Grenzen digitaler Selbstverteidigung

Verschlüsselung funktioniert. Richtig implementierte, starke Crypto-Systeme sind eines der wenigen Dinge, auf die man sich verlassen kann.

Schief gegangen

Beispiele von Sicherheitsbrüchen

• Sloppy security hygiene made Sony Pictures ripe for hacking
• Citizenlab-Bericht: Angriffe auf Two-Factor-Authentifikation bei Google-Konten beobachtet
• Waiting for Android’s inevitable security Armageddon
• Even when told not to, Windows 10 just can’t stop talking to Microsoft

Wie sich dagegen wappnen?

Risikoanalyse an Hand von Bedrohungsmodellen

Bedrohungsmodelle:

• beschreiben Möglichkeiten von Angriffen und decken Verhaltensweisen oder Übertragungswege und -formen auf, die mit Risiken verbunden sein können
• helfen Grenzen und Möglichkeiten von technischen Lösungen wie Ende-zu-Ende-Verschlüsselung oder Transportverschlüsselung besser einzuschätzen und eigenes Verhalten anzupassen.

Bedrohungsmodell

Analyse

Bedrohungsmodell

Kategorien

Bedrohungsmodell

Perspektiven

• von den Geräten oder Daten ausgehend
  (asset centric)
• aus der Perspektive des Angreifers gedacht (attacker centric)

Die W-Fragen

Schutzintressen und -rahmen

• Was möchte ich schützen?
• Wie wahrscheinlich ist die Notwendigkeit es schützen zu müssen?
• Vor wem möchte ich es schützen?
• Was sind die Konsequenzen, wenn der Schutz versagt?
• Wie viel Aufwand und Umstände möchte ich in Kauf nehmen und worauf möchte ich verzichten, um es zu schützen?

Schutzgüter

Auswahl

• Passwörter
• Geld
• Dateien (private Fotos, Videos, Dokument, etc.)
• Chats, Unterhaltungen, Korrespondenzen
• Metadaten
• private Geheimnisse, Betriebsgeheimnisse

Angreifer

Beispiele

• Nachrichtendienste mittels Massenüberwachung (NSA, GCHQ, BND)
• (neugierige) Kolleg*Innen, Nachbar*Innen, Eltern, Schulkamerad*Innen usw.
• (neugierige) Sicherheitsbehörden (BKA, Verfassungsschutz)
• Diebe, kriminelle Elemente
• Unternehmen die Dienste anbieten um Profilbildung für Werbeeinnahmen zu betreiben

Folgen bei Schutzversagen

Beispiele

• Identitätsdiebstahl: Hacker/Script-Kiddie übernimmt Facebook-Account
• Autonomieverlust:
  • Werbeanbieter liest und analysiert meine Daten
  • Anbieter filtert oder liest Tweets, Facebook-Nachrichten, E-Books etc.
• Übernahme/Verlust des Geräts: Smartphone, Laptop, Tablet, E-Book-Reader
• Datenverlust: Messenger-App, welche es erlaubt übermittelte Bildnachrichten abzugreifen

Angriffspotentiale

Beispiele

• Familienangehöriger installiert Überwachungssoftware auf meinem Gerät (physischer Gerätezugriff)
• Angreifer*In könnte das LAN/WLAN ausspionieren (Zugriff auf den Transportweg der Daten)
• Angreifer*In könnte eine Website gefälscht haben (Phishing/Trojaner, Manipulation des Endpunktes der Kommunikation)
• Angreifer*In nutzt Sicherheitslücken in Applikationen (Manipulation des Systems)

Exkurs

Smartphones und Handys

Was tun?

Was tun Grundregeln und Gegenmaßnahmen

• Update, Updates, Updates
• Backups, Backups, Backups
• Virenscanner (+/-)
• Verschlüsselung/Verschleierung
• Unplugged: Sensible Daten auf System ohne Netzzugang aufbewahren und verschlüsseln

Grenzen

Fazit

Bedrohungsmodelle als Mittel zur Selbstermächtigung

• Bedrohungsmodelle unterstützen bei der Abwägung von Risiken in Bezug auf Datensicherheit und -schutz
• Bedrohungsmodelle identifizieren schützenswerte Güter (Assets), Angreifer*Innen, Risiken und Angriffspotentiale
• Identifizierte Bedrohungen können besser eingeschätzt werden (Entscheidung für oder gegen Maßnahmen)

Sicherer Surfen

• Sicher Surfen? Phishing, Tracking & Co.
• Sicherheit auf wackligen Beinen? – HTTPS (SSL/TLS)

Mein digitaler Schatten

Trace My Shadow

What is a Digital Shadow from Tactical Technology Collective on Vimeo.

