Die Überschrift ist ja mal wieder direkt aus der Bild-Zeitung übernommen. Hier wäre ein wenig kritischer Journalismus durchaus angebracht. Sicherheit ist nie absolut, sondern es gibt immer nur ein bestimmtes Maß an Sicherheit gegen ein festgelegtes Angriffsszenario. Kein System schützt vor allen möglichen Szenarien - sind deshalb alle möglichen Systeme "unsicher"?
Bei De-Mail wird der Transport gesichert, aber nicht unbedingt die Aufbewahrung auf dem Server des Providers zu jedem Zeitpunkt. Die Kontrolle der Provider wiederum geschieht über Zertifizierung derselben.
Es steht einem Nutzer frei, _zusätzlich_ auch noch eine End-zu-End Verschlüsselung anzuwenden. Das ist explizit vorgesehen.
Besonders lustig sind diejenigen hier im Forum, die den Designern von De-Mail Inkompetenz oder Schlimmeres vorwerfen, ohne selbst überhaupt verstanden zu haben, worum es bei De-Mail geht. Nein, man hätte die Ziele von De-Mail eben nicht durch Zertifizierungsstellen und S/MIME oder PGP erreichen können. Wer das behauptet, macht nichts anderes, als seine eigene Inkompetenz eindrucksvoll zur Schau zu stellen.
Vielen Dank! Schön, dass doch eindlich mal jemand mit Sachverstand und Blick über den eigenen Tellerrand aufgetaucht ist.
Blahfasel, auf dem Weg aufgebrochene Verschlüsselung ist völlig nutzlos, damit ist der Service gänzlich wertlos.
Der größte Witz daran ist, dass es kostenlose und freie Software gibt, die das ganze völlig sicher löst, und diese Spaßvögel noch Geld für ihre Fehlversuche verlangen...
//edit:
Die Idee mit der zusätzlichen Verschlüsselung ist absolut süß. Man verschlüsselt also einmal richtig und kostenlos um dann noch Geld dafür zu bezahlen, dass es noch ein zweites mal falsch und fehlerhaft verschlüsselt wird. Wow, tolle Sache.
1 mal bearbeitet, zuletzt am 22.07.10 16:10 durch jucs.
jucs schrieb:
--------------------------------------------------------------------------------
> Blahfasel, auf dem Weg aufgebrochene Verschlüsselung ist völlig nutzlos,
> damit ist der Service gänzlich wertlos.
Was genau hast du an "Es steht einem Nutzer frei, _zusätzlich_ auch noch eine End-zu-End Verschlüsselung anzuwenden. Das ist explizit vorgesehen." nicht verstanden?
> Der größte Witz daran ist, dass es kostenlose und freie Software gibt, die
> das ganze völlig sicher löst, und diese Spaßvögel noch Geld für ihre
> Fehlversuche verlangen...
Diese kostenlose und freie Software kann aber nicht das liefern, was De-Mail liefern will (nämlich unter anderem gesicherte _Zustellung_). Ist das wirklich so schwer zu verstehen?
Ganz nebenbei bemerkt hat das BSI jahrelang GPG und Freunde gefördert. Achtung, Alu-Hut Alarm! Nur mal so am Rande.
jucs schrieb:
--------------------------------------------------------------------------------
> Die Idee mit der zusätzlichen Verschlüsselung ist absolut süß. Man
> verschlüsselt also einmal richtig und kostenlos um dann noch Geld dafür zu
> bezahlen, dass es noch ein zweites mal falsch und fehlerhaft verschlüsselt
> wird. Wow, tolle Sache.
Lies doch den Artikel nochmal und überspringe diesmal nicht den Teil, in dem die Idee und der Sinn der de-mail beschrieben wird.
Du zahlst nicht für die Verschlüsselung, sondern für die rechtssichere Mail zum Amt.
