Sicherheit

[anonymous*]

Christoph schrieb:

anonymous schrieb:

Ich bezweifle ja auch nicht das es solche Protokolle existieren. Es ändert sich nicht daran, dass ich das nun mal nicht behauptet habe. Aber ich bezweifle einfach, dass die Aktion der Vereinbarung, nicht abhörbar ist, denn dann müsste es ja in diesem Moment schon eine Verschlüsselung geben.

Diese Annahme ist falsch. So eine "Aktion der Vereinbarung" muss es nicht geben, denn das wäre tatsächlich unsicher, wenn jemand mithört. Die Protokolle funktionieren anders.

Wenn es die nicht geben muss, dann frage ich mich wo da der angebliche Faktor des Zufalls ist, um die Verschlüsselung jedes mal einzigartig zu machen? Wenn zwei Systeme beide verschiedene Zufallsfaktoren benutzen kann das entschlüsselnd doch auf einer Seite nicht mehr funktionieren. Also muss es eine Vereinbarung geben oder die ist schon in vornherein auf beiden System fest festgelegt, nur dann könnte man die ja quasi wissen und in dem Abhörprogramm einfach angeben.

[anonymous*]

Sheldor schrieb:

anonymous schrieb:

Es könnte sich ein Hacker in meinen PC hacken, weil ich Windows installiert habe, und die Spuren sehen dann so aus als kämen sie alle von meinem PC.

Weil du Windows installiert hast ? O_o

Ja. Windows ist dafür bekannt, die peinlichsten Sicherheitslücken überhaupt zu haben.

[Shade Of Mine]

anonymous schrieb:

Ich bezweifle ja auch nicht das solche Protokolle existieren. Es ändert sich nichts daran, dass ich das nun mal nicht behauptet habe. Aber ich bezweifle einfach, dass die Aktion der Vereinbarung, nicht abhörbar ist, denn dann müsste es ja in diesem Moment schon eine Verschlüsselung geben. Nur dann wo wurde die ausgemacht und wer sagt mir, dass nicht schon jemand da mit gehorcht hat?!

Es gibt verfahren, wie zb Diffie/Hellmann beidem der Angreifer von Anfang an mithorchen kann und trotzdem nichts mitbekommt. Denn die Leute sind ja nicht blöd - jede Art von Verschlüsselung über WLAN wäre sinnlos wenn ich darauf hofffen müsste dass niemand mitliest.

Deshalb gibt es Verfahren wo es egal ist wenn jemand mitliest. Lies dir den Wiki Artikel durch. Interessant für dich könnte auch folgendes sein: http://www.heise.de/newsticker/meldung/Angriff-auf-WPA-verfeinert-753357.html

Hier wird kurz erklärt wie der aktuelle Angriffsvektor für WPA funktioniert.

Das ist alles nicht trivial. Sicherheit ist ein hochkomplexes Thema - da muss man schon ordentlich Zeit investieren um das Thema wirklich zu verstehen.

[anonymous*]

Shade Of Mine schrieb:

anonymous schrieb:

Ich bezweifle ja auch nicht das solche Protokolle existieren. Es ändert sich nichts daran, dass ich das nun mal nicht behauptet habe. Aber ich bezweifle einfach, dass die Aktion der Vereinbarung, nicht abhörbar ist, denn dann müsste es ja in diesem Moment schon eine Verschlüsselung geben. Nur dann wo wurde die ausgemacht und wer sagt mir, dass nicht schon jemand da mit gehorcht hat?!

Es gibt verfahren, wie zb Diffie/Hellmann beidem der Angreifer von Anfang an mithorchen kann und trotzdem nichts mitbekommt. Denn die Leute sind ja nicht blöd - jede Art von Verschlüsselung über WLAN wäre sinnlos wenn ich darauf hofffen müsste dass niemand mitliest.

Deshalb gibt es Verfahren wo es egal ist wenn jemand mitliest. Lies dir den Wiki Artikel durch. Interessant für dich könnte auch folgendes sein: http://www.heise.de/newsticker/meldung/Angriff-auf-WPA-verfeinert-753357.html

Hier wird kurz erklärt wie der aktuelle Angriffsvektor für WPA funktioniert.

Das ist alles nicht trivial. Sicherheit ist ein hochkomplexes Thema - da muss man schon ordentlich Zeit investieren um das Thema wirklich zu verstehen.

Also ich weiß aber immerhin, dass auch immer gesagt wurde das der CIA und das hat der CIA auch immer wieder selbst gesagt, eine Firewall hat, in die man nicht eindringen kann. Jeder der meinte er könnte es dennoch wurde extrem spöttisch ausgelacht. Und nun gerade vor sehr kurzer Zeit hat sich herausgestellt dass da welche durchgekommen sind und der CIA es nicht mal gemerkt hat. Genau aus solchem wissen bin ich mir absolut sicher, mit einem ausgesuchten Proxy auf jeden Fall sicher zu fahren als mit einem VPN-Netzwerk wo ich auch noch für Bezahle und damit gleich meine Anonymität zerstöre.

