gerade gelesen - wenn das kommt, wäre das die totalste Überwachung jedes Einzelindividuums und aller zusammen, die es je gegeben hat - danach kommt nur noch der eingepflanzte Chip! Und wir freuen uns, daß wir ACTA gelegt haben .. http://fm4.orf.at/stories/1701899/ vor allem - selbst wenn man die Gesetze dazu verhindert, wie hindert man GB und USA daran, es trotzdem zu machen ? An Gesetze hält sich ohnehin nur der, der zu schwach ist, sie ungestraft zu brechen bzw zu umgehen .. Gruß B .
-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA1 On 07/20/2012 12:56 PM, BDuN@gmx.net wrote:
gerade gelesen - wenn das kommt, wäre das die totalste Überwachung jedes Einzelindividuums und aller zusammen, die es je gegeben hat - danach kommt nur noch der eingepflanzte Chip! Und wir freuen uns, daß wir ACTA gelegt haben ..
ACTA war ein Meilenstein, companero! Wir haben gegen eine Allianz aus Big Pharma [die Geldgeber weil haushoch die Umsatzstärksten], Konzerne die proprietäre Software verdealen [nr 2 als Player Umsatz] und dann die Schreihalsfraktion von der Unterhaltungsindustrie [Umsatzmäßig Wappler gegen die anderen, aber berufsmäßig die Lautsprecher ]. Wir haben also nur gegen uns gehabt: Die nach der Ölindustrie und Auto umstatzstärkste Branche der Welt, M$, Or5acle & Co, die gesamte private Medienindustrie von Murdoch bis Berlusconi sowie eine unübersehbare Zahl von prepaid trolls, die sie ausgeschickt haben. Und: Eingegangen sind sie mit ACTA am End wie die Primeln
Das da? Ist der Versuch der alten Regimes, das 1995 über den EU-Fischereiausschuss verabschiedeten Überwachungprozedere für die damals neuen GSM Netze in TCP/IP fortzuschreiben. Dabei sind lauter Telco Techniker am Werke des Standardisierens. Das ist 1e Garantie für eine skalierend "dreckate Himmelfahrt" wie der Altwiener Ausdruck dafür korrekt lautet. Was man tun kann, um das zu beschleunigen? Informieren, informieren, informieren. Mehr dazu laufend cu @harkank - -- Key ID 0xBCC55231 29DD 76FF 67E3 1051 914B 2E66 A3BE 9B4E BCC5 5231 http://pgp.mit.edu:11371/pks/lookup?op=get&search=0xA3BE9B4EBCC55231 -----BEGIN PGP SIGNATURE----- Version: GnuPG v1.4.11 (GNU/Linux) Comment: Using GnuPG with Mozilla - http://enigmail.mozdev.org/ iEYEARECAAYFAlAJ7tUACgkQo76bTrzFUjGJFwCgoE9jhVfb1sUjOwjQn6xp0alj jZ8Anioaj0GBmVvNzk81RYI6XLMtll5T =2c3N -----END PGP SIGNATURE-----
On 2012-07-20 12:56:37 +0200, BDuN@gmx.net wrote:
gerade gelesen - wenn das kommt, wäre das die totalste Überwachung jedes Einzelindividuums und aller zusammen, die es je gegeben hat - danach kommt nur noch der eingepflanzte Chip! Und wir freuen uns, daß wir ACTA gelegt haben ..
http://fm4.orf.at/stories/1701899/
vor allem - selbst wenn man die Gesetze dazu verhindert, wie hindert man GB und USA daran, es trotzdem zu machen ? An Gesetze hält sich ohnehin nur der, der zu schwach ist, sie ungestraft zu brechen bzw zu umgehen ..
