Computersicherheit

Finde dies grundsätzlich eine Superidee. Nur etwas versteh ich möglicherweise nicht recht:

... jeder Teilnehmer erhält eine Kopie dieser verschlüsselten Mail. Aber nur der Empfänger kann mit seinem privaten Schlüssel die Mail entschlüsseln und lesen. Alle anderen Teilnehmer wissen nicht wer diese verschlüsselte Mail gesendet hat oder an wehn sie gesendet wurde. Auch bleibt der Inhalt verborgen.
Es kann ja kaum sein, dass man mir alle E-Mails der gesamten Welt (wenn mal alle mitmachen) auf meinen Computer schickt und ich dann mein Mails herausfischen muss. Meine Interverbindung wie auch mein Compi würden dies nicht aushalten.
Jain, du erhälst nicht alle Mails. Bitmessage skaliert die Mails in sogenannte Stream Nodes bzw. Clusters. Wird eine kritische Masse erreicht werden neue Mail-Adressen auf andere Clusters verlagert:
md1b.png


Quelle: https://bitmessage.org/bitmessage.pdf

Wenn ich das Whitepaper richtig verstanden habe, ist der Cluster fest mit einer Anzahl Mail-Adressen verankert. In meinem Bitmessage Client steht auf jedenfall, dass du dir die Address Version und die Stream Number (Cluster) notieren solltest. Im Falle das du deine Mails auf einem weiteren Gerät empfangen willst. Weil das Bitmessage-Netzwerk in solche Clusters organisiert ist. Hat einer mal die Frage gestellt, wass den passieren würde wenn die NSA einen ganzen Cluster dominieren würde und nur einer der Teilnehmer Zivilist wäre :mrgreen:

Kommt nun solche Mails quasi "postlagernd", d.h. müsste ich sie abholen (Post=Server)? Das wäre ja nun ein erhebliches Risiko, täglich oder öfters mit meinem Schlüssel auf die Post zu gehen und dort in Millionen Mails nach den meinen zu suchen.
Nein, dass was du beschreibst ist der konventionellen Mail-Verkehr. Im konventionellen Mail-Verkehr meldest du dich bei der Post (Server) an und machst mit der Post ein Schlüsselaustausch (SSL). Dann empfängst du deine Mails und kannst diese auf deinem Rechner lesen. Die Post als zentrale Stelle weiss das der Meerkat gerade Mail erhalten hat und auch was darin steht. Und die Five Eyes sowieso, wie der Google Fall heute wieder einmal bewiesen hat :mrgreen: Bitmessage funktioniert ganz anders. Weil du für deine Mail-Adresse eine Stream Number angeben musst bzw. automatisch zugewiesen bekommst. Durchsucht dein Bitmessage Client nur den Cluster der zu deiner Mail-Adresse passt. Aber nicht nur du, auch alle anderen Teilnehmer dieses Clusters erhalten deine verschlüsselte Mail. Dein Bitmessage Client schaut nun auf deinem Rechner - nicht auf dem Server - ob dein privater Schlüssel diese Mail entschlüsseln kann. Wenn nicht wird die Mail verworfen. Wenn doch, dann kannst du die Mail lesen und niemand weiss das du der Empfänger bist. Ausser die böse NSA bzw. das ganze Five Eyes Team steht hinter dir und :banana: :banana: :banana: :banana: :banana:

Heute habe ich einen angeschriebenen Briefkasten und die Post (Server) sortiert die ankommende Post aus und schmeisst nur die mit meiner Adresse versehenen Mails in meine Box.
Das ist richtig, aber dann ist dein Mailverkehr nicht anonym sondern bekannt. Aber klar, man könnte den Header einer Mail im Klartext haben statt den ganzen Block verschlüsseln. Ich finde aber das die Skalierung nicht schlecht implementiert wurde. Es ist auch noch ein junges Projekt, dass Whitepaper wurde Ende 2012 veröffentlicht. Wenn es aber halten sollte, dann finde ich das Konzept mit der Anonymisierung ein entscheidender Sicherheitsfaktor ohne zentrale Instanz. Von der Hardware sollte es kein Problem sein. In anbetracht das Speicherplatz heute fast nichts kostet und die Rechenleistung ständigt zunimmt.
 
Die Sache mit der scalability muss ich schon noch etwas studieren. Eine Entschärfung des Problems liegt in diesem Vorschlag

An object is a public key request, a public key, a person‐to‐person message, or a broadcast message. Objects are broadcast throughout a Bitmessage stream. We propose that nodes store all objects for two days and then delete them.
Was ich cool finde, ist der Vorschlag mit Broadcast/Subscription
Because all users receive all messages, a natural extension of the system is to support broadcast messages. Users, through word of mouth, learn of a broadcaster who publishes content of interest to them. After entering the broadcaster’s Bitmessage address into a ‘Subscription’ section of their Bitmessage client, messages from the broadcaster appear in the user’s inbox or, if the Bitmessage protocol is implemented within another application, serve a different purpose. This would allow an individual or organization to anonymously publish content using an authenticated identity to everyone who wishes to listen.
Setzt die Möglichkeit des anonymen E-Mail Verkehrs (person-to-person) die Nachrichtendienste in helle Aufregung, dürfte diese Broadcast-Sache noch einen drauf geben.Grundsätzlich sehe ich technisch keine Hindernisse, eine Sache wie Bitmessage (wie bereits Bitcoin) umzusetzen. Die Diskussion wird sich politisch um die "privacy vs. security" drehen. Im Fall, dass für gewisse (alle?) Staaten security vor privacy kommt, werden vermutlich knallharte Verbote mit polizeilicher Durchsetzung folgen. Providers die Bitmessages durchlassen werden bestraft, ditto die Bürger die solche rauslassen. Siehe Lavabit und Silent Circle.

