Wie Microsoft einen Spion aufspürte, der seine Geheimnisse preisgab

[Aktualisiert am 20. März, 15:20 Uhr, mit Microsoft-Erklärung und Zeitplan]

Hier ist ein Profi-Tipp, wenn Sie planen, in das Industriespionagegeschäft einzusteigen: Verwenden Sie nicht die kostenlose E-Mail-Adresse Ihres Unternehmens Speicher- und Messaging-Dienste, um die eigentliche Aufgabe zu übernehmen, die Geschäftsgeheimnisse desselben Unternehmens an eine Schattenfigur zu übertragen Übersee.

Dieser Rat ist dem sehr schlechten Beispiel von Alex A. zu verdanken. Kibkalo, ein ehemaliger Microsoft-Mitarbeiter diese Woche aufgeladen mit einem einzigen Verstoß gegen Titel 18, United States Code, Abschnitt 1832, Diebstahl von Geschäftsgeheimnissen.

Laut einer eidesstattlichen Erklärung des FBI-Spezialagenten Armando Ramirez III hat ein verärgerter Kibkalo gestohlen streng geheime Quellcode- und Software-Entwicklungskits, Vorab-Hotfixes und Dokumente von Microsoft. Anschließend nutzte er den Windows Live Messenger, um Links zu den gestohlenen Dateien zu versenden, die er in seinem persönlichen Windows Live SkyDrive-Konto abgelegt hatte. Und als Zugabe schickte er E-Mail-Nachrichten mit zusätzlichen Details an die Hotmail-Adresse seines Ansprechpartners in Frankreich.

Der französische Windows-Enthusiast, von dem allgemein angenommen wird, dass er Canouna als seinen Pseudonym verwendet hat, erlangte im Laufe der Zeit einen beachtlichen Ruf Monate vor der Veröffentlichung von Windows 8, als er durch Informationslecks zum Star in Untergrundkreisen wurde Code.

Nach Angaben des FBI hatte die Trustworthy Computing Investigations-Abteilung (TWCI) von Microsoft versucht, Canounas wahre Identität herauszufinden, war jedoch gescheitert. Sie konnten nicht feststellen, ob es sich bei dem Blogger um eine externe Partei handelte, die Informationen von einem Kontakt innerhalb von Microsoft erhielt, oder ob es sich bei dem Blogger um einen Microsoft-Mitarbeiter handelte.

Um den 3. September 2012 herum schickte Canouna eine E-Mail an eine Person in Redmond, die angeblich Beispielcode aus dem Microsoft Activation Server Software Development Kit enthielt und fragen, ob der Empfänger ihm helfen könnte, „den Inhalt besser zu verstehen“. Die externe Quelle, die anonym bleiben wollte, kontaktierte Steven Sinofsky von Microsoft stattdessen.

Vier Tage später, am 7. September 2012, teilte das FBI mit, Microsoft habe gehandelt:

Die Quelle gab an, dass der Blogger die Quelle über eine Microsoft Hotmail-E-Mail-Adresse kontaktiert habe, die TWCI zuvor mit dem Blogger verbunden hatte. Nach der Bestätigung, dass es sich bei den Daten um das firmeneigene Geschäftsgeheimnis von Microsoft handelte, am 7. September 2012 Das Office of Legal Compliance (OLC) von Microsoft hat den Abruf von Inhalten aus dem Hotmail-Konto des Bloggers genehmigt. [Betonung hinzugefügt]

Diese E-Mail-Nachrichten führten wiederum zu Instant-Messaging-Konversationen und Links zu auf SkyDrive geteilten Dateien. Alle Daten wurden auf Microsoft-Servern über ein Konto gespeichert, das angeblich mit Kibkalo verknüpft war.

Und es besteht kein Zweifel, dass beide Parteien wussten, dass sie gegen das Gesetz verstoßen, wie dieser Gesprächsausschnitt zeigt:

Drei Tage nach diesem Austausch, am 24. September, holten Microsoft-Ermittler ihren Mitarbeiter Kibkalo zu einem zweitägigen Verhör.

