Digitale Selbstverteidigung (v0.1b) Ein Workshop von und mit Peter Bertz + Sören Kupjetz Unter Mitwirkung von Klaas Rüggeberg 1 / 115
Wir Peter Arbeitet seit 4 Jahren beim HRZ Hat seiner Mutter Mailverschlüsselung und Linux beigebracht Kann Computer, bastelt gerne mit Software rum Sören Seit 5 Jahren IT-Heini Hat seiner Mutter Mailverschlüsselung und Linux beigebracht HackSpace-Mensch, Hard- und Software-Bastler 2 / 115
Übersicht Einleitung Datensparsamkeit Datenverschlüsselung Browser Mails, Dateien & Festplatte Smartphone 3 / 115
Historische Perspektive I Tarnung des/der Bot*In Tarnung der Botschaft Lederriemen Caesar-Verschlüsselung 4 / 115
Symmetrische Verschlüsselung 5 / 115
Historische Perspektive II Caesar-Verschlüsselung: Beispiel: Verschiebung um 3 Buchstaben 6 / 115
Historische Perspektive III Guter Überblick über die historische Entwicklung der Geheimdienste: Alternativlos, Folge 30: http://alternativlos.org/30/ 7 / 115
Aktuelle Situation 8 / 115
Aktuelle Situation I Jegliche Kommunikation wird automatisiert... Überwacht mitgeschnitten Diverse Verschlüsselungen... werden ohne Probleme geknackt können in Echtzeit mitgelesen werden 9 / 115
Aktuelle Situation II Gemeindienste kooperieren: lückenloses Netz Jeder tauscht mit Jedem Auch Telefon, Fax und Post werden automatisiert erfasst 10 / 115
Aktuelle Situation III Internetanbieter und Softwarehersteller: Kooperieren freiwillig mit den Diensten werden gezwungen Profile: Aus: Facebook, Google, Microsoft, Twitter, Skype, Whatsapp,... Speicherung über Jahrzehnte (15+ Jahre) Zusammensetzen eines Puzzles 11 / 115
Aktuelle Situation IV Argumentation: Freiheit < Sicherheit! Mögliche Folgen: Bewusstsein für Überwachung Selbstzensur Kontrollverlust Massiver Eingriff in Rechtsstaat 12 / 115
13 / 115
14 / 115
15 / 115
Aktuelle Situation V OpenSource-Community Dieser Workshop soll euch befähigen, einen Teil eurer Privatsphäre zurückzuerlangen Sensibilität für Überwachungsmechanismen erhöhen Datensparsamkeit praktizieren Verschlüsselungstechniken anwenden Sorgenfrei(er) kommunizieren 16 / 115
17 / 115
Passwörter 18 / 115
Passwörter Gute Passwörter sind notwendig für sinnvolles Verschlüsseln! 2 Methoden: Passwort über Eselsbrücken merken und variieren DBGe:SwbUd7Zhnd7B.1 Passwortmanager KeePass 19 / 115
Browser 20 / 115
Browser I Plugins für mehr Privatsphäre und Datensparsamkeit Suchmaschinen: Alternativen zu Google TOR: Weitgehend anonym surfen 21 / 115
Browser II https://panopticlick.eff.org/ 22 / 115
Browser-Plugins I https://www.eff.org/https-everywhere Versucht, wann immer möglich, eine verschlüsselte Verbindung zu einer Website herzustellen 23 / 115
Browser-Plugins II Verhindert Tracking (=Verfolgung über Webseiten und große Zeitfenster) 24 / 115
Browser-Plugins III Blockt Werbung im Internet Automatisierte Aktualisierung von Blockier-Regeln 25 / 115
Browser-Plugins IV Blockt und verhindert Cookies Cookies: Miniakten, die Websites über Besuchende anlegen 26 / 115
Exkurs Cookies 27 / 115
Browser-Plugins IV Löscht Cookies automatisiert 28 / 115
Browser-Plugins V Blockt im Hintergrund einer Webseite laufende Anwendungen U.a. Flash, Java, Java-Script 29 / 115
Firefox aufräumen 30 / 115
Suchmaschinen 31 / 115
Suchmaschinen I Google, Bing, Yahoo Sitz in den USA Datenschutzbestimmungen weniger streng Suchmaschinen legen Benutzer*Innen-Profile an Unterliegen dem Zugriff der Geheimdienste und von Dritt-Firmen 32 / 115
Suchmaschinen II Alternativen (u.a.): Startpage, Ixquick, DuckDuckGo Nutzen anonymisierten Suchvorgang Speichern keine Daten zwischen ABER: Suchergebnisse oftmals weniger brauchbar, da nicht personalisiert 33 / 115
