Startseite | Heise Magazine

Generalverdacht | c’t | Heise Magazine
▻https://www.heise.de/select/ct/2019/8/1555076053244429

La deuxiéme chambre du parlement national d’Allemagne Bundesrat vote pour une proposition de loi qui criminalise les réseaux Tor et abolit une grande partie du secret de la communication. La loi menace des projets qui utilisent des technologie de protection de données dans le réseau comme le tracte virtuel de la revue C’T.
▻https://seenthis.net/messages/771396

Bun­des­rat be­schließt Ge­set­zes­vor­la­ge zu Darknet-Diens­te-Ver­bot und Post­ge­heim­nis

Kaum hatte das In­nen­mi­nis­te­ri­um ein ge­ne­rel­les Ver­bot des Darknets ge­for­dert, be­schloss der Bun­des­rat eine Ge­set­zes­vor­la­ge zum Ver­bot von Darknet-Diens­ten und eine um­fas­sen­de Lo­cke­rung des Brief­ge­heim­nis­ses. Unter Ge­ne­ral­ver­dacht ste­hen künf­tig nicht nur Tor-Nut­zer, son­dern auch Frei­fun­ker und VPN-Be­trei­ber.

Von Mirko Dölle

Das ging dann ja flott: Keine vier Wo­chen, nach­dem ein Staats­se­kre­tär des Bun­des­in­nen­mi­nis­te­ri­ums dem Darknet „kei­nen le­gi­ti­men Nut­zen“ in „einer frei­en, of­fe­nen De­mo­kra­tie“ at­tes­tiert hat, be­schloss der Bun­des­rat nun eine um­fas­sen­de Ge­set­zes­vor­la­ge, die Be­nut­zer des Tor-Net­zes, aber auch alle Frei­fun­ker und VPN-Be­trei­ber unter Ge­ne­ral­ver­dacht stellt.

Weit we­ni­ger Be­ach­tung fand, dass auf die In­itia­ti­ve Bay­erns hin au­ßer­dem be­denk­li­che Än­de­run­gen am Post­ge­heim­nis in die Ge­set­zes­vor­la­ge ein­ge­bracht und vom Bun­des­rat mit­be­schlos­sen wur­den. Damit sol­len die Be­hör­den um­fang­rei­chen Zu­griff auf ar­chi­vier­te Daten von Post­dienst­leis­tern er­hal­ten – aus­drück­lich rück­wir­kend. So dürf­ten Tau­sen­de Un­schul­di­ge ins Vi­sier von Dro­gen- und Ter­ror­fahn­dern ge­ra­ten.

Der Be­schluss des Bun­des­rats ent­spricht in wei­ten Tei­len dem ur­sprüng­li­chen Ent­wurf, den die Lan­des­re­gie­rung von Nord­rhein-West­fa­len An­fang 2019 in die Län­der­kam­mer ein­brach­te – mit dem Ziel, einen ei­gen­stän­di­gen Straf­tat­be­stand für die Schaf­fung und den Be­trieb von Darknet-Markt­plät­zen ein­zu­füh­ren.

Nicht nur Tor ist böse

Künf­tig soll es eine Straf­tat sein, eine „in­ter­net­ba­sier­te Leis­tung“ an­zu­bie­ten, „deren Zu­gang und Er­reich­bar­keit durch be­son­de­re tech­ni­sche Vor­keh­run­gen be­schränkt“ ist. Laut der Be­grün­dung ist damit in ers­ter Linie das Tor-Netz­werk ge­meint, doch Tor wird ex­pli­zit als nur ein Bei­spiel für „Mög­lich­kei­ten der An­ony­mi­sie­rung“ an­ge­führt – das Ge­setz wird also nicht etwa auf Tor be­schränkt. Auch das Frei­funk-Netz, des­sen Rou­ter ein VPN nut­zen, um eine Ver­bin­dung ins In­ter­net her­zu­stel­len, an­ony­mi­siert seine Nut­zer zwangs­läu­fig – ge­nau­so wie jedes an­de­re VPN. Die IP-Adres­se des tat­säch­li­chen Nut­zers bleibt ver­bor­gen.

Im Vor­schlag Nord­rhein-West­fa­lens gibt es je­doch eine ent­schei­den­de Ein­schrän­kung, wo­nach das An­bie­ten sol­cher Diens­te nur dann straf­bar sein soll, wenn „deren Zweck oder Tä­tig­keit dar­auf aus­ge­rich­tet ist, die Be­ge­hung von rechts­wid­ri­gen Taten im Sinne von Satz 2 zu er­mög­li­chen oder zu för­dern“. Satz 2 ent­hält eine lange Liste von Straf­ta­ten zu den Be­rei­chen Arz­nei­mit­tel, Be­täu­bungs­mit­tel, Waf­fen und Spreng­stoff, Falsch­geld, Kre­dit­kar­ten, Com­put­ers­a­bo­ta­ge, Da­ten­han­del und Kin­der­por­no­gra­fie. Es müss­te also erst im Ein­zel­fall ge­klärt wer­den, ob ein Zweck oder eine Tä­tig­keit dar­auf aus­ge­rich­tet ist, Tä­tern das Leben zu er­leich­tern – bis dahin fal­len prak­tisch alle Tor- und VPN-Diens­te unter Ge­ne­ral­ver­dacht. So sieht das auch unser Ju­rist Ni­co­las Maekeler in einer ers­ten Ein­schät­zung.

