Rechercheseminar Journalismus

Digitale Selbstverteidigung und Informantenschutz

https://privatsphaere-leipzig.org/
@privacy_leipzig
@CryptoPartyLE

Universität Leipzig
25. Januar 2022

Wer sind wir?

Das Bündnis Privatsphäre Leipzig e. V. ist eine überparteiliche Bürgerinitiative mit dem Ziel, Überwachung, Rechtsstaatlichkeit und Demokratie in einem breiten öffentlichen Diskurs zu thematisieren.

Wie wir das machen:

  • CryptoParties
    sowohl öffentliche, als auch speziell für Schüler*innen, Journalist*innen, Jurist*innen, Student*innen
  • Lesungen für Privatsphäre (bspw. zum Safer Internet Day)
  • Teilnahme an den Kritischen Einführungswochen (KEW) an der Uni Leipzig
  • Teilnahme an Podiumsdiskussionen, Interviewprojekten
  • Podcast zu Datenschutz und Datensicherheit

Eine CryptoParty bezeichnet ein Treffen von Menschen mit dem Ziel, sich gegenseitig grundlegende Verschlüsselungs- und Verschleierungstechniken beizubringen.
CryptoPartys sind öffentlich und unkommerziell, mit dem Fokus auf Open-Source-Software.

→ Wir verstehen Cyptoparties als Vermittlung von Wissen zur „Digitale Selbstverteidigung“.

Fahrplan

  1. Privatsphäre
  2. Digitale Selbstverteidigung
  3. Grenzen Digitaler Selbstverteidigung
  4. Pegasus Spyware
  5. Anonym surfen mit Tor
  6. Festplatten-/Containerverschlüsselung

Privacy

Was ist Privatsphäre?

Nichtöffentlicher Bereich, in dem ein Mensch unbehelligt von äußeren Einflüssen sein Recht auf freie Entfaltung der Persönlichkeit wahrnimmt.

↓
Hier kann ich denken, tun und lassen, was ich möchte!


WWW by flaticon.com telephone by flaticon.com speech bubble by flaticon.com social media by flaticon.com

Was gefährdet
unsere Privatsphäre?

technische Neuerung bieten eine Menge Komfort:

  • Alltagserleichterungen
    von Navigation bis hin zu SmartHome
  • Fortschritte in der Arbeitswelt
    Automatisierung, nächste große Revolution?
  • informationelle Emanzipation
    Allumfängliches Wissen stets und immer verfügbar,
    Limit nun nicht mehr Zugang sondern Kapazität/Zeit

Was gefährdet
unsere Privatsphäre?

technische Neuerung bieten eine Menge Komfort,
aber auch...

  • Internetüberwachung
    (E-Mails, Chatsverläufe, soziale Netzwerke, Verbindungsdaten, Browserprofile)
  • Bewegungsprofile
    (Mobilfunkortung - Netzwerk/GPS/WLAN, RFID-Chips, Gesichtserkennungssysteme)
  • biometrische Datenbanken
    (Fingerabdruck, Iris-Scans, Gesichtsmerkmale)

Motive für Überwachung

Datensammlungen durch

Surveillance by Datacrafted from the Noun Project

a) staatliche Akteure

  • Aufrechterhaltung von gesellschaftlicher Ordnung
  • Potential, leicht zu missbrauchen

Surveillance by Datacrafted from the Noun Project

b) private Akteure

  • erhöhter Komfort durch technische Lösungen
  • Gewinnmaximierung durch maximales Targeting

↓
politische und gesellschaftliche Aushandlung erforderlich

Digitale
Selbstverteidigung

»Wenn wir nichts Falsches tun, dann haben wir das Recht, alles in unserer Macht Stehende zu unternehmen, um das traditionelle Gleichgewicht zwischen uns und der lauschenden Macht aufrechtzuerhalten.«
Eben Moglen
»Privacy under attack: The NSA files revealed new threats to democracy«, Guardian (27. Mai 2014)

Digitale
Selbstverteidigung

Was ist das?

