Kategorie-Archiv: Sicherheit

Alles Neu. 4. Eigenes WordPress

Auf einem eigenen Webspace hat man einige Vorteile für sein WordPress gegenüber dem gehosteten Dienst von WordPress.com. Für alle, die es nicht wissen: WordPress ist ein sehr populäres Web-Content-Management-System, das sehr stark auf Blogs ausgelegt ist. Der Quellcode von WordPress ist offen und frei, so wie ich das mag. Das war tatsächlich der Grund, warum ich damals mein Blog auf WordPress.com gestartet hatte: ich wusste, dass WordPress frei ist und eine ziemlich umfassende Export+Import-Fähigkeiten hat, sodass man das später auf einen eigenen Webspace oder Server umziehen kann.

Umziehen ist sogar ziemlich einfach, im Internet gibt es zu genüge Anleitungen. Worauf man vielleicht achten sollte: Die Permalinks von internen Verlinkungen verschiedener Artikel sollten vor und nach dem Umzug im selben Format vorliegen – und auch auf die richtige, neue Domain zeigen.

Der wohl größte Vorteil eines eigenen WordPress ist, dass man nach belieben Plugins installieren kann. Derzeit nutze ich nur eine handvoll und am liebsten beleibt das auch so. Mehr Plugins bieten tendenziell mehr Angriffsfläche. Für die Besucher wohl am interessantesten ist ein Cache, der das Blog als statisches HTML ausliefert und so die Darstellungsgeschwindigkeit erheblich steigert. Weiterhin erhebe ich nun meine eigenen Statistiken mit Piwik, natürlich auch nur bei mir gehostet, und ohne Tracking oder Daten-Weitergabe. Ins Piwik selbst muss ich mich noch etwas einarbeiten – sobald ich das durchblicke, gibt es dazu wahrscheinlich auch Infos in einer Art Impressum, oder so.

Alles Neu. 3. Verschlüsselung

Diese Seite ist nur verschlüsselt erreichbar.  Wer http://ctrnx.de aufruft, wird auf https://ctrnx.de weitergeleitet. Damit ist eine Verschlüsselung der HTTP-Verbindung zu dieser Webseite gemeint, die per Transportschicht-Sicherheit (TLS) erfolgt. Das ist ein asynchrones Verschlüsselungsverfahren, ähnlich dem PGP für E-Mails. Der wichtigste Unterschied von TLS zu PGP ist, dass die Zertifikate bei TLS von einem „vertrauenswürdigen Dritten“ zertifiziert und „für echt“ befunden werden. Davon mag man halten, was man möchte. Wichtig ist mir nur, dass die Verbindung verschlüsselt ist – ob ihr mir tatsächlich glaubt, dass ich auch der bin für den ich mich ausgebe ist mir einerlei.

Praktisch bedeutet das, man erzeugt sich selbst ein Zertifikat und lässt dann den öffentlichen Teil von solch einer Certificate Authority signieren. Eine nützliche Anleitung gibt es bei Heise. Die meisten Zertifizierungsstellen erwarten für ihre Dienste eine finanzielle Gegenleistung. Es gibt meines Wissens nach nur ein einziges Unternehmen, dass auch kostenlose Zertifikate ausstellt, die länger als einen Monat gültig sind – ein ganzes Jahr sogar. Wie heißt es so schön: „Wenn du für den Dienst nichts zahlst, bist du das Produkt!“. Von daher, ist das nochmal eine Nummer dubioser. Aber wie auch immer: mein Zertifikat ist genau von diesem israelischen Unternehmen signiert. Das gute ist, sie sind so in die TLS-Infrastuktur integriert, dass sie in allen gängigen Browsern als „vertrauenswürdig“ gelten.

Die einzige derzeitige Alternative für kostenlose Zertifikate (wenn man sie nicht selbstsigniert sein sollen) wäre CACert, eine dezentralisierte Gemeinschaft, die als Zertifizierungsstelle fungiert. Einziges Manko: sie werden von den Browsern per default nicht akzeptiert und als „Unsicher!!!einself“ deklariert. Was sie nicht sind. Sie sind lediglich unbekannt. Dem kann man aber abhelfen.

