• Hallo liebe Userinnen und User,

    nach bereits längeren Planungen und Vorbereitungen sind wir nun von vBulletin auf Xenforo umgestiegen. Die Umstellung musste leider aufgrund der Serverprobleme der letzten Tage notgedrungen vorverlegt werden. Das neue Forum ist soweit voll funktionsfähig, allerdings sind noch nicht alle der gewohnten Funktionen vorhanden. Nach Möglichkeit werden wir sie in den nächsten Wochen nachrüsten. Dafür sollte es nun einige der Probleme lösen, die wir in den letzten Tagen, Wochen und Monaten hatten. Auch der Server ist nun potenter als bei unserem alten Hoster, wodurch wir nun langfristig den Tank mit Bytes vollgetankt haben.

    Anfangs mag die neue Boardsoftware etwas ungewohnt sein, aber man findet sich recht schnell ein. Wir wissen, dass ihr alle Gewohnheitstiere seid, aber gebt dem neuen Board eine Chance.
    Sollte etwas der neuen oder auch gewohnten Funktionen unklar sein, könnt ihr den "Wo issn da der Button zu"-Thread im Feedback nutzen. Bugs meldet ihr bitte im Bugtracker, es wird sicher welche geben die uns noch nicht aufgefallen sind. Ich werde das dann versuchen, halbwegs im Startbeitrag übersichtlich zu halten, was an Arbeit noch aussteht.

    Neu ist, dass die Boardsoftware deutlich besser für Mobiltelefone und diverse Endgeräte geeignet ist und nun auch im mobilen Style alle Funktionen verfügbar sind. Am Desktop findet ihr oben rechts sowohl den Umschalter zwischen hellem und dunklem Style. Am Handy ist der Hell-/Dunkelschalter am Ende der Seite. Damit sollte zukünftig jeder sein Board so konfigurieren können, wie es ihm am liebsten ist.


    Die restlichen Funktionen sollten eigentlich soweit wie gewohnt funktionieren. Einfach mal ein wenig damit spielen oder bei Unklarheiten im Thread nachfragen. Viel Spaß im ngb 2.0.

Textcrypter

LadyRavenous

in Schwarz
Teammitglied

Registriert
26 Dez. 2016
Beiträge
16.108
Ort
hello world
Fangen wir mal anders an: Sicherheitsmaßnahmen wählt man üblicherweise passend zum Risiko und Schaden aus, muss also immer noch "wirtschaftlich" und im Verhältnis sein.

Bei Verschlüsselung gibt es symmetrische und asymmetrische Verschlüsselung. PGP gehört zu asymmetrischer, also du hast den privaten Schüssel, verschlüsselt wird mit dem öffentlichen Schlüssel, entschlüsselt nur mit dem privaten.

Du sprichst den Fall an, wenn diese Verschlüsselung dir zu unsicher ist. Wann ist das der Fall?
- Privater Schlüssel knackbar: Gegenmaßnahme übliche Schlüssellängen etc.
- Privater Schlüssel anders bekannt geworden: Eigenes System gut absichern, privaten Schlüssel nicht herausgeben.
- Malware: da hilft weitere Verschlüsselung ebenfalls nicht.
- Sonstige Übernahme eines Computers: da hilft weitere Verschlüsselung ebenfalls nicht.
- Mail aus Versehen unverschlüsselt: Einstellung immer verschlüsseln.
...

Diese Maßnahmen sollten wenigstens für übliche Anwendungsfälle vollkommen ausreichen.
Ansonsten kannst dich ja in Verschlüsselung einlesen.
 

Registriert
5 Dez. 2020
Beiträge
32
  • Thread Starter Thread Starter
  • #4
gelöscht

--- [2021-06-19 14:20 CEST] Automatisch zusammengeführter Beitrag ---

@NewbeautifulWorld: Du möchtest deine Mails zusätzlich zu PGP nochmal verschlüsseln?

Ist dir eigentlich klar, was das an zusätzlicher Sicherheit vs. zusätzlichem Aufwand bringt?

Ja!
Also Ich möchte mit einen Text verschlüsselen das Passwort bekommen nur wenige Personen!
Dieser soll als Copy in die E-Mail eingetragen werden.
So etwas in der Art hat Tutanota schon, allerdings weiß Ich dort nicht wie Ich mein PGP implementiere!
 

Metal_Warrior

Defender of Freedom
Teammitglied

Registriert
10 Aug. 2013
Beiträge
6.830
Ort
/dev/mapper/home
@NewbeautifulWorld: Weils nicht geht. Dein Verständnis von PGP ist völlig daneben. PGP verschlüsselt einen Text für EXAKT EINE PERSON, nämlich den Eigentümer des PrivateKeys, dessen PublicKey für die Verschlüsselung verwendet wurde. Da gibt es kein "ich verschlüssele für mehrere Leute", da gibt es nur zwei Möglichkeiten:

1. Jeder Empfänger bekommt den kompletten Text für sich verschlüsselt, d. h. die Mail für 2 Empfänger wird doppelt so groß, für 3 Empfänger dreimal usw. Ist unsinnig, wird nie gemacht.
2. Die Nachricht wird mit einem Zufallsschlüssel verschlüsselt, und dieser widerum wird für jeden der Empfänger mit dessen PublicKey verschlüsselt. So wirds üblicherweise gemacht, wenn mans machen will.


