Netzwerksicherheit

[mixmaster]

Gegen staatliche Abhörung hilft keine Technik. Auch kein pgp. Es sei den ihr tauscht den Key händisch aus, also ein privates treffen und dann Schlüsseltausch mit Papierausdruck.

Wo ist das Problem, wenn man den öffentlichen Schlüssel so austauscht, dass er "abgehört" werden kann?

Grundsätzlich hast du recht. Wenn man es absolut konsequent denkt ist es so, wie du sagst.

Auf der anderen Seite muss man ja erstmal durch irgendwelche Auffälligkeiten zum Überwachungsziel werden. Das Problem dabei ist, dass das heutzutage Algorithmen bestimmen und keine Menschen (das wird sich auch nicht mehr ändern, denn dafür gibt es nicht genug Personal). Und damit es nicht dazu kommt, dass die Tatsache, dass man z. B. verschlüsselte E-Mails schreibt, als Auffälligkeit eingestuft wird, sollten so viele Menschen wie möglich jetzt damit anfangen so viele mails wie möglich zu verschlüsseln. Briefe klebt ja auch jeder zu... Es ist inzwischen so einfach... Thunderbird + EIN Addon (enigmail). gpg4win installieren (30 Sekunden Aufwand). DAS WARS.

[LiteCoinGuy]

was passiert eigentlich, wenn du deine mails verschlüsselst aber der empfänger dir unverschlüsselt antwortet? ist dann nicht alles hinfällig?

[MannOhneHut]

Böse Buben setzen auf Statistik, die greifen nur Systeme an, die signifikant Marktanteil haben. Man kann das löchrichste System haben, solange es keinen Marktanteil hat, ist es uninteressant. und Linux ist nicht sicherer, das sieht man dran, das inzwischen genausoviel Securityupdates kommen. es hat nur nicht den Verbreitungsgrad. Würde es ins Schussfeld kommen, wäre nicht mehr viel über.

Ich greife mal den Linux-Teil heraus.
Du meinst sicher den Marktanteil der Desktop-Systeme. Deiner Aussage nach gibt es keine Server die für Böse Buben interessant wären. Hier liegt der Marktanteil um die 25-30%. Nicht signifikant ?

Besonders habe ich bei den Sicherheitsupdates gelacht. Du meinst als mein Amiga 500 wäre sicher - da kommen seit Jahren keine Sicherheitsupdates mehr
Man merkt schnell das es da wohl keinen wirklichen Zusammenhang gibt. Interessanten sind nicht behobene Sicherheitslücken bzw. die Zeit zwischen dem Bekanntwerden und der Bereinigung.

[flipperfish]

Gegen staatliche Abhörung hilft keine Technik. Auch kein pgp. Es sei den ihr tauscht den Key händisch aus, also ein privates treffen und dann Schlüsseltausch mit Papierausdruck.

Wo ist das Problem, wenn man den öffentlichen Schlüssel so austauscht, dass er "abgehört" werden kann?

Abhören ist unproblematisch. Die Vertraulichkeit wird gewahrt. Problematisch ist, wenn du einen falschen public-key untergejubelt bekommst. Dann schreibst du unter Umständen jemandem anders als du denkst. Die Authentifikation ist hinüber.

[hasherl]

Böse Buben setzen auf Statistik, die greifen nur Systeme an, die signifikant Marktanteil haben. Man kann das löchrichste System haben, solange es keinen Marktanteil hat, ist es uninteressant. und Linux ist nicht sicherer, das sieht man dran, das inzwischen genausoviel Securityupdates kommen. es hat nur nicht den Verbreitungsgrad. Würde es ins Schussfeld kommen, wäre nicht mehr viel über.

Ich greife mal den Linux-Teil heraus.
Du meinst sicher den Marktanteil der Desktop-Systeme. Deiner Aussage nach gibt es keine Server die für Böse Buben interessant wären. Hier liegt der Marktanteil um die 25-30%. Nicht signifikant ?

Besonders habe ich bei den Sicherheitsupdates gelacht. Du meinst als mein Amiga 500 wäre sicher - da kommen seit Jahren keine Sicherheitsupdates mehr
Man merkt schnell das es da wohl keinen wirklichen Zusammenhang gibt. Interessanten sind nicht behobene Sicherheitslücken bzw. die Zeit zwischen dem Bekanntwerden und der Bereinigung.

Natürlich ist das nicht signifikant. Wenn man die größmögliche Benutzergruppe angreifen will hält man sich eben an Windows.

Für spezifische Attacken jedoch ist es im Endeffekt irrelevant ob es ein Unix-, Linuxsystem ist oder whatever.

[curiosity81]

@Alle:

Chefin hat insofern recht das man sich NIEMALS auf die Technik verlassen sollte. Gesunder Menschenverstand ist angesagt. Ein leichtes Abdriften ins Paranoide mag sogar zutraeglich sein.

