Materialien

Hier ist der Link zu unserer Präsentation. (Download: Zip-Archiv )

Überwachungskapitalismus

Die zunehmende Zahl datengetriebener Geschäftsprozesse und die lückenlose Vernetzung und Überwachung des Alltags haben dazu geführt, dass einige Menschen Daten als neue Ressource des 21. Jahrhunderts mit dem Rohstoff Öl vergleichen.

Unabhängig davon, was von diesem Vergleich zu halten ist, bleibt die Frage, ob Big-Data-Geschäftsmodelle mit speziellen oder spezialisierten Verwertungs- und Kommerzialisierungslogiken einhergehen.

Diese Frage ist insbesondere im Hinblick auf Konsequenzen für Grundrechtsfragen von Belang und betrifft das Recht auf Privatheit – gültig auch im digitalen Zeitalter – sowie im weiteren Sinne auch dem Konzept des Datenschutzes europäischer Prägung.

Die Ökonomin Shoshana Zuboff prägte in ihrem Essay Big Other: Surveillance Capitalism and the Prospects of an Information Civilization erstmal den Begriff des Überwachungskaptialismus. Das Essay stellt einen Versuch dar, die ökonomischen Logiken hinter dem Geschäftsmodell Big-Data näher zu beschreiben.

Ziel von Überwachungskapitalisten soll nicht nur Marktkontrolle durch den Ausbau von Marktvorherrschaft (Hegemonie) sein, sondern auch die Manipulation menschlichen Verhaltens zur Steuerung des Konsums. Überwachungskapitalismus beschreibt insofern den Zustand der Kommerzialisierung aller Bewegungen des täglichen Lebens.

Unter dem Begriff nudging, in der Verhaltensökonomie diskutiert, werden all jene Versuche zusammengefasst, Verhalten von Menschen auf sanfte Weise zu beeinflussen. Die Manipulation soll dabei möglichst als freiwillig und für die Manipulierten als nutzenstiftend erlebt werden. Nudging kann auf Ergebnisse von Big-Data-Analysis aufgebaut werden, auch als Big Nudging beschrieben, und findet etwa bei Experimenten sozialer Netzwerke Anwendung.

Bedrohungsmodelle (threat models)

Bedrohungsmodelle ermöglichen die Einschätzung von Risiken, die durch die Nutzung digitalisierter Kommunikation entstehen können. Sie beschreiben Möglichkeiten von Angriffen und decken Verhaltensweisen oder Übertragungswege und -formen auf, die mit Risiken verbunden sein können. Dieses Wissen kann eine Hilfe sein, um die Grenzen und Möglichkeiten von technischen Lösungen wie Ende-zu-Ende-Verschlüsselung oder Transportverschlüsselung für den jeweilige Anwendungsfall besser einzuschätzen und eigenes Verhalten entsprechend anzupassen.

Die Folien zu dem Vortrag What the Hell is Threat Modelling Anyway? sind eine Einführung in die Konzeptualisierung von Risiken, die mit der Verwendung digitaler Kommunikationsmittel einhergehen.

Anonymisierungs-/Pseudonomisierungsnetzwerk Tor

Tor gilt als das bekannteste Anonymisierungsnetzwerk. Ziel von Tor ist die Verschleierung von Datenspuren und Metadaten, die etwa beim Surfen im Internet anfallen. Technisch realisiert wird dies über das sog. Onion-Routing bei welchem der Datenverkehr ständig über verschiedene, zufällige Teilnehmer im Tornetzwerk geleitet wird (3 hops). Aufgrund dieses Aufwands eignet sich Tor nicht für die Übermittlung großer Datenmengen, die etwa beim Streaming von Medieninhalten oder Spielen anfallen. Auch die Nutzung des Bittorent-Protokolls zum Austausch von Daten führt mit Tor dazu, dass Nutzer enttarnt werden können. Theoretisch wird die Verfolgung des Netzwerkers dadurch erschwert. Jüngere Untersuchungen zeigen allerdings, dass statistische Analyseverfahren zur Deanonymisierung einzelner Teilnehmer des Tor-Netzwerkes leider immer besser geworden sind.

Nachrichtendienste betreiben zudem hohen Aufwand um Teile des Tornetzes, insbesondere die sog. Relays zu infiltrieren bzw. eigene Relays in das Tornetzwerk einzubringen, um Teilnehmer zu enttarnen.