In Zukunft wird die Geschichte mit TLS-Zertifikaten noch einfacher: Ein Konsortium bestehend aus der EFF, Mozilla, Akamai und Cisco wollen eine neue Zertifizierungsstelle in die Browser bringen, die kostenlose Zertifikate ausstellt – in erster Linie für Privatmenschen wie mich. Die neue Zertifizierungsstelle wird Let’s Encrypt heißen. Seit gestern gibt es ihr erstes Zertifikat zu bewundern – nachdem man ihr Stammzertifikat akzepiert hat. Letzteres ist nur temporär vonnöten, solange sie noch nicht von ihrem Partner IdenTrust querzertifiziert sind. Auf lange Sicht wollen sie direkt mit ihrem Stammzertifikat in die Browser, das kann aber noch ein paar Monate dauern.

Bis die Querzertifizierung durch ist, werde ich noch mein derzeitiges Zertifikat behalten. Anschließend will ich zügig wechseln. Denn meine derzeitige CA ist mir nicht wirklich geheuer.

Mein Garten

Mein Garten ist schön. Mein Garten ist gemütlich. Mein Garten ist nicht dein Garten. Mein Garten ist ein Walled Garden.

Dieser Ausdruck wird häufig verwendet, um eine sehr verbreitete Unternehmensstrategie in der Technologiebranche zu umschreiben: Meine Produkte sind auf Prozesse angewiesen, die unter meiner Kontrolle stehen. Dies bezieht sich auf mindestens einen dieser Punkte: Software, Hardware, Dateiformate und Protokolle.

Software

Die Betriebssysteme und digitalen Marktplätze können entscheiden welche Programme und Inhalte ich nutzen und beziehen kann. Noch tiefer im System ist heutzutage sogar das UEFI – ein Ersatz für das angestaubte BIOS – teilweise in der Lage zu kontrollieren, welche Betriebssysteme ich installieren kann.

Hardware

Durch herstellerspezifische Anschlüsse wird sichergestellt, dass ich nur bestimmte, zertifizierte Geräte anschließen kann oder teure Adapter kaufen muss. Einige Geräte detektieren Ersatzteile (etwa Akkus oder Tinte) von Drittherstellern und verweigern die reibungslose Zusammenarbeit: Stromsparfunktionen werden abgeschaltet oder übermäßig Tinte verbraucht.

Dateiformate und Protokolle

Undokumentierte Dateiformate und Protokolle zwingen die Benutzung von bestimmter Software. Patentierte Dateiformate im Multimedia-Bereich erfordern eine Lizenzierung für die Implementierung in Hard- oder Software.

Kontrolle

In kontrollierten Umgebungen ist das Geschäftsmodell für Firmen deutlich klarer, als in einem offenen Ökosystem: Die Kunden sind auf dich angewiesen und müssen deine Produkte kaufen. Das Unternehmen muss sich auch nicht so viel um die Dokumentation kümmern. Es ist ja sowieso besser, wenn kein einzelner Mitarbeiter Wissen über das gesamte Produkt hat.

Weiterhin kann die reibungslose Funktion durch Tests und Zertifizierung sichergestellt werden. Sicherheit gegen Angriffe wird häufig als Argument gebracht – es wisse ja schließlich niemand, wie die Systeme intern arbeiten. Leider ist dieses Argument zahnlos: gerade verbreitete proprietäre Produkte sind das Ziel von Angriffen.

Für Software kann die Konsistenz von Aussehen und Benutzerführung erzwungen werden. Erfüllt ein Programm oder ein Inhalt die Anforderungen an Design oder Moralvorstellung nicht, ist dies einfach nicht verfügbar oder nutzbar. Bedauerlicherweise geht die Konsistenz verloren sobald man mit anderen Systemen interagieren muss.

Offenheit

Offene Software zeichnet sich durch den freigelegten Quellcode aus. So kann ein Experte die geforderte Funktionalität und Kompatibilität überprüfen, Fehler beheben und ungewollte Funktionen entfernen. Viele Endkunden wollen den Quellcode gar nicht sehen, doch das müssen sie auch nicht. Offen dokumentierte Hardware und Dateiformate bzw. Protokolle können von verschiedenen Implementierungen umgesetzt werden, die sich dann besser in ihre spezielle Zielumgebung einbetten.

Durch die freie Verfügbarkeit und Dokumentation (notfalls auch Quellcode) kann Konkurrenz die Innovationen fördern. Außerdem ist so sichergestellt, dass die Dateiformate auch in Zukunft noch lesbar und verwendbar sind – auch wenn der ursprüngliche Hersteller nicht mehr existiert oder das Produkt eingestellt hat.