Du musst das natürlich nicht nutzen. Brief kostet das gleiche, ist aber bei mangelnden Kryptographiekenntnissen noch unsicherer (Achtung: Einschreiben kostet mehr). Hinfahren und persönlich abgeben kostet wahrscheinlich auch mehr.
hb schrieb:
> Was genau hast du an "Es steht einem Nutzer frei, _zusätzlich_ auch noch
> eine End-zu-End Verschlüsselung anzuwenden. Das ist explizit vorgesehen."
> nicht verstanden?
Verstanden hab ich das wohl, nur bereits geschrieben, wieviel ich von dieser super Idee halte.
> > Der größte Witz daran ist, dass es kostenlose und freie Software gibt,
> die
> > das ganze völlig sicher löst, und diese Spaßvögel noch Geld für ihre
> > Fehlversuche verlangen...
>
> Diese kostenlose und freie Software kann aber nicht das liefern, was
> De-Mail liefern will (nämlich unter anderem gesicherte _Zustellung_). Ist
> das wirklich so schwer zu verstehen?
Zu verstehen ist dein Gedankengang ganz einfach, nur leider bist du fehlinformiert. Der Empfänger schickt einfach eine signierte Antwort, dann ist die Nachricht nachweislich empfangen. Das lässt sich auch automatisieren.
Und bitte komm mir nicht mit der Idee, der Empfänger könnte sich weigern, eine solche Antwort zu schicken. Er kann sich auch weigern, auf die De-Mail-Webseite zu gehen oder bei einem Einschreiben zu unterschreiben. Du kannst jemandem nicht zwingen, etwas zu lesen, du kannst nur Richtlinien definieren, die eine Kommunikation sichern, wenn beide Seiten sie einhalten.
> Ganz nebenbei bemerkt hat das BSI jahrelang GPG und Freunde gefördert.
> Achtung, Alu-Hut Alarm! Nur mal so am Rande.
Kannst du mir den Inhalt dieses Satzes erklären?
DE-MAILER schrieb:
> Lies doch den Artikel nochmal und überspringe diesmal nicht den Teil, in
> dem die Idee und der Sinn der de-mail beschrieben wird.
> Du zahlst nicht für die Verschlüsselung, sondern für die rechtssichere Mail
> zum Amt.
Ach und was spricht dagegen, diese Rechtssicherheit gleich noch mit Sicherheit zu verbinden und es richtig zu machen? Weil dann die Post (und alle anderen) kein Geld dran verdient?
Wir schreiben jetzt also ein unsicheres System gesetzlich als sicher fest und dann ist das tolle an dem System, dass es gesetzlich vorgesehen ist? Absurd.
> Du musst das natürlich nicht nutzen. Brief kostet das gleiche, ist aber bei
> mangelnden Kryptographiekenntnissen noch unsicherer (Achtung: Einschreiben
> kostet mehr). Hinfahren und persönlich abgeben kostet wahrscheinlich auch
> mehr.
Super. Der Gesetzgeber wählt ein technisch minderwertiges Verfahren und du folgerst richtig, dass ich es dann wohl werde nutzen sollen aus finanzieller Sicht. Das zeigt aber nicht, dass es ne geniale Sache ist, sondern nur wie hirntot diejenigen sind, die sowas entscheiden.
jucs schrieb:
--------------------------------------------------------------------------------
> Verstanden hab ich das wohl, nur bereits geschrieben, wieviel ich von
> dieser super Idee halte.
Nein, hast du nicht. Ich zitiere dich mal:
"Blahfasel, auf dem Weg aufgebrochene Verschlüsselung ist völlig nutzlos, damit ist der Service gänzlich wertlos."
Daran ist so ziemlcih jedes Wort falsch, und zeigt, dass du nicht nur De-Mail nicht verstanden hast, sondern auch von Computersicherheit an sich keinen Plan hast.
>Der Empfänger schickt einfach eine signierte Antwort, dann
> ist die Nachricht nachweislich empfangen. Das lässt sich auch
> automatisieren.
