Warum verschlüsseln? Dein Leben - Deine Daten - Deine Freiheit

Download Warum verschlüsseln? Dein Leben - Deine Daten - Deine Freiheit

Post on 15-May-2015

1.419 views

Category:

News & Politics

0 download

Embed Size (px)

DESCRIPTION

Kurze Einfhrungsprsentation fr die Crypto-Party 01 der FDP Nrnberg am 01.08.2013.

TRANSCRIPT

<ul><li> 1. Warum verschlsseln? Dein Leben Deine Daten Deine Freiheit Arian Kriesch - @freiheitsfreund </li></ul> <p> 2. Paranoid oder datenschutzbewusst? Eine Frage des Vertrauens und der Verhltnismigkeit. Speicherplatz wird immer billiger, Rechner leistungsfhiger. Quelle: Washingtonpost.com http://goo.gl/SqnPA und wired.com 3. 1. Grundsatz im Internet: Datensparsamkeit Bewusstsein: Wer kann auf was zugreifen? Unverhltnismigkeit: Wenn ein Akteur (z.B. NSA) alles liest und speichert 4. Was ist Daten-Sicherheit? Authentizitt Sind Absender und Daten echt? Signatur Zugriffsschutz Wer kann meine Information lesen? Krypto- + Steganographie Datensicherheit Wie sicher sind Daten vor Verlust? Backups + Redundanz Anonymitt Ist der Absender zurckverfolgbar? 5. Verteilte Speicherung und Verbindungen Redundantes, dezentrales Netz Dynamische Informationsleitung Weltweit Das Internet ist ausfallsicher Datensicherheit Wie sicher sind Daten vor Verlust? Authentizitt Sind Absender und Daten echt? ideal fr verkompliziert z.B. Sicherung in Cloud Integriert in OS und Handys Dezentral. Oft nur transportverschlsselt. Zugriffsschutz Wer kann meine Information lesen? 6. Verschlssellung + Authentifizierung sind eine Frage des Vertrauens 7. Wem vertrauen? Vertrauen delegieren Hierarchisches Konzept Netzwerk des Vertrauens Dezentrales Konzept z.B. SSL + HTTPS Zentrale Instanz stellt Zertifikate aus und verkauft diese z.B. Pretty Good Privacy (PGP/GPG) User signieren gegenseitig ihre Zertifikate Root-Zertifikate sind z.B. in Webbrowsern eingebaut Diese knnen gestohlen werden Gesamte Kette dann unsicher (Beispiel Diginotar, Google- Zertifikate und Iran, 2011) Niemand kann von jedem ein Zertifikat beglaubigen Vertrauen hierbei also auch delegiert, nur verteilter 8. Vertrauen in Softwarehersteller Open Source Quellcode kann von jedem berprft werden. Kann trotzdem kommerziell sein. Closed Source Schwacher Ansatz: Security by Obfuscation Backdoors sind nicht nachvollziehbar Verschlsselung mit Zweitschlssel umgehbar Offiziell kooperieren die Hersteller mind. gem den jeweils geltenden Gesetzen wie G10. Code ist offen zugnglich Backdoors knnten von jedem zumindest theoretisch gefunden werden Praktisch: Vertrauen in die Community z.B. Linux, GPG, OTR 9. Verschlsselungsanstze Transportverschlsselung Zwischen User und Provider Ende-zu-Ende-Verschl. Von einem Benutzer zum anderen Absoluter Minimalstandard! Emails, Online-Banking, immer einschalten! z.B. HTTPS-everywhere. Kein Nachteil Der Anbieter hat vollen Datenzugriff Verschlsselung sperrt Dritte auf dem Transportkanal aus Authentifizierung eingebaut: z.B. Das ist wirklich meine Bank Auch bei Handys in Hardware eingebaut (SIM) Z.B. HTTPS, HBCI,SIM-Verschlsselung Nur die Entnutzer knnen die Informationen entschlsseln Der Provider sieht und vermittelt nur Datenpakete Authentifizierung eingebaut Nicht automatisch anonym! Z.B. PGP/GPG, Threema, verschlsselte Dateien 10. Technische vs. gesetzliche Sicherheit GG Artikel 10 (1) Das Briefgeheimnis sowie das Post- und Fernmeldegeheimnis sind unverletzlich. (2) Beschrnkungen drfen nur auf Grund eines Gesetzes angeordnet werden. Dient die Beschrnkung dem Schutze der freiheitlichen demokratischen Grundordnung oder des Bestandes oder der Sicherung des Bundes oder eines Landes, so kann das Gesetz bestimmen, da sie dem Betroffenen nicht mitgeteilt wird und da an die Stelle des Rechtsweges die Nachprfung durch von der Volksvertretung bestellte Organe und Hilfsorgane tritt. G10-Gesetz Definiert die Eingriffsrechte der Geheimdienste und regelt die Ausnahmen zu Artikel 10 2011 extrem erweitert Welcher Datenschutz gilt bei der internationalen Verarbeitung von Daten? 