ABER:

Lieber etwas Sicherheit als gar keine Sicherheit. Nur weil ein Autogurt und Airbag bei einem Frontalaufprall mit 250 km/h so gut wie nutzlos sind, so verzichte ich bei normalen Tempo und Verkehr noch lange nicht darauf.

[Chefin]

Gegen staatliche Abhörung hilft keine Technik. Auch kein pgp. Es sei den ihr tauscht den Key händisch aus, also ein privates treffen und dann Schlüsseltausch mit Papierausdruck.

Wo ist das Problem, wenn man den öffentlichen Schlüssel so austauscht, dass er "abgehört" werden kann?

Grundsätzlich hast du recht. Wenn man es absolut konsequent denkt ist es so, wie du sagst.

Auf der anderen Seite muss man ja erstmal durch irgendwelche Auffälligkeiten zum Überwachungsziel werden. Das Problem dabei ist, dass das heutzutage Algorithmen bestimmen und keine Menschen (das wird sich auch nicht mehr ändern, denn dafür gibt es nicht genug Personal). Und damit es nicht dazu kommt, dass die Tatsache, dass man z. B. verschlüsselte E-Mails schreibt, als Auffälligkeit eingestuft wird, sollten so viele Menschen wie möglich jetzt damit anfangen so viele mails wie möglich zu verschlüsseln. Briefe klebt ja auch jeder zu... Es ist inzwischen so einfach... Thunderbird + EIN Addon (enigmail). gpg4win installieren (30 Sekunden Aufwand). DAS WARS.

Das Problem ist, das du MEINST dem öffentlichen Schlüssel deines Com-Partners zu bekommne, aber in Wirklichkeit via Man in the Middle(mitm) einen anderen bekommst. Den dazu gehörigen privatkey hat dann der mitm, der die Nachricht entschlüsselt, neu verschlüsselt nun mit dem öffentlichen Key des Empfängers und an diesen weiter geleitet.

Auch Zertifikate und trustlevel helfen da nicht weiter. All diese Daten können genauso manipuliert werden. Du musst dir vorstellen, du bist Truman in seiner Weltkugel. Du kannst dich auf nichts verlassen, was dir digital zukommt. Alles kann manipuliert sein. Wir wiegen uns in Sicherheit, weil wir uns sagen: Hacker können doch nicht einen der großen Zertifikatanbieter hacken ohne das jemand es merkt und selbst wenn, machen die das doch nicht um mich zu belauschen beim chatten. Das stimmt soweit. Nur sind hier keine Hacker am Werk sondern ein Staat bzw seine Behörde. Und die lassen sich dementsprechend "freischalten".

Gegen Hacker muss ich aber meine Chats und Emails nicht verschlüsseln, die interessiert mein Weltbild und meine meinung nicht besonders, nur mein Geld. Und da reichen einfach Mittel.

[mixmaster]

Das Problem ist, das du MEINST dem öffentlichen Schlüssel deines Com-Partners zu bekommne, aber in Wirklichkeit via Man in the Middle(mitm) einen anderen bekommst. Den dazu gehörigen privatkey hat dann der mitm, der die Nachricht entschlüsselt, neu verschlüsselt nun mit dem öffentlichen Key des Empfängers und an diesen weiter geleitet.

Wenn ich unwissend (durch eine "man in the middle" Attacke) einen falschen public key habe und meinem Com-Partner eine damit verschlüsselte mail schicke, dann kann er sie mit seinem private key (den kein anderer hat, wenn er ein starkes Passwort benutzt und nicht schon zum Zeitpunkt der private key Erzeugung durch einen keylogger abgehört wurde) nicht entschlüsseln.

Jetzt sagst du wahrscheinlich: "Ja ja, aber da kommt wieder der man in the middle, entschlüsselt meine mail, verschlüsselt neu mit dem richtigen public key und sendet sie weiter."
Das ist technisch möglich. Der Aufwand ist aber zu hoch, um die gesamte Kommunikation aller Bürger auf diese Weise zu kompromittieren.

Klar ist dennoch: Maximal sicher (wie es zur Zeit technisch möglich ist) ist man nur, wenn man auch den public key über einen sicheren Kanal überträgt. Sicher bedeutet wie du schon sagst: offline.


Edit:
Außerdem lässt sich relativ einfach auch im Nachhinein prüfen, ob man den richtigen public key besitzt, nämlich anhand des Fingerabdrucks (fingerprint).
"Um den Fingerabdruck zu überprüfen, müssen Sie den Eigentümer des Schlüssels kontaktieren und die Fingerabdrücke vergleichen. Sie können persönlich oder per Telefon mit ihm sprechen oder auf beliebigem anderen Wege kommunizieren, solange nur garantiert ist, daß es sich um den rechtmäßigen Eigentümer handelt. Stimmen beide Fingerabdrücke überein, dann können Sie sicher sein, daß Sie eine echte Kopie des öffentlichen Schlüssels haben."
http://www.gnupg.de/gph/de/manual/x193.html

[klabaki]

Sicheres:
[...]
   email verifikation bei account-Einrichtung: wegwerf-email

Vorsicht!!
Das ist ein Sicherheitsrisiko. Natürlich ist es einfach und unkompliziert solche Wegwerf-Email-Adressen (z.B. http://spambog.com ) zu verwenden, aber sicher ist es eigentlich nicht.

