Abo
  1. Foren
  2. Kommentare
  3. Security
  4. Alle Kommentare zum Artikel
  5. › eFail: Was tun ohne E-Mail-Sicherheit?

Was soll die Panikmache?

  1. Thema

Neues Thema Ansicht wechseln


  1. Was soll die Panikmache?

    Autor: Fregin 15.05.18 - 13:04

    Grob geschätzt 99,999 % aller Mails werden so oder so unverschlüsselt übertragen. Ich habs ne zeitlang mal versucht, aber bis auf ein paar Nerds in meiner Kontaktliste nutzt keine Sau eine Verschlüsselung bei Mails.

    Davon ab frage ich mich, wie praktikabel ein Angriff ist. Dazu muss doch die Mail verändert werden, sie muss also irgendwo abgegriffen werden, wo sie "unverschlüsselt" liegt - bis auf den PGP bzw. S/MIME-Teil eben. Da Mailserver heutzutage normalerweise eine Transportverschlüsselung verwenden, kann also nicht mal eben irgendwo z.B. im Internetcafe mitgehorcht werden. Das dürfte die Möglichkeiten für einen Angreifer schon arg einschränken. Oder seh ich das falsch?

    Nicht falsch verstehen, dass das gefixt wird sehe ich durchaus als wichtig an, aber auf den einschlägigen Seiten klingts momentan nach Weltuntergang...

  2. Re: Was soll die Panikmache?

    Autor: freebyte 15.05.18 - 13:38

    Fregin schrieb:
    --------------------------------------------------------------------------------
    > Grob geschätzt 99,999 % aller Mails werden so oder so unverschlüsselt
    > übertragen.

    Problem sind die 0,001%, die auf eine vollwertige End-To-End verschlüsselung angewiesen sind weil sie sonst bald keine Kopfschmerzen mehr haben. Ok - wer in dieser Risikogruppe seinem MUA erlaubt, in einer E-Mail externe Inhalte nachzuladen der hat schon vorher keinen Kopf gehabt.

    > Davon ab frage ich mich, wie praktikabel ein Angriff ist. Dazu muss doch
    > die Mail verändert werden, sie muss also irgendwo abgegriffen werden, wo
    > sie "unverschlüsselt" liegt - bis auf den PGP bzw. S/MIME-Teil eben.

    3 Angriffspunkte: Auf dem Rechner des Absenders, auf dem Mailserver, auf dem Rechner des Empfängers.

    "Aber da kann man gleich einen Trojaner ..." gilt nicht; Programme die ausserhalb der Reihe "nachhause telefonieren" werden von jeder billigen "personal firewall" erkannt - ein MUA, der Zeug von Port 80 nachlädt ist unauffälliger.

    > Da Mailserver heutzutage normalerweise eine Transportverschlüsselung
    > verwenden, kann also nicht mal eben irgendwo z.B. im Internetcafe
    > mitgehorcht werden.

    Durch die flächendeckende Einführung von TLS bei Web und Mail werden die Anwender täglich mit kaputten und abgelaufenen Zertifikaten konfrontiert so dass sie auch offensichtliche Fälschungen abnicken, "Man in the middle Attacks" erfahren gerade eine Renaissance.

    > Nicht falsch verstehen, dass das gefixt wird sehe ich durchaus als wichtig
    > an, aber auf den einschlägigen Seiten klingts momentan nach Weltuntergang...

    Ist ja sonst nichts los auf der Welt ^^

    fb

  3. Re: Was soll die Panikmache?

    Autor: Fregin 15.05.18 - 14:46

    freebyte schrieb:
    --------------------------------------------------------------------------------

    > Problem sind die 0,001%, die auf eine vollwertige End-To-End
    > verschlüsselung angewiesen sind weil sie sonst bald keine Kopfschmerzen
    > mehr haben. Ok - wer in dieser Risikogruppe seinem MUA erlaubt, in einer
    > E-Mail externe Inhalte nachzuladen der hat schon vorher keinen Kopf
    > gehabt.