TOR 34 / 115
TOR I = The Onion Router Internetzugriff wird: anonymisiert dezentralisiert Rechner verbindet sich: 1. mit diversen zufälligen Servern 2. darüber mit dem Internet 35 / 115
TOR II 36 / 115
TOR III 37 / 115
TOR IV Vorteil: Stark erschwerte Zurückverfolgbarkeit Für Webseiten ist nur der letzte Server der Verbindung sichtbar (ein TOR-Server) ABER: Aufpassen! Unsachgemäße Nutzung macht Verschleierungstaktik zunichte 38 / 115
TOR V Installation vs. Browser-Bundle 39 / 115
TOR-Bundle I https://torproject.org/download 40 / 115
TOR-Bundle II 41 / 115
Mail / PGP / etc. 42 / 115
PGP I 43 / 115
PGP II Ende-zu-Ende-Verschlüsselung 44 / 115
PGP III K hqema1puvhzb8unsaqf+ks9pnvkw YFONnoStveMc4KwvGT7WlRFv/ZACvd yfskdo icurhl57uh56kcof1m5drfftwjdqwgnym y0cixqv/2wzeqgjzile0z1fdg7cgabs UZvy2hmaJf0dhHEUziALotfUMhoSeHe Obxmomzb7vovJv5tWDtQ9W+p2tbQ4tii n LAsJtwQhEVPNltootBteC0dTgOdISe6kf quson3a22sisuihmjxmpiio6izb8gbs hhfispa4khnwodncre2bjqw+yqhf7l6 CfLjx2S1BCSr+KWLmUnVdWSUonhHP F9mI C K 45 / 115
PGP mit Thunderbird I 46 / 115
PGP mit Thunderbird II I M A P 47 / 115
Exkurs: Warum Thunderbird? I Microsoft Outlook Prinzipiell nicht zu empfehlen Theoretisch: PGP mit gpgo Apple Mail Prinzipiell nicht zu empfehlen Erkennt PGP und kann damit umgehen 48 / 115
Exkurs: Warum Thunderbird? II Webmail Keine sinnvolle Verschlüsselung möglich Mails können beim Verfassen mitgelesen werden Thunderbird OpenSource Erweiterungen Seit Jahren nur Reparaturen, keine neuen Features Google Tippgeschwindigkeit 49 / 115
PGP mit Thunderbird III 50 / 115
PGP mit Thunderbird IV 51 / 115
PGP mit Thunderbird V 52 / 115
PGP mit Thunderbird VI 53 / 115
PGP mit Thunderbird VII 54 / 115
PGP mit Thunderbird VIII 55 / 115
PGP mit Thunderbird IX 56 / 115
PGP mit Thunderbird X 57 / 115
PGP mit Thunderbird XI 58 / 115
PGP mit Thunderbird XII 59 / 115
PGP mit Thunderbird XIII 60 / 115
PGP mit Thunderbird XIV Unterschrift Verschlüsselung61 / 115
PGP mit Thunderbird XV 62 / 115
Exkurs Schlüsselexport I 63 / 115
Exkurs Schlüsselexport II 64 / 115
Exkurs Schlüsselexport III 65 / 115
Testen der PGP-Einrichtung Mail an pgp-test@binbash.biz Fingerprint: 19C5 B4FF A99C 5446 189A 4385 C335 76C6 36C8 7D08 66 / 115
Weiterführendes I 67 / 115
Weiterführendes II DE-Mail Keine Ende-zuEndeVerschlüsselung Gesetzliche Definition von sicher wird an unsichere Umsetzung angepasst Bundesinnenminister ium: PGP nur für E-Mail Made in Germany Zum Teil Kommunikation zwischen Servern von Telekom, web.de verschlüsselt 68 / 115
69 / 115
70 / 115
Cloud I Buzzword; Sammelbegriff für diffusen Krams Auslagerung ins Internet: Intensiven Rechenprozessen Datenspeicherung U.a. durch: Dropbox Apple icloud Microsoft Skydrive 71 / 115
Cloud II Problem: Daten liegen außerhalb des eigenen Zugriffsbereich Folge: Dritte können Privates mitlesen und speichern Hilfe zur Profilverfeinerung 72 / 115
Cloud III Smartphones WLAN-Passwörter bei Google hinterlegt Auslagerung von rechenintensiven Aufgaben Private Daten....nur im Container hochladen! siehe TrueCrypt 73 / 115
Festplattenverschlüsselung 74 / 115
Einige Formen der Verschlüsselung BitLocker Bordmittel unter Linux (LUKS, dmcrypt) Microsoft, proprietär Erfordert oft Fachwissen TrueCrypt Entwicklung eingestellt 2. Sichtung des Quellcodes läuft gerade 75 / 115
TrueCrypt I Verschlüsselung des gesamten Systems oder Container 76 / 115
TrueCrypt II 77 / 115
TrueCrypt III 78 / 115
TrueCrypt IV 79 / 115
TrueCrypt V 80 / 115
TrueCrypt VI 81 / 115
TrueCrypt VII 82 / 115
TrueCrypt VIII 83 / 115
