Abo
  1. Foren
  2. Kommentare
  3. Security
  4. Alle Kommentare zum Artikel
  5. › Verschlüsselung: Regierung will nun…

End-to-end Verschlüsselung

  1. Thema

Neues Thema Ansicht wechseln


  1. End-to-end Verschlüsselung

    Autor: Bendix 24.08.16 - 15:44

    Ich dachte bei End-to-end-Verschlüsselung könnten die Anbieter die Nachrichten nicht verschlüsseln.

    Liegt der Fehler in meiner Gutgläubigkeit oder in der Unwissenheit der Politiker.

  2. Re: End-to-end Verschlüsselung

    Autor: Der schwarze Ritter 24.08.16 - 15:47

    Du meinst vermutlich entschlüsseln. Und doch, warum auch nicht? Bei der Schlüsselerzeugung wird der private Key einfach auch auf dem Server des anbieters hinterlegt und fertig. Der normale Benutzer kriegt das nicht mal mit.

  3. Re: End-to-end Verschlüsselung

    Autor: mark2020 24.08.16 - 15:49

    Im Grunde kann man doch sagen, wenn alle Informierten wissen, dass es nicht geht, kann die Politik nicht einfach so tun als wenn sie das lesen könnte? Wir erzählen einfach den 85% der Bevölkerung, die keine Ahnung hat, dass die Nachrichten geschützt sind und die Regierung für Vollverschlüsselung ist aber die Terroristischen Nachrichten von der Regierung gelesen werden können, wie auch immer das geschieht. Dann ist die Bervölkerung beruhigt aber auch nicht verunsichert :D

  4. Re: End-to-end Verschlüsselung

    Autor: AllAgainstAds 24.08.16 - 16:03

    Der schwarze Ritter schrieb:
    --------------------------------------------------------------------------------
    > Du meinst vermutlich entschlüsseln. Und doch, warum auch nicht? Bei der
    > Schlüsselerzeugung wird der private Key einfach auch auf dem Server des
    > anbieters hinterlegt und fertig. Der normale Benutzer kriegt das nicht mal
    > mit.


    Also wenn dem so wäre … und das jemals bekannt werden würde … würde der Anbieter wohl seine Tore schließen dürfen. Sowas wäre ja schändlich und nicht mit dem Prinzip der Verschlüsslung vereinbar, was nicht heißt, das es so sein "KÖNNTE". Allerdings muss man dann sagen, das die Regierungen dann schon vor vielen Jahren hatten gesetzlich festlegen müssen, das die Anbieter die Schlüssel vorhalten müssen, aber dem war nicht so, also denke ich, wird es wohl auch nicht so sein.

  5. Re: End-to-end Verschlüsselung

    Autor: AllAgainstAds 24.08.16 - 16:08

    Also wenn die Regierungen auf einmal ihre Forderungen zurück schrauben und nicht mehr fordern, was sie eigentlich wollten, dann stimmt da was nicht und die verheimlichen etwas. Auch den Regierungen ist klar, das terroristische und kriminelle Kommunikation so verschlüsselt ist, das sie NICHT entschlüsselt werden kann … zumindest würden halbwegs intelligente Verbrecher und Terroristen das so machen (Wobei sich über den IQ von Terroristen streiten lässt, denn die haben keinen).

    Wenn nun auf einmal die Regierenden das Knacken von Verschlüsslung nicht mehr wollen oder die Anbieter solcher Dienste nicht mehr verpflichtet werden sollen, dann stinkt das zum Himmel. Irgendwas wird da verheimlicht, was sie bereits können und wohl auch tun, das diese Forderung nicht mehr nötig ist.

  6. Re: End-to-end Verschlüsselung

    Autor: Wallbreaker 24.08.16 - 16:52

    AllAgainstAds schrieb:
    --------------------------------------------------------------------------------
    > Also wenn die Regierungen auf einmal ihre Forderungen zurück schrauben und
    > nicht mehr fordern, was sie eigentlich wollten, dann stimmt da was nicht
    > und die verheimlichen etwas. Auch den Regierungen ist klar, das
    > terroristische und kriminelle Kommunikation so verschlüsselt ist, das sie
    > NICHT entschlüsselt werden kann … zumindest würden halbwegs
    > intelligente Verbrecher und Terroristen das so machen (Wobei sich über den
    > IQ von Terroristen streiten lässt, denn die haben keinen).
    > Wenn nun auf einmal die Regierenden das Knacken von Verschlüsslung nicht
    > mehr wollen oder die Anbieter solcher Dienste nicht mehr verpflichtet
    > werden sollen, dann stinkt das zum Himmel. Irgendwas wird da verheimlicht,
    > was sie bereits können und wohl auch tun, das diese Forderung nicht mehr
    > nötig ist.