Weiche Faktoren

Oft vergessen werden die weichen Faktoren: Ein geschlossenes System lässt die Nutzer nicht hinter die Mauern sehen. Bei Fragen und Empfehlungen kann ein Nutzer nur Information zu „seiner“ Plattform geben. Andererseits ist gleichzeitig ein Außenstehender nicht in der Lage in den Garten zu schauen. So ist ein Vendor Lock-In immer auch ein Lock-Out.

Freiheit?

Ich bin ein Befürworter offen dokumentierter Produkte und frei verfügbaren Quellcodes. Ich versuche Lösungen zu finden, die auf verschiedenen Plattformen lauffähig sind. Unglücklicherwiese ist das nie so gut umsetzbar, wie man das haben will. Den Effekt des Lock-Outs habe ich erst in den letzten paar Jahren richtig zu spüren bekommen – sowohl bei mir, als auch im Gespräch mit anderen Menschen. Wirklich frei ist so leider niemand. Wenn ihr mit Leuten aus anderen Ökosystemen redet, achtet mal darauf. Ihr werdet euch wundern wie gestört die Wahrnehmung ist. Jedem seine Blase!

Aufnahmen kluger Leute

Nicht nur die Konferenzen mit dem Label TED sind sehr interessant. Auch in Deutschland finden spannende Konferenzen statt.

Vor einem Monat war die re:publica 12 in Berlin. Sie ist so etwas wie die Internetkonferenz in Deutschand. Es geht um das Netz, Blogs, die digitale Gesellschaft und was das alles mit dem sogenannten real life zu tun hat. Mittlerweile sind viele Videoaufzeichnungen der Vorträge und Gesprächsrunden online. Schaut mal vorbei, ob es euch auch so interessiert, wie mich. Ein paar Beispiele, worum es geht:

  • Eben Moglen: Why Freedom of Thought Requires Free Media and Why Free Media Require Free Technology
  • Michael Seemann: Infrastruktur und Kontrolle
  • Dr. Till Kreutzer: Urheberrecht 2037 – Eine Vision

Zu finden sind diese Vorträge im Video-Archiv der re:publica.

Melde! Mail-de? De-Mail?? Dement!!

Falls ihr noch nicht von De-Mail gehört habt: Es gibt einen Vorschlag, die Kommunikation mit Behörden zu vereinfachen. Statt Briefe mit rechtsgültigen Unterschriften, soll man in Zukunft auch De-Mails schicken können. Die ersten Anbieter haben nun ihre Zulassung bekommen.

Mein Aufruf an alle: Nicht nutzen!

Das System verspricht Vertraulichkeit, die aber technisch nicht durchgehend gewährleistetet ist. Mag sein, dass es praktischer ist als Briefe, aber die Kosten sind meiner Meinung nach nicht gerechtfertigt.

Und wieder fragt man sich: Wenn eine neue Technik beworben wird, warum wird immer gesagt, es sei besser als nichts? Warum tritt es nicht gegen die beste verfügbare Technologie an?

Digitale Briefumschläge

Der eine oder die andere von euch wird sich sicher schon einmal gefragt haben, warum man heutzutage, wo doch das Internet alles vereinfacht, immer noch das eine oder andere persönlich machen muss. Im besten Fall „genügt“ eine Unterschrift, die per Post verschickt wird.

In E-Mails sieht man eher selten Unterschriften, sie haben dann meist eher schmückenden Charakter. Hat auch seine guten Gründe: Digitale Daten sind zu leicht kopierbar und manipulierbar. Gleichzeitig haben E-Mails den Charakter von Postkarten: Der gesamte Inhalt einer E-Mail ist für jeden, der bei der Zustellung beteiligt ist, sichtbar und kopierbar. Kann seine Vorteile haben, kann seine Nachteile haben. Da ich Briefe lieber im Umschlag versende, möchte ich das bei E-Mails vielleicht auch tun.

Für beide Probleme, Manipulierbarkeit und Lesbarkeit, gibt es eine gemeinsame Lösung: Verschlüsselungs-Systeme wie OpenPGP. Einziger Haken: PGP hat keine sehr hohe Verbreitung. Dennoch möchte ich hier einmal grob skizzieren, wie dieses OpenPGP funktioniert.