HTTP

Was beim Surfen passiert (I)

HTTP

Was beim Surfen passiert (II)

Web Tracking I

Web Analytics

• Ziel: Quantitative Datenerfassung
• Erwartung: Rückschlüsse auf Werbeerfolge ziehen können
• Seiteneffekte
  • Nutzer wird über eine längere Zeit identifizierbar
  • Profilbildung und Analyse über mehrere Profile
  • Relationen, Vernetzung, Big Data
• Anzahl der erfassten Daten vom genutzten Dienst abhängig

Web Tracking II

Web Analytics

• Anzahl der erfassten Daten vom genutzten Dienst abhängig
  • Online-Shops
  • Soziale Netzwerke (Walled Gardens)
    • Facebook kann uns besser einschätzen als Freunde
    • Vorsicht Schattenprofile: Facebook trackt alle, auch mit explizitem Widerspruch (auch wenn Facebook das umdeutet)
    • Topic Data von Facebook
    • Mobiles Leben: Twitter App trackt Nutzerverhalten: Deaktivieren
  • Streaming-Dienste (Achtung! Erlauben z. T. kein VPN, keine Proxies)

Web Tracking III

Web Analytics

Technische Umsetzung:

• Seitenabrufe (werden auf dem WebServer gesammelt)
• Like-Buttons, Tracker JavaScript
• HTTP Cookies
• Flash Cookie (LSO, Super Cookies)
• Verizon’s Perma-Cookie (X-UIDH, HTTP Header Injection)
• Browserfingerprint

Trackography

Visualisierung des Trackings von Onlinemedien

You never read alone. Use this tool to explore how the global tracking industry is reading your online behavior.

Do not track

Gegenmaßnahmen gegen Cookies

• Initiative Do not track: Opt-Out-Verfahren
• Gegenmaßname gegen Cookies:
  • Cookies deaktivieren (häufig keine Option)
  • Browser Addons
• Gegenmaßname gegen Perma-Cookies (X-UIDH):
  • ISP wechseln, wenn möglich oder Opt-Out (bei Verizon möglich)
  • nur verschlüsselte Verbindungen (SSL/TLS) über VPN, Tor nutzen

Browser Fingerprints

• digitaler Fingerabdruck der eigenen Systemkonfiguration
• Hennig Tillmanns Diplomarbeit: Browser Fingerprinting – Tracking ohne Spuren zu hinterlassen
• Panopticlick
• HTML5 Canvas Fingerprinting
• Kein 100%-tiges Gegenmittel, nicht einmal Tor/Tails
• Erster Schritt: Addons für JavaScript-Blocking
• Für Puristen: Textbrowser wie Lynx verwenden
• How the NSA Attacks Tor/Firefox Users With QUANTUM and FOXACID

Gefahren

• Passwortdiebstahl und Identitätsdiebstahl: Ein Passwort pro Dienst verwenden (→ CyptoParty zu Passwörtern)
• Einbruch in Anbieter-Datenbanken (Zugänge, Bankdaten, Kreditkarteninformationen)
• Viren und Würmer
• Trojaner
• Phishing (Online-Banking)
• Personenüberwachung: Bundestrojaner, FinFisher

HTTPS (SSL/TLS)

• HTTPS: Standardverschlüsselung beim Abruf von Websites
• SSL/TLS schützten die Übermittlung der Daten (Transportschicht)
• Komplexes Protokoll, mit zwei Hauptzielen:
  • Verschlüsselung (Daten vor anderen verbergen)
  • Identifikation (Können sich zwei Kommunikationspartner vertrauen?)
• Zertifikate auf Anbieterseite (Website, WebServer) notwendig (Vertrauensdilemma)

SSL/TLS Protokoll (II)

Broken Wing

SSL/TLS & Sicherheit (I)

• Chiper Suite
• Beast → TSL 1.0 gebrochen, RC4 deaktivieren (Client/Server)
• POODLE Attacks" → SSL 3.0 gebrochen
• CRIME and BREACH attacks → HTTPS & Kompression
• FREAK → RSA-EXPORT Key
• CREAM → OpenSSL, AES-Implementierung, cache timing attack

Broken Wing

SSL/TLS & Sicherheit (II)

• RC4 Attacks → RC4-Verschlüsslung deaktivieren (Client/Server)
• SSL Strip → HTTP Strict Transport Security (HSTS)
• heartbleed → OpenSSL aktualisieren (betrifft z. T. auch VPN-Software)
• Übersicht der Verwundbarkeit populärer Webseiten bzgl. obiger Attacken
• How does the NSA break SSL?