Bei den meisten Webseiten kann das Passwort mittels Email zurückgesetzt werden, d.h. wer die Email-Adresse kontrolliert, der kontrolliert deinen Account.
Bei Diensten wie spambog.com sind die Emails standartmäßig öffentlich abrufbar, d.h.: Sobald jemand weiß, wie deine spambog.com-Email-Adresse lautet, hat er deinen Account.

Man könnte jetzt einfach eine lange, nicht zu erratende Email-Adresse wählen, aber sicher ist das auch nicht:
Viele Webseiten schützen die Email-Adressen ihrer Benutzer einfach nicht gut genug, meistens aus Nachlässigkeit.
Außerdem hat der Anbieter der Wegwerf-Email ja deine Mails... damit würde ich mich nicht wohlfühlen.

Eine bessere Lösung zu dem von dir angesprochenen Problem weiß ich aber auch nicht.
Das Email-Protokoll (SMTP) ist eben inhärent unsicher - es ist eine Schande, dass es immernoch benutzt wird.

Sicheres:
   emailen: thunderbird -> enigmail installieren (http://www.enigmail.net/home/index.php)
   chatten: pidgin -> OTR installieren -> relativ sichers chatten sogar ueber den M$-Server aka skype (http://packages.debian.org/squeeze/pidgin-otr)
   surfen: TOR browser bundle installieren (https://www.torproject.org/projects/torbrowser.html.en)
[...]
Das machts dem Ueberwachungsstaat schon etwas schwerer. Wer die Kryptografie von oben nicht ernst nimmt braucht auch den Bitcoin nicht ernst nehmen und die ganze Diskussion waere eh nur Makulatur.

Exakt!

[numismatist]

Das ist technisch möglich. Der Aufwand ist aber zu hoch, um die gesamte Kommunikation aller Bürger auf diese Weise zu kompromittieren.

Und Niemand, ich betone Niemand, würde weltweit diesen zu hohen Aufwand betreiben, um die gesamte Kommunikation aller Bürger auf diese Weise zu kompromittieren. 

Aber jetzt mal offtoppic: Wer bezahlt den den ganzen Scheiß? Etwa die Bürger, von ihren Steuergeldern? Und muss dann womöglich an Kindertagesplätzen oder gar der Gesundheitsvorsorge gespart werden?

[mixmaster]

Das ist technisch möglich. Der Aufwand ist aber zu hoch, um die gesamte Kommunikation aller Bürger auf diese Weise zu kompromittieren.

Und Niemand, ich betone Niemand, würde weltweit diesen zu hohen Aufwand betreiben, um die gesamte Kommunikation aller Bürger auf diese Weise zu kompromittieren.  

Aber jetzt mal offtoppic: Wer bezahlt den den ganzen Scheiß? Etwa die Bürger, von ihren Steuergeldern? Und muss dann womöglich an Kindertagesplätzen oder gar der Gesundheitsvorsorge gespart werden?

Falls das ein ironischer Hinweis mit der Botschaft "klar, wird das gemacht" sein soll:
Selbst wenn sie es tun würden (und somit noch mal deutlich mehr Resourcen als jetzt investieren müssten) - es kann jeder sehr einfach prüfen, ob er von dieser "man in the middle" Attacke betroffen ist. Wie gesagt: Einfach den fingerprint gegenseitig am Telefon vorlesen.

Und falls jetzt noch jemand daher kommt und sagt: "Ach alles Unsinn. Auch Verschlüsselung bringt nichts! Die haben immer stärkere Rechner, die alles knacken können."
Bitte lesen: http://en.wikipedia.org/wiki/Brute-force_attack#Theoretical_limits

Kurz zusammen gefasst: Es gibt PHYSIKALISCHE Grenzen für die Entschlüsselbarkeit in einer bestimmten Zeit. Diese Grenzen werden bestimmt von der Energie, die einem zur Verfügung steht.

[Chefin]

Ihr habt eure Vorstellung von Netzwerken und ich meine. Und welche Möglichkeiten heutige Netzwerktechnik bietet, könnt ihr nichtmal ansatzweise begreifen.

Nur mal als Beispiel:

CERN in Genf ist nicht gerade ein Noname Technikbolide. Dort kommt nur das Allerfeinste zum Einsatz. Vorallem die Datenspeichertechnologie ist dort Highlight jedes Technikvortrages.