Lavabit und Silent Circle waren beide von dem NSA-Skandal gestoppt worden. Lavabit-Gründer Ladar Levison stellte den Betrieb des Dienstes ein, weil er keine Daten an US-Behörden herausrücken wollte.

Als das bekanntwurde, löschte auch Silent Circle ohne Vorwarnung alle E-Mails auf seinen Servern. «Wir hatten einige unzufriedene Kunden, aber ich denke, wir haben das Richtige getan», sagte Zimmermann dazu. «Wenn wir eine geheime Anfrage nach Nutzerdaten bekommen hätten, wäre es schon zu spät gewesen.»
Ich befürchte, dass die Paranoia heute schon soweit fortgeschritten ist, dass die Bürger Sicherheit priorisieren (obwohl die Wahrscheinlichkeit des Todes durch einen Terrorakt gegenüber allen andern Todesursachen im Sub-Mü-Bereich sein dürfte!).
 
Tönt interessant, obwohl ich zugebe, dass ich nicht ganz durchblicke (na ja, habe es auch nur überflogen, brauche da noch etwas mehr Zeit....)-.Hat aber schon jemand ausgerechnet, wie viel Mehrverkehr dies im Netz verursachen könnte? So langsam scheinen wir an Grenzen zu stossen, oder noch lange nicht? Zudem wäre auch der zusätzliche Energieaufwand zu berücksichtigen?

 
So, jetzt habe ich ohne eigenes Zutun auch mal wieder ein Thema eröffnet... :writing: Eigentlich war das nur eine Antwort auf die Behauptung "mit einem Mac kann nichts passieren."Danke, balthasar, für die Erklärungen. Dies dging dann etwas über meine Thematik hinaus. Natürlich ist kein System 100% sicher, aber ich bin immer noch der Meinung, dass ich mit einem Live-Linux-Distro-Stick deutlich sicherer unterwegs bin als mit meinem Windoof-Computer, auf dem ich so ziemlich alles mache, was man so im täglichen Gebrauch aus einem Computer rausholen kann.Am sichersten wäre es natürlich, wenn ich sämtliche von mir benutzen Computer schreddern und mich danach verbrennen würde, oder mich in Säure auflösen. Na ja, meine auf fremden Servern und Computern gespeicherten Surfspuren und meine Kontobewegungen bei der Bank würden natürlich weiter bestehen, aber das wäre mir nach der Verbrennung egal. :wand: Grussfritz

 
Was ich cool finde, ist der Vorschlag mit Broadcast/Subscription

Because all users receive all messages, a natural extension of the system is to support broadcast messages. Users, through word of mouth, learn of a broadcaster who publishes content of interest to them. After entering the broadcaster’s Bitmessage address into a ‘Subscription’ section of their Bitmessage client, messages from the broadcaster appear in the user’s inbox or, if the Bitmessage protocol is implemented within another application, serve a different purpose. This would allow an individual or organization to anonymously publish content using an authenticated identity to everyone who wishes to listen.
Setzt die Möglichkeit des anonymen E-Mail Verkehrs (person-to-person) die Nachrichtendienste in helle Aufregung, dürfte diese Broadcast-Sache noch einen drauf geben.
Das Broadcasting Konzept ist der bekannten Mailingliste nachempfungen. Es ist also schon lange üblich das Mails nicht nur von Person zu Person gesendet wird, sondern auch an alle Subscriber. Das einziege was sich im Falle von Bitmessage ändern würde ist, dass der ganze Nachrichtenblock verschlüsselt wäre. Auch Newsletter oder RSS Subscriptions senden Nachrichten an alle Empfänger und das bis heute ohne Probleme, besonders weil die Bandbreite stetig zunimmt. Das bewehrte Modell wird durch ein transparentes anonymes und kryptisches Konzept erweitert.Beim heutigen konventionellen Mali-Verkehr blebit die Hürde für Kryptographie hoch. Trotzdem würde niemanden wollen, dass in Zukunft behördliche oder medizinische Dokumente als Postkarte mit der physischen Post gesendet wird. Die meiste physische Korrespondez ist in einem geschützten Umschlag. Bei der elektronischen Post sind die technischen Hürden dafür meist zu hoch, darum werden hauptsächlich Postkarten gesendet.