Broken Wing

SSL/TLS & Sicherheit (III)

Das Problem mit den Root Zertifikaten

• “SSL hijacker” behind Superfish debacle imperils large number of users
• Microsoft Security Advisory: Improperly Issued Digital Certificates Could Allow Spoofing

Fallbeispiel: Online-Banking

SSL/TLS-Zertifikate in der Praxis

Sicherer Surfen

Add-Ons und Best Practices

Internetnutzung

• Datensparsamkeit
• nur in Ausnahmen echte Daten nutzen
• falsche Mail-Adressen, Weg-Werf-Mail-Adressen nutzen
• verschiedene Dienste = verschiedene Identitäten
• Pre-Payed/anonyme SIMs für mobile Nutzung
• keine Chronik (Privater Modus)/Daten beim Schließen löschen
• never trust anyone

before:use

• Nutzt Firefox!
• viele der vorgestellten Add-Ons nur unter Firefox verfügbar!

Firefox

Grundeinstellungen 1

• Allgemein: Startseite einstellen?
• Suchmaschinen: Automatismus nötig? Alternativen!
• Inhalt: DRM wirklich nötig?
• Anwendungen: Immer alles automatisieren?
  Besser: speichern oder wenigstens nachfragen als Voreinstellung
• Datenschutz:
  • nicht verfolgen aktivieren
  • Chronik nach benutzerdefinierten Einstellungen
    -> Chronik löschen -> Feineinstellungen vornehmen

Firefox

Grundeinstellungen 2

• Sicherheit:
  • Pro/Contra attakierende Websites
  • Passwörter speichern aus, sonst mindestens Masterpasswort
• Sync: Empfehlung unter Datenschutzgesichtspunkten: nicht verwenden
• Erweitert:
  • Datenübermittlung: alles aus
  • Update: Automatismen ausschalten (Kontrolle über meine Daten)
• Add-ons: Plugins kontrollieren, deaktivieren oder ggf. auf nachfragen setzen

RC4 deaktivieren

• veralteter Verschlüsselungsstandard der aber immer noch akzeptiert wird, von dessen Nutzung jedoch abgeraten wird


• how to do
• In Adressezeile Firefox "about:config" eingeben und versprechen vorsichtig zu sein
• In Suchfeld "rc4" eingeben
• Alle 4 Einträge auf "false" setzen

Alternative Suchmaschinen

Jenseits von Google (Beispiele)

• Kritische Ressource daher: Alternativen nötig
• StartPage
• DuckDuckgo
• MetaGer (deutsche Meta-Suchmaschinen)

Self Destructing Cookies

• Zerstört Cookies nach einer bestimmten Zeit
• Vorteil: Personalisierung und Wiedererkennung auf der Website verhindern
• Nachteil: Cookies teilweise gewünscht
• Funktionen
• Whitelist
• verschiedene Einstellungen

Random Agent Spoofer

• versucht Browserfingerprinting zu erschweren
• wechselt Browser- und Geräteprofile nach einer gewissen Zeit (einstellbar)
• wird spezifisch auf Firefox-Versionen zugeschnitten, von den Möglichkeiten die Firefox bietet beschränkt

uMatrix

• sehr mächtig
• blockiert Werbung sowie Tracker-Skripte und -Elemente
• ermöglicht eine sehr feingranulare Einstellung aller Funktionen unter der Oberfläche

Chat-Apps und Messenger

Grundkonzepte

• Ende-zu-Ende-Verschlüsselung
• Perfect Forward Secrecy
• Problem: Asynchrone Nachrichten

Perfect Forward Secrecy

Späteres Aufdecken von geheimen Nutzerschlüsseln darf es nicht erlauben, früher aufgezeichnete Nachrichten zu entschlüsseln

→ neue Schlüssel für jede Nachricht

OTR

Off-the-Record

• Borisov/Goldberg/Brewer, 2004:
  Off-the-Record Communication,or, Why Not To Use PGP (PDF)
• Beglaubigung während der Konversation
• Abstreitbarkeit nach der Konversation
• Forward Secrecy