"Wir können xyz Petabytes an Daten speichern, die meisten Menschen wissen nicht mal was Petabytes sind"

Und dann hört man von NSA und Utah und 2 TB pro Mensch auf dieser Welt. 7 Milliarden Menschen, oder ums Computerisch zu sagen: 7 GB Menschen und jeder Mensch hat dort 2TB Datenspeicherplatz. Das bedeutet das 2PB(Petabyte) gerade mal für 1000 Menschen reichen. Wir reden also nicht mal mehr von Exabyte(das nächste nach Peta) sondern schon von Zettabyte.

Und wir reden nicht mehr von 1 oder 2 sondern von 14 Zettabyte. CERN könnte dort nebenbei ein Backup seiner Daten machen ohne das dieses System ins Schwitzen kommt.

Versucht euch mal in die Gedanken der NSA einzuarbeiten. Was will die NSA?
Alle Menschen lückenlos anhören um Falschparker und Fremdgeher zu erwischen und ein paar Steuersünder die 500Euro im Jahr hinterziehen schnappen? Sicher nicht. Sie wollen die großen Fische. Wer ist Großer Fisch, wie finde ich die raus.

Du merkst doch selbst auch schon, das viele Mechanismen kleine Schwachstellen haben. Selbst wenn ihr euch gegenseitig anruft und hashwerte austauscht am Telefon, bist du sicher das die richtige Person am anderen Ende der Leitung ist? Und auch wenn du jede Verschlüsselung absolut sicher machst, dann wird man die Daten vor dem Verschlüsseln abgreifen. Kein Virenscanner wird auf die Trojaner der NSA anspringen. Man kann also deinen Rechner infiltrieren.

Stell dir dabei nicht vor, das es um deine paar Bitcoins geht. Sondern das es um etwas geht, wo diese Menschen denken das ihre nationale Sicherheit dran hängt. Das sie vieleicht mal die Helden sind, die den tot von Tausenden von Menschen verhindert haben. Und es sind Computerspezialisten, gegen die bin ich ein kleines Licht neben einem Flutlichtstrahler. Geld...spielt keine Rolle. Knowhow...wird gekauft. Zusammenarbeit...wird erzwungen per Gericht.

Je eher du begreifst, das dir die Technik nicht ermöglicht sicher zu kommunizieren, desdo schneller begreifst du auch, welche Dinge die NSA garnicht interessieren und welche du besser anderweitig kommunizierst. Weswegen erwischen die keine Attentäter? Weil die Attentäter auch wissen, was los ist und ganz konventionell Face to Face kommunizieren.

Tja...ich weis nicht, was du nun noch dagegen bringen wirst(ich bin mir aber sicher, das du Dinge nicht nicht so ganz glauben kannst die ich hier so von mir gebe), letztendlich habe ich soweit die Fakten rüber gebracht und den Rest musst du entscheiden. Technik nutzen, ja, sich drauf verlassen, nein. Paranoia...ein bischen, aber frag dich auch: ist das wirklich interessant für die NSA oder BND? Ist es strafbar? Dann sei dir sicher, das du nicht ohne Risiko Technik einsetzen kannst.

[mixmaster]

Vorweg eine bisschen persönliches Feedback: Es ist ein bisschen arrogant zu behaupten, dass wir die Möglichkeiten der heutigen Netzwerktechnik nicht ansatzweise begreifen, die meisten nicht wissen was Petabytes sind oder uns zu unterstellen, dass wir glauben, die NSA interessiere sich für unsere Bitcoins oder anderen belanglosen Kram.

Zum Thema:
Ja, die NSA hat eine ziemlich große Speicherkapazität. Diese Tatsache hat mit der Sicherheit von Verschlüsselung aber absolut nichts zu tun.

Und wenn ich einen Menschen nicht genug kenne, um am Telefon sichergehen zu können, dass es sich wirklich um die Person handelt, die ich sprechen wollte, dann muss ich natürlich ein persönliches Treffen vereinbaren. Gesunder Menschenverstand ist halt immer hilfreich.

Du scheinst aber irgendwie "praxisrelevanten Umgang mit Verschlüsselung" mit "theoretisch denkbaren Angriffsmöglichkeiten" zu verwechseln. Oder bist du ernsthaft davon überzeugt, dass ein Otto-Normal-Bürger von der NSA so viel Aufmerksamkeit bekommt, dass diese seine Telefonanrufe abfangen und sich als der Empfänger ausgeben, um möglicherweise die Überprüfung des fingerprints zu kompromittieren?

Was ich sagen will:
Ein Geheimdienst hat begrenzte Resourcen. Wenn es um das Abfangen von Telefonanrufen geht, wo viel Wissen über den gefakten Empfänger vorhanden sein muss etc., reichen keine Algorithmen - dazu braucht man echte Menschen. Das wird auch noch lange so bleiben...
ALSO: Wenn der Großteil der Menschen verschlüsselte E-Mails senden würde, müssten sich die Geheimdienste zwangsläufig wieder auf ihre eigentlich Aufgabe besinnen: VERDÄCHTIGE Personen überwachen, nicht verdachtslos alle.

Ich hoffe, das war jetzt verständlich genug.

