Digitale Selbstverteidigung

Warum digitale Selbstverteidigung?

• Recht auf informationelle Selbstbestimmung (= Grundrecht) auch im digitalen Zeitalter wahrnehmen können
• Selbstverteidigung gegen Massenüberwachung, Vorratsdatenspeicherung, Tracking und Überwachungskapitalismus (BigData)

Digitale Selbstverteidigung

Staatliche Überwachung und Datensammelei (Beispiel)

Digitale Selbstverteidigung

Datensammlungen Privater Firmen (Beispiele)

• Google z. B. aus Suche, E-Mail, Webanalyse ... für zielgenaue Werbung
• Facebook für soziale Beziehungen und Netzwerke
• amazon für Kaufverhalten und -vorlieben oder Leseverhalten (Kindle)

Digitale Selbstverteidigung

Analyseverfahren und Auswertung

• BigData zur Profilbildung und Analyse auf der Grundlage massiver Datensammlungen
• BigData als Geschäftsmodell
• Public-Private-Partnership

Digitale Selbstverteidigung

Reaktion auf gesellschaftliche Veränderungen

• Überwachung und Manipulation als Machttechniken
• Digitalisierung als Kulturwandel -> Nutzungsänderungen
• Welche Gesellschaft streben wir an? (Panoptikum, Banoptikum, Synoptikum)

CryptoWars 2.0/3.0

Angriff auf Verschlüsselung

• Hillary Clinton wants “Manhattan-like project” to break encryption
• Crypto Wars Part II - The Empires Strike Back
• Crypto Wars 3.0: EU-Rat diskutiert Schlüsselhinterlegung
• CCC fordert Ausstieg aus unverschlüsselter Kommunikation
• The second “Crypto War” and the future of the internet
• Cryptowar: Verfassungsschutz fordert ein Ende der „kryptierten Kommunikation“
• Obama will Verschlüsselung aufweichen

Was tun?

Handlungsspielräume von Technik und Verhaltensänderung

• CryptoParties besuchen und weiterempfehlen
• mit Freunden und Familie über Digitalisierung und Privatsphäre diskutieren
• sich bei Apps und Sozialen Diensten über deren Datensammlung informieren, ggf. Alternativen verwenden
• Kampagne „Verfolgungsprofile“
• Lesung gegen Überwachung III / Safer Internet Day am 09. 02. 2016

Was tun?

Literatur- und TV-Empfehlungen

Digitale Selbstverteidigung

Digitale Selbstverteidigung als Aufklärungsmodell

Habe Mut, dich deines eigenen Verstandes zu bedienen!

Beantwortung der Frage: Was ist Aufklärung?

→ Selbstbestimmung erfordert Wissen und Erfahrung.

Grenzen digitaler Selbstverteidigung

Verschlüsselung funktioniert. Richtig implementierte, starke Crypto-Systeme sind eines der wenigen Dinge, auf die man sich verlassen kann.

Schief gegangen

Beispiele von Sicherheitsbrüchen

• Sloppy security hygiene made Sony Pictures ripe for hacking
• Citizenlab-Bericht: Angriffe auf Two-Factor-Authentifikation bei Google-Konten beobachtet
• Waiting for Android’s inevitable security Armageddon
• Even when told not to, Windows 10 just can’t stop talking to Microsoft

Wie sich dagegen wappnen?

Risikoanalyse an Hand von Bedrohungsmodellen

Bedrohungsmodelle:

• beschreiben Möglichkeiten von Angriffen und decken Verhaltensweisen oder Übertragungswege und -formen auf, die mit Risiken verbunden sein können
• helfen Grenzen und Möglichkeiten von technischen Lösungen wie Ende-zu-Ende-Verschlüsselung oder Transportverschlüsselung besser einzuschätzen und eigenes Verhalten anzupassen.