Kontaktfindung

• Problem: Metadaten-Sicherheit vs. Kontaktfindung:
  https://whispersystems.org/blog/contact-discovery/
• Problematische Lösung: Whatsapp lädt beim Installieren Teile des Adressbuchs zum Server hoch

→ Unvermeidbarer Zielkonflikt, Kompromisse

Asynchrone Tools

Schlechte Beispiele

• E-Mail: Sicherheit nicht Teil des Konzepts, PGP/GPP-Verschlüsselung aufwendig
• SMS: unsicher, aber Kontaktdaten gehen nur an Stellen (Provider), die sie schon haben
• Whatsapp: unsicher; lädt Kontakte hoch an den Betreiber

Asynchrone Tools

Signal I

• empfohlen
• SMS-Ersatz
• unempfindlich gegen kürzlich aufgetauchte Sicherheitslücke beim Autoplay von MMS (allerdings nur durch Abwesenheit von Autoplay)
• Lädt Hashes der Telefonnummern hoch (nur marginal besser)
• im Prinzip umgehbar, Server ist auch OpenSource

Asynchrone Tools für Mobilgeräte

Signal II

• Problem: Metadaten-Sicherheit vs. Kontaktfindung: https://whispersystems.org/blog/contact-discovery/
• https://play.google.com/store/apps/details?id=org.thoughtcrime.securesms

Signal

Apps für Mobilgeräte

Übersicht I

Apps für Mobilgeräte

Übersicht II

Tox

Was ist Tox

• dezentraler und verschlüsselter Messenger- und Videotelefonie-Software
• Skype ähnlich
• Peer-to-Peer

Features

• Chatten
• Telefonieren
• Videotelefonie
• Dateiaustausch möglich
• Gruppenchats

Toxy

• Client für Windows
• Windows 8 + Oberfläche (Metro-style)
• keine Emoji-Unterstützung
• keine Typing notification
• Proxys möglich → TOR

Pros und Contras

• „Online-Pflicht“
• frühes Entwicklungsstadium (viele Clients, unterschiedliche Feature Sets
• kein Audit

Browser Addons

Browser basierte Chats- und Messenger

Making crypto fun?

Browser basierte Chats- und Messenger

• Einfache Installation und Bedienbarkeit
• geringe Einstiegshürde
• hohe Verfügbarkeit (Browser auf vielen Systemen verfügbar)
• Browser? Sichere Umgebung? (JavaScript!)
• Vertrauliche Kommunikation?

CryptoCat

• Ende-Zu-Ende-Verschlüsselung (OTR, Multiparty, mpOTR in Planung)
• Bedienbarkeit (Usability)
• Client ist Open-Source
• GruppenChats und verschlüsselte Dateiübertragung
• Mac OSX, iO App verfügbar (Android in Planung, Crowdfunding)

CryptoCat

Threat-Model

• "Ein absolutes Desaster" (Sicherheitslücke in CryptoCat)
• CrytoCat Blog zu Audits und Patches

Fazit

Chats und Messenger I

• Secure Messaging Scorecard
• Nur sichere implementierte Ende-zu-Ende-Verschlüsselungen bietet angemessenen Schutz
• Ende-zu-Ende-Verschlüsselung heißt, dass kein*e Angreifer*In die Nachrichten abfangen kann (Man-in-the-Middel); Nachricht kann nur vom Empfänger und Sender gelesen werden
• Apps/Chats sollten offene, von Experten anerkannte Protokolle verwenden und als OpenSource vorliegen

Fazit

Chats und Messenger II

• Herstellerversprechen sollte man kritisch prüfen (Audits? OpenSource? Protokolle?)
• Smartphones sind schwer abzusichern und unsichere Umgebung für Verschlüsselung
• Signal/TextSecure, ChatSecure für iOS/Android empfohlen
• Tox, Pidgin (OTR) für PCs und Laptops empfohlen

Übungeseinheit

Chats- und Messenger

Signal

• Singal-App installieren
• Freunde hinzufügen
• Gruppenchat einrichten

CryptoCat

• Browser-Addon installieren
• Gruppenchat einrichten
• Freunde einladen und chatten

• Toxy installieren
• Freunde einladen und chatte
• Telefonie und Videochat ausprobieren