Noch mehr haarsträubender Unsinn. Das ist doch keine sichere Zustellung! Der Empfänger kann, wenn er will, eine Antwort schicken. Sonst halt nicht. In diesem Fall weiss ich garnix. Vielleicht kam die Mail auch nie an. Das ist absolut keine sichere Zustellung.
> Und bitte komm mir nicht mit der Idee, der Empfänger könnte sich weigern,
> eine solche Antwort zu schicken. Er kann sich auch weigern, auf die
> De-Mail-Webseite zu gehen oder bei einem Einschreiben zu unterschreiben.
Nein, kann er nicht. Wenn er eine De-Mail Adresse angibt, muss er sie überprüfen. Dinge, die dort eingehen, gelten als zugestellt. Eine De-Mail kann als Einwurfeinschreiben benutzt werden (das übrigends _nicht_ unterschrieben werden muss).
> Du
> kannst jemandem nicht zwingen, etwas zu lesen,
Nein, aber ich kann jemandem etwas rechtsverbindlich zustellen. Ob ers am Ende liest oder nicht ist sein Problem. Du kannst auch einer Kündigung nicht entgehen, indem du das Kündigungsschreiben einfach nicht liest. Wenn dein Arbeitgeber es mit Einwurfeinschreiben geschickt hat, gilt es als nachweisbar zugestellt. Die De-Mail funktioniert analog (und normale Mail kann das NIE leisten).
jucs schrieb:
--------------------------------------------------------------------------------
> Ach und was spricht dagegen, diese Rechtssicherheit gleich noch mit
> Sicherheit zu verbinden und es richtig zu machen? Weil dann die Post (und
> alle anderen) kein Geld dran verdient?
Hmmm, da du nicht lesen und verstehen willst, was andere Dir schreiben, werde ich es hier nicht wiederholen. Einfach hochscrollen und nochmal lesen was hb geschrieben hat.
> Wir schreiben jetzt also ein unsicheres System gesetzlich als sicher fest
> und dann ist das tolle an dem System, dass es gesetzlich vorgesehen ist?
> Absurd.
Absurd ist zu glauben, das die Nutzung des systems gesetzlich vorgeschrieben wird. Ansonsten ist auch die Sicherheitsaussage oben mehrfach wiederlegt worden.
> Super. Der Gesetzgeber wählt ein technisch minderwertiges Verfahren und du
> folgerst richtig, dass ich es dann wohl werde nutzen sollen aus
> finanzieller Sicht. Das zeigt aber nicht, dass es ne geniale Sache ist,
> sondern nur wie hirntot diejenigen sind, die sowas entscheiden.
Der Gesetzgeber wählte ein für jeden Transparent zu nutzendes System, ohne vorher stundenlang am rechner rumfrickeln zu müssen und auch im ausland mit fremden PC de-mails schreiben zu können, ohne dort ebenfalls zahlreiche SW nachinstallieren zu müssen. Wenn Du End2End-Verschlüsselung willst: Bitte schön, nutze sie! Ist doch recht einfach zu verstehen, oder nicht?
Ansonsten auch hier: Einfach nochmal lesen.
Der Dienst muss doch irgendwie finanziert werden. Entweder über Steuergelder oder aber per Nutzung. Letzteres ist doch eine gerechte Methode? Die die es viel nutzen, zahlen mehr, diejenigen, die es nicht nutzen, eben nicht.
jucs schrieb:
--------------------------------------------------------------------------------
> Ach und was spricht dagegen, diese Rechtssicherheit gleich noch mit
> Sicherheit zu verbinden und es richtig zu machen? Weil dann die Post (und
> alle anderen) kein Geld dran verdient?
Das wurde doch getan.
