CCC Logo

Wie schütze ich meine Daten?

Eine kleine Einführung in digitale Selbstverteidigung

Created by mirar@aachen.ccc.de

Übersicht

  1. Was wird abgehört?
  2. Wie kann ich mich schützen?
    • Ein kleines bisschen Theorie
    • Tools
      • E-Mail
      • Instant Messaging
      • Surfen
  3. Web-Tracking

Was wird abgehört?

xkeyscore6

Was wird abgehört?

xkeyscore12

Was wird abgehört?

xkeyscore20

Was wird abgehört?

xkeyscore24

Was wird abgehört?

xkeyscore32

Was wird abgehört?

Diagram communation interception

tcpdump einer E-Mail

Screenshot Dump

Soziale Netzwerke

relationship graph Source http://www.wolframalpha.com/input/?i=facebook+report

Übersicht

  1. Was wird abgehört?
  2. Wie kann ich mich schützen?
    • Ein kleines bisschen Theorie
    • Tools
      • E-Mail
      • Instant Messaging
      • Surfen
  3. Web-Tracking

Asymmetrische
Verschlüsselung

Asymmetric Crypto

Verschlüsseln

Asym. encryption

Entschlüsseln

Asym. encryption

Signieren

Asym. encryption

Signatur prüfen

Asym. encryption

Web of Trust

Web of trust

Zertifikat Kette

Certificate Chain

Übersicht

  1. Was wird abgehört?
  2. Wie kann ich mich schützen?
    • Ein kleines bisschen Theorie
    • Tools
      • E-Mail
      • Instant Messaging
      • Surfen
  3. Web-Tracking

E-Mails verschlüsseln

pgp smime

OpenPGP

Funktionen

  • Signieren von E-Mails
  • Verschlüsseln von E-Mails


Merkmale

  • Verhält sich wie ein asymmetrisches Kryptosystem
  • Web of Trust / Gegenseitiges signieren der Schlüssel

GNUPG THUNDERBIRD

Compose crypted mail screenshot

GNUPG THUNDERBIRD

Compose crypted mail screenshot

GNUPG THUNDERBIRD

Compose crypted mail screenshot

Abhören einer verschlüsselten E-Mail

Diagram email interception

Was kann OpenPGP also?


Richtig eingesetzt kann OpenPGP

  • den Inhalt einer Nachricht verbergen
  • die Integrität der Nachricht sichern
  • den Kommunikationspartner authentifizieren
  • die Authentizität der Nachricht garantieren


OpenPGP für Mail kann keine Metadaten verbergen

  • Absender oder Empfänger verbergen
  • Betreff verschlüsseln

OpenPGP Installieren

CryptoPartyHandbook:PGP

Übersicht

  1. Was wird abgehört?
  2. Wie kann ich mich schützen?
    • Ein kleines bisschen Theorie
    • Tools
      • E-Mail
      • Instant Messaging
      • Surfen
  3. Web-Tracking

Gesichertes instant Messaging

  • XMPP/Jabber, da offen und breit unterstützt
  • Verteilte Infrastruktur
  • Verschlüsselung über PGP oder OTR

XMPP und PGP

Unverschlüsselte XMPP Nachricht 


<message xmlns="jabber:client" type="chat"
   to="snowden@wikileaks.org/WL" id="ac15a">
   <body>Secret message</body>
   <active xmlns="http://jabber.org/protocol/chatstates"/>
</message>

XMPP und PGP

PGP verschlüsselte XMPP Nachricht,
das Prinzip ist ähnlich der PGP Mail Verschlüsselung 


<message xmlns="jabber:client" type="chat" 
   to="snowden@wikileaks.org/WL" id="abeca">
<body>[FEHLER: Diese Nachricht ist verschlüsselt und Sie
   können sie nicht entschlüsseln.]</body>
<active xmlns="http://jabber.org/protocol/chatstates"/>
<x xmlns="jabber:x:encrypted">
   hQIMA6sZ8GbyHbuEAQ/+KtpM+Jel/1sV3VXs5zXTawNo9+BQGKSBy2X7/6o+OWOh
   RMv9DNZk+eGIy3+CTpViQz8XW3gAi1RzC5oD4S7yFgHtCey5saejzkMQEjzWNXxZ
   JQMICLpaJX7cSScx+kW7SIZ3LwtUCbx2EKVHoxjoPzqs/bbjGTgZNBQh10Q0c/6f
   [ ... ]
   wZi7jms4BKUB1ka9Cn55oTW00wnwnWpeVb0+uAsSOM1FNAYMCt5I3ZZzI3qwagU7
   Fe9gFAOYV1VuSb8n9ZS5q4wDMzXguN+ck/x2ZzdRZsev5Q==
   =JhJR
</x>
</message>

Off-the-Record (OTR)

  • Verschlüsselung
  • Authentizität
  • Abstreitbarkeit
  • Folgenlosigkeit

XMPP kompatiblen Messenger installieren

CryptoPartyHandbook:IM_Encryption

Übersicht

  1. Was wird abgehört?
  2. Wie kann ich mich schützen?
    • Ein kleines bisschen Theorie
    • Tools
      • E-Mail
      • Instant Messaging
      • Surfen
  3. Web-Tracking

Surfen im Web


Gefährdungen

  • Abhören der Kommunikation
  • Unterschieben falscher Websites zum abgreifen von Daten
  • Tracken des Benutzers über Websites hinaus

Surfen im Web

SSL / TLS

SSL / TLS

SSL / TLS

SSL / TLS

SSL Graph

SSL Pannen

  • 31.03.2011 Comodo Registrare gehackt

  • 30.08.2011 DigiNotar Rootzertifikat kompromitiert, unter anderem wurden mit den gefälschten Zertifikaten Man-In-The-Middle Angriffe gegen Iranische Dissidenten durchgeführt

  • 04.01.2013 Zertifikatsherausgeber Türktrust gehackt, mindestens ein gefälschtes Zertifikat wurde für Man-In-The-Middle Angriffe verwendet

  • ...

