Hallo zusammen, bitte entschuldigt, dass ich so schleppend reagiere, aber bis heute Vormittag war nicht einmal klar, ob ich am Freitag überhaupt frei bekomme, und zu allem Überfluss lief auch noch mit dem Abonnieren der Mailingliste etwas schief. Ich bitte nochmals um Entschuldigung. OK, dann eben etwas komprimiert: Zum mir vorliegenden Programm: 17:30 - 18:15 Begrüßung 18:30 - 19:30 Einführung 20:00 - 21:00 Vortragsblock 1 21:30 - 22:30 Vortragsblock 2 Zuerst wird es das übliche Vorgeplänkel einer Begrüßung geben, zusammen mit Informationen, wer oder was Entropia, CCC, GPN, Cryptoparty usw. überhaupt sind. Eventuell wird hier auch auch der Vorstand des ZKMs, Peter Weibel, sprechen. Wir rechnen mit 30-45 Minuten Die Einführung ist zweigeteilt: Zuerst gibt es einen Vortrag, in dem die Grundlagen dargelegt werden sollen: Warum überhaupt, wie ist die Situation, und, eine sehr schöne Idee, "Liste von Geheimdiensten von USA und Deutschland auf Wikipedia kurz durchscrollen". Für diesen Vortrag würde ich 20-30 Minuten ansetzen. Im Rest der Einführung werden die einzelnen Themen vorgestellt (Auflistung weiter unten): Zu jedem Thema soll in einem kleinen "Hack" das Problem verdeutlicht werden, am liebsten kurz, knackig und realitätsnah (ohne, dass der Verdacht aufkommt, man habe das ja absichtlich viel unsicherer gemacht als in Wirklichkeit). Weiterer Bonuspunkt, wenn die Besucher diese Demos auch zu Hause nachbauen können. Dafür bauen wir ein kleines Demonetzwerk auf: "das Internet" "mein böser ISP" "bei mir zu Hause" (Netzwerkanschluss <---> (ein Switch mit <---> (ein Rechner, dazu im Vortragssaal) Mirror-Port) Router mit WLAN-AP) In den beiden eigentlichen Vortragsblöcken werden dann jeweils Lösungsansätze zu den in der Einführung gezeigten Problemen gezeigt. Hier haben wir mit 2-3 Themen pro 60-Minuten-Block gerechnet, die Vortragszeit sollte also bei 15-20 Minuten liegen. In den Pausen wollen wir Trolle abstellen, die den Besuchern Fragen beantworten können, die während der Vorträge aufkamen. Zu den Themen: Wir haben im Entropia schon eine Liste zusammengestellt, sind aber natürlich für weitere Vorschläge offen. 0. Windows XP Problem: Finger davon! Wirklich! Hack: Abwarten, ob noch was kommt? (dazu ist bisher kein Vortrag vorgesehen. Hat jemand eine Idee, worüber man sprechen könnte?) --------------- Zu diesem Thema hatte ich im April einen Vortrag gehalten, in dem ich die Idee der c't, die Architektur von XP mit einer Burg zu vergleichen, aufgegriffen und etwas erläutert hatte. Ich könnte also dazu etwas erzählen. Laienkompatibel ist das allemal.l --------------- 1. Festplattenkrypto Problem: Das Betriebssystempasswort ist wertlos für den Schutz der Daten Hack: Einfach mal die Festplatte in einen anderen Rechner einbauen und alles lesen können. Lösung: Festplatte verschlüsseln (an dieser Stelle kommt uns die plötzliche Implosion von TrueCrypt äußerst ungelegen...) --------------- Das habe ich bei meiner letzten Cryptoparty ebenfalls aufgegriffen. Ich vertrete kurz gesagt den Ansatz, dass sich an der Sicherheit von Truecrypt nichts geändert hat und somit die gleichen Chancen und Risiken weiterhin gelten. Wenn man sich darüber im Klaren ist, kann man meiner Ansicht nach das Programm weiter einsetzen. --------------- 2. E-Mail-Sicherheit Problem 1: E-Mails kann jeder mitlesen Hack: Wireshark beim "bösen ISP" Problem 2: Absender lässt sich fälschen Hack: Einem Besucher eine Mail von Angela Merkel o.