Asymmetrische Verschlüsselung

Eine einfache Möglichkeit wäre ja: Einfach einen Schlüssel erzeugen, Daten (E-Mail, etc.) verschlüsseln, verschlüsseltes Paket verschicken, auf anderem Weg Schlüssel verschicken, der Empfänger schließt das Paket auf. Fertig. Haken: Der Schlüssel muss unverschlüsselt verschickt werden. Insgesamt kein Gewinn.

Dieses Problem kann umgangen werden, indem zwei zusammengehörige Schlüssel erzeugt werden. Das, was der eine verschlüsselt, kann nur vom anderen wieder geöffnet werden. Asymmetrisches Schlüsselpaar wird das genannt. Damit man die beiden auseinander halten kann, heißt der eine „privat“ und der andere „öffentlich“. Ich kann nun also ein solches Schlüsselpaar erzeugen und der private Schlüssel ist mein Geheimnis, den bekommt niemand. Der öffentliche Schlüssel ist kein Geheimnis, im Gegenteil: Jeder sollte meinen öffentlichen Schlüssel kennen, oder zumindest in Erfahrung bringen können. Diesen Verbreitungsdienst übernehmen sogenannte Schlüsselserver.

Briefumschläge

Jeder, der mir eine verschlüsselte E-Mail schicken möchte, verschlüsselt sie mit meinem öffentlichen Schlüssel. Dann kann nur ich sie öffnen, da nur mein privater Schlüssel das kann. Genau hier kommt der oben genannte Haken ins Spiel: Man kann nur verschlüsselte E-Mails an Menschen verschicken, die ein Schlüsselpaar haben.

Unterschriften

Ich kann auch E-Mails, die ich verschicke mit meinem privaten Schlüssel „unterschreiben“. Jeder, der so eine signierte E-Mail bekommt, kann mit der Unterschrift und meinem öffentlichen Schlüssel überprüfen, dass nur ich die Nachricht verschickt haben kann und dass die Nachricht auf dem Weg nicht verändert wurde. Wieder der Haken: Leute, die nicht wissen, was diese Signatur (Ein Textdatei-Anhang an die E-Mail) ist, haben davon keinen Vorteil.

Vertrauen ist gut …

Wie kann ich nun einem öffentlichen Schlüssel vertrauen? Ganz einfach: Ich überprüfe den „Fingerabdruck“ des Schlüsselpaars. Wenn du meinem Schlüssel trauen möchtest, reicht es, dass wir uns zusammensetzen und ich dir meine Schlüssel-Identifikations-Nummer, auch Fingerabdruck genannt, persönlich gebe. Dann weißt du, dass ich im Besitz des zugehörigen privaten Schlüssels bin. Das kann man auch per Telefon machen, also irgend ein „sicherer“ Kanal, wo die Identität des Besitzers festgestellt werden kann.

Dieses Vertrauen kann man auch gleich öffentlich aussprechen: Ich kann mit meinem privaten Schlüssel deinen Fingerabdruck signieren und ihn wieder auf einen Schlüsselserver hochladen. Dieses nennt man signieren von Schlüsseln. Dem kann man noch einen von insgesamt fünf verschiedenen Vertrauensgraden hinzufügen. Auf den Schlüsselservern wird dann ein Vertrauensnetzwerk sichtbar. Ich traue allen Schlüsseln, denen meine Freunde auch trauen.

Ja, aber:

klingt zwar alles schön und gut, das kann doch aber niemand bedienen! Falsch. Es gibt sehr einfache Werkzeuge, die einem die Arbeit abnehmen. Das Komplizierteste ist, das Prinzip zu verstehen. Ich selbst benutze Enigmail, eine Erweiterung für Thunderbird, zusammen mit dem GNU Privacy Guard (GPG). Für andere E-Mail-Programme gibt es bestimmt ähnliche Möglichkeiten, wenn sie nicht direkt eingebaut sind.

So weit ich das überblicke, funktioniert das alles nicht für Webmail-Dienste. Also wenn man nur per Browser seine E-Mails verwaltet. Dort müsste man dem E-Mail-Provider den eigenen privaten Schlüssel geben, damit man die Nachrichten ansehen kann. Korrigiert mich, wenn ich nicht auf dem neusten Stand bin.

Ist doch alles viel zu paranoid, wird der eine oder andere anmerken wollen. Warum verschicke ich denn dann Briefe überhaupt eigenhändig unterschrieben und im Umschlag?