Es macht keinen Sinn, erst den Text mit AES zu crypten, und dann nochmal mit PGP drüber. PGP ist um so viele Größenordnungen sicherer als AES, dass keine erhöhte Sicherheit erreicht wird. Das Problem ist immer der PrivateKey, und wenn der geklaut wird, ist das Passwort mit 100%iger Sicherheit genauso kompromittiert, d. h. deine Verschachtelung bringt gar nix.
Ergo: Nummer 2. Und das funktioniert mit den richtigen Mailclients automatisch (Evolution zum Beispiel) und ist sehr einfach zum Einrichten.
 

Registriert
5 Dez. 2020
Beiträge
32
  • Thread Starter Thread Starter
  • #6
1. Jeder Empfänger bekommt den kompletten Text für sich verschlüsselt, d. h. die Mail für 2 Empfänger wird doppelt so groß, für 3 Empfänger dreimal usw. Ist unsinnig, wird nie gemacht.
2. Die Nachricht wird mit einem Zufallsschlüssel verschlüsselt, und dieser widerum wird für jeden der Empfänger mit dessen PublicKey verschlüsselt. So wirds üblicherweise gemacht, wenn mans machen will.



das habe Ich verstanden!
Es geht bei meiner Sache um weniger als 10 Personen.
Nochmal: Der Staat macht mit seinen aktuellen Gesetzen eine Überwachung möglich, bis hin zu Computerdurchsuchung.
Schauen wir auf das was Tutanota passiert ist: https://www.heise.de/news/Gericht-zwingt-Mailprovider-Tutanota-zu-Ueberwachungsfunktion-4972460.html
Und PG ist wohl angreifbar, wenn auch eher unwahrscheinlich.
Das ist aber nicht der Grund - der Staat greift immer mehr auf Computersysteme zu.
StPO: Bundestag erlaubt nächtliche Durchsuchungen und Kennzeichen-Überwachung
Hier noch was: StPO: Bundestag erlaubt nächtliche Durchsuchungen und Kennzeichen-Überwachung
So und jetzt bitte mal meinem Wunsch nachkommen und mir vielleicht einfach mal Software nennen.
Ich diskutiere dann auch gerne weiter.

Gruß
 

one

Querulant

Registriert
21 Juli 2013
Beiträge
5.943
Ort
ja
Du scheinst Google nicht richtig zu benutzen, sonst würdest du die öffentliche Statistik kennen, wie oft der Staatstrojaner schon eingesetzt wurde.

Dein Aluhut sitzt quer.
 

Metal_Warrior

Defender of Freedom
Teammitglied

Registriert
10 Aug. 2013
Beiträge
6.830
Ort
/dev/mapper/home
@NewbeautifulWorld: Ich hab dir schon ne Software genannt, die das macht, und dir scheint einfach das Grundverständnis des Problems zu fehlen:

Ist dein Rechner nicht mehr vertrauenswürdig, kannst du machen was du willst, dann ist jede Verschlüsselung per Definition broken, egal wie viele Matrjoschkas an Verschlüsselung du nutzt, weil der Text abgefangen wird, bevor er verschlüsselt wird. Damit ist der ganze Käse, den du hier haben willst, für die Katz.

Und das sagen dir jetzt mittlerweile drei Leute, von denen mindestens zwei Leute sowas schon angegriffen haben.

Und wenn PGP angreifbar ist, nur um das mal klar zu stellen, ist das ERSTE, was gemacht wird, diese Lücke zu schließen, weil asymmetrische Krypto ist nicht auf Mails beschränkt, sondern elementare Grundvoraussetzung für jede verschlüsselte Kommunikation, sei das HTTPS, SSH oder was auch immer du dir ausdenkst. Ergo ist deine Behauptung, die ich übrigens noch nie gehört habe (weil selbst Edward Snowden gesagt hat, dass die NSA sich daran seit über 20 Jahren die Zähne ausbeißt), völliger Bullshit.

Zu Tutanota noch eins: Daran krankt genau dein Verständnis. Wenn du Tutanota die Mails online verschlüsseln lässt, können die ohne dein Wissen mitlesen, wenn sie wollen. Die einzig sichere Möglichkeit ist, lokal zu verschlüsseln und in diesem Zustand auf die Leitung zu gehen. Genau das machen Mailclients wie Evolution, wenn PGP eingesetzt wird. Und wenn du das erstmal gemacht hast, kannst du die Mails auch direkt über die NSA verschicken, völlig egal. Einzige Grundvoraussetzung, und das sag ich dir jetzt zum letzten Mal: Vertrauenswürdige Endgeräte. Ist das nicht gegeben, machst du den ganzen Shit umsonst. Was glaubst du, warum hier nur vollverschlüsselte Systeme rumstehen, die ohne entsprechende Keys nichtmal booten (inklusive übrigens dem NGB-Server)?
 