Ä. schicken Lösung: PGP --------------- Früher hatte ich zur Demonstration einen SMTP-Dialog mit einem schlampig konfigurierten Mailprovider durchgeführt. Hat jemand von Euch so einen zur Hand? Ich könnte zur Not vom Mailgateway unserer Firma so eine Mail losschicken (was insofern keine echte Sicherheitslücke darstellt, als längst nicht jeder auf dieses Gateway Zugriff hat und die Zugriffe geloggt werden), bräuchte dafür aber VPN-Zugang auf unsere Infrastruktur. Sollte meiner Einschätzung nach kein großes Problem darstellen. Wenn jemand von Euch noch Zugriff auf einen Mailserver hat, der unverschlüsselten Transfer zulässt, könnten wir dort einen POP3- oder SMTP-Dialog mitschneiden. Danach könnte man zeigen, wie es aussieht, wenn man die Mail verschlüsselt und wie Transportverschlüsselung schützt. Wir sollten aber darauf hinweisen, dass Transportverschlüsselung eben nur die Übertragung sichert, nicht jedoch die Mail an sich. Alternativ können wir uns einen Mailheader einer verschlüsselten Mail ansehen, um festzustellen, dass die Metadaten auch noch viel zu viele Informationen enthalten. Ich habe hierzu auch einen Stapel Folien. --------------- 3. Browser-Sicherheit Problem: HTTP kann jeder mitlesen Hack: Wireshark Lösung: HTTPS benutzen. Gerne auch mit einem Teil über das CA-System. --------------- Da könnte man zur Not mit Wireshark mitlesen. Es gab mal für ganz Faule ein schönes Tool, das die angesurften Seiten des belauschten Zugangs sogar grafisch dargestellt hat. Erinnert sich jemand an den Namen? --------------- 4. WLAN-Tracking Problem 1: Was ein Gerät in einem WLAN über sich verrät Hack: Smartphone mit AP verbinden, Wireshark ("Schon wieder dieses böse Hackertool!" - "Ach übrigens, können Sie hier runterladen") Problem 2: Was ein Gerät über WLANs verrät die es kennt Hack: Das gleiche Lösung: ? (von Mobile-Zeugs hab ich leider quasi keine Ahnung, deswegen bin ich mir nicht mehr 100% sicher, was unsere Notizen bedeuten sollen...) 5. Mobile Datenschutz Probleme: Location Tracking, Ständige Spracherkennung, schlechte Passwortmanager, Daten in der Cloud... Hack: ? Lösung: ? --------------- Zum Passwortraten könnte man John auf ein vorbereitetes Hashfile loslassen. --------------- 6. Mobile Security Problem 1: Fettflecken auf dem Touchscreen verraten die PIN/das Entsperrmuster Hack: Smartphone aus dem Publikum entsperren (TODO: wie viele Leute muss man fragen, bis man ein brauchbares findet?) Problem 2: Authentifikation mit Fingerabdruck Hack: Finger nachbauen (zu viel Vorbereitung nötig?) weitere Probleme: GSM ist unsicher, alte Androids sind unsicher (findet man da einfache Exploits?) Lösung: ? --------------- Für den Fingerabdruckhack braucht man meiner Erfahrung nach etwas mehr Zeit als uns hier vorschwebt --------------- 7. WhatsApp sniffen Problem: Die Verschlüsselung von WhatsApp ist schlecht bis nicht vorhanden Hack: Es gibt da wohl ein fertiges Sniffing-Tool Lösung: TextSecure? (ist das cool?) --------------- TextSecure und Threema haben beide ihre Vor- und Nachteile. Uneingeschränkt empfehlen kann ich keins, aber besser als Whatsapp sollten sie allemal sein. --------------- weitere mögliche Themen: - Cold Boot (kriegt man das vorgeführt?) - Lockpicking --------------- Cold Boot geht leider deutlich über mein Können hinaus. Lockpicking kann ich zwar etwas, aber da sind diverse Leute um Längen besser als ich. Was ich noch vorstellen kann: - Tails als Rundum-sorglos-System mit Fehlern (Fingerabdrucküberprüfung funktioniert unter 1.0 nicht sauber, Schlüssel werden nur mit 1024 Bit erzeugt) - Tor Browser Bundle (Ich habe hierfür auch einen Stapel Folien) und seine Schwächen (Browser-Fingerprinting, keine automatische Aktualisierung) - Was ist ein gutes Passwort? (Kurzfassung: Es gibt keine eindeutige Antwort) --------------- Viele Grüße Jochim _______________________________________________ gpn-crypto mailing list gpn-crypto(a)bl0rg.net https://lists.bl0rg.net/cgi-bin/mailman/listinfo/gpn-crypto