Ver­schär­fung ab­ge­lehnt

Et­li­che aus Bay­ern ein­ge­reich­ten Än­de­run­gen ziel­ten dar­auf, diese Ein­schrän­kun­gen voll­stän­dig zu kip­pen: Es soll­te alles unter Stra­fe ge­stellt wer­den, was die Be­ge­hung rechts­wid­ri­gen Taten er­mög­licht, för­dert oder auch nur er­leich­tert, egal ob es um Graf­fi­ti oder Waf­fen­han­del geht, im Darknet oder sonst­wo im In­ter­net. Diese Ver­schär­fung wurde je­doch mehr­heit­lich ab­ge­lehnt.

Zu­stim­mung fand Bay­erns Vor­schlag in dem Punkt, auch aus­län­di­sche An­bie­ter von „Leis­tun­gen zur Er­mög­li­chung von Straf­ta­ten“ unter deut­sches Straf­recht zu stel­len, so­fern sich „die an­ge­bo­te­ne in­ter­net­ba­sier­te Leis­tung auf die Er­mög­li­chung von rechts­wid­ri­gen Taten im In­land be­zieht“.

Ein Bei­spiel für einen Dienst, der nach der vom Bun­des­rat be­schlos­se­nen Ge­set­zes­vor­la­ge vor­aus­sicht­lich ver­bo­ten wäre, ist das von uns in c’t 22/2017 auf Seite 144 vor­ge­stell­te di­gi­ta­le Flug­blatt auf Basis des Raspber­ry Pi: Es stellt einen Darknet-Web­ser­ver in Form eines Tor Hi­d­den Ser­vice be­reit und ist dazu ge­dacht, Dis­si­den­ten und Whist­leb­lo­wern die an­ony­me Wei­ter­ga­be von – mög­li­cher­wei­se il­le­gal er­lang­ten – In­for­ma­tio­nen und Do­ku­men­ten zu er­mög­li­chen.

Bay­ern nutz­te die Ge­le­gen­heit au­ßer­dem, um im Zuge des Darknet-Ge­set­zes auch noch das Post­ge­heim­nis aus­zu­höh­len – und gleich noch einen Rück­wir­kungs­ef­fekt im Ge­set­zes­vor­ha­ben zu ver­an­kern. So sol­len künf­tig die Post, DHL und alle an­de­ren Post­dienst­leis­ter sämt­li­che ge­spei­cher­ten In­for­ma­tio­nen zu Sen­dun­gen eines Ab­sen­ders oder Emp­fän­gers her­aus­ge­ben müs­sen, wenn ein Rich­ter dies an­ord­net. Bis­her durf­ten die Un­ter­neh­men le­dig­lich Aus­kunft über Pa­ke­te und Brie­fe geben, die be­reits ver­schickt, aber noch nicht aus­ge­lie­fert waren. Dies stell­te der BGH 2016 in einem Grund­satz­ur­teil fest, ein so­ge­nann­tes „re­tro­gra­des Aus­kunft­ver­lan­gen“ lehn­te er ab.

Das neue Ge­setz soll dies er­mög­li­chen. Pro­ble­ma­tisch ist vor allem, dass der jetzt be­schlos­se­ne Ge­set­zes­ent­wurf keine zeit­li­che Be­schrän­kung vor­sieht: Die Er­mitt­lungs­be­hör­den dürf­ten damit alle ver­füg­ba­ren Daten ver­wer­ten – selbst wenn ein Paket be­reits vor Jah­ren aus­ge­lie­fert wurde, als das Ge­setz noch gar nicht in Kraft war. Es wer­den ver­mut­lich erst Ge­rich­te klä­ren müs­sen, in­wie­fern dies mit dem im Grund­ge­setz ver­an­ker­ten Rück­wir­kungs­ver­bot ver­ein­bar ist.

Der Knack­punkt ist, dass ins­be­son­de­re der On­line-Dro­gen­han­del in Deutsch­land na­he­zu voll­stän­dig über die Deut­sche Post und DHL ab­ge­wi­ckelt wird und die Un­ter­neh­men die Daten von Emp­fän­ger und Ab­sen­der, den Sen­dungs­ver­lauf und die Un­ter­schrift für min­des­tens ein Jahr spei­chern – laut un­se­ren Quel­len sogar noch viel län­ger.

Un­schul­di­ge im Vi­sier

Dro­gen­händ­ler geben aus na­he­lie­gen­den Grün­den je­doch nicht ihre ei­ge­ne Adres­se als Ab­sen­der an, son­dern be­vor­zugt wech­seln­de Adres­sen von Mehr­fa­mi­li­en­häu­sern oder Wohn­blö­cken in grö­ße­ren Städ­ten. Da­hin­ter steckt auch die Hoff­nung, dass die Sen­dung bei einer Re­tou­re nicht bei der zen­tra­len Adres­ser­mitt­lungs­stel­le lan­det und auch der vor­geb­li­che Ab­sen­der nicht die Po­li­zei ein­schal­tet. Wird künf­tig eine Dro­gen­lie­fe­rung iden­ti­fi­ziert, gerät nicht mehr nur der auf die­ser Sen­dung ge­nann­te Ab­sen­der in Ver­dacht. Viel­mehr dürf­te eine Ab­fra­ge aller Sen­dun­gen der letz­ten Jahre zu einer Viel­zahl von Ab­sen­dern füh­ren, die dann al­le­samt in den Ver­dacht des Dro­gen­han­dels ge­ra­ten.

