Sichere Daten

Das Modul 8: „Sichere Daten“ (pdf) meiner Seminarreihe „Sicher Surfen im Internet“ steht jetzt – leicht gekürzt – öffentlich zur Verfügung.

Juni 27, 2013 | Kategorie Hausmitteilung, Internet and Computer, Privacy | 11 Kommentare

How can we invest our trust in a government that spies on us?

„How can we invest our trust in a government that spies on us?“, fragt George Monbiot vom Guardian. Die Antwort, warum die Deutschen ihre Regierung lieben, findet man hier.

Juni 26, 2013 | Kategorie Politics, Privacy, Zitate, die man sich merken sollte | 6 Kommentare

Sollen die Idioten doch in ihr Unglück rennen

Aus einem Posting im Heise-Forum:
„Das Ausmaß und die Tatsache der Schnüffelei ist schon recht heftig – was mich aber an der ganzen Sache am meisten ankotzt, ist die Tatsache, wievielen Menschen das absolut egal ist oder sogar von ihnen befürwortet wird. Man hat ja nichts zu verbergen und so.

Das nervte mich schon immer, aber ich dachte: hey, wenn irgendwann rauskommt wie sehr wir überwacht werden, wachen die Leute auf. Falsch gedacht. Viele befürworten ja die Überwachung und freuen sich, daß dadurch total viele Terroranschläge auf ihre Nachbarschaft verhindert werden. Ja ne ist klar.

Ich habe keine Lust mehr. (…) Ich habe keinen Bock mehr den Leuten zu erklären, daß Zensur und Überwachung niemals gut ist. Sollen doch die Millionen Facebook-Idioten und Stasi-Befürworter in ihr Unglück rennen.“

Juni 22, 2013 | Kategorie Privacy, Zitate, die man sich merken sollte | 6 Kommentare

Not Trusting Google is Good Idea

Herbert Snorrason (anarchism.is) (via Fefe):

I. Information to be disclosed by Google, Inc.

To the extent that the information described in Attachment A is within the possession, custody, or control of Google, Inc., Google, Inc. is required to disclose the following information to the government for each account or identifier listed in Attachment A:

The contents of all e-mails associated with the account, including stored or preserved copies of e-mails sent to and from the account, draft e-mails, deleted e-mails, emails preserved pursuant to a request made under 18 U.S.C. § 2703(f), the source and destination addresses associated with each e-mail, the date and time at which each e-mail was sent, and the size and length of each e-mail;

All records or other information regarding the identification of the account, to include full name, physical address, telephone numbers and other identifiers, records of session times and durations, the date on which the account was created, the length of service, the types of service utilized, the IP address used to register the account, log-in IP addresses associated with session times and dates, account status, alternative e-mail addresses provided during registration, methods of connecting, log files, and means and source of payment (including any credit or bank account number);

All records or other information stored at any time by an individual using the account, including address books, contact and buddy lists, calendar data, pictures, and files, and including any deleted information and any information preserved pursuant to a request made under 18 U.S.C. § 2703(f);

Noch Fragen? Will mir noch jemand eine unverschlüsselte E-Mail per GMail senden? Echt?

Juni 22, 2013 | Kategorie Internet and Computer, Privacy | 3 Kommentare

Kleopatra sei Dank!

Kleopatra

Hurra, nach stundenlangem Dröseln und Rätseln habe ich mein APG-Problem gelöst und kann jetzt auch E-Mails auf meinem Android-Smartphone verschlüsseln. Es gab zwei Probleme:

Erstens: Wie einige kundige Leser schon vermuteten, ist das Format, das Enigmail (das OpenPGP-Add-on für Thunderbird) zum Export der Schlüssel benutzt, offenbar nicht kompatibel mit der Dateiverwaltung von Android, obwohl der Schlüssel korrekt im ASCII-Format erscheint. Da muss man erst mal drauf kommen. Also genau das, was hier ~~in Klingonisch~~ erwähnt wird:
APG cannot import keys in .asc files terminated with CR/LF (PC-style): it requires LF only (UNIX style). If your PC editor offers you a choice (e.g., TextPad does) save the file as UNIX text.