Wenn die fraglichen Nachrichten und Dateien über Gmail und Dropbox übertragen worden wären, hätte Microsoft wahrscheinlich gerichtliche Anordnungen beantragt und erhalten, um Zugriff auf diese Kommunikation zu erhalten. Da Kibkalo und seine französische Verbindung jedoch Server verwendet hatten, die von Microsoft betrieben wurden, konnte das Unternehmen die in Abschnitt 3.5 der Richtlinie vorbehaltenen Rechte ausüben Microsoft-Dienstleistungsvereinbarung:

Inhalte, die gegen diese Vereinbarung oder Ihr lokales Recht verstoßen, sind in den Diensten nicht gestattet. Microsoft behält sich das Recht vor, Inhalte zu überprüfen zum Zweck der Durchsetzung dieser Vereinbarung. [Betonung hinzugefügt]

In seinem Verhaltenskodex für Microsoft-Dienste, das Teil der in diesem Abschnitt der AGB genannten Vereinbarung ist, erwähnt Microsoft im Abschnitt „Verbotene Nutzungen“ ausdrücklich „Softwarepiraterie“.

Die Online-Datenschutzerklärung von Microsoft enthält einen ähnlichen Wortlaut:

Wir können auf Informationen über Sie zugreifen oder diese offenlegen, einschließlich des Inhalts Ihrer Kommunikation, um: (a) das Gesetz einzuhalten oder auf rechtmäßige Anfragen oder rechtliche Verfahren zu reagieren; (B) Schützen Sie die Rechte oder das Eigentum von Microsoft oder unseren Kunden, einschließlich der Durchsetzung unserer Vereinbarungen oder Richtlinien, die Ihre Nutzung der Dienste regeln; oder (c) in gutem Glauben davon ausgehen, dass ein solcher Zugriff oder eine solche Offenlegung notwendig ist, um die persönliche Sicherheit von Microsoft-Mitarbeitern, Kunden oder der Öffentlichkeit zu schützen. [Betonung hinzugefügt]

Der interne Code, den Kibkalo angeblich durchgesickert hat, enthält das Microsoft Activation Server SDK, das ein Kernstück der Anti-Piraterie-Infrastruktur von Microsoft ist. In der eidesstattlichen Erklärung des FBI gibt Microsoft zu, dass „das Schadenspotenzial durch Missbrauch des SDK allgemein als gering eingeschätzt wird“, aber Das Risiko besteht darin, dass jemand den Code verwenden könnte, um einen zuverlässigen Generator gültiger Produktschlüssel für Windows und Windows zurückzuentwickeln Büro. Diese Aussicht wird Microsoft-Führungskräften garantiert heftiges Sodbrennen bereiten.

Es ist erwähnenswert, dass sich dieser ganze Vorfall im Sommer 2012 ereignete, bevor Ed Snowden alle Teile auf dem Spielbrett zum Online-Datenschutz auf den Kopf stellte. Als Reaktion auf eine Bitte um einen Kommentar zu dieser Geschichte gab ein Microsoft-Sprecher zunächst die folgende Erklärung ab:

Bei einer Untersuchung eines Mitarbeiters haben wir Beweise dafür gefunden, dass der Mitarbeiter gestohlenes geistiges Eigentum, einschließlich Code im Zusammenhang mit unserem Aktivierungsprozess, an Dritte weitergegeben hat. Um unsere Kunden sowie die Sicherheit und Integrität unserer Produkte zu schützen, haben wir über viele Monate hinweg Ermittlungen bei Strafverfolgungsbehörden in mehreren Ländern durchgeführt. Dazu gehörte auch der Erlass einer gerichtlichen Anordnung zur Durchsuchung einer Wohnung im Hinblick auf Beweise für die beteiligten Straftaten. Die Untersuchung ergab wiederholt eindeutige Beweise dafür, dass der beteiligte Dritte beabsichtigte, Microsoft-IP zu verkaufen, und dies auch in der Vergangenheit getan hatte.

Im Rahmen der Untersuchung haben wir eine begrenzte Überprüfung der von Microsoft betriebenen Konten dieses Drittanbieters vorgenommen. Obwohl die Nutzungsbedingungen von Microsoft unsere Zustimmung zu dieser Art von Überprüfung klar darlegen, geschieht dies nur in den außergewöhnlichsten Fällen. Wir wenden ein strenges Verfahren an, bevor wir solche Inhalte prüfen. In diesem Fall erfolgte eine gründliche Prüfung durch ein vom Ermittlungsteam getrenntes und starkes Rechtsteam Beweise für eine Straftat, die einem Standard entsprechen, der mit dem zur Erlangung einer gerichtlichen Durchsuchungsanordnung erforderlichen vergleichbar ist andere Seiten. Tatsächlich wurde, wie oben erwähnt, ein solcher Gerichtsbeschluss in anderen Aspekten der Untersuchung erlassen.

