Wer wir sind. Digitalcourage e.v. Digitalcourage Hochschulgruppe

Transkript

1

2 Wer wir sind Digitalcourage e.v. Gemeinnütziger Verein für Datenschutz und Bürgerrechte 1987 als FoeBuD e.v. gegründet Big-Brother-Awards, Freiheit statt Angst Demos, Klagen gegen Vorratsdatenspeicheung...etc. Digitalcourage Hochschulgruppe Seit 2013 an der Uni-Bielefeld Cryptopartys, Netzwoche, Linux-Install-Partys...etc. 2 / 64

3 Was ist eine CryptoParty? Workshop zur digitalen Selbstverteidigung "Tupperware-Party zum Lernen von Kryptographie" (Cory Doctorow) Schutz vor Massenüberwachung Einsteigerfreundlich Öffentlich & unkommerziell Fokus auf Freier Software Von Anwendern für Anwender -> Gelerntes weitertragen 3 / 64

4 Agenda Einleitung: Warum digitale Selbstverteidigung? Inputvortrag zu: Sichere Passwörter Verschlüsselung von s (PGP) Tracking beim Browsen vermeiden Dateiverschlüsselung (VeraCrypt) Mobilgeräte/Smartphones Praxis 4 / 64

5 Digitale Selbstverteidigung Kriminelle persönliche Daten Wirtschaft Freunde? Staat Freunde 5 / 64

6 Ich möchte nicht in einer Welt leben, in der alles, was ich sage, alles, was ich tue, jedes Gespräch, jeder Ausdruck von Kreativität, Liebe oder Freundschaft aufgezeichnet wird. Das ist nichts, was ich bereit bin zu unterstützen. Das ist nichts, das ich bereit bin mit aufzubauen. Das ist nichts, unter dem ich zu leben bereit bin. Ich denke, jeder, der eine solche Welt ablehnt, hat die Verpflichtung, im Rahmen seiner Möglichkeiten zu handeln. - Edward Snowden 6 / 64

7 Persönlicher Bereich 7 / 64

8 Daten Analog Privatsphäre selbstverständlich akzeptiert Einbrüche in Privates meist erkennbar Gesetze zum Schutz der Privatsphäre Unverletzlichkeit der Wohnung Briefgeheimnis Digital Konzerne: post-privacy Staat: Nichts zu verbergen" Intransparente Datenerhebung und -nutzung Technisches Verständnis häufig notwendig Datenschutzgesetze nicht zeitgemäß (#Neuland) Freie Entfaltung der Persönlichkeit 8 / 64

9 Wirtschaft (Methoden) "Kostenlose" Angebote Daten sind eine neue Währung Datenhändler kaufen Profile und verkaufen sie an die Werbeindustrie, Versicherungen, Schufa, etc. Geschlossene Systeme (Lock-In) Proprietäre Software Keine offenen Schnittstellen Big Data Zusammenführung, Analyse und Auswertung großer Datenmengen 9 / 64

10 Wirtschaft (Ziele) Geschäftsmodell "Daten sind das Öl des 21. Jahrhunderts" Stefan Gross-Selbeck, Ex-CEO von XING Monopolisierung Lock-in-Effekte aufbauen Konkurrenz aufkaufen Macht / Kontrolle Gesellschaftlicher Einfluss Lobbyismus 10 / 64

11 Beispiel: Facebook Kostenlos Datenschutzeinstellungen werden immer schwieriger Klarnamenpflicht Rechte an den Daten Intransparenz bei der Weitergabe Lock-In (kein Profil-Export) Schön zusammengefasst von Alexander Lehmann (für X3) Video ( 11 / 64

12 Von Alvandria - CC-BY-SA / 64

13 Beispiel: Alphabet Calico (Biotechnologie) Fiber (Aufbau eines eigenen Glasfasernetzes) Google Suche, Analytics, AdSense, G+, Android, Maps, YouTube Nest (Hausautomation) Ventures (Investition in Start-Up Unternehmen) Verily (Biowissenschaften) X Google Glass, autonome Fahrzeuge, Project Loon, Deep Mind 13 / 64

