(Ich kann mich nicht erinnern, dass es hier einmal einen thread dazu gegeben hat. Hat es?)

Ohne aufgrund aktueller Enthüllungen in Panik geraten und blindwütigen Aktivismus betreiben zu wollen, eine Diskussion unter technischen Gesichtpunkten könnte interessant sein. Es geht um einen umfassenden Schutz der Persönlichkeit hinsichtlich mehrer Szenarien (um nicht das Wort "Bedrohung" zu verwenden):
1. Schadsoftware
2. Internetkriminalität
3. kommerzielle Datensammlung
4. in- und ausländische staatliche Überwachung
Die Liste wird ja interessanterweise immer länger. Und die Verantwortung dafür - der deutsche Innenminister hat es eigentlich klar ausgesprochen - liegt beim Einzelnen, er muss sich schützen, es wird schlicht keinen vertrauenswürdigen Weg mehr daran vorbei geben, Rechtsstaat hin oder her ... Politiker [1] jedenfalls werden dieses nötige Vertrauen wahrscheinlich nicht mehr herstellen können.

Ich spiele gerade (wieder einmal) mit dem tor-Netzwerk herum und muss zunächst bemerken, dass die Geschwindigkeitseinbussen, die noch vor zwei Jahren unübersehbar und schmerzlich waren, deutlich zurückgegangen sind. Selbstverständlich merkt man auch heute noch, dass die Kette halt länger ist, das lässt sich nicht vermeiden, aber es ist im Prinzip benutzbar. Man kann auch ein bisschen mehr daran steuern als früher, bestimmte Server bevorzugen usw. Was noch? Renderer in HTTP-Anfragen verbieten? User Agent verbieten? DNS-Auflösung privatisieren?

JavaScript ausschalten! - steht überall, seit Jahren schon. Aber JS generell im Browser hart ausschalten ist nicht unproblematisch. Viele Seiten funktionieren einfach nicht mehr ohne, d.h. man muss JS selektiv ausschalten. Das wiederum bedeutet aber, dass man (wahrscheinlich zahlreiche) Fenster öffnet und dauerhaft geöffnet lässt, obwohl man die Tür vielleicht peinlichst und doppelt abschliesst und noch einen Hund davorsetzt ... Viele Websites bieten immerhin eine zusätzliche Seite an, die ohne JS auskommt, beispielsweise duckduckgo, diese allerdings wird nicht automatisch angezeigt, sondern erfordert einen zweiten Klick, verwendet zudem nicht die richtigen Spracheinstellungen und hat andere Nachteile. Mit (oder besser gesagt: ohne) Cookies ist es ganz ähnlich. - Ist es ratsam, wirklich all das zu administrieren? D.h. wirklich festzulegen, diese Seite darf Cookies anlegen und Scripts ausführen, die andere nur Cookies setzen, die dritte wiederum nur Scripts, aber keine Cookies, die vierte nur bestimmte Cookies ......

Mails verschlüsseln - gute Idee! Ein nachhaltiges Problem ist allerdings, dass solche mails auch Empfänger haben bzw. von Absendern stammen, d.h. dass Personen (und Einrichtungen) involviert sind, die von Verschlüsselung vielleicht nicht nur noch nie etwas gehört haben, sondern die womöglich sogar per Policy dazu angehalten sind, sich so und so zu verhalten, d.h. ggf. auch mails unverschlüsselt zu senden und zu archivieren. (Es gibt ja noch viel dümmere Policies zum mail-Versand in HTML, RTF und sonstwas.) Zudem kommt das Problem, dass man diese Verschlüsselung dann auch selbst an diversen Stellen machen muss, insbesondere auch auf mobilen Geräten, d.h. man muss sich überall um Zusatzsoftware kümmern und diese konfigurieren. Drittens hat man das Problem, dass man einen verschlüsselten Text zwar verschlüsselt versenden kann, diesen damit aber aus der Hand gibt. Was der Empfänger damit (unverschlüsselt) macht (inkl. Ausdrucken und Abheften), ist schlicht seine Privatsache.