Was taugt also SSL?


  • Hilft gegen passive Zuhörer
  • Kein Schutz gegen Angreifer die in Besitz eines CA Zertifikats sind (bspw. Geheimdienste)
  • Es gibt zur Zeit nichts anderes


Wenn SSL verfügbar ist sollte es auch erzwungen werden

HTTPS Everywhere

Anonymität

Wer sich anonym im Internet bewegen möchte kann das mit Hilfe des Tor Netzwerkes tun, welches den eigenen Internetverkehr über sogenannte Tor Knoten leitet und damit eine Rückverfolgung erschwert.

Damit die Daten nicht mitgelesen werden können während sie sich im Tor-Netzwerk befinden werden Sie so verschlüsselt dass erst der letze Tor Knoten sie wieder komplett entschlüsseln kann.

Wie funktioniert Tor?

How Tor works 1

Wie funktioniert Tor?

How Tor works 2

Wie funktioniert Tor?

How Tor works 3

Abhören einer durch Tor gesicherten Verbindung

How Tor works 3

Vor- und Nachteile von Tor

Vorteile

  • Anonymität
  • Umgehen von Netzfiltern


Nachteile

  • Der letzte Rechner im Tor Netzwerk kann den Kommunikationsinhalt unverschlüsselt mitlesen, weiß jedoch nicht von wo die Daten kommen

Tor Browser Bundle Downloaden

Torproject:Tor_Browser_Bundle

Übersicht

  1. Was wird abgehört?
  2. Wie kann ich mich schützen?
    • Ein kleines bisschen Theorie
    • Tools
      • E-Mail
      • Instant Messaging
      • Surfen
  3. Web-Tracking

Gründe für Web-Tracking

  • Reichweite einer Website
  • Auswertung des Surf-Verhaltens
  • Zuordnung der Besucher zu Werbe-Zielgruppen
  • weitere Interessen der Besucher

Anstrengungen

  • Zuordnung zu einem Persönlichkeitsprofil
    • HTTP-Hit → Mensch
  • Anreicherung des Profils mit Informationen
    • Mensch → Milieu

betrachtete Dienste

  • Quantcast
  • Google analytics
  • Facebook
  • IVWbox, ScorecardResearch, etc werden nicht betrachtet

Methode

  • HTML-Schnipsel für Partnerseite
    • bindet Javascript des Tracking-Diensts ein (QC, GA, FB)
    • ohne Javascript wird ein Bild geladen (QC)
    • oder der Inhalt eines iframes (FB)
  • Zusätzliche Daten von Werbeunternehmen?

Zuordnung zu einem Profil

  • Kontinuität durch Cookies
  • Kompensation für gelöschte oder deaktivierte Cookies durch Browser-Fingerprint und IP-Adress-Blöcke

http://panopticlick.eff.org/

Mit HTTP:
  • User Agent
  • Accepts-Headers
  • Cookies eingeschaltet?
Mit Javascript und Flash:
  • Browser-Plugins
  • Zeitzone
  • Schriftarten
  • Bildschirmgröße/ -auflösung

HTTP-Header im Detail

GET /quant.js HTTP/1.1
Host: edge.quantserve.com
User-Agent: Mozilla/5.0 (X11; U; Linux x86_64; de; rv:1.9.2.16)
	Gecko/20110323 Ubuntu/10.04 (lucid) Firefox/3.6.16
Accept: */*
Accept-Language: de-de,de;q=0.7,en;q=0.3
Accept-Encoding: gzip,deflate
Accept-Charset: ISO-8859-1,utf-8;q=0.7,*;q=0.7
Keep-Alive: 115
Connection: keep-alive
Referer: http://www.soup.io/
Cookie: mc=4e1339c2-0d3f9-53267-b2cdb

HTTP/1.1 200 OK
Server: Apache
Last-Modified: Thu, 30 Sep 2010 18:43:30 GMT
Accept-Ranges: bytes
Content-Length: 2170
Content-Type: application/x-javascript
Vary: Accept-Encoding
Content-Encoding: gzip
Cache-Control: private, max-age=86400
Expires: Wed, 06 Jul 2011 16:20:38 GMT
Date: Tue, 05 Jul 2011 16:20:38 GMT
Connection: keep-alive

quant.js unter der Lupe
(QC)

Liest aus:

  • Zeitzone
  • Informationen über aufrufende Seite
  • Farbtiefe
  • Auflösung
  • Java aktiviert?

urchin.js unter der Lupe
(GA)

Liest aus:

  • Suchwörter, die zu dieser Seite führten
  • Farbtiefe
  • Auflösung
  • Java aktiviert?
  • Flash-Version

like.php unter der Lupe (FB)

Läd ein Javascript nach
Dieses liest aus:

  • Bildschirmgröße
  • möglicherweise mehr, Code unübersichtlich

Abwehrmaßnahmen

  • noscript
    • hilft nur gegen JS, nicht iframes oder pixel
  • keine cookies
    • wie oben gezeigt wirkungslos
  • no-track-Header, opt-out-cookie
    • kann man Datenhändlern vertrauen?
  • Plugins
    • ghostery
    • RequestPolicy

ghostery

RequestPolicy