Hey Joachim,
kool, schön Dich zu hören :)
Also wir sitzen hier gerade zusammen. Hast Du denn noch Zeit, so von remote was vorzubereiten? Also ein paar Worte zur XP (5-10min) wären super, magste da einfach slides im Pad anfangen? Und dann evtl auch noch ganz kurz zu Tails, also dass es existiert und was es ist, nicht doll in die Tiefe (unter 5min würd ich sagen).
https://entropia.pads.ccc.de/kryptoparty-folien Das Ergebnis sieht man dann hier: https://f.vietz.eu/crypto_gpn/
Leere Zeilen sind auch relevant... steht gleich oben im Pad ne kleine Doku drin.
Tor wollte ich was machen, hab da aber nicht viel und wollte nicht besonders in die Tiefe gehen, also koennen wir dann gern zusammen machen. Wo haste da Deine Slides, und haste noch Zeit die in das Pad zu tun? Ich arbeite da eigentlich nur mit bissl Diagramm, siehe zb https://brezn.muc.ccc.de/~sva/cryptoparty-immenstaad.pdf slide 38-46.
Slides zu Passwort sind schon drin, auch von mir, bin aber über Kommentare sehr dankbar. Können wir dann auch gern zusammen machen wenn Du magst.
Gruss und Dank, sva.
On 19.06.2014 01:01, Jochim Rolf Selzer wrote:
Hallo zusammen,
bitte entschuldigt, dass ich so schleppend reagiere, aber bis heute Vormittag war nicht einmal klar, ob ich am Freitag überhaupt frei bekomme, und zu allem Überfluss lief auch noch mit dem Abonnieren der Mailingliste etwas schief. Ich bitte nochmals um Entschuldigung. OK, dann eben etwas komprimiert:
Zum mir vorliegenden Programm:
17:30 - 18:15 Begrüßung 18:30 - 19:30 Einführung 20:00 - 21:00 Vortragsblock 1 21:30 - 22:30 Vortragsblock 2
Zuerst wird es das übliche Vorgeplänkel einer Begrüßung geben, zusammen mit Informationen, wer oder was Entropia, CCC, GPN, Cryptoparty usw. überhaupt sind. Eventuell wird hier auch auch der Vorstand des ZKMs, Peter Weibel, sprechen. Wir rechnen mit 30-45 Minuten
Die Einführung ist zweigeteilt: Zuerst gibt es einen Vortrag, in dem die Grundlagen dargelegt werden sollen: Warum überhaupt, wie ist die Situation, und, eine sehr schöne Idee, "Liste von Geheimdiensten von USA und Deutschland auf Wikipedia kurz durchscrollen". Für diesen Vortrag würde ich 20-30 Minuten ansetzen.
Im Rest der Einführung werden die einzelnen Themen vorgestellt (Auflistung weiter unten): Zu jedem Thema soll in einem kleinen "Hack" das Problem verdeutlicht werden, am liebsten kurz, knackig und realitätsnah (ohne, dass der Verdacht aufkommt, man habe das ja absichtlich viel unsicherer gemacht als in Wirklichkeit). Weiterer Bonuspunkt, wenn die Besucher diese Demos auch zu Hause nachbauen können.
Dafür bauen wir ein kleines Demonetzwerk auf:
"das Internet" "mein böser ISP" "bei mir zu Hause" (Netzwerkanschluss <---> (ein Switch mit <---> (ein Rechner, dazu im Vortragssaal) Mirror-Port) Router mit WLAN-AP)
In den beiden eigentlichen Vortragsblöcken werden dann jeweils Lösungsansätze zu den in der Einführung gezeigten Problemen gezeigt. Hier haben wir mit 2-3 Themen pro 60-Minuten-Block gerechnet, die Vortragszeit sollte also bei 15-20 Minuten liegen.
In den Pausen wollen wir Trolle abstellen, die den Besuchern Fragen beantworten können, die während der Vorträge aufkamen.
Zu den Themen: Wir haben im Entropia schon eine Liste zusammengestellt, sind aber natürlich für weitere Vorschläge offen.
- Windows XP
Problem: Finger davon! Wirklich! Hack: Abwarten, ob noch was kommt? (dazu ist bisher kein Vortrag vorgesehen. Hat jemand eine Idee, worüber man sprechen könnte?)
Zu diesem Thema hatte ich im April einen Vortrag gehalten, in dem ich die Idee der c't, die Architektur von XP mit einer Burg zu vergleichen, aufgegriffen und etwas erläutert hatte. Ich könnte also dazu etwas erzählen. Laienkompatibel ist das allemal.l
- Festplattenkrypto
Problem: Das Betriebssystempasswort ist wertlos für den Schutz der Daten Hack: Einfach mal die Festplatte in einen anderen Rechner einbauen und alles lesen können. Lösung: Festplatte verschlüsseln (an dieser Stelle kommt uns die plötzliche Implosion von TrueCrypt äußerst ungelegen...)
