Die Tücken der Verschlüsselung
...oder: Wie macht man eigentlich Missi wahnsinnig...
--
Man rächte sich an mir. Dafür. Und das nicht wenig.
Ich tappse nichts ahnend zum Briefkasten... und finde eine Postkarte. Verschlüsselt.
"Hab Spaß" stand drunter und den sollte ich auch haben.
Nun war man gnädig zu mir und schrob den Code nicht per Hand, sondern druckte ihn sauber auf eben besagte Karte.
"Ich möchte nicht wissen, was der Postmann denkt, wenn er eine verschlüsselte Postkarte neben einer Tür mit einem "Stasi 2.0"- Plakat einwirft" schoss es mir noch durchs Hirn und ich warf den Scanner an um sie meiner recht brauchbaren OCR- Software zu übergeben. Recht brauchbar, ja... Dachte ich.
Falsch gedacht...
MissAntroph: ich gebs auf :p ich gugg heute abend nochmal :p
MissAntroph: die leute, die meine gedanken abhören sind bestimmt voll verwirrt nun.
onkelchen:. Keinen Aluhut auf?
MissAntroph: ich denke doch verschlüsselt
Mag die Trefferquote dieser Software bei 98% liegen, das sind definitiv 2 % zu wenig, das hieß Fehlersuche und irgendwann sah ich nur noch irgendwelche Zahlen/Buchstaben auf dem Monitor tanzen und beschloss, ins Bett zu gehen. Natürlich hab ich *nicht* gespeichert, das wusste ich zu der Zeit nur noch nicht.
Versuch Nummer 2 dann am nächsten Tag, diesmal dann ohne Umweg über "recht brauchbare OCR- Software*", abtippen geht schneller. Dachte ich.
Falsch gedacht...
* §"$%$&%$&!/&(/$&(/!%%&§&%*
Schneller wars nicht, aber geschafft, erleichtert hackt man seine Passphrase ins aufploppende Fenster, die "tanzenden Buchstaben und Zahlen" verwandeln sich in lesbaren Text: "Schau unter die Briefmarke... " prangts da nun. An dieser Stelle stelle man sie bitte ein klassisches Homer -"Nein!" vor, das passt dann ganz ausgezeichnet und beschreibt die Situation.
Unter der Briefmarke findet sich eine URL. Eine *kleine* URL, aber wenn der Scanner eh gerade neben mir steht, kann man das auch hochauflösend scannen und am Monitor weiterrätseln, wo ich nun hin soll. Nach 2×404 war ich dann auch richtig und finde 2 Links und einen Hinweis, der mich später noch wahnsinnig werden lässt.
Unter Link eins findet sich eine weitere verschlüsselte Nachricht unter der Überschrift "3.141592653589793238462643383279502884197169399" ... und wer hätte es gedacht: Mir fehlt der geheime Schlüssel dazu. (Wer jetzt nichts rafft an dieser Stelle: Hier.) Der wird sich dann wohl unter Link zwei finden lassen irgendwo.
Unter Link zwei findet sich ein Login und eine Shoutbox, mit welcher man mich freundlich begrüßt und ich freundlich zurückspamme, wobei mir als allererstes auffällt, das diese die scheinbar Probleme mit den Tags hat, denn sie formatiert so freundlich Kram kaputt, wo sie eigentlich Code strippen sollte. Ein XSS wäre naheliegend, aber auch zu einfach, von daher schau mir das Formular an, was mich aber nichts besonderes finden lässt. Ich überspringe diesen Punkt einfach mit der Tatsache, das ich das Wordpress, welches dort auf dem Space liegt, um einen Fileexplorer* erweitere und eben schlicht und ergreifend in das Verzeichnis stiefele und mir die Sourcen angugge und mir die, wie schon vermutet, benötigten Keys ziehe. "Du hättest da XSS machen sollen, ..." beschwert man sich im Query ... so im nachhinein betrachte...
Da hat er recht. :o)
Ich habe nun eine Nachricht und die dazu passenden Schlüssel, diese zu entschlüsseln ... Mir fehlt die Passphrase und als einziger Hinweis darauf prankts "23:42@EK.com". Ich penetriere meine Blogdatenbank mit PI, 23, 42 und sämtlichen irgendwie gleichartigen Derivaten, kombinier mich dumm und dämlich, was die möglichen Passwortkombinationen angeht, bis man mir dann doch freundlicherweise irgendwann steckt, das ich *viiiiieeeeel* zu kompliziert denke und quatscht von Semantik. Ich hole mir unkundige Unterstützung, deute nur auf den Hinweis "Was fällt dir spontan dazu ein?", er liest 23&42, dummerweise auch nen Fetzen vom Chat, in welchem gerade "Übrigens ist Pi eine irrationale Zahl. Es gibt die Hypothese, dass dort jede beliebige Zahlenkombination irgendwo steht." auftaucht, als Reaktion auf mein kurz zuvor festgestelltes "In Pi steckt auch ne 42" (gefunden beim greppen nach dem eventuellen Pass) und beschließt, mit einem "Das ist doch wieder so ein Nerdkram" das Feld zu räumen.
Zu viele Zahlen scheinbar. Mir auch. So nach $n Stunden.
Versuchen wir es mit Social Engineering*, was man in diesem Fall in etwa mit "Ich geh dir jetzt solange auf den Sender, bis ich genug Hinweise zusammen hab" übersetzen kann.
"Du machst mich irre..." versprichts am anderen Ende. Glückwunsch, du mich auch!
Um so mehr Hinweise ich bekomme, umso verwirrter werde ich, mir scheint Methode dahinter zu stecken, ein teuflischer Plan, man schließt PI, die Illuminaten und auch die Antwort auf alle Fragen aus, all die hübschen Zahlenspiele, die ich nun seit Stunden in zillionenfachen Kombinationen zusammengestellt habe, ("Du liest die falsch" .. "0.547619048 ists aber auch nicht!" .. .) und bringt mich auf Dinge wie "Uhrzeit". Öhm. Uhrzeit?
Ich grabe mein Blog um nach "23:42" und finde: Nix. Ne Stunde früher (22:42): Nix. Ne Stunde später (0:42) ist ein Zahlenspielpost, voller 3.1415|23|42. Da sind sie wieder! Neue Kombinationen. Pi ists nicht, 23|42 sinds nicht, weder 23,22 oder 0,22, die verboteneZahl ists nicht, weder mit Dezimalgefrikkel drum rum, noch base64 decodiert... Nix.
Man hat Mitleid mit mir (oder sich selbst) und behinweist mich damit, dass es nicht jeder sehen kann. Ich befinde mich also im Controlpanel, klickenderweise durchs Menue, wo denn nun alles Daten von aussen reinkommen könnten.
Betriebsblind: Die Statz klick ich als letztes und schau die Referrer und Googlequeries durch. Durchaus feine Queries zuweilen, bei denen man grinsend davorsitzt und sich fragt "Wer zur Hölle sucht denn sowas". Wie das von gestern zum Beispiel. Um 23:42.
--
*Kein Hackingtool nach § 202 StGB
madchiq 
Chris 
missi 
Greg 
Sixtus 