Workshop: Private Sicherheit im Internet

Transkript

1 Agenda Sichere Passwörter Sichere Übertragung (SSL/TLS) Einführung in die Verschlüsselung von s Anonym surfen im Internet mit TOR

2 Sichere Passwörter Man soll es nicht glauben, aber Passwörter wie QWERTZ, oder einfach ein Vorname sind tatsächlich häufig gewählte Codes, um vertrauliche Daten zu sichern. Der Grund dafür ist klar: Wir müssen uns immer mehr Passwörter merken. Je einfacher die also gestaltet sind, desto leichter fällt uns das: Töchterchens Vorname wird zum -Login, Sohnemanns Geburtstag zum Passwort für das Online-Banking. Ein handelsüblicher PC probiert heute pro Sekunde rund 25 Millionen solcher Passwörter aus. Wer Zugang zur Abfrage-Schnittstelle eines Passwort-geschützten Dienstes hat, wird die meisten von uns üblicherweise genutzten Passwörter darum innerhalb weniger Sekunden knacken.

3 Sichere Passwörter Ein Beispiel: Ihr wählt als Passwort den Typ eures geliebten ersten Autos (ist ja definitiv leicht zu merken): kadett. Euer Passwort hat sechs Zeichen. Das deutsche Alphabet bietet 26 reguläre Schriftzeichen (ohne Umlaute und Sonderzeichen). Daraus ergeben sich für euer Passwort rund 309 Millionen mögliche Kombinationen. Ein handelsüblicher PC errechnet 25 Millionen Kombinationen pro Sekunde. Für euer Passwort wird er also nicht länger als rund 12 Sekunden brauchen, wahrscheinlich aber knackt er es deutlich schneller. Programme, um solche Brute-Force-Passwortangriffe durchzuführen, sind im Internet frei oder kostenpflichtig verfügbar, man braucht dafür keinerlei Hacking-Know-how. Besser wird das mit jedem zusätzlichen Zeichen, dazu mit jeder Variation. Hieße euer Passwort nicht "kadett", sondern "kade11", müsste ein Angreifer nicht mehr 309 Millionen mögliche Kombinationen durchrechnen, sondern rund 57 Milliarden. Die Sicherheit lässt sich also mit einfachen Mitteln erhöhen.

4 Sichere Passwörter Ein paar Tipps: Je länger, desto besser. Schon bei zehn stelligen Passworten braucht ein PC mehrere Jahre, um alle Kombinationen durch zurechnen. Die Ergänzung des Zeichensatzes um Zahlen, der Einsatz von Großbuchstaben und Sonderzeichen (soweit vom Dienst oder Programm erlaubt) erhöht die Sicherheit zusätzlich. Weil man sich aber ein Passwort wie "hiahj17zhbx84fg?huigaq41aden" eher schlecht merken kann, sollte man auf persönlich einprägsame Wortsequenzen setzen, die man noch durch Zahlen ergänzen kann: "DasHierKannIchMirGutMerken987" ist doch ein Klacks, oder? Und nicht nur das: Es ist so gut wie unknackbar. So wie beispielsweise auch "MeineTochterWog3600GRAmm" oder "DieHochZeitsSchuheWarenRot1204" - ein gut zu merkendes Detail aus der eigenen Biografie kombiniert mit einem Datum.

5 Sichere Passwörter Ein paar Tipps: Das lässt sich variieren: Nehmt ein völlig kryptisches Passwort, das ihr mit einer einfachen Eselsbrücke jederzeit abrufen können. "WrSsDnUw?13" ist zum Beispiel aus den Anfangsbuchstaben der Worte der ersten Zeile des Erlkönig-Gedichts zusammengesetzt, ergänzt um eine gut zu merkende Zahl. Man sollte seine Passwörter nicht von einem Web-Dienst verwalten lassen. Was man aus der Hand gibt, kann auch leichter verloren gehen. Jeder Dienst, jedes Programm braucht sein eigenes Passwort: "Knackste Eines, hast Du alle" ist unbedingt zu vermeiden. So lästig das ist, auf Generalschlüssel muss man leider verzichten. Wer auf Nummer sicher gehen will, muss sein Passwort in Abständen ändern - zumindest bei wichtigen Anwendungen wie beispielsweise beim Online-Banking ist das ratsam.