Grundsätzlich sehe ich technisch keine Hindernisse, eine Sache wie Bitmessage (wie bereits Bitcoin) umzusetzen. Die Diskussion wird sich politisch um die "privacy vs. security" drehen. Im Fall, dass für gewisse (alle?) Staaten security vor privacy kommt, werden vermutlich knallharte Verbote mit polizeilicher Durchsetzung folgen. Providers die Bitmessages durchlassen werden bestraft, ditto die Bürger die solche rauslassen. Siehe Lavabit und Silent Circle.
Genau dafür eignet sich Bitmessage besonders, weil ein Verbot nicht umsetzbar wäre. Das dezentrale vs. zentrale Konzept, letzteres war bei Lavabit der Fall. Es war ein zentrales System, ein konventioneller E-Mail Anbieter der nicht mit der Regierung kooperieren wollte. Kein Wunder konnte dieser Dienst unter Beschuss geraten, immerhin haben die Five Eyes ein Milliarden hohes Budget ;) Aber bei einem dezentralen System kannst du noch soviel verbieten. China hat es zum Beispiel auch mit dem Projekt Goldener Schild versucht ;) Ich würde eher darauf tippen, dass die Geheimdienste ihre bestrebungen für technologische Hintertürchen für kommerzielle Hard- und Software erhöhen werden. Stichwort: Quellen-TKÜ. Als das ein Verbot realistisch sein wird. Oder wie im Fall Bitcoin, bereits heute propagiert wird. Das sich die BTC Währung hauptsächlich für kriminelle Unternehmungen eignet, aber die nationale Währung soviel sauberer wäre :rolling: Thailand verbietet BitCoins: http://www.welt.de/finanzen/verbraucher ... coins.html Der im Artikel zitierte deutsche Politiker hat nicht unrecht. Ein Verbot solcher Technologie wäre das selbe wie wenn du Internet verbieten wolltest. Wir sehen bereits heute, dass dieses Unterfangen nicht so einfach mit Gesetze lösbar sein wird. Es ähneld der Kritik eines Kommentators. Der geschrieben hat, dass wir keine schärferen Datenschutzgesetze brauchen, sondern schärfere Spionageabwehr. Ein harter Paragraph wird nicht verhindern, dass Uncle Sam weiter ausländische Regierungen oder Unternehmen überwachen wird und auch nicht Millionen von Bürgern. Das selbe könnte bei diesen Verboten zutreffen.

Ich befürchte, dass die Paranoia heute schon soweit fortgeschritten ist, dass die Bürger Sicherheit priorisieren (obwohl die Wahrscheinlichkeit des Todes durch einen Terrorakt gegenüber allen andern Todesursachen im Sub-Mü-Bereich sein dürfte!).
Die Bürger sind nicht paranoid und die Regierungen sind auch nicht paranoid. Ausser du willst wirklich behaupten das es um Terrorismusabwehr handelt? Aber ok, Frage, ist die Merkel eine Terroristin? http://www.welt.de/politik/ausland/arti ... istin.html Wer 100% Sicherheit und Kontrolle möchte ist meiner Meinung nach paranoid. Das trifft am wenigsten bei den Bürgern zu, der gegenüber seinem Staat stehts gesunde Kritik übt. Auch sind diese vielen Aktivitäten, zur erreichen von "100% Sicherheit" und Kontrolle weit fren von der legalität. Das heute technisch versierte Bürger entsprechend nötige Gegenmassnahmen entwickeln ist im technologischen Wettrüsten nur logisch. Wie sagen die westlichen Geheimdienste so schön: Das tun doch alle. Was technisch machbar ist wird auch technisch gemacht. Also, warum dann die Empörung wenn sich der Bürger davor schützt? Statt den Bürger in die paranoide Ecke stellen - dort gehören wenn schon gewisse Beamte - soll der Geheimdienst neue Ideen suchen, wie schon immer, statt jammern... :mrgreen: Und wenn es wirklich um Terrorismusbekämpfung handeln würde. Muss sich der Staat nicht davor fürchten. Das die Mehrheit der Bürger ihre elektronische Korrespondenz in Zukunft nicht als Postkarte austauschen wollen. Sondern nach geeigneten Lösungen suchen die der physischen Korrespondenz oder Packetversang gleichen. Ausser der Staat findet das alle Bürger Terroristen sind, dann sind seine befürchtungen natürlich legitim :lol:

Hat aber schon jemand ausgerechnet, wie viel Mehrverkehr dies im Netz verursachen könnte? So langsam scheinen wir an Grenzen zu stossen, oder noch lange nicht? Zudem wäre auch der zusätzliche Energieaufwand zu berücksichtigen?
Mail-Verkehr verbraucht sehr wenig Bandbreite. Darum eignet sich der Mail-Verkehr hervoragend in Zusammenspiel mit Tor-Netzwerke. Das selbe trifft beim Chat zu. In anbetracht des globalen File-Sharing, bei dem Terrabyte von Daten um die Welt verschoben werden. Glaube ich nicht das du dir deswegen sorgen machen müsstest ;)
 