Noch ist die Ge­set­zes­vor­la­ge erst vom Bun­des­rat be­schlos­sen wor­den. Die Län­der­kam­mer wird sie dem­nächst an die Bun­des­re­gie­rung wei­ter­lei­ten, die sie dann im Bun­des­tag zur Ab­stim­mung ein­brin­gen kann. Eine kon­kre­te Frist gibt es dafür nach An­ga­ben des Bun­des­tags nicht. (mid@​ct.​de)

Flug­ver­bot: Das von c’t vor­ge­stell­te di­gi­ta­le Flug­blatt mit Raspber­ry Pi Zero W wäre un­mit­tel­bar von dem neuen Darknet-Ge­setz be­trof­fen, weil es einen Web­ser­ver im Tor-Netz be­reit­stellt, über den Straf­tä­ter leicht il­le­ga­le In­hal­te ver­brei­ten könn­ten. Ent­wi­ckelt wurde es für re­gie­rungs­kri­ti­sche Dis­si­den­ten und Whist­leb­lo­wer.

#Allemagne #politique #répression #réseaux #internet #censure

In die Freiheit entlassen | c’t | Heise Magazine
▻https://www.heise.de/select/ct/2017/22/1508780300482172

Di­gi­ta­les Flug­blatt: Raspber­ry Pi mit Bat­te­rie als an­ony­mer WLAN-Hot­spot und Web­ser­ver

Dis­si­den­ten leben ge­fähr­lich: Die Nazis er­mor­de­ten die Ge­schwis­ter Scholl dafür, dass sie mit Flug­blät­tern zum Wi­der­stand auf­ge­ru­fen hat­ten. Heute nut­zen Wi­der­ständ­ler das In­ter­net, doch Re­gimes grei­fen un­ge­niert in die Mei­nungs­frei­heit ein und blo­ckie­ren die­sen Ver­brei­tungs­weg. Mit einem bat­te­rie­be­trie­be­nen Raspi haben wir eine di­gi­ta­le Va­ri­an­te des Flug­blatts ge­schaf­fen, das ver­steckt aus­ge­legt per WLAN oder Tor un­zen­siert In­for­ma­tio­nen unter das Volk bringt.
Von Da­ni­el Co­oper

Flug­blät­ter sind in Zei­ten von In­ter­net und Smart­pho­nes eine ziem­lich ar­chai­sche Me­tho­de, gegen au­to­ri­tä­re Re­gime zu pro­tes­tie­ren oder un­lieb­sa­me In­for­ma­tio­nen über Au­to­kra­ten ins öf­fent­li­che Licht zu rü­cken. Und eine ge­fähr­li­che noch dazu: Vor fast genau 75 Jah­ren er­mor­de­ten das Nazi-Re­gime die Ge­schwis­ter Scholl dafür, dass sie mit Flug­blät­tern zum Wi­der­stand auf­ge­ru­fen hat­ten. Die Stu­den­ten wur­den beim Ver­tei­len er­wischt. Heute nut­zen Wi­der­stands­grup­pen das In­ter­net und ver­öf­fent­li­chen ihre In­for­ma­tio­nen auf aus­län­di­schen Ser­vern – die von den Re­gimes im Hand­um­dre­hen blo­ckiert wer­den.

Um die Be­völ­ke­rung vor Ort trotz In­ter­net-Zen­sur in­for­mie­ren zu kön­nen, haben wir ein di­gi­ta­les Flug­blatt auf Basis des Raspber­ry Pi Zero W ent­wi­ckelt. Der Mini-Rech­ner wird von einer Bat­te­rie ge­speist und lässt sich leicht an be­leb­ten Plät­zen in all­täg­li­chen Ge­gen­stän­den wie Blu­men­kü­beln, Bäu­men oder an­de­ren Ge­gen­stän­den ver­ste­cken. Wir haben die Kos­ten be­wusst nied­rig ge­hal­ten, damit nie­mand aus fi­nan­zi­el­len Grün­den eine Fest­nah­me ris­kie­ren muss, wenn er das Flug­blatt wie­der ein­sam­melt, weil ihm der Strom aus­ge­gan­gen ist.

