Let’s have a party!

• Einführung (Rainer)
• Warum digitale Selbstverteidigung? (Tobias)
• Grenzen digitaler Selbstverteidigung (Rainer)
• Verschlüsselte und Anonyme Netze: SSL/TLS (Tobias)
• Sicherer Surfen: Add-Ons, Tools und Best Practices (Rainer)
• Diskussion

Let’s start a party!

Das Bündnis Privatsphäre Leipzig e. V. ist eine überparteiliche Bürgerinitiative mit dem Ziel, Überwachung, Rechtsstaatlichkeit und Demokratie in einem breiten öffentlichen Diskurs zu thematisieren.

Monatliches Meetup (Stammtisch) (demnächst: Ende September 2018 19:00 Uhr) siehe Blog, Meetup, Twitter, Facebook

CryptoParty is a decentralized, global initiative to introduce the most basic cryptography programs and the fundamental concepts of their operation to the general public.

Wir verstehen Cyptoparties als Vermittlung von Wissen zur „Digitale Selbstverteidigung“.

CryptoParty Season 2/2018 (Herbst/Winter) in der naTo

• 10. September 2018 – Beobachte mich nicht - Teil 1, HTTPS, Tracking, Browser-Addons;
• 22. Oktober 2018 – Beobachte mich nicht - Teil 2, Anonymisierung mit Tor und VPNs, Passwörter und Passwort Manager
• 12. November 2018 – Das können wir selber – Alternative Soziale Netzwerke, Self Hosting (TBC)

CryptoParty Season 2/2018 (Herbst/Winter) in der naTo

• 03. Dezember 2018 – Wir unterhalten uns privat – Crypto-Messenger Apps für Mobilgeräte (TBC)
• 07. Januar 2019 –Der elektronische Briefumschlag – E-Mail-Verschlüsselung, asynchrone Verschlüsselung (TBC)
• 25.02.2019 – Thema: Clouldsysteme und Backups (TBC).
• März 2019 (TBD) – Datei- und Festplattenverschlüsselung (TBD).

Weitere Projekte (z. T. in Planung):

• Lesungen für Privatsphäre (z. B. zum Safer Internet Day)
• Teilnahme an den Kritischen Einführungswochen (KEW) an der Uni Leipzig
• CryptoParties für Schüler*innen, Journalist*innen, Jurist*innen, Student*innn
• Teilnahme an Podiumsdiskussionen, Interviewprojekten
• Podcast zu Datenschutz und Datensicherheit

Digitale Selbstverteidigung

»Wenn wir nichts Falsches tun, dann haben wir das Recht, alles in unserer Macht Stehende zu unternehmen, um das traditionelle Gleichgewicht zwischen uns und der lauschenden Macht aufrechtzuerhalten.«

Digitale Selbstverteidigung

Was ist digitale Selbstverteidigung?

• Metapher: Digitale Hygiene, Datenhygiene
• Versuch des Empowerments: das Recht auf informationelle Selbstbestimmung (= Grundrecht) im digitalen Zeitalter wahrzunehmen
• Aufruf zur Selbstbestimmung durch Teilrestauration gegen den neuen Kontrollverlust von Privatheit

Digitale Selbstverteidigung

Metaphern

Digitale Selbstverteidigung

Digitale Selbstverteidigung als Aufklärungsmodell

Habe Mut, dich deines eigenen Verstandes zu bedienen!

Beantwortung der Frage: Was ist Aufklärung?

→ Selbstbestimmung erfordert Wissen und Erfahrung.

Risiko: Überforderung des Individuums

Digitale Selbstverteidigung

Digitale Selbstverteidigung

Prinzipien und Praxisformen

Aspekte der Privatheit

Motive/Anlass für Digitale Selbstverteidigung

Motive/Anlass für Digitale Selbstverteidigung

Motive/Anlass für Digitale Selbstverteidigung

Herausforderungen

Herausforderungen

Big Data als Überwachungskapitalismus

• beschreibt BigData als neue Form des Informationskapitalismus
• kommerzialisiert und verwertet werden soll jede Äußerung des täglichen Lebens (everydayness)

Herausforderungen

Überwachungskapitalismus als Risiko

• Marktkontrolle durch (vermeintliche) Verhaltenskontrolle (Nudging, Microtargeting)
• Tendenz des Totalen und Schaffung von Monopolen (Machtasymmetrien)

BigPicture: gesellschaftliche Transformation

Digitale Selbstverteidigung und Digitalisierung

• Digitalisierung als Kulturwandel → Nutzungsänderungen
• Überwachung und Manipulation als Machttechniken (min. seit der Disziplinargesellschaft)

Überwachung, Disziplin und Kontrolle (Focault/Deleuze/Han)

Datengetriebene Gesellschaft

Weitere praktische Möglichkeiten

• Daten-Hygiene einüben: immer wieder CryptoParties besuchen und weiterempfehlen
• mit Freunden und Familie über Digitalisierung und Privatsphäre diskutieren
• sich bei Apps und Sozialen Diensten über deren Datensammlung informieren, ggf. Alternativen verwenden

Aktiv werden

Mitmachen!