  • Metapher: Digitale Hygiene, Datenhygiene
  • Versuch des Empowerments: das Recht auf informationelle Selbstbestimmung (= Grundrecht) im digitalen Zeitalter wahrzunehmen
  • Aufruf zur Selbstbestimmung durch Teilrestauration gegen den neuen Kontrollverlust von Privatheit

Digitale
Selbstverteidigung

Wie geht das?

around by Jems Mayor from the Noun Project Invisible by Viktor Vorobyev from the Noun Project Guy Fawkes Mask by Henry Ryder from the Noun Project
Überwachung
a) vermeiden, b) blockieren, c) verfälschen
(Bruce Schneier, Data vs Goliath)

Prinzipien und Praxisformen

  • Überwachung vermeiden:
    • Selbstdatenschutz

    → was nicht existiert, kann nicht überwacht werden

  • Überwachung blockieren:
    • Verschlüsselung
      (Festplatten~ ,Transport~ , Ende-zu-Ende~ )

    → Postkarte vs Brief im verschlossenen Umschlag

  • Überwachung verfälschen:
    • Verschleierung

    → Nadel im Heuhaufen suchen

Wer hat Motive/Anlass
für Digitale Selbstverteidigung?

Berufsgeheimnisträger:

journalist by Artem Kovyazin from the Noun Project sigmund freud by Dabid J. Pascual from the Noun Project Judge by Artem Kovyazin from the Noun Project
a) Journalist*Innen, b) Seelsorger*Innen und Ärzte sowie c) Anwälte und Richter*Innen

Wer hat Motive/Anlass
für Digitale Selbstverteidigung?

aber auch Verfolgte:

Refugees by Gerald Wildmoser from the Noun Project Rainbow by Catherine Please from the Noun Project unemployment by nayeli zimmermann from the Noun Project
Geflüchtete, LGBQT-Anhörige
und sonstige Minderheiten


Letztendlich: jeder!

Fazit

Grenzen digitaler Selbstverteidigung

Verschlüsselung funktioniert. Richtig implementierte, starke Crypto-Systeme sind eines der wenigen Dinge, auf die man sich verlassen kann.

Verschlüsselung
funktioniert

  • gute Nachricht weil Verschlüsselung – nahezu immer – Grundlage digitaler Selbstverteidigung ist
  • aber:
    • richtige Implementierung → setzt deren Überprüfbarkeit voraus → OpenSource
    • starke Crypto-Systeme → standardisierte, aktuelle und öffentlich überprüfte Verfahren und Algorithmen

  • Also quelloffene, empfohlene Lösungen im eigenen Alltag einsetzen und alles ist gut?

Verschlüsselung umgehen

Verschlüsselung schwächen

Exkurs – Verschlüsselung und mobile Geräte

Datensicherheit und Bedrohungsmodelle

Exkurs – Verschlüsselung und Metadaten (1)

  • Daten über (Inhalts)daten
    z. B. Zeit, Datum, Größe/Umfang, bei Kommunikation zusätzlich: Absender, Empfänger, Standort

  • Problem: nicht von eingesetzter Verschlüsselung geschützt die sich üblicherweise auf die Inhaltsdaten bezieht
    • Ansatzweise bei Festplattenverschlüsselung (sofern es sich um eine vollverschlüsslung inklusive System handelt)
    • Ansatzweise bei Tor oder vergleichbaren Diensten

Exkurs – Verschlüsselung und Metadaten (2)

  • Problem bei Kommunikation: Beziehungen zwischen Kommunikationsteilnehmern können sichtbar werden (bei entsprechend großem Angreifer)

Bedrohungsmodell

Übersicht

    

Fazit

Bedrohungsmodelle als Mittel zur Selbstermächtigung

  • Bedrohungsmodelle unterstützen bei der Abwägung von Risiken in Bezug auf Datensicherheit und -schutz
  • Bedrohungsmodelle identifizieren schützenswerte Güter (Assets), Angreifer*Innen, Risiken und Angriffspotentiale
  • Identifizierte Bedrohungen können besser eingeschätzt werden (Entscheidung für oder gegen Maßnahmen)
  • Rationalisierung: Kosten-Nutzen-Abwägung (zu einem bestimmten Grad)

Pegasus Spyware

ein reales Beispiel Überwachung staatliche Akteurer im digitalen Raum


»Wenn Sie nichts tun, um den Verkauf dieser Technologie zu stoppen, werden es nicht nur 50.000 Ziele sein. Es werden 50 Millionen Ziele sein, und es wird viel schneller passieren, als irgendjemand von uns erwartet.«
Forderung eines Handelsverbotes von Spyware & Exploits durch Edward Snowden
»Edward Snowden calls for spyware trade ban amid Pegasus revelations«, Guardian (19. Juli 2021)

Pegasus Spyware

Was ist Pegasus?

