Vorsicht beim Skypen - Microsoft liest mit

[bluelupo]

Ich hoffe doch sehr stark das sich die Situation ändert, wenn Mozilla mit seinen FirefoxOS auf den Markt kommt.

[ralul]

Verschlüsselung ist zwar nett, aber wirklich schützen tut sie nichts. Sie erhöht allenfalls das Rauschen und erschwert damit massenhaften Durchleuchten von Kommunikation etwas, was aber wiederum auch total egal ist, weil die Metadaten ohnehin mehr zählen.

Dazu meint
http://blog.fefe.de/?ts=acd52294

Die Angriffe, über die man beim Diskutieren von Verfahren redet, sind daher nicht in der Liga "das wäre aber sehr teuer" sondern in der Liga" das würde so lange dauern, dass die Erde vorher in die Sonne stürzen wird.
...
Es hat sich daher aus meiner Sicht nichts geändert bei der Kryptographie. Wo sich etwas geändert hat, ist bei der Frage, wo man seine Krypto-Software eigentlich her hat, und ob man dem trauen kann. Aus meiner Sicht ist es jetzt an der Zeit, dass sich mal die Hacker der Welt zusammen tun, und in aller Ruhe und mit größter Sorgfalt die ganze Krypto-Software da draußen auditieren. Eine wirklich gute Hintertür sieht man bei einem Audit auch nicht notwendigerweise, aber es wann soll man sowas denn bitte in Angriff nehmen wenn nicht jetzt?

[cryptosteve]

Das sind doch zwei völlig unterschiedliche Dinge. Fefes Artikel bezieht sich auf Festplatten-/Containerverschlüsselung im abgeschlossenen Zustand. Sobald die Daten aber aufgeschlossen sind, ändert sich der Sachverhalt maßgeblich, vor allem, wenn kompromittierte Systeme wie z.B. von Apple oder Microsoft im Spiel sind.

[ralul]

@cryptoserve,
ne es geht auch leider darum, ob wir den openSource Tools überhaupt trauen können, ob ein "Sponsor" etwas hinterlistiges eingepflegt hat in den Code, oder ob ein Denk- oder Flüchtigkeitsfehler von Entwicklern gemacht wurde. Deswegen nimmt sich Fefe vor solchen Code zu auditieren!

Siehe dazu von heute zB:
http://www.heise.de/open/meldung/MIPS-Router-mit-Entropieproblemen-1953097.html

[cryptosteve]

Die Schwierigkeiten mit unsauber implementierter Entropie findet sich momentan ja an allen Ecken und enden.

Mir fehlt leider sämtliches KnowHow, um so ein Auditing mitzumachen. Schlimmer noch, ich kann noch nichtmal garantieren, dass ich die vorliegenden Lösungen auch wirklich zu 100% fehlerfrei implementiert und umgesetzt habe. cryptsetup ist nun wahrlich kein Monster, aber es bedarf schon einiger theoretischer Kenntnis, um bestimmte Szenarien bereits im Vorfeld auszuschließen.

Ich halte es allerdings für ziemlich wahrscheinlich, dass auch im OpenSource-Umfeld diverse (geheim-/staats-)dienstlich bezahlte Leute sitzen, von denen man das so nicht ahnt, bzw. nicht weiß. Und wie schwer der Code in seinen Folgen zu durchblicken ist, haben wir schon vielfach gesehen, z.B. bei der OpenSSL-Lücke in Debian.

[ralul]

... wahrscheinlich, dass auch im OpenSource-Umfeld diverse (geheim-/staats-)dienstlich bezahlte Leute sitzen, von denen man das so nicht ahnt, bzw. nicht weiß. Und wie schwer der Code in seinen Folgen zu durchblicken ist, haben wir schon vielfach gesehen, z.B. bei der OpenSSL-Lücke in Debian.

+1 leider.

Wenn man dann noch die ganze Kette nimmt:
Hardware - Firmware - Linux - Applikation - Router
- Internetleitung - Internetserver

... und zurück, dann wird einem klar, dass absolute Sicherheit nie garantiert werden kann. Da bin ich dann auch skeptisch wenn ein Gerät als Bundesminister tauglich zertifiziert wird:
http://www.heise.de/newsticker/meldung/Samsung-Galaxy-S3-als-Merkelphone-zugelassen-1953029.html

[farinet]

http://www.heise.de/newsticker/meldung/Kein-grosses-Smartphone-Betriebssystem-vor-US-Geheimdienst-sicher-1952156.html

Anscheinend gibt es wirklich keine Alternativen und sie bekommen alles.

