E-Mails verschlüsseln in 30 Minuten

Das Tutorial „E-Mails verschlüsseln in 30 Minuten“ (Windows) ist jetzt alpha und online und kann verlinkt werden.

Vielen Dank allen, die Hinweise gegeben, kritisiert und auf Fehler aufmerksam gemacht haben.

Jetzt geht es ans nächste Tutorial.

Juli 23, 2013 | Kategorie GPF, Hausmitteilung, Internet and Computer, Privacy | 7 Kommentare

OpenPGP vs. S/MIME: Das Rennen ist noch nicht gelaufen

S/MIME vs. OpenPGP: Eine Entscheidungshilfe:

Wenn E-Mail Security nur auf Windows-basierenden Systemen gewährleistet werden soll, sind beide Standards gleichermaßen geeignet. Wenn jedoch Unix, Linux oder Palm-PDAs in das Konzept eingebunden werden, ist der Einsatz von OpenPGP zu empfehlen, da dieses auf mehr Plattformen verfügbar ist. Auswertungen der Glück & Kanja Software AG zufolge ist OpenPGP zurzeit der häufiger eingesetzte Standard mit einem Anteil von etwa 60 bis 70 Prozent aller verschlüsselten E-Mails. (…) Während es vor einigen Jahren noch so aussah, als gewinne S/MIME langfristig die Oberhand, scheinen sich viele Firmen aufgrund der erwiesenen Praxistauglichkeit und dem erheblich einfacheren und flexibleren Aufbau für eine OpenPGP-PKI zu entscheiden.

Juli 21, 2013 | Kategorie Internet and Computer, Privacy | 7 Kommentare

Ein X für ein Keyscore vormachen

Ist es nicht merkwürdig, dass der Verfassungsschutz nach eigenen Angaben die Spionage-Software XKeyscore nutzt, aber angeblich nicht in der Lage war, etwas über die Nazi-Terrorgruppe NSU herauszufinden?

Juli 21, 2013 | Kategorie Politics, Privacy | 5 Kommentare

Alice und Bob

alice and bob

Ich habe vier kleine Grafiken gebaut, um das Prinzip der asymmetrischen Verschlüsselung einfach zu erklären. Die werde ich wohl in das Tutorial übertragen. Ich hatte keine vernünftigen Bilder in deutsche Sprache zum Thema gefunden. Gimp sei Dank kann man ja sehr schnell selbst etwas erstellen. Die Abbildungen stehen wie gewohnt unter der Creative Commons Attribution-NonCommercial 3.0 Germany License.

Juli 20, 2013 | Kategorie Internet and Computer, Privacy | 24 Kommentare

Proletarier aller Länder, verschlüsselt euch!

decrypt device

Tagesspiegel (via Fefe): „Andreas Baum, Pirat und Mitglied im Berliner Abgeordnetenhaus, wirft der Polizei vor, bei einer Personenkontrolle auf illegalem Wege sein Handy ausspioniert zu haben.“

Nur zum Mitschreiben: Irgendjemand wurde anlasslos kontrolliert. Andreas Baum war zufällig in der Nähe. Deswegen wollte ein Beamter sein Handy auch „durchsuchen“: „Der Beamte habe gesagt: ‚Ich werde schon nicht in Ihren Nachrichten rumgucken, oder haben Sie etwas zu verbergen?'“

Ja, ich habe etwas zu verbergen: Alles das, was den Staat nichts angeht, zum Beispiel meine Adressbücher und Verbindungsdaten, an wen ich welche SMS geschrieben habe usw.. Ein Smartphone ist von allen Geräten natürlich das per default unsicherste. Das bedeutet aber nicht, dass man es nicht benutzen oder resignieren sollte.

Hier gibt es eine (englische) Anleitung: „How to set lock screen and security options on Galaxy S3“, und hier eine Anleitung: „How to set up Face Unlock on your Android phone“. Und hier: „How to make your Samsung Galaxy S3 more secure“.

Sehr nützlich auch von der kanadischen Piratenpartei Encrypt Everything und die Androiden-Toolbox, sozusagen die Mutter aller deutschsprachigen Android-Tutorials.

