Sicherheit

April 10, 2017

Technischer Datenschutz: Passwörter

Der wichtigeste Tipp für Passwörter ist: Sichere nicht erratbare Passwörter verwenden, für jede Seite ein anderes Passwort verwenden und einen Passwortmanager installieren um sich die Passwörter nicht merken zu müssen.

Warum Passwortmanager?

Viele Leute benutzen nur wenige Passwörter für alle Seiten die sie besuchen. Wird nur eine Seite davon gehackt, kann das Passwort auch auf allen anderen benutzt werden. Der Grund nur wenige Passwörter zu benutzen ist, dass es schwer ist sich viele (sichere) Passwörter zu merken.

Unsichere Passwörter sind selbst mit starker Verschlüsslung schnell gehackt und auch sichere Passwörter sind gefährdet, weil viele Seiten sie unverschlüsselt speichern.

Fatal ist, wenn gerade das E-Mailpasswort mit dem Passwort einer Seite übereinstimmt. Wird die Datenbank der Seite dann gehackt, hat der Hacker das Passwort und die E-Mailadresse und kann es direkt nutzen um fremde E-Mails zu lesen. Das ist besonders gefährlich, weil die meisten Seiten es erlauben das Passwort mit Hilfe der E-Mailadresse zurückzusetzen. Das heißt wer das E-Mailpasswort hat, kann sich Zugang zu fast allen Accounts verschaffen. Deswegen ist es eine gute Idee gerade für den E-Mailaccount ein besonders kompliziertes Passwort zu verwenden, das nirgendwo sonst verwendet wird.

Ein Passwortmanager hilft hier für jede Seite ein eigenes kompliziertes Passwort zu benutzen ohne es zu vergessen.

Im Browser eingebaute Passwortmanager sind eine gute Wahl

Der im Browser eingebaute Passwortmanager hat den Vorteil, dass er automatisch erkennt ob das Passwort zur Seite gehört. Hat man das Passwort auf www.paypal.com eingespeichert wird es auf www.paypal-fake.com nicht eingefügt, wenn man es dort nicht neu eingibt. Damit hilft der Passwortmanager hier auch betrügerische Seiten zu erkennen.

Schließlich ist noch ein Vorteil, dass man keiner fremden Software vertrauen muss. Der Browser kann jedes eingegebene Passwort mitlesen, sodass man ihm sowieso vertrauen muss. Da ist das einspeichern der Passwörter im Browser nicht gefährlicher als das verwenden des Browsers selber. Bei externen Passwortmanagern sollte man gut darauf achten, ob sie von einer vertrauenswürdigen Firma kommen und ggf. ob die den Ruf hat unsichere Software herzustellen.

Es ist auf jeden Fall zu empfehlen für den Passwortmanager ein Masterpasswort zu verwenden, das beim ersten Passwort nach dem Start des Browsers eingegeben werden muss um den Passwort-Safe zu entsperren. Sonst kann jeder Computervirus direkt die ganze Passwortliste klauen.

Der Nachteil von in den Browsern eingebauten Passwortmanagern ist, dass sie meistens keine Funktion enthalten um für eine Seite ein sicheres Passwort zu generieren. Dazu muss also ein anderer Passwortgenerator verwendet werden.

Wie benutze ich die Passwortmanager der Browser?

Bei anderen Passwortmanagern ist es zu empfehlen auch die entsprechende Browserintegration zu installieren, außer man weiß genau was man tut.

Passwort synchronisieren: Segen oder Fluch?

Firefox bietet mit "Firefox Sync" eine Möglichkeit Browserdaten von mehreren Geräten auf dem gleichen Stand zu halten, unter anderem auch die gespeicherten Passwörter. Chrome ermöglicht das gleiche über den Googleaccount, wenn man sich im Browser damit einlogged.

Die Funktionen haben Vor- und Nachteile.

Der Vorteil ist, dass man überall die Passwörter hat und damit vermeidet einige vielleicht doch eher unsicher zu wählen, weil man sie häufig auf anderen Geräten braucht.

Der Nachteil ist, dass Passwörter die "in der Cloud" liegen auch bei Datenpannen der Dienste verloren werden können. Etwas das nur auf dem eigenen PC liegt ist ein überschaubares Risiko, Cloud hingegen ist ein modernes Wort für "Computer anderer Leute" ;-).

Sichere Passwörter

Die ganze Mühe ist natürlich immer noch nicht sicher, wenn man unsichere Passwörter benutzt. Daher lohnt es sich entweder Passwörter zu generieren (bei guten Funktionen dazu punkten vor allem die externen Manager) oder ein sicheres System zum finden von Passwörtern zu benutzen.

Der erste Tipp ist: Die Länge machts! Ein Buchstabe von A-Z macht 26 Passwörter, nimmt man A-Z und 0-9 sind es 36 mögliche Passwörter. Wenn man aber zwei Buchstaben von A-Z nimmt ergeben sich 676 mögliche Passwörter. Die Folgerung ist ganz klar: Lieber ein Passwort mit 16 Zeichen oder mehr mit wenig Zahlen und Sonderzeichen als ein 8 Zeichen Passwort mit so viel Zeichensalat dass es auch schwer zu merken ist.