[Christoph]

anonymous schrieb:

Christoph schrieb:

So eine "Aktion der Vereinbarung" muss es nicht geben, denn das wäre tatsächlich unsicher, wenn jemand mithört. Die Protokolle funktionieren anders.

Wenn es die nicht geben muss, dann frage ich mich wo da der angebliche Faktor des Zufalls ist, um die Verschlüsselung jedes mal einzigartig zu machen? Wenn zwei Systeme beide verschiedene Zufallsfaktoren benutzen kann das entschlüsselnd doch auf einer Seite nicht mehr funktionieren. Also muss es eine Vereinbarung geben oder die ist schon in vornherein auf beiden System fest festgelegt, nur dann könnte man die ja quasi wissen und in dem Abhörprogramm einfach angeben.

Wie Shade Of Mine schon geschrieben hat, ist das ein hochkomplexes Thema. Wenn dich wirklich interessiert, wie das funktioniert, und warum das sicher ist selbst wenn jemand mithört, dann würd ich den Wikipedia-Artikel lesen oder gleich mit einem guten Kryptographie-Buch anfangen. Die heutige Kryptografie ist das Ergebnis von sehr vielen sehr intelligenten Leuten, die sich darüber Gedanken gemacht haben. Deswegen ist das Thema so komplex und die Einarbeitung so aufwendig.

[anonymous*]

Christoph schrieb:

anonymous schrieb:

Christoph schrieb:

So eine "Aktion der Vereinbarung" muss es nicht geben, denn das wäre tatsächlich unsicher, wenn jemand mithört. Die Protokolle funktionieren anders.

Wenn es die nicht geben muss, dann frage ich mich wo da der angebliche Faktor des Zufalls ist, um die Verschlüsselung jedes mal einzigartig zu machen? Wenn zwei Systeme beide verschiedene Zufallsfaktoren benutzen kann das entschlüsselnd doch auf einer Seite nicht mehr funktionieren. Also muss es eine Vereinbarung geben oder die ist schon in vornherein auf beiden System fest festgelegt, nur dann könnte man die ja quasi wissen und in dem Abhörprogramm einfach angeben.

Wie Shade Of Mine schon geschrieben hat, ist das ein hochkomplexes Thema. Wenn dich wirklich interessiert, wie das funktioniert, und warum das sicher ist selbst wenn jemand mithört, dann würd ich den Wikipedia-Artikel lesen oder gleich mit einem guten Kryptographie-Buch anfangen. Die heutige Kryptografie ist das Ergebnis von sehr vielen sehr intelligenten Leuten, die sich darüber Gedanken gemacht haben. Deswegen ist das Thema so komplex und die Einarbeitung so aufwendig.

Und wie mal ein Sicherheitsexperte so schön sagte, wird ein Passwort viel zu sehr überschätzt! Es bringt die tollste Verschlüsselung nichts, wenn man mitbekommen konnte, welche sie die 2 Kandidaten ausgesucht haben und diese dann einfach nachahmt. Formeln zu befolgen ist der Sinn des Computers.
Ich sehe es ein wenn ein gemeinsames ausgemachtes Passwort als Ver-/Entschlüsselungsfaktor benutzt wird, keine weitere Ausmachung notwendig ist aber dennoch ist es notwendig vorher auf beiden Seiten das Passwort einzugeben, sonst funktioniert die Entschlüsselung auf einer Seite nicht.

[Walli]

Christoph schrieb:

Ein Beispiel für ein solches Protokoll ist http://en.wikipedia.org/wiki/Diffie–Hellman_key_exchange .

Geile Idee, kannte ich bisher noch nicht .

[anonymous*]

Naja Gut. Dann wäre das also einer meiner Sicherheitskonzepte, dass sich bestimmte Teilnehmer auf Wunsch vorher ein Passwort miteinander z.B. telefonisch ausmachen. Trotzdem glaube ich nicht daran dass z.B. die WPA2 Verschlüsselung vor Fehlern einfacher Computer-Nutzer schützt. Außerdem wird es die Situation wo man den anderen Teilnehmer nicht kennt, ihm also nicht vertraut, viel öfter geben, also möchte man nicht das dieser Proxy-Teilnehmer seine Verbindung mitlesen kann, dass heißt das die Verschlüsselung nach wir vor eben doch mit dem eigentlichen Ziel ausgemacht werden muss. Mit dem Ziel ein Passwort zu vereinbaren geht über den Proxy-Teilnehmer hinaus und bezieht sich auf den Nutzer des Teilnehmer Proxy absolut selbst. Also letzten Endes liegt es eben an ihm selbst wie sicher er einen Proxy nutzt. Ich kann ihm da höchsten empfehlen was er auf Jeden Fall nicht machen sollte aber wieso sollte ich ihn denn Bitte z.B. durch GUI und unveränderbare Hintergrund Programmm-Festlegungen dazu zwingen bestimmte Datenoperationen einzuhalten?!