  • Software zur entfernten Ausspähung von iOS- und Android-Geräten
  • Hersteller ist israelisches Überwachungstechnologieunternehmen NSO-Group
  • Käufer sind in erster Linie Staaten (Geheimdienste, Polizeibehörden, Militär)
  • Ziel waren/sind Journalisten, Menschenrechtler und Politiker
  • Entdeckt durch die Sicherheitsfirma Lookout und Citizen Lab der Uni Toronto
  • erstes bekanntes Ziel war ein arabischer Menschenrechtler Ahmend Mansoor – 2016

Pegasus Spyware

Was ist interessiert mich das?

  • Edward Snowden + Julian Assange + Andy Müller-Maguhn
  • BKA und BND soll eine angepasste Version gekauft haben
  • Spanien überwacht(e) Politiker der katalonischen Unabhängikeitsbewegung
  • autoritäre Staaten (insbesondere aus dem arabischen Raum) nutz(t)en diese Spyware
  • lt. NSO dürfen keine us amerikanischen Nummern überwacht werden
  • + kein Verkauf 'Feinde' Israels (Iran, etc.)

Pegasus Spyware

Wie funktioniert Pegasus? + Stand zu Exploits

  • Zusendung einer SMS mit Link zu einer Webseite wie sms.webadv.co (one-click attack)
  • nach Klick auf Link Ausnutzung von Sicherheitslücken in PDF- und GIF-Integration (NSO uses the "fake gif" trick to target a vulnerability in the CoreGraphics PDF parser.)
  • es gibt auch eine Methode ohne SMS-Sendung
  • Ausbruch aus iOS-Sandbox – auf mobilen Devices läuft alles in Sandboxes
  • Schadcode gibt vor ein ganzer Computer zu sein
  • Stand heute meisten ausgenutzten iOS-Exploits bekannt und gefixt (iOS 14.8)
  • Android keine genaue Info
  • Google Project Zero hat ausführlichste technische Ausführungen im Blog

Pegasus Spyware

Das fliegende Trojanische Pferd??

How and What Pagasus targets

Pegasus Spyware

Was kann/macht dieses Pferd?

  • Gesprächsaufzeichnung
  • Kopieren des kompletten Adressbuches
  • Abhören von Messengerkommunikation (SMS, iMessage, GMail, Viber, Facebook Messenger, Skype, Telegram, WhatsApp, Signal
  • Standortermittlung
  • Batteriestatus
  • Zugriff auf sämtliche Dokumente und Fotos
  • Browserverlauf
  • Gespeicherte Passwörter
  • Gespeicherte WLAN-Passwörter und des Apple-Schlüsselbundes

Pegasus Spyware

Linkliste/Quellen

Tor

Agenda

  • Einführung
  • Wie funktioniert Tor?
  • Wie nutze ich das?
  • Verhaltensregeln
  • Zusammenfassung / Grenzen

Tor

Was ist Tor (I)

  • Anonymisierungs-/Pseudonymisierungsnetzwerk: Darkweb
  • Ziel: IP-Adresse und Ort verschleiern, Tracking erschweren
  • wird von einem Netz von Freiwilligen betrieben

Tor

Was ist Tor (II)

  • Entwicklung in der Vergangenheit stark durch US-Staatsmittel gefördert → Spenden und privates Engagement
  • wird von Aktivist*innen, Behörden und anderen Netznutzer*innen gleichermaßen verwendet
  • Schattenseite: Silkroad, Silkroad 2.0, Silkroad 3.0, usw. (Drogen- und Waffenhandel sind aber nur ein kleiner Teil)

Tor

Wofür Tor nutzen

  • Internet-Dienste anonym nutzen, z.B. für anonyme Kommunikation
  • um mehrere Identitäten voneinander zu trennen
  • um Geo-Einschränkungen oder Web-Blockaden auf IP-Basis zu umgehen

Onion-Routing

Wie Tor funktioniert (Kurzfassung)

Quelle: Are Your Details Secure? In: What the revelations mean for you. www.theguardian.com/