Den Raspi Zero W be­kom­men Sie in Deutsch­land bei buy­ze­ro.de für knapp 11 Euro. Für den Bat­te­rie­be­trieb be­nö­ti­gen Sie au­ßer­dem einen Span­nungs­wand­ler, den Sie für 5,50 Euro gleich mit­be­stel­len kön­nen. Sie be­kom­men letz­te­ren aber auch bei di­ver­sen eBay-Händ­lern, zum Teil kos­tet er dort nicht ein­mal einen Euro. Durch den Wand­ler haben Sie eine große Aus­wahl an Bat­te­ri­en, an­ge­fan­gen von vier Knopf­zel­len, die al­ler­dings nur we­ni­ge Stun­den durch­hal­ten, bis hin zu Mo­no­zel­len, die für einen Monat Be­trieb aus­rei­chen.
Der Zu­sam­men­bau des Flug­blatts ist tri­vi­al: Ein Span­nungs­wand­ler zwi­schen Bat­te­rie und Raspi sorgt dafür, dass die Bat­te­rie bis fast zum letz­ten Elek­tron ent­la­den wird.

Der Zu­sam­men­bau ist leicht: Zu­nächst ver­sor­gen Sie den Span­nungs­wand­ler pro­vi­so­risch mit Strom, schlie­ßen ein Volt­me­ter am Aus­gang an und stel­len die Aus­gangs­span­nung über das Poti auf 5,1 bis 5,2 Volt ein. An­schlie­ßend kap­pen Sie die Ver­bin­dun­gen und löten den Span­nungs­wand­ler di­rekt an den GPIO-An­schluss des Raspi Zero an. Der Plus­pol des Span­nungs­wand­ler-Aus­gangs ge­hört an Pin 4 des Raspi und der Mi­nus­pol an Pin 6.
Gut ver­sorgt

Wel­che Bat­te­rie Sie ver­wen­den, hängt nicht zu­letzt von der Art des Ver­stecks ab – Geo­caching-Er­fah­run­gen sind hier ein­deu­tig von Vor­teil. Um das Flug­blatt in einem Blu­men­topf de­po­nie­ren zu kön­nen, haben wir ver­suchs­wei­se zehn Mo­no­zel­len mit einer Ka­pa­zi­tät von je 18 Am­pere­stun­den zu­sam­men­ge­lö­tet – somit steht bei einer Zel­len­span­nung von 1,5 Volt eine Ge­samt­ener­gie von 270 Watt­stun­den zur Ver­fü­gung.

Die Leis­tungs­auf­nah­me des Raspi Zero W, in­klu­si­ve aller nach­fol­gend be­schrie­be­nen Strom­spar­maß­nah­men, liegt bei 0,5 Watt, so­dass der Ring aus zehn Mo­no­zel­len theo­re­tisch 540 Stun­den oder 22,5 Tage durch­hält. Das lässt sich durch noch mehr Mo­no­zel­len noch top­pen: Der Span­nungs­wand­ler von buy­ze­ro.de ver­trägt bis zu 17 in Reihe ge­schal­te­te Zel­len, womit theo­re­tisch genug En­er­gie für 38 Tage vor­han­den wäre. Durch die Wand­ler­ver­lus­te, der ty­pi­sche Wir­kungs­grad be­trägt knapp unter 90 Pro­zent, dürf­te die tat­säch­li­che Be­triebs­dau­er bei un­ge­fähr einem Monat lie­gen.

Wich­tig ist, die Zahl der Zel­len und damit die Klem­men­span­nung nicht zu nied­rig zu wäh­len: Der Span­nungs­wand­ler schal­tet bei etwa sechs Volt ab, wes­halb Bat­te­ri­en aus nur vier Zel­len gar nicht voll­stän­dig ent­la­den wer­den – so­bald die Span­nung auch nur leicht sinkt, ist Schluss. Bei acht Zel­len hin­ge­gen schal­tet der Span­nungs­wand­ler erst ab, wenn die Zel­len­span­nung auf unter 0,75 ge­fal­len ist – dann ist die Bat­te­rie auch fast voll­stän­dig leer.
Mehr Reich­wei­te: Der An­ten­nen­an­schluss, ein U.​FL-Ste­cker, lässt sich mit etwas Ge­schick nach­träg­lich auf den Raspi Zero W auf­lö­ten. Mit einer ex­ter­nen An­ten­ne ver­grö­ßert sich der Ver­sor­gungs­be­reich des Flug­blatts um ein Viel­fa­ches.

Es gibt wei­te­res Op­ti­mie­rungs­po­ten­zi­al: Die in­ter­ne An­ten­ne des Raspi Zero W ist kei­nes­wegs op­ti­mal für große Reich­wei­ten, auf der Pla­ti­ne ist aber ein Be­stü­ckungs­platz für einen U.​FL-An­ten­nen­an­schluss vor­ge­se­hen. Mit etwas Löt­ge­schick kön­nen Sie den Ste­cker nach­rüs­ten und dann mit einer ex­ter­nen WLAN-An­ten­ne die Reich­wei­te des Raspi um ein Viel­fa­ches er­hö­hen. Das er­schwert auch das Auf­fin­den des Flug­blatts, denn durch den viel grö­ße­ren Ver­sor­gungs­be­reich kom­men auch mehr Ver­steck­mög­lich­kei­ten in­fra­ge.
Auf­ge­spielt

Als Be­triebs­sys­tem des Raspi Zero W ist die Lite-Va­ri­an­te von Raspbi­an gut ge­eig­net: Sie ist ohne Desk­top deut­lich schlan­ker als die re­gu­lä­re Va­ri­an­te und der Raspi ver­braucht damit we­ni­ger Strom, denn ei­ni­ge Diens­te wie etwa das gra­fi­sche Login wer­den nicht ge­star­tet. Für die In­stal­la­ti­on be­nö­ti­gen Sie eine Mi­croSD-Karte ab 1 GByte.