[curiosity81]

Und wenn die NSA Zetabyte pro 1% Mensch zur Verfuegung haette. Die laufen in genau die gleichen Probleme wie die Genomforscher. Was bringen dir die Genome aller Menschen (oder aller Zellen aller Menschen (oder aller Zellen aller Lebewesen)) wenn du (noch) nicht das Handwerkszeug hast diese zu analysieren. In der Beziehung sollte man das Knowhow eher google zu sprechen.

Das stand doch schon irgendwo beschrieben, dass die Top-Down-Analysen machen. Erst die Metadaten abgreifen, wer kommuniziert mit wem. Dann die interessanten Individuen rausgreifen, dann eine genauere Analyse vornehmen. Sicherlich koennen die in zehn Jahren auch noch die Daten von heute von einer Person abgreifen, aber ob die dann wirklich alles mitgeschnitten haben bezweifel ich so dass verschluesseslte Information auch dann noch verschluesselt bleibt.

[Chefin]

Genau das sage ich doch: Es wird zwar alles gespeichert, aber nur das Verarbeitet, was dann nötig ist.

Kein Mensch wird als Verbrecher geboren. Er entscheidet sich irgendwann dafür. Bis dahin hat er aber viel Daten produziert. Und das unbefangen.

In diesem Thread ging es ums Thema Technikgläubigkeit. Das jemand der Meinung ist man muss nur ausreichend Technologie aufbauen um sicher zu sein. Und gegen diese Hörigkeit wehre ich mich. Weil diese Menschen sich dann sicher fühlen und Risiken eingehen. Jede Technik ist knackbar. Es ist immer nur die Frage des Aufwandes und der Motivation derjenigen die es rausfinden wollen.

Natürlich ist Speicherkapazität nicht alles, aber wenn ich alles gespeichert habe, muss ich doch garnichts mehr in Echtzeit analysieren, sondern kann mit deutlich weniger Rechenleistung die relevanten Dinge untersuchen. Und was Verschlüsselung angeht: AES256 ist nicht mehr per Bruteforce knackbar, wenn überhaupt dann per Wörterbuchattack. Ebenso sieht es mit 2048bitRSA Keys aus. Nur scheint keinem von euch Technikgläubigen auszufallen das DU die komprimittierenden Texte schreibst, aber eine andere Person den Schlüssel zum entschlüsseln hat. Also was nützt dir da der beste Key und das absolutunknackbare Verfahren, wenn man nur bei jemanden an die Türe klopfen muss und ihm ein Angebot macht das er nicht ablehnen kann.

Wo enden die Loyalität deiner Freunde?

Und das hat nichts mit AES, RSA, Unix, Linux, Windows, Android oder C64 zu tun. Man muss dazu nur wissen WEN man fragen muss. Und dafür muss man nichts entschlüsseln. Ihr denkt alle viel zu eindimensional, betrachtet es wirklich mal so, als wolltet ihr MICH austricksen und überführen. Dann wisst ihr was die NSA wirklich braucht.

Snowden ist kein dummer Mensch, was meint ihr welche Kapazitäten noch alles bei der NSA arbeiten.

Kleine Andekdote am Rande: einigen dürfte vieleicht l0pht und ihre Erfindung: Jack the Ripper(ein Crackprogramm) noch ein Begriff sein. Das sind Jungs die hatten die ganze Welt der Kryptografen an der Nase rumgeführt. Bis man sie erwischt hat. Keiner von denen sitzt der sass im Knast, von 2 weis ich sicher das sie bei der NSA arbeiten...noch heute...und einen den ich persönlich kenne, war zeitweise bei einer Firma die irgendwie viel für NSA aber auch an anderern Projekten aus der Sicherheitsbranche dran war. Aber auch ich hätte vor 6 Monaten so wie du geredet und abgestritten, das die NSA die mittel und den politischen Rückhalt hat, solche Überwachung aufzubauen. Inzwiscchen wo ich einige Details der Anlage kenne, die sie haben, schaut die Sache anders aus.

Vertraut der Technik oder lasst es, letztendlich ist es mir egal. Ich habe nichts zu verbergen, was die NSA interessieren würde, bzw ich werde sowas dann sicherlich nicht über Internet kommunizieren.

[curiosity81]

Das hat doch nichts mit Technikglaeubigkeit zu tun. Wer technikglaeubig ist hat nichts verstanden. Wie du richtig bemerkst, die groesste Schwaeche stellt immer noch der Mensch dar. Aber "Verrat" geht auch in die andere Richtungen (siehe Snowden).

[mixmaster]

Chefin, du kommst völlig vom Thema ab. Du sprichst davon, dass Menschen, bevor sie Verbrecher werden, unbefangen Daten produzieren. Ich will eben, dass auch die Nicht-Verbrecher das nicht tun, sondern ihre Daten verschlüsseln, wenn sie nicht explizit wollen, dass sie öffentlich einsehbar sind.