Bedrohungsmodell

Analyse

Bedrohungsmodell

Kategorien

Bedrohungsmodell

Perspektiven

• von den Geräten oder Daten ausgehend
  (asset centric)
• aus der Perspektive des Angreifers gedacht (attacker centric)

Die W-Fragen

Schutzintressen und -rahmen

• Was möchte ich schützen?
• Wie wahrscheinlich ist die Notwendigkeit es schützen zu müssen?
• Vor wem möchte ich es schützen?
• Was sind die Konsequenzen, wenn der Schutz versagt?
• Wie viel Aufwand und Umstände möchte ich in Kauf nehmen und worauf möchte ich verzichten, um es zu schützen?

Schutzgüter

Auswahl

• Passwörter
• Geld
• Dateien (private Fotos, Videos, Dokument, etc.)
• Chats, Unterhaltungen, Korrespondenzen
• Metadaten
• private Geheimnisse, Betriebsgeheimnisse

Angreifer

Beispiele

• Nachrichtendienste mittels Massenüberwachung (NSA, GCHQ, BND)
• (neugierige) Kolleg*Innen, Nachbar*Innen, Eltern, Schulkamerad*Innen usw.
• (neugierige) Sicherheitsbehörden (BKA, Verfassungsschutz)
• Diebe, kriminelle Elemente
• Unternehmen die Dienste anbieten um Profilbildung für Werbeeinnahmen zu betreiben

Folgen bei Schutzversagen

Beispiele

• Identitätsdiebstahl: Hacker/Script-Kiddie übernimmt Facebook-Account
• Autonomieverlust:
  • Werbeanbieter liest und analysiert meine Daten
  • Anbieter filtert oder liest Tweets, Facebook-Nachrichten, E-Books etc.
• Übernahme/Verlust des Geräts: Smartphone, Laptop, Tablet, E-Book-Reader
• Datenverlust: Messenger-App, welche es erlaubt übermittelte Bildnachrichten abzugreifen

Angriffspotentiale

Beispiele

• Familienangehöriger installiert Überwachungssoftware auf meinem Gerät (physischer Gerätezugriff)
• Angreifer*In könnte das LAN/WLAN ausspionieren (Zugriff auf den Transportweg der Daten)
• Angreifer*In könnte eine Website gefälscht haben (Phishing/Trojaner, Manipulation des Endpunktes der Kommunikation)
• Angreifer*In nutzt Sicherheitslücken in Applikationen (Manipulation des Systems)

Exkurs

Smartphones und Handys

Was tun?

Was tun Grundregeln und Gegenmaßnahmen

• Update, Updates, Updates
• Backups, Backups, Backups
• Virenscanner (+/-)
• Verschlüsselung/Verschleierung
• Unplugged: Sensible Daten auf System ohne Netzzugang aufbewahren und verschlüsseln

Grenzen

Fazit

Bedrohungsmodelle als Mittel zur Selbstermächtigung

• Bedrohungsmodelle unterstützen bei der Abwägung von Risiken in Bezug auf Datensicherheit und -schutz
• Bedrohungsmodelle identifizieren schützenswerte Güter (Assets), Angreifer*Innen, Risiken und Angriffspotentiale
• Identifizierte Bedrohungen können besser eingeschätzt werden (Entscheidung für oder gegen Maßnahmen)

Sicherer Surfen

1. Sicher Surfen? Phishing, Tracking & Co.
2. Sicherheit auf wackligen Beinen? – HTTPS (SSL/TLS)

Mein digitaler Schatten

Trace My Shadow

What is a Digital Shadow from Tactical Technology Collective on Vimeo.