Es muss natürlich jeder und jedem klar sein, dass die Hersteller von Smartphones alles tun werden, um Sicherheit für die Endanwender so unbequem wie möglich machen. Sicherheit widerspricht dem Geschäftsmodell. Das ist ja auch bei Facebook und Co. so. (Ein weiteres Argument, warum einige naive Vorschläge der Beckmannschen Diskussionrunde am Donnerstag, man brauchte jetzt von allem eine „deutsche“ Version – Suchmaschine und Facebook usw. -, totaler und ahnungsloser Quatsch waren).

Beispiel: Mein Smartphone ist komplett verschlüsselt, nicht nur mit PIN, sondern auch die „Festplatte“ des Geräts. Diese Option gibt es, aber man braucht rund eine halbe Stunde, um das zu tun, muss das Teil am Ladegerät angeschlossen haben, und bei einem Update des Betriebssystems muss man zunächst wieder entschlüsseln (knappe halbe Stunde), updaten und dann wieder verschlüsseln. Da die meisten Leute sogar zu faul sind, sich ein anständiges Passwort auszudenken und zu merken, kann man schon abschätzen, wieviele Smartphones weltweit verschlüsselt sind.

Ein Smartphone ist an sich eine Spionage-Modul, weil es den Standort des Besitzers und das Bewegungsprofil speichert und verrät – das muss man berücksichtigen. Aber ich sehe keinen Unterschied zwischen GPS-Navigationssystemen im Auto und im Smartphone. Deshalb kann man meines Erachtens auch zum Beispiel Find my mobile benutzen – die wissen eh, wo man ist und könnten sogar per „remote access“ das Display des Smartphones aus- und einschalten.

Mein Rat an die wohlwollenden Leserinnen und geneigten Smartphone-besitzenden Leser: Das Feature aktivieren: „sofortiges Sperren des Smartphones mit dem Ein- und Aus-Knopf“ (ich weiß nicht, wie das bei Smartphones auf deutsch exakt heißt).

Settings | Security | Lock instantly with power key. When you push the power key it locks.

Wenn jemand also das Handy beschlagnahmen will: Auf den „Power“-Knopf drücken und das Smartphone ist sofort gesperrt.

„Einsichtnahme in private Kommunikationsdaten ohne staatsanwaltschaftliche oder richterliche Anordnung“ sei ‚grundsätzlich nicht statthaft'“. Näheres regelt aber der Polizist vor Ort.

Juli 20, 2013 | Kategorie Internet and Computer, Politics, Privacy | 7 Kommentare

E-Mails verschlüsseln in 30 Minuten Beta

Eine Beta-Version (es fehlen noch einige Links) des ersten Tutorials E-MAILS VERSCHLÜSSELN IN 30 MINUTEN ist jetzt online.

Ich bitte die geneigten Leser und wohlwollenden Leserinnen, hier Vorschläge zu unterbreiten, was verbessert werden könnte, was unverständlich ist und wo es eventuell „hakt“.

Juli 18, 2013 | Kategorie GPF, Internet and Computer, Privacy | 14 Kommentare

Wir haben es versucht

„Ob die Regierung wirklich geglaubt hätte, diese gewaltige Sammlung von Telefondaten vor dem amerikanischen Volk geheim halten zu können, wollte der Ausschussvorsitzende Bob Goodlatte von Litt wissen. Daraufhin erklärte der Jurist: „Nun, wir haben es versucht.“ (Quelle: Spiegel online)

Was versuchen eigentliche unsere Geheimdienste?

Juli 18, 2013 | Kategorie Privacy, Zitate, die man sich merken sollte | 3 Kommentare

Willkommen im Polizeistaat

„Einen Staat, der mit der Erklärung, er wolle Straftaten verhindern, seine Bürger ständig überwacht, kann man als Polizeistaat bezeichnen.“ (Ernst Benda, ehemaliger Präsident des Bundesverfassungsgerichts in der „Tagesschau“ 05.07.2007)

Juli 16, 2013 | Kategorie Politics, Privacy, Zitate, die man sich merken sollte | 3 Kommentare

Ersatz für die PrivacyBox

Nah dran: Secure Form Forwarding Example. Mal sehen, ob ich das irgendwie hinkriege….