Was am Rande noch zu wenig erwähnt wurde zum Thema sichere Kommunikation ist. Das dieses Mailsystem heute weniger administrativen Aufwand produziert als konventionelle Mailsysteme. Jeder kann beliebig viele Mails erstellen ohne aufwändige Registrierung und Bestätigungen über Mobile Phones. Der Anwender muss nichts von Kryptographie verstehen, weil Verschlüsselung als Grundkonzept dieser elektronischen Post ist. Ähnlich wie bei der physischen Post mit dem Briefkuvert‎. Der Abender und Empfänger bleibt anonym, was eine Datenanalyse auf Basis von Volumendaten und Relationship erschwert. Es gibt eine Broadcasting Funktion, wie bei der konventionellen Mail. Zum Schutz vor Spam könnte zusätzlich eine maximale Dateigrössenbeschränkung eingebaut werden. Aber ansonsten gibt es einiege bereits existierende Massnahmen gegen Spam. Zum beispiel durch Whitelist und Blacklist für Mail-Adressen. Das hinzufügen von Extrabits oder die Erhöhung der erforderlichen Schwieriegkeitsstufe: https://bitmessage.org/wiki/Proof_of_work

Also doch eine Ente? :?
So essentially this is like only Bank Of America saying "Bitcoin is illegal" and then everyone taking that as fact.

I am not much into legal stuff, but my understanding is that in general Thais do not need to update laws to prohibit new stuff, rather they need to update the laws if they need to allow it.

 
Noch etwas zur Mail-Adresse: BM-.... Die mag vieleicht etwas kryptisch aussehen, aber lässt sich zum Beispiel mit Namecoin verbinden. Namecoin ist ein dezentrales DNS System und kann auch gehandelt werden. Ähnlich dem heutigen zentralistischen DNS der ICANN. Jedenfalls würde eine Mail-Adresse statt BM-GtQnWM3vcdorfqpKXsmfHQ4rVYPG5pKS schlicht daniel heissen, Beispiel eines Sendeformulars:

https://bitmessage.org/forum/index.php?action=dlattach;topic=2563.0;attach=87;image

Quelle: https://bitmessage.org/forum/index.php/ ... 563.0.html

 
Noch etwas zur Mail-Adresse: BM-.... Die mag vieleicht etwas kryptisch aussehen, aber lässt sich zum Beispiel mit Namecoin verbinden.
Kann dies ja auch in meinem lokalen Adressbuch eintragen, z.B.balthasar aka LGHP/?(èdàHà_FDH435NdfgCIHZàèOErtàOLN_CS" und die Zuordnungen durch ein lokales Programm verwalten lassen.

 
Genau dafür eignet sich Bitmessage besonders, weil ein Verbot nicht umsetzbar wäre. Das dezentrale vs. zentrale Konzept, letzteres war bei Lavabit der Fall. Es war ein zentrales System, ein konventioneller E-Mail Anbieter der nicht mit der Regierung kooperieren wollte. Kein Wunder konnte dieser Dienst unter Beschuss geraten,
Lavabit und Silent Circle scheinen es nun gelernt zu habenDie Gewinner des Snowden-Effekts
Zwei kleine Firmen wollen der Spionage der Geheimdienste die Stirn bieten. Lavabit, der ehemalige Provider von Edward Snowden, schliesst sich dafür mit seinem Konkurrenten Silent Circle zusammen. Das aktuelle Modell der E-Mail sei «fundamental kaputt», heisst es in einer Pressemitteilung. Nun wollen sie eine neue E-Mail entwickeln, die nicht mehr ausgespäht werden kann. Auch wer mit wem Kontakt hat, soll aus dem neuen Konzept nicht mehr ersichtlich sein.
Wenn das nicht Bitmessage schmeckt ...Vielleicht sollten dies nicht in den USA entwickeln.
 
Genau dafür eignet sich Bitmessage besonders, weil ein Verbot nicht umsetzbar wäre. Das dezentrale vs. zentrale Konzept, letzteres war bei Lavabit der Fall. Es war ein zentrales System, ein konventioneller E-Mail Anbieter der nicht mit der Regierung kooperieren wollte. Kein Wunder konnte dieser Dienst unter Beschuss geraten,
Lavabit und Silent Circle scheinen es nun gelernt zu habenDie Gewinner des Snowden-Effekts
Wenn ich mir den oberen Teil des Artikels lese, scheint es so als ob die Firmen nur eines gelernt haben. Das der IT-Schaden im Intormationszeitalter an die Versicherung ausgelagert wird. Für den Kunden nützt das relativ wenig, wenn seine Daten einmal für ewig im Netz landen. Grundsätzlich wird Sicherheit gegen Geld getauscht und der eine oder andere wird möglicherweise auch an Versicherungsbetrug nachdenken... :mrgreen: Hehe, stell dir vor, du willst einen kleinen Reibach machen. Eröffnest dir ein Facebook Profil und ladest dir private Daten hoch. Deaktivierst die Sicherheitsfunktionen und behauptest bei der Versicherung, dass du Opfer von Cyberkriminellen wurdest :D
Interessant ist das folgende Zitat aus dem Artikel, in anbetracht der ständigen Verharmlosung der kryptographischen Verfahren und der Stigmatisierung einieger Bürger betreffend "Paranoia":