Passwort? Warum keine Passphrase? Ein Passwort wie "K#(Ll$5]" ist schwer zu merken und schwierig zu tippen, gerade wenn man schnell blind tippen kann. Eine Passphrase wie "Wenn-lila-Hasen-abends-um-11-Kohlrabi-kochen" ist nicht nur sehr sicher, sondern auch einfach zu merken und schnell zu tippen. Und man hat sie jetzt schon im Gedächtnis. (Comic dazu[englisch]).

Wenn man sich einen solchen Satz komplett selber ausdenkt sollte man darauf achten, dass er "komisch" genug ist um nicht erraten zu werden. "Haenschen-klein-ging-allein-in-den-Wald-hinein" ist also nicht so gut geeignet, obwohl es gegenüber Hackern die einfach stumpf alle Buchstabenkombinationen durchprobieren trotzdem sehr sicher ist. Aber ein Mensch der die Methode kennt könnte auf die Idee kommen Zitate, Sprichwörter und Volkslieder einmal auszuprobieren und muss damit viel weniger Passwörter ausprobieren.

Eine sichere Passphrase: Diceware

Die Fantasie ist meistens nicht so kreativ, wie man denkt. Die Hasen oben kochen Kohlrabi. Lecker. Gummireifen wäre aber vielleicht besser, weil das kochen von Gemüse ja erraten werden könnte.

Also kann man doch ein System das einem zufällige aber merkbare Worte generiert nehmen. Eine weit verbreitete sichere Methode ist Diceware, bei der man mit einem Würfel und einer Wortliste die man runterladen kann sichere Passphrases generieren kann.

Sicher und leicht zu merken mit einem Reim

Eine weitere Idee ist, ein Passwort mit sechs Wörtern und Reim[englischer Artikel] zu verwenden. Die Idee dabei ist, dass sich auch ein langes Passwort mit einem Reim leicht merken lässt.

Passwortmanager? Oder doch offline?

Wer hat es noch nicht gehört: Passwörter bloß nie irgendwo aufschreiben!

Aber stimmt das? Der Zettel am Bildschirm ist sicher eine schlechte Idee und der unter der Tastatur nur wenig besser. Aber aufschreiben allgemein ist nicht immer eine schlechte Idee.

Ein aufgeschriebenes Passwort kann nicht durch einen Computervirus geklaut werden, auch der eifersüchtige Partner kann nicht den Passwortmanager (ohne Masterpasswort) auf dem PC nutzen um heimlich E-Mails zu lesen. Man muss das Passwort nur an einer Stelle verwahren, wo es sicher ist.

Eine Möglichkeit ist hier ein Zettel im Portemonaie. Warum dort? Wenn einem der Geldbeutel geklaut wird, hat man sowieso ein Problem und viel zu tun. Die Bankkarte muss gesperrt werden. Und die Kreditkarte. Und vielleicht muss man den Ausweis neu beantragen. Da ist das ändern aller Passwörter nur ein weiterer Schritt den Schaden zu beseitigen, wenn man schon einmal dabei ist.

Und das Schützen seines Portemonaies ist etwas, das jeder versteht. Egal ob der Computerfreak oder nur gelegentlicher Nutzer, wie man vermeidet wertvolles Papier zu verlieren hat man von klein auf gelernt und ist meistens ziemlich gut darin.

Dafür sollte man natürlich gegebenenfalls eine Liste der Accounts (ohne Passwörter) noch irgendwo anders aufgeschrieben haben. Und das E-Mailpasswort sollte nie aufgeschrieben oder abgespeichert sein, weil es wie oben schon erwähnt der Generalschlüssel für alle anderen Accounts ist, der zum Beispiel hier benutzt wird um die verlorenen Passwörter zurückzusetzen.

Kategorien Datenschutz Sicherheit Software
Tagged Passwörter Passwortmanager technischer Datenschutz
Mobil qrcode zeigen

0 Kommentare

Jan. 20, 2017

WhatsApp Lücke, Alternativen und Unabhängigkeit

Momentan gibt es Aufregung um eine Sicherheitslücke in Whatsapp, die vielleicht auch gar keine ist. Während viele zum Wechsel auf verschiedene andere Messenger raten, gibt es jetzt einige Stimmen, welche die "Panikmache" als kontraproduktiv betrachten weil sie befürchten, dass die Nutzer auf weniger sichere Apps wechseln könnten. Das ist insofern ungünstig, da WhatsApp mit der Lücke ebenfalls als unsicher angesehen werden muss.

Dazu hier nun eine Einschätzung des Fehlers, warum es allgemein sinnvoll ist von Whatsapp weg zu kommen, was andere Kryptomessenger taugen und schließlich eine Empfehlung für eine bessere Alternative.

(Für die Eiligen: Die Empfehlung ist der Wechsel auf XMPP mit Conversations auf Android, ChatSecure auf dem iPhone und gajim auf dem PC).

Was ist der Whatsapp Bug und was bedeutet das für die Sicherheit?