Wie sind Eure Erfahrungen? Was ist in Sachen Sicherheit wirklich notwendig? Was ist vernünftig? Was ist overkill?

P.S.: Für das Aufsetzen von tor hab ich das englische Wiki benutzt. Im deutschen steht schlicht gar nichts. Vielleicht wäre insgesamt eine Wiki-Seite gut, die das Thema "Internetsicherheit" technisch behandelt, Empfehlungen gibt und Konsequenzen aufzeigt.

[1] http://www.spiegel.de/images/image-229898-galleryV9-rjgx.jpg
Technisch:
Cookies standardmäßig aus, nur selektiv erlauben, wahlweise dauerhaft (sehr selten, ich glaube, nur archlinux.de hat eine dauerhafte Erlaubnis), temporär (aka einmalig) oder Sitzungscookie, mache ich hier durchgehend und es stört ganz und gar nicht. CookieMonster heißt das Firefox-Addon, das ich dafür verwende.

Ghostery (Add-on für Firefox, Chrome, Opera, ...) sperrt Webbugs, sollte so Tracking reduzieren - fängt sicher nicht alles ab, aber zusammen mit den Cookies hoffentlich doch schon einiges. Kann auch Flash-Cookies löschen!

Referrer (ich glaube, du meintest den, als du von Renderer sprachst?) sende ich ebenfalls nicht mit, die wenigsten Seiten (mir ist noch keine begegnet) stellen sich an.

JavaScript kontrolliere ich mit NoScript, Interdomainzugriffe mit Requestpolicy (beides Firefox-addons, nimm bei ReqPolicy die Beta von der Seite, nicht die aus den FF-Repos, die Beta ist ein kompletter rewrite und in vielen Punkten erheblich besser (u.A. Blacklisting)). Wenn man die Eingewöhnungszeit überstanden hat, auch nicht so wild.

HTTPS everywhere und HTTPS Finder zur Sicherstellung von https, damit wenigstens nicht auf dem Weg gelauscht werden kann.

UserAgent ändere ich persönlich selten (meist nur, wenn ich irgendwo etwas nicht für mein Betriebssystem runterladen möchte, die Seite aber so eine blöde automagische Erkennung hat)

Hilft in gewissem Maße gegen Tracking, wie effektiv, mag ich nicht zu beurteilen, gerade NoScript und RequestPolicy helfen gegen Schadware-Drive-By-Downloads (unter Linux jetzt nicht so die Bedrohung, aber auch unter Windows effektiv), da ein 0*0 px-iFrame die gängigste Methode dafür ist. Zudem gibt's sehr interessante Trackingmethoden, die via JavaScript implementiert sind (Benutzer an Mausführung wiedererkennen).

Hilft nur insofern gegen die NSA, als sie weniger Trackingdaten von Google und Co. bekommen können. Besser hilft da nur Datensparsamkeit, denn die NSA holt sich ja gerade die Sachen, die man freiwillig eingegeben hat (irgendwann in seinem Leben).

Mailverschlüsselung hilft nicht gegen den Social-Graph, also wer mit wem, aber immerhin gegen die Inhaltsüberwachung, so do it! Und rede (hartnäckig) mit den Leuten, dadurch wächst dein Schlüsselbund. 😉
Funktioniert unkompliziert und angenehm.

Tor:
Naja, ist halt so eine Sache, es heißt immer wieder, die meisten Exit-Nodes gehören ohnehin der NSA, dann wäre das ganze etwas witzlos, bzw. nur wirklich nützlich für diejenigen, die es zum Schutz vor Diensten verwenden, mit denen die NSA nicht zusammenarbeitet (Iran for example).