6 Sichere Passwörter Ein paar Tipps: Weil das auch schwierig ist, benutze ich z.b. einen Passwortsafe wie Keepass oder KeepassX, da sind alle meine Passwörter verschlüsselt gespeichert und ich muss mir im Zweifel nur ein langes Passwort merken. Windows, MAC, Keepass Android, ipad, iphone

7 Sichere Übertragung Welchen Nutzen hat die Verschlüsselung bei -Servern? Während der Einrichtung eines -Kontos in Ihrem -Programm können Sie angeben, ob Verschlüsselung verwendet werden soll. Im folgenden Artikel soll aufgeführt werden, welchen Nutzen diese Verschlüsselung bringt und warum diese in jedem Fall verwendet werden sollte. Bei der Übertragung von -Nachrichten über die beiden Protokolle IMAP oder POP3 werden alle Inhalte normalerweise im Klartext übertragen. Dies bedeutet, dass all diejenigen, die den Datentransfer mitlesen können, die Inhalte sofort sehen und verstehen können.

8 Sichere Übertragung Mit gelesen werden kann der Datenverkehr beispielsweise: an einem WLAN-Hotspot, der keine Verschlüsselung bietet: andere Laptop-Nutzer können den Datentransfer im WLAN mitschneiden durch Trojaner/Viren/Würmer, die sich auf dem eigenen Rechner eingenistet haben in Firmen-Netzwerken durch andere Mitarbeiter oder Server-Administratoren Zu den Inhalten, die über das Internet übertragen werden, gehören nicht nur die tatsächlichen -Nachrichten, sondern auch Benutzernamen und Passwörter für das -Konto selbst. Wurden Benutzername und Passwort also durch Dritte mit gelesen, können diese die Mails zukünftig direkt selbst lesen.

9 Sichere Übertragung Sobald nun SSL oder TLS als Verschlüsselungsmethode im -Programm eingestellt wurde, ist dies nicht mehr möglich: Bevor Daten übertragen werden, einigen sich das -Programm und der -Server auf eine Verschlüsselungsmethode mit einem gemeinsamen Schlüssel, welche bei jeder Verbindung neu ausgehandelt werden. Nach dem Aufbau der verschlüsselten Verbindung können nun Benutzername, Passwort und die -Nachrichten übertragen werden. Bei der Verschlüsselungsart kann meist zwischen "SSL/TLS" ("SSL-Verschlüsselung") und "STARTTLS" ("TLS-Verschlüsselung") ausgewählt werden. Die Unterschiede sind hierbei gering, bei beiden Methoden wird eine verschlüsselte Verbindung zum - Server aufgebaut, jedoch ist der Aufbau unterschiedlich.

10 Sichere Übertragung STARTTLS: Die verschlüsselte Verbindung wird erst aufgebaut, wenn der -Client den Server dazu auffordert Die Verbindung vor der Aufforderung ist weiterhin unverschlüsselt, der Befehl "STARTTLS" kann von Dritten mit gelesen werden Unverschlüsselte und verschlüsselte Verbindungen können den gleichen Server-Port verwenden

11 Sichere Übertragung SSL: Steht für "Secure Socket Layer" Es werden alle Daten von Beginn an verschlüsselt. Die Verbindung beginnt direkt mit der Aushandlung der Verschlüsselungs-Parameter Es wird somit ein eigener Port, explizit nur für die SSL-Kommunikation, benötigt: bei POP3: 995 bei IMAP: 993 bei SMTP: 465 Diese Ports werden meist mit "POP3S", "IMAPS" oder "SMTPS" bezeichnet, wobei das "S" für "secure" steht.