Ich habe es also mit Kleopatra versucht und damit die öffentlichen und meine geheimen Schlüssel exportiert und auf das Smartphone gebeamt.

Nun zu uns, Programmierer! Wir sind ja alle dankbar, dass ihr uns das Schöne, Gute und Wahre Open Source und gratis usw. zusammendröselt und zum Downlad anbietet. Ihr habt aber trotzdem einen Knall: Welche Pappnase denkt sich für jeden Softwareschnipsel einen anderen Namen aus? Kleopatra, „ist der bevorzugte Zertifikatsmanager in Gpg4win“. Geht’s noch? Sind wir hier im Gallischen Krieg oder beim großen Latinum? Und das nur, weil ihr Leute abschrecken wollt, das auch zu nutzen?

Was kriegt der Laie in den ersten fünf Minuten alles zu sehen: PGP, OpenPGP, GnuPG, Gpg4Win, GPG, OpenPGP & S/MIME, Algorithmenstärken, öffentliche und private Schlüssel, und jetzt auch noch Kleopatra – glaubt ihr denn, auch nur ein wohlwollender Nutzer und eine geneigte Nutzerin hat da noch Lust, überhaupt anzufangen? Und welche Knalltüte nennt die Schlüssel bei Kleopatra „Zertifikate“? Sogar ich musste erst überlegen und probieren, und ich verschlüssele meine E-Mails seit 1995.

Ich glaube, ich sollte mich mal selbst hinsetzen, der breiten Masse aufs Maul schauen und die Angelegenheit volkstümlich formulieren. So wird das nix.

Wie sagte Paulus über das erfolgreiche Missionieren ganz richtig: „Den Juden bin ich geworden wie ein Jude, auf daß ich die Juden gewinne. Denen, die unter dem Gesetz sind, bin ich geworden wie unter dem Gesetz, auf daß ich die, so unter dem Gesetz sind, gewinne. Denen, die ohne Gesetz sind, bin ich wie ohne Gesetz geworden , auf daß ich die, so ohne Gesetz sind, gewinne. Den Schwachen bin ich geworden wie ein Schwacher, auf daß ich die Schwachen gewinne. Ich bin jedermann allerlei geworden, auf daß ich allenthalben ja etliche selig mache. Den DAUS bin ich geworden ein Dau, auf daß sie ihre E-Mails verschlüsseln lernen und ich sie selig mache.“

Zweitens: Auch der Dateimanager (ich nutze den OI File Manager) zickt herum.

Auf der linken Seite des oberen Screenshots sind die verschiedenen Dateien im Download-Verzeichnis zur Auswahl zu sehen. Wenn man eine ausgesucht hat und auf „pick file“ drückt, erscheint eben dieselbe, was auf der rechten Seite deutlich wird – hier will ich eine .asc-Datei (so hat Kleopatra meinen öffentlichen Schlüssel genannt) importieren. Niemand sagte mir aber, dass man per Hand (!) zunächst den vorderen Teil des Pfades (alles, was rot markiert ist), eliminieren muss, ansonsten kommt wieder die Meldung „file not found“.

Ich hatte nur so eine vage Ahnung, nachdem ich praktisch alle Forenbeiträge zum Thema der letzten drei Jahre gelesen habe. Das sind gar nicht so viele, und alle natürlich in Englisch. Ich habe einfach herumprobiert. Das kann man niemandem, der das lernen will, zumuten.

APG

Der Verschlüsseln ist auch nicht einfach, und APG stürzt manchmal ab, warum, werde ich herausfinden. Aber immerhin habe ich alle öffentlichen Schlüssel importiert und es geschafft, mir selbst eine verschlüsselte E-Mail zu schicken, die ich mit einem meiner Rechner dann lesen konnte (MessageID email.android.com, oben rechts rot markiert)

Die nächste Aufgabe ist herauszufinden, wo APG die Schlüssel speichert. Ich habe mir für den Fall der Fälle, dass ich sie verstecken will, EDS installiert.