14 Alphabet Ziele & Visionen Geld Absolutes Monopol Internet = Alphabet Keine Netzneutralität Zukunft der Welt gestalten 'Fortschritt' in allen Lebensbereichen (A-Z) Nach den Vorstellungen von Larry Page & Sergey Brin Datenschutz = Hindernis Dabei schützen die Alphabet-Chefs Ihre Privatsphäre stark 14 / 64

15 Staatliche Überwachung Strafverfolgung und Prävention Kontrolle / Machterhalt Vorteil gegenüber anderen Nationen Politisch Wirtschaftlich (Wirtschaftsspionage) 15 / 64

16 Staat (Methoden) Gesetze Vorratsdatenspeicherung Projekte Elektronische Gesundheitskarte Elektronischer Personalausweis und Reisepass Videoüberwachung Geheimdienste Massenhafte und gezielte Überwachung 16 / 64

17 Vorratsdatenspeicherung Erneut beschlossen am 16. Oktober 2015 als: Einführung einer Speicherpflicht und Höchstspeicherfrist für Verkehrsdaten. Verpflichtet Telekommunikationsunternehmen zum verdachtsunabhängigen Speichern von... Standortdaten aller Mobiltelefonate bei Beginn des Telefonats (für 4 Wochen) Standortdaten bei Beginn einer mobilen Internetnutzung (für 4 Wochen) Rufnummern, Zeit und Dauer aller Telefonate (für 10 Wochen) Rufnummern, Sende- und Empfangszeit aller SMS-Nachrichten (für 10 Wochen) zugewiesene IP-Adressen aller Internetnutzer sowie Zeit und Dauer der Internetnutzung (für 10 Wochen) 17 / 64

18 Einschub: Metadaten Definition: Informationen über Merkmale anderer Daten enthalten, aber nicht diese Daten selbst (Wikipedia). In der Telekommunikation häufig Verbindungsdaten genannt. Kleine Datenmenge Im Gegensatz zum Inhalt leicht zu analysieren Inhalte können verschlüsselt werden, Metadaten unbrauchbar zu machen ist schwieriger. Metadaten eignen sich perfekt zur Massenüberwachung 18 / 64

19 Einschub: Metadaten II Beispiel-Analyse von Verbindungsdaten: Wer kommuniziert mit wem? (Gruppen) Wer ist in welchen Gruppen aktiv? Wer ist Schlüsselperson in einer Gruppe? Korreliert die Aktivität mit bestimmten Ereignissen? We kill people based on metadata. General Michael Hayden, Ex-CIA-und-NSA-Chef 19 / 64

20 Quelle: 20 / 64

21 Folgen von Überwachung "Chilling-Effekt" (Selbstzensur) Angepasstes Verhalten Beobachtungsdruck Kontroverse Diskussionen vermeiden Keine freie Meinungsäußerung Keine kreativen Experimente Keine freie Entfaltung der Persönlichkeit 21 / 64

22 Visualisierung von Überwachung Vorratsdatenspeicherung: Stasi vs. NSA Flächenvergleich: 22 / 64

23 Einschub: Freie Software Freiheit 0: Die Freiheit, das Programm auszuführen, wie man möchte, für jeden Zweck. Freiheit 1: Die Freiheit, die Funktionsweise des Programms zu untersuchen und eigenen Bedürfnissen der Datenverarbeitung anzupassen. Freiheit 2: Die Freiheit, das Programm weiterzuverbreiten und damit seinen Mitmenschen zu helfen. Freiheit 3: Die Freiheit, das Programm zu verbessern und diese Verbesserungen der Öffentlichkeit freizugeben, damit die gesamte Gemeinschaft davon profitiert. Viel mehr als Open Source (Offenlegen der Quelltexte) 23 / 64