HTTP

Was beim Surfen passiert (I)

HTTP

Was beim Surfen passiert (II)

Web Tracking I

Web Analytics

• Ziel: Quantitative Datenerfassung
• Erwartung: Rückschlüsse auf Werbeerfolge ziehen können
• Seiteneffekte
  • Nutzer wird über eine längere Zeit identifizierbar
  • Profilbildung und Analyse über mehrere Profile
  • Relationen, Vernetzung, Big Data
• Anzahl der erfassten Daten vom genutzten Dienst abhängig

Web Tracking II

Web Analytics

• Anzahl der erfassten Daten vom genutzten Dienst abhängig
  • Online-Shops
  • Soziale Netzwerke (Walled Gardens)
    • Facebook kann uns besser einschätzen als Freunde
    • Vorsicht Schattenprofile: Facebook trackt alle, auch mit explizitem Widerspruch (auch wenn Facebook das umdeutet)
    • Topic Data von Facebook
    • Mobiles Leben: Twitter App trackt Nutzerverhalten: Deaktivieren
  • Streaming-Dienste (Achtung! Erlauben z. T. kein VPN, keine Proxies)

Web Tracking III

Web Analytics

Technische Umsetzung:

• Seitenabrufe (werden auf dem WebServer gesammelt)
• Like-Buttons, Tracker JavaScript
• HTTP Cookies
• Flash Cookie (LSO, Super Cookies)
• Verizon’s Perma-Cookie (X-UIDH, HTTP Header Injection)
• Browserfingerprint

Do not track

Gegenmaßnahmen gegen Cookies

• Initiative Do not track: Opt-Out-Verfahren
• Gegenmaßname gegen Cookies:
  • Cookies deaktivieren (häufig keine Option)
  • Browser Addons
• Gegenmaßname gegen Perma-Cookies (X-UIDH):
  • ISP wechseln, wenn möglich oder Opt-Out (bei Verizon möglich)
  • nur verschlüsselte Verbindungen (SSL/TLS) über VPN, Tor nutzen

Browser Fingerprints

• digitaler Fingerabdruck der eigenen Systemkonfiguration
• Hennig Tillmanns Diplomarbeit: Browser Fingerprinting – Tracking ohne Spuren zu hinterlassen
• Panopticlick
• HTML5 Canvas Fingerprinting
• Kein 100%-tiges Gegenmittel, nicht einmal Tor/Tails
• Erster Schritt: Addons für JavaScript-Blocking
• Für Puristen: Textbrowser wie Lynx verwenden
• How the NSA Attacks Tor/Firefox Users With QUANTUM and FOXACID

Gefahren

• Passwortdiebstahl und Identitätsdiebstahl: Ein Passwort pro Dienst verwenden (→ CyptoParty zu Passwörtern)
• Einbruch in Anbieter-Datenbanken (Zugänge, Bankdaten, Kreditkarteninformationen)
• Viren und Würmer
• Trojaner
• Phishing (Online-Banking)
• Personenüberwachung: Bundestrojaner, FinFisher

HTTPS (SSL/TLS)

• HTTPS: Standardverschlüsselung beim Abruf von Websites
• SSL/TLS schützten die Übermittlung der Daten (Transportschicht)
• Komplexes Protokoll, mit zwei Hauptzielen:
  • Verschlüsselung (Daten vor anderen verbergen)
  • Identifikation (Können sich zwei Kommunikationspartner vertrauen?)
• Zertifikate auf Anbieterseite (Website, WebServer) notwendig (Vertrauensdilemma)

SSL/TLS Protokoll (II)

Broken Wing

SSL/TLS & Sicherheit (I)

• Chiper Suite
• Beast → TSL 1.0 gebrochen, RC4 deaktivieren (Client/Server)
• POODLE Attacks" → SSL 3.0 gebrochen
• CRIME and BREACH attacks → HTTPS & Kompression
• FREAK → RSA-EXPORT Key
• CREAM → OpenSSL, AES-Implementierung, cache timing attack

Broken Wing

SSL/TLS & Sicherheit (II)

• RC4 Attacks → RC4-Verschlüsslung deaktivieren (Client/Server)
• SSL Strip → HTTP Strict Transport Security (HSTS)
• heartbleed → OpenSSL aktualisieren (betrifft z. T. auch VPN-Software)
• Übersicht der Verwundbarkeit populärer Webseiten bzgl. obiger Attacken
• How does the NSA break SSL?