Du sagst, jede Technik ist knackbar. Technik? Wir reden hier von Verschlüselung, das ist Mathematik. Und wie man an deiner Behauptung sieht, fehlt dir das Fachwissen, um zu begreifen, dass deine Behauptung zwar denkbar ist, aber nicht stimmen muss. Ich würde nicht sagen: Technik XY (=Verschlüselung XY) ist unknackbar, da das bisher nicht bewiesen wurde. In der Mathematik gibt es aber genügend Beispiele, wo bewiesen wurde, dass bestimmte Dinge NICHT möglich sind. Ich gehe hier jetzt nicht näher drauf ein, befass dich halt selbst mit der Mathematik, die hinter Verschlüsselung steckt. Tu mir nur bitte den Gefallen und unterlasse solange solche Behauptungen. Nur weil du dir das nicht vorstellen kannst, heißt das noch lange nicht, dass es unmöglich ist (unknackbare Verschlüsselungen).

Auch ging es hier nie um Loyalität von Freunden. Menschen sind die eigentliche Schwachstelle, wie curiosity81 sagt. Hätte ich Pläne, für die sich die NSA interessieren würde, darf ich sie meinem "Freund" genau so wenig Face-to-Face erzählen wie verschlüsselt per mail. Du kommst hier ständig vom Thema ab. Wenn jemand ernsthaft Angriffsziel der NSA wird, dann bringt ihm aus einem anderen Grund die beste Verschlüsselung der Welt nichts: Sie werden es schaffen, dass er/sie das Passwort verrät. Aber von diesem Extremfall reden wir nicht, begreif es doch endlich mal. Für solche Verdachtsfälle gibt es Geheimdienste. So wie die Polizei auch Wohnungen durchsuchen darf und soll, wenn es einen auf Tatsachen begründeten Verdacht gibt. Trotzdem machen sichere Haustüren Sinn!

So, das war meine letzte Antwort hier. Die Diskussion mit dir führt leider nicht ans Ziel. Aber vielleicht ist die Unterhaltung bis zu dieser Stelle für andere interessant.

[klabaki]

Ich hab's in einem anderen Thread schon gesagt, aber ich wiederhole mich gerne:
Leute, nutzt Bitmessage statt Email und Freenet statt WWW!

Die breite Masse wird dererlei wohl nie benutzen. Trotz der Enthüllungen (die für Kenner der Materie keineswegs überraschend sind) fehlt es weiten Teilen der Bevölkerung an grundlegendem Verständnis, welche menschenrechtsrelevante Bedeutung Datenschutz hat.

Ja, leider.

Diese Technologien müssen eben massentauglich werden. Und selbst dann verbreiten sie sich nur wenig: Es gibt soviele Leute, die sagen: "Ich hab' doch nichts zu verbergen."  Es ist zum Lachen und zum Weinen...

Wenn ich mir anschaue, wie sich der Thread so entwickelt hat, dann sehe ich:
Zusätzlich zu den völlig naiven "Ich hab' doch nichts zu verbergen"-Menschen, gibt es auch solche, die bereits resigniert haben und meinen: "Es ist eh alles unsicher, da braucht man sich um Sicherheit gar nicht bemühen."

Das ist dann nicht mehr zum Lachen, sondern nur noch zum Weinen.


Naja, zurück zum Thema:

http://prism-break.org bietet eine schöne Übersicht, wie man seine Netzwerksicherheit erhöhen kann.

Natürlich kann keine Technologie den gesunden Menschenverstand ersetzen - aber ein Mensch mit Verstand wird die eine oder andere Technologie einsetzen.

[curiosity81]

Hallo Leute,

vllt koennt auch ihr damit was anfangen. Dieser Thread hat mich zum nachdenken angeregt. Ich habe inzwischen relativ viele lange und bunte Passwoerter. Die moechte ich nicht digital rumliegen haben, ist mir zu unsicher und merken kann ich mir die auch nur schlecht, einfach weil staendig neue dazu kommen. Ich habe mir folgendes ueberlegt. Warum sich kein Cardan-Gitter (https://de.wikipedia.org/wiki/Cardan-Gitter) fuer die Hosentasche zu legen?

Ich stelle mir das wie folgt vor, man erzeugt einen grossen zufaelligen Text und versteckt dort die Passwoerter drin. Zusaetzlich erstellt man die entsprechenden Gitter bzw Schablone. Ein Text kann prinzipiell mehrere Passwoerter enthalten und eine Schablone mehrere Passwoerter dekodieren. Die Idee ist nun, dass man die Schablonen - am besten aus Pape oder Plastik - im Geldbeutel hat, aehnlich wie diese kleinen Kalender oder Kreditkarten. Den Text traegt man am Schluesselbund. Man muss schon Beides verlieren damit die Passwoerter in falsche Haende geraten koennen.

