... für Rechtsanwälte

und solche, die es werden wollen.

https://privatsphaere-leizig.org/
@privacy_leipzig
@CryptoPartyLE

Dozent: Rainer R.

Let’s have a party!

  1. Einführung
  2. Warum digitale Selbstverteidigung?
  3. Grenzen von Verschlüsselung und IT-Sicherheitssystemen
  4. E-Mail und Asymmetrische Verschlüsselung
  5. E-Mail-Verschlüsselung mit GnuGP, Thunderbird und Enigmail
  6. Schlüsselmanagement und Vertrauen

Let’s start a party!

Das Bündnis Privatsphäre Leipzig e. V. ist eine überparteiliche Bürgerinitiative mit dem Ziel, Überwachung, Rechtsstaatlichkeit und Demokratie in einem breiten öffentlichen Diskurs zu thematisieren.

Monatliche Meetups

Monatliches Meetup (Stammtisch) immer am letzten Donnerstag des Monats ab 19 Uhr

  • 29. 11. 2018 – Greensoul
  • 27. 12. 2018 – TBA → 35c3
  • 24. 01. 2019 – Café Telegraph
  • 21. 02. 2019 – Süß & Salzig
  • 28. 03. 2019 – Hotel Seeblick
  • 25. 04. 2019 – Café Maître
CryptoParty is a decentralized, global initiative to introduce the most basic cryptography programs and the fundamental concepts of their operation to the general public.

Wir verstehen Cyptoparties als Vermittlung von Wissen zur „Digitale Selbstverteidigung“.

CryptoParty Season 2/2018 (Herbst/Winter) in der naTo

  • 10. September 2018 – Beobachte mich nicht - Teil 1, HTTPS, Tracking, Browser-Addons;
  • 22. Oktober 2018 – Beobachte mich nicht - Teil 2, Anonymisierung mit Tor und VPNs, Passwörter und Passwort Manager
  • 12. November 2018 – Das können wir selber – Alternative Soziale Netzwerke, Self Hosting (TBC)

CryptoParty Season 2/2018 (Herbst/Winter) in der naTo

  • 03. Dezember 2018 – Wir unterhalten uns privat – Crypto-Messenger Apps für Mobilgeräte (TBC)
  • 07. Januar 2019 –Der elektronische Briefumschlag – E-Mail-Verschlüsselung, asynchrone Verschlüsselung (TBC)
  • 25.02.2019 – Thema: Clouldsysteme und Backups (TBC).
  • März 2019 (TBD) – Datei- und Festplattenverschlüsselung (TBD).

Weitere Projekte (z. T. in Planung):

  • Lesungen für Privatsphäre (z. B. zum Safer Internet Day)
  • Teilnahme an den Kritischen Einführungswochen (KEW) an der Uni Leipzig
  • CryptoParties für Schüler*innen, Journalist*innen, Jurist*innen, Student*innen
  • Teilnahme an Podiumsdiskussionen, Interviewprojekten
  • Podcast zu Datenschutz und Datensicherheit

Digitale Selbstverteidigung

»Wenn wir nichts Falsches tun, dann haben wir das Recht, alles in unserer Macht Stehende zu unternehmen, um das traditionelle Gleichgewicht zwischen uns und der lauschenden Macht aufrechtzuerhalten.«
Eben Moglen, »Privacy under attack: The NSA files revealed new threats to democracy«, Guardian (27. Mai 2014)

Digitale Selbstverteidigung

Was ist digitale Selbstverteidigung?

  • Metapher: Digitale Hygiene, Datenhygiene
  • Versuch des Empowerments: das Recht auf informationelle Selbstbestimmung (= Grundrecht) im digitalen Zeitalter wahrzunehmen
  • Aufruf zur Selbstbestimmung durch Teilrestauration gegen den neuen Kontrollverlust von Privatheit

Digitale Selbstverteidigung

Metaphern

Digitale Selbstverteidigung

Digitale Selbstverteidigung als Aufklärungsmodell

Digitale Selbstverteidigung

around by Jems Mayor from the Noun Project Invisible by Viktor Vorobyev from the Noun Project Guy Fawkes Mask by Henry Ryder from the Noun Project
Überwachung a) vermeiden, b) blockieren, c) verfälschen (Bruce Schneier, Data vs Goliath)

Digitale Selbstverteidigung

Prinzipien und Praxisformen

Prinzip Praxisformen
Überwachung vermeiden Selbstdatenschutz
Überwachung blockieren Selbstdatenschutz, Transportverschlüsselung, Ende-zu-Ende-Verschlüsselung
Überwachung verfälschen Verschleierung, Transportverschlüsselung, Ende-zu-Ende-Verschlüsselung

