Hallo zusammen,
bitte entschuldigt, dass ich so schleppend reagiere, aber bis heute Vormittag war nicht einmal klar, ob ich am Freitag überhaupt frei bekomme, und zu allem Überfluss lief auch noch mit dem Abonnieren der Mailingliste etwas schief. Ich bitte nochmals um Entschuldigung. OK, dann eben etwas komprimiert:
Zum mir vorliegenden Programm:
17:30 - 18:15 Begrüßung
18:30 - 19:30 Einführung
20:00 - 21:00 Vortragsblock 1
21:30 - 22:30 Vortragsblock 2
Zuerst wird es das übliche Vorgeplänkel einer Begrüßung geben, zusammen
mit Informationen, wer oder was Entropia, CCC, GPN, Cryptoparty usw.
überhaupt sind. Eventuell wird hier auch auch der Vorstand des ZKMs,
Peter Weibel, sprechen. Wir rechnen mit 30-45 Minuten
Die Einführung ist zweigeteilt: Zuerst gibt es einen Vortrag, in dem die
Grundlagen dargelegt werden sollen: Warum überhaupt, wie ist die
Situation, und, eine sehr schöne Idee, "Liste von Geheimdiensten von USA
und Deutschland auf Wikipedia kurz durchscrollen". Für diesen Vortrag
würde ich 20-30 Minuten ansetzen.
Im Rest der Einführung werden die einzelnen Themen vorgestellt
(Auflistung weiter unten): Zu jedem Thema soll in einem kleinen "Hack"
das Problem verdeutlicht werden, am liebsten kurz, knackig und
realitätsnah (ohne, dass der Verdacht aufkommt, man habe das ja
absichtlich viel unsicherer gemacht als in Wirklichkeit). Weiterer
Bonuspunkt, wenn die Besucher diese Demos auch zu Hause nachbauen können.
Dafür bauen wir ein kleines Demonetzwerk auf:
"das Internet" "mein böser ISP" "bei mir zu Hause"
(Netzwerkanschluss <---> (ein Switch mit <---> (ein Rechner, dazu
im Vortragssaal) Mirror-Port) Router mit WLAN-AP)
In den beiden eigentlichen Vortragsblöcken werden dann jeweils
Lösungsansätze zu den in der Einführung gezeigten Problemen gezeigt.
Hier haben wir mit 2-3 Themen pro 60-Minuten-Block gerechnet, die
Vortragszeit sollte also bei 15-20 Minuten liegen.
In den Pausen wollen wir Trolle abstellen, die den Besuchern Fragen
beantworten können, die während der Vorträge aufkamen.
Zu den Themen: Wir haben im Entropia schon eine Liste zusammengestellt,
sind aber natürlich für weitere Vorschläge offen.
0. Windows XP
Problem: Finger davon! Wirklich!
Hack: Abwarten, ob noch was kommt?
(dazu ist bisher kein Vortrag vorgesehen. Hat jemand eine Idee, worüber
man sprechen könnte?)
---------------
Zu diesem Thema hatte ich im April einen Vortrag gehalten, in dem ich die Idee der c't, die Architektur von XP mit einer Burg zu vergleichen, aufgegriffen und etwas erläutert hatte. Ich könnte also dazu etwas erzählen. Laienkompatibel ist das allemal.l
---------------
1. Festplattenkrypto
Problem: Das Betriebssystempasswort ist wertlos für den Schutz der Daten
Hack: Einfach mal die Festplatte in einen anderen Rechner einbauen und
alles lesen können.
Lösung: Festplatte verschlüsseln (an dieser Stelle kommt uns die
plötzliche Implosion von TrueCrypt äußerst ungelegen...)
---------------
Das habe ich bei meiner letzten Cryptoparty ebenfalls aufgegriffen. Ich vertrete kurz gesagt den Ansatz, dass sich an der Sicherheit von Truecrypt nichts geändert hat und somit die gleichen Chancen und Risiken weiterhin gelten. Wenn man sich darüber im Klaren ist, kann man meiner Ansicht nach das Programm weiter einsetzen.