Juni 21, 2013 | Kategorie Internet and Computer, Privacy | 17 Kommentare

Netzpolitik.org im #Neuland

Netzpolitik.org: „Dan Goodin betont diesen Punkt auf Ars Technica nochmal: Wer Anonymisierung wie Tor verwendet, wird gespeichert, egal ob US-Bürger oder nicht, weil man damit nicht nachweist, wo man ist. Und wer seine Kommunikation verschlüsselt wie mit OTR oder OpenPGP, dessen Kommunikation ist verdächtig und wird so lange gespeichert, bis die NSA sie entschlüsseln kann.“

Ach ja? Die NSA kann OpenPGP entschlüsseln? Was für ein gequirlter Quatsch ist das denn? Und wie will man speichern, wer Tor benutzt? Selten so eine dämliche Verschwörungstheorie gelesen.

Der Autor Andre Meister „begleitet diverse netzpolitische Zusammenhänge“. Dann kann ja nichts mehr schief gehen. Wieder jemand, der mich von nun an ignorieren wird. In der Attitude der beleidigten Leberwurst braucht man keine Argumente mehr. Das kenn ich aus dem DJV.

[Update] An den Kommentaren bei netzpolitik.org kann man das Niveau der „Argumentation“ wunderbar verfolgen. Ich habe übrigens nie behauptet, dass es keinen „Staatstrojaner“ gebe, sondern dass der so, wie die Medien sich das vorstellten, nicht funktioniert, nur, wenn das „Opfer“ denkbar bescheuert ist. Und „Abfallprodukte“ von Skype sind ja wohl etwas anderes. Aber ich füttere auch keine Trolle.

Juni 21, 2013 | Kategorie Internet and Computer, Privacy | 21 Kommentare

Gute Gründe zum Mitlesen

„Wenn überhaupt, dann liest die Regierung Ihre E-Mails oder lauscht Ihren Telefongespräche mit einem guten Grund.“ (Ein Vertreter des indischen „Telekommunikationsministeriums“ laut Heise).

Warum ist unserer Totalüberwachungs- und Vorratsdatenspeicherungslobby dieser Satz noch nicht eingefallen? Bosbach (CDU) und Hartmann (SPD), übernehmen Sie!

Juni 20, 2013 | Kategorie Internet and Computer, Privacy | 2 Kommentare

SPD: Das Internet mehr überwachen!

„Deutschland hat einen gewaltigen Nachholbedarf im Bereich der Internet-Überwachung“, konstatierte der Innenexperte der SPD-Bundestagsfraktion, Michael Hartmann, laut Heise.

Schon klar. Ich wähle euch sowieso nicht.

Juni 19, 2013 | Kategorie Internet and Computer, Privacy | 4 Kommentare

Einführung in die Anon-Dienste

Da ich in den nächsten Tagen ein Seminar über Anonymisierungsdienste im Internet halte, stelle ich auch hier ~~das Faltblatt~~ die Broschüre „Einführung in die Anon-Dienste“ online, die die German Privacy Foundation vor einigen Jahren erstellt hat und die wir als „Leitfaden für Ermittler“ aff der Website anboten:

Wir betrieben zeitweilig acht Tor-Server, und ständig riefen irgendwelche ahnungslose Polizisten an, hatten nur eine IP-Adresse und bezichtigen uns, alle denkbaren Straftaten im Internet begangen zu haben, außer der Vorbereitung eines Angriffskrieges und Mord. Es war oft schwierig, denen zu erklären, was ein Tor-Server ist, zumal sie auch ihren Vorgesetzten berichten mussten.

Es gibt immer noch nichts Besseres als diese Anleitung. Ich sollte ein Update schreiben. Das werde auch ich tun, sobald ich die Zeit dafür finde.

Juni 19, 2013 | Kategorie Internet and Computer, Privacy | Kommentieren

Contradictio in adiecto

widerspruch in sich

So wird das nichts mit dem Datenschutz: Man soll die Sicherheit des Browsers verringern, der Link zu Facebook lauert schon und kein public key zur Kontaktaufnahme. Har har.