Motive/Anlass für Digitale Selbstverteidigung

Surveillance by Datacrafted from the Noun Project Surveillance by Luis Prado from the Noun Project
Datensammlungen a) staatlicher Akteure, b) privater Akteure

Herausforderungen

economy by priyanka from the Noun Project Society by David García from the Noun Project
ökonomische und gesellschafts-politische Herausforderungen

Überwachung, Disziplin und Kontrolle (Focault/Deleuze/Han)

Datengetriebene Gesellschaft

Praktische Möglichkeiten

  • Daten-Hygiene einüben: immer wieder CryptoParties besuchen und weiterempfehlen
  • mit Freunden und Familie über Digitalisierung und Privatsphäre diskutieren
  • sich bei Apps und Sozialen Diensten über deren Datensammlung informieren, ggf. Alternativen verwenden

Aktiv werden

Mitmachen!

  • Mitstreiter*Innen und Unterstützer*Innen im Bündnis sind herzlich willkommen!
  • Spenden für OpenSource-Projekte (z. B. GnuPG, Linux, Mozilla, etc.)

Literatur- und TV-Empfehlungen

Fazit

Wendet sich gegen Massenüberwachung

Grenzen digitaler Selbstverteidigung

Verschlüsselung funktioniert. Richtig implementierte, starke Crypto-Systeme sind eines der wenigen Dinge, auf die man sich verlassen kann.

Verschlüsselung funktioniert

  • gute Nachricht weil Verschlüsselung – nahezu immer – Grundlage digitaler Selbstverteidigung ist
  • aber:
    • richtige Implementierung -> setzt deren Überprüfbarkeit voraus -> OpenSource
    • starke Crypto-Systeme -> standardisierte, aktuelle und öffentlich überprüfte Verfahren und Algorithmen
  • Also quelloffene, empfohlene Lösungen im eigenen Alltag einsetzen und alles ist gut?

Verschlüsselung umgehen

Verschlüsselung schwächen

Schief gegangen

Beispiele von Sicherheitsbrüchen

Grenzen ausloten

Risikoanalyse an Hand von Bedrohungsmodellen

Bedrohungsmodelle:

  • beschreiben Möglichkeiten von Angriffen und decken Verhaltensweisen oder Übertragungswege und -formen auf, die mit Risiken verbunden sein können
  • helfen Grenzen und Möglichkeiten von technischen Lösungen wie Ende-zu-Ende-Verschlüsselung oder Transportverschlüsselung besser einzuschätzen und eigenes Verhalten anzupassen.

Bedrohungsmodell

Übersicht

schützenswerte Güter

Was möchte ich schützen?

  • Passwörter
  • Geld
  • Dateien (private Fotos, Videos, Dokument, etc.)
  • Chats, Unterhaltungen, Korrespondenzen
  • Metadaten
  • private Geheimnisse, Betriebsgeheimnisse

Angreifer

Vor wem möchte ich es schützen?

  • Nachrichtendienste mittels Massenüberwachung (NSA, GCHQ, BND)
  • (neugierige) Kolleg*Innen, Nachbar*Innen, Eltern, Schulkamerad*Innen usw.
  • (neugierige) Sicherheitsbehörden (BKA, Verfassungsschutz, Polizei)
  • Diebe, kriminelle Elemente
  • Unternehmen die Dienste anbieten um Profilbildung für Werbeeinnahmen zu betreiben

Risiken bei Schutzversagen

Was sind die Konsequenzen, wenn der Schutz versagt?

  • Identitätsdiebstahl: Hacker/Script-Kiddie übernimmt Facebook-Account
  • Autonomieverlust:
    • Werbeanbieter liest und analysiert meine Daten
    • Anbieter filtert oder liest Tweets, Facebook-Nachrichten, E-Books etc.
  • Übernahme/Verlust des Geräts: Smartphone, Laptop, Tablet, E-Book-Reader
  • Datenverlust: Messenger-App, welche es erlaubt übermittelte Bildnachrichten abzugreifen

Angriffspotentiale

Welche Angriffswege könnten genutzt werden?

  • physischer Gerätezugriff Familienangehöriger installiert Überwachungssoftware auf meinem Gerät
  • Zugriff auf den Transportweg der Daten Angreifer*In könnte das LAN/WLAN ausspionieren
  • Phishing/Trojaner, Manipulation des Endpunktes der Kommunikation Angreifer*In könnte eine Website gefälscht haben
  • Manipulation des Systems/von Anwendungen Angreifer*In nutzt Sicherheitslücken im System/ Applikationen

Die W-Fragen

Schutzintressen und -rahmen ermitteln

  • Was möchte ich schützen?
  • Vor wem möchte ich es schützen?
  • Was sind die Konsequenzen, wenn der Schutz versagt?
  • Welche Angriffswege könnten genutzt werden?
  • Wie wahrscheinlich ist die Notwendigkeit es schützen zu müssen?
  • Wie viel Aufwand und Umstände möchte ich in Kauf nehmen und worauf möchte ich verzichten, um es zu schützen?