Mir geht in den Artikel ein wichtiges Detail ab: [MITM] | Dafür muss er allerdings zu drastischen Mitteln greifen, über die nur | professionelle Schadsoftware der Oberklasse verfügt: Die Fähigkeit, | Sicherheitszertifikate einer offiziellen Zertifizierungsstelle zu | fälschen. Woher hat der MITM diese Fähigkeit? Spielen die CAs mit und stellen den Lauschern Zertifikate aus, die diesen wiederum erlauben, unbegrenzt Zertifikate zu erstellen? Oder verraten sie ihnen gar die Private Keys der Root-Zertifikate? Oder sind NSA und Co in der Lage, Public-Key- und/oder Hash-Algorithmen nach Belieben zu knacken? Im letzten Fall hilft natürlich nichts mehr. Aber in den ersten beiden Fällen ist das Problem, dass wir Browserbenutzer implizit CAs vertrauen, die dieses Vertrauen nicht verdienen. Hier würde bereits ein anderes User-Interface helfen. Statt dem Benutzer Sicherheit vorzugaukeln, wenn es eine Kette zu einer bekannten CA gibt (über deren Vertrauenswürdig- keit der User nichts weiß) und Panik zu verbreiten, wenn es keine solche Kette gibt, sollte der Benutzer dazu angeleitet werden, für jeden neuen Key anzugeben, wieweit er sich sicher ist, dass er zur richtigen Identität gehört. Die CA-Kette ist dafür eine wichtige Entscheidungshilfe, sollte aber nicht die einzige sein. Es gibt ein paar Add-Ons für Firefox, die in die Richtung gehen, aber wirklich überzeugt hat mich noch keines davon: * Certificate Patrol zeigt an, wenn ein neuer Key auftaucht oder wenn sich die Certificate Chain ändert. IMHO nicht endbenutzertauglich, und neigt zu False Positives (z.B. Google verwendet offenbar mehrere CAs). * Pet Name war nett, wird aber leider nicht mehr gepflegt: Die Idee war, dass man bekannten Web Sites einen "Spitznamen" gibt, der angezeigt wird, wenn der entsprechende Public Key verwendet wird. Bei einer MITM-Attacke würde ein anderer Schlüssel verwendet und daher der Spitzname nicht angezeigt. Hier fehlt mir Unterstützung bei der initialen Bewertung sowie bei der Diagnose. hp PS: Nachdem ich wieder mal ein paar Absätze über eines meiner Lieblingsthemen losgeworden bin, fällt mir noch ein Detail in der Graphik auf: "Intercepted Data may be decrypted if capability is provided by vendor." Wer ist der "vendor" in diesem Fall? -- _ | Peter J. Holzer | Der eigene Verstand bleibt gefühlt messer- |_|_) | Sysadmin WSR | scharf. Aber die restliche Welt blickt's | | | hjp@hjp.at | immer weniger. __/ | http://www.hjp.at/ | -- Matthias Kohrs in desd
On Mon, Jul 23, 2012 at 02:17:06PM +0200, Peter J. Holzer wrote:
On 2012-07-20 12:56:37 +0200, BDuN@gmx.net wrote: [snip]
Es gibt ein paar Add-Ons für Firefox, die in die Richtung gehen, aber wirklich überzeugt hat mich noch keines davon:
Es gibt auch noch http://convergence.io/ . Ich hab aber schon einige Zeit nicht mehr verfolgt, wie der Status ist. Definitiv sehenswert ist der BlackHat-Talk dazu: https://www.youtube.com/watch?v=Z7Wl2FW2TcA hop -- What should you do to a blue elephant? Cheer it up.
On 2012-07-23 14:50:53 +0200, Christoph Schindler wrote:
On Mon, Jul 23, 2012 at 02:17:06PM +0200, Peter J. Holzer wrote:
Es gibt ein paar Add-Ons für Firefox, die in die Richtung gehen, aber wirklich überzeugt hat mich noch keines davon:
Es gibt auch noch http://convergence.io/ . Ich hab aber schon einige Zeit nicht mehr verfolgt, wie der Status ist.
Interessanter Ansatz. Danke für den Hinweis.
Definitiv sehenswert ist der BlackHat-Talk dazu: https://www.youtube.com/watch?v=Z7Wl2FW2TcA
Yup. hp -- _ | Peter J. Holzer | Der eigene Verstand bleibt gefühlt messer- |_|_) | Sysadmin WSR | scharf. Aber die restliche Welt blickt's | | | hjp@hjp.at | immer weniger. __/ | http://www.hjp.at/ | -- Matthias Kohrs in desd
-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA1 On 07/23/2012 02:17 PM, Peter J. Holzer wrote:
[MITM] | Dafür muss er allerdings zu drastischen Mitteln greifen, über die nur | professionelle Schadsoftware der Oberklasse verfügt: Die Fähigkeit, | Sicherheitszertifikate einer offiziellen Zertifizierungsstelle zu | fälschen.