Exkurs: Hidden-Services

  • Ziel der Anfrage kann anonym bleiben
  • Dadurch ist es möglich z. B. anonym eine Webseite bereit zustellen
  • erreichbar nur über eine sogenannte Onion-Adresse
  • Beispiel: DuckDuckGo ist erreichbar unter duckduckgogg42xjoc72x3sjasowoarfbgcmvfimaftt6twagswzczad.onion
  • Solche Webseiten sind z.B. in "Hidden Wikis" auffindbar

Tor Browser

Der einfachste Weg


Orbot

Tor auf dem Smartphone


  • Live-Betriebssystem, startbar von USB-Stick
  • Nutzung eines verschlüsselten Langzeitspeichers möglich (Persistant-Mode)
  • basiert auf Debian Linux
  • nur noch für 64-bit Systeme verfügbar
  • kommt mit so gut wie allen Programmen die man zum digitalen Leben braucht
  • nutzt von Haus aus das Tor-Netzwerk für Internetzugang für alle Applikationen

Warum Tails nutzen?

  • einfache und vergleichsweise sichere Anonymisierung des ganzen Internetverkehrs
  • nutzbar auf Fremdrechnern ohne dort Spuren zu hinterlassen
  • mit verschlüsseltem Langzeitspeicher verschiedene Identitäten verwaltbar (ein Daten-Stick pro Identität verwenden!)
  • Anonymity Operating System Comparison

Kurzanleitung Installation

  1. Aktuelles lesen, hier besonders die Known issues
  2. Download
  3. GPG-Signatur prüfen/Hashsumme prüfen (Programm für Windows)
  4. Tails auf Stick installieren
  5. Start von USB konfigurieren, Stick anschließen & neu starten


Achtung: Nicht alle Rechner können von jedem Medium booten!

Tornutzung (I)

Nicht-anonymisierten Datenverkehr vermeiden

  • Anonymitätsmodi nicht vermischen
  • keine Klarnamen verwenden
    • Aber: Kommunikationspartner*innen können Identität kennen
  • kein Bit-Torrent verwenden
  • Transport- oder Ende-zu-Ende-Verschlüsselung einsetzen! (HTTPS, Mails, Messenger etc.)

Tornutzung (II)

Keine Hinweise auf Realidentität geben

  • keine persönlichen Dienste aufrufen (Bankkonto, Paypal, Ebay, Amazon, etc.)
  • nicht die eigene Website oder das eigene Blog aufrufen
  • Keine Daten angeben, die Rückschlüsse auf die eigene Identität ermöglichen
  • Pseudonymität: Nutzungsorientierte virtuelle Identitäten erschaffen
    • Pseudonyme Identitäten nicht vermischen
    • Pseudonyme Identitäten nicht mit realen Kontakten verknüpfen

Tornutzung (III)

Tracking vermeiden

  • Tor Browser Security Level einstellen
  • HTTPS verwenden → HTTPS Everywhere
  • JavaScript deaktivieren wenn möglich → NoScript
  • Regelmäßig Cookies löschen → New Identity
  • Soziale Netzwerke nur so lange wie nötig verwenden
  • nicht Google / Bing als Suchmaschine verwenden

Tornutzung (IV)

Sicherheitslücken können IP-Adresse verraten

  • auf JavaScript & Browser-Plugins (Flash, Silverlight, Java...) verzichten
  • möglichst auch auf Windows verzichten
  • Entsprechend gut konfiguriertes Linux, besser Tails bzw. Whonix verwenden (Empfehlung)
  • regelmäßige Updates

Tornutzung (V)

Lokalität

  • Tor nicht von Zuhause aus anwenden, es sei denn:
    • der gesamte Netzverkehr wird durch Tor geleitet (Tails, Whonix)
  • Einwahlorte wechseln (Offene WLANs, Freifunk-Netze, etc.)
  • Anonym erworbenes Smartphone mit anonymer Pre-Paid-Karte nutzen
    • Akku entfernen und erst bei Nutzung einlegen/aktivieren
    • Tor-Phone nicht in der Nähe des eigenen Zuhause nutzen (Faustregel: min. 16km entfernt)
  • Laptop verwenden (Gerät stets mitführen)

Zusammmengefasst: Tornutzung

  • Anonymität/Pseudonymität ist schwer zu erreichen. Technologie allein genügt nicht.
  • in Kombination mit Tails bzw. Whonix empfehlenswert
  • Identitätsmanagement
  • am sichersten wenn alle Kommunikationspartner*innen Tor nutzen
  • derzeit am besten untersuchtes und ständig weiterentwickeltes Anonymisierungsnetzwerk
  • Tor ist auf Spenden/Unterstützer*innen angewiesen
  • DoNots lesen

Mythenzerstörung

Wie anyonym kann Tor sein?

