Digitale Selbstverteidigung (v0.1b) Ein Workshop von und mit Peter Bertz + Sören Kupjetz. Unter Mitwirkung von Klaas Rüggeberg

Transkript

1 Digitale Selbstverteidigung (v0.1b) Ein Workshop von und mit Peter Bertz + Sören Kupjetz Unter Mitwirkung von Klaas Rüggeberg 1 / 115

2 Wir Peter Arbeitet seit 4 Jahren beim HRZ Hat seiner Mutter Mailverschlüsselung und Linux beigebracht Kann Computer, bastelt gerne mit Software rum Sören Seit 5 Jahren IT-Heini Hat seiner Mutter Mailverschlüsselung und Linux beigebracht HackSpace-Mensch, Hard- und Software-Bastler 2 / 115

3 Übersicht Einleitung Datensparsamkeit Datenverschlüsselung Browser Mails, Dateien & Festplatte Smartphone 3 / 115

4 Historische Perspektive I Tarnung des/der Bot*In Tarnung der Botschaft Lederriemen Caesar-Verschlüsselung 4 / 115

5 Symmetrische Verschlüsselung 5 / 115

6 Historische Perspektive II Caesar-Verschlüsselung: Beispiel: Verschiebung um 3 Buchstaben 6 / 115

7 Historische Perspektive III Guter Überblick über die historische Entwicklung der Geheimdienste: Alternativlos, Folge 30: 7 / 115

8 Aktuelle Situation 8 / 115

9 Aktuelle Situation I Jegliche Kommunikation wird automatisiert... Überwacht mitgeschnitten Diverse Verschlüsselungen... werden ohne Probleme geknackt können in Echtzeit mitgelesen werden 9 / 115

10 Aktuelle Situation II Gemeindienste kooperieren: lückenloses Netz Jeder tauscht mit Jedem Auch Telefon, Fax und Post werden automatisiert erfasst 10 / 115

11 Aktuelle Situation III Internetanbieter und Softwarehersteller: Kooperieren freiwillig mit den Diensten werden gezwungen Profile: Aus: Facebook, Google, Microsoft, Twitter, Skype, Whatsapp,... Speicherung über Jahrzehnte (15+ Jahre) Zusammensetzen eines Puzzles 11 / 115

12 Aktuelle Situation IV Argumentation: Freiheit < Sicherheit! Mögliche Folgen: Bewusstsein für Überwachung Selbstzensur Kontrollverlust Massiver Eingriff in Rechtsstaat 12 / 115

13 13 / 115

14 14 / 115

15 15 / 115

16 Aktuelle Situation V OpenSource-Community Dieser Workshop soll euch befähigen, einen Teil eurer Privatsphäre zurückzuerlangen Sensibilität für Überwachungsmechanismen erhöhen Datensparsamkeit praktizieren Verschlüsselungstechniken anwenden Sorgenfrei(er) kommunizieren 16 / 115

17 17 / 115

18 Passwörter 18 / 115

19 Passwörter Gute Passwörter sind notwendig für sinnvolles Verschlüsseln! 2 Methoden: Passwort über Eselsbrücken merken und variieren DBGe:SwbUd7Zhnd7B.1 Passwortmanager KeePass 19 / 115

20 Browser 20 / 115

21 Browser I Plugins für mehr Privatsphäre und Datensparsamkeit Suchmaschinen: Alternativen zu Google TOR: Weitgehend anonym surfen 21 / 115

22 Browser II 22 / 115

23 Browser-Plugins I Versucht, wann immer möglich, eine verschlüsselte Verbindung zu einer Website herzustellen 23 / 115

24 Browser-Plugins II Verhindert Tracking (=Verfolgung über Webseiten und große Zeitfenster) 24 / 115

25 Browser-Plugins III Blockt Werbung im Internet Automatisierte Aktualisierung von Blockier-Regeln 25 / 115

26 Browser-Plugins IV Blockt und verhindert Cookies Cookies: Miniakten, die Websites über Besuchende anlegen 26 / 115

27 Exkurs Cookies 27 / 115

28 Browser-Plugins IV Löscht Cookies automatisiert 28 / 115

29 Browser-Plugins V Blockt im Hintergrund einer Webseite laufende Anwendungen U.a. Flash, Java, Java-Script 29 / 115

30 Firefox aufräumen 30 / 115

31 Suchmaschinen 31 / 115

32 Suchmaschinen I Google, Bing, Yahoo Sitz in den USA Datenschutzbestimmungen weniger streng Suchmaschinen legen Benutzer*Innen-Profile an Unterliegen dem Zugriff der Geheimdienste und von Dritt-Firmen 32 / 115

33 Suchmaschinen II Alternativen (u.a.): Startpage, Ixquick, DuckDuckGo Nutzen anonymisierten Suchvorgang Speichern keine Daten zwischen ABER: Suchergebnisse oftmals weniger brauchbar, da nicht personalisiert 33 / 115

