Donnerstag, 18. Juli 2013

Die besten Kryptotools für den Alltag

Seit über sechs Wochen ist das Thema nun aktuell: NSA, GCHQ, BND, PRISM, Tempora, .... und die Liste wird immer länger. Es ist ebenfalls nicht abzusehen, dass die Serie der Enthüllungen aussetzen wird, denn Edward Snowden hat noch Pfeile im Köcher, auch wenn er damit wohl warten wird, bis er aus Russland abreisen konnte. Das Ausmaß der Überwachungen ist jedenfalls gigantisch! Ein Artikel, der das gut zusammfasst ist z.B. dieser hier.

Während sich die Meldungen zum Thema momentan überschlagen gibt sich unsere Regierung gelassen unwissend. Innenminister Herr Hans-Peter Friedrich zum Beispiel, dreht den Spieß um: Nicht die Regierung ist in der Verantwortung unsere Daten vor fremden Zugriffen zu schützen, nein, wir selbst sind das!
Er hat Deutsche nun zu mehr Datenschutz aufgefordert..
Da die deutsche Politik also unfähig - oder vermutlich sogar wissentlich ignorant - ist, bleibt dem kleinen Bürger wohl nichts anderes übrig als Friedrichs Ratschlag anzunehmen um sich zumindest ein bisschen aus der jeden Menschen verdächtigenden Geheimdienst-Schlinge zu ziehen. (nur so nebenbei.. wieso fällt eigentlich niemandem auf, dass hier Bürgerrechte verletzt werden?!)

Was man dazu braucht sind im Grunde nur die richtigen Tools und ein bisschen Know-how. Die gängigsten Programme werde ich hier nun vorstellen.


Surfen

Beginnen wir beim Üblichsten, beim Surfen. Das einfachste, was man tun kann, ist darauf zu achten, möglichst immer via HTTPS zu surfen. Die meisten großen Webseiten bieten das bereits an, auch wenn es nicht immer standardmäßig aktiviert ist. Die EFF (Electronic Frontier Foundation) hat eine Browsererweiterung für Firefox und Chrome geschrieben, die bei jedem Seitenaufruf versucht, auf HTTPS zu wechseln, wenn es möglich ist.

TOR Logo
Natürlich ist HTTPS nur der erste Schritt. Zwar ist der Inhalt der Seiten nun verschlüsselt, NSA und Co. können trotzdem sehen, welche Seiten man aufruft und vor allem: wer die Seiten aufruft. Die eigene IP-Adresse ist sehr verräterisch! Um seine IP zu anonymisieren gibt es nun mehrere Wege. Der bekannteste lautet TOR. Wenn man TOR nutzt, wandern die eigenen Netzwerkpakete verschlüsselt durch 3 TOR-Knoten. Schon der 2. weiß dann nicht mehr, von wem das Paket ursprünglich kam. Für die Webseite, die der 3. Knoten aufruft (und das Ergebnis dann wieder zurückreicht) wird es so sehr schwer nachzuvollziehen, wer da wirklich surft. Ein ähnliches Konzept wird beim I2P Netzwerk genutzt. TOR und I2P haben den Vorteil, dass ihr Konzept auf Misstrauen aufbaut, sodass man sich relativ wenig Sorgen darüber machen muss, dass die Anonymisierung eventuell kompromittiert werden könnte. Nachteil ist allerdings die Geschwindigkeit, mit der man über TOR und I2P surft. Die vielen "Hops" können das Surfen unter Umständen zu einer langsamen Angelegenheit machen.
Eine Alternative zu TOR und I2P sind VPN-Dienstleister wie z.B. vpntunnel.com. Diese sind vergleichsweise schnell, haben aber den Nachteil, dass sie kosten und man dem Dienstleister vertrauen muss. Wenn man sich nicht gut genug erkundigt, kann es sein, dass Geheimdienste und Strafverfolger Zugriff auf die Daten des Dienstleisters haben (z.B. einfach weil er Verbindungsdaten speichert, damit ist die eigene IP nicht mehr anonym).