    Naja, die werden kaum ein Problem haben auf andere Wege auszuweichen. Dem letzten Satz kann ich ansonsten nur zustimmen, selbst wenn man in keiner "Risikogruppe" ist, sollte das Nachladen externer Inhalte per Default aus sein.

    > 3 Angriffspunkte: Auf dem Rechner des Absenders, auf dem Mailserver, auf
    > dem Rechner des Empfängers.

    Ich sag ja... Die Angriffsfläche ist jetzt nicht sooooo riesig, wie in den diversen Artikeln getan wird.

    > "Aber da kann man gleich einen Trojaner ..." gilt nicht; Programme die
    > ausserhalb der Reihe "nachhause telefonieren" werden von jeder billigen
    > "personal firewall" erkannt - ein MUA, der Zeug von Port 80 nachlädt ist
    > unauffälliger.

    Prinzipiell ja.

    > Durch die flächendeckende Einführung von TLS bei Web und Mail werden die
    > Anwender täglich mit kaputten und abgelaufenen Zertifikaten konfrontiert so
    > dass sie auch offensichtliche Fälschungen abnicken, "Man in the middle
    > Attacks" erfahren gerade eine Renaissance.

    Von der Transportverschlüsselung bekommt der Anwender erstmal nix mit. Die läuft zwischen den Mailservern. Allenfalls bei der Kommunikation des MUA mit dem eigenen Mailserver könnten Zertifikatsfehler aufpoppen. Aber wer seine Mails verschlüsselt und in so einem Fall nicht hellhörig wird... Der hat ganz andere Probleme.

  4. Re: Was soll die Panikmache?

    Autor: freebyte 15.05.18 - 19:31

    Fregin schrieb:
    --------------------------------------------------------------------------------
    > > Problem sind die 0,001%, die auf eine vollwertige End-To-End
    > > verschlüsselung angewiesen sind weil sie sonst bald keine Kopfschmerzen
    > > mehr haben.
    >
    > Naja, die werden kaum ein Problem haben auf andere Wege auszuweichen.

    Aus eigener, jahrelanger Anschauung: der übliche "kritische" und/oder "investigative" Journalist hat den technischen Sachverstand einer ordinären Ringelblume - es wird nicht das genommen, was hochgradig sicher ist sondern was auf einem Apple-Gerät läuft und von dem er gehört hat, dass es sicher ist.

    > > 3 Angriffspunkte: Auf dem Rechner des Absenders, auf dem Mailserver, auf
    > > dem Rechner des Empfängers.
    >
    > Ich sag ja... Die Angriffsfläche ist jetzt nicht sooooo riesig, wie in den
    > diversen Artikeln getan wird.

    Stimmt - es kann ja nur auf 100% des gesamten Transportweg dazwischengefunkt werden.

    > > Durch die flächendeckende Einführung von TLS bei Web und Mail werden die
    > > Anwender täglich mit kaputten und abgelaufenen Zertifikaten konfrontiert
    >
    > Von der Transportverschlüsselung bekommt der Anwender erstmal nix mit. Die
    > läuft zwischen den Mailservern.

    Die fängt schon beim MUA an (sofern der Mailserver das anbietet).

    > Aber wer seine Mails verschlüsselt und in so einem Fall nicht hellhörig wird...
    > Der hat ganz andere Probleme.

    Wie gesagt: die User drücken mittlerweile Zertifikatsfehler einfach weil sie so häufig vorkommen.

    fb

Neues Thema Ansicht wechseln


Um zu kommentieren, loggen Sie sich bitte ein oder registrieren Sie sich. Zum Login

Stellenmarkt
  1. BWI GmbH, deutschlandweit
  2. Jetter AG, Ludwigsburg
  3. Salzgitter AG, Salzgitter
  4. Teckentrup GmbH & Co. KG, Verl

Golem pur
  • Golem.de ohne Werbung nutzen

Anzeige
Hardware-Angebote
  1. (reduzierte Überstände, Restposten & Co.)
  2. und Assassins Creed Odyssey, Strange Brigade und Star Control Origins kostenlos dazu erhalten
  3. ab 499€


Haben wir etwas übersehen?