[Shade Of Mine]

anonymous schrieb:

Ich sehe es ein wenn ein gemeinsames ausgemachtes Passwort als Ver-/Entschlüsselungsfaktor benutzt wird, keine weitere Ausmachung notwendig ist aber dennoch ist es notwendig vorher auf beiden Seiten das Passwort einzugeben, sonst funktioniert die Entschlüsselung auf einer Seite nicht.

Das ist eine falsche Vorstellung. So funktioniert das einfach nicht.
Lies dir mal http://en.wikipedia.org/wiki/Key_exchange durch.

Es macht keinen Sinn dir hier irgendwas zu erklären. Dir fehlen die Grundlagen. Das ist kein Problem. Man kann sich nicht bei jedem Thema auskennen. Aber gerade wenn du hier soviel über Sicherheit postest wäre es echt gut wenn du dich damit näher auseinander setzt.

Wenn du willst kann ich dir gerne eine Linksammlung posten wo du eine Menge Lesestoff dann hast. Aber du musst dich halt auch damit befassen wollen. Ist ein furchtbar trockenes Thema...

[Shade Of Mine]

anonymous schrieb:

Naja Gut. Dann wäre das also einer meiner Sicherheitskonzepte, dass sich bestimmte Teilnehmer auf Wunsch vorher ein Passwort miteinander z.B. telefonisch ausmachen. Trotzdem glaube ich nicht daran dass z.B. die WPA2 Verschlüsselung vor Fehlern einfacher Computer-Nutzer schützt.

Was für Fehler denn?
Wenn ich das Passwort weitersage dann ist das ja prinzipiell kein Fehler von WPA2 und einen anderen Fehler kann ich als User nicht machen.

Das Passwort wird bei WPA aber nie zum AccessPoint geschickt, wenn du das meinst.

[Christoph]

Walli schrieb:

Christoph schrieb:

Ein Beispiel für ein solches Protokoll ist http://en.wikipedia.org/wiki/Diffie–Hellman_key_exchange .

Geile Idee, kannte ich bisher noch nicht .

Was ich noch viel cooler finde, ist übrigens Secure multi-party computation. Als ich das zum ersten Mal gesehen hab, hab ich wirklich nicht geglaubt, dass das überhaupt irgendwie funktionieren kann.

Die Idee ist, dass man eine effizient berechenbare Funktion f hat mit n Parametern. Außerdem gibt es n Teilnehmer durchnummiert von 1 bis n, und i-te Teilnehmer kennt nur den Wert x_i. Jeder Teilnehmer möchte am Ende den Funktionswert f(x_1, x_2, ..., x_n) kennen.

Das könnte man natürlich ganz einfach ausrechnen, indem sich die Teilnehmer zusammentun, ihre x_i's untereinander austauschen und ein beliebiger (oder alle) Teilnehmer f ausrechnen. Oder indem es eine vertrauenswürdige dritte Partei gibt, die alle x_i sammelt und dann den Funktionswert öffentlich bekanntgibt. Aber jetzt kommt der Wahnsinns-Trick: Es gibt ein Verfahren, mit dem ohne vertrauenswürdige Partei am Ende der i-te Teilnehmer den Funktionswert f(x_1, x_2, ..., x_n) und sein x_i kennt, aber sonst gar nichts.

Die Teilnehmer tauschen nur untereinander Nachrichten aus, und auf scheinbar magische Weise kennen am Ende alle den Funktionswert f(x_1, ..., x_n), obwohl jeder Teilnehmer am Ende außer dem Funktionswert nur sein x_i kennt und auch im Verlauf des Protokolls keine noch so geringe Information über die anderen Eingabeparameter erhält, also nichtmal ein Bit oder verschobene Wahrscheinlichkeiten.

edit: Das klassische Beispiel ist ein f mit zwei Parametern und der Definition f(x, y) = x > y. Die Motivation dahinter ist, dass zwei Millionäre wissen möchten, wer von ihnen mehr Geld hat, aber keiner dem anderen den Wert seines Vermögens preisgeben möchte. Mit secure multi-party computation ist das tatsächlich möglich.