Fazit:
Gegen 1) kann man sich imho in der gegenwärtigen Lage ziemlich gut schützen (Wenn man nicht immer gleich den neuesten angebotenen "Codec" installiert, um seinen Porn schauen zu können, versteht sich).
Gegen 2) - für Phishing braucht man wieder seinen Kopf, da hilft technisch nur wenig, gegen Datendiebstahl bei Sony kannst du auch nur wenig tun, was gibt's noch?
Gegen 3) die oben genannten Methoden, Cookiekontrolle + Ghostery, von der Effektivität her sicher nicht die coolste Sache seit der Erfindung des Schnittbrots, aber zumindest etwas.
Gegen 4) hilft nur Datensparsamkeit und evtl. das Setzen eines richtigen Kreuzchens im September, letzeres dürfte (leider) der einzige potentiell wirklich effektive Weg sein. Wie das dann in der Realität aussieht, sei mal dahingestellt.
Ovion schriebReferrer (ich glaube, du meintest den, als du von Renderer sprachst?) sende ich ebenfalls nicht mit, die wenigsten Seiten (mir ist noch keine begegnet) stellen sich an.
Ja, Mist, ich hab nachträglich ungefähr fünf Fehler gefunden - DEN nicht 🙁 - Referrer!
HTTPS everywhere und HTTPS Finder
Guter Tip.
Und rede (hartnäckig) mit den Leuten, dadurch wächst dein Schlüsselbund. 😉 Funktioniert unkompliziert und angenehm.
Das ist eben so ein Problem. Die meisten Leute (drum ist es ja auch in ganz Europa derzeit so still) wollen sich schlicht damit nicht auseinandersetzen. Das lifestylishe iDingens muss tippen und wischen, geh weiter mit deinem nervigen Sicherkeitskram, der alles nur kompliziert macht. Jede Thematisierung schlägt dann schnell in Unmut um. Frag mal, wieviele Frauen schonmal den Ölstand am Auto geprüft haben.
Tor: Naja, ist halt so eine Sache, es heißt immer wieder, die meisten Exit-Nodes gehören ohnehin der NSA
Ha, schlicht jeder (!) kann mitmachen und ein eigenes Relay anmelden (und dann natürlich fleissig seinen traffic protokollieren), wenn ich das richtig verstanden habe. Ich werde vielleicht mal bisschen dazu recherchieren ...
T.M. schriebHa, schlicht jeder (!) kann mitmachen und ein eigenes Relay anmelden (und dann natürlich fleissig seinen traffic protokollieren), wenn ich das richtig verstanden habe. Ich werde vielleicht mal bisschen dazu recherchieren ...
Natürlich kann jeder mitmachen und jeder kann auch einen Exit-Node bereitstellen.
Und in Deutschland hast du dann früher oder später eine Polizeikollone vor der Tür stehen, die deinen Rechner erstmal wegen KiPo mitnimmt. Dass du dann nachweisen kannst, dass es ein Tor-Exit-Node ist und du das nicht warst, hilft dir da leider auch nicht weiter, vor allem, weil du den Rechner erst dann zurückbekommen wirst, wenn die die Festplatte überprüft haben. Da ich hauptsächlich meinen Laptop benutze, ist der verschlüsselt, aka ich krieg das Ding nie wieder.

Da finanziere ich lieber eine öffentliche Organisation, die einen Exit-Node aufstellt, geht ja glücklicherweise auch. Aber wenn das nicht flächendeckend läuft, wird es nur schwer möglich sein, die NSA auszustechen, schon rein von den Kapazitäten her. Leider. Es gibt aktuell weltweit glaube ich etwas um 300 Exit-Nodes (irgendwas dreistelliges), ebensoviele aufzustellen zahlt die NSA aus der Portokasse.

