Browsed by
Tag: Sicherheit

Sicheres Surfen auf Facebook [UPDATE]

Sicheres Surfen auf Facebook [UPDATE]

Im Zusammenhang mit Facebook über Sicherheit zu reden ist ja so eine Sache, aber wie letztes Jahr (nicht zuletzt durch die Firefox Erweiterung Firesheep) gezeigt wurde ist es ein extremes Sicherheitsrisiko sich vor allem auf Seiten die der privaten Kommunikation dienen ohne eine permanent gesicherte Verbindung zu bewegen da die Gefahr des Identitätsdiebstahles besteht.

Facebook hat heute endlich darauf reagiert und bietet die Möglichkeit der dauerhaften SSL Verschlüsselung an die wirklich jeder einschalten sollte der Facebook nutzt. Zu finden ist die Option unter folgenden Menüpunkten:

Konto => Kontoeinstellungen => Kontosicherheit => Sicheres Durchstöbern

UPDATE:

Wie ich auf heise.de gerade lesen konnte gibt es ein Problem auf das unbedingt geachtet werden sollte. Beim benutzen von dritthersteller facebook Apps wird https deaktiviert da diese damit nicht kompatibel sind. Diese Deaktivierung ist nicht vorübergehend sondern permanent. Die Einstellung sollte also dringend im Anschluss wieder aktiviert werden. So ein Vorgehen seitens facebook zeigt nur mal wieder wie unwichtig denen die Sicherheit eigentlich ist

Passwörter, Sicherheit und Verwaltung

Passwörter, Sicherheit und Verwaltung

Passwörter braucht man heute im Internet für beinahe alles. In Foren, bei Social Networks, auf Verkaufsplattformen, bei Banken, beim eMailanbieter oder beim Jabber Konto, überall werden heute Passwörter verlangt und diese Flut der benötigten Authentifizierungen verleitet viele Benutzer dazu überall das gleiche (im Zweifel noch sehr unsichere) Passwort zu benutzen. DIe Probleme die dieses Vorgehen mit sich bringt sollten eigentlich auf der Hand liegen. Kann ich einmal ein Passwort des Benutzers knacken oder in Besitz bringen ist es sehr leicht einfach auf allen möglichen Webseiten mit der selben Benutzername/Passwort Kombination auszoprobieren ob ich mich einloggen kann. Die Folgen können Informationsdiebstahl sein, Beschädigung des Rufes, Versenden von Spam und natürlich das Erzeugen von Schulden durch z.B. Einkäufe bei eBay Amazon und Co.

Um sich zu schützen sollte man ein paar Dinge beachten. An fremden PCs (wie z:b. in Hotels oder Internet Cafes) sollte man nur wenn unbedingt nötig sensible Passwörter wie z.B. Banking Accounts nutzen, denn hier fehlt einem meistens gänzlich die Kontrolle nachzuvollziehen ob irgendwelche Programme installiert sind die die eingegebenen Daten mit loggen und abspeichern könnten. Auch das Speichern von hoch sensiblen Passwörtern im Browsercache sollte vermieden werden, denn das ist zwar unheimlich praktisch und hilft gegen Vergesslichkeit doch hat es auch einige Nachteile. Meist werden die Passwörter heute verschlüsselt abgelegt aber oft ist die Frage wo. Eine Sicherung der Passwortdaten und anschließendes Wiedereinspielen ist oft nicht vorgesehen, daher steht der Benutzer beim Betriebssystemwechsel schonmal dumm da. Doch auch die Sicherheit ist nicht immer nachvollziehbar. Ich würde niemals einer unfreien Software mit geschlossenem Quellcode meine Passwörter anvertrauen wollen. Wieso? Der Grund ist eigentlich ganz einfach, im Normalfall weiß man nicht wie die Sicherheitskonzepte aussehen. Welche Verschlüsselung wird verwendet? Haben überhaupt Fachleute auf diesem Gebiet sich die Sache mal näher angesehen und auf Schwachstellen abgeklopft oder hat sich bloß der aktuelle Praktikant mal 14 Tage eingelesen und dann schnell was hingepfuscht? Generell haben bei Proprietärer Software sehr viel weniger Entwickler Einblick in den Code als bei Open Source Projekten wodurch eine geringere Kontrolle statt findet und auch der Code oft schlechter sein dürfte. Die Beispiele der letzten Jahre wie die DECT Verschlüsselung oder diverse RFID Hacks haben gezeigt das geschlossene Software, auch in Sicherheitskritischen Bereichen, ihre Sicherheit gerne darauf begründet das niemand weiß wie sie funktioniert und nicht darauf das die Konzepte tatsächlich besonders sicher sind.

Der vielleicht wichtigste Punkt bleibt aber wohl die Länge des Passworts und die Art der Verschlüsselung selbst. Als bislang ungeknackter Quasi Standard hat sich in den letzten Jahren der AES256 etabliert. Hier ist zum heutigen Zeitpunkt von einer ausreichend großen Sicherheit auszugehen. Doch auch der Beste Algorithmus nutzt nur wenig wenn das Passwort binnen kürzester Zeit erraten werden kann. Hierzu gibt es im Internet einige Quellen mit Rechenbeispielen. Diese möchte ich an dieser Stelle nicht wiederholen sondern lediglich darauf hinweisen das bei der heutigen Rechnergeschwindigkeit davon ausgegangen werden muss das ein Passwort mit weniger als zehn Stellen und minimum Groß- und Kleinbuchstaben (besser wären noch zusätzlich Zahlen) in einer hinreichenden Zeitspanne brechbar ist. Wer auch die nächste Zeit auf der sicheren Seite sein möchte sollte auf eine Kombination von Groß- und Kleinbuchstaben, sowie Sonderzeichen mit einer Länge von ca. 14 Zeichen in einer sinnlosen Reihenfolge vertrauen und kein Passwort mehr als einmal einsetzen.