Juli 16, 2013 | Kategorie Internet and Computer, Links I Like, Privacy | 1 Kommentar

Eine Eins mit 290 Nullen

Man könnte es eine Falschmeldung nennen oder behaupten, der Autor sei sogar zu faul oder zu dumm, bei Wikipedia zu suchen: „Nach allem, was bekannt ist, brauchen auch die Mathematiker der NSA mit ihren Großrechnern für das Knacken asymmetrischer Verschlüsselung viele Jahre“, schreibt Spiegel online.

Falsch. Guckst du hier: „Für den 2048 Bit Schlüssel bräuchte man also ca. (ganz grob) 10^290 (Das ist eine Eins mit 290 Nullen) ‚mal so lange, wie das Universum existiert…“

Das sind natürlich viele Jahre. Sehr viele. Insofern ist es auch keine Falschmeldung. Mein Schlüssel hat übrigens 4096 Bit.

Juli 16, 2013 | Kategorie Media, Privacy | 16 Kommentare

Wir wissen den großen Bruder zu schätzen

Bild.de (vgl. auch Golem.de): „Tatsächlich aber speichern Programme wie PRISM nahezu ALLE Inhalte von elektronischer Kommunikation außerhalb der USA, auch in Deutschland. (…) Nach BILD-Informationen hat zumindest der Bundesnachrichtendienst seit Jahren von der enormen Vorratsdatenspeicherung der US-Dienste Kenntnis – und hat in den vergangenen Jahren aktiv darauf zugegriffen. (…) So ging es bei der Friedrich-Reise nach BILD-Informationen vor allem darum, der US-Regierung zu versichern, dass man die zahlreichen Hinweise von NSA und CIA sehr zu schätzen wisse.“

Ach.

Das Bundesverfassungsgericht kann also das jüngst neu geschaffene „Grundrecht auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme“ wieder in die Tonne treten. Unsere Behörden und den Innenminister interessiert das einen Dreck, und die US-Amerikaner sowieso.

Juli 16, 2013 | Kategorie Internet and Computer, Politics, Privacy | Kommentieren

Tutorial Beta

Die Einführung für die beiden Tutorials ist fertig.

Juli 16, 2013 | Kategorie GPF, Hausmitteilung, Internet and Computer, Privacy | 8 Kommentare

Hidden Volume – Expertinnen gefragt

truecrypt

Eine Frage an die Truecrypt-ExpertInnen – das Setting ist wie folgt: Ein Hidden Container auf einem USB-Stick, darin Thunderbird Portable samt Enigmail und GPG für Thunderbird Portable. So weit, so gut.

Das Problem ist: Wenn ich an einem fremden Rechner säße, auf dem Truecrpyt nicht installiert ist, kann ich das Hidden Volume gar nicht öffnen. Deswegen frage ich mich, wie ich Truecrypt Portable auf den Stick kriege, also sozusagen am Hidden Volume „vorbei“. Es sehe keine Möglichkeit.

Oder hätte ich erst den ganzen Stick in einen Truecrypt-Container verwandeln müssen, um dann darin noch einen Hidden Volume anzulegen? Die Option habe ich gar nicht gesehen…

Juli 15, 2013 | Kategorie Internet and Computer, Privacy | 21 Kommentare

Big Brother Watch Online Privacy Survey

Umfrage „Big Brother Watch Online Privacy Survey“ (März 2013). IVPN fragt:
But perhaps the most interesting statistic comes from Germany. According to the survey, Germany was the only country where a majority of respondents (56%) said they were not concerned about their privacy online. How should we read this finding?

Juli 15, 2013 | Kategorie Links I Like, Privacy | 1 Kommentar

Geniale Lösung für Web-basisertes Verschlüsseln

Etwas unfassbar Praktisches – ich staune immer noch: In einem Artikel über Edgar Snowden wird auf Business Insider erklärt, wie PGP bzw. OpenPGP funktionieren. Dort empfiehlt man PGP Encryption Rool (iGolder), eine Web-Maske, in die man den öffentlichen Schlüssel des Empfängers postet, dann den Klartext der Nachricht. Man erhält dann einen verschlüsselten Text, den man per copy paste nur noch mit einem beliebigen E-Mail-Programm oder per Webmail verschicken kann.