Der WhatsApp Bug, großspurig auch Backdoor genannt, besteht darin, dass WhatsApp es schwer macht zu bemerken, wenn sich jemand unerlaubt in die Verbindung einklinkt. In der Standardeinstellung bekommt man in einem solchem Fall keine Nachricht. Wenn in den Einstellungen "Sicherheits-Benachrichtigungen anzeigen" aktiviert ist, gibt es einen eher unscheinbaren Hinweis "Die Sicherheitsnummer von X hat sich geändert". Dazu kommt, dass Nachrichten, die man geschrieben hat während das Handy keinen Empfang hatte, gesendet werden bevor man überhaupt die Chance hat diese Benachrichtigung zu sehen.

Um die Gefahr kurz einzuordnen: Wenn sich die "Sicherheitsnummer" einer Webseite ändert zeigt ein Webbrowser die Seite gar nicht mehr an, sondern nur eine seitenfüllende Warnung, dass man wahrscheinlich auf einer Betrüger-Webseite ist.
Whatsapp zeigt in der Situation einen Hinweis an, der völlig harmlos scheint, tatsächlich aber bedeutet dass ab jetzt eventuell jemand mitliest.


Die WhatsApp Sicherheitswarnung: Ab jetzt liest eventuell jemand mit

Wer kann die Lücke ausnutzen?

Wie die meisten Messenger ist die Whatsapp-Verbindung selber sowieso dagegen geschützt, dass jemand nur durch Anzapfen der Leitung mitelesen kann. Eine Ende-zu-Ende Verschlüsslung, soll weiterhin sicherstellen, dass auch der Betreiber nicht mitlesen kann. Genau dabei sorgt das Verhalten von WhatsApp aber dafür, dass es in der Praxis möglich ist, dass Facebook als Anbieter von WhatsApp mitliest. Das entsprechende Szenario sieht wie folgt aus:

WhatsApp möchte selber mitlesen oder bekommt von einer Regierung die Verpflichtung Daten abzufangen, was sie nicht ablehnen können und niemandem mitteilen dürfen. Daraufhin erstellt sich WhatsApp selber einen Account und teilt dem Nutzer und seinem Gesprächspartner jeweils mit, dass die Sicherheitsnummer des Fakeaccounts, die des jeweils anderen wäre, welche sich geändert hat. Wenn die Nutzer jetzt schreiben, erreichen die Nachrichten den falschen Account. Das fällt aber nicht auf, da dieser sie nicht nur mitliest, sondern auch direkt an den richtigen Account weiterleitet.

Das Statement von Whatsapp zu dem Problem ist, dass es kein Fehler sei, sondern eine Vereinfachung für Nutzer um sie nicht damit zu überfordern, dass sie prüfen müssen ob sich die Sicherheitsnummer geändert hat weil der Gesprächspartner ein neues Handy hat oder weil jemand die Verbindung unterbricht um mitzulesen.

Nicht zuletzt ist noch zu erwähnen, dass WhatsApp seinen Quelltext geheim hält und damit sowieso niemand sicher sagen kann, ob es nicht einen geheimen "Schick mir alle Chats des Nutzers" Befehl gibt. Eine echte Sicherheit hat man hier nur bei Programmen, die ihren vollen Code zur Verfügung stellen.

Was kann ich tun um mich bei WhatsApp zu schützen?

Das Wichtigte ist in den Einstellungen zu aktivieren, dass man benachrichtigt wird, wenn sich die Sicherheitsnummer des Gesprächspartners ändert. Wenn man dann diese Meldung erhält, dann darf man sie nicht ignorieren, sondern muss die Verbindung als unsicher einstufen, bis man die Nummer des anderen neu bestätigt hat.

Um zu vermeiden, dass Nachrichten geschickt werden bevor man sieht, dass sich die Nummer geändert hat kann man darauf achten nur dann Nachrichten zu schicken, wenn das Handy eine Internetverbindung hat. Hier geht es aber tatsächlich nur um die Nachrichten die zwischen Verlust des Empfangs und dem Sehen der Sicherheitswarnung nachdem der Empfang wieder vorhanden ist geschrieben wurden.

Andere Messenger die häufig empfohlen werden

Hier kurz ein paar Worte zu anderen Messengern, die häufig als Alternative empfohlen werden.

Threema
Das Konzept des Messengers ist gut: Mit einem Ampel-System wird angezeigt wie genau man die Sicherheitsnummer seiner Kontakte schon geprüft hat und es existiert kein Zwang den Chataccount mit der Telefonnummer zu verknüpfen. Die benutzte Verschlüssung hat offenen Quellcode, aber der Rest des Programms ist nicht offen.
Signal
Signal hat einen komplett offenen Quellcode, funktioniert aber nicht ohne nicht offene Dienste von Google bzw. Apple. Das kann für Backdoors ausgenutzt werden. Versionen die das Problem beseitigen sind von den Entwicklern nicht erwünscht.
Telegram
Telegram hat seine Verschlüsslungsfunktionen mit fragwürdiger Qualität selber gebaut und es wurde auch schon mehrfach gezeigt, dass sie unsicher sind.

Trotzdem haben alle drei und auch die meisten anderen Alternativen das Problem, dass sie von einem Anbieter abhängig sind.

Abhängigkeit vom Anbieter

Was in der Diskussion um den Lieblingsmessenger sehr häufig untergeht ist, dass die meisten Apps von einem einzelnen Anbieter abhängig sind.