Bitte laden Sie Raspbi­an Lite di­rekt von raspber­ry­pi.org her­un­ter und ver­wen­den Sie nicht NOOBS für die In­stal­la­ti­on – sonst funk­tio­niert die nach­fol­gen­de Kon­fi­gu­ra­ti­on nicht wie in die­sem Ar­ti­kel be­schrie­ben. Haben Sie das Zip-Ar­chiv mit dem SD-Kar­ten-Image von Raspbi­an Lite ent­packt, ko­pie­ren Sie das Image mit dem Pro­gramm W32­Dis­kI­ma­ger Byte für Byte auf die Spei­cher­kar­te. Linux- und macOS-User be­nut­zen dafür das Kom­man­do­zei­len­pro­gramm dd.

Nach­dem der Da­ten­trans­fer ab­ge­schlos­sen ist, kön­nen Sie Raspbi­an für den ers­ten Start des Raspi Zero vor­be­rei­ten. Ein WLAN vor­aus­ge­setzt be­nö­ti­gen Sie dazu weder Tas­ta­tur noch Mo­ni­tor – die Ein­rich­tung er­folgt per SSH. Zu­nächst ent­fer­nen Sie die SD-Karte aus dem Kar­ten­le­ser und ste­cken sie nach ein paar Se­kun­den wie­der hin­ein. So er­zwin­gen Sie, dass Win­dows die Par­ti­ti­ons­ta­bel­le neu ein­liest – Win­dows fin­det dort zwei Par­ti­tio­nen. Wäh­rend Win­dows die erste, etwa 20 MByte große Par­ti­ti­on mit dem Namen boot pro­blem­los lesen kann und au­to­ma­tisch einem Lauf­werks­na­men zu­ord­net, fragt zu­min­dest Win­dows 10 bei der zwei­ten, ob sie for­ma­tiert wer­den soll. Dies müs­sen Sie un­be­dingt ver­nei­nen, sonst lö­schen Sie das dort in­stal­lier­te Raspbi­an.

Damit der Raspi Zero sich in Ihr WLAN ein­klin­ken kann, be­nö­tigt er die SSID und den WLAN-Schlüs­sel. Hier soll­ten Sie kei­nes­falls die Daten ihres pri­va­ten WLAN an­ge­ben, son­dern ein Gäs­tenetz oder einen zu­sätz­li­chen Ac­cess Point mit einer ge­ne­ri­schen SSID wie guests be­nut­zen: Denn Sie müs­sen SSID und Schlüs­sel in die Datei wpa_­sup­p­li­cant.conf ein­tra­gen, die Sie unter ct.​de/​yva6 her­un­ter­la­den kön­nen, und die Datei auf dem Lauf­werk boot der SD-Karte spei­chern. Soll­te das Flug­blatt Er­mitt­lern in die Hände fal­len, fin­den sie mög­li­cher­wei­se Reste die­ser Daten und kön­nen Sie damit iden­ti­fi­zie­ren.

Zum Edi­tie­ren der Datei müs­sen Sie un­be­dingt einen Edi­tor wie No­te­pad++ be­nut­zen (kos­ten­los, Down­load-Link auf ct.​de/​yva6), der Unix-ty­pi­sche Text­da­tei­en ohne Re­turn am Zei­len­en­de spei­chern kann. Mit Win­dows-Bord­mit­teln geht das nicht. Au­ßer­dem müs­sen Sie den SSH-Da­e­mon ein­schal­ten, der stan­dard­mä­ßig de­ak­ti­viert ist. Dazu legen Sie eine Datei mit dem Namen ssh eben­falls auf dem Lauf­werk boot an, der In­halt der Datei spielt keine Rolle.

So vor­be­rei­tet las­sen Sie die Spei­cher­kar­te von Win­dows aus­wer­fen, ste­cken sie in den Raspi Zero und schlie­ßen ein Netz­teil an dem mit „PWR“ be­schrif­te­ten USB-Micro-Port des Raspi an. Die LED neben dem An­schluss blinkt dann im Takt der Zu­grif­fe auf den Flash-Spei­cher wäh­rend des Boot­vor­gangs, nach etwa 30 Se­kun­den soll­te sich der Raspi in Ihrem WLAN an­ge­mel­det haben. Nun soll­ten Sie sich in­ner­halb von zwei Mi­nu­ten per SSH auf dem Raspi ein­log­gen. Unter Win­dows ver­wen­den Sie dazu den kos­ten­lo­sen SSH-Cli­ent Putty (Down­load siehe ct.​de/​yva6), unter Linux oder macOS ssh im Ter­mi­nal. Der Be­nut­zer­na­me lau­tet pi und Sie kön­nen den Raspi meist ein­fach über sei­nen Host­na­men raspber­ry­pi an­spre­chen – al­ter­na­tiv fin­den Sie die IP-Adres­se, die dem Raspi zu­ge­wie­sen wurde, im Web-Front­end Ihres WLAN-Rou­ters. Das Pass­wort zum Ein­log­gen lau­tet eben­falls raspber­ry­pi.