Ein interessantes Detail in der Aussage von Microsoft ist in der eidesstattlichen Erklärung des FBI-Spezialagenten Ramirez nicht enthalten. Laut Microsoft gab es „eindeutige Beweise dafür, dass der beteiligte Dritte beabsichtigte, Microsoft-IP zu verkaufen.“ und hatte dies auch in der Vergangenheit getan.“ Das deutet auf die Möglichkeit hin, dass möglicherweise weitere Anklagen erhoben werden Frankreich.

Die eidesstattliche Erklärung des FBI und die Erklärung von Microsoft erzählen natürlich nur die eine Seite der Geschichte. Kibkalo wird bald Gelegenheit bekommen, seine Verteidigung vorzustellen. Mittlerweile waren die Fakten überzeugend genug, dass der Staatsanwalt der Vereinigten Staaten einen Bundesrichter darum bat Kibkalo bis zur Verhandlung festhalten, weil „die Gefahr groß ist, dass der Angeklagte fliehen wird“, vermutlich in seine Heimat Russland.

In einem weiteren Update gibt Microsoft bekannt, dass es seine Verfahren künftig verschärfen wird:

John Frank, Vizepräsident und stellvertretender General Counsel:

Wir glauben, dass Outlook- und Hotmail-E-Mails privat sind und sein sollten. Heute wurde über einen bestimmten Fall berichtet. Allerdings haben wir in diesem Fall aufgrund der besonderen Umstände und unserer Bedenken hinsichtlich der Produktintegrität außergewöhnliche Maßnahmen ergriffen Auswirkungen auf unsere Kunden haben, möchten wir zusätzlichen Kontext dazu bieten, wie wir diese Probleme im Allgemeinen angehen und wie wir unsere Probleme weiterentwickeln Richtlinien.

Gerichte erlassen keine Anordnungen, die jemandem erlauben, sich selbst zu durchsuchen, da eine solche Anordnung offensichtlich nicht erforderlich ist. Selbst wenn wir glauben, dass wir einen wahrscheinlichen Grund haben, ist es nicht möglich, ein Gericht zu bitten, uns eine Selbstdurchsuchung anzuordnen. Allerdings sollten auch wir keine Durchsuchung unserer eigenen E-Mail-Adressen und anderer Kundendienste durchführen, es sei denn, die Umstände würden einen Gerichtsbeschluss rechtfertigen, sofern ein solcher verfügbar wäre. Um auf unseren aktuellen Praktiken aufzubauen und Sicherheit für die Zukunft zu bieten, werden wir künftig die folgenden Richtlinien befolgen:

• Um sicherzustellen, dass wir die für die Einholung eines Gerichtsbeschlusses geltenden Standards einhalten, stützen wir uns bei der Beurteilung der Beweise zunächst auf ein vom internen Ermittlungsteam getrenntes Rechtsteam. Wir werden nur weitermachen, wenn dieses Team zu dem Schluss kommt, dass es Beweise für eine Straftat gibt, die ausreichen würden, um einen Gerichtsbeschluss zu rechtfertigen, falls ein solcher anwendbar wäre. Als weiteren Schritt werden wir diese Beweise im weiteren Verlauf einem externen Anwalt vorlegen, der ein ehemaliger Bundesrichter ist. Wir werden eine solche Durchsuchung nur dann durchführen, wenn dieser ehemalige Richter ebenfalls zu dem Schluss kommt, dass ausreichende Beweise für einen Gerichtsbeschluss vorliegen.
• Selbst wenn eine solche Suche durchgeführt wird, ist es wichtig, dass sie sich auf den untersuchten Sachverhalt beschränkt und nicht nach anderen Informationen sucht. Wir werden daher weiterhin sicherstellen, dass die Durchsuchung selbst ordnungsgemäß durchgeführt wird und zu diesem Zweck von einem Anwalt überwacht wird.
• Schließlich halten wir es für angemessen, die Transparenz dieser Art von Durchsuchungen sicherzustellen, ebenso wie bei Durchsuchungen, die als Reaktion auf behördliche oder gerichtliche Anordnungen durchgeführt werden. Wir werden daher im Rahmen unseres halbjährlichen Transparenzberichts die Daten über die Anzahl dieser durchgeführten Durchsuchungen und die Anzahl der betroffenen Kundenkonten veröffentlichen.