• Mitstreiter*Innen und Unterstützer*Innen im Bündnis sind herzlich willkommen!
• Spenden für OpenSource-Projekte (z. B. GnuPG, Linux, Mozilla, etc.)

Literatur- und TV-Empfehlungen

Fazit

Wendet sich gegen Massenüberwachung

Grenzen digitaler Selbstverteidigung

Verschlüsselung funktioniert. Richtig implementierte, starke Crypto-Systeme sind eines der wenigen Dinge, auf die man sich verlassen kann.

Verschlüsselung funktioniert

• gute Nachricht weil Verschlüsselung – nahezu immer – Grundlage digitaler Selbstverteidigung ist
• aber:
  • richtige Implementierung → setzt deren Überprüfbarkeit voraus → OpenSource
  • starke Crypto-Systeme → standardisierte, aktuelle und öffentlich überprüfte Verfahren und Algorithmen
• Also quelloffene, empfohlene Lösungen im eigenen Alltag einsetzen und alles ist gut?

Verschlüsselung umgehen

Verschlüsselung schwächen

• CryptoWars
  • 2015: Verfassungsschutz fordert ein Ende der „kryptierten Kommunikation“
  • 2015: Hillary Clinton wants “Manhattan-like project” to break encryption
  • 2017: EU-Kommission plant Entschlüsselungsstelle
  • 2018: Moderne Transportverschlüsselung fürs Web: TLS 1.3 ist IETF-Standard
  • 2018: Five-Eyes-Staaten drängen auf „freiwillige“ Entschlüsselungslösungen
• Problem: Verschlüsselung funktioniert ganz oder gar nicht → Hintertüren nur für die „Guten“ nicht möglich

Schief gegangen

Beispiele von Sicherheitsbrüchen

• Sloppy security hygiene made Sony Pictures ripe for hacking
• Nackt im Netz: Millionen Nutzer ausgespäht
• Hack von 500 Millionen Nutzerkonten: 35 Millionen Dollar Strafe für Yahoo
• Knuddels.de: Millionen Nutzerdaten mit Passwörtern geleakt

Grenzen ausloten

Risikoanalyse an Hand von Bedrohungsmodellen

Bedrohungsmodelle:

• beschreiben Möglichkeiten von Angriffen und decken Verhaltensweisen oder Übertragungswege und -formen auf, die mit Risiken verbunden sein können
• helfen Grenzen und Möglichkeiten von technischen Lösungen wie Ende-zu-Ende-Verschlüsselung oder Transportverschlüsselung besser einzuschätzen und eigenes Verhalten anzupassen.

Bedrohungsmodell

Übersicht

schützenswerte Güter

Was möchte ich schützen?

• Passwörter
• Geld
• Dateien (private Fotos, Videos, Dokument, etc.)
• Chats, Unterhaltungen, Korrespondenzen
• Metadaten
• private Geheimnisse, Betriebsgeheimnisse

Angreifer

Vor wem möchte ich es schützen?

• Nachrichtendienste mittels Massenüberwachung (NSA, GCHQ, BND)
• (neugierige) Kolleg*Innen, Nachbar*Innen, Eltern, Schulkamerad*Innen usw.
• (neugierige) Sicherheitsbehörden (BKA, Verfassungsschutz, Polizei)
• Diebe, kriminelle Elemente
• Unternehmen die Dienste anbieten um Profilbildung für Werbeeinnahmen zu betreiben

Risiken bei Schutzversagen

Was sind die Konsequenzen, wenn der Schutz versagt?

• Identitätsdiebstahl: Hacker/Script-Kiddie übernimmt Facebook-Account
• Autonomieverlust:
  • Werbeanbieter liest und analysiert meine Daten
  • Anbieter filtert oder liest Tweets, Facebook-Nachrichten, E-Books etc.
• Übernahme/Verlust des Geräts: Smartphone, Laptop, Tablet, E-Book-Reader
• Datenverlust: Messenger-App, welche es erlaubt übermittelte Bildnachrichten abzugreifen

Angriffspotentiale

Welche Angriffswege könnten genutzt werden?