> Super. Der Gesetzgeber wählt ein technisch minderwertiges Verfahren
Was ist daran minderwertig? Es wurde dir doch schon mehrfach erklärt, dass Sicherheit nicht absolut ist. End-zu-End Verschlüsselung und Transport-Verschlüsselung sind beide sinnvoll, und stehen nicht in Konkurrenz zueinander, sondern ergänzen sich. Alle Arten von Verschlüsselung, die ein System automatisch ohne Zutun des Anwenders garantieren kann, werden garantiert. End-zu-End Verschlüsselung, die naturgemäß nicht automatisch providerseitig umgesetzt werden kann, wird unterstützt. Was kann man noch mehr tun?
> Das zeigt aber nicht, dass es ne geniale Sache ist,
> sondern nur wie hirntot diejenigen sind, die sowas entscheiden.
Du bist völlig merkbefreit.
hb schrieb:
--------------------------------------------------------------------------------
> jucs schrieb:
> ---------------------------------------------------------------------------
> -----
> > Verstanden hab ich das wohl, nur bereits geschrieben, wieviel ich von
> > dieser super Idee halte.
>
> Nein, hast du nicht. Ich zitiere dich mal:
> "Blahfasel, auf dem Weg aufgebrochene Verschlüsselung ist völlig nutzlos,
> damit ist der Service gänzlich wertlos."
Da zitierst du leider die falsche Stelle. Na gut, ich muss wohl helfen:
> Die Idee mit der zusätzlichen Verschlüsselung ist absolut süß. Man
> verschlüsselt also einmal richtig und kostenlos um dann noch Geld dafür zu
> bezahlen, dass es noch ein zweites mal falsch und fehlerhaft verschlüsselt
> wird. Wow, tolle Sache.
//
> Daran ist so ziemlcih jedes Wort falsch, und zeigt, dass du nicht nur
> De-Mail nicht verstanden hast, sondern auch von Computersicherheit an sich
> keinen Plan hast.
Ach so ist das. Also wenn du so stichhaltig argumentierst, da kann ich kaum gegenhalten :-(...
> >Der Empfänger schickt einfach eine signierte Antwort, dann
> > ist die Nachricht nachweislich empfangen. Das lässt sich auch
> > automatisieren.
>
> Noch mehr haarsträubender Unsinn. Das ist doch keine sichere Zustellung!
> Der Empfänger kann, wenn er will, eine Antwort schicken. Sonst halt nicht.
Meine Güte, jetzt wird es absurd. Klar, du kannst auch ein Einschreiben zurückweisen oder die De-Mail-Webseite nicht aufrufen. Das habe ich auch schon geschrieben. Wenn der andere nicht mitspielt, funktioniert kein einziges dieser Verfahren.
> In diesem Fall weiss ich garnix. Vielleicht kam die Mail auch nie an. Das
> ist absolut keine sichere Zustellung.
Du weißt auch bei De-Mail nicht mehr. Du weißt erst, dass der andere es gelesen hat, wenn er es bestätigt; dass dies automatisch passieren kann, wenn er die Mail liest, kannst du sonst auch einrichten.
> Nein, kann er nicht. Wenn er eine De-Mail Adresse angibt, muss er sie
> überprüfen. Dinge, die dort eingehen, gelten als zugestellt. Eine De-Mail
> kann als Einwurfeinschreiben benutzt werden (das übrigends _nicht_
> unterschrieben werden muss).
Ich sage es dir gerne nochmal: Wenn man eine signierte Antwort gesetzlich vorschreibt, kommt das genau aufs gleiche raus.
Kommt keine Antwort, dann liegt entweder ein technisches Problem vor (welches sich lösen lässt), oder der andere verhält sich rechtswidrig (identisch mit dem Fall, dass er einfach seine De-Mails nicht abholt). Erhält man dagegen eine Antwort, ist die Zustellung sicher.
> Nein, aber ich kann jemandem etwas rechtsverbindlich zustellen. Ob ers am
> Ende liest oder nicht ist sein Problem. Du kannst auch einer Kündigung
> nicht entgehen, indem du das Kündigungsschreiben einfach nicht liest. Wenn
> dein Arbeitgeber es mit Einwurfeinschreiben geschickt hat, gilt es als
> nachweisbar zugestellt.