Wenn Whatsapp seine Verschlüsslung wieder abschafft hat man keine Möglichkeit, außer es zu akzeptieren oder alle Kontakte zu überzeugen mit zu einer anderen App umzuziehen. Wenn Signal plötzlich eine viel zu hohe monatliche Gebühr haben möchte, wird man wohl oder übel zahlen müssen. Wenn Telegram aufhört ihren Server anzubieten ist man von heute auf morgen nicht mehr erreichbar.

Die Probleme betreffen nicht nur die drei Apps, sondern fast alle Messenger. Daher braucht es eine dezentrale Lösung, die nicht von einer einzelnen Firma abhängig ist.

Dezentral heißt, dass es wie E-Mail funktioniert. Von einer Googlemail-Adresse aus lassen sich GMX-Nutzer erreichen und wenn GMX zu macht muss jemand der seine Adresse bei posteo hat nur die neuen Adressen seiner Kontakte bei GMX erfahren und nicht das ganze Adressbuch abklappern.

Für einen Messenger heißt das:

  • Unabhängigkeit von einem Anbieter. Es gibt mehr als einen Service den man mit der gleichen App nutzen kann.
  • Unabhängigkeit von den Anbietern anderer. Jeder kann sich einen Dienst aussuchen und Leute bei anderen Diensten erreichen.
  • Unabhängigkeit von einem Programm. Jeder kann sich ein Programm aussuchen mit dem er chattet ohne dass andere das gleiche benutzen müssen.

Für die Technikbegeisterten kommt noch der Punkt dazu, dass sie die Möglichkeit haben für sich und ihre Freunde selber einen solchen Dienst zu betreiben und in den Quelltext von den Programmen, Apps und auch Serverdiensten reinsehen zu können.

Die Empfehlung: Jabber (XMPP)

Eine solches Chatsystem gibt es schon und es existiert sogar länger als WhatsApp schon: Jabber.

XMPP ist dabei das verwendete "Protokoll", also die Art wie verschiedene Jabberprogramme miteinander Nachrichten austauschen.

Unabhängigkeit vom Anbieter: Es gibt eine lange Liste von kostenlos nutzbaren XMPP Servern. Dazu gibt es auch eine Liste, welche optionalen Funktionen von welchem Anbieter unterstützt werden. Technikfreaks können selber einen betreiben.

Unabhängigkeit von den Anbietern anderer: Eine XMPP-Adresse sieht aus wie eine E-Mailadresse und enthält damit den Anbieter hinter dem @ Zeichen, sodass man ihn nicht getrennt mitteilen muss. Einfach die Adresse zur Kontaktliste hinzufügen und loschatten.

Unabhängigkeit von einem Programm: Es gibt viele verschiedene XMPP Programme und Apps. Jedes davon kann mit allen anderen chatten, ohne dass man überhaupt wissen muss, welche App die anderen benutzen.

Die Programme und Apps dazu

Zunächst muss man sich einen Server aussuchen aus einer der Listen (oder durch eigene Suche oder Empfehlung von jemand anders):

Kriterien können dabei sein:

  • Der Servername, der Teil der Adresse wird als meinnickname@servername,
  • die Sicherheit (siehe insbesondere den ersten Link),
  • die unterstützten zusätzlichen Funktionn (siehe zweiter Link)
  • und ob der Nickname auf dem ausgesuchten Server noch nicht vergeben ist.

In den meisten Programmen wird bei der Einrichtung gefragt ob man einen Account anlegen will und man kann sich eine Adresse meinnickname@servername einfach ausdenken, wobei servername die Adresse von einem der Anbieter aus den Listen ist. Ist die Adresse schon vergeben, bekommt man eine Meldung und kann sich eine andere aussuchen.

Nach dem Server muss man sich ein Programm aussuchen. Wie erwähnt gibt es viele Programme und Apps aus denen man sich eine aussuchen kann. Es lohnt sich auch sich verschiedene Apps anzusehen, welche einem am besten gefällt.

Bei der Auswahl der Programme sollte man darauf achten, dass diese auch Verschlüsslung unterstützen. Das erkennt man an den Funktionen "OMEMO" oder "OTR", wobei OMEMO die bessere Technik ist.

Hier sind meine Empfehlungen:

Für Android ist Conversations eine sehr gute App.

Auf dem PC ist gajim zu empfehlen. Hier muss "OMEMO" noch in der Liste der Plugins aktiviert werden.

Für iPhone oder iPad empfehle ich ChatSecure, was seit kurzem auch OMEMO kann und damit eine moderne Verschlüsslung hat.

Hinweis: Bei der Einrichtung von Conversations wird einem vorgeschlagen, ob man den Dienst conversations.im benutzen möchte. Dieser kostet nach den ersten 6 Monaten 8 Euro pro Jahr, hat dafür aber auch Unterstützung für alle optionalen Funktionen. Wer einen kostenlosen Dienst möchte kann beim Einrichten selber einen Server aus den Listen oben angeben, statt den vorgeschlagenen conversations.im Server zu verwenden.

Anmerkungen, Anregungen, Kommentare?

Ich habe im Text an einigen Stellen absichtlich die von Whatsapp vereinfachten Bezeichnungen für ein paar Dinge benutzt, damit der Text für Nutzer von WhatsApp verständlicher wird. Ich bitte die Technikfreaks das zu entschuldigen ;-).