Tornutzung, Fazit

Weitere Informationen

Tornutzung, Fazit

Weitere Informationen

Festplatten-/Container-Verschlüsselung


Wofür?

  • mehrere Dateien gemeinsam verschlüsseln (z. B. ganze Verzeichnisse oder Verzeichnisbäume)
  • Schutz aller Daten gegen (Offline-)Diebstahl (insbesondere bei mobilen Geräten wie Notebooks) oder auch nur neugierige Fremde oder Freunde
  • Schutz gegen Datenwiederherstellung nach Verkauf, Entsorgung oder bei Reklamation von Datenträgern.

Festplatten-/Container-Verschlüsselung


  • 2 Varianten
    • Partitionen oder ganze Festplatten/SSDs
    • Container, die wie normale Dateien auf dem Rechner liegen (dadurch z. B. einfaches Backup)
  • wenn geöffnet sind beide wie normale Laufwerke verwendbar, transparent
  • geschlossen keine Infos über gespeicherte Inhalte

VeraCrypt

    Features:
  • Open-Source-Software
  • verschlüsselt:
    • komplette Datenträger (ohne System)
    • Partitionen
    • Container
    • Betriebssystem (nur Windows, dann komplette Platte)
  • plausible Abstreitbarkeit (plausible deniability)

VeraCrypt

  • Projektseiten: https://www.veracrypt.fr
  • Audit im Herbst 2016 durch Quarkslab
  • installierbar aber auch portabel nutzbar, dann Admin-Rechte nötig (Windows)
  • verschlüsslete Datenträger systemübergreifend nutzbar (Windows, Linux, MacOSX, FreeBSD)
  • Wichtig: Downloads verifizieren via GPG-Signatur und/oder Hashsumme,
    Programmdownload für Hashsummen unter Windows

VeraCrypt


Wie funktioniert’s? (1)

  • beim Erstellen des Datenträgers werden Masterkeys und weitere Informationen für Ver- und Entschlüsselung der Inhalte des Containers/der Partition/Platte verschlüsselt im Volume Header abgelegt
  • für deren Verschlüsselung wird aus dem Passwort oder/und eingesetzten Keyfiles ein Header Key mit PBKDF2 (Password-Based Key Derivation Function 2) abgeleitet
  • zusätzlich: PIM (Personal Iterations Multiplier) einstellbar

VeraCrypt


Wie funktioniert’s? (2)

  • als Betriebsmodus kommt XTS zum Einsatz, der aktuelle Quasi-Standard für Daten­träger­ver­schlüs­selung, eingesetzt auch bei BestCrypt, dm-crypt, FreeOTFE, DiskCryptor, FreeBSD geli, OpenBSD softraid disk encryption software, Bitlocker (seit Windows 10) und Mac OS X Lion FileVault 2

VeraCrypt


Verschlüsselungsalgorithmen (1)

  • Verfahren waren Finalisten für den Advanced Encryption Standard (AES) des National Institute of Standards and Technology (NIST) der USA in 2000
    • Rijndael/AES (Joan Daemen, Vincent Rijmen), der spätere Gewinner des Ausscheidungsverfahrens
    • Serpent (Ross Anderson, Eli Biham, Lars Knudsen)
    • Towfish (Bruce Schneier, Niels Ferguson, John Kelsey, Doug Whiting, David Wagner und Chris Hall)

VeraCrypt


Verschlüsselungsalgorithmen (2)

  • Camellia, entwicklet von Mitsubishi Electric und dem NTT Japan, genehmigt für das NESSIE-Projekt der EU und das Japanische CRYPTREC-Projekt.
  • Kuznyechik, nationaler Standard der Russischen Föderation, GOST R 34.12-2015

  • Kaskaden möglich → höhere Sicherheit aber auch längere Zeit zum Ver- und Entschlüsseln

VeraCrypt


Hash-Algorithmen

  • SHA-512 oder SHA-256, entwickelt von der NSA und vom NIST publiziert.
  • Wirlpool, vom NESSIE-Projekt der EU empfohlen und von der ISO übernommen
  • Streebog-512 Russischer nationaler Standard GOST R 34.11-2012 Information Technology – Cryptographic Information Security – Hash Function, auch in RFC 6986 beschrieben

Alternativen


Windows

  • Bitlocker, Microsoft, ab Windows Vista, vielfach aber nur ab Pro-Version einsetzbar, Closed Source. Bitlocker wurde unlängst durch die Entscheidung Microsofts den sog. Elephant Diffuser zu entfernen geschwächt.
  • Bei Windows 10 werden (wurden?) die Wiederherstellungsschlüssel per Voreinstellung in der Microsoft Cloud gespeichert (Hintergund)

Alternativen


Mac OS X/Linux/BSD

Vielen Dank!