@ingo R.
Full ACK.
T.M. schriebUnd die Verantwortung dafür - der deutsche Innenminister hat es eigentlich klar ausgesprochen - liegt beim Einzelnen, er muss sich schützen, es wird schlicht keinen vertrauenswürdigen Weg mehr daran vorbei geben, Rechtsstaat hin oder her ... Politiker [1] jedenfalls werden dieses nötige Vertrauen wahrscheinlich nicht mehr herstellen können.
Die Einstellung ist schlichtweg falsch und genau die Richtung, die die Politik gerne hätte. In Artikel 10 des Grundgesetzes heißt es: “Das Briefgeheimnis sowie das Post- und Fernmeldegeheimnis sind unverletzlich." Und dieses sicherzustellen haben sich die Minister, also auch Herr Friedrich mit ihrem Amtseid verpflichtet. Jeder Briefträger, der deine Post ließt landet im Knast, das sollte auch mit jedem passieren, der - ohne richterliche Genehmigung (und damit meine ich kein Geheimgericht) - deine Mails mitliest. Wenn das nicht so ist, ist es unsere Aufgabe dafür zu sorgen, dass die Politiker gewählt werden, die dafür eintreten und das umsetzen. Und nicht die Briefe kryptisch zu verfassen. Und wenn Friedrich das nicht sicherstellen kann soll er zurücktreten und das Amt jemand fähigerem überlassen.

Wenn ein Staat (oder ein Staat im Staat) es sich zum Ziel gesetzt hat die Welt lückenlos zu überwachen wirst du wenig bis nichts dagegen machen können. Du hast ja noch gar nicht die Themen Telefonie (wo VoiP komplett uafgezeichnet wird) und Smartphone angesprochen. Jeder der 3 nennenswerten Anbietern gibt der NSA eine Schnittstelle, und mit was mit GPS an Daten gesammelt und Profile erstellt werden können kannst du dir ausmalen. Dagegen ist das Tracking deines Surfverhaltens ein Kinkerlitzchen.

Ovion hat ganz richtig geschrieben, da hilft nur das Kreuzchen im September an der richtigen Stelle zu machen. Denn unser Überwachungsminister Friedrich hat sicher vor Geilheit gesabbert, als ihm die Amis erklärt haben, was sie alles abfischen können. Und will das alles auch, wobei er sich ja nicht beklagen kann, nur mit der Vorratsdatenspeicherung klappts ja noch nicht wie gewünscht.
Mit einer große Koalition wäre das und vieles anderes kein Problem mehr, aber auch SPD und Grüne vereinbaren sicher einen SPD-Innenminister, was kaum besser wird.

Die Frage ist also, was die richtige Stelle sein wird...
Nenn mich paranoid, aber ich habe 3 Browser.
In meinem Hauptbrowser habe ich NoScript und blockiere damit sämtliche Skripte und Plugins (sind sowieso deaktiviert), außer von vertrauenswürdigen Seiten, bei denen es notwendig ist.
Cookies sind auch standardmäßig deaktiviert. Über die Ausnamheliste erlaube ich bestimmten Seiten, Cookies permanent zu setzen.
Passwörter sind mittels Masterpasswort verschlüsselt.
Die History wird nicht gespeichert.
Ich schaue alle halbe Jahre mal, was der zur Zeit meistgenutzt Browser ist und setze dann den useragent auf diesen Browser.
Außerdem nutze ich das Plugin RequestPolicy. (Wurde schon erwähnt)
Als Suchengine verwende ich ixquick.

Mein zweiter Browser läuft auf dem normalem X, allerdings unter anderem Nutzernamen. Sollte es gelingen, durch Sicherheitslücken den Browser zu übernehmen, sollten meine persönlichen Daten geschützt bleiben. Passwörter werden hier ohne Masterpasswort gespeichert, da sie mir nicht wichtig sind. Cookies und History werden bei jedem Beenden gelöscht. Der Browser wird für Seiten genutzt, welche ich nicht in meinem normalen Browser nutzen kann/will.

Mein dritter Browser läuft unter wieder einem anderem Benutzernamen und nicht direkt im X, sondern in Xephyr. Somit hat alles was darin läuft, keinen direkten Zugriff auf den X und somit wird Keylogging, usw verhindert. Eigentlich benutze ich ihn nur für eine Seite, die leider Java benötigt.