Ergänzungen willkommen, die E-Mailadresse steht rechts in der Seitenleiste. Ich werde den Artikel ggf. noch noch um weitere Dinge zum Whatsapp-Problem erweitern, aber die wichtigste Empfehlung bleibt:

Nutzt XMPP, denn es ist eins der wenigen Chatsysteme bei denen ihr euch nicht von einem Anbieter abhängig macht.

Kategorien Software Datenschutz Sicherheit OpenSource Verschlüsslung
Tagged gajim chatSecure Conversations WhatsApp XMPP Jabber Telegram Threema Signal SignalApp Sicherheitslücke Backdoor Bug
Mobil qrcode zeigen

0 Kommentare

Dez. 13, 2016

Technischer Datenschutz: Referer blockieren

Wenn man auf einen Link auf einer Webseite klickt bekommt die verlinkte Seite über den sogenannten "Referer" mitgeteilt, von welcher Seite der Besucher kommt.

Dieser Referer wird auch gesendet, wenn eine Seite zum Beispiel ein Werbenetzwerk einbindet. Werbenetze die auf vielen Seiten eingebunden sind können damit verfolgen, auf welchen Seiten der Besucher vorher auch schon war.

Übersicht
Typ: Addon
Aufwand: Einmalige Installation.
Komplexität: Sehr einfach
Schützt vor: Tracking

Addons

Die Addons ermöglichen es entweder den Referer komplett zu blockieren oder die Adresse der aktuellen Seite zu senden (statt der Adresse der vorherigen Seite). Außerdem erlauben beide Addons eine Whitelist von Seiten auf denen der Referer normal übertragen werden soll, falls einmal eine Seite ohne nicht funktionieren sollte.

Kategorien Datenschutz Sicherheit
Tagged technischer Datenschutz Referer
Mobil qrcode zeigen

0 Kommentare

Dez. 7, 2016

Technischer Datenschutz: Mehrere Browserprofile

Um verschiedene Aktivitäten voneinander zu trennen, wie zum Beispiel normales Surfen und Onlinebanking, gibt es die Möglichkeit mehrere Browserprofile zu verwenden.

Browserprofile sind (fast) vollständig voneinander getrennt, wodurch es Webseiten erscheint als ob zwei unterschiedliche Benutzer sie besuchen. Jedes Browserprofil hat einen eigenen Verlauf, eigene Lesezeichen und auch eigene Cookies.

Im Gegensatz zum Privaten Modus des Browsers werden in keinem der beiden Profile Daten gelöscht, sondern sie bleiben jeweils voneinander getrennt erhalten.

Übersicht
Typ: Browserfunktion
Aufwand: Jedes gewünschte Profil einmal anlegen.
Komplexität: Mittel
Schützt vor: Seitenübergreifenden Sicherheitsproblemen und Tracking.

Anleitungen

Beispielprofile

Beispiele für Profile:

  • Surfen, ohne dass Facebook über Like-Buttons tracken kann:
    • Nur Facebook
    • Restliches Surfen (hier nie bei Facebook einloggen)
  • Sicheres Onlinebanking
    • Onlinebanking: Bankseite als Startseite, sodass man nie auf einer Fake-Seite landet
    • Restliches Surfen
  • Arbeit, Privat und Gäste
    • Privates Profil
    • Arbeitsbezogene Dinge
    • Profil für Gäste
  • Auf Privatssphäre achten
    • Vertrauenswürdige Seiten
    • Normale Seiten, die vermutlich Tracking betreiben
    • Soziale Netze

Es sind noch viele andere Varianten denkbar. Da sich Profile schnell anlegen und auch wieder löschen lassen schadet es nicht einfach einmal herumzuspielen, welche Kombination für einen am besten ist.

Es kann sich auch lohnen zum Testen neuer Browser-Addons ein frisches Profil anzulegen, bevor man das Addon auf seinem normalen Profil ausprobiert.

Kategorien Datenschutz Sicherheit
Tagged Firefox Chrome Profile technischer Datenschutz
Mobil qrcode zeigen

0 Kommentare

Dez. 1, 2014

Digitalcourage Adventskalender

Digitalcourage hat einen Adventskalender mit Privatssphäre-Tipps online gestellt.

Kategorien Sicherheit Kurz bemerkt Datenschutz
Tagged FoeBud digitalcourage Advent Kalender
Mobil qrcode zeigen

0 Kommentare

Juli 23, 2013

Prism - Reaktion und Verteidigung

Linksammlung

Die Prism-Linksammlung pflege ich nicht weiter, da der Artikel sehr groß wird, ich täglich viele neue URLs finde und der Aufwand diese einzupflegen und vor allem sinnvoll zu sortieren mir leider zu groß ist. Ich empfehle die ersten 3 Links unter Informationen:

Die ersten zwei sind gute Einleitungen, der Dritte bietet eine noch gepflegte Timeline über neue Nachrichten und Informationen zu Prism. Die Links unter Aktionen sind auch noch relevant, aber auch dort hat sich noch einiges mehr getan. Es empfiehlt sich aktuelle Blogs und Nachrichtenseiten zu lesen und eventuell den passenden Twitter-Accounts zu folgen.

