Cryptoparty

Folien der Cryptoparty vom 29.06.2016

Transcript

1. Cryptoparty Nicolas Stuhlfauth @NicoStuhlfauth 29.06.2016
2. Was haben wir heute vor?
3. Was haben wir heute vor? Theorie
4. Was haben wir heute vor? Theorie Praxis
5. Wozu überhaupt verschlüsseln?
6. Warum verschlüsseln so Wenige?
7. “Security is usually a secondary goal. People […] want to send email, browse web pages, or download software, and they want security in place to protect them while they do those things.” Whitten & Tygar (1999) Warum verschlüsseln so Wenige?
8. “Security is usually a secondary goal. People […] want to send email, browse web pages, or download software, and they want security in place to protect them while they do those things.” Whitten & Tygar (1999) Security by Design Kreizman & Robertson (2006)
9. Die E-Mail Eine Postkarte mit der Einladung: Bitte lies mich!
10. Die E-Mail Eine Postkarte mit der Einladung: Bitte lies mich! Verschlüsseln
11. Die E-Mail Eine Postkarte mit der Einladung: Bitte lies mich! Verschlüsseln Signieren
12. PGP  Asymmetrisches Verschlüsselungsverfahren  Public Key: wird veröffentlicht / weitergegeben, dient Verschlüsselung einer Nachricht  Private Key: wird geheim gehalten und durch eine Passphrase gesichert; dient der Entschlüsselung und dem Signieren einer Nachricht  Nicht verschlüsselt werden können Metadaten (bei E-Mails: Betreff, Sender*innen-Adresse, Empfänger*innen-Adresse, Zeitstempel, IP-Adressen etc.)  Signieren bedeutet, dass die Identität der sendenden Person bestätigt wird ( Authentizität)
13. Schwachpunkte  Keine Verschlüsselung von Metadaten  Achtung bei mehreren Empfänger*innen![1]  Nachricht kann ggf. bereits vor dem Versenden (lokal) abgefangen werden  Unsichere Passphrasen  Falscher/Fahrlässiger Umgang mit Private Key [1] vgl. Barth, Boneh, & Waters (2006)
14. Sicherheitshinweise  Verwende sichere Passphrasen! Tipps: https://theintercept.com/2015/03/26/passphrases-can-memorize-attackers- cant-guess/  Sichere Deinen Private Key mehrfach, aber NICHT in einem Cloud Speicher  Erstelle ein Widerrufs-Zertifikat und sichere auch dieses an einem sicheren Ort  Allgemeine Gerätesicherheit: Virenschutz etc.
15. Sicherheitshinweise - Android  Android Smartphones funken standardmäßig regelmäßig zu verschiedensten Servern, darunter z.B. welche von Google oder Akamai Technologies (die arbeiten direkt für die NSA!)  Mit diesem Wissen hilft die beste Verschlüsselung nix mehr!  Ausweg: Installation und Konfiguration eines „Custom ROMs“  Cyanogenmod ist für fast alle Geräte verfügbar  ausführliche Anleitung: https://www.kuketz-blog.de/cyanogenmod-android-ohne-google-teil3/  Keinen Google PlayStore verwenden  Alternative: F-Droid
16. Jetzt geht´s los! Windows:  gpg4win.de Linux:  Ubuntu: Konsolen-Version vorinstalliert  Grafisches Tool: u.a. GPA Mac OS:  gpgtools.org
17. Thunderbird  PGP installieren  Add-on Enigmail installieren  Schlüssel erzeugen  An Freund*innen und Bekannte verteilen  Auf Keyserver veröffentlichen
18. Alternative Anwendungen  Für die Verwendung in Outlook  bei der Installation von GPG4WIN die Option GpgOL mitinstallieren  dann steht PGP als Plugin in Outlook zur Verfügung  Unter Android-Smartphones  K9 Mail installieren  OpenKeychain installieren  beide Apps sind Open Source und über F-Droid erhältlich! openkeychain.org
19. Danke! • Whitten, A., & Tygar, J. D. (1999). Why Johnny Can't Encrypt: A Usability Evaluation of PGP 5.0. In Usenix Security (Vol. 1999). • Kreizman, G., & Robertson, B. (2006). Incorporating Security into the Enterprise Architecture Process. Gartner, Inc. • Barth, A., Boneh, D., & Waters, B. (2006). Privacy in encrypted content distribution using private broadcast encryption. In International Conference on Financial Cryptography and Data Security (pp. 52-64). Springer Berlin Heidelberg. • Grafiken: Pixabay / https://pixabay.com/de