[cooky451]

Shade Of Mine schrieb:

Wenn du willst kann ich dir gerne eine Linksammlung posten wo du eine Menge Lesestoff dann hast. Aber du musst dich halt auch damit befassen wollen. Ist ein furchtbar trockenes Thema...

Falls du zufällig einen Artikel kennst, der recht detailliert darlegt, wie man S-Boxen designt, wo Schwachstellen sein können und was z.B. an denen von DES so toll ist, wäre ich dir sehr verbunden, wenn du den posten würdest. Ich habe das bisher nie so wirklich nachvollziehen können.

[anonymous*]

Hier sind wir bei dem zentralen Punkt. Was bringt es wenn ich mir eine oder mehrere Verschlüsslung(en) aussuche, wenn dann z.B. die Verschlüsselung eines Account von einem Internet-Kunden, der die Verbindung zu diesem Account über einen Teilnehmer-Proxy machen möchte, individuell ist? Die Daten müssen halt einfach roh vom Ziel über den Proxy zum Start übertragen werden. Eine Verschlüsselung von Client zu Proxy ist unsinnig, da die Verschlüsselung ja dann nur bis zum Proxy ginge und nach dem Proxy zum Ziel wieder entschlüsselt ist. Zudem könnte dann der Proxy-Betreiber eh die Verbindung entschlüsselt sehen.

Sicherheit ist also nicht wirklich die Sache des Proxy-Betreiber, sondern jedem Clienten sein Bier!

[Shade Of Mine]

anonymous schrieb:

Hier sind wir bei dem zentralen Punkt. Was bringt es wenn ich mir Verschlüsslung aussuche, wenn dann z.B. die Verschlüsselung eines Account von einem Internet-Kunden, der die Verbindung zu diesem Account über einen Teilnehmer-Proxy machen möchte, individuell ist? Die Daten müssen halt einfach roh vom Ziel über den Proxy zum Start übertragen werden. Eine Verschlüsselung von Client zu Proxy ist unsinnig, da die Verschlüsselung ja dann nur bis zum Proxy ginge und nach dem Proxy zum Ziel wieder entschlüsselt ist. Zudem könnte dann der Proxy-Betreiber eh die Verbindung entschlüsselt sehen.

Sicherheit ist also nicht wirklich die Sache des Proxy-Betreiber, sondern jedem Clienten sein Bier!

Was hat das mit Proxy zu tun?
Wenn du die Daten unverschlüsselt überträgst, dann sind sie unverschlüsselt (oh schock).
Wenn du die Daten verschlüsselt überträgst, dann kannst du Proxies haben wie du lustig bist und die Daten sind immernoch verschlüsselt).

Der Server kann natürlich eine Verschlüsselung erzwingen, genauso wie der Client das kann.

Ich glaube aber auch dass du nicht ganz die Idee eines Proxies verstehst. Denn der hat mit Datensicherheit erstmal garnichts zu tun.

Worauf willst du eigentlich hinaus?

[anonymous*]

Shade Of Mine schrieb:

anonymous schrieb:

Hier sind wir bei dem zentralen Punkt. Was bringt es wenn ich mir Verschlüsslung aussuche, wenn dann z.B. die Verschlüsselung eines Account von einem Internet-Kunden, der die Verbindung zu diesem Account über einen Teilnehmer-Proxy machen möchte, individuell ist? Die Daten müssen halt einfach roh vom Ziel über den Proxy zum Start übertragen werden. Eine Verschlüsselung von Client zu Proxy ist unsinnig, da die Verschlüsselung ja dann nur bis zum Proxy ginge und nach dem Proxy zum Ziel wieder entschlüsselt ist. Zudem könnte dann der Proxy-Betreiber eh die Verbindung entschlüsselt sehen.

Sicherheit ist also nicht wirklich die Sache des Proxy-Betreiber, sondern jedem Clienten sein Bier!

Was hat das mit Proxy zu tun?
Wenn du die Daten unverschlüsselt überträgst, dann sind sie unverschlüsselt (oh schock).
Wenn du die Daten verschlüsselt überträgst, dann kannst du Proxies haben wie du lustig bist und die Daten sind immernoch verschlüsselt).

Der Server kann natürlich eine Verschlüsselung erzwingen, genauso wie der Client das kann.

Ich glaube aber auch dass du nicht ganz die Idee eines Proxies verstehst. Denn der hat mit Datensicherheit erstmal garnichts zu tun.

Worauf willst du eigentlich hinaus?

Das ihr so vorhin tat, als ginge es bei einem Proxy um Datensicherheit und jetzt auf einmal bist Du mit mir der selben Meinung. :p

[nman]

anonymous: Hör auf, hier herumzutrollen. Es reicht mit deinen dummen sinnentleerten Posts.