Broken Wing

SSL/TLS & Sicherheit (III)

Das Problem mit den Root Zertifikaten

• “SSL hijacker” behind Superfish debacle imperils large number of users
• Microsoft Security Advisory: Improperly Issued Digital Certificates Could Allow Spoofing

Fallbeispiel: Online-Banking

SSL/TLS-Zertifikate in der Praxis

Sicherer Surfen

Add-Ons und Best Practices

Internetnutzung

• Datensparsamkeit
• nur in Ausnahmen echte Daten nutzen
• falsche Mail-Adressen, Weg-Werf-Mail-Adressen nutzen
• verschiedene Dienste = verschiedene Identitäten
• Pre-Payed/anonyme SIMs für mobile Nutzung
• keine Chronik (Privater Modus)/Daten beim Schließen löschen
• never trust anyone

before:use

• Nutzt Firefox!
• viele der vorgestellten Add-Ons nur unter Firefox verfügbar!
• Firefox herunterladen

Firefox

Grundeinstellungen 1

• Allgemein: Startseite einstellen?
• Suchmaschinen: Automatismus nötig? Alternativen!
• Inhalt: DRM wirklich nötig?
• Anwendungen: Immer alles automatisieren?
  Besser: speichern oder wenigstens nachfragen als Voreinstellung
• Datenschutz:
  • nicht verfolgen aktivieren
  • Chronik nach benutzerdefinierten Einstellungen
    -> Chronik löschen -> Feineinstellungen vornehmen

Firefox

Grundeinstellungen 2

• Sicherheit:
  • Pro/Contra attakierende Websites
  • Passwörter speichern aus, sonst mindestens Masterpasswort
• Sync: Empfehlung unter Datenschutzgesichtspunkten: nicht verwenden
• Erweitert:
  • Datenübermittlung: alles aus
  • Update: Automatismen ausschalten (Kontrolle über meine Daten)
• Add-ons: Plugins kontrollieren, deaktivieren oder ggf. auf nachfragen setzen

RC4 deaktivieren

• veralteter Verschlüsselungsstandard der aber immer noch akzeptiert wird, von dessen Nutzung jedoch abgeraten wird


• how to do
• In Adressezeile Firefox "about:config" eingeben und versprechen vorsichtig zu sein
• In Suchfeld "rc4" eingeben
• Alle 5 Einträge auf "false" setzen

Alternative Suchmaschinen

Jenseits von Google (Beispiele)

• Kritische Ressource daher: Alternativen nötig
• StartPage
• DuckDuckgo
• MetaGer (deutsche Meta-Suchmaschinen)

Self Destructing Cookies

• Zerstört Cookies nach einer bestimmten Zeit
• Vorteil: Personalisierung und Wiedererkennung auf der Website verhindern
• Nachteil: Cookies teilweise gewünscht
• Funktionen
• Whitelist
• verschiedene Einstellungen

Random Agent Spoofer

• versucht Browserfingerprinting zu erschweren
• wechselt Browser- und Geräteprofile nach einer gewissen Zeit (einstellbar)
• wird spezifisch auf Firefox-Versionen zugeschnitten, von den Möglichkeiten die Firefox bietet beschränkt

uMatrix

• sehr mächtig
• blockiert Werbung sowie Tracker-Skripte und -Elemente
• ermöglicht eine sehr feingranulare Einstellung aller Funktionen unter der Oberfläche

Chat-Apps und Messenger

Grundkonzepte

• Ende-zu-Ende-Verschlüsselung
• Perfect Forward Secrecy
• Problem: Asynchrone Nachrichten

Perfect Forward Secrecy

Späteres Aufdecken von geheimen Nutzerschlüsseln darf es nicht erlauben, früher aufgezeichnete Nachrichten zu entschlüsseln

→ neue Schlüssel für jede Nachricht

OTR

Off-the-Record

• Borisov/Goldberg/Brewer, 2004:
  Off-the-Record Communication,or, Why Not To Use PGP (PDF)
• Beglaubigung während der Konversation
• Abstreitbarkeit nach der Konversation
• Forward Secrecy