Aktionen vs. Selbstverteidigung

Ich habe in der letzten Zeit leider häufig das Statement "Verschlüsslung benutzen ist aufgeben" lesen müssen. Das stimmt aus verschiedenen Gründen nicht.

Grundlegende Konzepte im Internet

Die grundlegenden Konzepte des Internets stammen aus einer Zeit, wo "Internet" noch hieß, dass verschiedene Universitäten ihre Netze verbinden. Damals war das Vertrauen groß, und es gab wenig Grund sich Sorgen zu machen.

Würde man heute ein solches Netz entwerfen, wäre eine sichere Ende-zu-Ende-Verschlüsslung ein wichtiges Feature. Am schleppendem Umstieg auf IPv6 sieht man, dass eine Umstellung auf ein neues Protokoll nur sehr schwer zu bewerkstelligen ist. Und dabei wird IPv6 viele Möglichkeiten bieten zu IPv4 kompatibel zu bleiben, während ein von Grund auf verschlüsseltes Protokoll inkompatibel zu den bestehenden Protokollen wäre.

Wer sich dafür interessiert, findet mit tcpcrypt ist eine Implementierung von Verschlüsslung direkt im TCP/IP-Stack. Allerdings hilft tcpcrypt nur gegen passive Lauscher und nicht gegen aktive Man-in-the-Middle Angriffe.

Politik und Selbstverteidigung trennen

Es ist richtig, dass sich wichtige Dinge in der Politik ändern müssen, und ich finde jede Aktion in dieser Richtung gut, richtig und wichtig. Aber nur weil man auf einer Ebene kämpft und den Gesetzgeber in die Verantwortung zieht, heißt das nicht, dass man nicht auch auf einer anderen Ebene Selbstschutz betreiben sollte: Verschlüsslung.

Wenn wir hier Gesetze bekommen, welche die Schnüffelei unterbinden, die Speicherung selbst von einfachen Verbindungsdaten untersagen, und vielleicht sogar die Geheimdienste ganz abschaffen wird das nicht dafür sorgen, dass dies auch in allen anderen Ländern passiert.

Frau Merkel hat gut reden, wenn sie sagt, dass die NSA für deutsche Internetverbindungen deutsches Recht befolgen muss. Da aber Geheimdienste oft an erstaunlich wenig Gesetze gebunden sind, erst Recht nicht an welche aus dem Ausland, wird dies wohl kaum beachtet werden. Selbst wenn sich die NSA selbstverpflichten würde dies zu beachten, oder sogar Amerika die NSA komplett abschaffen würden, wäre dies nicht beweisbar und sie könnten jederzeit ohne Ankündigung wieder anfangen zu schnüffeln.

Überwachung ist unsichtbar

Damit sind wir auch beim Kern des Problems: Das Abhören ist etwas, was man nicht merkt. Und es ist sehr schwer einen Beweis zu führen, dass etwas nicht vorhanden ist. Daher wird keiner 100%ig beweisen können, dass wir nach einer großen politischen Aktion sicher sind und keiner wird bemerken, wenn die Überwachung wieder anfängt.

Damit bleibt die Konsequenz: Neben den politischen Aktionen, ist auch Selbstschutz nötig. Man weiß nicht, ob jemand mithört, aber man kann wissen, dass WENN jemand mithört, er nur verschlüsselte Daten mitlesen kann.

Die Chance etwas zu ändern

Die Chancen politisch das ganze Überwachungssystem zu kippen sind leider sehr klein.

Es wird Zugeständnisse geben, vielleicht werden ein paar der Systeme, die am meisten sammeln, auch eingestellt werden, aber die Überwachung wird wird kaum komplett verschwinden. Hier ist die Chance auf einen vollständigen "Sieg" sehr klein.

Bei der Verschlüsslung hingegen hängt es an jedem Einzelnem. Wer Interesse hat, findet die nötigen Informationen um sich zu schützen oder kann Angebote wie Cryptoparties nutzen, um sich beim Selbstschutz helfen zu lassen.

Fazit

Es gibt zwei Fronten, an denen Aktionen nötig sind, die sich gegenseitig ergänzen:
  • Politisch etwas bewegen - Überwachung abschaffen
  • Selbstschutz, z.B. durch Verschlüsslung - Mitlesen unmöglich machen

[UPDATE] Blogpost von Christian Hufgard zum gleichem Thema: Verschlüsselung ist gut - aber sie muss überflüssig sein

Kategorien Vorratsdatenspeicherung Aktionen Sicherheit Anonymität Verschlüsslung Überwachung
Tagged Prism Tempora Snowden Cryptoparty NSA
Mobil qrcode zeigen

0 Kommentare

Okt. 30, 2009

Finger weg von Ubuntu One?

Dass es gefährlich ist private Daten unverschlüsselt auf fremden Servern zu lagern, sollte einem zwar klar sein, aber für manche Daten reicht diese Sicherheit ja vielleicht. Aber Ubuntu One hat eine ähnliche Klausel wie ICQ in ihren "Terms and Conditions":
9. Collection and use of your data. We may collect certain non-personally-identifiable information, which is located on your computer. The information collected may include statistics relating to how often data is transferred, and performance metrics in relation to software and configuration. You agree this information may be retained and used by Canonical.
Ähnlich wie im Falle ICQ kann man argumentieren "ja die meinen ja nur Statistiken ...", rechtlich jedoch akzeptiert man dass alle Daten die einen nicht persönlich identifizieren von Canoncial gesammelt und benutzt werden dürfen. Also Rat für alle die ihre Daten nicht Canoncial schenken möchten: Finger weg von Ubuntu One!