34 TOR 34 / 115

35 TOR I = The Onion Router Internetzugriff wird: anonymisiert dezentralisiert Rechner verbindet sich: 1. mit diversen zufälligen Servern 2. darüber mit dem Internet 35 / 115

36 TOR II 36 / 115

37 TOR III 37 / 115

38 TOR IV Vorteil: Stark erschwerte Zurückverfolgbarkeit Für Webseiten ist nur der letzte Server der Verbindung sichtbar (ein TOR-Server) ABER: Aufpassen! Unsachgemäße Nutzung macht Verschleierungstaktik zunichte 38 / 115

39 TOR V Installation vs. Browser-Bundle 39 / 115

40 TOR-Bundle I 40 / 115

41 TOR-Bundle II 41 / 115

42 Mail / PGP / etc. 42 / 115

43 PGP I 43 / 115

44 PGP II Ende-zu-Ende-Verschlüsselung 44 / 115

45 PGP III K hqema1puvhzb8unsaqf+ks9pnvkw YFONnoStveMc4KwvGT7WlRFv/ZACvd yfskdo icurhl57uh56kcof1m5drfftwjdqwgnym y0cixqv/2wzeqgjzile0z1fdg7cgabs UZvy2hmaJf0dhHEUziALotfUMhoSeHe Obxmomzb7vovJv5tWDtQ9W+p2tbQ4tii n LAsJtwQhEVPNltootBteC0dTgOdISe6kf quson3a22sisuihmjxmpiio6izb8gbs hhfispa4khnwodncre2bjqw+yqhf7l6 CfLjx2S1BCSr+KWLmUnVdWSUonhHP F9mI C K 45 / 115

46 PGP mit Thunderbird I 46 / 115

47 PGP mit Thunderbird II I M A P 47 / 115

48 Exkurs: Warum Thunderbird? I Microsoft Outlook Prinzipiell nicht zu empfehlen Theoretisch: PGP mit gpgo Apple Mail Prinzipiell nicht zu empfehlen Erkennt PGP und kann damit umgehen 48 / 115

49 Exkurs: Warum Thunderbird? II Webmail Keine sinnvolle Verschlüsselung möglich Mails können beim Verfassen mitgelesen werden Thunderbird OpenSource Erweiterungen Seit Jahren nur Reparaturen, keine neuen Features Google Tippgeschwindigkeit 49 / 115

50 PGP mit Thunderbird III 50 / 115

51 PGP mit Thunderbird IV 51 / 115

52 PGP mit Thunderbird V 52 / 115

53 PGP mit Thunderbird VI 53 / 115

54 PGP mit Thunderbird VII 54 / 115

55 PGP mit Thunderbird VIII 55 / 115

56 PGP mit Thunderbird IX 56 / 115

57 PGP mit Thunderbird X 57 / 115

58 PGP mit Thunderbird XI 58 / 115

59 PGP mit Thunderbird XII 59 / 115

60 PGP mit Thunderbird XIII 60 / 115

61 PGP mit Thunderbird XIV Unterschrift Verschlüsselung61 / 115

62 PGP mit Thunderbird XV 62 / 115

63 Exkurs Schlüsselexport I 63 / 115

64 Exkurs Schlüsselexport II 64 / 115

65 Exkurs Schlüsselexport III 65 / 115

66 Testen der PGP-Einrichtung Mail an Fingerprint: 19C5 B4FF A99C A 4385 C335 76C6 36C8 7D08 66 / 115

67 Weiterführendes I 67 / 115

68 Weiterführendes II D Keine Ende-zuEndeVerschlüsselung Gesetzliche Definition von sicher wird an unsichere Umsetzung angepasst Bundesinnenminister ium: PGP nur für Made in Germany Zum Teil Kommunikation zwischen Servern von Telekom, web.de verschlüsselt 68 / 115

69 69 / 115

70 70 / 115

71 Cloud I Buzzword; Sammelbegriff für diffusen Krams Auslagerung ins Internet: Intensiven Rechenprozessen Datenspeicherung U.a. durch: Dropbox Apple icloud Microsoft Skydrive 71 / 115

72 Cloud II Problem: Daten liegen außerhalb des eigenen Zugriffsbereich Folge: Dritte können Privates mitlesen und speichern Hilfe zur Profilverfeinerung 72 / 115

73 Cloud III Smartphones WLAN-Passwörter bei Google hinterlegt Auslagerung von rechenintensiven Aufgaben Private Daten....nur im Container hochladen! siehe TrueCrypt 73 / 115