Tja Steve, vielleicht intensivierst Du doch Deine Brieftaubenzucht...

Kein Witz: Die Schweizer Armee hatte einen Brieftaubendienst, der vor der Abschaffung stand (wie vor einigen Jahren auch, IMO: bedauerlicherweise , die Fahrradtruppen ), was nun aber annulliert wurde.

[farinet]

Ich hoffe doch sehr stark das sich die Situation ändert, wenn Mozilla mit seinen FirefoxOS auf den Markt kommt.

+1

[farinet]

Leider kann man kaum daran glauben, dass man mit deutschen Providern besser aufgehoben wäre. Zu beredt ist das Schweigen der deutschen Politiker, als dass man nicht den begründeten Verdacht haben müsste: die machen in Wirklichkeit dasselbe oder sie machen schlicht mit (so eine Art Ringtauschverfahren, der Verfassungsbrüche).

Ansonsten müsste man doch den Amis und den Engländern vor die Schienbeine treten, wie das die Brasilianer wenigstens versuchen (Stichwort: Petrobras + NSA) oder wie es Frau Reding wenigstens in Worten getan hat.

Einen Unterschied macht es aber vielleicht doch, wenn man deutsche oder europäische Dienste benutzt: Man könnte wenigstens hinterher vor Gericht ziehen.

Wenn man es den Diensten schwer machen will, wäre es nicht eine Idee, jede Mail und jede Botschaft über das Netz mit so einer Art "Quatsch"mail, eine Art sinnfreies Dummy automatisch zu verbinden und so die Aushorcher gewissermassen zuzumüllen? (Das müssten die Programme natürlich automatisch machen...).

[ayla]

naja, in erster Linie sollte es ja nicht darum gehen die Arbeit der Geheimdienste zu sabotieren sondern den Wildwuchs der Datensammelei einzuschränken.
Einer NSA/CIA/BND/... traue ich ja durchaus auch eine nützliche Funktion zu wenn es um Terrorismusbekämpfung geht.
Nur stellt sich halt inzwischen heraus daß sie maßlos übertreiben, sich Rechte nehmen, die ihnen niemand zugestehen wollte, unsere Grundrechte verletzen -wahrscheinlich "im Ringtausch"-, die Kontrollinstanzen alle Augen fest geschlossen halten...
Angesichts der technischen Möglichkeiten und der dahinter stehenden finanziellen Mittel bleibt hier letzten Endes nur der politische Weg -leider ist die Chance daß wir eine Regierung bekommen die da auch massiv eingreift nicht nur nahe null.

Einen Unterschied macht es aber vielleicht doch, wenn man deutsche oder europäische Dienste benutzt: Man könnte wenigstens hinterher vor Gericht ziehen.

Dazu müsstest Du erst mal das Recht haben hinterher was zu erfahren...

http://www.heise.de/newsticker/meldung/NSA-Affaere-IETF-Entwickler-stellen-sich-dem-Ueberwachungsskandal-1953111.html

[Smon]

Da ich gerade über den Thread hier stolpere:
http://www.bitblokes.de/2013/09/security-tipp-von-mr-kwin-martin-graesslin-firefox-sicherer-machen/

Das selbe geht auch mit Thunderbird!

[ayla]

http://www.faz.net/aktuell/feuilleton/buecher/autoren/ilija-trojanows-einreiseverbot-willkuer-und-freiheit-12599490.html

So ist das also mit der Freiheit in A.

[farinet]

Ja, so isset. Leider sind nur die Latinos bereit, sich in Konfrontation zur US-Administration zu begeben. Wir wollen lieber Porsches verkaufen . . . :-(

[ayla]

Und nix anderes werden wir auch machen, wenigstens mal die nächsten 4 Jahre. Es sei denn bei der EU tut sich was...

[ayla]

http://www.heise.de/newsticker/meldung/NSA-Affaere-Auch-Anwaelte-kritisieren-nun-Reaktion-der-Bundesregierung-1971628.html?wt_mc=rss.ho.beitrag.rdf

Bisher 1400 Unterzeichner, >300 Juristen und 1000 "andere Berufe".


EDIT:

Außerdem, eigentlich schon länger jedem der die Geschichte verfolgt hat klar, aber immer mal wieder zum Nachdenken:

http://www.heise.de/security/artikel/Todesurteil-fuer-Verschluesselung-in-den-USA-1972561.html