Juni 17, 2013 | Kategorie Internet and Computer, Privacy | 1 Kommentar

Neue E-Mail-Policy

Ich habe eine neue E-Mail-Policy formuliert. Auszug:

Ich beantworte keine unverschlüsselten journalistischen Recherche-Anfragen! Bitte benutzen Sie diesen öffentlichen Schlüssel:
I do not answer unencrypted investigation requests! Please use this public key:

burks@burks.de(0xC23A7B46)pub.asc – | Fingerprint: 1EE1 D41C 0AC8 FEF9 AE08 DA1C 01B6 6647 C23A 7B46

Unverschlüsselte E-Mails | Unencrypted E-Mail

Wenn Sie mir unverschlüsselte E-Mails (elektronische Postkarten) schicken, stimmen Sie automatisch zu, dass ich den Inhalt journalistisch verwende und eventuell publiziere. Regenzauber und magische Beschwörungen à la „diese E-Mail enthält vertrauliche oder rechtlich geschützte Informationen“ sind juristisch unwirksam, sinnlos und werden von mir ignoriert.

Bitte senden Sie E-Mails im Textformat (HTML-E-Mails werden von meiner Software nicht als solche angezeigt). Schicken Sie keine Word-Attachments.
Do not send HTML e-mails, I prefer plain text. Do not send Word-Attachments.

(…) For anonymous e-mail use Tor Browser Bundle and the contact form above.

Juni 17, 2013 | Kategorie About this Blog, Hausmitteilung, Privacy | 2 Kommentare

Internationaler Terrorismus

„EU commissioner says she has assurances that only those suspected of links to terrorism or cybercrime were targeted“, schreibt der Guardian. In meiner Stasi-Akte stand übrigens schon in den 80-er Jahren der Eintrag „Internationaler Terrorismus“, warum auch immer. Ich bin halt viel gereist in Länder, in denen irgendwann Revolutionen stattgefunden hatten.

Ich wäre beleidigt, wenn ich nicht beobachtet würde. Immerhin habe ich einige Male zustimmend Karl Marx zitiert. Das sollte doch reichen.

Juni 17, 2013 | Kategorie Internet and Computer, Politics, Privacy | 4 Kommentare

Zugriff auf Internet-Festplatten, revisited

Privacy wallpaper is licensed under a Creative Commons Attribution-NonCommercial 3.0 Germany License.

Bundesinnenminister [bitte selbst ausfüllen] und die Gewerkschaft der Polizei (GdP) drängen auf eine verstärkte Inspektion der Kommunikationsströme im Internet, um online vorangetriebene Terrorplanungen und Hetzpropaganda zu verhindern. „Wir müssen die Kontrolle des Internets verstärken. Dafür brauchen wir mehr Experten mit entsprechenden Sprachkenntnissen“, sagte [bitte selbst ausfüllen] „Das Internet bekommt eine immer zentralere Bedeutung für die Kommunikation“, pflichtete der GdP-Vorsitzende [bitte selbst ausfüllen] dem Politiker bei. Wie die verschärfte Internet-Überwachung konkret aussehen soll, ließen die Vertreter der Bundesregierung und der Polizei offen.

In [irgendein Bundesland] soll [irgendein Inlands-Geheimdienst] mit der Kontrolle von Internet-Festplatten auch inländische Terrorzellen aufspüren dürfen. Das sagte Innenminister [bitte selbst ausfüllen] der „[bitte selbst ausfüllen]“. „Zu dieser offensiven Internetbeobachtung gehört neben der Beobachtung von Homepages auch das Lesen von e-mails auf Festplatten.“

Dabei soll [irgendein Inlands-Geheimdienst] aber auch auf Rechner von mutmaßlichen Terroristen über das Internet zugreifen können, die Rede ist vom Zugriff auf ‘Internet-Festplatten’ (…) Konkret heißt es in der Gesetzesvorlage, dass [irgendein Inlands-Geheimdienst] folgende Maßnahmen anwenden darf: ‘heimliches Beobachten und sonstiges Aufklären des Internets, wie insbesondere die verdeckte Teilnahme an seinen Kommunikationseinrichtungen beziehungsweise die Suche nach ihnen sowie der heimliche Zugriff auf informationstechnische Systeme auch mit Einsatz technischer Mittel.’