• physischer Gerätezugriff Familienangehöriger installiert Überwachungssoftware auf meinem Gerät
• Zugriff auf den Transportweg der Daten Angreifer*In könnte das LAN/WLAN ausspionieren
• Phishing/Trojaner, Manipulation des Endpunktes der Kommunikation Angreifer*In könnte eine Website gefälscht haben
• Manipulation des Systems/von Anwendungen Angreifer*In nutzt Sicherheitslücken im System/ Applikationen

Die W-Fragen

Schutzintressen und -rahmen ermitteln

• Was möchte ich schützen?
• Vor wem möchte ich es schützen?
• Was sind die Konsequenzen, wenn der Schutz versagt?
• Welche Angriffswege könnten genutzt werden?
• Wie wahrscheinlich ist die Notwendigkeit es schützen zu müssen?
• Wie viel Aufwand und Umstände möchte ich in Kauf nehmen und worauf möchte ich verzichten, um es zu schützen?

Risiken vs. Gegenmaßnahmen

I

Risiken vs. Gegenmaßnahmen

II

Exkurs: Virenscanner

• Cloud-basierte Virenscanner-Engine: unsere Empfehlung → vermeiden
• Sicherheitslücken/Exploits
• Bypassing Antivirus With Ten Lines of Code or (Yet Again) Why Antivirus is Largely Useless
• Antivirus software could make your company more vulnerable

Fazit

Bedrohungsmodelle als Mittel zur Selbstermächtigung

• Bedrohungsmodelle unterstützen bei der Abwägung von Risiken in Bezug auf Datensicherheit und -schutz
• Bedrohungsmodelle identifizieren schützenswerte Güter (Assets), Angreifer*Innen, Risiken und Angriffspotentiale
• Identifizierte Bedrohungen können besser eingeschätzt werden (Entscheidung für oder gegen Maßnahmen)
• Rationalisierung: Kosten-Nutzen-Abwägung (zu einem bestimmten Grad)

Tracking und Transportverschlüsselung

Risiken und Riskiopotentiale

1. Was beim Surfen passiert
2. Transportverschlüsselung
3. Tracking
4. Gegenmaßnahmen

Was beim Surfen passiert

Namensauflösung

Was beim Surfen passiert

Namensauflösung

> tracert privatsphaere-leipzig.org

$ traceroute privatsphaere-leipzig.org

Was beim Surfen passiert

HTTP

Was beim Surfen passiert

HTTP

Transportverschlüsselung

HTTPS (SSL/TLS)

• HTTPS: Standardverschlüsselung beim Abruf von Websites
• SSL/TLS schützten die Übermittlung der Daten (Transportschicht)
• Komplexes Protokoll, mit zwei Hauptzielen:
  • Verschlüsselung (Daten vor anderen verbergen)
  • Identifikation (Können sich zwei Kommunikationspartner vertrauen?)
• Zertifikate auf Anbieterseite (Website, WebServer) notwendig (Vertrauensdilemma)

Transportverschlüsselung

HTTPS (SSL/TLS)

Transportverschlüsselung

Mein digitaler Schatten

Trace My Shadow

What is a Digital Shadow from Tactical Technology Collective on Vimeo.

Web Tracking I

Web Analytics

• Ziel: Quantitative Datenerfassung
• Erwartung: Rückschlüsse auf Werbeerfolge ziehen können
• Seiteneffekte
  • Nutzer wird über eine längere Zeit identifizierbar
  • Profilbildung und Analyse über mehrere Profile
  • Relationen, Vernetzung, Big Data
• Anzahl der erfassten Daten vom genutzten Dienst abhängig

Web Tracking II

Web Analytics

• Anzahl der erfassten Daten vom genutzten Dienst abhängig
  • Online-Shops
  • Soziale Netzwerke (Walled Gardens)
    • Facebook kann uns besser einschätzen als Freunde
    • Vorsicht Schattenprofile: Facebook trackt alle, auch mit explizitem Widerspruch (auch wenn Facebook das umdeutet)
    • Topic Data von Facebook
    • Mobiles Leben: Twitter App trackt Nutzerverhalten: Deaktivieren
  • Streaming-Dienste (Achtung! Erlauben z. T. kein VPN, keine Proxies)

Web Tracking III

Web Analytics

Technische Umsetzung:

• Seitenabrufe (werden auf dem WebServer gesammelt)
• Like-Buttons, Tracker JavaScript
• HTTP Cookies
• Flash Cookie (LSO, Super Cookies)
• Verizon’s Perma-Cookie (X-UIDH, HTTP Header Injection)
• Browserfingerprint (Systemumgebung)
• Behavioral Profiling (Tastatur, Mauseingaben)
• Cross Device Tracking (Töne)
• Evercookies

Trackography

Visualisierung des Trackings von Onlinemedien

You never read alone. Use this tool to explore how the global tracking industry is reading your online behavior.