---------------
2. E-Mail-Sicherheit
Problem 1: E-Mails kann jeder mitlesen
Hack: Wireshark beim "bösen ISP"
Problem 2: Absender lässt sich fälschen
Hack: Einem Besucher eine Mail von Angela Merkel o.Ä. schicken
Lösung: PGP
---------------
Früher hatte ich zur Demonstration einen SMTP-Dialog mit einem schlampig konfigurierten Mailprovider durchgeführt. Hat jemand von Euch so einen zur Hand? Ich könnte zur Not vom Mailgateway unserer Firma so eine Mail losschicken (was insofern keine echte Sicherheitslücke darstellt, als längst nicht jeder auf dieses Gateway Zugriff hat und die Zugriffe geloggt werden), bräuchte dafür aber VPN-Zugang auf unsere Infrastruktur. Sollte meiner Einschätzung nach kein großes Problem darstellen.
Wenn jemand von Euch noch Zugriff auf einen Mailserver hat, der unverschlüsselten Transfer zulässt, könnten wir dort einen POP3- oder SMTP-Dialog mitschneiden. Danach könnte man zeigen, wie es aussieht, wenn man die Mail verschlüsselt und wie Transportverschlüsselung schützt. Wir sollten aber darauf hinweisen, dass Transportverschlüsselung eben nur die Übertragung sichert, nicht jedoch die Mail an sich. Alternativ können wir uns einen Mailheader einer verschlüsselten Mail ansehen, um festzustellen, dass die Metadaten auch noch viel zu viele Informationen enthalten. Ich habe hierzu auch einen Stapel Folien.
---------------
3. Browser-Sicherheit
Problem: HTTP kann jeder mitlesen
Hack: Wireshark
Lösung: HTTPS benutzen. Gerne auch mit einem Teil über das CA-System.
---------------
Da könnte man zur Not mit Wireshark mitlesen. Es gab mal für ganz Faule ein schönes Tool, das die angesurften Seiten des belauschten Zugangs sogar grafisch dargestellt hat. Erinnert sich jemand an den Namen?
---------------
4. WLAN-Tracking
Problem 1: Was ein Gerät in einem WLAN über sich verrät
Hack: Smartphone mit AP verbinden, Wireshark ("Schon wieder dieses böse
Hackertool!" - "Ach übrigens, können Sie hier runterladen")
Problem 2: Was ein Gerät über WLANs verrät die es kennt
Hack: Das gleiche
Lösung: ?
(von Mobile-Zeugs hab ich leider quasi keine Ahnung, deswegen bin ich
mir nicht mehr 100% sicher, was unsere Notizen bedeuten sollen...)
5. Mobile Datenschutz
Probleme: Location Tracking, Ständige Spracherkennung, schlechte
Passwortmanager, Daten in der Cloud...
Hack: ?
Lösung: ?
---------------
Zum Passwortraten könnte man John auf ein vorbereitetes Hashfile loslassen.
---------------
6. Mobile Security
Problem 1: Fettflecken auf dem Touchscreen verraten die PIN/das
Entsperrmuster
Hack: Smartphone aus dem Publikum entsperren (TODO: wie viele Leute muss
man fragen, bis man ein brauchbares findet?)
Problem 2: Authentifikation mit Fingerabdruck
Hack: Finger nachbauen (zu viel Vorbereitung nötig?)
weitere Probleme: GSM ist unsicher, alte Androids sind unsicher (findet
man da einfache Exploits?)
Lösung: ?
---------------
Für den Fingerabdruckhack braucht man meiner Erfahrung nach etwas mehr Zeit als uns hier vorschwebt
---------------
7. WhatsApp sniffen
Problem: Die Verschlüsselung von WhatsApp ist schlecht bis nicht vorhanden
Hack: Es gibt da wohl ein fertiges Sniffing-Tool
Lösung: TextSecure? (ist das cool?)
---------------
TextSecure und Threema haben beide ihre Vor- und Nachteile. Uneingeschränkt empfehlen kann ich keins, aber besser als Whatsapp sollten sie allemal sein.
---------------
weitere mögliche Themen:
- Cold Boot (kriegt man das vorgeführt?)
- Lockpicking
---------------
Cold Boot geht leider deutlich über mein Können hinaus. Lockpicking kann ich zwar etwas, aber da sind diverse Leute um Längen besser als ich.
Was ich noch vorstellen kann:
- Tails als Rundum-sorglos-System mit Fehlern (Fingerabdrucküberprüfung funktioniert unter 1.0 nicht sauber, Schlüssel werden nur mit 1024 Bit erzeugt)
- Tor Browser Bundle (Ich habe hierfür auch einen Stapel Folien) und seine Schwächen (Browser-Fingerprinting, keine automatische Aktualisierung)
- Was ist ein gutes Passwort? (Kurzfassung: Es gibt keine eindeutige Antwort)
---------------
Viele Grüße
Jochim