24 Sichere Passwörter Wie werden Passwörter geknackt? Brute Force Listen / Wörterbuch-Angriffe Alle möglichen Kombinationen ausprobieren Alle Wörter einer Liste ausprobieren Social Engineering Phishing, Person austricksen um PW zu erfahren 24 / 64

25 Wie erschwert man das Knacken des Passworts? Brute Force => Länge (10+ Zeichen) => Verschiedene Zeichentypen (Groß- und Kleinbuchstaben, Zahlen, Sonderzeichen) 25 / 64

26 Wie erschwert man das Knacken des Passworts? Brute Force => Länge (10+ Zeichen) => Verschiedene Zeichentypen (Groß- und Kleinbuchstaben, Zahlen, Sonderzeichen) Listen / Wörterbuch-Angriffe => Kein einzelnes Wort als PW verwenden => Keine Wörter aus dem Umfeld (Namen, Geburtsdaten) 26 / 64

27 Wie erschwert man das Knacken des Passworts? Brute Force => Länge (10+ Zeichen) => Verschiedene Zeichentypen (Groß- und Kleinbuchstaben, Zahlen, Sonderzeichen) Listen / Wörterbuch-Angriffe => Kein einzelnes Wort als PW verwenden => Keine Wörter aus dem Umfeld (Namen, Geburtsdaten) Social Engineering => Niemandem das Passwort verraten! 27 / 64

28 Brute-Force-Angriffe und Passwortlänge Nutzung von Kleinbuchstaben (26 Zeichen) Quelle: (Rechengeschwindigkeit: Schlüssel pro Sekunde (Keys/sec)) 28 / 64

29 Brute-Force-Angriffe und Passwortlänge Nutzung von Groß-, Kleinbuchstaben und Zahlen (62 Zeichen) Quelle: (Rechengeschwindigkeit: Schlüssel pro Sekunde (Keys/sec)) 29 / 64

30 Wie erstelle ich ein sicheres Passwort? DbiR&DSd90M! HausLocherTasteMelone Merksatz:»Der Ball ist Rund & das Spiel dauert 90 Minuten!«Wortreihung 2UrN47oCfK6jAZ8xuKHiop4upPsI73 Passwortgenerator 30 / 64

31 Passwortverwaltung Wichtig: Für jeden Dienst ein anderes Passwort verwenden! Software: KeePass / KeePassX Vorteile Open Source Viele Plattformen Nachteile Win, Linux, Mac, Android Passwortgenerator Masterpasswort Komfort Verschlüsselt gespeichert Darf nicht vergessen oder geknackt werden! Kein Sync zwischen verschiedenen Geräten 31 / 64

32 32 / 64

33 Anbieter Quelle: 33 / 64

34 Alternativen zu "kostenlosen" -Anbietern Posteo.de oder mailbox.org Gratis 24h-Einmal- -Adresse: anonbox.net (CA-Cert) Vorteile Standort in Deutschland Datensparsamkeit Keine Inhaltsanalyse Keine Werbung Anonyme Nutzung möglich Datenschutz hat Priorität Nachteile Kostet 1,- pro Monat 34 / 64

35 Verschlüsselung (PGP) Vorteile Inhalt Ende-zu-Ende verschlüsselt Nachteile Sender & Empfänger sind eindeutig Metadaten unverschlüsselt Sender & Empfänger müssen PGP nutzen Benötigte Software: Programm: Thunderbird Add-on: Enigmail 35 / 64

36 Unterschied Symmetrische / Asymmetrische Verschlüsselung Symmetrische Verschlüsselung (secret key) Wie analoge Schlüssel Ein Schlüssel zum ver- und entschlüsseln Alle Teilnehmer brauchen den Schlüssel Asymmetrische Verschlüsselung (public key) Schlüsselpaar 36 / 64