Wenn du kein Einwurfeinschreiben willst, dann entfernst du halt das Schild vom Briefkasten oder schüttest ihn mit Sand voll. Du kannst mir jetzt gerne erklären, was dann passiert. Und genau das kann auch mit jemandem passieren, der den Empfang einer Mail nicht in einer gesetzlich definierten Zeit signiert bestätigt.
> Die De-Mail funktioniert analog (und normale Mail
> kann das NIE leisten).
Kann sie wohl.
hb schrieb:
> Es wurde dir doch schon mehrfach erklärt, dass
> Sicherheit nicht absolut ist.
Und deswegen ist jedes noch so schlechte Verfahren perfekt geeignet?
> End-zu-End Verschlüsselung und
> Transport-Verschlüsselung sind beide sinnvoll, und stehen nicht in
> Konkurrenz zueinander, sondern ergänzen sich.
Irrtum, eine bereits verschlüsselte Nachricht muss nicht ein weiteres Mal verschlüsselt werden.
> Alle Arten von
> Verschlüsselung, die ein System automatisch ohne Zutun des Anwenders
> garantieren kann, werden garantiert. End-zu-End Verschlüsselung, die
> naturgemäß nicht automatisch providerseitig umgesetzt werden kann, wird
> unterstützt. Was kann man noch mehr tun?
Auf unsichere Verfahren kann man gänzlich verzichten und anschließend auch nicht dafür abrechnen, das kann man tun.
> Du bist völlig merkbefreit.
Du bist auch völlig merkbefreit... Zufrieden? Mehr Abwechselung beim Trollen gefällig? Meinst du eigentlich, es hilft deiner Argumentation, wenn du immer ein paar inhaltlich wertvolle Beleidigungen am Ende anhängst? Oder sind das die Hormone, die nach dem Überlegen auch noch raus müssen? Wie auch immer, mach ruhig weiter :-).
jucs schrieb:
--------------------------------------------------------------------------------
> Da zitierst du leider die falsche Stelle. Na gut, ich muss wohl helfen:
Ich habe deine Antwort zitiert, nicht den Edit, der zu diesem Zeitpunkt noch nicht im Post drin war.
> > Die Idee mit der zusätzlichen Verschlüsselung ist absolut süß. Man
> > verschlüsselt also einmal richtig und kostenlos um dann noch Geld dafür
> zu
> > bezahlen, dass es noch ein zweites mal falsch und fehlerhaft
> verschlüsselt
> > wird. Wow, tolle Sache.
Der ist aber genauso falsch. Was genau wird denn "falsch und fehlerhaft verschlüsselt"? So funktioniert Transportverschlüsselung nunmal.
> Ach so ist das. Also wenn du so stichhaltig argumentierst, da kann ich kaum
> gegenhalten :-(...
Das Argument steht im Ursprungspost: Sicherheit gibt es nicht absolut, sondern nur gegen ein Angriffsszenario. Weitere Argumente sind ebenfalls aufgeführt worden (Transport und End-zu-End ergänzen sich, etc. pp.)
Da dies extrem schwer zu verstehen zu sein scheint, geb ich dir ein Angriffsszenario, bei dem du selbst darüber nachdenken kannst, ob GPG oder Transportverschlüsselung zwischen dir und dem Provider die bessere Wahl wäre (wenn man denn wählen müsste):
Man-in-the-middle Angriff, der an deine Verbindungsdaten rankommen will ("Steht der in Kontakt mit Psychiatern oder AIDS-Kliniken?").
> Meine Güte, jetzt wird es absurd. Klar, du kannst auch ein Einschreiben
> zurückweisen
So? Wie weist man denn ein Einwurfeinschreiben zurück? Da bin ja mal gespannt. Absurd ist hier nur eins: Deine "Argumentation".