Schlüsselmeister: Password Manager

  • KeePass, MacPass, KeePassC
  • KeepassDroid, Keepass2Android
  • PasswordSafe
  • Für Geeks

Warum OpenSource?

KeePass/KeePassX

PasswordSafe

Password Safe und KeePass

Tool Betriebssystem
KeePass, KeeWeb Windows, WindowsPhone
KeePassX, keepassC, KeeWeb Linux
MacPass, KeeWeb MacOSX, macOS
MiniKeePass iOS
KeepassDroid, Keepass2Android Android
Password Safe Windows, Linux, Mac, Android

Verschlüsselung bei KeePass

Verschlüsselung bei Password Safe

Funktionen

  • Gruppen- bzw. Untergruppen
  • Passwortgenerierung
  • Passwort in Zwischenablage Kopieren
  • Auto-Type
  • ablaufende Einträge
  • Disk-on-Key Versions

Password Manager

Für Geeks

Fazit

Password Manager

  • erleichtert den Umgang mit vielen Zugängen (Passwörter, Online-Konten etc.)
  • Generierung langer Passwörter möglich
  • erleichtern das regelmäßige Wechseln von Passwörtern
  • Schutz hängt von der Qualität des Masterpassworts ab
  • Vertrauen in die Implementierung des Password Manager erforderlich → OpenSource
  • manche Passwort-Datenbank ungeeignet für Cloud-Betrieb (→ Passwordsafe-, Keepass 2.x-Datenbanken verwenden)

E-Mail Verschlüsselung

mit GPG/PGP

Was ist GPG/PGP

  • PGP
    • Pretty Good Privacy
    • das Original
    • kommerziell vermarktetes Programm
    • Prinzip das heute jeder nutzt
  • GPG
    • Gnu Privacy Guard
    • freie Weiterentwicklung von PGP
    • Programm das heute jeder nutzt

Installation

Thunderbird, GPG, enigmail

GPG und Mobilgeräte

Installation

Enigmail
  • Add-On für Thunderbird
  • Menü → Add-Ons → Enigmail suchen und installieren
  • Thunderbird neu starten
  • Rechtsklick auf Mailadresse → OpenPGP-Sicherheit → OpenPGP-Unterstützung aktivieren → Standard-Einstellungen anpassen

PGP-Schlüssel

generell

  • klare Zuordnung Schlüssel–Besitzer, mindestens in Form der E-Mail Adresse
  • keine plausible Bestreitbarkeit/Verneinbarkeit bei Einsatz eines Schlüssels

Schlüssel-Generierung

  • Menü → Enigmail → Schlüssel verwalten
  • Erzeugen → Neues Schlüsselpaar

Schlüssel-Generierung

  • Benutzererkennung: Mailadresse mit dem der Schlüssel verknüpft wird (Mehrfachverknüpfungen möglich)
  • Haken bei Schlüssel zum Unterschreiben verwenden setzen
  • sichere Passphrase eingeben
  • Kommentar zum Schlüssel: für andere Einsehbar → Eindeutige Identifizierung
  • Ablaufzeit: Benutzbarkeit vs. Komfort
  • Erweitert: Schlüsselstärke 4096; Algorithmus RSA
  • Schlüsselpaar erzeugen

Schlüsselmanagement/-verwaltung

Was ist das?

Verwaltung der/des Schlüsselbundes (Keyring) bestehend aus:

  • geheimem Keyring (secring.gpg),
  • öffentlichem Keyring (pubring.gpg)
  • Vertrauensdatenbank (trustdb.gpg)

 

Diese Dateien gehören zu Installation und bleiben auf dem System.

Schlüsselmanagement/-verwaltung

Warum?