Die einzige Ausnahme von diesen Schritten gelten für interne Untersuchungen von Microsoft-Mitarbeitern, die wir durchführen Im Zuge einer Unternehmensuntersuchung wurde festgestellt, dass sie ihre persönlichen Konten für Microsoft verwenden Geschäft. Und in diesen Fällen beschränkt sich die Prüfung auf den Untersuchungsgegenstand.

Die Privatsphäre unserer Kunden ist uns unglaublich wichtig, und obwohl wir glauben, dass unser Handeln in diesem speziellen Fall auch so war Angesichts der besonderen Umstände möchten wir klarstellen, wie wir mit ähnlichen Situationen umgehen werden nach vorne. Deshalb bauen wir auf unseren aktuellen Praktiken auf und ergänzen diese, um unsere Prozesse weiter zu stärken und die Transparenz zu erhöhen.

ZEITLEISTE

Der folgende Zeitablauf der Ereignisse in diesem Fall ist Dokumenten entnommen, die beim US-Bezirksgericht in Seattle, Washington, eingereicht wurden:

31. Juli 2012: Kibkalo verwendet für die Kommunikation ein E-Mail-Konto, das mit seinem Windows Live Messenger-Konto verknüpft ist mit seinem Kontakt in Frankreich, der SkyDrive-Links zu sechs ZIP-Dateien mit Vorab-Hotfixes für sendet Windows RT.

1. August 2012: Kibkalo fordert Zugriff auf den Out-Of-Band-Server (OOB) von Microsoft. Der Zutritt erfolgt am 2. August.

18. August 2012: Kibkalo greift auf den OOB-Server zu und überträgt Code an eine virtuelle Maschine auf einem Server in Redmond. Anschließend legt er eine komprimierte Datei (PIDGENXSDK.RAR) auf seinem persönlichen SkyDrive-Konto ab und verwendet dann MSN Messenger, um sie bereitzustellen Blogger mit Links zu Dateien auf seinem SkyDrive-Konto und ermutigt ihn, das SDK mit anderen zu teilen, um einen „gefälschten Aktivierungsserver“ zu schreiben Code.

3. September 2012: Externe Quelle kontaktiert Steven Sinofsky und gibt an, dass er von einem Blogger kontaktiert wurde, der proprietären Code gesendet hat.

7. September 2012: Nach einer „gründlichen Prüfung durch ein vom Ermittlungsteam getrenntes Rechtsteam und überzeugenden Beweisen für eine kriminelle Handlung, die einem Standard entsprach“, heißt es darin vergleichbar mit dem, was erforderlich ist, um eine rechtliche Anordnung zur Durchsuchung anderer Websites zu erhalten“, genehmigt Microsofts Office of Legal Compliance (OLC) „Content Pulls des Bloggers“. Hotmail-Konto.“

9. September 2012: Per IM diskutieren Kibkalo und der französische Blogger über die Logistik des Datenaustauschs.

24. September 2012: Microsoft-Ermittler befragen Kibkalo zwei Tage lang; Diese Ermittler sagen dem FBI, dass Kibkalo zugegeben hat, eine große Anzahl von Produkten gestohlen zu haben. Die Ermittler gaben außerdem an, Beweise dafür gefunden zu haben, dass er dem Blogger Zugriff auf Server im Unternehmensnetzwerk von Microsoft gewährt hatte.

Juli 2013: Microsoft-Ermittler teilen die Ergebnisse ihrer internen Untersuchung mit dem FBI.

17. März 2014: Auf der Grundlage einer vom FBI vorgelegten eidesstattlichen Erklärung stellt die Richterin der Vereinigten Staaten, Mary Alice Theiler, fest: dass es wahrscheinlichen Grund zu der Annahme gibt, dass der Angeklagte [Kibkalo] die in der Straftat dargelegte Straftat begangen hat Beschwerde."