    Es wäre ein Fehler zu glauben, dass Terroristen dumm wären. Besonders dann wenn einem nicht alle Details bekannt sind, wie auch Drahtzieher dessen. Und Regierungen hatten schon immer etwas zu verheimlichen. Doch auch wenn sie nun auf magische Weise dazu in der Lage wären, die Kommunikation zu entschlüsseln, dann lassen sich die in Frage kommenden Schwachstellen recht schnell definieren. Viel bleibt ja effektiv nicht übrig, was sie realistisch mit hoher Wahrscheinlichkeit kompromittieren könnten.

  7. Re: End-to-end Verschlüsselung

    Autor: cpt.dirk 24.08.16 - 16:53

    Äpfel sind keine Erdbeeren, auch wenn beide zum Obst zählen und erstere wachsen auf Bäumen, letztere auf dem Boden.

    Bei End-To-End gibt es verschiedene Varianten, zu den bekanntesten zählen natürlich S/MIME (PKI) und PGP/GPG.

    Bei PKI mit kompromittierten root-Zertifikaten, und beispielsweise darauf aufsetzenden, eigenen Zertifikaten, gäbe es die Möglichkeit eines MitM-Angriffs. Oder, es wäre denkbar, dass beim erstellen des Zertifikats in einem manipulierten Browsersicherheitsmodul der private Schlüssel an den Zertifikatssanbieter (root CA oder Intermediate CA) ausgeleitet wird.

    Grundsätzlich gäbe es diese Möglichkeit auch bei PGP/GPG-Plugins, die den Schlüssel erstellen, nur gibt es hier kein zusätzliches Outsourcing des Vertrauens an eine Dritte Instanz (die CA).

    Die beiden letztgenannten Möglichkeiten würde ich schon als eine Variante der TKÜ-Quellenüberwachung ansehen (da bereits an der Quelle der private Schlüssel abgegriffen wird), ganz abgesehen von anderer, im Hintergrund laufender Trojanermalware, sei diese nun auf OS- oder BIOS-Ebene verankert.

    Grundsätzlich kann man den Nutzen dieser Möglichkeit zur Verbrechensbekämpfung nicht leugnen und sie erscheint - bei rechtlich strikt abgegrenzten Einsatzbereichen der Schwerstkriminalität legitim.

    Und in diesem Falle auch weitaus gerechtfertigter, als es eine Vorratsdatenspeicherung und Massenüberwachung auf breiter Basis, oder das Aufweichen, bzw. Brechen der aus verschiedenen Gründen lebenswichtigen Verschlüsselungstechniken je sein könnte.

    EDIT:
    Es fehlt aber noch der Nachweis, ob der Zugriff auf Inhalte der Kommunikation tatsächlich ausschlaggebend ist, da über geeignete Algorithmen der BigData i. d. R. bereits über die Metadaten genügend Informationen erfasst werden können - und werden - ob überhaupt relevante Ziele vorliegen könnten (z. B. lt. NSA).



    1 mal bearbeitet, zuletzt am 24.08.16 16:59 durch cpt.dirk.

  8. Re: End-to-end Verschlüsselung

    Autor: NanuBrot 24.08.16 - 16:58

    cpt.dirk schrieb:
    --------------------------------------------------------------------------------
    >(.......)
    > Grundsätzlich kann man den Nutzen dieser Möglichkeit zur
    > Verbrechensbekämpfung nicht leugnen und sie erscheint - bei rechtlich
    > strikt abgegrenzten Einsatzbereichen der Schwerstkriminalität legitim.
    >(.....)