  • Austausch von verschlüsselten Nachrichten erst nach Austausch von Schlüsseln möglich
  • wichtig/sinnvoll für Backup Einsatz auf mehreren Geräten/Systemen

 

Wie?

Import/Export in den/vom Keyring von/in Dateien

  • Kopien werden angelegt, Schlüssel bleibt im Bund erhalten beim Export und als Datei beim Import
  • bevorzugte Dateiendung für Schlüsseldateien .asc

Schlüsselmanagement/-verwaltung

 

Export, automatisiert (E-Mailanhang)

  • Bearbeiten → E-Mail-Einstellungen → im Profil OpenPGP-Sicherheit auswählen → Erweitert … aufrufen → Öffentlichen Schlüssel an Nachricht anhängen aktivieren

Schlüsselmanagement/-verwaltung

 

Export, händisch (E-Mailanhang)

  • Im Menü Enigmail → Schlüssel verwalten aufrufen → Schlüssel auswählen/markieren → Über Datei → Öffentlichen Schlüssel per E-Mail senden → neue Nachricht zum Verfassen öffnen → Schlüssel erscheint unter „Anhänge“ als Datei (Schlüsselkurz-ID.asc)
  • neu Nachricht verfassen aufrufen → in der enigmail-Zeile „Meinen öffentlichen Schlüssel anhängen“ auswählen → Schlüssel erscheint unter „Anhänge“ als Datei (Schlüsselkurz-ID.asc)

Schlüsselmanagement/-verwaltung

 

Export, Stick/Speichermedium

  • Im Menü Enigmail → Schlüssel verwalten aufrufen → Schlüssel auswählen/markieren → Über Menü Datei > Exportieren wählen → Nachfrage mit „Nur öffentlichen Schlüssel exportieren” beantworten → Speichermedium/Speicherort auswählen und den Export bestätigen, ggf. vorher Dateiname anpassen

Schlüsselmanagement/-verwaltung

 

Import, immer vom Speichermedium

  • Im Menü Enigmail → Schlüssel verwalten aufrufen → Über Menü Datei > Importieren wählen → zum Speichermedium/Speicherort navigieren → Schlüsseldatei auswählen und den Import bestätigen

 

funktioniert für private/geheime und öffentliche Schlüssel

Schlüsselmanagement/-verwaltung

Authentifizierung/Trust

 

öffentliche Schlüssel müssen grundsätzlich vor Einsatz überprüft werden, spätestens nach dem Import in den Schlüsselbund (Keyring)

  • kurz/lange ID sind unzureichend → mögliche Kollisionen
  • Fingerprint über einen sicheren Kanal austauschen (z. B. telefonisch oder persönlich) und überprüfen
  • nur Schlüsseln vertrauen, die man überprüft hat
  • Hilfskonstruktion: veröffentlichte Fingerprints von Websites mit dem Fingerprint des entsprechenden Schlüssels vergleichen

Schlüsselmanagement/-verwaltung

Widerrufszertifikat anlegen

Wofür?

  • im Zusammenhang mit der Verwendung von Key-Servern
  • bei Verlust/Kompromittierung des geheimen Schlüssels für dessen Widerruf
  • wenn der Schlüssel ungültig gemacht werden soll, z. B. weil man einen stärkeren einsetzen will (größer/länger, andere Standards, z. B. elliptische Kurven in Zukunft)

 

WICHTIG: Separates Backup unabhängig vom Arbeitssystem anlegen!

Schlüsselmanagement/-verwaltung

Key-Server

  • Server auf denen öffentliche Schlüssel in Datenbanken abgelegt werden, so das sie für alle andern im Netz auffindbar sind
  • Datenbank ist durchsuchbar nach allen Informationen, die mit dem Schlüssel verknüpft sind:
    • Name
    • E-Mail
    • Ids (Kurz, lang)
    • Fingerprint

Schlüsselmanagement/-verwaltung

Key-Server und Enigmail

  • erlaubt die Konfiguration von Key-Servern zum automatischen Abgleich
  • Im Menü Enigmal → Einstellungen aufrufen → Schlüsselserver auswählen → unter Schlüsselserver eintragen:
    • pool.sks-keyservers.net
  • → unter Schlüssel zu Signatur-Überprüfung eintragen:
    • https://sks-keyservers.net/sks-keyservers.netCA.pem

Schlüsselmanagement/-verwaltung

Key-Server generell

Optionale Folien

Alternative
Soziale Netzwerke

Übung

Social-Media-Stuhlkreis

  • Stuhlkreis bilden
  • Social-Media-Gruppen bilden, nach Nutzung (z. B. Instagram, SnapChat, YouTube, Facebook, WhatsApp etc.)
  • 5 Minuten Zeit
  • Anschließend stellt jede Gruppe (max. 5 Minuten) kurz vor, was sie zusammen getragen hat

Übung

Social-Media-Stuhlkreis: Fragen?