Um solche Passwörter zu realisieren gibt es nun verschiedene Ansätze. Man kann sich z.B. seine Lieblingsfilmzitate, Textstellen in Büchern oder Lieblingslieder nehmen und z.B. die ersten 14 Wörter herausgreifen. Von diesen nimmt man nun die Anfangsbuchstaben, versieht diese mit Groß- und Kleinschriebung und ersetzt sie an sinnvollen Stellen durch Zahlen. Ein Beispiel:

Eine Textzeile in einem Lieblingsbuch lautet:

Als sie ankamen war es bereits Nacht

Nun würde man sich die Anfangsbuchstaben herausnehmen und dabei auf die Großschriebung achten:

AsawebN

und um es zu komplizieren könnte man nun an das N eine 8 anhängen (8 = Nacht) in englischen Texten bietet es sich z.B. oft an ein "to" durch eine 2 zu ersetzen und ähnliches:

AsawebN8

Auf diese Weise lassen sich recht komplexe und nicht trivial zu erratende Passwörter genrieren die noch relativ einfach zu merken sind. Wer das nicht kann oder möchte kann über den Einsatz einer Passwortverwaltung wie z.B. KeePass nachdenken. Hierbei handelt es sich um ein Open Source Programm das Passwörter und Zugangsdaten in einer AES256 verschlüsselten Datenbank abspeichert und somit zunächst einmal als relativ sicher gelten kann. Die Datenbank selbst wir mit einem Masterpasswort geschützt das man sich natürlich noch merken muss. Der große Vorteil des Programms ist sein Passwortgenerator. Dieser generiert beliebig lange Zufallspasswörter denen man mitgeben kann ob sie nur Buchstaben, oder auch Zahlen und Sonderzeichen etc. enthalten sollen. Diese Passwörter können als besonders sicher angesehen werden da sie keinem bestimmten Muster folgen. Jetzt kann man einwenden das bei Verlust des Masterpasswortes alle Passwörter gefährdet sind. Das ist sicher richtig, aber es bleibt die Abwägung was die größere Gefahr bedeutet. Entweder ein gemerktes extrem Sicheres Masterpasswort oder die Alternative mit viellecht 15-20 Internetaccounts von denen die Hälfte das gleiche fünfstellige leicht erratbare Passwort benutzt. In jedem Fall sollte bei einer Entscheidung für ein Programm für KeePass (was den Vorteil hat das es als Windows-, Mac- und Linuxversion sowie für viele Handys wie Android und als Portable Version für den USB Stick verfügbar ist) beachtet werden immer ein backup der Datenbank zu machen. Falls das Programm mal durch eine Fehlfunktion die Datenbank beschädigt oder der PC durch einen Hardwaredefekt nicht mehr nutzbar ist sollte man die Möglichkeit haben zumindest seine Passwörter vom Backup wieder zu bekommen.

Dropbox und die Sicherheit

Dropbox und die Sicherheit

Ich habe ja bereits vor einiger Zeit hier mal über den von mir so intensiv genutzten Dienst Dropbox berichtet Link. Ich nutze den Dienst nach wie vor extremst gerne, vor allem bei Softwareprojekten etc. weil ich damit dann vom Notebook ohne Probleme mal rüber zum Desktop wechseln kann und alle Files bereits da sind. Auch ein “Backup” habe ich automatisch mit angelegt und mir kann erstmal relativ wenig passieren.

In letzter Zeit lese und höre ich jedoch häufiger vom absolut unkritischen Umgang mit dem Dienst. Dropbox verspricht auf der eigenen Website ja auch das jeder Account AES256 verschlüsselt ist und selbst Dropbox Mitarbeiter keinen Zugang zu meinen Daten haben. Ohne jetzt Paranoid klingen zu wollen würde ich trotzdem nicht zu einem Gedankenlosen 100 prozentigem Grundvertrauen raten. Niemand hatte bislang mal die Chance da hinter die Kulissen zu schauen. So ein Satz ist schnell mal auf die Website geschrieben aber wieviel wahres daran ist weiß niemand und selbst wenn das alles so stimmt stehen diese Server in den USA und dort muss mit großer Sicherheit eine Abhörschnittstelle für staatliche Stellen vorgehalten werden und da wo so eine Schnittstelle ist kann diese auch missbraucht werden. Doch es muss ja nichtmal die Böse Absicht sein. Die Datenskandale der letzten Jahre haben gezeigt das auch einfach immer wieder schlampig mit sensiblen Daten umgegangen wird und sie so den Weg an die Öffentlichkeit finden könnten.

Ich würde daher jedem Dropbox (oder auch sonstigem Syncing Service) Nutzer dringend raten nicht seine aller sensibelsten Daten ungeschützt dort abzulegen von denen er nicht möchte das sie unbefugte lesen können. Wenn diese Daten dort gesynct werden sollen, dann packt sie selbst vorher in einen TrueCrypt Container oder verschlüsselt sie mit einem anderen Programm eurer Wahl.