TOR, I2P und VPN-Tunnel bringen allerdings wenig, wenn man sich während deren Benutzung auf Facebook oder anderen Netzwerken, in denen man seinen echten Namen angegeben hat, anmeldet, denn es gibt noch andere Dinge, die einen Internetnutzer identifizierbar machen, z.B. den Browserfingerabdruck. Einmal mit echtem Namen bei Facebook, Twitter oder Google angemeldet, können Geheimdienste den Fingerabdruck mit dem eigenen Namen in Verbindung bringen, was jegliche Anonymität aufhebt. Auf dieser Seite der EFF kann man sich den Fingerabdruck des eigenen Browsers ansehen und mit anderen vergleichen.
Das TOR-Projekt hat das Problem mit seinem Tor Browser Bundle elegant gelöst: Benutzt man während einer TOR-Session ausschließlich den mitgelieferten Browser, ist der Fingerabdruck immer exakt der selbe. Alle anderen, die das Browser Bundle benutzen haben den gleichen. Der Fingerabdruck wird vom Browser gefälscht.
Am einfachsten (und wahrscheinlich auch am besten) ist es, wenn man für Facebook und andere Dienste, die den eigenen Namen kennen, gar keine Anonymisierung nutzt, was ja auch kein Schaden ist, denn die haben alle Daten sowieso jederzeit für Geheimdienste verfügbar (man vergleiche Fall Daniel Bangert).

Email

Email-Verschlüsselung ist eigentlich recht einfach. Vorausgesetzt man nutz einen lokalen Client wie Thunderbird oder Outlook zum Abrufen und Versenden von Emails, denn für die beiden gibt es entsprechende Erweiterungen. Grundsätzlich sollte man allerdings auf alle Fälle beachten, dass es bei Emails keine Möglichkeit gibt zu verstecken, von wem die Email kam oder wann. Der "Briefkopf" der Mail bleibt also immer sichtbar, nur den Inhalt kann man verschlüsseln.

GnuPG Logo
Eigentlich gibt es zwei anerkannte Methoden Emails zu verschlüsseln und zu signieren: S/MIME und PGP (Pretty Good Privacy). Beide bauen auf das gleiche Prinzip der asymmetrischen Verschlüsselung auf. Der essenzielle Unterschied zwischen den beiden liegt in ihrer Handhabung von Vertrauen. S/MIME-Public-Keys werden von einer Zertifizierungsstelle (CA) signiert um die Echtheit sicherzustellen (ähnlich wie bei HTTPS). D.h. eine Firma oder Organisation stellt mit ihrer Signatur sicher, dass derjenige, der den Public-Key verwendet, wirklich der ist, der er behauptet zu sein. Hier greift genau das gleiche Gegenargument, das oben gegen VPN-Dienstleister spricht: Man muss dem Signierer/Zertifizierer vertrauen. Leider hat die Vergangenheit gezeigt, dass man das nicht immer uneingeschränkt kann. Vor knapp zwei Jahren wurde z.B. die Zertifizierungsstelle DigiNotar gehackt, was heftige Folgen hatte.

Bei PGP ist das Vertrauenskonzept erst einmal genau so wie bei TOR oder I2P: Zu Beginn vertraut man einfach niemandem. Bekommt man einen Public-Key von jemandem, kann man selbst entscheiden in wie weit man darauf vertraut, dass der Kontakt echt ist. Hat man seinen Kontakt in Person getroffen und sichergestellt, dass der Key wirklich zu dieser Person gehört, kann man den Public-Key des anderen sogar selbst signieren (oder zertifizieren, wenn man so will) und damit aussagen: "Ich vertraue dieser Person vollkommen, ich gehe sogar so weit und mache meine Vertrauenswürdigkeit von ihm abhängig!". Auf diese Weise bildet sich über die Zeit ein sogenanntes Web of Trust, denn andere können die eigenen Signaturen sehen.

Treibt man dieses Konzept auf die Spitze und trifft jede Person, mit der man kommunizieren möchte zuerst in Person, ist es praktisch unmöglich, dass man beim Mailen mit der falschen Person schreibt, bzw. belauscht wird. Das Vertrauen ist dann maximal. Genau aus diesem Grund möchte ich hier auch ausschließlich GnuPG, eine freie PGP-Implementierung vorstellen, die es für Windows, Mac und Linux gibt.