    Aber genau das ist und wird nie der Fall sein.
    Es werden ja auch jetzt, nicht nur Kriminelle überwacht sondern auch Personen bei denen KEIN verdacht besteht. Und das Legitim ganz ohne Richter

  9. Re: End-to-end Verschlüsselung

    Autor: My1 24.08.16 - 17:00

    naja bei den endtoend messengern ist es meist so dass man einen Manuellen Shlüsselabgleich machen kann also nicht so problematisch

  10. Re: End-to-end Verschlüsselung

    Autor: cpt.dirk 24.08.16 - 17:01

    Genau hier sehe ich den Knackpunkt.
    Und genau darauf müssen wir (als mündige Bürger) bestehen, sofern wir das bleiben wollen.

  11. Re: End-to-end Verschlüsselung

    Autor: cpt.dirk 24.08.16 - 17:06

    Zum Einen werden bei einem Schlüsselaustausch nur die PubKeys (der jeweilige öffentliche Teil eines asymmetrischen Schlüsselpaares) ausgetauscht, und dann manuell der Fingerprint abgeglichen.

    Zum Anderen betrifft das nicht die Möglichkeit, dass eben die PrivateKeys (der jeweilige geheime Teil der Schlüsselpaare), direkt auf Clientseite, über einen Trojaner abgegriffen wird.

  12. Re: End-to-end Verschlüsselung

    Autor: My1 24.08.16 - 17:31

    cpt.dirk schrieb:
    --------------------------------------------------------------------------------
    > Zum Einen werden bei einem Schlüsselaustausch nur die PubKeys (der
    > jeweilige öffentliche Teil eines asymmetrischen Schlüsselpaares)
    > ausgetauscht, und dann manuell der Fingerprint abgeglichen.

    I know es hilft aber das abgleichen hilft gegen mitm.

    > Zum Anderen betrifft das nicht die Möglichkeit, dass eben die PrivateKeys
    > (der jeweilige geheime Teil der Schlüsselpaare), direkt auf Clientseite,
    > über einen Trojaner abgegriffen wird.

    das stimmt.

    ich bin fachinformatiker ich weiß wasn pub- und n privkey ist.

  13. Re: End-to-end Verschlüsselung

    Autor: Lord Gamma 24.08.16 - 19:27

    Der schwarze Ritter schrieb:
    --------------------------------------------------------------------------------
    > Du meinst vermutlich entschlüsseln. Und doch, warum auch nicht? Bei der
    > Schlüsselerzeugung wird der private Key einfach auch auf dem Server des
    > anbieters hinterlegt und fertig. Der normale Benutzer kriegt das nicht mal
    > mit.

    Nicht wirklich. Die Schlüsselerzeugung kann auf dem Client erfolgen: [en.wikipedia.org] (Bin gerade erstaunt, dass es diesen Artikel nicht auf Deutsch gibt.)
    Merkwürdige Dinge bekommt jemand früher oder später über bspw. [de.wikipedia.org] mit.

  14. Re: End-to-end Verschlüsselung

    Autor: Andre_af 24.08.16 - 20:14

    Lord Gamma schrieb:
    --------------------------------------------------------------------------------

    > Nicht wirklich. Die Schlüsselerzeugung kann auf dem Client erfolgen:
    > en.wikipedia.org (Bin gerade erstaunt, dass es diesen Artikel nicht auf
    > Deutsch gibt.)
    > Merkwürdige Dinge bekommt jemand früher oder später über bspw.
    > de.wikipedia.org mit.

    Glaube ich nicht wenn die wollten. Nehmen wir mal den klassischen Messenger auf Handys betrieben von einem bekannten grossen amerikanischen Konzern. Du generierst dir auf deinem Handy lokal mit der Software nen Schlüsselpaar. das macht der Messenger für dich, der kennt also in dem Moment beide Schlüssel. Dein Pubkey wird ja sowieso rausgegeben. jetzt nimmt der Messenger aber deinen PrivKey und verschlüsselt den mit nem PubKey des Anbieters und schickt den zum Anbieter. Der macht es mit seinem PrivKey auf und legt es sich auf die Platte und e voila hat deinen PrivKey und kann dein Zeug entschlüsseln. du guckst dir mit tcpdump den Traffic an und siehst.. na? verschlüsseltes Zeug was du nicht auf kriegst selbst wenn du deinen PrivKey raus kriegen würdest zum vergleichen. und das dein Messenger Traffic auf der Leitung macht ist auch nicht verdächtig - das tut er eh. und alles ist verschlüsselt.. wie willst du da sagen ob bei dem ganze unlesbaren Zeug auch mal dein PubKey zwischen war? gar nicht!