Ach ja, nur damit es erwähnt ist, sie lassen sich natürlich auch zusichern, dass sie die Nutzerdaten an die Polizei weitergeben dürfen, wenn sie gesetzlich dazu verpflichtet sind. Da wird man aber kaum einen Anbieter finden, der keine solche Klausel hat.

Kategorien Linux Sicherheit Datenschutz
Tagged Daten Ubuntu One Terms Conditions persönliche collect personally-identifiable
Mobil qrcode zeigen

0 Kommentare

Sept. 15, 2008

User-Agent ändern mit Privoxy: Aber richtig!

Es gibt viele Möglichkeiten den Browsernamen, welchen der Browser überträgt, zu ändern. Opera ermöglicht dies in den Einstellungen, für Firefox gibt es Einstellungen in about:config und Addons dafür. Mehr dazu im Artikel Firefox für Privatssphäre tunen.

Die meisten Browser lassen sich jedoch trotzdem erkennen, und zwar anhand typischer Header, welche der Browser normalerweise mitsendet. Der Useragent-Guesser ist ein "Proof-of-Concept", dass ein einfaches Ändern des "User-Agent"-Headers allein nicht ausreicht.

Wer also wirklich die Browser-Identifikation fälschen möchte, sollte auch die verräterischen Header ändern. Mit Privoxy kann man dazu diese Konfigurationsstücke nutzen:

user.filter:

#FILTER: useragent fake to be firefox #alte Syntax
CLIENT-HEADER-FILTER: useragent fake to be firefox #neue Syntax

#1) User-Agent s@^(User-Agent:) .*$@$1 Mozilla/5.0 (Windows; U; Windows NT 5.1; de; rv:1.9.0.1) Gecko/2008070208 Firefox/3.0.1@i

#2) Firefox defaults for content-types s@^(Accept:) .*@$1 text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8@i

#3) Firefox defaults for charsets #Note that you cannot use a browser which does not support these charsets, #when this rule is active s@^(Accept-Charset:) .*@$1 ISO-8859-15,utf-8;q=0.7,*;q=0.7@i

user.action:
#the filter defined in user.filter
#{+filter-client-headers +filter{useragent}} #alte Syntax
{+client-header-filter{useragent}} #neue Syntax
. #remove Accept-Encoding Header, if any {+crunch-client-header{Accept-Encoding}} . #add a firefox Accept-Encoding header {+add-header{Accept-Encoding: gzip,deflate}} .
Nachdem man in der privoxy config-Datei die Dateien user.filter und user.action aktiviert hat, kann man sich unter http://config.privoxy.org/show-request ansehen wie sich die die geänderten Header von den ursprünglichen unterscheiden.

Der Useragent-Guesser sollte nun jeden Browser der Privoxy als Proxy nutzt als "Mozilla-Browser" erkennen.

[UPDATE] neue Syntax für privoxy, alte als Kommentar drin gelassen z.B. für Debian stable Nutzer. Danke Dieter für den Hinweis!

Kategorien Anonymität Sicherheit
Tagged Firefox Mozilla Guesser Privoxy User-Agent Header HTTP
Mobil qrcode zeigen

1 Kommentar

Sept. 5, 2008

Fragwürdige Sicherheit bei der Installation von Atmail

Sowas finde ich doch eher ungünstig, es könnte schließlich jemand hinter einem stehen:

Der Screenshot stammt aus der Installation der kommerziellen Variante, nicht von der Opensource Version die es inzwischen gibt. Allerdings muss man damit rechnen, dass die OSS Variante für Fehler ähnlichen Code verwendet, und daher eventuell auch das Passwort anzeigen würde.

Kategorien Sicherheit
Tagged Php AtMail Password Mysql
Mobil qrcode zeigen

0 Kommentare

Dez. 30, 2007

Anonym im Internet

Nachdem die Vorratsdatenspeicherung erst einmal durch ist, soll das hier eine umfassende Anleitung für Anonymität im Internet werden. Feedback, Korrekturen, etc. wie immer in Kommentaren oder per Mail(blog bei laxu.de).