Unter Linux lässt sich GnuPG üblicherweise über den jeweiligen Paketmanager installieren. Für Windows gibt es Gpg4win und für Mac OS die GPGTools. Bei Gpg4win ist eine Erweiterung für Outlook mit dabei, während bei den GPGTools eine Erweiterung für Apple Mail beiliegt. Für Thunderbird gibt es die plattformübergreifende Erweiterung Enigmail, die allerdings ein installiertes GnuPG voraussetzt. Tutorials und Anleitungen wie man Enigmail (oder auch die entsprechenden Erweiterungen für Outlook und Apple Mail) einrichtet, gibt es in ausreichender Menge und Qualität im Internet zu finden, z.B. hier.

Chat / Instant Messaging

Inzwischen sind die meisten von uns gewohnt, jederzeit via Facebook und/oder WhatsApp erreichbar zu sein. Es ist bequem, geht schnell, ist einfach und kostet (fast) nichts. Das Problem an der Sache: Niemand weiß, wie viel die Anbieter wirklich speichern und in wie weit Geheimdienste und Strafverfolger Zugriff auf die getätigten Gespräche haben. Ganz abgesehen von Datenschutzrichtlinien, die es den Apps z.B. erlauben sämtliche Telefonnummern der eigenen Kontaktliste auf die Server der Dienste hochzuladen. Natürlich nur, damit man andere Nutzer schneller findet. Natürlich. Gesammelte Daten lassen sich ja auch so schlecht verkaufen heutzutage.. Ich schätze man erkennt die Ironie..

Einen einfachen und sogar ganz kostenlosen Ausweg aus der Datenschutz- und Überwachungsmisere bietet z.B. XMPP (auch bekannt als Jabber). Im Gegensatz zu Facebook, WhatsApp und Co., bei denen Nachrichten immer über einen Server laufen, kann man sich bei XMPP selbst aussuchen, auf welchem Server der eigene Account liegt. Das hindert jedoch nicht daran, auch mit Leuten auf anderen Servern zu chatten, denn XMPP ist ein dezentrales Protokoll. XMPP-Accounts sind wie E-Mailadressen. So ist es auch nicht verwunderlich, dass es kein Problem ist als "ignitedPotato@randombit.eu" mit "xyz@jabber.ccc.de" in Kontakt treten zu können. Kostenlose XMPP-Accounts gibt es z.B. vom CCC (Chaos Computer Club) in Deutschland: CCC-Jabber. Eine große Liste mit kostenlosen XMPP-Servern gibt es hier.

Natürlich sollte man sich, trotz der dezentralen Unüberschaubarkeit, seiner Daten nicht allzu sicher sein. Eingehende und ausgehende Nachrichten werden zwar standardmäßig bis zum Server via SSL verschlüsselt, danach ist das ganze allerdings recht ungewiss. Andere Server könnten andere Einstellungen haben, die es Clients erlauben auch unverschlüsselt zu kommunizieren. Auch die Kommunikation zwischen den Servern läuft gerne unverschlüsselt ab. Obendrein, kann man ja wieder nie wirklich wissen, ob man dem Server vertrauen kann. Um wirklich abhörsicher, durchgehend verschlüsselt aber vor allem vertraut Chatten zu können, muss man wieder einmal selbst Hand anlegen. Zum Glück gibt es hier eine wunderbare und etablierte Möglichkeit namens OTR, welche Nachrichten Ende-zu-Ende verschlüsselt und obendrein sicherstellt, dass das Gegenüber der ist, der er vorgibt zu sein.

Pidgin Logo
Ein Client für Windows, Mac und Linux der XMPP sehr gut unterstützt, ist z.B. Pidgin. Ein OTR-Plugin dafür gibt es unter Linux für gewöhnlich direkt in den Paketquellen, unter Windows gibt es dieses hier und unter Mac OS kann man zu Adium greifen, was ein Pidgin-Port ist der OTR bereits von Beginn an beinhaltet. Da man gerne auch Mobil schreibt, hier die mobilen Alternativen: Für Android gibt es einen guten XMPP-Client names Xabber, der OTR von Haus aus kann und für iOS gibt es ChatSecure, ebenfalls mit OTR-Unterstützung. Hilfe bei der Einrichtung gibt es wie immer ausreichend im Internet, z.B. hier.

Weiterere und eventuell rettende Vorteile von OTR sind die beiden Kernaspekte (außer Verschlüsselung und Authentifizierung), die ich noch nicht genannt habe: Abstreitbarkeit und Folgenlosigkeit. Chattet man mit aktiviertem OTR, kann nach dem Gespräch niemand mehr definitiv feststellen, von wem die jeweiligen Nachrichten wirklich kamen, da darauf geachtet wurde, dass man das nachträglich fälschen kann. Folgenlosigkeit bedeutet Folgenlosigkeit bei Verlust des eigenen privaten Schlüssels. OTR stellt sicher, dass in dem Fall keine vorherige Kommunikation kompromittiert werden kann.

Telefonie / Videotelefonie / VoIP

Telefonie und vor allem Videotelefonie sind momentan noch am schwierigsten sicher zu bekommen. Dabei gibt es schon viele gute Ansätze. TeamSpeak 3 (wenn auch proprietär) bietet z.B. die Möglichkeit einzelne oder alle Channel zu verschlüsseln. Mumble, ein OpenSource TeamSpeak-Pendant ist von Grund auf komplett verschlüsselt. Für Android gibt es einen Ende-zu-Ende verschlüsselnden Telefondienst namens RedPhone

Wem die Verschlüsselung an sich nicht so wichtig ist, wer aber etwas aus der Schusslinie proprietärer Anbieter wie Microsoft (Skype), Google (Hangouts) oder Apple (FaceTime) kommen möchte, dem kann ich SIP- oder XMPP-Telefonie ans Herz legen. Sowohl bei SIP als auch XMPP spielt der Server nur eine vermittelnde Rolle, die eigentliche Telefonverbindung wird dann direkt zwischen den beiden PC's hergestellt. Software, die das mit XMPP kann, ist z.B. wieder Pidgin für Linux und Mac. Windowsnutzer müssen leider noch bis Version 3.0 warten. SIP-Clients gibt es ein paar mehr, z.B. Linphone oder Blink.

Jitsi Logo
Richtig Ende-zu-Ende verschlüsselte Telefonate und Videotelefonate funktionieren momentan allerdings nur mit einer Software am PC: Jitsi. Persönlich empfand ich sie zwar als noch nicht so ausgereift, die technischen Ansätze sind allerdings optimal! Jitsi läuft auf allen Plattformen, kann mit XMPP- und SIP-Servern umgehen und beherrscht das sichere Protokoll ZRTP, welches durch Stimmenerkennung der Teilnehmer sicherstellt, dass niemand an der Leitung lauscht oder sie manipuliert hat, die Verschlüsselung also nicht kompromittiert ist. Praktisch funktioniert das so, dass beide Gesprächspartner einen kurzen Code angezeigt bekommen, den sie untereinander zu Beginn des Telefonats abgleichen müssen. Stimmen beide Codes überein und bestätigen beide Partner das, so gilt die Leitung als sicher. 

Für Android gibt es ebenfalls eine SIP-App, die ZRTP beherrscht, sie heißt CSipSimple. Jitsi und CSipSimple sind zueinander kompatibel.

Natürlich ist nicht jedermann dazu in der Lage einen SIP-Server einzurichten, deshalb gibt es einige kostenlose. Ein Angebot, das besonderen Wert auf Privatssphäre legt ist z.B. OSTEL.