74 Festplattenverschlüsselung 74 / 115

75 Einige Formen der Verschlüsselung BitLocker Bordmittel unter Linux (LUKS, dmcrypt) Microsoft, proprietär Erfordert oft Fachwissen TrueCrypt Entwicklung eingestellt 2. Sichtung des Quellcodes läuft gerade 75 / 115

76 TrueCrypt I Verschlüsselung des gesamten Systems oder Container 76 / 115

77 TrueCrypt II 77 / 115

78 TrueCrypt III 78 / 115

79 TrueCrypt IV 79 / 115

80 TrueCrypt V 80 / 115

81 TrueCrypt VI 81 / 115

82 TrueCrypt VII 82 / 115

83 TrueCrypt VIII 83 / 115

84 TrueCrypt IX 84 / 115

85 TrueCrypt X 85 / 115

86 TrueCrypt XI 86 / 115

87 TrueCrypt XII Für Windows ggf. NTFS auswählen Zufallszahlen durch Mausbewegung generieren 87 / 115

88 TrueCrypt XIII 88 / 115

89 TrueCrypt XIV 89 / 115

90 TrueCrypt XV 90 / 115

91 TrueCrypt XVI 91 / 115

92 TrueCrypt XVII 92 / 115

93 TrueCrypt XVIII 93 / 115

94 TrueCrypt XIX 94 / 115

95 TrueCrypt XX Dauert üblicherweise diverse Stunden / 115

96 TrueCrypt XXI 96 / 115

97 Smartphones 97 / 115

98 Smartphones I Überwachungswanzen mit überraschenden Fähigkeiten (etwa: Blutzucker messen) SS7 etc. Jedes Mobiltelefon betroffen Viele Sensoren Baseband kann Dinge tun 98 / 115

99 Smartphones II Softwaremanagement, Updatepolitik und Rechteverwaltung oft ungenügend 99 / 115

100 Smartphones III Clueful Privacy Advisor Untersucht Apps auf ihre Sicherheitslücken und Berechtigungen 100 / 115

101 Smartphones IV LBE Privacy Guard Handy muss gerootet sein Möglicherweise Garantieverlust! 101 / 115

102 Smartphones V Stand: Anfang Dezember 2014; Quelle: / 115

103 Smartphones VI Empfehlungen von mobilen Betriebssystemen: Android (vorinstalliert): NEIN! Apple ios: NEIN! Windows Phone 7/8: NEIN! Blackberry: NEIN! Veraltete Software, keine Kontrollmöglichkeiten, partiell: Hintertüren! 103 / 115

104 Smartphones VII Alternativen für ausgewählte Androiden Cyanogenmod Replicant Privacy Guard Firefox OS SailfishOS Alternativen für WinPhone & iphone Keine uns bekannten 104 / 115

105 Exkurs Whatsapp I kommerzielle Software aus den USA Kein Quelltext einsehbar Sicherheitslücken Privatsphäre Speicherung privater Konversationen Zugriffsmöglichkeiten durch Dritte Ausnutzen von Sicherheitslücken Direkter Zugriff auf Daten 105 / 115

106 Exkurs Whatsapp II Alternativen: Threema Geschlossener Quellcode Keine Überprüfung der Verschlüsselungstechniken möglich Telegram Clients sind quelloffen Server Code ist geschlossen Ende-zu-Ende 106 / 115

107 Exkurs Whatsapp III Sicher(er), aber wenig verbreitet: Jabber OTR 107 / 115

108 Fazit 108 / 115

109 Fazit I Benutzt OpenSource-Software! Verschlüsselt ALLES! Betriebssystem, Anwendungen Rechner, Mail, Chat, Smartphone Weitergehende Hilfe (Partiell HRZ) Örtlicher HackSpace: / 115

110 Fazit II Lasst euch nicht überwachen und verschlüsselt immer schön eure Backups! 110 / 115

111 Weiterführendes I Horchert, Judith: Automatisierte Überwachung: Ich habe etwas zu verbergen. Hollmer, Karin: Was heißt hier "nichts zu verbergen"? 852/Was-heisst-hier-nichts-zu-verbergen Allgemeines Persönlichkeitsrecht / 115 %C3%B6nlichkeitsrecht

112 Weiterführendes II Fefes Blog: HackSpace Erfurt: Hackerspace Marburg: Frank Rieger im NSA-UA: v=olp5etpk3cg 112 / 115

113 Weiterführendes III Prying Eyes: Inside the NSA's War on Internet Security. ny/inside-the-nsa-s-war-on-internetsecurity-a html Mitschnitte vom Congress des CCC im Dezember 2014: 4 Prism Break: / 115

114 Fertig! 114 / 115

115 Kontakt PETER SÖREN Fingerabdruck: Fingerabdruck: 82B B9C3 E054 FCF5 6C8F 130C 9E78 8C0D D60 4E3A CF7F D87B C9D A8 F99B F728 Jabber: 115 / 115