Sind Sie ein­ge­loggt, geben Sie als Ers­tes fol­gen­den Be­fehl ein:

sudo iw wlan0 set power­s­a­ve off

So de­ak­ti­vie­ren Sie die Strom­spar­funk­ti­on des WLAN-Ad­ap­ters, die dazu führt, dass das WLAN nach we­ni­gen Mi­nu­ten In­ak­ti­vi­tät ab­ge­schal­tet wird. Schließ­lich soll das Flug­blatt über WLAN stets er­reich­bar sein und Sie hät­ten an­sons­ten nicht ein­mal die Mög­lich­keit, Raspbi­an sau­ber her­un­ter­zu­fah­ren.

Damit die WLAN-Strom­spar­funk­ti­on künf­tig au­to­ma­tisch aus­ge­schal­tet wird, öff­nen Sie mit dem Be­fehl sudo pico /etc/net­work/in­ter­faces die zen­tra­le Netz­werk­kon­fi­gu­ra­ti­ons­da­tei und tra­gen am Ende fol­gen­des ein:

auto wlan0

iface wlan0 inet dhcp

wpa-conf /etc/wpa­sup­p­li­cant/wpa_­sup­p­li­cant.conf

wire­less-power off

Um den Strom des WLAN-Chips wie­der ein­zu­spa­ren, kön­nen Sie den HDMI-Aus­gang ab­schal­ten. Sonst ver­schwen­det der Raspi gut 20 Pro­zent des Stroms al­lein dafür – selbst wenn gar kein Mo­ni­tor an­ge­schlos­sen ist. Dazu öff­nen Sie mit dem Be­fehl sudo pico /etc/rc.​local das Skript, das am Ende jedes Boot­vor­gangs aus­ge­führt wird, und fügen vor der Zeile exit 0 fol­gen­den Auf­ruf ein:

/usr/bin/tv­ser­vice -o

Auch die Ak­ti­vi­täts-LED neben dem Strom­an­schluss ist Strom­ver­schwen­dung, noch dazu könn­te sie durch ihr Blin­ken ein an­sons­ten gut ver­steck­tes Flug­blatt ver­ra­ten. Damit sie außer kurz nach dem Ein­schal­ten und kurz vor dem Aus­schal­ten nicht mehr leuch­tet, öff­nen Sie mit sudo pico /boot/con­fig.txt die zen­tra­le Raspi-Kon­fi­gu­ra­ti­ons­da­tei und fügen am Ende fol­gen­de Zei­len an:

dt­pa­ram=ac­t_­le­d_­t­rig­ger=none

dt­pa­ram=ac­t_­le­d_ac­tive­low=on

Die Än­de­run­gen wer­den erst beim nächs­ten Neu­start des Raspi über­nom­men, so lange bleibt die LED aktiv.

Als Web­ser­ver emp­feh­len wir Nginx, der we­ni­ger Res­sour­cen und damit we­ni­ger Strom ver­braucht als Apa­che. Es ge­nügt, wenn Sie per sudo apt-get in­stall nginx den Da­e­mon nebst aller Ab­hän­gig­kei­ten nach­in­stal­lie­ren; er ist stan­dard­mä­ßig so kon­fi­gu­riert, die un­ter­halb des Ver­zeich­nis­ses /var/www/html ab­ge­leg­ten Da­tei­en aus­zu­lie­fern.
Hi­d­den Ser­vice …

Für den Fall, dass das Flug­blatt eine (frem­de) In­ter­net­ver­bin­dung über WLAN mit­be­nut­zen soll, ar­bei­tet es als Ser­ver für einen Tor Hi­d­den Ser­vice und ver­brei­tet so die In­hal­te auf der gan­zen Welt. Dazu in­stal­lie­ren Sie mit dem Be­fehl sudo apt-get in­stall tor den Tor-Da­e­mon aus der Pa­ket­ver­wal­tung nach. An­schlie­ßend müs­sen Sie die Kon­fi­gu­ra­ti­ons­da­tei mit dem Be­fehl sudo pico /etc/tor/torrc be­ar­bei­ten und die Raute-Zei­chen vor fol­gen­den Zei­len ent­fer­nen:

Hi­d­den­Ser­vice­Dir /var/lib/tor/hi­d­den_­ser­vice/

Hi­d­den­Ser­vice­Port 80 127.0.0.1:80

Eine aus­führ­li­che Be­schrei­bung zum Be­trieb von Tor Hi­d­den Ser­vices fin­den Sie auf Seite 140. Auf Seite 148 er­fah­ren Sie au­ßer­dem, wie Sie Ihre An­ony­mi­tät zu­sätz­lich schüt­zen soll­ten. Damit die ver­än­der­te Tor-Kon­fi­gu­ra­ti­on wirk­sam wird, star­ten Sie den Dienst mit dem Be­fehl sys­temctl re­start tor neu und kön­nen dann die Onion-Adres­se Ihres ak­ti­ven Hi­d­den Ser­vice mit dem Be­fehl sudo cat/var/lib/tor/hi­d­den_­ser­vice/host­na­me ab­ru­fen.