Woher hat der MITM diese Fähigkeit? Spielen die CAs mit und stellen den Lauschern Zertifikate aus, die diesen wiederum erlauben, unbegrenzt Zertifikate zu erstellen? Oder verraten sie ihnen gar die Private Keys der Root-Zertifikate? Oder sind NSA und Co in der Lage, Public-Key- und/oder Hash-Algorithmen nach Belieben zu knacken?
IMHO no. Alles was bis jetzt CA-mäßig lief war: Entweder wurde ein temporäres Zertifikat dafür ausgquetscht, bis man auffiel http://www.techdirt.com/articles/20120208/03043317695/trustwave-admits-it-is... Oder man gab ein- und dasselbe für alle Überwachungen aus [Cyberoam]
Im letzten Fall hilft natürlich nichts mehr. Aber in den ersten beiden Fällen ist das Problem, dass wir Browserbenutzer implizit CAs vertrauen, die dieses Vertrauen nicht verdienen.
Das ist genau der Punkt! Es schaut keiner hin. Gewarnt werde ich z.B. nur vor https-Verbindungen z.B. zum CCC oder auf der quintessenz ;)) Die Spooks sitzen aber nicht dortsondern bei Verisign. Verisign.ch bietet sogar "lawful interception bzw. data retention as a service] für kleinere Telcos an... /harkank Hier würde bereits ein anderes
User-Interface helfen. Statt dem Benutzer Sicherheit vorzugaukeln, wenn es eine Kette zu einer bekannten CA gibt (über deren Vertrauenswürdig- keit der User nichts weiß) und Panik zu verbreiten, wenn es keine solche Kette gibt, sollte der Benutzer dazu angeleitet werden, für jeden neuen Key anzugeben, wieweit er sich sicher ist, dass er zur richtigen Identität gehört. Die CA-Kette ist dafür eine wichtige Entscheidungshilfe, sollte aber nicht die einzige sein.
Es gibt ein paar Add-Ons für Firefox, die in die Richtung gehen, aber wirklich überzeugt hat mich noch keines davon:
* Certificate Patrol zeigt an, wenn ein neuer Key auftaucht oder wenn sich die Certificate Chain ändert. IMHO nicht endbenutzertauglich, und neigt zu False Positives (z.B. Google verwendet offenbar mehrere CAs).
* Pet Name war nett, wird aber leider nicht mehr gepflegt: Die Idee war, dass man bekannten Web Sites einen "Spitznamen" gibt, der angezeigt wird, wenn der entsprechende Public Key verwendet wird. Bei einer MITM-Attacke würde ein anderer Schlüssel verwendet und daher der Spitzname nicht angezeigt. Hier fehlt mir Unterstützung bei der initialen Bewertung sowie bei der Diagnose.
hp
PS: Nachdem ich wieder mal ein paar Absätze über eines meiner Lieblingsthemen losgeworden bin, fällt mir noch ein Detail in der Graphik auf: "Intercepted Data may be decrypted if capability is provided by vendor." Wer ist der "vendor" in diesem Fall?
_______________________________________________ Metalab mailing list Metalab@lists.metalab.at https://lists.metalab.at/mailman/listinfo/metalab
- -- Key ID 0xBCC55231 29DD 76FF 67E3 1051 914B 2E66 A3BE 9B4E BCC5 5231 http://pgp.mit.edu:11371/pks/lookup?op=get&search=0xA3BE9B4EBCC55231 -----BEGIN PGP SIGNATURE----- Version: GnuPG v1.4.11 (GNU/Linux) Comment: Using GnuPG with Mozilla - http://enigmail.mozdev.org/ iEYEARECAAYFAlANZoEACgkQo76bTrzFUjGlTwCfYEYRG2OroAPEH1tkEEYHs9bb LicAn0RyjLg05Ngg+EDUAHGfzPVQO2cf =YXFa -----END PGP SIGNATURE-----
Teilnehmer (4)
-
BDuN＠gmx.net -
Christoph Schindler -
harkank -
Peter J. Holzer