>oder die De-Mail-Webseite nicht aufrufen. Das habe ich auch
> schon geschrieben. Wenn der andere nicht mitspielt, funktioniert kein
> einziges dieser Verfahren.
Doch, weil es juristisch irrelevant ist, ob du das Schreiben wirklich liest. Es geht um den Zugang einer Nachricht, der definiert wird als Eingang in deinem Einflußbereich. Das kann dein Briefkasten sein, dein Anrufbeantworter, oder deine gmx Mailadresse, oder deine De-Mail Adresse.
Wenn man diesen Zugang als Absender beweisen will, kann man eben nicht den Anrufbeantworter oder die gmx Adresse wählen, sondern muss ein Einschreiben (oder zukünftig eine De-Mail) nehmen.
> > Die De-Mail funktioniert analog (und normale Mail
> > kann das NIE leisten).
>
> Kann sie wohl.
Nein, kann sie nicht, weil sie inhärent auf das Wohlwollen des Empfängers angewiesen ist. Meine Güte, das scheint wirklich schwer zu verstehen zu sein.
jucs schrieb:
--------------------------------------------------------------------------------
> Und deswegen ist jedes noch so schlechte Verfahren perfekt geeignet?
Das Verfahren der Transportverschlüsselung ist geeignet, Nachrichten während einem Transport zu verschlüsseln. Beantwortet das deine Frage?
> Irrtum, eine bereits verschlüsselte Nachricht muss nicht ein weiteres Mal
> verschlüsselt werden.
Preisfrage: Wenn eine Man-in-the-middle mithört, welche Informationen erhält er dann im Falle einer Transportverschlüsselung, und welche im Falle einer GPG verschlüsselten Mail? Denk mal drüber nach, dann wird dir dein Denkfehler alleine klar.
> Du bist auch völlig merkbefreit... Zufrieden? Mehr Abwechselung beim
> Trollen gefällig? Meinst du eigentlich, es hilft deiner Argumentation, wenn
> du immer ein paar inhaltlich wertvolle Beleidigungen am Ende anhängst?
LOL -- du beschwerst dich über Beleidigungen? Schau mal deine eigenen Posts an.
Kommentare: 170 | letzter Beitrag 15:54 Uhr
Kommentare: 94 | letzter Beitrag 26.05. 19:45
Kommentare: 68 | letzter Beitrag 14:48 Uhr
Kommentare: 64 | letzter Beitrag 26.05. 17:51
Kommentare: 61 | letzter Beitrag 16:16 Uhr
E-Mail an news@golem.de
Ein soziales Netzwerk für Pornografie muss seine Marke nicht an Facebook übergeben. Faceporn, ein norwegisches Unternehmen, freut sich über den Sieg vor einem kalifornischen Gericht.
Diablo 3 ist toll, sagen viele Spieler - Diablo 3 ist eine Stimulus-Response-Maschine, sagt Rainer Sigl. Der Blogger und leidenschaftliche Gamer erklärt, warum er sich Blizzards jüngstem Werk verweigert.
Lockheed Martin hat eine neue Version des Exoskeletts Hulc vorgestellt, das es einem Menschen ermöglicht, schwere Lasten zu heben und zu tragen. Der Hersteller will das System im Spätsommer testen und, wenn alles gutgeht, danach an US-Soldaten in Afghanistan ausliefern.
Renesas ist nach Elpida der zweite schwer angeschlagene japanische Chiphersteller. Renesas, das Hitachi, Mitsubishi Electric und NEC gehört, macht Verlust und will seine größte Fabrik verkaufen.
RIM soll in den kommenden Tagen erneut einen massiven Stellenabbau ankündigen. "Ich habe herausgefunden, welche Teile ich in meinem Puzzle nicht mehr benötige", sagte Firmenchef Thorsten Heins.
Ein britisches Blog will erfahren haben, dass Facebook den norwegischen Browserhersteller Opera Software kaufen will. Beide Unternehmen wollen sich dazu nicht äußern.