Der Haushaltsausschuss des Bundestags hat [bitte selbst ausfüllen] am [bitte selbst ausfüllen] grünes Licht für das umstrittene Programm zur Stärkung der Inneren Sicherheit gegeben. Ausgerüstet mit insgesamt 132 Millionen Euro will [bitte selbst ausfüllen] nun etwa terroristische Bestrebungen durch eine schärfere Überwachung von Online-Foren besser bekämpfen.

Mit dem ‚Technikaufwuchsprogramm‘ will der [irgendein Inlands-Geheimdienst] nach Informationen des SPIEGEL deutlich stärker als bislang das Internet überwachen. 100 Millionen Euro kostet das Programm.

Der Computerbenutzer merkt nichts von der Ausspähung. Trojaner nutzen Sicherheitslücken, die nur mit großer Sachkenntnis gestopft werden können. „Der Privatnutzer kann sich dagegen kaum schützen“, sagt Constanze Kurz, Sprecherin des Chaos Computer Clubs, einer Lobby-Organisation, die für möglichst wenig staatliche Überwachung im Internet eintritt.

Juni 16, 2013 | Kategorie Die Online-Durchsuchung, Internet and Computer, Media, Politics, Privacy, Zitate, die man sich merken sollte | 2 Kommentare

Privacy bei Facebook und Google

facebook

Juni 15, 2013 | Kategorie Internet and Computer, Privacy | 4 Kommentare

Less useful, less profitable and less fun

Ich habe hier gestern eine E-Mail hereinbekommen vom Chefredakteur einer der größten deutschen Zeitungen: Man verschlüssele keine E-Mails, weil „inzwischen alle Sicherungssysteme geknackt werden können, wie der einschlägigen Presse zu entnehmen ist“. (Demnächst mehr zu diesem Thema in einem Artikel.)

Man kann sich kaum vorstellen, wie wenig deutsche Journalisten über das Thema wissen. Offenbar entspricht der Kenntnisstand dem der Hollywood-Filme aus den 80-er Jahren.

Die Washington Post fragt: „NSA-proof encryption exists. Why doesn’t anyone use it? Computer programmers believe they know how to build cryptographic systems that are impossible for anyone, even the U.S. government, to crack. So why can the NSA read your e-mail?“

Das ist natürlich eine rhetorische Frage, weil die NSA eine richtig verschlüsselte E-Mail eben nicht lesen kann. Ein einleuchtendes Argument, warum kaum jemand sicher kommuniziert: „Adding strong encryption to the most popular Internet products would make them less useful, less profitable and less fun. Mainstream communications tools are more user-friendly than their cryptographically secure competitors“.

Quod erat demonstrandum: Der Mainstream möchte es bequem, Kapitalismus-kompatibel (der arme Bill Gates, Kaspersky und andere Schlangenöl-Vertreiber müssen ja auch von etwas leben), lustig und klickibunti.

Juni 15, 2013 | Kategorie Internet and Computer, Privacy | 6 Kommentare

Virtual Private Network (VPN)

Vielleicht haben sich die medienkompetenten Leserinnen und Internet-affinen Leser schon einmal mit VPN befasst. So etwas braucht man zum Beispiel in China, um die Zensur zu umgehen und um unerkannt zu surfen.

Ruft der Computer zum Beispiel eine Webseite auf, so wird die Anfrage nun aus dem neu zugeordneten Netz heraus in das Internet geleitet. Die Anfrage unterliegt so den Restriktionen des zugeordneten Netzes und nicht mehr denen des ursprünglichen Netzes. Das nutzen zum Beispiel Journalisten in Ländern, in denen der freie Zugriff auf das Internet nicht möglich ist, um die Zugriffsbeschränkung zu umgehen. Die einzige Voraussetzung besteht darin, dass der Computer aus seinem ursprünglichen Netz heraus eine Verbindung zum VPN-Gateway aufbauen kann. Das VPN-Gateway befindet sich hierfür in der Regel in einem anderen Land bzw. einem Netz mit freiem Internetzugang. Man spricht davon, dass die Internetanfragen (wie auch sämtliche weitere Netzwerkanfragen) über VPN getunnelt werden.