  • Warum nutze ich XY und wozu?
  • Was gefällt mir besonders?
  • Welche Probleme gibt es bei der Nutzung von XY?
  • Wer hat Zugriff auf meine Daten bei XY?

Problematisierung von
Sozialen Netzwerken

Zentrale Datenhaltung und BigData

  • Zentrale Datenhaltung (Zugriff?)
  • Verwertungsrechte der eingestellten Inhalte durch AGBs; Sichtbarkeiten und Vernetzung einschränken geregelt
  • Profilbildung und Verknüpfung durch Big-Data-Analysen
  • Langzeitspeicherung und massive Datensammlung (→ Personensuchmaschien; Einreise in die USA)
  • Schattenprofile
  • Übertragung/Veräußerung von Privatheit an einen fremden Akteur

Überwachungskapitalismus

Walled Gardens und soziale Experimente

  • Walled Gardens als isolierte, selbstreferenzielle Systeme (Filterbubble)
  • Algorithmen bestimmen Relevanzen dargebotener Inhalte (Filterung; Social Sort)
  • Einschränkung oder Aufgabe von Autonomie
  • kontinuierliche soziale Experimente

Durchlässige Mauern

Datensicherheit und Zugriffe von Außen

  • Nadel im Heuhaufen: Soziale Netze und Clouds als Teil von PRISM und Tempora
  • BND wollte Überwachung auf soziale Netze ebenfalls ausweiten (Vorhaben aufgrund des #NSAU derzeit ausgesetzt)
  • Kreditkartenbetrüger und Kettenbriefe
  • Identitätsdiebstahl
  • Online Harassment und Cyber Bulling: Von Trollen und Mobbing
  • Stalking
  • Sexting (Vorsicht bei SnapChat!)

Sichtbarkeiten und
Vernetzung einschränken

Clicktivism

Friendica

kurz vorgestellt

  • OpenSource-Projekt (PHP)
  • Dezentrale Architektur die Vernetzung über alle Installationen ermöglichen will (föderiertes System)
  • Durchgängige Berücksichtigung der Privatsphäre (jeder Entscheidet über preisgegebene Daten)
  • Anlage detaillierter Profile möglich

Friendica

kurz vorgestellt

  • Eingebettete Inhalte
  • Austausch von Fotos und Anlage von Fotogalerien
  • Events (z. B. Geburtstage)
  • Gruppen und Hashtags werden unterstützt
  • Einführung im umfangreichen Wiki

Ausprobieren

Diaspora*

kurz vorgestellt

  • OpenSource-Projekt (Ruby on Rails)
  • Dezentrale Architektur die Vernetzung über alle Installationen ermöglichen will (föderiertes System)
  • Datensparsamkeit

Diaspora*

kurz vorgestellt

Ausprobieren

Mastodon

kurz vorgestellt

  • Offene Standards: Atom Feeds, ActivityStreams, Salmon, PubSubHubbub und Webfinger
  • Interoperatblität: Austausch mit GNU social und OStatus Plattformen

Mastodon

kurz vorgestellt

  • Diskussionen (Threads) werden online verteilt (föderiert)
  • hohe Integrierbarkeit (OAuth und REST)
  • Hosting: vereinfachtes Deployment trotz anspruchsvollem Technologie-Stack (Devops/Docker)

Mastodon

Ausprobieren

Fazit

Alternative Soziale Netzwerke

  • jenseits des Mainstream: Alternative Netzwerke existieren, sind aber relativ unbekannt
  • Es fehlt an entsprechenden, fancy Smartphone-Apps
  • kritische Masse/Publicity
  • Entwicklern fehlt Dialog mit Nutzer*Innen → Gründung von UserGroups?
  • geeignet für kleinere, abgeschlossene Netze (Familie, Vereine, regionale Gruppen, kleinere Netzwerke)

Weiterführende Links