.

Freundliche Grüße

[Olli]

Wieso "eins auswischen"? Immerhin verdiene ich mein Geld auch mit Software. Also so gesehen wäre das keine Motivation für mich.

@marabu: Danke.

Zitat:

Zitat von DGL-luke

Was es rechtlich für probleme geben könnte, weiß ich nicht - aber z.B. Ghostscript arbeitet auch ganz unbeschadet mit einem proprietären Format (PDF).

PDF ist doch offen dokumentiert und standardisiert!?

[DGL-luke]

Dann würd ich sagen, is wurscht was du machst, Olli ;-)

Mach, was dir gefällt.

//Roter Kasten:

Naja... Es gibt eben hersteller von guter Software und hersteller von schlechter Software. So eine Sicherheitslücke müsste man auf jeden Fall öffentlich machen. Aber nachdems ja eh schon klater Kaffee is...

//Noch einer

:oops:

Ich gehe in Sack und Asche...

[Olli]

Zitat:

Zitat von DGL-luke

Ich gehe in Sack und Asche...

Da haben wir dich aber fertsch gemacht, oder? ;)

Ich werde es wahrscheinlich im Laufe des kommenden Jahres veröffentlichen, zumindest aber in meinem Blog schreiben, daß wer will gern Skripte von mir entschlüsseln lassen kann (max. 1 pro Woche und Person oder so, damit ich mich nicht kaputtarbeite :mrgreen: :mrgreen: :mrgreen: )

[IngoD7]

Zitat:

Zitat von Olli

Noch jemand anderes der seine Meinung kundtun möchte ohne zu hinterfragen wieso ich jemandem wohl einfach so einen Gefallen tun würde :zwinker:

*Wo ist nur der Smiley mit dem gestreckten Mittelfinger?* :wink:

Ich wollte nur mal euer Verhältnis genauer klären, um einen ehrlichen Rat geben zu können.
Aber wahrscheinlich sollte ich viel eher wissen, um welche Scripte (oder Techniken darin) es geht, und/oder ich sollte dich besser kennen und/oder ich sollte vielleicht auch Griechenland mindestens 5 mal bereist haben, um zu begreifen, was genau der Grieche nun (noch) mit einer etwaigen Veröffentlichung deiner Arbeit zu tun hat. :gruebel:

Deiner folgenden Aussage nach doch gar nichts.

Zitat:

Zitat von Olli

Zitat:

Zitat von IngoD7

Verstehe ich nach wie vor nicht. :cry: Mit "veröffentlichen" meinst du doch nicht, es dem Griechen zu geben, oder?
Daher hier meine Gegenfrage: Was spricht denn deiner Meinung nach dagegen, es zu veröffentlichen?

Veröffentlichen ist schon allgemein zugänglich machen. Was spricht dagegen? Von mir privat nichts. Zuvor ging es ja quasi nur um den "Dienst" des Entschlüsselns.

Und da ich den Sinn und vor allem den Anlass dieses Threads nun immer weniger verstehe, habe ich nun meine Empfehlung durch sorgfältige Zufallsauswahl einer der beiden Seiten eines 10-Cent-Stückes erarbeitet. Sie lautet: Nicht veröffentlichen! :cyclops:


Bis zum nächsten Thema, bei dem ich hoffentlich mehr Durchblick habe. :wink: :cheers:

[Olli]

Zitat:

Zitat von IngoD7

Zitat:

Zitat von Olli

Noch jemand anderes der seine Meinung kundtun möchte ohne zu hinterfragen wieso ich jemandem wohl einfach so einen Gefallen tun würde :zwinker:

*Wo ist nur der Smiley mit dem gestreckten Mittelfinger?* :wink:

:angel2: :mrgreen:

Zitat:

Zitat von IngoD7

Ich wollte nur mal euer Verhältnis genauer klären, um einen ehrlichen Rat geben zu können.
Aber wahrscheinlich sollte ich viel eher wissen, um welche Scripte (oder Techniken darin) es geht, und/oder ich sollte dich besser kennen und/oder ich sollte vielleicht auch Griechenland mindestens 5 mal bereist haben, um zu begreifen, was genau der Grieche nun (noch) mit einer etwaigen Veröffentlichung deiner Arbeit zu tun hat. :gruebel:

Griechenland bereisen - hmm, sollte ihn bitten mich auf seine Kosten einzuladen. :lol:

Also nochmal, er bat mich um den Gefallen, den ich ihm machen wollte. Dann reiche ich ihm quasi den kleinen Finger (sprich biete ihm an seine Skripte zu entschlüsseln) und er will mir quasi die Hand abreissen (mein Programm haben). Prinzipiell hätte ich kein Problem damit es insgesamt zu veröffentlichen. Nur in diesem Moment würde ich ihm quasi eine Freude damit machen - und das nach dieser Form von "Anmache".

Zitat:

Zitat von IngoD7

Und da ich den Sinn und vor allem den Anlass dieses Threads nun immer weniger verstehe, habe ich nun meine Empfehlung durch sorgfältige Zufallsauswahl einer der beiden Seiten eines 10-Cent-Stückes erarbeitet. Sie lautet: Nicht veröffentlichen! :cyclops:

Sehr gut! Das ist doch mal eine verwertbare Aussage :mrgreen:

[dino]

also zunächst finde ich es klasse von dir, wie du dich für andere einsetzt

wenn das alle so machen würde, wäre die welt viel einfacher, weil jeder nur das achen müsste, was er mit leichtigkeit kann :)

naja er war halt keiner der deine grosszugigkeit verdient hat, um das in einem representablen ton zu sagen

also vergiss ihn und denke nciht daran ihm zu schicken, was er will

olli find dich gut :thumb: