Sicherheit und Schutz der Privatsphäre im Zeitalter des Internets

Aus FreiheitsWiki

Wer grundlegende Freiheiten aufgibt, um etwas Sicherheit zu gewinnen, verdient weder Freiheit noch Sicherheit ! Benjamin Franklin, 1706 - 1790

Der Staat entwickelt sich mehr und mehr zum Schnüffelstaat. Ob abgehörte Telefone, aufgelistete Rufnummern, Videoüberwachung in der Öffentlichkeit, die Abnahme von Fingerabdrücken für Visa, Einsicht in Bankkonten, Speicherung von Telefon- und Internet-Verbindungsdaten oder Schnüffelei in der elektronischen Post (Email). Da wäre selbst die Stasi neidisch geworden und der Terrorismus wird dafür herhalten müssen, den Bürgern auch die letzte Freiheit zu rauben. Es gibt nichts, was den Staat nicht interessieren könnte, nichts, wo er seinen Bürgern nicht misstraut. Grund für uns, ihm zu misstrauen und etwas Pfeffer auf die Schnüffelnase zu streuen! Nicht jeder hat etwas zu verbergen, trotzdem möchten die Meisten keine Videoüberwachung in ihrem Schlafzimmer haben.

Sie Lösung für etwas mehr Privatsphäre lautet Verschlüsselung. Das elektronische Lexikon Wikipedia schreibt: “Verschlüsselung nennt man den Vorgang, bei dem ein „Klartext“ mit Hilfe eines Verschlüsselungsverfahrens (Algorithmus) in einen „Geheimtext“ umgewandelt wird. Als Parameter des Verschlüsselungsverfahrens werden ein oder mehrere Schlüssel verwendet. Den umgekehrten Vorgang, also die Verwandlung des Geheimtextes zurück in den Klartext, nennt man Entschlüsselung. Die Algorithmen zur Ver- bzw. Entschlüsselung müssen nicht identisch sein. Ebenso wenig müssen identische Schlüssel zum Einsatz kommen.”

Damit eine Verschlüsselung als sicher gilt, müssen einige Bedingungen erfüllt sein.

1. Muss das Verschlüsselungsverfahren offen liegen, damit das Verfahren geprüft werden kann. Prinzipiell ist jede Verschlüsselung knackbar, indem alle möglichen Passwort oder Entschlüsselungs-Schlüssel durchprobiert werden (sog. Brute Force Attack). Eine Verschlüsselung gilt als sicher, wenn sie sich nur durch durchprobieren aller möglichen Schlüssel, nicht aber durch intelligente Analyse (und somit schneller) brechen lässt. Die Analogie in Form eines Zahlenfahrradschlosses wäre, dass es sich nur durch durchprobieren aller Kombinationen, nicht aber mit Hilfe eines Stethoskops (verräterisches Klicken) brechen lassen könnte.

2.“Unbrechbar” wird eine Verschlüsselung dadurch, dass eine Schlüsselgröße gewählt wird (derzeit mindesten 128 Bit, besser 1024 Bit oder gleich 4096 Bit) die eine solch enorme Rechenkraft (Primzahlzerlegung) benötigt, dass man selbst mit Supercomputern Jahrzehnte zum Durchprobieren aller Möglichkeiten benötigen würde.

3. Muss der Quellcode der Anwendung offen liegen, damit geprüft werden kann, dass wirklich das angegebene Verfahren implementiert wurde, ob es fehlerfrei implementiert wurde und das keinerlei Hintertüren eingebaut sind. Alles andere ist “Security through obscurity”, “Sicherheit durch Heimlichtuerei”.

Festplattenverschlüsselung

Neben dem Schutz der Privatsphäre vor Schnüffeleien vermeidet man durch Festplattenverschlüsselung auch Scherereien in Bezug auf Lizenzen oder eventuellen mp3 Dateien. Das oft benutze automatische Einloggen in Online-Banking Webseiten ist dann bei einem Diebstahl des Computers auch ein kleineres Problem.

Das Betriebssystem MS Windows bietet in seiner Professional Variante an, die Festplatte zu verschlüsseln. Der Mechanismus und der Programmquellcode von Windows liegt nicht offen (“Security through obscurity”) Nicht zuletzt wurde in Microsoft NT ein äußerst dubioser öffentlicher Schlüssel mit dem Namen NSAKEY gefunden. Die NSA ist eine der TOP US Schnüffelbehörden. Vielleicht Zufall, vielleicht will die Regierung aber auch mal ab und zu ein Online Backup von eurer Festplatte ziehen.

Wenn man auf sichere Verschlüsselung angewiesen ist, bietet sich das kostenlose für Windows und Linux verfügbare Programm Trycypt an (bei einer online zugänglichen Hintertür in Windows würde aber auch das versagen). Das Programm bietet sogar steganograpische Verschlüsselung an. D.h. eine nicht sichtbare zweite Verschlüsselungsebene in der Verschlüsselung. Bei Gewaltandrohung könnte man das Passwort für die erste Verschlüsselungsebene angeben, die zweite bliebe verborgen, nicht einmal die Existenz einer zweiten Ebene wäre nachzuweisen.

Unter Windows gehört ein Firewall, Virenscanner sowie ein Programm, welches in der Lage ist Trojaner aufzuspüren mittlerweile zur Pflichtausrüstung. Die Festplattenverschlüsselung nützt ihnen nichts, wenn der Trojaner ihre Daten über die Onlinverbindung verschickt. Generell empfiehlt es sich aus Sicherheitsgründen, nicht Microsofts Internet Explorer zu benutzen, sondern den kostenlosen und besseren Firefox .

Linux bringt nicht nur eine stärkere Sicherheit gegenüber Viren, Würmern und Trojanern mit, sondern kann auch verschlüsselte Partitionen erzeugen. Bei einigen Linuxdistributionen (Novell, SuSE) ist dies bereits eine Option im Installationsvorgang. Die Fachleute sollten nicht vergessen, auch die SWAP Partition zu verschlüsseln. Wer einen Blick auf Linux werfen möchte dem sei Knoppix Linux empfohlen. Wenn ihr eine verschlüsselte Festplatte benutzt, solltet ihr auch einen automatischen Bildschirmschoner mit Passwort benutzen, um die Sicherheit nicht zu komprimieren.

Verschlüsseltes Backup

Die beste Verschlüsselung ist immer nur so gut wie das schwächste Glied in der Kette. Es nützt nichts, die Festplatte zu verschlüsseln, die seine Backups aber unverschlüsselt vorzunehmen. Das bereits erwähnte Truecrypt bietet hier eine Möglichkeit für Windows oder Linux verschlüsselte Backups anzufertigen.

In der Unix Welt existiert das Programm AESPIPE, welches die Verschlüsselung von Dateien und Verzeichnissen ermöglicht und ggf. direkt ISO Images erzeugen kann, die sich auf CD brennen lassen.

Wenn man eine Verschlüsselte Festplatte benutzt ist ein Backup um so wichtiger, da man bei einem eventuellen Betriebssystemproblem viel schwieriger auf die Daten zugreifen kann!!!

Passwortwahl

Das Passwort kann ein sehr schwaches Glied in der Kette sein. Man darf niemals ein Wort als Passwort wählen, welches in einem Wörterbuch vorkommt. Ein solches Passwort ließe sich leicht durch computerautomatisiertes durchprobieren knacken. Als Faustregel gilt: Mindestens 8 Zeichen, Es sollen Groß-, Kleinbuchstaben,, Zahlen und Sonderzeichen vorkommen. Am einfachsten prägen sich Merksätze ein. Also z.B.: Ich mag die Beiträge von Yuri Romanow nicht. Daraus wird “ImdBvYRn”. Hängen wird noch @meine Lieblingszahl an: “ImdBvYRn@13”. Schon haben wir in schönes Passwort. Nachteil dieses Passworts: Es enthält ein “Y”. Y und Z sind auf Tastaturen manchmal vertauscht, deshalb sollte man sie vermeiden..

Rückstandsfreies löschen von Daten

Durch das löschen einer Datei vernichtet man nicht die eigentlichen Daten, sondern entfernt lediglich den Eintrag aus dem Verwaltungsverzeichnis. Wenn sie in einem Buch das Inhaltsverzeichnis rausreißen, bleibt der Inhalt des Buches trotzdem erhalten. Ein Fachmann ist leicht in der Lage dieses einfache Löschen rückgängig zu machen. Unter Linux gibt es das Wipe Programm, unter Windows empfiehlt sich der Einsatz von speziellen Programmen wie Eraser. Das rückstandsfreie Löschen ist vor allem bei unverschlüsselten Festplatten notwendig.

Emailsicherheit und Verschlüsselung

Emailverschlüsselung erfordert etwas mehr Verständnis. Der Standard in Emailverschlüsselung ist PGP, bzw. Die kostenlose open source Variante heiist GPG. Für verschlüsselte Kommunikation erzeugt GPG zwei Schlüssel. Einen Geheimen, den sie niemals aus der Hand geben dürften, und einen öffentlichen, den sie veröffentlichen, oder auf ihre Homepage stellen könne. Beide Schlüssel funktionieren nur in eine Richtung. Beispiel: Ich verschlüssele meine Email mit dem öffentlichem Schlüssel von Andre. “Hi Ande” wird zu “asao(jAKLfjnalIFSLnaldfnsdlfndifns”. Für die Verschlüsselung mit einem öffentlichen Schlüssel ist kein Passwort notwendig. Diese verschlüsselte Email kann nicht mehr gelesen werden. Selbst ich wäre nun nicht mehr in der Lage, die verschlüsselte Email mit Andres öffentlichem oder einem meiner eigenen Schlüssel zu entschlüsseln. Nur Andre könnte mit seinem geheimen Schlüssel (und einem Passwort) die Email entschlüsseln. Wenn er antwortet, wird er meinen öffentlichen Schlüssel zur Verschlüsselung benutzen. Ich kann dann die Email mit meinem geheimen Schlüssel entschlüsseln. Bei dieser Art der verschlüsselten Kommunikation tritt das “Man in the middle problem” auf. D.h., es muss sichergestellt sein, dass kein Mittelsmann in der Kommunikation steht und die öffentlichen Schlüssel wirklich echt sind. Jeder öffentliche Schlüssel hat einen kurzen alphanumerischen “Fingerabdruck”. Dieser muss am Telefon einmalig verifiziert werden um wirklich 100%ige Sicherheit zu haben. Ist ein Schlüssel eindeutig identifiziert, kann dieser auch zur Zertifizierung weiterer Schlüssel verwendet werden. Das hört sich alles komplexer an als es ist, es bedarf lediglich einer gewissen Einarbeitung. Vor angeboten im Internet, die mit „verschlüsselten Email-Postfächern“ werben sollte man sich hüten. Man weiß erstens nicht, wer dahinter steht und zweitens ist das Prinzip untauglich, die Email erst bei Ankunft zu verschlüsseln. Zum Schutz ihrer Privatsphäre und zum Schutz vor Spam (Werbeemails) sollten sie sich bei allen unwichtigen Registrierungen im Internet oder für öffentlichen Postrings in Diskussionsforen eine “Wegwerfemail” besorgen.

Anonymes Surfen

Der Zugriff ins Internet erfolgt meistens von einem Computer aus. Dieser besitzt eine IP (internet protocol) Adresse, damit der Zielrechner die Datenpakete an Euren Rechner schicken kann, wenn ihr z.B. eine Internetwebseite aufruft. Allerdings seid ihr damit auch zu identifizieren. Umgehen kann man dies, indem man z.B. einfach zu benutzende Internetanonymisierdienste wie Anonymouse benutzt. So lassen sich auch Webseiten aufrufen, von denen der Staat meint sie seien nicht gut für euch und eventuell den Zugriff gesperrt hat. Problematisch dabei ist, dass man nicht weiß, wer wirklich hinter diesen Anonymisierungsdiensten steht (“Anonym surfen mit der CIA?”). Größere Anonymität lässt sich durch die Verwendung eines Programmes wie TOR oder eines in Entwicklung befindlichen Peer to Peer Proxy Clients, wie I2P. Durch die sogenannt MAC Adresse, lässt sich übrigens jeder Computer eindeutig identifizieren, aber auch dies kann man ändern.

Sicher per Internet telefonieren

Internettelephonie, insbesondere VoIP, setzt sich mehr und mehr durch. Ein proprietaerer Anbieter ist Skype. Das Programm ist kostenlos, zeichnet sich durch benutzerfreundlichweit aus und ermöglicht es weltweit kostenlos über das Internet zu telefonieren. Eine 256 Bit Verschlüsselung ist eingebaut, doch gilt hier wieder „Sicherheit durch Heimlichtuerei“. Abhilfe verspricht in naher Zukunft die neue VoIP Software des PGP Erfinders Phil Zimmermann, die verschlüsseltes VoIP ermöglicht. Quellcode und Verschlüsselungsverfahren liegen offen.

Handy als elektronische Fußfessel

Soweit mir als Expatriate bekannt, wird es in Deutschland immer schwieriger anonym mit dem Handy zu telefonieren (anonyme pre-paid Karte). Ein Schelm wer böses dabei denkt. Übrigens kommuniziert Eurer Handy in regelmäßigen Intervallen mit den Funkmasten in der Umgebung um z.B. zu Prüfen, ob ihr eine SMS erhalten habt. So lässt sich von jedem Bürger ein nettes Bewegungsprofil erstellen, ganz ohne das er telefoniert. Im Zweifel das Handy also lieber mal auslassen. Eine eventuelle GPS gestützte PKW Maut dürfte dem Staat übrigens in Zukunft ganz ungeahnte Möglichkeiten erhoffen.

Google

Auch Unternehmen zeigen eine Datensammelwut, die der des Staates nicht unähnlich ist. Falls sie einen Google Emailaccount benutzen, kann Google leicht ihre Suchanfragen mit ihrem Emailaccount und ggf. ihrer Identität verbinden. Im Zweifelsfalle benutzen sie lieber einen anderen Emailanbieter.

Computer als Sicherheitssystem

Vielleicht nur für die wirklich paranoiden: Falls ihr eine Internetstandleitung und ein Webkamera mit Bewegungsmelder habt, könnte ihr Euren Computer so konfigurieren, dass er bei Bewegungen im Raum automatische Bilder an einen (ausländischen) Emailaccount verschickt. Einmal abgeschickt, hat der kriminelle Eindringling, ob in Uniform oder ohne, keine Zugriffsmöglichkeit mehr auf die bereits abgeschickten Bilder.

EC-Karten, Kreditkarten und Bargeld

Wer Probleme hat für all seine Karten, Türschlösser und sonstigen Zahlenkombinationen die Codes zu behalten, für den mögen phonetische Zahlen als Merkhilfe interessant sein (siehe Links im Anhang). Bei Geldabhebungen aus Bezahlung mit EC- und Kreditkarten lässt sich übrigens auch ein Bewegungsprofil erstellen. Auch hier gilt: Bargeld lacht. Wen wundert es da wirklich, dass die EU, bzw. die Europäische Zentralbank alle Geldscheine mit Mikrochips (RFID Tags ) ausstatten will, die per Funk ausgelesen werde können, um die Geldbewegung jedes einzelnen Scheines verfolgen zu können?

Sicherheit gibt es nicht umsonst. Sie werden sich selber einarbeiten müssen. Fangen Sie mit Truecrypt an und versuchen sie nach und nach tiefer in die Materie einzusteigen.

Linkliste:

Dubioser Windowsschluessel

Truecrypt Festplattenverschluesselung

Firefox, die Browseralternative

Trackingvermeidung

Google ohne Tracking

MAC Adresse unter Windows ändern

MAC Adresse unter Linux ändern

Knoppix Linuxversion zum Antesten:

AESPIPE f. Linux

Rückstandsfreies Löschen Windows

GPG Kostenlose, quelloffene Emailverschlüsselung