Anonym und sicher gibt es beides nicht als absolute Werte. Aber beide Werte kann man deutlich erhöhen, wenn man weiß wie. Ein weiterer wichtiger Begriff ist die "Pseudonymität":

  • Anonym: Nicht auf eine Identität zurückführbar. Mehrere anonyme Äußerungen können nicht auf einen gemeinsamen Urheber zurückgeführt werden.
  • Pseudonym: Nicht auf eine Person, sondern nur auf ein Pseudonym(z.B. Nickname) zurückführbar. Dabei können mehrere Nachrichten vom gleichem Absender auf ein gemeinsames Pseudonym zurückgeführt werden.
  • Sicherheit: Betrifft hier eher Abhörsicherheit, sowie die Sicherheit dass man wirklich mit der gewünschten Person (und nur dieser) Kommuniziert.
Beispiele:
  • Im letztem Grundlagenartikel "Vorratsdatenspeicherung und Tor" wies ich bereits darauf hin, dass die so definierte Sicherheit mit der Anonymität die Tor bietet nicht vereinbar ist, weil die Exit-Nodes mitlesen können.
  • GnuPG kann mit dem "Web of Trust" und der Regel, dass nur nach Überprüfung des Personalausweis andere Personen signiert werden eine sehr hohe Sicherheit bieten, zerstört damit aber gleichzeitig jegliche Anonymität.
  • Pseudonymität ist in anonymen Netzen mit GnuPG jedoch möglich: Dabei ist die (quasi) unfälschbare Key-ID das vertrauenswürdige Pseudonym, und garantiert auch nicht mehr, als dass man immer mit der gleichen Person kommuniziert.
Hier wurden jetzt schon einige Beispiele genannt. Da die Vorratsdatenspeicherung die Eckdaten der Kommunikation (wer mit wem, wann und bei Handies auch wo) erfasst, wird die Anonymität wichtiger.

Webbrowsing:

  • geringe Sicherheit und die Möglichkeit Blockaden zu umgehen bieten sogenannte Webproxies. Eine umfangreiche Liste findet man unter proxy.org. Nachdem man die URL in das Textfeld eingegeben hat, kann man per Klick auf "Go" sofort lossurfen.
  • Weiterhin findet man im Internet Listen von normalen Proxy-Servern.
  • siehe Abschnitt über Tor
Bei beidem gilt: man vertraut dem Betreiber, der natürlich nach belieben Loggen kann. Weiterhin senden einige Proxies einen X-Forwarded-For Header mit der echten IP. Proxies die das nicht tun heißen "anonyme Proxies", was nicht heißt, dass sie keine Serverlogs haben, auf die jemand zugreifen könnte.

Weiterhin gilt bei Webproxies, dass die Ursprüngliche URL in der neuen URL vorkommt. Einige Webproxies unterstützen Rot13 oder Base64 Kodierung, das soll jedoch eher automatische Internet-Filter stoppen als die URL komplett zu verstecken.

Mails:

Für E-Mail gibt es sogenannte Remailer, welche die Original-E-Mail anonymisieren (Achtung, nur die Kopfdaten, evnentuelle Namen, Addressen, ... im Inhalt nicht!), und verzögert weitersenden, sodass der Originalabsender verschleiert wird. Gute Anleitungen findet man beim Ravenhorst.

Instant Messaging:

Instant-Messaging hat das Problem, dass die meisten Nutzer schon an ihre (vermutlich recht bekannte) IM-Identität(z.B. ICQ UIN) gebunden sind. Hier bietet sich zunächst an eine neue Addresse mit einem Pseudonym zu eröffnen, sodass die Kopfdaten der Nachrichten nicht mehr mit der eigenen Person identifiziert werden.

Weiterhin lässt sich auch über Tor chatten, was jedoch wenig bringt, wenn die Chat-Identität schon vorher mit der realen verbunden wurde.

Tor als Lösungsansatz:

Tor bietet einen Ansatz den gesammten Netzzugang für alle Protokolle die TCP nutzen zu anonymisieren. Für den Nutzer heißt das, Webbrowsing, Chatten, etc. ist möglich. E-Mails können via Tor dank Spam-Filtern leider nicht versendet werden.

Eine einfache Möglichkeit Tor zu installieren und einzurichten ist das Vidalia-Bundle zu nutzen. Um schnell zwischen Tor- und Nicht-Tor-Surfen zu wechseln empfiehlt sich weiterhin der Tor-Button für Firefox.

Um anonym über Tor zu chatten, muss man beim Chatprogramm einstellen, dass es einen Socksproxy verwendet, und zwar per Default bei TOR "localhost" mit Port "9050". Pidgin ist ein schönes Chatprogramm, was bei den meisten Protokollen einen Socksproxy verwenden kann.

Achtung: Alle Tor-Exit-Nodes können potentiell unverschlüsselte Daten mitlesen. Nutzt man SSL können die Exit-Nodes zwar nicht mitlesen, aber man sollte sicherstellen dass Tor auch für https genutzt wird, und sich bewusst sein, dass privoxy bei https-Seiten keine Scripte und ähnliches ausfiltern kann.

Eine Möglichkeit sicher von Tor-Nutzer zu Tor-Nutzer zu kommunizieren ist Torchat. Das Programm kommt wie ein üblicher Instant-Messanger daher, funktioniert aber über Tor-Hidden-Services. Damit ist die Verschlüssung der Verbindung sichergestellt, und jeder Teilnehmer ist anhand seiner .onion-Addresse pseudonym verifiziert.

Einen schönen Post zur VDS mit Anleitung für I2P findet man im Ravenhorst: Basteln für die VDS.

Weitere Ansätze:

Weitere Ideen sind willkommen, und ich werde später noch weitere Tools beschreiben.

Kategorien Überwachung Verschlüsslung Anonymität Sicherheit Datenschutz Vorratsdatenspeicherung Software
Tagged Tipps Anonymisierung Vorratsdatenspeicherung
Mobil qrcode zeigen

0 Kommentare