12 Sichere Übertragung Einrichtung am Beispiel Outlook 2010 Starten Sie Outlook Klicken Sie auf Datei (A) > Informationen (B) > Kontoeinstellungen (C)

13

14 Wählen Sie Ihr -Konto aus (A) und klicken Sie auf Ändern... (B).

15 Es öffnet sich ein neues Fenster. Klicken Sie auf Weitere Einstellungen.

16 Es öffnet sich das Fenster Internet- -Einstellungen. Klicken Sie auf Erweitert.

17 Tragen Sie die Ports für Posteingangs- und Postausgangsserver, sowie den jeweiligen verschlüsselten Verbindungstyp ein. Postausgangsserver 993 Verwenden Sie den folgenden verschlüsselten Verbindungstyp Postausgangsserver 25 Verwenden Sie den folgenden verschlüsselten Verbindungstyp SSL TLS.

18 Schließen Sie die Kontoeinrichtung mit Fertig stellen ab.

19 Verschlüsselung mit Gnu Privacy Guard (gpg) GPG ist ein Public-Key-Verschlüsselungsverfahren, das heißt, dass zum Verschlüsseln von Nachrichten keine geheimen Informationen nötig sind. Jeder GPG- Nutzer erstellt ein Schlüsselpaar, das aus zwei Teilen besteht: dem privaten Schlüssel und dem öffentlichen Schlüssel. Auf den privaten Schlüssel darf nur der Eigentümer Zugriff haben. Daher wird dieser in der Regel auch mit einem Passwort geschützt. Mit diesem können Daten entschlüsselt und signiert werden. Der öffentliche Schlüssel dient dazu, Daten zu verschlüsseln und signierte Daten zu überprüfen. Er muss jedem Kommunikationspartner zur Verfügung stehen, der diese beiden Aktionen durchführen will. Die Daten können mit dem öffentlichen Schlüssel weder signiert noch entschlüsselt werden, daher ist seine Verbreitung auch mit keinem Sicherheitsrisiko behaftet. Die öffentlichen Schlüssel können mit anderen Nutzern über eine Vielzahl von Kanälen ausgetauscht werden, z. B. Internet-Schlüsselserver.

20 Installation GPG4Win Starten Sie GPG4Win Die Frage, ob Sie das Programm installieren wollen, beantworten Sie mit [Ja]. Es begrüßt Sie dieser Screen:

21 Installation GPG4Win Beenden Sie alle möglicherweise auf Ihrem Rechner laufenden Programme, und klicken Sie dann auf [Weiter]. Auf der Seite mit dem Lizenzabkommen, können Sie Informationen zu den Lizenzen dieser Software lesen.

22 Installation GPG4Win Klicken Sie auf [Weiter]. Auf der Seite mit der Komponentenauswahl können Sie entscheiden, welche Programme Sie installieren möchten. Wenn Sie mit der Maus über die Auswahl laufen, dann erscheint jeweils rechts eine Kurzbeschreibung die Ihnen bei der Entscheidung hilft.

23 Installation GPG4Win Sinnvoll ist es, mindestens GnuPG, GPA, WinPT und die Handbücher zu installieren. Den Rest können Sie bei Bedarf auch später installieren. Wenn sie Outlook verwenden wird auch GPGol gebraucht. Klicken Sie auf [Weiter].

24 Installation GPG4Win Klicken Sie anschließend auf [Weiter]. Auf der folgenden Seite können Sie festlegen, welche Verknüpfungen installiert werden. Voreingestellt ist lediglich eine Verknüpfung mit dem Startmenü.

25 Installation GPG4Win Klicken Sie anschließend auf [Weiter]. Falls Sie auf der vorhergehenden Seite eine Verknüpfung mit dem Startmenü ausgewählt haben (dies ist die Voreinstellung), so wird Ihnen nun eine Seite angezeigt, mit der Sie den Namen dieses Startmenüs auswählen können.

26 Installation GPG4Win Am einfachsten übernehmen Sie die vorgeschlagene Einstellung und klicken dann auf [Installieren]. Während der nun folgenden Installation sehen Sie einen Fortschrittsbalken und Informationen, welche Datei momentan installiert wird. Sie können jederzeit auf [Details anzeigen] drücken um ein Protokoll der Installation sichtbar zu machen.