TrueCrypt IX 84 / 115
TrueCrypt X 85 / 115
TrueCrypt XI 86 / 115
TrueCrypt XII Für Windows ggf. NTFS auswählen Zufallszahlen durch Mausbewegung generieren 87 / 115
TrueCrypt XIII 88 / 115
TrueCrypt XIV 89 / 115
TrueCrypt XV 90 / 115
TrueCrypt XVI 91 / 115
TrueCrypt XVII 92 / 115
TrueCrypt XVIII 93 / 115
TrueCrypt XIX 94 / 115
TrueCrypt XX Dauert üblicherweise diverse Stunden... 95 / 115
TrueCrypt XXI 96 / 115
Smartphones 97 / 115
Smartphones I Überwachungswanzen mit überraschenden Fähigkeiten (etwa: Blutzucker messen) SS7 etc. Jedes Mobiltelefon betroffen Viele Sensoren Baseband kann Dinge tun 98 / 115
Smartphones II Softwaremanagement, Updatepolitik und Rechteverwaltung oft ungenügend 99 / 115
Smartphones III Clueful Privacy Advisor Untersucht Apps auf ihre Sicherheitslücken und Berechtigungen 100 / 115
Smartphones IV LBE Privacy Guard Handy muss gerootet sein Möglicherweise Garantieverlust! 101 / 115
Smartphones V Stand: Anfang Dezember 2014; Quelle: http://de.statista.com/statistik/daten/studie/180113/umfrage/anteil-derverschiedenen-android-versionen-auf-geraeten-mit-android-os/ 102 / 115
Smartphones VI Empfehlungen von mobilen Betriebssystemen: Android (vorinstalliert): NEIN! Apple ios: NEIN! Windows Phone 7/8: NEIN! Blackberry: NEIN! Veraltete Software, keine Kontrollmöglichkeiten, partiell: Hintertüren! 103 / 115
Smartphones VII Alternativen für ausgewählte Androiden Cyanogenmod Replicant Privacy Guard Firefox OS SailfishOS Alternativen für WinPhone & iphone Keine uns bekannten 104 / 115
Exkurs Whatsapp I kommerzielle Software aus den USA Kein Quelltext einsehbar Sicherheitslücken Privatsphäre Speicherung privater Konversationen Zugriffsmöglichkeiten durch Dritte Ausnutzen von Sicherheitslücken Direkter Zugriff auf Daten 105 / 115
Exkurs Whatsapp II Alternativen: Threema Geschlossener Quellcode Keine Überprüfung der Verschlüsselungstechniken möglich Telegram Clients sind quelloffen Server Code ist geschlossen Ende-zu-Ende 106 / 115
Exkurs Whatsapp III Sicher(er), aber wenig verbreitet: Jabber OTR 107 / 115
Fazit 108 / 115
Fazit I Benutzt OpenSource-Software! Verschlüsselt ALLES! Betriebssystem, Anwendungen Rechner, Mail, Chat, Smartphone Weitergehende Hilfe (Partiell HRZ) Örtlicher HackSpace: https://bytespeicher.org/ 109 / 115
Fazit II Lasst euch nicht überwachen und verschlüsselt immer schön eure Backups! 110 / 115
Weiterführendes I Horchert, Judith: Automatisierte Überwachung: Ich habe etwas zu verbergen. http://www.spiegel.de/netzwelt/netzpolitik/prismund-tempora-das-gefuehl-der-ueberwachung-a908245.html Hollmer, Karin: Was heißt hier "nichts zu verbergen"? http://jetzt.sueddeutsche.de/texte/anzeigen/572 852/Was-heisst-hier-nichts-zu-verbergen Allgemeines Persönlichkeitsrecht. http://de.wikipedia.org/wiki/allgemeines_pers 111 / 115 %C3%B6nlichkeitsrecht
Weiterführendes II Fefes Blog: http://blog.fefe.de HackSpace Erfurt: http://technikkulturerfurt.de/start Hackerspace Marburg: https://hsmr.cc Frank Rieger im NSA-UA: https://www.youtube.com/watch? v=olp5etpk3cg 112 / 115
Weiterführendes III Prying Eyes: Inside the NSA's War on Internet Security. http://www.spiegel.de/international/germa ny/inside-the-nsa-s-war-on-internetsecurity-a-1010361.html Mitschnitte vom Congress des CCC im Dezember 2014: http://media.ccc.de/browse/congress/201 4 Prism Break: https://prism-break.org 113 / 115
Fertig! 114 / 115
Kontakt PETER SÖREN modi@onenetbeyond.org mail@binbash.biz Fingerabdruck: Fingerabdruck: 82B5 0651 B9C3 E054 FCF5 6C8F 130C 9E78 8C0D 0713 3D60 4E3A CF7F D87B 0165 4C9D 9508 26A8 F99B F728 Jabber: bb@0l3.de 115 / 115