Das Tor-Browser-Bundle ist ein gehärteter Firefox-Browser, der speziell für das Surfen mit Tor entwickelt und vorkonfiguriert wird. Trotzdem hat z. B. das FBI in Kooperation mit bösartigen Relays speziell Nutzer des Tor-Browser-Bundles enttarnt.

Es wird empfohlen, Tor in Verbindung mit dem frei verfügbaren Tails-Linux einzusetzen, das ein für das anonyme Surfen angepasstes Betriebssystem darstellt.

Die Vermeidung von Metadaten und die Verhinderung der Enttarnung ist auch mit Tor an einige Voraussetzungen gekoppelt, die Auswirkungen auf das eigene Nutzerverhalten haben müssen, um Schutz zu gewährleisten.

Das Whonix Projeckt hat eine Reihe von Ratschlägen von Dingen, die man nicht tun sollte, zusammengestellt.

Festplattenverschlüsselung

VeraCrypt ist eine Verschlüsselungssoftware, die für mehrere Betriebssysteme zur Verfügung steht. Glaubhafte Abstreitbarkeit (plausible deniability) der Existenz von versteckten Betriebssystemen und Laufwerken (Hidden Volumes) ist ein spezielles Feature, dass vergleichsweise intuitiv zur Verfügung steht.

Erfeulicherweise unterstützt die aktuelle Version von VeraCrypt nun auch die Betriebssystemverschlüsselung bei UEFI-Startumgebungen mit GPT-Platten für 64-bit-Ausgaben ab Windows 8.1.

Bitlocker als Microsoft eigenes Festplattenverschlüsselungsprogramm unterstützt GPT-Festplatten. Allerdings müssen AnwenderInnen – wie bei allen Closed Source Programmen – in die korrekte, hintertürenfreie Implementierung der Software vertrauen, ohne das überprüfen zu können. Aktuell kann nicht ausgeschlossen werden, dass Bitlocker Hintertüren enthält. Ferner ist die Entfernung eines Verschlüsselungs-Features (Hintergrund) durch Microsoft bisher nicht plausibel begründet worden und hat Sicherheitsexperten dazu bewogen, Bitlocker nicht länger für die Verschüsselung von Windowssystemen zu empfehlen.

Linux Nutzer können mit etwas Aufwand die Kernel-basierte Verschlüsselung (dm-crypt/cryptsetup/LUKS) einsetzen um glaubhafte Abstreitbarkeit zu implementieren. Nutzer von Solid State Drives (SSDs) müssen allerdings erwägen, ob sie für Nutzung dieses Feature die Deaktiverung des discard/TIRM Features in Kauf nehmen können.

Unter Linux steht mit dm-crypt in Verbindung LUKS (Unter Verwedung von cryptsetup) ein leistungsfähiges und performantes Verschlüsselungssystem zur Verfügung, dass direkt in das Betriebsystem-Kernel integriert wurde. Es lassen sich hiermit allerdings keine Datei-Container erzeugen. Tutorials für die Verschlüsslung mit dm-crypt finden sich für u. a. für Ubuntu, Mint, ArchLinux, Gentoo, Fedora und OpenSUSE. Bei der Einrichtung einer Komplettverschlüsselung und insbesondere bei der Verwendung von SolidState-Drives (SSDs) sollte darauf geachtet werden, dass die Daten beim Ruhezustand (Hibernate) auf die Platte geschrieben werden (Supend to Disk).

Unter MacOSX steht neben VeraCrypt das von Apple bereitgestellte und nicht-quelloffene FileVault2 zur Verfügung. Im Gegensatz zur Vorgängerversion ist die Implementierung aus Sicherheitsapekten deutlich verbessert worden. Eine Hintertür kann – wie bei allen nicht-quelloffenen Cryptosystemen – allerdings nicht ausgeschlossen werden.

Für BSD-System steht geli für die Festplatten- und Container-Verschlüsselung zur Verfügung.

Passwörter und Passwort-Manager

Von Passwort Managern die Passwörter in der Cloud ablegen raten wir ab. Wer auf die Cloud nicht verzichten kann sollte eine auf eigenen Gerät verschüsselte Passwort Manager Datei (in der Regel eine verschlüsselte Datenbank) mit der Cloud seiner Wahl synchronisieren. Um das Risiko von Hintertüren in der Software zu reduzieren, empfehlen wir unbedingt auf quelloffene Password Manager zu setzen.

KeePass: Offizielle Website des Projektes (englisch) mit Hilfeseiten, Dokumentation und Forum. Der Quellcode findet sich auf der Download-Seite.

MacPass (MacOSX/macOS): Offizelle Webseite des Projektes (englisch). Quellcode bei Github.