Ich habe es ausprobiert – es funktioniert. Da der Betreiber der Website den geheimen Schlüssel des Empfängers nicht besitzt, hat die Sache keinen Haken. Ich finde das genial. (Allerdings würde ich mir von denen kein Schlüsselpaar erzeugen lassen.)

[Update] Das ist missverständlich ausgedrückt: Ich meinte natürlich, wenn man den Source Code hätte – es ware ein optimaler Ersatz für die PrivacyBox, die es leider nicht mehr gibt.

Juli 14, 2013 | Kategorie Internet and Computer, Links I Like, Privacy | 21 Kommentare

Tor and HTTPS

Electronic Frontier Foundation (EFF): Tor and HTTPS – „We prepared a graphic last year ago to try to help people visualize which data is concealed by the use of Tor.“ (Javascript erforderlich)

Juli 14, 2013 | Kategorie Internet and Computer, Links I Like, Privacy | 1 Kommentar

Elektronische Post (Mail) ist grundsätzlich ein unsicheres Übertragungsmedium

Humboldt-Universität Berlin: Auf ihrer Sitzung am 06.06.2013 hat das Präsidium seine Absicht beschlossen, bei der elektronischen Kommunikation an der HU Mails zu verschlüsseln, wenn diese besonders schützenswerte Daten, d.h. Daten vertraulichen Charakters, wie insbesondere Personalinformationen,
enthalten. In einer ersten Erprobungsphase empfiehlt die Universitätsleitung die Anwendung von Verschlüsselungen, insbesondere im Mailverkehr zwischen den Verwaltungsbereichen der Universität.
Begründung: Elektronische Post (Mail) ist grundsätzlich ein unsicheres Übertragungsmedium.

Die nutzen natürlich S/MIME. Um den Popcorn-Effekt zu erhöhen, bitte die Anleitung Seite 11 lesen (verfasst vom Computer- und Medienservice der HU). Bin mal gespannt, wie populär das wird an der HU….

Juli 13, 2013 | Kategorie Internet and Computer, Privacy | 2 Kommentare

Warum die Leute keine E-Mails verschlüsseln, revisited

Ich werde noch zum rasenden Elch. Aber falsch geraten. Ich will nicht auf faule NutzerInnen einprügeln, die sich weigern, E-Mails zu verschlüsseln, sondern auf die Pappnasen, die auch mit daran schuld sind, dass das kaum jemand macht und Anfänger das als schwierig empfinden.

Ich sitze jetzt seit geschlagenen neunzig Minuten hier und versuche das E-Mail-Programm Thunderbird Portable auf einen USB-Stick zu installieren, und zwar inklusive Verschlüsselungsprogramm und Enigmail. Es ist mir bisher nicht wirklich gelungen. Wenn ich nicht ein verdammtes benutzerfreundliches Tutorial schreiben müsste, hätte ich schon vor Wut fast aufgegeben.

Niemand sagt einem im voraus, dass man beim „normalem“ Thunderbird Portable eben nicht verschlüsseln kann, auch gibt es gar keine Möglichkeit, Add-ons wie Enigmail zu installieren, außer man versucht es „per Hand“, was man niemandem empfehlen solle, schon gar keinem Anfänger. Die Thunderbird Portable-Version von PortableApps.com ist also Schrott. Was soll ich mit einem Programm, das nur Postkarten erlaubt?

Was lesen wir jetzt? …laden Sie einfach GPG für Thunderbird Portable 1.4.13 (MD5: 627291d689f08577d0bb9dc2d2da1908) herunter [Link führt zu Sourcefource]. „Einfach“ bedeutet meistens: Der Schreiber will darüber hinwegtäuschen, dass es Tücken und Fallstricke gibt.

Das war übrigens das erste und einzige Mal, dass mir jemand verkündet, dass das „normale“ Gnu4win, das überall empfohlen wird, eben nicht für Thunderbird Portable geeignet ist. (Hey, das kam hier schon mal vor – wieso hat mich niemand gewarnt?)