Ich habe mir jetzt ein kleines Java-Programm zusammengehackt, welches mir die Arbeit der Erzeugung des Textes aus den Passwoertern und der dazugehoerigen Schablonen abnimmt (siehe ganz unten). Der Code ist vollkommen frei, macht damit was ihr wollt. Jedoch uebernehme ich keine Verantwortung falls er Bugs enthaelt und die Passwoerter nicht korrekt entschluesselt werden. Ein Bsp.-Resultat fuer drei Passwoerter sieht dann wie folgt aus (siehe unten). Ihr koennt ja mal versuchen die Schluessel rauszubekommen, die Zahlen rechts von den Schablonen markieren die Positionen der Buchstaben im Passwort (falls Mist rauskommt, dann hat sich noch nen Fehler eingeschlichen, der Code ist aber ziemlich simpel und deshalb leicht zu korrigieren ...). Auf den ausgedruckten Schablonen liessen sich die Loecher mit Linien verbinden um die Reihenfolge anzugeben. Eine Mehrfachschablone liesse sich durch "uebereinanderlegen" mehrer Einerschablonen erzeugen, verschiedene Passwoerter waeren durch getrennte Verbindungslininen markiert, gerne auch mehrfarbig:

Edit: Mist, die Dekodierung der Schluessel geht ja in O(1)  , naja, wenigstens koennt ihr so den Algo ueberpruefen.

Code:

+------------------------------------------+
|_VLfNs^@`*uej4jL6fFt;V*g$pBQJ==4LuM2k3=W,J| 
|9vB%E)LFKiBw:gry}U7%.?BoWqx,v'!ZGc@e5h({IU| 
|p9tpme;&ck=`8xax(#B7a93oe:!,3Vnc4LB0b60Sjn| 
|4BM=)i6-PePSs[y;6:8J&E[*LqTBDLghJxf(i8%m=_| 
|^9%*T9TkMZTeVC66&"3s.=*9d?Tu*W]/rH?v'umWSP| 
|+e^V3\'mYX=!0(fF.XSM%l7k4n]V;pOut/OsR.U][^| 
|.3x03lK$/>T`O_QPy_JNu8^}A51jpr_vK*BTlhotoa| 
|R"zk^-\U<(TU'DgCrKN*1U-:L=2ym_0GKu7`|}i},z| 
|pO"pe)&o'7#`|usgN1Q=QrJUHtwHA].2]|j|,9F)#(| 
|^sLAT"b}tisQJ/xi-+P4Fb>Mt:e9#MCaK4D[\H2?6s| 
|;e\L.EkGI*,c"8k6}M]@_Rb`=[zbOn"#e"A"a*g4+h| 
|zDbe^Q0t[[.sC|&NQ#=:fWy(u/Jgd*Rv6n`rneSN:B| 
|huR}*Ymz{POtl.xoU|lB>Oze-Q1zVfb?j|E}\($j:t| 
|sTrk|rN,"iT4\ENd(G85<vob7,7H!mvusk<.8uF=Yp| 
|'o$&i2lhlNuol*@[;]kZ\AH{8Gh{C04")bz(EA3w25| 
|p`kX7Z#FqIv?>Slj{e(334t?]7e8OIH#pR,q;X(iNF| 
|^o#e3ZYs^6v2)T]+2I#SH-YX011sf#esD*XEN%43{t| 
|yG.4Cw&{dY@A:O#7LD{,qV9PC\3b3t{Fp^S}qG1z4Z| 
|/Y-]TT)`q0Ih!0Kkd-+c4HRHRu`d:cr?)6;CpL_?[;| 
|M/FgL|f|sL,4Y#hrG]es<!/@W^g|Mi'"U{JII3S,3B| 
|X(WK5/JSZyi5$T-8/5h6l9U,FY0uxo*@[h{itg\*^k| 
|'BuhYzQ^7CO,\v28`w2QCO`azyy#}N6ld9h5h)Y,ju| 
|Fbj!Bt)o5!{T{Y>gnte.HL{*SPU)`Z_g(puIk;ancF| 
|aVJF_^00AebR%5>p0r1&qo5;z,3YTyH):jyZ5EX^,u| 
|!5CGu0F4Z1A9<bhzG!}QvH|lr3#c>Ji8N{vumEfCRS| 
+------------------------------------------+

+------------------------------------------+
|     *                                    | 15 
|                                   *      | 13 
|        *                                 | 9 
|                                          | 
|           *                              | 1 
|                                          | 
|                             *            | 6 
|                                          | 
|                                          | 
|                        *                *| 4 14 
|                                          | 
|                                   *      | 2 
|                                          | 
|                                          | 
|      *   * *                             | 17 12 11 
|                                          | 
|   *                           *          | 5 3 
|                                  *       | 8 
|                                      *   | 7 
|                  *                       | 16 
|                                 *        | 10 
|                                          | 
|                                          | 
|                                          | 
|                                          | 
+------------------------------------------+