37 Wie funktioniert PGP (Pretty Good Privacy)? Asymmetrische Verschlüsselung Schlüsselpaar: privater und öffentlicher Schlüssel. Öffentlicher Schlüssel: verschlüsselt die gibst du deinen Kommunikationspartnern Privater Schlüssel: entschlüsselt die bleibt privat, gibst du niemals raus! 37 / 64

38 38 / 64

39 Verbreitung von PGP Quelle: 39 / 64

40 Tracking beim Browsen vermeiden Quelle: 40 / 64

41 Analyse mit Firefox-Addon Lightbeam 41 / 64

42 Analyse mit Firefox-Addon Lightbeam 42 / 64

43 Wie kann ein Webserver mich identifizieren und verfolgen (Tracking)? Cookies: Passive Merkmale: kleine Textdateien, die die aufgerufene Webseite im Browser speichern und wieder abrufen kann. IP-Adresse, Sprache, Browser, Betriebssystem Aktive Merkmale (Javascript, Flash, Java, h264,...) Schriftarten, Browser-Add-ons, Bildschirmauflösung, uvm. => Eindeutiger Browser-Fingerabdruck siehe 43 / 64

44 Wie kann ich mich vor Tracking schützen? Browser-Wahl Browser-Einstellungen Do-not-Track Option Benutzerdefinierte Chronik: Cookies (für Drittanbieter) deaktivieren Adobe Flash Player deaktivieren (Flash-Cookies!) Suchmaschinen Firefox, Chromium ( Ixquick.com/Startpage.com, DuckDuckGo.com, MetaGer.de, etc. (im Gegensatz zu Google auch keine individuellen Ergebnisse) Browser-Add-ons! / 64

45 Schutz durch Firefox-Add-ons Tracker und Werbung blocken: ublock Origin Aktive Inhalte blocken: NoScript Skripte allgemein erlauben (nicht empfohlen) Webseiten immer verschlüsseln: HTTPS Everywhere Flash-Cookies löschen: BetterPrivacy Etwas komplizierter und aufwendiger: Alle Skripte blocken: NoScript Anfragen an Drittanbieter blocken: RequestPolicy Referer blocken: RefControl (Vorsicht!) 45 / 64

46 TOR (The Onion Router) Was ist TOR? Netzwerk zur Anonymisierung von Verbindungsdaten IP-Adresse wird verschleiert Vorteile Anonymes Surfen Nachteile Langsam Login bei personalisierten Seiten nicht sinnvoll 46 / 64

47 47 / 64

48 48 / 64

49 49 / 64

50 50 / 64

51 Dateiverschlüsselung Software: VeraCrypt Weiterentwicklung von TrueCrypt Software zur Datenverschlüsselung Was kann ich mit VeraCrypt machen? Verschlüsselte Container (Ordner) erstellen Komplette Festplatte verschlüsseln USB-Sticks und andere Wechseldatenträger verschlüsseln 51 / 64

52 VeraCrypt Vorteile Plattformübergreifend Win, Mac, Linux Quelloffen, freie Software Nachteile Komfort Passwort vergessen? => Daten weg! Kompatibel mit alten TrueCrypt-Containern 52 / 64

53 Mobilgeräte Benutzt am besten gar keine Mobiltelefone. Oder wir müssen die Mobilfunktechnik so grundlegend neu entwickeln, dass sie keine Spionagetechnik mehr ist. Hardware ("Super-Wanze") Betriebssystem ios (Apple) oder Android (Google) = Pest oder Cholera Android Linux-Basis, quelloffen, Freie Software Tiefe Integrierung von proprietärer Google-Software (vorinstallierte, aktive Anwendungen, sog. "Bloatware") 56 / 64