E-Mail an news@golem.de


Always Connected PCs im Test: Das kann Windows 10 on Snapdragon
Always Connected PCs im Test
Das kann Windows 10 on Snapdragon

Noch keine Konkurrenz für x86-Notebooks: Die Convertibles mit Snapdragon-Chip und Windows 10 on ARM sind flott, haben LTE integriert und eine extrem lange Akkulaufzeit. Der App- und der Treiber-Support ist im Alltag teils ein Manko, aber nur eins der bisherigen Geräte überzeugt uns.
Ein Test von Marc Sauter und Oliver Nickel

  1. Miix 630 Lenovos ARM-Detachable kostet 1.000 Euro
  2. Qualcomm "Wir entwickeln dediziertes Silizium für Laptops"
  3. Windows 10 on ARM Microsoft plant 64-Bit-Support ab Mai 2018

Threadripper 2990WX und 2950X im Test: Viel hilft nicht immer viel
Threadripper 2990WX und 2950X im Test
Viel hilft nicht immer viel

Für Workstations: AMDs Threadripper 2990WX mit 32 Kernen schlägt Intels ähnlich teure 18-Core-CPU klar und der günstigere Threadripper 2950X hält noch mit. Für das Ryzen-Topmodell muss aber die Software angepasst sein und sie darf nicht zu viel Datentransferrate benötigen.
Ein Test von Marc Sauter

  1. 32-Kern-CPU Threadripper 2990WX läuft mit Radeons besser
  2. Threadripper 2990WX AMDs 32-Kerner kostet weniger als Intels 18-Kerner
  3. Zhongshan Subor Z+ AMD baut SoC mit PS4-Pro-Leistung für chinesische Konsole

Smartphone von Gigaset: Made in Bocholt
Smartphone von Gigaset
Made in Bocholt

Gigaset baut sein Smartphone GS185 in Bocholt - und verpasst dem Gerät trotz kompletter Anlieferung von Teilen aus China das Label "Made in Germany". Der Fokus auf die Region ist aber vorhanden, eine erweiterte Fertigung durchaus eine Option. Wir haben uns das Werk angeschaut.
Ein Bericht von Tobias Költzsch

  1. Bocholt Gigaset baut Smartphone in Deutschland

  1. TS-251B: Qnaps Consumer-NAS hat einen PCIe-Slot
    TS-251B
    Qnaps Consumer-NAS hat einen PCIe-Slot

    Mit dem TS-251B veröffentlicht Qnap ein NAS für zwei 3,5-Zoll-Festplatten, welches einen PCIe-Slot aufweist. Der eignet sich für Erweiterungskarten mit NVMe/Sata-SSDs, mit WLAN, mit USB 3.1 Gen2 oder mit 10-GBit/s-Ethernet.

  2. Vodafone: Zahl der Nutzer der Routerfreiheit hat sich verdoppelt
    Vodafone
    Zahl der Nutzer der Routerfreiheit hat sich verdoppelt

    Nach dem Ende des Routerzwangs hat es etwas gedauert, bis die Nutzer umsteigen. Doch die Tendenz ist nun eindeutig.

  3. Gremium: Merkel sucht unbequeme Digitalexperten
    Gremium
    Merkel sucht unbequeme Digitalexperten

    Für mehr Verve und Antrieb bei der Digitalisierung will Bundeskanzlerin Merkel einen Digitalrat gründen. Als Mitglied sind zehn Experten unterschiedlicher Fachrichtungen gesucht.


  1. 15:02

  2. 14:45

  3. 14:18

  4. 11:33

  5. 11:04

  6. 18:00

  7. 17:30

  8. 17:15