27 Installation GPG4Win Nachdem die Installation abgeschlossen ist, drücken Sie bitte auf [Weiter]. Die letzte Seite des Installationsvorgangs wird nun angezeigt:

28 Installation GPG4Win Klicken Sie auf [Fertig stellen]. In einigen Fällen kann es vorkommen, dass Windows neu gestartet werden muss. In diesem Fall sehen Sie statt der vorherigen die folgende Seite:

29 Installation GPG4Win Klicken Sie hier auch auf [Fertig stellen]. Das war's schon! Sie haben Gpg4win installiert und können es gleich zum ersten Mal starten. Bezugsquellen für GPG: (links) Windows: GPG4Win MAC: Mac GNU Privacy Guard Linux: GnuPG Android: APG ipad/iphone: opengp

30 Installation GPG4Win Klicken Sie hier auch auf [Fertig stellen]. Das war's schon! Sie haben Gpg4win installiert und können es gleich zum ersten Mal starten. Bezugsquellen für GPG: (links) Windows: GPG4Win MAC: Mac GNU Privacy Guard Linux: GnuPG Android: APG ipad/iphone: opengp

31 TOR (The Onion Router) Der Nutzer installiert auf seinem Computer einen Client, den sogenannten Onion- Proxy. Dieses Programm verbindet sich mit dem Tor-Netzwerk. In der Startphase lädt sich das Programm eine Liste aller vorhandenen und nutzbaren Tor-Server herunter. Diese mit einer digitalen Signatur versehene Liste wird von Verzeichnisservern (englisch directory server) aufbewahrt. Deren öffentliche Schlüssel werden mit dem Tor-Quellcode geliefert. Das soll sicherstellen, dass der Onion-Proxy ein authentisches Verzeichnis erhält. Wenn die Liste empfangen wurde, wählt der Onion-Proxy eine zufällige Route über die Tor-Server.

32 TOR (The Onion Router) Der Client verhandelt mit dem ersten Tor-Server eine verschlüsselte Verbindung. Wenn diese aufgebaut ist, wird sie um einen weiteren Server verlängert. Diese Prozedur wiederholt sich noch einmal, so dass eine Verbindungskette immer drei Tor- Server enthält. Jeder Server kennt seinen Vorgänger und seinen Nachfolger. Die Entwickler des Projektes wählten drei Server, um möglichst große Anonymität bei noch akzeptabler Verzögerungszeit zu erreichen. Der Erfolg hängt dabei davon ab, dass mindestens einer der Server vertrauenswürdig ist und ein Angreifer nicht schon den Anfangs- und Endpunkt der Kommunikation überwacht. Nachdem eine Verbindung aufgebaut wurde, werden über diese Server die Daten versandt. Der letzte Server tritt dabei als Endpunkt der Kommunikation auf. Er wird als Exit- oder Austritts-Server oder -Knoten (englisch exit node) bezeichnet. Der oben beschriebene Verbindungsaufbau wird in regelmäßigen Abständen wiederholt, und die Verbindungsstrecken werden nach etwa 10 Minuten gewechselt.

33 TOR (The Onion Router) Die Pakete innerhalb des Tor-Netzwerkes werden immer verschlüsselt weitergegeben. Erst wenn der Exit-Knoten die Pakete weitergibt, können diese unter Umständen unverschlüsselt sein. Daher ist es weiterhin wichtig, Ende-zu-Ende- Verschlüsselung und -Integritätsschutz einzusetzen, da der Betreiber eines Exit- Knotens ansonsten den kompletten Datenverkehr mitlesen und manipulieren kann.

34

35

36 TOR (The Onion Router) Am Anfang nimmt man am besten das TOR Browser Paket, dies ist ein vorkonfigurierter Firefox Browser der schon für die Benutzung mit TOR eingestellt ist. Wer mehr wissen will geht auf die Webseite des TOR Projekts. Dort gibt es auch die Software für alle Betriebssysteme und in Verschiedenen Sprachen zum herunterladen. zum Torprojekt Wer es sich noch einfacher machen will, kann beim Verein digitalcourage e.v." einen PrivacyDongle (USB-Stick) bestellen, auf dem TOR bereits vorinstalliert ist. Man muss nur den Stick einstecken und kann von dort sofort anonym lossurfen.

37 Meine Damen und Herren, ich danke für Ihre Aufmerksamkeit. Links zu den Programmen, Anleitungen und diese Präsentation als PDF finden Sie unter: copyright by Karl-Heinz Greppmair