54 Kommerzielle Datensammlungen Neuer Markt für optimierte personenbezogene Werbung Apps sammeln diverse Nutzerdaten (z. B. Standortdaten) Beispiele von Apps und ihren jeweiligen Zugriffsrechten: Einige Hersteller von SpieleApps (z. B. iapps 7 Inc, Ogre Games, redmicapps) Social Networks (Facebook, Twitter, Path); Location Dienste (Foursquare, Hipster, Foodspotting); Fotosharing App Instagram Facebook App - ungefährer (netzwerkbasierter) Standort - genauer (GPS-)Standort - uneingeschränkter Lesezugriff - Browserverlauf & Lesezeichen lesen & erstellen - Telefonstatus lesen & Identifizieren - automat.nach dem Booten starten ZUSÄTZLICH: ZUSÄTZLICH werden folgende Rechte eingefordert: - lesender Zugriff auf alle SMS und MMS - Zugriff auf Kalendertermine & vertrauliche Informationen - ohne das Wissen der Eigentümer Kalendertermine hinzufügen oder ändern - s an Gäste senden - das Adressbuch der Nutzer Auslesen UND - ohne Freigabe durch den Nutzer an der ServiceBetreiber senden 57 / 64

55 Was kann ich tun? Es gibt Möglichkeiten, sich auch auf dem Smartphone etwas Datensicherheit und Selbstbestimmung zurück zu holen! Das kann ich tun, um mir die Gerätehoheit zurück zu erobern: Starke, sichere Bildschirmsperre wählen (Android-Möglichkeiten, Bildschirm zu sperren von unsicher zu sicherer: Wischgeste, Gesichtserkennung, Muster, PIN, Passwort) 58 / 64

56 Was kann ich tun? 59 / 64

57 Was kann ich tun? WLAN, GPS, Bluetooth, etc. ausschalten, wenn nicht genutzt Schluss mit dem Ammenmärchen "Ich habe doch nichts zu verbergen", bewusster mit den eigenen Daten umgehen 60 / 64

58 Was kann ich tun? Ansprüche an Messenger-Alternativen: eine gute Ende-zu-Ende-Verschlüsselung einen sicheren Verschlüsselungsalgorithmus (AES) Open Source macht Überprüfung der Verschlüsselung durch unabhängige Experten möglich Upload von Daten darf ohne ausdrückliche Bestätigung des Nutzers nicht durchführbar sein Google-freie Installation (z.b. via F-Droid) und Google-freier Betrieb sollten möglich sein => Kaum ein Messenger erfüllt all diese Bedingungen 61 / 64

59 62 / 64

60 Weitere Tipps: Android 'entgoogeln' 1. Unnötiges deaktivieren/entfernen Google-Einstellungen (G+, Standort, Suche, Werbe-ID) 2. Alternative Dienste nutzen Browser, Suche, Mail, Kalender-/Kontakte-Sync 3. Play Store deaktivieren/entfernen mindestens eingeschränkt nutzen 4. Freies Android-Betriebsystem installieren z.b. Replicant, CyanogenMod, Paranoid Android 63 / 64

61 Überblick: empfehlenswerte Apps App-Store: F-Droid Browser: Firefox K-9 Mail Messenger : Conversations (via XMPP/Jabber) SMS: Silence 64 / 64

62 Weitere Projekte I Prism-break.org: ( ) Liste datenschutzfreundlicher Software und Anbieter, z.b.: Startpage und DuckDuckGo statt Google-Suche OpenStreetMap statt Google Maps Dudle statt doodle EtherCalc und EtherPad statt Google Docs Diaspora* statt facebook oder Google+... DigitalCourage: Digitale Selbstverteidigung ( ) 65 / 64

63 Weitere Projekte II freifunk: freie, eigene Internet-Infrastruktur mit offenen WLANs Tails (The amnesic incognito live system): Anonymes LiveLinux Noch in Entwicklung: p p (Pretty Easy Privacy): Einfach zu bedienende und Chat-Verschlüsselung (PGP kompatibel) für Outlook, Thunderbird, WhatsApp, Facebook und Jabber, auf ios-, Android-, Windows- und GNU/Linux-Geräten 66 / 64

64 Kontakt & Infos Homepage: Es liegt außerdem eine Liste aus, auf der man sich in unseren Newsletter eintragen kann. 67 / 64