  15. Re: End-to-end Verschlüsselung

    Autor: Llame 25.08.16 - 00:24

    Der schwarze Ritter schrieb:
    --------------------------------------------------------------------------------
    > Du meinst vermutlich entschlüsseln. Und doch, warum auch nicht? Bei der
    > Schlüsselerzeugung wird der private Key einfach auch auf dem Server des
    > anbieters hinterlegt und fertig. Der normale Benutzer kriegt das nicht mal
    > mit.

    So trivial ist das nicht. Stichwort "self healing"

    https://whispersystems.org/blog/advanced-ratcheting/

    Es müsste zu jeder Nachricht ein Schlüssel hinterlegt werden. Zumindest im Falle WhatsApp, Signal etc.

    Da kann man auch einfach jede Nachricht im Klartext an die Behörden weiterleiten.

    A STRANGE GAME. THE ONLY WINNING MOVE IS NOT TO PLAY.



    1 mal bearbeitet, zuletzt am 25.08.16 00:29 durch Llame.

  16. Re: End-to-end Verschlüsselung

    Autor: TWfromSWD 25.08.16 - 08:58

    Der schwarze Ritter schrieb:
    --------------------------------------------------------------------------------
    > Du meinst vermutlich entschlüsseln. Und doch, warum auch nicht? Bei der
    > Schlüsselerzeugung wird der private Key einfach auch auf dem Server des
    > anbieters hinterlegt und fertig. Der normale Benutzer kriegt das nicht mal
    > mit.

    Wichtig ist aber, dass der Private Key auf jeden Fall End-to-End verschlüsselt an den Provider übertragen wird, weil ihn sonst jemand abfangen könnte, was die ganze Verschlüsselung kompromittieren würde ;)

    EDIT: Zitat eingefügt



    1 mal bearbeitet, zuletzt am 25.08.16 08:59 durch TWfromSWD.

  17. Re: End-to-end Verschlüsselung

    Autor: cpt.dirk 27.08.16 - 16:43

    Ja, der manuelle Vergleich des Fingerprints sollte ausreichen, um sich gegen MitM abzusichern (was aber nicht alle PGP-Nutzer tun, daher ja auch die separaten Nutzervertrauensstufen).

    Es gibt allerdings möglicherweise Ausnahmen, wie z. B. beim Einsatz von PKI-Serverzertifikaten für TLS (s. Linux-Kernelbug), wobei ich im Moment nicht sagen kann, ob ein Abgleich des Fingerprints die Manipulation aufdecken könnte.

    Nicht aber hilft ein solcher Abgleich gegen clientseitiges Auslesen der Keys oder dechiffrierten Mails. Und genau darauf zielt der Innenminister ja offenbar ab - s. auch Bundes-, und Bayerntrojaner.

    Wenn es aber hier mit der Rechtsstaatlichkeit und engen Eingrenzung auf legitime schwere Einzelfälle nicht mehr genau genommen wird, dann brennt die Hütte, und zwar lichterloh.

    Man (die Politik) muss sich immer vor Augen halten, was in der DDR oder im 3. Reich mit solchen Tools angestellt worden wäre und den eigenen Standpunkt ständig daraufhin abklopfen, ob man (auch der Herr Innenminister) sich nicht bereits auf dem Weg in ähnliche Gefilde befindet.

    Und zwar geht es um gesetzliche Änderungen in Summe gesehen, nicht nur die jeweiligen kleinen "Verbesserungen": inwieweit trägt Gesetzespaket X in Summe mit Änderung A, B und C zur weiteren Aushölung unserer grundgesetzlich verankerten freiheitlichen Bürgerrechte bei?

  18. Re: End-to-end Verschlüsselung

    Autor: cpt.dirk 28.08.16 - 15:00

    Sehr schön dargelegt. Ganz besonders gilt das für solche wie von dir angesprochenen Closed-Source Systeme. Nur sollte man deshalb zum analysieren des Netzwerkverkehrs auch ein separates System, z. B. Linux verwenden, bei dem man davon ausgehen kann, dass auch Unerwünschtes nicht ausgeblendet wird (in diesem Falle verdächtige IP-Packets).