Fazit

Bedrohungsmodelle als Mittel zur Selbstermächtigung

  • Bedrohungsmodelle unterstützen bei der Abwägung von Risiken in Bezug auf Datensicherheit und -schutz
  • Bedrohungsmodelle identifizieren schützenswerte Güter (Assets), Angreifer*Innen, Risiken und Angriffspotentiale
  • Identifizierte Bedrohungen können besser eingeschätzt werden (Entscheidung für oder gegen Maßnahmen)
  • Rationalisierung: Kosten-Nutzen-Abwägung (zu einem bestimmten Grad)

Grenzen erweitern

Grundregeln und Maßnahmen

  • Update, Updates, Updates
  • Backups, Backups, Backups
  • Virenscanner (+/-)
  • Verschlüsselung/Verschleierung
  • Unplugged: Sensible Daten auf System ohne Netzzugang aufbewahren und verschlüsseln

Grenzen von E-Mail-Verschlüsselung mit GPG

Grenzen von E-Mail-Verschlüsselung mit GPG

Why is GPG "damn near unusable"? An overview of usable security research

Exkurs

Smartphones und Handys

Wie E-Mail funktioniert

Wie wir denken, dass E-Mail funktioniert

Wie E-Mail funktioniert

Verbindung zum Server über STARTTLS absichern!

Asymmetrische Verschlüsslung

Auf der Suche nach der verlorenen Metapher

Asymmetrische Verschlüsslung

Prinzipien (I)

Asymmetrische Verschlüsslung

Prinzipien (II)

Asymmetrische Verschlüsslung

Prinzipien (III)

Asymmetrische Verschlüsslung

Prinzipien (IV)

Asymmetrische Verschlüsselung

The Who is Who

  • Alice: Sender / Sender
  • Bob: Empfänger / Sender
  • Eve: Böse Lauscher*In (evaesdropper)
  • Mallory: Böse*r Angreifer*In

Asymmetrische Verschlüsslung

Prinzipien (V)

Asymmetrische Verschlüsslung

Prinzipien (VI)

Asymmetrische Verschlüsslung

Verfahren (Auswahl)

  • Diffie-Hellmann-Key-Exchange
  • RSA
  • Ellitipsche Kurven

Asymmetrische Verschlüsslung

Fazit

  • ein öffentlicher Schlüssel: kann beliebig oft verteilt werden
  • ein geheimer Schlüssel
  • basiert auf derzeit mathematisch schwer lösbaren Problemen
  • Bonustrack: The Adventures of Alice & Bob

E-Mail Verschlüsselung

mit GPG/PGP

Was ist GPG/PGP

  • PGP
    • Pretty Good Privacy
    • das Original
    • kommerziell vermarktetes Programm
    • Prinzip das heute jeder nutzt
  • GPG
    • Gnu Privacy Guard
    • freie Weiterentwicklung von PGP
    • Programm das heute jeder nutzt

Installation

Thunderbird, GPG, enigmail

GPG und Mobilgeräte

Installation

Enigmail
  • Add-On für Thunderbird
  • Menü → Add-Ons → Enigmail suchen und installieren
  • Thunderbird neu starten
  • Rechtsklick auf Mailadresse → OpenPGP-Sicherheit → OpenPGP-Unterstützung aktivieren → Standard-Einstellungen anpassen

PGP-Schlüssel

generell

  • klare Zuordnung Schlüssel–Besitzer, mindestens in Form der E-Mail Adresse
  • keine plausible Bestreitbarkeit/Verneinbarkeit bei Einsatz eines Schlüssels

Schlüssel-Generierung I

  • Menü → Enigmail → Schlüssel verwalten
  • Erzeugen → Neues Schlüsselpaar

Schlüssel-Generierung II

  • Benutzererkennung: Mailadresse mit der der Schlüssel verknüpft wird (Mehrfachverknüpfungen möglich)
  • Haken bei Schlüssel zum Unterschreiben verwenden setzen um Singnierfunktion zu verwenden
  • sichere Passphrase eingeben
  • Kommentar zum Schlüssel: für andere Einsehbar → Eindeutige Identifizierung
  • Ablaufzeit: Benutzbarkeit vs. Komfort
  • Erweitert: Schlüsselstärke 4096; Algorithmus RSA
  • Schlüsselpaar erzeugen
  • Widerrufszertifikat erzeugen und gut sichern

Widerrufszertifikat

Wofür?