Auf den einschlägigen Websites sind viele Links veraltet, deswegen habe ich mich mal umgesehen: CyberGhost VPN scheint eine akzeptable Lösung zu sein, zumal man dort für ein begrenzten Datenvolumen auch einen kostenlosen Account einrichten kann. (Nachteil: Man kann sich die Server nicht aussuchen.) Wer die aggressive Werbung, doch einen Premium-Account zukaufen, einfach ignoriert, ist gut bedient.

Um einer Neuauflage der Vorratsdatenspeicherung zuvorzukommen und „rechtliche Auseinandersetzungen im Spannungsfeld zwischen Strafverfolgung und Bürgerrechten“ zu vermeiden, ist das neue Betreiberunternehmen CyberGhost S.R.L. nun in Rumänien ansässig.

Mal sehen, wie lange das gut geht…

Juni 15, 2013 | Kategorie Internet and Computer, Privacy | 7 Kommentare

How much annoyance will you tolerate?

Arstechnica: „Encrypted e-mail: How much annoyance will you tolerate to keep the NSA away?“

Juni 14, 2013 | Kategorie Links I Like, Privacy | 7 Kommentare

Das 762ste Argument gegen so genannte „Anti-Viren“-Software

Bloomberg: „Intel Corp. (INTC)’s McAfee unit, which makes Internet security software, regularly cooperates with the NSA, FBI and the CIA, for example, and is a valuable partner because of its broad view of malicious Internet traffic, including espionage operations by foreign powers, according to one of the four people, who is familiar with the arrangement.“

Juni 14, 2013 | Kategorie Internet and Computer, Privacy | Kommentieren

Whistleblower need the proper software

DFI News: „According to recent articles in The New York Times and The Huffington Post, Greenwald first heard from National Security Agency (NSA) whistleblower Edward Snowden in either January or February. Snowden said he had information that would be of ‚great interest‘ and said he wanted to communicate securely using PGP encryption.“

Noch mal zu Mitschreiben: Der Whistleblower wollte mit Glenn Greenwald vom Guardian kommunizieren, aber nur verschlüsselt. „Snowden only wanted to communicate securely using PGP encryption, for which Greenwald didn’t have the proper software installed at the time.“

Klar. Nun fragen wir uns, welche deutschen Journalisten denn „the proper software“ installiert haben?

Juni 14, 2013 | Kategorie Internet and Computer, Privacy | 2 Kommentare

The reason that most people do not use crypto

Source: Mailinglist lists.gnupg.org/pipermail/gnupg-users/

On Sun, Jun 09, 2013 at 11:52:32PM -0400, Robert J. Hansen wrote:
The reason that most people do not use crypto is the most trivial one: They don’t think they need it.

On 6/9/2013 11:14 PM, Hauke Laging wrote:
This is not supported by the studies. Many people who do not use crypto openly acknowledge that maybe they „should“, in a vague „I really should eat more salads and less meat“ sense. However, they see the risks to themselves as diffuse and distant, and the consequences mild. If you’re a political campaign worker and you send an unencrypted email of your contact list, and it gets intercepted by the other side, your screw-up has done enormous damage to your candidate… but you, yourself, will likely never face any real punishment for it.

So, „think I need it“ is a continuous variable. Many people think they need it, sort of, in a small way, but think they don’t need it enough to pay the cost of learning to use it.

Provided that potential user X understands his position, the threats to it, and his values w.r.t. [with regard to] those, he may be drawing a reasonable conclusion against which I would not argue.

People don’t need to encrypt their grocery lists, except in the sense that it’s easier to always do something potentially useful than to make a decision each time. The CIA does not care that I send myself a reminder to get a book on software testing; this is noise, for their purpose, and they’d rather not handle it. Identity thieves do not care to know that I fed the dog this morning, though my wife does. Occasions when I find myself thinking, „I’d better guard this information“ are exceedingly rare.

But that points at the real cost of crypto: you have to think about it. There is no escape; you have to think deeply about slippery things like identity and trust and threat models, and then you have to apply your resulting policies a hundred times a day. Software can relieve large parts of the latter burden; it can do nothing about the former, which is the hardest part.

Mark H. Wood, Lead System Programmer mwood@IUPUI.Edu
Machines should not be friendly. Machines should be obedient.

Juni 12, 2013 | Kategorie Internet and Computer, Privacy | 2 Kommentare