Kontaktfindung

• Problem: Metadaten-Sicherheit vs. Kontaktfindung:
  https://whispersystems.org/blog/contact-discovery/
• Problematische Lösung: Whatsapp lädt beim Installieren Teile des Adressbuchs zum Server hoch

→ Unvermeidbarer Zielkonflikt, Kompromisse

Asynchrone Tools

Schlechte Beispiele

• E-Mail: Sicherheit nicht Teil des Konzepts, PGP/GPP-Verschlüsselung aufwendig
• SMS: unsicher, aber Kontaktdaten gehen nur an Stellen (Provider), die sie schon haben
• Whatsapp: unsicher; lädt Kontakte hoch an den Betreiber

Asynchrone Tools

Signal I

• empfohlen
• SMS-Ersatz
• unempfindlich gegen kürzlich aufgetauchte Sicherheitslücke beim Autoplay von MMS (allerdings nur durch Abwesenheit von Autoplay)
• Lädt Hashes der Telefonnummern hoch (nur marginal besser)
• im Prinzip umgehbar, Server ist auch OpenSource

Asynchrone Tools für Mobilgeräte

Signal II

• Problem: Metadaten-Sicherheit vs. Kontaktfindung: https://whispersystems.org/blog/contact-discovery/
• https://play.google.com/store/apps/details?id=org.thoughtcrime.securesms

Signal

Apps für Mobilgeräte

Übersicht I

Apps für Mobilgeräte

Übersicht II

Tox

Was ist Tox

• dezentraler und verschlüsselter Messenger- und Videotelefonie-Software
• Skype ähnlich
• Peer-to-Peer

Features

• Chatten
• Telefonieren
• Videotelefonie
• Dateiaustausch möglich
• Gruppenchats

Toxy

• Client für Windows
• Windows 8 + Oberfläche (Metro-style)
• keine Emoji-Unterstützung
• keine Typing notification
• Proxys möglich → TOR

Pros und Contras

• „Online-Pflicht“
• frühes Entwicklungsstadium (viele Clients, unterschiedliche Feature Sets
• kein Audit

Browser Addons

Browser basierte Chats- und Messenger

Making crypto fun?

Browser basierte Chats- und Messenger

• Einfache Installation und Bedienbarkeit
• geringe Einstiegshürde
• hohe Verfügbarkeit (Browser auf vielen Systemen verfügbar)
• Browser? Sichere Umgebung? (JavaScript!)
• Vertrauliche Kommunikation?

CryptoCat

• Ende-Zu-Ende-Verschlüsselung (OTR, Multiparty, mpOTR in Planung)
• Bedienbarkeit (Usability)
• Client ist Open-Source
• GruppenChats und verschlüsselte Dateiübertragung
• Mac OSX, iOs App verfügbar (Android in Planung, Crowdfunding)

CryptoCat

Threat-Model

• "Ein absolutes Desaster" (Sicherheitslücke in CryptoCat)
• CrytoCat Blog zu Audits und Patches

Fazit

Chats und Messenger I

• Secure Messaging Scorecard
• Nur sichere implementierte Ende-zu-Ende-Verschlüsselungen bietet angemessenen Schutz
• Ende-zu-Ende-Verschlüsselung heißt, dass kein*e Angreifer*In die Nachrichten abfangen kann (Man-in-the-Middel); Nachricht kann nur vom Empfänger und Sender gelesen werden
• Apps/Chats sollten offene, von Experten anerkannte Protokolle verwenden und als OpenSource vorliegen

Fazit

Chats und Messenger II

• Herstellerversprechen sollte man kritisch prüfen (Audits? OpenSource? Protokolle?)
• Smartphones sind schwer abzusichern und unsichere Umgebung für Verschlüsselung
• Signal/TextSecure, ChatSecure für iOS/Android empfohlen
• Tox, Pidgin (OTR) für PCs und Laptops empfohlen