11. Verschlsselung vs. Anonymitt Verschlsselung heit nicht automatisch, dass der Kommunikationskanal nicht nachvollziehbar ist! Wichtig nicht nur fr Quellenschutz, Whistleblower, sondern fr jeden User. Umgehung teilweise mglich z.B. TOR Solche Software kann ber Spuren im Internet verwischen Programme wie XKeyscore (NSA) filtern laut Berichten gezielt nach Absendern verschlsselter Nachrichten PGP/GPG z.B. bettet standardmig Absender und Adressaten ein! Quelle: https://www.documentcloud.org/documents/743244-xkeyscore-slidedeck.html 12. Grundlage: Sichere Passphrase Computer knnen Passwrter sehr effizient knacken Dazu probiert der Rechner einfach Variationen aus. Passwort = Relative Sicherheit! Brute Force Systematisch werden alle Zeichenkombinationen durchprobiert Wrterbuchattacke Noch leichter: Wrterbucheintrge und einfache Zahlenkombinationen Niemals einfache Wrter verwenden! Buchstaben, Zahlen und Sonderzeichen kombinieren. Am besten: Vllig zufllig 6 Stellen zu knacken: Ca. 0,16 8 Stellen zu knacken: Ca. 400 800 11 + Stellen: Derzeit relativ sicher Tausende Passwrter in krzester Zeit automatisch zu lsen. Fr jede Anwendung / Website ein eigenes Passwort Nur dann sind andere Accounts sicher, wenn das Passwort einer Seite geklaut wird. 13. Wer kann sich sowas merken? Aufschreiben / Speichern Viele, rein zufllige Passwrter In entsprechendem Programm (Passwortmanager) mit Masterpasswort sichern Passphrase systematisch variieren z.B. Geschichte mit Zahlen und Zeichen anreichern Strapaziert weiterhin das Gedchtnis Mssen trotzdem regelmig gendert werden. Verlagert das Verlustrisiko auf ein einziges Master-Passwort und Gert Vorsicht: Nicht online speichern! Passwortmanager gibt es fr PC/Mac/Linux/Firefox oder Smartphones z.B. im Mac der secure Keyring Strke des Menschen ber den Computer: Semantik, Sinn ber die Worte und Zeichen hinaus. Speichern? Aufschreiben? Eines fr alles? 14. Trojaner und Viren unterminieren jeden techn. Schutz Wer die Tastatur mitliest hat jede Nachricht Gerte-Diebstahl ist groes Sicherheitsproblem Grundlage 2: Sicherer Rechner Immer aktuelle Updates einspielen Am kritischsten: Webbrowser, Betriebssystem und Emailprogramm Immer Antiviren-Software verwenden Bei Windows-Rechnern Auf jedem Rechner und Smartphone ein Passwort setzen Aktuelle Android und iOS-Gerte verschlsseln dann auch die Festplatten Jede Festplatte verschlsseln und Backups sichern Windows: Bitlocker, Mac OS X eingebaut, Linux eingebaut. 15. Praktisches Beispiel: Threema statt Whatsapp Whatsapp is sicherheitskritisch bertrgt Kontaktdaten Unverschlsselte Nachrichten Threema: Ende-zu-Ende verschlsselt Nachteil: Kein Open-Source, nicht kostenlos, nur ein Gert je Account Vorteil: Sehr einfache Nutzung Adressbuchabgleich via Hash statt Upload der vollen Adressbcher Reiner Offline- Kontaktaustausch mglich Ebenfalls kommerzielles Produkt Bisher nur fr iOS Android Quelle Bilder: www.threema.ch 16. Wir installieren auf Wunsch GPG (Email-Verschlsselung) Wir installieren HTTPS everywhere (EFF) Wir tauschen GPG-Schlssel aus und signieren diese Wir aktivieren die Festplatten-Verschlsselungen Wir erklren auf Wunsch GPG, Jitsy, Festplattenverschlsselung, Threema, etc. Praktische Phase 17. Vielen Dank fr Ihre Aufmerksamkeit Verwendete Quellen und Logos mit gesonderter Lizenz: Simple Icons von Dan Leech (Free Art Licence, github.com/danleech/simple-icons. Folgende Icons stehen unter CC BY Lizenz und sind von www.thenounproject.com: Key designed by William J. Salvador from the Noun Project. Hard Disk Drive designed by Eddie Alshehrie from the Noun Project. Mask designed by Gilad Fried from the Noun Project. Passport designed by Katia Marsh Mallow from the Noun Project. Cloud designed by Edward Boatmanfrom the Noun Project. Conversation, designed by Murali Krishna from the Noun Project. Inspiriert von Emiland De Cubber Dear NSA @emilanddc. Arian Kriesch www.arian-kriesch.de @freiheitsfreund Diese Prsentation steht, bis auf anders gekennzeichnete Bestandteile, unter der Creative Commons Namensnennung Nicht-kommerziell Weitergabe unter gleichen Bedingungen 3.0 Unported Lizenz. </p>