Haben Sie alle Do­ku­men­te auf­ge­spielt und wol­len den Raspi aus­set­zen, rufen Sie mit sudo raspi-con­fig das Raspi-Kon­fi­gu­ra­ti­ons­pro­gramm auf. Dort än­dern Sie das Stan­dard-Pass­wort und schal­ten im Menü „In­ter­fa­c­ing Op­ti­on“ den SSH-Da­e­mon wie­der aus, damit sich spä­ter nie­mand ein­log­gen kann. Die letz­ten Schrit­te sind, mit den Be­feh­len unset HIST­FI­LE und rm -f /root/.bas­h_his­to­ry /etc/wpa_­sup­p­li­cant/wpa_­sup­p­li­cant.conf die Be­fehls­his­to­rie sowie die WLAN-Zu­gangs­da­ten Ihres Gäste-WLAN zu lö­schen und spä­ter beim Aus­set­zen wie ein­gangs be­schrie­ben eine neue Kon­fi­gu­ra­ti­on auf der Boot-Par­ti­ti­on der SD-Karte zu spei­chern, die die Zu­gangs­da­ten des mit­zu­be­nut­zen­den WLAN ent­hält.
… oder Hot­spot

Der zwei­te Be­triebs­mo­dus des Flug­blatts ist als lo­ka­ler WLAN-Hot­spot ohne Ver­schlüs­se­lung. Stra­te­gisch güns­tig etwa in einem Blu­men­kü­bel, auf einer Lit­fass­säu­le oder einem Kiosk plat­ziert kann der Raspi die In­for­ma­tio­nen an einem öf­fent­li­chen Platz ver­tei­len – Pas­san­ten müs­sen sich le­dig­lich mit dem WLAN ver­bin­den und wer­den au­to­ma­tisch auf den lo­ka­len Web­ser­ver um­ge­lei­tet.

Damit der Raspi als Hot­spot ar­bei­tet, müs­sen Sie zwei Pa­ke­te nach­in­stal­lie­ren:

sudo apt-get in­stall hostapd dns­masq

Der HostAP-Da­e­mon spannt den Ac­cess Point auf und DNS­masq ist für die Adress­ver­ga­be per DHCP zu­stän­dig. Die Kon­fi­gu­ra­ti­ons­da­tei­en bei­der Pro­gram­me sind im Zip-Ar­chiv ent­hal­ten und müs­sen nach /etc ko­piert wer­den:

sudo cp 1722-144/de­fault/ /etc/de­fault

sudo cp -a 1722-144/hostapd /etc

sudo cp 1722-144/dns­masq.conf /etc

Au­ßer­dem be­nö­ti­gen Sie einen mit sta­ti­scher IP-Adres­se kon­fi­gu­rier­ten WLAN-Ad­ap­ter, wozu Sie mit sudo pico /etc/net­work/in­ter­faces die zen­tra­le Netz­werk­kon­fi­gu­ra­ti­ons­da­tei öff­nen und dort fol­gen­des an­fü­gen:

auto wlan0

iface wlan0 inet sta­tic

ad­dress 192.168.255.1

net­mask 255.255.255.0

wire­less-mode Mas­ter

wire­less-power off

Als Letz­tes ko­pie­ren Sie den FakeDNS-Da­e­mon in das Ver­zeich­nis /usr/local/bin und sor­gen dafür, dass er künf­tig zu­sam­men mit DNS­masq ge­star­tet wird:

sudo cp fakedns/.py /usr/local/bin

sudo cp fakedns/.ser­vice /etc/sys­temd/sys­tem

sudo sys­temctl enable fakedns.ser­vice
Ab­ge­fan­gen

FakeDNS ant­wor­tet auf sämt­li­chen Do­main-An­fra­gen mit der IP-Adres­se 192.​168.​255.​1 – also der des Raspi. Damit ist es nicht mehr nötig, Be­su­chern eine IP-Adres­se oder eine lo­ka­le Adres­se mit­zu­tei­len, die sie auf­ru­fen sol­len: So­bald sie http://​www.​google.​de oder einen be­lie­bi­gen an­de­ren Ser­ver per HTTP zu kon­tak­tie­ren ver­su­chen, lan­den sie auf dem lo­ka­len Web­ser­ver des Flug­blatts.

Es gibt noch einen Trick: iOS, An­dro­id und Win­dows Phone ver­su­chen bei der An­mel­dung in einem WLAN fest­zu­stel­len, ob sie vol­len In­ter­net­zu­gang haben oder ob es sich um einen Hot­spot etwa eines Ho­tels han­delt, der eine An­mel­dung er­for­dert. Dazu rufen die Mo­bil­ge­rä­te un­ter­schied­li­che URLs ab – er­hal­ten sie das ge­wünsch­te Er­geb­nis, be­steht eine In­ter­net­ver­bin­dung. Be­kom­men sie hin­ge­gen den HTTP-Sta­tus-Code 302 „Moved Tem­pora­ri­ly“ und eine Ziel­adres­se, gehen sie davon aus, dass man erst eine An­meld­e­sei­te be­su­chen muss, ein so­ge­nann­tes Cap­ti­ve Por­tal.