Kommerzielle Datensammlung und in- sowie ausländische staatliche Überwachung zähle ich mal als ein Punkt. (Aus verschiedenen Gründen 😉)
Natürlich verwende ich https, wo immer es auch nur geht.
Wichtige Kommunikation läuft bei mir nur verschlüsselt. Für e-Mails nutze ich PGP und für ICQ/Jabber nutze ich Off-the-Record Messaging.
Ja, was der Empfänger damit macht .. da hast du was wahres angesprochen.


Was tun gegen Schadsoftware?
Programme mit Sicherheitslücken weitgehend nicht nutzen oder zumindest vom Rest des Systems isolieren.
Programme nur selbst Kompilen und davor den Quelltext studieren 😉
Bedenke aber, dass auch Pakete aus dem Arch Repo Schadsoftware enthalten können!
Entweder, weil sie der Paketbetreuer eingearbeitet hat, oder weil sie schon im eigentlichen Source steht.
Eine 100%ige Sicherheit wirst du wohl nicht bekommen.


Was tun gegen Internetkriminalität?
Hirn benutzen. Wenn du paranoid ist, könntest du einen extra Nutzer mit einem Browser nur für Online Banking nutzen zB.
Dann natürlich immer darauf achten, dass die Zertifikate nicht geändert wurden, usw.


Ich weiß, was ich ankreuze :>
(Nein, orange ist es auf keinen Fall)
Na ja, Cookies nur mit Whitelist, Javascript nur mit Whitelist. Browserplugins nur mit Whitelist, und ein Werbeblocker zählen für mich jetzt nicht zu den Sicherheits-Dingen, sondern sind Standard, die das WWW erst benutzbar machen – Ein weiterer Effekt ist die damit einhergehende Sicherheit 🙂
Dirk schriebund ein Werbeblocker
Den brauchst du interessanterweise nicht mehr, wenn Ghostery im Einsatz ist. Trackerfilterung filtert passenderweise auch das ganze Bling-Bling. Das, was dann noch an Werbung übrigbleibt, ist angenehm unaufdringlich (zumindest auf den Seiten, auf denen ich mich so bewege).

@Smon
Kannst du aus dem Xephyr-gekapselten Browser Downloads tätigen?
Ovion schriebKannst du aus dem Xephyr-gekapselten Browser Downloads tätigen?
Xephyr ist nicht gekapselt, sondern einfach ein zweiter X-Server.
Ovion schriebKannst du aus dem Xephyr-gekapselten Browser Downloads tätigen?
Natürlich, liegt dann aber nicht in meinem home, da der Nutzer keine Lese-/Schreibrechte auf meinem home hat, sondern eben in seinem home.
Da ich aber Mitglied in seiner Gruppe bin und er die umask 007 hat, kann ich in seinem home mit meinem Nutzer machen, was ich will.
Also die Downloads zB in mein home kopieren.
Smon schriebDa ich aber Mitglied in seiner Gruppe bin und er die umask 007 hat, kann ich in seinem home mit meinem Nutzer machen, was ich will.
Du, und potentielle Schadsoftware auch. Glückwunsch 🙂
Dirk schriebGlückwunsch 🙂
Danke 🙂

Das ist mir schon bewusst. Mir geht es auch nicht darum. Ich will sicher sein, vor dem, was er ausführt und nicht, dass er sicher ist, vor dem was ich ausführe.
Mit dwb geht das alles übrigens auch sehr gut! Ich benutze ne Whitelist für Cookies, Javascript, Plugins und dazu noch RequestPolicy (gibts auch für FF, dwb's Plugin ist aber imo besser, v.a. weil es zB ne Blacklist unterstützt, also ausgewählte Seiten erst garnicht mehr in der Auswahlliste anzeigt, was die ganze Sache übersichtlicher macht), damit nicht ständig Daten von zB Facebook, Google etc gezogen werden. Ist auch ein sehr wirksamer Adblocker, daher kann man sich einen Adblocker auch sparen. Und ist auch oft sehr interessant, zu sehen, wie viel externes Zeug manche Seiten eingebunden haben. Natürlich ist das Browsen manchmal etwas umständiger, weil man ne Seite sozusagen erst "konfigurieren" muss, damit sie funktioniert, aber das ist eigentlich ein minimaler Aufwand.