556 Millionen Menschen Opfer von Cyberkriminalität – das sind 1,4 Millionen pro Tag oder 18 pro Sekunde, schreibt das Branchenblatt «Schweizerische Versicherungen».
Das ist jede 18 Sekunde einer :repsekt: Jetzt soll mir bitte noch einmal jemand schreiben: "Ich habe nichts zu verbergen, darum brauch ich keine Verschlüsselung..." :lol: Finde es aber naiv, dass der Serverstandort als primäres Sicherheitsrisiko betrachtet wird. So lernen Kryptologen generell das Security by Obscurity gefährlich sein kann: http://de.wikipedia.org/wiki/Security_through_obscurity Im Kontext der Serverstandorte wird argumentiert. Das wenn die Daten vor der amerikanischen Regierung verborgen bleiben, also zum Beispiel in der Schweiz lokalisiert. Würde die Datensicherheit zunehmen. Das scheint mir schon etwas befremdlich. Das Verfahren sollte transparent sein, soll doch die NSA oder die kriminellen Banden ruhig alle Daten haben. Nur mit diesen Daten etwas anfangen sollten Dritte nicht, genau darauf baut zum Beispiel das Bitmessage Konzept. Früher schlossen die Menschen selten ihre Haustüren. In einiegen Landgebieten werden heute noch Haustüren offen gehalten. Trotzdem nehmen die Bürger - besonders in städtischen Gebieten - Mehraufwand in Kauf um ihre Türen abzuschliessen. Einiege haben sogar +2 Türschlösser. Aber bei der Kommunikation im globalen Netz scheint diese Routine noch in weiter Ferne zu sein.
Auch sind viele neuen Dienste zentralistisch Verwaltet. In anbetracht der steigenden Daten- und Rechenleistung, des zunehmenden Uptime, wird das P2P-Verfahren interessant. Es bietet auch höheren Schutz vor Ausfälle. Während der Ausfall der Google Rechner bedeuten kann, dass die Suchmachine für alle ausfällt. Bleibt der Ausfall veieler Rechner einer P2P-Suchmachine für die meisten Anwender unberührt. Das selbe trifft beim Zahlungsverkehr (BitCoin) und beim Mail-Verkehr (Bitmessage) zu. Früher machten zentralistische Systeme Sinn. Die Bandbreite war knapp und der Uptime war mangels flächendeckender Verbreitung gering.

Wenn Lavabit und Silent Circle endlich zusammenarbeiten, wie im Artikel erwähnt. Dann sollten die Mitarbeiter beider Firmen das Modell von Bitmessage analysieren und verifizieren. Die Initiatoren von Bitmessage suchen seit längerem ein Team für den Sicherheitsaudit:

Bitmessage is in need of an independent audit to verify its security. If you are a researcher capable of reviewing the source code, please email the lead developer. You will be helping to create a great privacy option for people everywhere!
Quelle: https://bitmessage.org/wiki/Main_Page
Aber generell, egal wie sich Lavabit und Silent Circle entscheiden. Für Bitmessage kann es nur eine Bereicherung sein. Weil bereits heute wird daran gearbeitet, dass Beispielsweise mit Bitmessage auch konventionelle Mails empfangen und gesendet werden können. Das Wettrüsten im Informationszeitalter hat für den Anwender generell positive Effekte. Darum haben die Five Eyes auch mal ein Dankeschön verdient :danke:

 
Noch etwas zur Mail-Adresse: BM-.... Die mag vieleicht etwas kryptisch aussehen, aber lässt sich zum Beispiel mit Namecoin verbinden.
Kann dies ja auch in meinem lokalen Adressbuch eintragen, z.B.balthasar aka LGHP/?(èdàHà_FDH435NdfgCIHZàèOErtàOLN_CS" und die Zuordnungen durch ein lokales Programm verwalten lassen.
Das wird bereits mit dem integriertem Adressbuch vom PyBitmessage Client gemacht. Aber wenn du jemanden deine Adresse weitergeben willst, bspw. auf Visitenkarte drucken oder generell Werbung machst. Dann sind eindeutige Namen einfacherer. Beispielsweise wird in den USA nicht mit Telefonnummern geworben sondern mit den Buchstaben auf den Telefontasten. Und heute wird mit der Domain der ICANN geworben, also bspw. trader-forum.ch. Das selbe wäre mit Namecoin möglich. Es hat die selben Eigenschaften wie das zentralistische ICANN, es ist eine globale Key/Value Datenbank. Du machst zum Beispiel ein Request für den Schlüssel trader-forum.ch und kriegst von den Partnern der ICANN die entsprechende IP Adresse. Bei Namecoin hingegen kannst du nicht nur IP Adressen anfragen sondern jeden beliebigen Wert. Ähnliches Verfahren wird bereits bei Adresskürzungen verwendet, bspw. http://www.tinyurl.com/. Nur das Namecoin Einträge gehandelt werden können, wie bei der ICANN, aber im Unterschied ein dezentrales System ist. Darum sind auch Zensurbemühungen für Namecoin relativ zwecklos, Zitat:

Namecoin is a decentralized generic name/value datastore system based on Bitcoin technology (a decentralized cryptocurrency). The Namecoin network is created by the open source Namecoin software ("client"). It allows you to:

[*:2kqti4ec] Securely register and transfer arbitrary names (censorship resistant)

[*:2kqti4ec] Attach values to the names (currently up to 1023 bytes)

[*:2kqti4ec] Transact Namecoins, the digital currency NMC

As Bitcoin frees money Namecoin frees information access, e.g.:

[*:2kqti4ec] domain name system (Dot-Bit, see below)

[*:2kqti4ec] website authentication and data encryption (Namecoin TLS)

[*:2kqti4ec] user login (NameID)

[*:2kqti4ec] personal IDs containing all kinds of addresses, encryption keys, links

[*:2kqti4ec] potentially stocks, bonds, tickets, file signatures, ...
Quelle: http://dot-bit.org/
Die Daten eines DNS - egal ob ICANN oder Namecoin - sind sehr kleine Dateneinheiten und verbrauchen deshalb wenig Bandbreite.

 
Komische Umfragewerte aus dem Meinungsforschungsinstituts Allensbach:

[*:zv61ke1u] 76% Deutsche halten es nicht für vorstellbar, dass durch die NSA-Aktivitäten persönliche Nachteile entstehen

[*:zv61ke1u] 24% Deutsche seien sehr besorgt

[*:zv61ke1u] 44% Halten die Diskussion für überbewertet

[*:zv61ke1u] 57% Befürchten das ihre Daten im Internet nicht geschützt seien

[*:zv61ke1u] 17% Vertrauen darauf, dass der Staat mit ihren Daten sorgsam umgehtQuelle: http://www.spiegel.de/politik/deutschla ... 31382.html

Zusammenfassend: 83% der Befragten sind der Meinung, dass der Staat ihre Daten missbraucht. Aber 76% vertrauen der NSA? :lol: 43% glauben das ihre Daten im Internet sicher sind? :lol: :lol: Wenigstens glauben 57% der Befragten das ihre Daten eben nicht sicher sind. Nichts hören, nichts sehen und nichts tun..., bis die nächsten 18 Sekunden um sind. Dann wird gejammert was das Zeug hält... :mrgreen:

556 Millionen Menschen Opfer von Cyberkriminalität – das sind 1,4 Millionen pro Tag oder 18 pro Sekunde, schreibt das Branchenblatt «Schweizerische Versicherungen».
Quelle: http://www.tagesanzeiger.ch/wirtschaft/ ... y/11524612
Nette Bettlektüre für alle mit speziellem Humor: :D

[*:zv61ke1u] Neuland-Mutti erbost wegen NSA-Spionage-Natürlich nur sie selbst betreffend!: https://brdakut.wordpress.com/2013/10/2 ... etreffend/

[*:zv61ke1u] Running-Gag Friedrich will Schuldige in der Abhöraffäre ausweisen-Ob er schon seine Koffer packt?: https://brdakut.wordpress.com/2013/10/2 ... fer-packt/

[*:zv61ke1u] Bildstrecke mit Merkel und Obama: http://phosphoros.over-blog.de/article- ... 29441.html

 
Analysis reveals popular Adobe passwords
"123456" was the most popular password among the millions of Adobe users whose details were stolen during an attack on the company.
Top of the list, with 1.9 million entries, was the "123456" string of numbers. Second was the slightly longer "123456789" sequence.Other popular easy-to-guess passwords included "adobe123", "qwerty" and "password".
„Mit der Dummheit kämpfen Götter selbst vergebens.“ (Schiller)
 
Das schmerz schon beim lesen :D Dabei wäre mit einem Password Manager vieles leicht organisierbar. Ein starkes Master Password und für den Rest nimmst solche Kaliber:

D!}F(fHWSGwOVoL:J{?lS|/ds~stt]ml)QDb+f*_\;Mui~y]@pGH;>&Gax^%5kpfh|3(|B#Q)m=8`Qx1?[mk@lv(L>1/mxvV2VIsqDs,:*yjWnR2k)Yb&{j*LHjD|=\
Das mag etwas verrückt aussehen, aber mit einmaligen Copy&Paste Funktionen eines guten Password Managers ist das einfach anzuwenden. https://www.keepassx.org/screenshots/
3_keepassx05.jpg


 
Das schmerz schon beim lesen :D Dabei wäre mit einem Password Manager vieles leicht organisierbar.
Nach meiner Erfahrung neigen Anwender bei zu komplizierten Passwörtern dazu, sie aufzuschreiben. Z.B. auf einen Zettel, den sie dann unter die Tastatur kleben (ein Ort, wo ein Hacker nie im Leben suchen würde! :D ) oder sie speichern es als Notiz im Smartphone oder sonst wie unverschlüsselt in einer e-mai, als Notiz in Outlook oder einem stinknormalen Text-File, das dann im Ordner "Eigene Dateien" als Passwort.txt abgelegt ist.Ich habe es auch schon erlebt, dass Passwörter per unverschlüsseltem e-mail verschickt wurden.Da nützt dann die ganze IT nix, wenn die Anwender fahrlässig mit ihren Passwörtern umgehen.
 