  • im Zusammenhang mit der Verwendung von Key-Servern
  • bei Verlust/Kompromittierung des geheimen Schlüssels für dessen Widerruf
  • wenn der Schlüssel ungültig gemacht werden soll, z. B. weil man einen stärkeren einsetzen will (größer/länger, andere Standards, z. B. elliptische Kurven in Zukunft)

 

WICHTIG: Separates Backup unabhängig vom Arbeitssystem anlegen!

Schlüsselmanagement und
Vertrauen

Warum?

  • Austausch von verschlüsselten Nachrichten erst nach Austausch von Schlüsseln möglich
  • wichtig/sinnvoll für Backup und/oder Einsatz auf mehreren Geräten/Systemen

 

Wie?

Import/Export in den/vom Keyring von/in Dateien

  • Kopien werden angelegt, Schlüssel bleibt im Bund erhalten beim Export und als Datei beim Import
  • bevorzugte Dateiendung für Schlüsseldateien .asc

Die Vertrauensfrage

Authentifizierung/Trust

 

öffentliche Schlüssel müssen grundsätzlich vor Einsatz überprüft werden, spätestens nach dem Import in den Schlüsselbund (Keyring)

  • kurz/lange ID sind unzureichend → mögliche Kollisionen
  • Fingerprint über einen sicheren Kanal austauschen (z. B. telefonisch oder persönlich) und überprüfen
  • nur Schlüsseln vertrauen, die man überprüft hat
  • Hilfskonstruktion: veröffentlichte Fingerprints von Websites mit dem Fingerprint des entsprechenden Schlüssels vergleichen

Schlüsselmanagement I

 

Verbreiten automatisiert als E-Mailanhang

  • Account markieren → Bearbeiten → Eigenschaften → im Profil OpenPGP-Sicherheit auswählen → Erweitert … aufrufen → Öffentlichen Schlüssel an Nachricht anhängen aktivieren

Schlüsselmanagement II

 

händischer E-Mailanhang

  • Im Menü Enigmail → Schlüssel verwalten aufrufen → Schlüssel auswählen/markieren → Über Datei → Öffentlichen Schlüssel per E-Mail senden → neue Nachricht zum Verfassen öffnen → Schlüssel erscheint unter „Anhänge“ als Datei (Schlüsselkurz-ID.asc)

  • neu Nachricht verfassen aufrufen → im enigmail-Menue „Meinen öffentlichen Schlüssel anhängen“ auswählen → Schlüssel erscheint unter „Anhänge“ als Datei (Schlüsselkurz-ID.asc), aber erste unmittelbar vor dem Absenden

Schlüsselmanagement III

 

Export auf Stick/Speichermedium

  • Im Menü Enigmail → Schlüssel verwalten aufrufen → Schlüssel auswählen/markieren → Über Menü Datei > Exportieren wählen → Nachfrage mit „Nur öffentlichen Schlüssel exportieren” beantworten → Speichermedium/Speicherort auswählen und den Export bestätigen, ggf. vorher Dateiname anpassen

Schlüsselmanagement IV

 

Import

  • vom Speichermedium
    • Im Menü Enigmail → Schlüssel verwalten aufrufen → Über Menü Datei > Importieren wählen → zum Speichermedium/Speicherort navigieren → Schlüsseldatei auswählen und den Import bestätigen
    • funktioniert für private und öffentliche Schlüssel

  • vom Mailanhang
    • Anhang doppelklicken

Schlüsselmanagement V

Key-Server

  • Server auf denen öffentliche Schlüssel in Datenbanken abgelegt werden, so das sie für alle andern im Netz auffindbar sind
  • wenn man sie einsetzt/damit arbeitet → Pools von Servern verwenden (weniger fehleranfällig als Einzelserver), Interface: https://sks-keyservers.net/
  • Datenbank ist durchsuchbar nach allen Informationen, die mit dem Schlüssel verknüpft sind:
    • Name, E-Mail-Adresse, Schlüssel-IDs (kurz, lang), Fingerprints

Schlüsselmanagement VI

Key-Server und Enigmail

  • enigmail erlaubt die Konfiguration von Key-Servern zum automatischen Abgleich nach E-Mail-Adressen
  • Im Menü Enigmal → Einstellungen aufrufen → Schlüsselserver auswählen → unter Schlüsselserver eintragen: pool.sks-keyservers.net
  • unter Schlüssel zu Signatur-Überprüfung eintragen:
    • https://sks-keyservers.net/sks-keyservers.netCA.pem

  • Details zur Einstellung für GnuPG generell (Datei gpg.conf) siehe https://help.riseup.net/en/security/message-security/openpgp/best-practices

Vielen Dank!