Indem Sie mit dem Be­fehl sudo pico /etc/nginx/sites-avail­able/de­fault die Web­ser­ver-Kon­fi­gu­ra­ti­on be­ar­bei­ten und dort vor lo­ca­ti­on die Zeile

er­ror_pa­ge 404 =302 http://192.168.255.1/;

ein­fü­gen, er­hal­ten die Mo­bil­ge­rä­te an­stel­le des Feh­lers 404 den Sta­tus-Code 302 mit der Adres­se des Flug­blatts als Ziel.
So­bald sich ein Mo­bil­ge­rät mit dem WLAN des Flug­blatts ver­bin­det, öff­net sich die Start­sei­te au­to­ma­tisch oder nach An­tip­pen einer No­ti­fi­ca­ti­on.

Auf iOS- und Win­dows-Phone-Ge­rä­ten führt das dazu, dass die Ziel­sei­te au­to­ma­tisch im Brow­ser an­ge­zeigt wird, bei iOS al­ler­dings ohne Adress­leis­te. Auf An­dro­id-Ge­rä­ten öff­net sich die Seite ent­we­der au­to­ma­tisch oder man er­hält eine Be­nach­rich­ti­gung, dass man sich im Netz­werk an­mel­den müsse, und lan­det beim An­tip­pen auf der Start­sei­te des Flug­blatts. Ein wei­te­rer po­si­ti­ver Ne­ben­ef­fekt der Um­lei­tung ist, dass Be­su­cher beim An­kli­cken eines nicht exis­tie­ren­den Links auch auf der Start­sei­te lan­den, an­statt eine Feh­ler­mel­dung zu be­kom­men.
Aus­ge­schal­tet

Um den Raspi etwa nach einem ers­ten Test wie­der her­un­ter­fah­ren zu kön­nen, ohne Tas­ta­tur und Mo­ni­tor zu be­nö­ti­gen, soll­ten Sie das Pro­gramm Pi-Shut­down (siehe ct.​de/​yva6) in­stal­lie­ren. Es war­tet dar­auf, dass die GPOI-Pins 5 und 6 ge­brückt wer­den, etwa mit einem Jum­per. Damit die Strom­ver­sor­gung nicht im Weg ist, schlie­ßen Sie den Span­nungs­wand­ler dann an die Pins 2 (Plus) und 14 (Minus) an. Schlie­ßen Sie den Jum­per für etwa eine Se­kun­de lang an und ent­fer­nen ihn dann wie­der, so führt Pi-Shut­down einen Neu­start durch; las­sen Sie den Jum­per drei bis fünf Se­kun­den lang ge­steckt, schal­tet sich der Raspi aus. Dass sich der Raspi aus­schal­tet, er­ken­nen das daran, dass die Be­triebs-LED neben dem Micro-USB-An­schluss kurz blinkt.

Die Ein­rich­tung von Pi-Shut­down ist ein­fach: Sie laden das Py­thon-Pro­gramm pis­hut­down.py aus dem Git­hub-Re­po­si­to­ry her­un­ter und spei­chern es im Ver­zeich­nis /usr/local/bin auf dem Raspi:

sudo wget -O /usr/local/bin/pis­hut­down.py http://​raw.​git​hubu​serc​onte​nt.​com/​gilyes/​pi-​shutdown/​master/​pishutdown.​py

Damit Pi-Shut­down künf­tig au­to­ma­tisch bei jedem Start des Raspi ge­la­den wird, fin­den Sie im Zip-Ar­chiv einen pas­sen­den Sys­temd-Job, den Sie fol­gen­der­ma­ßen ein­rich­ten:

sudo cp 1722-144/pis­hut­down/ /etc/sys­temd/sys­tem

sudo sys­temctl enable pis­hut­down

Bevor Sie den Raspi her­un­ter­fah­ren, müs­sen Sie wie bei der Tor-Va­ri­an­te noch das Stan­dard-Pass­wort än­dern, Ihre Spu­ren be­sei­ti­gen, SSH ab­schal­ten und Ihre WLAN-Zu­gangs­da­ten lö­schen. Dann ist Ihr Raspi flug­be­reit. (mid@​ct.​de)

Kon­fi­gu­ra­ti­ons­da­tei­en:ct.​de/​yva6

Pi Zero W EASY + Step Down Modul Kit für c’t digitales Flugblatt – pi3g
▻https://buyzero.de/products/pi-zero-w-easy-step-down-modul-kit?variant=2066683985947

In die Freiheit entlassen - c’t | Heise Magazine
▻https://www.heise.de/select/ct/2017/22/softlinks/yva6?wt_mc=pred.red.ct.ct222017.144.softlink.softlink

Konfigurationsdateien für HostAP, DNSmasq, FakeDNS und Nginx
ftp://ftp.heise.de/pub/ct/listings/1722-144.zip

Pi-Shutdown (Python-Programm)
▻https://raw.githubusercontent.com/gilyes/pi-shutdown/master/pishutdown.py

Notepad++ für Windows
▻https://www.heise.de/download/product/notepad-26659

Putty SSH-Client für Windows
▻https://www.heise.de/download/product/putty-7016