KeepassX (Linux): Offizielle Website des Projektes (englisch) mit Dokumentation, Forum und Quellcode.

KeeWeb: Offizelle Website des Projektes (englisch).

PasswortSafe: Offizielle Website des Projektes (englisch) mit Dokumentation und Quellcode; empfohlen durch die Website prism-break.org, die Software-Empfehlungen – vorzugsweise aus quelloffenen Projekten – nach verschiedenen Einsatzgebieten aufführt.

Strategien für gute Passwörter:
Wikipedia, Stichwort Passwort
Empfehlung des Bundesamts für Sicherheit in der Informationstechnik

Diceware™ ist eine Methode eine Passwort oder eine Kombination von Passwörtern (Passpharse) unter Einsatz eines Würfels zu erzeugen. Dafür gibt es Wörterbuchlisten. Es wird empfohlen entweder einen hochwertigen Würfel (z. B. Casino-Würfel) oder Software einzusetzen, die einen kryptographisch sicherer Zufallszahlengenerator einsetzt. Nach aktuellem Stand gilt eine Passphrase, die auf diese Weise erzeugt wurde mit 8 Wörtern (80 Bit) als eine gute Passphrase, 12 Wörter würden eine starke Passphrase (120 bit) ergeben. Damit ein Passwort genug Entropie bietet, die für ca. ein Jahr standhält muss es min. einer Stärke von 65 bit entsprechen.

Mehrfachfaktor-Authentifzierung und PasswortKarten
Google Authenficator
Nitrokey
Yubico USB-Gerät zur Zweifaktor-Authentifizierung sowie FIDO Alliance Universal 2nd Factor – U2F demonstration, (Demovideo, englisch) dazu
Qwertycards

Risiken und Nebenwirkungen von Mobilgeräten

The top ten information security risks for smartphone users – Information der European Union Agency for Netword and Information Security

Tutorials und HowTos

How to harden your smartphone against stalkers – Android edition: Kontrollverlust über die eigenen Daten bei Android eindämmen.

How to harden your smartphone against stalkers – iPhone edition: Mein Phone, der Spion.

Hardening Android for Security and Privacy – Eine umfassende, leider sehr anspruchvolle Anleitung zum Rooten des Android-Phones, Vollverschlüsselung und Backup ohne Google sowie Problematisierung einiger Schwächen gängiger Android ROMs. Die Nennung einiger nützlicher Apps runden das Tutorial ab.

Eine Übersicht zu Alternativen für verschlüsselten Versand und Empfang von Sofortnachrichten und E-Mails findet sich bei prism.break.org.

Weiterführende Links

How Journalists Use Crypto To Protect Sources – Laura Poitras, ack Gillum, Julia Angwin on 31c3

GPG for Journalists – Windows edition | Encryption for Journalists (Legendäres Video von Ed Snowden für Gleen Greenwald, in welchem er E-Mail-Verschlüsselung erklärt)

Prism-break.org – Used cases and non-privacy invasive tools and/or alternatives

Surveillance Self-Defense Guide of EFF

Security-In-A-Box (sometimes outdated tutorials)

Folien zu unserem Vortrag über Überwachungskapitalismus bei der CryptoCon15.

Videoerklärung von AES, in englisch

Videoerklärung von HMAC-Algorithmen, in englisch

Das CrypTool-Portal ermöglicht jedermann einen einfachen Zugang zu Verschlüsselungs-Techniken. Alle Lernprogramme im CT-Projekt sind Open-Source, kostenlos und (auch) in deutsch. Das CrypTool-Projekt entwickelt die weltweit am meisten verbreitete E-Learning-Software für Kryptographie und Kryptoanalyse.
Ein ausführliches Buch zu den mathematischen Hintergründen der in Cryptool vorgestellten Verfahren findet sich hier.

Einführungskurse zur Kryptografie bei tele-TASK und als Online-Kurs von Christof Paar und Jan Pelzl.

Self Organized Session vom CCC-Kongress Dezember 2015:
An Advanced Introduction to GnuPG (Folien als PDF, bitte mit „Speichern unter“ herunterladen)

Vorträge vom CCC-Kongress Dezember 2014:
ECCHacks: A gentle introduction to elliptic-curve cryptograph

Handbuch der angewandten Kryptografie (orig. “Handbook of Applied Cryptography”):
Offizielle Download-Seite für die einzelnen englischen Kapitel zur privaten Verwendung.

Crypto 101 is an introductory course on cryptography, freely available for programmers of all ages and skill levels.