Das habe ich bei meiner letzten Cryptoparty ebenfalls aufgegriffen. Ich vertrete kurz gesagt den Ansatz, dass sich an der Sicherheit von Truecrypt nichts geändert hat und somit die gleichen Chancen und Risiken weiterhin gelten. Wenn man sich darüber im Klaren ist, kann man meiner Ansicht nach das Programm weiter einsetzen.
- E-Mail-Sicherheit
Problem 1: E-Mails kann jeder mitlesen Hack: Wireshark beim "bösen ISP" Problem 2: Absender lässt sich fälschen Hack: Einem Besucher eine Mail von Angela Merkel o.Ä. schicken Lösung: PGP
Früher hatte ich zur Demonstration einen SMTP-Dialog mit einem schlampig konfigurierten Mailprovider durchgeführt. Hat jemand von Euch so einen zur Hand? Ich könnte zur Not vom Mailgateway unserer Firma so eine Mail losschicken (was insofern keine echte Sicherheitslücke darstellt, als längst nicht jeder auf dieses Gateway Zugriff hat und die Zugriffe geloggt werden), bräuchte dafür aber VPN-Zugang auf unsere Infrastruktur. Sollte meiner Einschätzung nach kein großes Problem darstellen.
Wenn jemand von Euch noch Zugriff auf einen Mailserver hat, der unverschlüsselten Transfer zulässt, könnten wir dort einen POP3- oder SMTP-Dialog mitschneiden. Danach könnte man zeigen, wie es aussieht, wenn man die Mail verschlüsselt und wie Transportverschlüsselung schützt. Wir sollten aber darauf hinweisen, dass Transportverschlüsselung eben nur die Übertragung sichert, nicht jedoch die Mail an sich. Alternativ können wir uns einen Mailheader einer verschlüsselten Mail ansehen, um festzustellen, dass die Metadaten auch noch viel zu viele Informationen enthalten. Ich habe hierzu auch einen Stapel Folien.
- Browser-Sicherheit
Problem: HTTP kann jeder mitlesen Hack: Wireshark Lösung: HTTPS benutzen. Gerne auch mit einem Teil über das CA-System.
Da könnte man zur Not mit Wireshark mitlesen. Es gab mal für ganz Faule ein schönes Tool, das die angesurften Seiten des belauschten Zugangs sogar grafisch dargestellt hat. Erinnert sich jemand an den Namen?
- WLAN-Tracking
Problem 1: Was ein Gerät in einem WLAN über sich verrät Hack: Smartphone mit AP verbinden, Wireshark ("Schon wieder dieses böse Hackertool!" - "Ach übrigens, können Sie hier runterladen") Problem 2: Was ein Gerät über WLANs verrät die es kennt Hack: Das gleiche Lösung: ?
(von Mobile-Zeugs hab ich leider quasi keine Ahnung, deswegen bin ich mir nicht mehr 100% sicher, was unsere Notizen bedeuten sollen...)
- Mobile Datenschutz
Probleme: Location Tracking, Ständige Spracherkennung, schlechte Passwortmanager, Daten in der Cloud... Hack: ? Lösung: ?
Zum Passwortraten könnte man John auf ein vorbereitetes Hashfile loslassen.
- Mobile Security
Problem 1: Fettflecken auf dem Touchscreen verraten die PIN/das Entsperrmuster Hack: Smartphone aus dem Publikum entsperren (TODO: wie viele Leute muss man fragen, bis man ein brauchbares findet?) Problem 2: Authentifikation mit Fingerabdruck Hack: Finger nachbauen (zu viel Vorbereitung nötig?) weitere Probleme: GSM ist unsicher, alte Androids sind unsicher (findet man da einfache Exploits?) Lösung: ?
Für den Fingerabdruckhack braucht man meiner Erfahrung nach etwas mehr Zeit als uns hier vorschwebt
- WhatsApp sniffen
Problem: Die Verschlüsselung von WhatsApp ist schlecht bis nicht vorhanden Hack: Es gibt da wohl ein fertiges Sniffing-Tool Lösung: TextSecure? (ist das cool?)
TextSecure und Threema haben beide ihre Vor- und Nachteile. Uneingeschränkt empfehlen kann ich keins, aber besser als Whatsapp sollten sie allemal sein.
weitere mögliche Themen:
- Cold Boot (kriegt man das vorgeführt?)
- Lockpicking
Cold Boot geht leider deutlich über mein Können hinaus. Lockpicking kann ich zwar etwas, aber da sind diverse Leute um Längen besser als ich.
Was ich noch vorstellen kann:
- Tails als Rundum-sorglos-System mit Fehlern (Fingerabdrucküberprüfung funktioniert unter 1.0 nicht sauber, Schlüssel werden nur mit 1024 Bit erzeugt)
- Tor Browser Bundle (Ich habe hierfür auch einen Stapel Folien) und seine Schwächen (Browser-Fingerprinting, keine automatische Aktualisierung)
- Was ist ein gutes Passwort? (Kurzfassung: Es gibt keine eindeutige Antwort)
Viele Grüße
Jochim
gpn-crypto mailing list gpn-crypto@bl0rg.net https://lists.bl0rg.net/cgi-bin/mailman/listinfo/gpn-crypto