Dreierlei Einwände.

- Ein "123456" oder "qwerty" etc wird natürlich in sogenannten "Rule-Files" als etwas vom ersten getestest, ein 12a23b456 wird höchst wahrscheinlich erst viel später entdeckt (sofern die Länge überhaupt erlaubt ist). Wenn so vorgegangen wird, spielt folgendes eine untergeordnete Rolle.

- Ein "a2/&%.lq"zum Beispiel wird als DES-Hash sehr schnell gefunden, als BSD-MD5 eher nicht bis niemals (der Hash ist einige paar 1000 mal "langsamer" und die Kombination ist sehr seltsam, kommt eher nicht in einem Wörterbuch bzw Rulefile vor).

- zum Hashen mindestens BSD-MD5 benutzen. DES oder LanMan ist etwa gleichbedeutend wie Klartext.

Dazu auch dieser und dieser überaus gescheite Text.

Es hängt nicht nur vom

D!}F(fHWSGwOVoL:J{?lS|/ds~stt]ml)QDb+f*_\;Mui~y]@pGH;>&Gax^%5kpfh|3(|B#Q)m=8`Qx1?[mk@lv(L>1/mxvV2VIsqDs,:*yjWnR2k)Yb&{j*LHjD|=\
ab. So ein Passwort ist zum Beispiel unter Windows absolut nichts wert, da 1. gekürzt wird und 2. der Hash von Windows (LanMan heisst das Dingens glaubs) wiederum 1. geteilt werden und somit "teilweise" angegriffen werden kann und 2. der Hash wohl etwa der schnellste (=am wenigsten rechen-intensiv) unter allen auffindbaren ist. Fazit: Windows-Passwörter sind per se nicht brauchbar, da schon der Hash extrem schwach ist. Mit einem Programm a la SamDump kann es auch lockerstens extrahiert und exportiert werden :mrgreen:

Rainbowtables (vorberechnete Hashes) sind unter gesalteten Hashes praktischer Leerlauf, da pro Salt eine eigene Rainbowtable kreiert werden müsste. LanMan ist nicht gesaltet, ein weiterer Schwachpunkt.

Über den LM-Hash (Es steht nebst dem ernstzunehmenden auch Bullshit hier drinne :mrgreen: )

Fazit:

All dieser Schwachsinn von Passwörtern funktioniert nur in Kombination der folgenden Eigenschaften:

- es braucht ein komplexes Passwort

- es braucht einen "langsamen" bzw komplizierten, möglichst mehrfach gesalteten Hash (= rechenintensiv)

- es braucht ein System von welchem dieser Hash möglichst nicht ausgelesen/extrahiert werden kann

Eine weitere Schwachstelle ist das explizite Erzwingen von Sonderzeichen im Passwort. Diese werden zu 99% am Anfang oder Ende des Wortes angefügt, oder das Passwort wird im "l33t" Charakter geschrieben. L33t (anstatt dass man zB "Passwort" schreibt, wird "P455w0r7" geschrieben) wird normalerweise beim Angriff auf Hashes als zweite Variante eines Wörterbuchs gleich nach dem direkten Vergleich (Wörterbuch mit sämtlichen Gross/Kleinschreibungen) geprüft.Vor- bzw Anhängen von Sonderzeichen kommt an 3. oder 4. Stelle in einer gängigen Rule-Reihenfolge, gleichbedeutend wie das Vor-/Anhängen von Ziffern/Zahlen.

Wenn natürlich wie in Meerkats Beispiel ein Register voll Hashes geklaut wird, muss 123456 (wenn nicht gesaltet) nur einmal geknackt werden, und schon stehen die Passwörter von Millionen von Benutzern offen.

Da nützt dann die ganze IT nix, wenn die Anwender fahrlässig mit ihren Passwörtern umgehen.
Es ist eine absurde Frechheit, in Sachen Microsoft-"Verschlüsselung" (und bei Dir MF gehe ich davon aus, ist aber nicht persönlich sondern allgemein gemeint) erstens von IT, zweitens von Passwörtern und drittens auch noch von "fahrlässigen Benutzern" zu sprechen. Ihnen bleibt selten die Wahl für etwas Vernünftigeres. Zum Knacken der LM-Hashes brauchts schliesslich weniger oder gleich lange, wie bis man unter jeder Tastatur den Zettel hervorgekratzt hat.
Und zu Adobe:

So gehts natürlich nicht :mrgreen: Stolen passwords were encrypted, not hashed

 
Das schmerz schon beim lesen :D Dabei wäre mit einem Password Manager vieles leicht organisierbar.
Nach meiner Erfahrung neigen Anwender bei zu komplizierten Passwörtern dazu, sie aufzuschreiben.
Genau deshalb wäre ein Password Manager geeignet, weil du dir kein einzieges Password merken musst. Nur das eine Master Password. Ich merke mir kein einzieges Password welches im Password Manager eingetragen wurde. Könnte ich auch gar nicht. Weil die Passwörter von einem Zufallsgenerator erstellt werden. Ich kenne nur das Master Password, die anderen könnten nicht einmal das grösste Genie der Erde merken :D Das Master Password aufschreiben wäre für den normalen Anwender meiner Meinung sogar besser als ein Password wie 123456. Ich sage nicht das es eine gute Idee ist, aber besser als 123456. Mal im ernst, dass ist doch voll carzy :repsekt: Die Idee des Password Manager ist vorallem, das du halt für jeden Dienst ein anderes Password hast. Zum Beispiel für trader-forum.ch ein anderes Password als für deine E-Mail. Weil sonst könnte zum Beispiel der Admin des Forums oder der Webhost Betreiber, der theoretisch Zugang zur Datenbank hat. Ohne weiteres das Password des Forums nutzen und schauen was in den Mails steht.

- zum Hashen mindestens BSD-MD5 benutzen. DES oder LanMan ist etwa gleichbedeutend wie Klartext.
Wenn möglich, dann wird bei mir mindestens SHA-2 vorausgesetzt :D

Es hängt nicht nur vom

D!}F(fHWSGwOVoL:J{?lS|/ds~stt]ml)QDb+f*_\;Mui~y]@pGH;>&Gax^%5kpfh|3(|B#Q)m=8`Qx1?[mk@lv(L>1/mxvV2VIsqDs,:*yjWnR2k)Yb&{j*LHjD|=\
ab. So ein Passwort ist zum Beispiel unter Windows absolut nichts wert, da 1. gekürzt wird und 2. der Hash von Windows (LanMan heisst das Dingens glaubs) wiederum 1. geteilt werden und somit "teilweise" angegriffen werden kann und 2. der Hash wohl etwa der schnellste (=am wenigsten rechen-intensiv) unter allen auffindbaren ist. Fazit: Windows-Passwörter sind per se nicht brauchbar, da schon der Hash extrem schwach ist. Mit einem Programm a la SamDump kann es auch lockerstens extrahiert und exportiert werden :mrgreen:
Nicht nur Windows, viele Webdienste haben eine Längenbegrenzung :wand: Und in einiegen seltenen Staaten wie Frankreich, ist die Einstellung zur Kryptographie sehr befremdlich. Zum Beispiel gab es zwischen 1990 bis 1996 ein Gesetz. Das jeden verpflichtet hatte seinen privaten Schlüssel einer vertrauenswürdigen Behörde auszuhändigen. Und laut einem Artikel möchten französische Politiker das Passwörter in Zukunft nur noch im Klartext erlauben: http://winfuture.de/news,62481.html Es gibt diesbezüglich spärliche Informationen im Netz. Aber Frankreich galt schon immer als Sonderling in Europa und ist diesbezüglich restriktiver als die USA. Deshalb am besten jede IT aus Frankreich meiden :eek:k: Wie der Warg bereits gesagt hat, dass 128 Zeichen lange Password nützt nichts wenn die entsprechende Anwendung dafür nicht ausgelegt ist. Ein 128 Zeichen langes Password würde bei Windows für die meisten auch nicht viel Sinn machen. Weil sich das kaum jemand merken wird. Aber wer zum Beispiel TrueCrypt verwendet, der wird wahrscheinlich keine Längenrestriktionen haben. Das obige 128 Zeichen lange Password oder noch länger. Macht dort Sinn, wo der Anwender das Password nicht merken muss. Wie erwähnt, Copy & Paste aus dem Password Manager und für Consolen-Liebhaber gibt es kpcli(1) mit Zugriff auf die gleiche Datenbankdatei. Für das erstellen von Passwörtern hat KeePassX ein intergrierten Password Generator für beliebige Komplexität und Zeichenlänge. Für Consolen-Liebhaber wäre pwgen(1) geeignet.

 
... seinen privaten Schlüssel einer vertrauenswürdigen Behörde auszuhändigen.
"vertrauenswürdige Behörde". Auch ein Widerspruch in sich :D
übrigens sieht mein Passwortmanager "eWallet" exakt gleich aus wie Deiner. Ob da zwei voneinander abgekupfert haben?

 
Es gibt im Netz dutzende Software die sich "eWallet" nennen, [COLOR= #0080FF]Link?[/COLOR] Der Grund warum ich mich damals für KeePassX entschieden habe. War das ich mittels kpcli(1) auch mittels Console auf die selbe verschlüsselte Datenbank zugreiffen kann. Soweit mir bekannt, ist KeePassX eine Variante des KeePass: http://de.wikipedia.org/wiki/KeePass. Es gibt auch Varianten für Android oder iPhones. Alle unterstützen das selbe zentrale Datenbankformat. Darum ist der austausch der Passwort-Datenbank auf unterschiedliche Geräten und Systemen generell ohne Hindernisse. Wer zusätzliche Sperren einbauen will, der kann neben einem Master Passwort die Datenbank auch noch mit einer Schlüsseldatei sichern. Die auf einem externen Speichermedium befindet.

Edit: Für die Originalversion gibt es auch Browser-Plugins für Chrome, Firefox, etc.