Onlinespeicher / Cloud-Storage

Folgende drei Dinge sollten inzwischen eigentlich alle Nutzer von Dropbox wissen: 1.: Alle Daten werden von Amazon an mehreren Orten dieser Welt gespeichert. Wo genau, weiß keiner. 2.: Alle Daten aller Nutzer werden mit ein und dem selben Schlüssel verschlüsselt. Dropbox-Mitarbeiter und Regierungen haben Zugriff auf alle Daten. Und 3.: Besitzer von gleichen Dateien, greifen im Hintergrund auf die selbe Datei zu, d.h. wenn ich ein Ubuntu-CD-Image in meine Dropbox lade, das schon irgendjemand vor mir in seine Dropbox gelegt hat, wird Dropbox meine Datei nicht mehr hochladen, sondern mir die, des anderen Nutzers in meine Dropbox legen. Und früher hab ich mich gewundert, warum das immer so schnell ging..

Cloud-Speicher sind definitiv eine der gefährlichsten Angebote im Internet, was die Sicherheit der eigenen Daten angeht. Hier sollte man definitiv anfangen zu verschlüsseln! Zum Glück gibt es bereits eine Reihe von guten Tools und/oder Alternativen, die ich nun vorstellen werde.

Es gibt nun wie immer mehrere Wege zum Ziel. Der einfachste besteht darin, einen Anbieter zu finden, der von sich aus direkt auf dem eigenen PC verschlüsselt und dann erst hochläd. Ein Beispiel dafür ist z.B. SpiderOak. Einen Schritt weiter gehen Dienste wie AeroFS oder BitTorrent Sync. Beide bieten keinen Onlinespeicher an, sondern lediglich die Software und die Protokolle, Dateien zwischen mehreren PC's abzugleichen, in beiden Fällen sogar verschlüsselt. Es liegt also höchstens eine Dateiliste auf fremden Servern mit Informationen über die letzten Änderungen, etc. Das Problem bei allen drei Anbietern liegt natürlich auf der Hand: Man muss ihnen vertrauen, man kann die Systeme nicht kontrollieren. 

EncFS Logo
Selbst alles zu verschlüsseln scheint also eine gute Idee zu sein um sicher zu gehen, von niemandem hintergangen zu werden. Viele denken da vermutlich zuerst an TrueCrypt. TrueCrypt hat allerdings den entscheidenden Nachteil, dass man einen TrueCrypt-Container anlegen muss, der bei jeder Änderung einer noch so kleinen Datei darin meist wieder komplett neu hochgeladen wird. Bei Containergrößen über 100MB kann das durchaus mal länger dauern. Eine gute Alternative dazu bietet EncFS, das Dateien einzeln verschlüsselt und damit die Hochlademenge auf das Nötige reduziert. Für Linux gibt es EncFS meist in den Paketquellen, zusammen mit einer GUI namens cryptkeeper. Für Windows gibt es inzwischen auch eine einfache Lösung. Unter Mac gestaltet sich die Sache etwas schwieriger. Wer eine ganz einfache und plattformunabhängige Methode möchte, sollte sich Boxcryptor ansehen, was allerdings wiederum proprietär ist. 

Wer noch einen Schritt weitergehen will kann mit Owncloud oder Seafile selbst eigene Dropbox-Alternativen hosten. Das ist ohne ein wenig extra Know-how allerdings nicht so leicht möglich. Im Internet gibt es aber natürlich auch dafür Tutorials, z.B. hier.

Sonstige Notizen

Mehr Software zum Thema kann man auf der Seite Prism-Break finden. Dort gibt es eine lange Liste mit freien Alternativen.

Allgemein sollte man auf jeden Fall immer seinem kritischen Gefühl gehorchen und sich Fragen stellen wie: "Kann ich mir sicher sein, dass das was ich hier preisgebe, nur von den Personen gesehen werden kann, die es wirklich sehen sollen?" oder "Wie weit traue ich dem Dienstleister zu, sicher mit meinen Daten umzugehen?" oder "Hat das Land, in das ich meine Daten schicke, ausreichende Datenschutzbestimmungen?".

Paranoid kann man im Bezug auf sensible Daten auf jeden Fall nie genug sein. Das hat zuletzt der "Föderale Schutzdienst" in Russland bewiesen. Die kaufen jetzt wieder Schreibmaschinen.

Keine Kommentare:

Kommentar veröffentlichen