Dieses Dokument wird auf $\;$\href{https://gitlab.cs.fau.de/ik15ydit/latexandmore}{https://gitlab.cs.fau.de/ik15ydit/latexandmore}$\;$ maintain't. Au\ss erdem Vorsicht: Die Vorlesungen k\"onnen sich von Jahr zu Jahr deutlich unterscheiden. \\\\
\item Durch Oxid-Schicht elektrisch isoliertes Gate, dessen Ladung durch den Quanten-mechanischen Tunneleffekt Auswirkungen hat auf die Source-Drain-Strecke
\item Ladung des Gates bewirkt eine Änderung (Erhöhung) der Schwellspannung, bei der der Transistor auf der Source-Drain-Strecke leitend wird.
\item Schreiben (Programmieren) der Speicherzelle: das Einbringen von Elektronen auf das Floating Gate (Zustand: logische \enquote{0})
\item Löschen der Speicherzelle: das Entfernen von Elektronen von dem Floating Gate (Zustand: logische \enquote{1})
\item Lesen einer logische \enquote{0}: die Source-Drain-Strecke ist nicht leitend beim Anlegen einer Spannung oberhalb der \enquote{normalen} Schwellspannung
\item Lesen einer logische \enquote{1}: die Source-Drain-Strecke ist leitend beim Anlegen einer Spannung oberhalb der \enquote{normalen} Schwellspannung
\item Bei einem Löschzyklus durchtunneln die Elektronen die Oxidschicht. Dafür sind hohe Spannungen erforderlich.
\item Dadurch wird bei jedem Löschvorgang die Oxidschicht, die das Floating-Gate umgibt, ein klein wenig beschädigt (Degeneration, \enquote{wear out}).
\item nach einer endlichen Anzahl von Schreib- und Löschvorgängen nimmt die Zahl der Elektronen, die die Isolierungsschicht durchqueren können, ab
\item Resultat: Schwellspannung beim Lesevorgang zeigt keinen ausreichenden Unterschied, um zwischen 0 und 1 zu unterscheiden.
\item Unterscheidung Page vs. Block
\begin{itemize}
\item Page: kleinste Einheit, die geschrieben werden kann (\"ublich 2-16 KiB)
\item Block: kleinste Einheit, die gel\"oscht werden kann (üblich 4-8 MiB)
\item Grund: Der Löschvorgang erfordert das Anlegen einer hohen Spannung in mehreren Schritten, die Abschirmung benachbarter Bereiche von Zellen vor ungewollter Beeinflussung sowie das Überprüfen (Lesen) aller Zellen, ob der Löschvorgang erfolgreich war.
\item Billige Chips verwenden meist Multi Level Cell (MLC) oder Three Level Cell (TLC): Anstatt einem Spannungsthreshold unterscheidet man 2 bzw. 3 und kann so mehrere Bit mit einer Speicherzelle darstellen bzw. speichern. Das spart Platz und Material, die Spannungsunterschiede sind aber nicht mehr so zuverl\"assig zu unterscheiden und dementsprechend auch schneller anf\"alliger f\"ur wear-out.
Mitlesen des Netzwerkverkehrs, nur schwer bis gar nicht durch Maleware manipulierbar, allerdings Verschl\"usselung m\"oglich, was wiederum bedeutet, dass nur Metadaten gesammelt werden k\"onnen.
Die Autoren des Papers haben effektiv jede Speicherseite gehasht und die resultierenden Hashes an X/Y-Achse aufgetragen und alle identischen \textit{('\"ahnlichen')} Felder schwarz markiert.\\\\
Der Fall dass zwei Seiten im Speicher die gleiche SHA-Sum haben kann eigentlich (0er und 1er-Seiten weggefiltert) nicht sein bzw. ist sehr unwahrscheinlich.
Spuren die beim Aufrufen einer Webseite im Browser entstehen:
\begin{itemize}
\item Eintrag der eingegebenen URL in der Browser-History Datei
\item Eintrag weiterer \enquote{nachgeladener} URLs in der Browser-History Datei
\item Gecachte Objekte wie html, javascript oder Bilder im Browser-Cache
\item Cookies
\item Potentiell auch gecachte DNS-Eintr\"age auf dem System oder im Netzwerk
\end{itemize}
Im \textit{private browsing}-Mode vieler Browser verhindern dass Cookies-, History- oder Cache-Eintr\"age w\"arend des Browsens enstehen.
Potentiell enstehen trotzdem folgende Spuren:
\begin{itemize}
\item Objekte aus Webseiten die noch im Hauptspeicher zu finden sind, mittels Live-Analyse
\item Passive DNS-Replikationen in der DNS-Route oder DNS-Cache auf dem System
\item Browser-Extensions die Informationen zur private-Mode Sessions leaken
\item Teilweise werden Informationen w\"arend der private-Mode Session gespeichert und erst beim Beenden der Session gel\"oscht, dies k\"onnte jedoch reversibel sein, oder bei Crashes erst gar nicht stattfinden
\end{itemize}
Um Webanwendungen zu Analysieren l\"asst sich wie bei der Anwendungsanalyse die Ereignis- oder Zustandsmethode f\"ur die Browser-Applikation verwenden.