Ansonsten ist Tor wirklich ziemlich flott geworden. Gibt eigentlich kaum nen Grund, das nicht zu verwenden!

edit: Hätte die Seite neu laden sollen! Dass RequestPolicy für FF inzwischen ne Blacklist hat (zumindest die Beta) wusste ich nicht. Aber gut, dass das endlich drinne ist!
sekret schriebdwb's Plugin ist aber imo besser, v.a. weil es zB ne Blacklist unterstützt, also ausgewählte Seiten erst garnicht mehr in der Auswahlliste anzeigt, was die ganze Sache übersichtlicher macht
Weil ’ne Blacklist mit ’ner gefühlten Million Domains ja auch so viel übersichtlicher ist, als ’ne Whitelist mit ’ner handvoll Domains … 🙂
Das schöne an Req-Policy für'n FF ist, dass du sowohl Blacklisten als auch Whitelisten kannst (beides sogar standardmäßig). Es gibt da so ein paar Kandidaten, die gibt's immer wieder (google-analytics, ivwbox, Facebook, etc.), wenn man die einmal geblacklistet hat, kann ich mittlerweile bei einigen Seiten getrost auf "alles erlauben" drücken, weil ich das, was noch übrigbleibt, alles einordnen kann und für akzeptabel erachte.

So kannst du whitelisten, kannst aber dennoch mal auf alles erlauben drücken, wenn du grad keinen Bock auf selektiv hast, ohne dir gleich die Pest ins Haus zu holen.
Dirk schrieb
sekret schriebdwb's Plugin ist aber imo besser, v.a. weil es zB ne Blacklist unterstützt, also ausgewählte Seiten erst garnicht mehr in der Auswahlliste anzeigt, was die ganze Sache übersichtlicher macht
Weil ’ne Blacklist mit ’ner gefühlten Million Domains ja auch so viel übersichtlicher ist, als ’ne Whitelist mit ’ner handvoll Domains … 🙂
dwbs requestpolicy unterstützt genauso wie das ff plugin whitelist und blacklist.

  • [gelöscht]

  • Beitrag Nr. 18
Nutzt von euch jemand einen VPN Dienst bzw. kann einen empfehlen? Idealerweise aus einem Land welches auf die internationale Hochfinanz nicht gut zu sprechen ist, zb. Island 🙂

Bisher nutze ich ebenfalls RP und NS im Tandem, doch Sorge macht mir der Browser Fingerprint, denn daran werden unique user identifiziert. Mit Arch und eben jenen Plugins fällt man da schon auf. Ich mache das eigentlich nur aus Protest da ich denjenigen die von den Daten profitieren die Daten nicht gönne. Es ist ja kein Geheimnis dass große Finanzinstitute die Daten Minen um ihre Derivate abzusichern, und es auch diese sind die die Politik bestimmen da ja im Grunde nur auf die Finanzinstitute ausgelegt ist. Wer etwas darüber lesen will kann sich ja mal diesen Artikel reinziehen: http://www.zeit.de/2011/19/Finanzdienstleister-BlackRock
Mujica schrieb[…]
Bisher nutze ich ebenfalls RP und NS im Tandem, doch Sorge macht mir der Browser Fingerprint, denn daran werden unique user identifiziert.[…]
Du könntest einen lokalen Proxy wie privoxy nehmen und dort die zu übertragenden Werte eintragen. Solltest jedoch vorher wissen wie der verbreitetste Browser aussieht. Sonst ist dein Fingerprint wieder zu einzigartig.
Nicht vergessen, die LSOs und DOM-Storage zu verhindern …