+------------------------------------------+
|           *                              | 17 
|                                          | 
|                                          | 
|         *                                | 14 
|                                     *    | 13 
|                     *                    | 12 
|                 *                        | 8 
|                                          | 
|                                          | 
| *                                        | 16 
|                                          | 
|   *   *                                  | 3 5 
|*                                         | 11 
|     *                                    | 7 
|                                  *       | 1 
|                                          | 
|                                          | 
|                                          | 
|                             *            | 10 
|        *                                 | 15 
|          *                               | 4 
|                 *             *          | 2 18 
|                  *                       | 6 
|                                          | 
|                                         *| 9 
+------------------------------------------+

+------------------------------------------+
|                                          | 
|                                          | 
|     *                                    | 6 
|                                          | 
|                                *         | 7 
|                                          | 
|                                          | 
|                                          | 
|                                          | 
|         *                                | 3 
|           *                    *        *| 10 14 11 
|                                          | 
|            *                             | 18 
|*              *                          | 15 1 
|                                          | 
|              *                           | 12 
|                           *             *| 16 5 
|                             *            | 4 
|                         *    *           | 13 2 
|                                          | 
|                                          | 
|                                          | 
|                        *                 | 9 
|    *    *                                | 8 17 
|                                          | 
+------------------------------------------+

Der Code:

Code:

import java.util.*;

public class Main {
	private Random rand;
	
	/**
	 * @param args
	 */
	public static void main(String[] args) {
		// main method
		Random rand = new Random();
		
		// size of text array
		int n = 25; //new Integer(args[0]);
		int m = 42; //new Integer(args[1]);
		
		// keys to encrypt
		//String[] keys = new String[args.length - 2];
		//for (int i = 0; i < args.length - 2; i++)
		//	keys[i] = args[i + 2];
		String[] keys = new String[]{"erster_Schluessel", "zweiter_Schluessel", "dritter_Schluessel"};
		
		// as many grilles as keys
		char[][][] grilles = new char[keys.length][n][m];
		// as many lists for character number as keys 
		int[][][] lists = new int[keys.length][n][m];
		
		// array for text
		char[][] text = new char[n][m];
		// array for already used cells of array
		boolean[][] set = new boolean[n][m];
		
		// fill array with random text
		for (int j = 0; j < m; j++){
			for (int i = 0; i < n; i++){
				int r = rand.nextInt(93) + 33;
				text[i][j] = (char)r;
			}
		}
		
		// encrypt keys
		for (int k = 0; k < keys.length; k++){
			// create empty grille
			for (int j = 0; j < m; j++)
				for (int i = 0; i < n; i++)
					grilles[k][i][j] = ' ';
			
			// key to be encrypted
			String key = keys[k];
			// encrypt key
			insertText(key, text, grilles[k], set, lists[k], rand);
		}
		
		// print text
		printArray(text, null);
		// print grilles
		for (int k = 0; k < keys.length; k++)
			printArray(grilles[k], lists[k]);
	}
	
	public static void insertText(String key, char[][] text, char[][] grille, boolean[][] set, int[][] list, Random rand){
		// encodes key in text and marks grille, set and list with the corresponding character
		int n = text.length;	// vertical size of text
		int m = text[0].length;	// horizontal size of text
		
		// encrypt key
		for (int j = 0; j < key.length(); j++){
			// sample some cell of text array
			int ri = rand.nextInt(n);
			int rj = rand.nextInt(m);
			// make sure that it is not already used
			while (set[ri][rj]){
				ri = rand.nextInt(n);
				rj = rand.nextInt(m);
			}
			
			list[ri][rj] = j + 1;			// save character number of key
			text[ri][rj] = key.charAt(j);	// put character into text
			grille[ri][rj] = '*';			// mark hole of current grille
			set[ri][rj] = true;				// mark cell as being used
		}
	}
	
	public static void printArray(char[][] array, int[][] list){
		// prints text and grilles on the screen
		
		// print horizontal boarder on the top
		System.out.print("+");
		for (int j = 0; j < array[0].length; j++)
			System.out.print("-");
		System.out.println("+");
		
		// print text and left and right boarder as well as character number
		for (int i = 0; i < array.length; i++){
			System.out.print("|");
			for (int j = 0; j < array[0].length; j++)
				System.out.print(array[i][j]);
			System.out.print("| ");
			
			// print character numbers in the current line
			if (list != null)
				for (int j = 0; j < list[0].length; j++)
					if (list[i][j] != 0)
						System.out.print(list[i][j] + " ");
			System.out.println();
		}
		
		// print horizontal boarder on the bottom
		System.out.print("+");
		for (int j = 0; j < array[0].length; j++)
			System.out.print("-");
		System.out.println("+");
		System.out.println();
	}
}

[mixmaster]

Die Idee ist nicht schlecht. Allerdings bringt dir das gar nichts, wenn du z. B. überfallen wirst.

Da find ich KeePass immer noch besser (AES-256).

Bzgl. AES-256 Sicherheit: https://www.schneier.com/blog/archives/2012/03/can_the_nsa_bre.html