Neues Thema Ansicht wechseln


Um zu kommentieren, loggen Sie sich bitte ein oder registrieren Sie sich. Zum Login

Stellenmarkt
  1. Radeberger Gruppe KG, Dortmund, Frankfurt am Main, Berlin
  2. Radeberger Gruppe KG, Frankfurt am Main
  3. Hitachi Automotive Systems Europe GmbH, Schwaig-Oberding (Raum München)
  4. DREWAG - Stadtwerke Dresden GmbH, Dresden

Golem pur
  • Golem.de ohne Werbung nutzen

Anzeige
Hardware-Angebote
  1. 72,99€ (Release am 19. September)
  2. 245,90€


Haben wir etwas übersehen?

E-Mail an news@golem.de


Mobile-Games-Auslese: Magischer Dieb trifft mogelnden Doktor
Mobile-Games-Auslese
Magischer Dieb trifft mogelnden Doktor

Ein Dieb mit Dolch in Daggerhood, dazu ein (historisch verbürgter) Arzt in Astrologaster sowie wunderschön aufbereitetes Free-to-Play-Mittelalter in Marginalia Hero: Golem.de stellt die spannendsten neuen Mobile Games vor.
Von Rainer Sigl

  1. Hyper Casual Games 30 Sekunden spielen, 30 Sekunden Werbung
  2. Mobile-Games-Auslese Rollenspiel-Frühling mit leichten Schusswechseln
  3. Gaming Apple Arcade wird Spiele-Flatrate für iOS und MacOS

Ada und Spark: Mehr Sicherheit durch bessere Programmiersprachen
Ada und Spark
Mehr Sicherheit durch bessere Programmiersprachen

Viele Sicherheitslücken in Software sind auf Programmierfehler zurückzuführen. Diese Fehler lassen sich aber vermeiden - und zwar unter anderem durch die Wahl einer guten Programmiersprache. Ada und Spark gehören dazu, leider sind sie immer noch wenig bekannt.
Von Johannes Kanig

  1. Das andere How-to Deutsch lernen für Programmierer
  2. Programmiersprachen, Pakete, IDEs So steigen Entwickler in Machine Learning ein
  3. Software-Entwickler Welche Programmiersprache soll ich lernen?

IT-Forensikerin: Beweise sichern im Faradayschen Käfig
IT-Forensikerin
Beweise sichern im Faradayschen Käfig

IT-Forensiker bei der Bundeswehr sichern Beweise, wenn Soldaten Dienstvergehen oder gar Straftaten begehen, und sie jagen Viren auf Militärcomputern. Golem.de war zu Gast im Zentrum für Cybersicherheit, das ebenso wie die IT-Wirtschaft um guten Nachwuchs buhlt.
Eine Reportage von Maja Hoock

  1. Homeoffice Wenn der Arbeitsplatz so anonym ist wie das Internet selbst
  2. Bundesagentur für Arbeit Informatikjobs bleiben 132 Tage unbesetzt
  3. IT-Headhunter ReactJS- und PHP-Experten verzweifelt gesucht

  1. Load Balancer: HAProxy 2.0 bringt Neuerungen für HTTP und die Cloud
    Load Balancer
    HAProxy 2.0 bringt Neuerungen für HTTP und die Cloud

    In der neuen LTS-Version 2.0 liefern die Entwickler des Open-Source-Load-Balancers HAProxy unter anderem mit einem Kubernetes Ingress Controller und einer Data-Plane-API aus. Auch den Linux-Support hat das Team vereinheitlicht.

  2. Huawei: USA können uns "nicht totprügeln"
    Huawei
    USA können uns "nicht totprügeln"

    Huawei ist viel stärker von dem US-Boykott betroffen als erwartet, räumt der Gründer ein. Doch trotz hoher Umsatzeinbußen werde der Konzern in ein paar Jahren gestärkt aus den Angriffen hervorgehen.

  3. Freier Videocodec: Realtek stellt ersten SoC mit AV1-Decoder vor
    Freier Videocodec
    Realtek stellt ersten SoC mit AV1-Decoder vor

    Der Chiphersteller Realtek hat ein SoC für Set-Top-Boxen vorgestellt, das einen AV1-Decoder enthält. Es ist der erste Chip mit Hardware-Unterstützung für den freien Videocodec. Geräte damit sollten 2020 verfügbar sein.


  1. 15:35

  2. 14:23

  3. 12:30

  4. 12:04

  5. 11:34

  6. 11:22

  7. 11:10

  8. 11:01