Zus\"atzlich lassen sich mittels Tools wie der Burp-Suite gezielt das Verhalten der Webanwendungen mittels der Ereignismethode analysieren.
Hierf\"ur wird meist ein Proxy verwendet durch den die Analyseumgebung alle Requests und Responses und somit auch alle Objekte der Webanwendung mitschneidet.
\subsubsection{Browser Fingerprinting}
Browser Fingerprinting nach Panopticlick:
\begin{quote}
\enquote{Browser fingerprinting} is a method of tracking web browsers by the configuration and settings information they make visible to websites, rather than traditional tracking methods such as IP addresses and unique cookies.
The site you are visiting may choose to analyze your browser using JavaScript, Flash and other methods (just like Panopticlick does). It may look for what types of fonts you have installed, the language you’ve set, the add-ons you’ve installed, and other factors. The site may then create a type of profile of you, tied to this pattern of characteristics associated with your browser, rather than tied to a specific tracking cookie.
If your browser is unique, then it’s possible that an online tracker can identify you even without setting tracking cookies. While the tracker won’t know your name, they could collect a deeply personal dossier of websites you visit.
\item Die Überwachung und Aufzeichnung der Telekommunikation darf auch in der Weise erfolgen, dass mit technischen Mitteln in von dem Betroffenen genutzte informationstechnische Systeme eingegriffen wird, wenn dies notwendig ist, um die Überwachung und Aufzeichnung insbesondere in unverschlüsselter Form zu ermöglichen.
Auf dem informationstechnischen System des Betroffenen gespeicherte Inhalte und Umstände der Kommunikation dürfen überwacht und aufgezeichnet werden, wenn sie auch während des laufenden Übertragungsvorgangs im öffentlichen Telekommunikationsnetz in verschlüsselter Form hätten überwacht und aufgezeichnet werden können.
\item Auch ohne Wissen des Betroffenen darf mit technischen Mitteln in ein von dem Betroffenen genutztes informationstechnisches System eingegriffen und dürfen Daten daraus erhoben werden (Online-Durchsuchung), wenn
\begin{itemize}
\item bestimmte Tatsachen den Verdacht begründen, dass jemand als Täter oder Teilnehmer eine in Absatz 2 bezeichnete besonders schwere Straftat begangen oder in Fällen, in denen der Versuch strafbar ist, zu begehen versucht hat,
\item die Tat auch im Einzelfall besonders schwer wiegt und
\item die Erforschung des Sachverhalts oder die Ermittlung des Aufenthaltsortes des Beschuldigten auf andere Weise wesentlich erschwert oder aussichtslos wäre.
\subsubsection*{\S\S 100c, 100d StPO - Gro\ss er Lauschangriff (Akustische Wohnraumüberwachung)}
Betrifft die \"uberwachung eines gesamten (privaten) Wohnraums,
im Gegensatz zu \S\S 100f dem ("kleinen Lauschangriff") akustischen \"Uberwachen von \"offentlichen R\"aumen und ist an \"ahnliche Vorraussetzungen wie die TK\"U gebunden.
Es gelten strenge Vorschrifte, welche R\"aume abgeh\"ort werden d\"urfen und private Informationen m\"ussen gel\"oscht werden.
\S\S 100d definiert den "Kernbereich privater Lebensgestaltung" und bezieht sich dabei auf \S\S 100a-c.
Dieser Kernbereich unterliegt besonderem Schutz und darf nicht alleiniges Ziel der Erkenntnisse darstellen.
Zudem m\"ussen Ma\ss{}nahmen nach \S\S 100b Daten aus diesem bereich m\"oglichst vermeiden und Ma\ss{}nahmen nach \S\S 100a,c d\"urfen diese Daten nicht verwerten.
\subsubsection*{\S\S 100f Kleiner Lauschangriff (Akustische \"Uberwachung au\ss{}erhalb von Wohnraum)}
Interessant ist hier der Unterschied zu \S\S 100c, gut zu vergleichen mit dem Unterschied zwischen \S\S 100 a und b.
\subsubsection*{\S\S 100g Erhebung von Verkersdaten}
\"Ahnlich zu \S\S 100a, anstatt Inhalt \enquote{nur} Verkehrsdaten
\subsubsection*{\S\S 100j Bestandsdatenauskunft}
Wichtig auch hier ist eine gerichtliche Anordnung zwingend. Bei Gefahr in Verzug auch durch Staatsanwaltschaft m\"oglich.
\subsubsection*{\S\S 101 Verfahrensregelung bei verdeckten Ma\ss{}nahmen}
Grunds\"atzliche Verfahrensregeln.
Nach Einstellung der Ma\ss{}nahmen m\"ussen Betroffene grunds\"atzlich \"uber diese Informatiert werden, sodass sie in der Lage sind die Rechtm\"a\"Sigkeit dieser zu \"uberpr\"ufen.