Do not track

Gegenmaßnahmen gegen Cookies

• Initiative Do not track: Opt-Out-Verfahren
• Gegenmaßname gegen Cookies:
  • Cookies deaktivieren (häufig keine Option)
  • Browser Addons
• Gegenmaßname gegen Perma-Cookies (X-UIDH):
  • ISP wechseln, wenn möglich oder Opt-Out (bei Verizon möglich)
  • nur verschlüsselte Verbindungen (SSL/TLS) über VPN, Tor nutzen

Browser Fingerprints

• digitaler Fingerabdruck der eigenen Systemkonfiguration
• Hennig Tillmanns Diplomarbeit: Browser Fingerprinting – Tracking ohne Spuren zu hinterlassen
• Panopticlick
• HTML5 Canvas Fingerprinting
• Kein 100%-tiges Gegenmittel, nicht einmal Tor/Tails
• Erster Schritt: Addons für JavaScript-Blocking
• Für Puristen: Textbrowser wie Lynx verwenden
• How the NSA Attacks Tor/Firefox Users With QUANTUM and FOXACID

Behavioral Profiling (I)

Behavioral Profiling (II)

• Behavioral Profiling: The password you can't change
• The Privacy Risk Of Behavioral Profiling
• Facebook mulls silently tracking users’ cursor movements to see which ads we like best
• Demos von BehavioSec, KeyTrac Demo
• Gegenmaßname: Keyboard Privacy (Chromium/Chrome),

Databroker

»A Data Broker is a business that aggregates information from a variety of sources; processes it to enrich, cleanse or analyze it; and licenses it to other organizations.[…] Data is typically accessed via an application programming interface (API), and frequently involves subscription type contracts. Data typically is not “sold” (i.e., its ownership transferred), but rather it is licensed for particular or limited uses.«

Databroker, Targeting, automatische Auktionen

• führen Daten aus verschiedenen Quellen zusammen und reichern diese an (z. B. zu Profilen)
• verkaufen oder lizenzieren Daten, Profile, Soziale Graphen
• Microtargeting: Passgenaue Botschaften
• Wie automatisierte Auktionen [bald] den Werbemarkt im Netz bestimmen
• Nackt im Netz: Millionen Nutzer ausgespäht

Fazit

Bedrohungsmodell: Tracking/Transportverschlüsselung

Fazit

Gegenmaßnahmen

Fazit

Gegenmaßnahmen

Sicherer Surfen

Browser, Suche und Best Practices

Internetnutzung

• Datensparsamkeit
• nur in Ausnahmen echte Daten nutzen
• falsche Mail-Adressen, Weg-Werf-Mail-Adressen nutzen
• verschiedene Dienste = verschiedene Identitäten
• Pre-Payed/anonyme SIMs für mobile Nutzung
• keine Chronik (Privater Modus)/Daten beim Schließen löschen
• never trust anyone

before:use

• Nutzt Firefox!
• Open source, aktiv entwickelt
• Mit vielen Add-Ons anpassbar
• Bietet Profile (starten mit LW:\Pfand\Firefox.exe -P)
• detailliert konfigurierbar (about:config)

Firefox

Grundeinstellungen Allgemein

• Downloads: entscheiden, wo gespeichert wird
• Anwendungen: Immer alles automatisieren?
  Besser: speichern oder wenigstens nachfragen als Voreinstellung
• Updates: Bequemlichkeit versus Kontrolle -> Automatik aus

Firefox

Grundeinstellungen Startseite

• Startseite einstellen -> about:blank
• Tab-Einstellungen anpassen (alles aus) -> minimiert Netzwerkzugriffe

Firefox

Grundeinstellungen Suche

• Suchleiste -> von Adressleiste separieren
• Standardsuchmaschinen -> von Adressleiste separieren
  • Kritische Ressource daher: Alternativen nötig
  • StartPage
  • DuckDuckgo
  • MetaGer (deutsche Meta-Suchmaschinen)
• Ein-Klick-Suchmaschinen -> nötig?

Firefox

Grundeinstellungen Browser-Datenschutz

• Formulare & Passworter -> Master-Passwort verwenden (wenn überhaupt) besser: separate Anwendung
• Chronik nach benutzerdefinierten Einstellungen
  -> Chronik löschen -> Feineinstellungen vornehmen
• Pro/Contra Schutz vor Aktivitätsverfolgung
• Berechtigungen für Websites
• Datenerhebung aus
• Pro/Contra Schutz vor betrügerischen Inhalten
• Zertifikate auf Nachfrage stellen

uMatrix

• sehr mächtig
• blockiert Werbung sowie Tracker-Skripte und -Elemente
• ermöglicht eine sehr feingranulare Einstellung aller Funktionen unter der Oberfläche
• Einstellungen können pro Site gesichert werden

…to be continued

22. 10. 2018

Verschleierung vom Surfspuren mit Tor und VPNs

Funktionsweise, Nutzungsdetails und Vorsichtmaßnahmen

Passwörter und Password-Manager

Was ist ein gutes Passwort und wie bewahrt man es am besten auf

Vielen Dank für Ihre Aufmerksamkeit!