Und jetzt: Danach laden Sie die Enigmail-Erweiterung herunter. Hurra, alles auf Englisch! Superpraktisch für Anfänger, damit auch niemand etwas versteht. Zu allem Überfluss: „Announcements – Enigmail has a new home“ – und auf der neuen Website finde ich keine Version für Enigmail für die portable Thunderbird-Version.. Grmpf.

Aber wir tun ja, was man uns sagt und fummeln stundenlang herum. Was geschieht eigentlich, wenn man die oben empfohlene Thunderbird Portable installiert? Man sieht diese hübsche Warnung:

thunderbird portable

Das macht Mut, um weiterzumachen! April 2012 – ganz entzückend. Der Link führt dann zum „normalen“ Thunderbird und nicht zur portablen Version. Ich komme mir vor wie das HB-Männchen. So verarscht man Leute, die guten Willens sind, sich um Sicherheit zu kümmern.

Das ist auch hübsch: Laden Sie das passende XPI für die gewünsche Sprache herunter und installieren Sie es im Erweiterungsmanager (Extensionmanager). Dies wird nicht unterstützt und funktioniert oder funktioniert nicht. Volle Unterstützung für komplette Lokalisierung wird es in Zukunft geben. Äh – wie meinen? XPI? Ist das Klingonisch? Es funktioniert oder auch nicht? Wer hätte das gedacht.

Das deutsche Thunderbird-Wiki kommt schon wieder mit etwas Anderem:
Wenn Sie Thunderbird portable verwenden, bietet sich eine spezielle Version an, die neben dem portablen Thunderbird bereits die passende Enigmail-Version vorinstalliert hat. Außerdem beinhaltet sie auch GnuPG. Sie müssen dann nur noch Ihre Schlüsseldateien hinzufügen. Mehr dazu unter: http://thunderbird.gnupt.de.

Dort lesen wir die volkstümlichen Worte:
Da diverse Erweiterungen noch nicht zu der Version 17.x kompatibel sind, wird das Upgrade bis auf Weiteres nicht automatisch durchgeführt, sondern lediglich ein Hinweis auf die Version 17.x ausgegeben. Soll das Upgrade durchgeführt werden, ist die Thunderbird-Portable.ini zu öffnen und der Parameter Thunderbirdversion auf 17x zu ändern (Thunderbirdversion=17x)

Sorry, aber ihr habt einen Knall. Hier habe selbst ich nicht mehr weitergelesen.

Hier wird alles vernünftig erklärt, leider wieder nur auf Englisch. Also ist mein deutsches Tutorial eine Marktlücke. Ich brauche noch bis Sonntag dafür.

Juli 12, 2013 | Kategorie Internet and Computer, Privacy | 18 Kommentare

Mining PGP Key Servers

Cryptome: „Statements in the Bradley Manning trial describe forensics to establish his online behavior and correspondents. Edward Snowden is reported to have advised his correspondents to use PGP for security. The Bradley forensics and Snowden advice suggests PGP key servers could be used to establish connections among parties, the so-called metadata official, commercial and NGO spies siphon, store and mine. The long-running MIT PGP key server is bountiful for this method but so are other PGP and GPG global servers.“

Juli 12, 2013 | Kategorie Internet and Computer, Privacy | Kommentieren

How Microsoft handed the NSA access to encrypted messages

„Die National Security Agency (NSA) habe etwa die Sorge geäußert, Web-Chats auf dem neuen Outlook.com-Portal nicht mitlesen zu können. Microsoft habe daraufhin der NSA geholfen, die konzerneigene Verschlüsselungstechnik zu umgehen. Dieses Vorgehen soll sich dem Bericht zufolge nicht auf die Web-Chats beschränkt haben: Die NSA soll auch Zugang zu E-Mails auf Outlook.com und Hotmail vor der Verschlüsselung gehabt haben.“ (The Guardian via Spiegel online)

The agency already had pre-encryption stage access to email on Outlook.com, including Hotmail.

Noch mal zum Klarstellen: „encrypted“ ist nicht ein public key-Verfahren, sondern der Schrott, den Microsoft als „verschlüsselt“ definiert, also so was wie De-Mail, das trotz unsicherer Verschlüsselung per Gesetz als „sicher“ deklariert wurde.

Juli 11, 2013 | Kategorie Internet and Computer, Privacy | 1 Kommentar