Viele Kommunikationsprogramme nutzen eine Verschlüsselung ihrer Kommunikationsdaten und -inhalte, die ohne aktives Handeln des Nutzers im Hintergrund arbeitet.
Telekommunikationsinhalte in verschlüsselter Form können in vielen Fällen durch die klassische Form der Telekommunikationsüberwachung (TK\"U) nicht ausgewertet werden.
Dies lässt aber die notwendigen und gesetzlich auch zulässigen Maßnahmen der TK\"U bei der Verfolgung schwerer Straftaten oder der Abwehr von Gefahren für hochwertige Rechtsgüter ins Leere laufen.
Die Quellen-TK\"U ist eine besondere Form der TK\"U, die Kommunikation erfasst, bevor diese verschlüsselt wird oder nachdem diese entschlüsselt wurde bzw. die Entschlüsselung ermöglicht.
Es werden keine Informationen erlangt, die nicht auch durch eine "konventionelle" TK\"U erlangt würden.
Für die effektive Durchführung von Ermittlungen, insbesondere im Bereich des Terrorismus und der Organisierten Kriminalität, ist das Instrument der Quellen-TK\"U unverzichtbar.
Gesetzlich ist die Maßnahme der Quellen-TK\"U in § 100a Abs. 1 S. 2, 3 StPO verankert.
Zusätzlich ist die Quellen-TK\"U auch in manchen Landesgesetzen zur Gefahrenabwehr verankert.
Das BKA kann die Quellen-TK\"U zur Abwehr von Gefahren des internationalen Terrorismus nach §§ 5, 51 Abs.1 i.V.m. Abs. 2 BKAG einsetzen.
Jenseits der \"Uberwachung laufender kryptierter Telekommunikation stellt die Kryptierung bzw. Verschlüsselung von Daten seitens der Täter (z. B. bei Verschlüsselung eines Bereichs der Festplatte eines Computers oder einer externen Festplatte) die Sicherheitsbehörden zunehmend vor technische Herausforderungen.
Um im Einzelfall verschlüsselte Daten als Spurenansätze bzw. Beweismittel auswerten zu können, ist die Online-Durchsuchung (ODS) ein geeignetes Ermittlungsinstrument zur Aufklärung schwerer Straftaten.
Die ODS ermöglicht es den Ermittlungsbehörden, aus den Systemen einer betroffenen Person im Rahmen der gesetzlichen Möglichkeiten beweiserhebliche Daten auszuleiten.
Das BKA verfügt über Software zur Durchführung von Maßnahmen der ODS, die – analog zur Quellen-TK\"U – vor dem Einsatz einem umfangreichen Testverfahren unterzogen wird.
Die ODS zur Abwehr von Gefahren des internationalen Terrorismus nach dem BKAG ist in § 49 BKAG normiert, in Fällen der Strafverfolgung dient §100b StPO als Rechtsgrundlage.
Die Maßnahme setzt jeweils eine richterliche Anordnung voraus.
\item Die Regelung des \S 7a lässt es zu, dass der BND - hierfür braucht er die Zustimmung des Bundeskanzleramtes - an ausländische Geheimdienste Daten übermittelt
\item\enquote{freie} Sachverst\"andige: kein gesch\"utzter Titel
\item\enquote{\"offentlich bestellte und vereidigte} Sachverst\"andige: Gesch\"utzter Titel (\S 132a StGB)
\item Im Bereich IT/Computerforensik
\begin{itemize}
\item IHKs als K\"orperschaften \"offentlichen Rechts vom Staat mit Aufgabe der Bestellung beliehen
\item Fixiert in Sachverst\"andigenordnung,Bestellungsvoraussetzungen
\item u.a. auf 5 Jahre befristet, ausreichend Lebens- und Berufserfahrung, erheblich \"uber dem Durchschnitt liegende Fachkenntnisse, lebt in geordneten wirschaftlichen Verh\"altnissen,...
\item\enquote{Besondere Sachkunde} nach DIHK: Abgeschlossenes Studium, Berufserfahrung im Bereich Infermationsverarbeitung, Mindestens 5 Gutachten, zus\"atzlich IHK-Pr\"ufung
\item Es wird gepr\"uft ob Sachverst\"andige geeignet ist (zusammengefasst in keiner Weise befangen)
\item Auftr\"ager k\"onnen nur bei wichtigem Grund verweigert werden
\item Sachverst\"andige k\"onnen ihre Haftung nicht ausschlie\ss{} oder beschr\"anken und brauchen entsprechende Haftpflichtversicherung
\end{itemize}
\end{itemize}
\subsubsection{Was darf der \"obuv Sachverst\"andige}
\begin{itemize}
\item Aufkl\"arung und Akteneinsicht \S 80 StPO: Akten einsehen, Vernehmnung von Zugen und Beschuldigten
\item Im Gerichtsverfahren: \S 73 StPO: Richter entscheiden welche Sachverst\"andige in welcher Anzahl hinzugezogen werden
\item Unterschied ermittler: \"obuv Sachverst\"andiger ist absolut Neutral, \enquote{Werkzeug} des Richters, ist selbst f\"ur alles zust\"andig und haftbar