Zuletzt bearbeitet:

Metal_Warrior

Defender of Freedom
Teammitglied

Registriert
10 Aug. 2013
Beiträge
6.830
Ort
/dev/mapper/home
@NewbeautifulWorld: EVOLUTION. Das Outlook-Pendant des Gnome-Desktops. Das verschlüsselt per GnuPG, wenn mans einrichtet, und arbeitet dazu mit Seahorse zusammen. Man kann es sogar so einrichten, dass unverschlüsselte Mails generell eine Warnung erzeugen und erst abgeschickt werden können, wenn man es explizit für diese Mail abschaltet (z. B. wenn der PubKey des Empfängers unbekannt ist). Das brauche ich zum Beispiel im Job.
 

Registriert
5 Dez. 2020
Beiträge
32
  • Thread Starter Thread Starter
  • #11
EVOLUTION. Das Outlook-Pendant des Gnome-Desktops. Das verschlüsselt per GnuPG, wenn mans einrichtet, und arbeitet dazu mit Seahorse zusammen. Man kann es sogar so einrichten, dass unverschlüsselte Mails generell eine Warnung erzeugen und erst abgeschickt werden können, wenn man es explizit für diese Mail abschaltet (z. B. wenn der PubKey des Empfängers unbekannt ist). Das brauche ich zum Beispiel im Job.

Vielen Danke für deine Mitteilung! Ich schaue mir das an,
Mir ist jetzt auch wieder eingefallen was Ich gessucht hatte: ENIGMA Crypter
 

Registriert
5 Dez. 2020
Beiträge
32
  • Thread Starter Thread Starter
  • #13
@NewbeautifulWorld: Wenn ich das richtig sehe, baut der die 3-Walzen-Enigma nach. Super Idee. Die ist schon 1932 broken gewesen.

Wie war das, PGP hat Schwächen? :m

So ein letztes mal!
Erst mal war das die Software (gerne weitere Vorschläge) die Ich gesucht habe.
1. Ich verschlüssele denText
2. Das Passwort von ENIGMA bekommt auf einen anderen Weg der oder die Personen
3. Ich füge den verschlüsselten Text in die E-Mail mit PGP/Mime / GPG
4. Ich versende den veschlüsselten Text mit PGP/MIME /GPG
5. Ergibt selbst wenn der PGP / GPG geknackt wird das der Text selber immer noch verschlüsselt ist.

Gruß
 

Metal_Warrior

Defender of Freedom
Teammitglied

Registriert
10 Aug. 2013
Beiträge
6.830
Ort
/dev/mapper/home
@NewbeautifulWorld: So, ein letztes Mal:

Zu vermuten, dass PGP gebrochen wird, aber dein lächerlicher Engima-Code, der seit fuckin* 1932 immer und immer wieder neu geknackt wurde, dann noch eine Herausforderung darstellt, ist graderaus dumm wie Hupe.
Der Enigma-Code ist ein Spaßrätsel für Krypto-Erstsemester, keine ernsthafte Verschlüsselung, weil der Schlüsselraum selbst bei einer 8-Walzen-Enigma noch um mehrere Dutzend Größenordnungen geringer ist als selbst bei RSA-1024, das heutzutage keiner mehr nutzt, der nicht vollverblödet ist. Glaubst du mir nicht? Musst du nicht, rechne den Shit aus. Für eine 3-Walzen-Enigma kommst du auf 8x10^12 Möglichkeiten. Bei RSA-4096 kommst du auf grob gerechnet 10^1233 Möglichkeiten. Das erste knack ich dir an einem Nachmittag mit etwas Hirnschmalz und roher Gewalt. Hat man übrigens 1939-1945 auch im Projekt Ultra mit Millionen Nachrichten gemacht. Für letzteres hättest du mit der aktuellen gesamten Rechnerkapazität der Welt schon die ersten Saurier einspannen müssen, um bis jetzt eine halbwegs realistische Chance zu haben, den richtigen Key für einen einzigen deiner Empfänger zu finden. Nur um hier mal Größenordnungen, Komplexität und Zeiträume abzustecken.
Die Enigma konnte 1932 PER HAND von Marian Rejewski schon gebrochen werden, und zwar für jeden beliebigen Schlüssel und jede beliebige Walzenanordnung. RSA hat bislang noch kein Kryptoanalytiker der Welt gebrochen, und selbst Einbrüche in die Faktorisierungskomplexität mit allerhand mathematischen Tricks haben den Algorithmus nicht nennenswert geschwächt, sondern höchstens für Spezialfälle (kleine Primes, keine safe-primes p&q) den Aufwand für geringe Schlüssellängen in realistisch knackbare Zeiträume verschoben (d. h. 10+ Jahre mit massivem parallelisierten Einsatz von Rechnern für die 50%-Marke).

Dein komplettes Vorgehen ist idiotisch, weil die Prämissen schon Unsinn sind. Und das haben wir jeden zweiten Monat hier im Forum wieder, weil irgendwelche Haubentaucher nach drei Google-Suchen zum Thema Verschlüsselung schon glauben, ein Kryptoanalytik-Studium hinter sich zu haben und die Probleme der aktuellen Verschlüsselungen mit ihrem ach so sinnvollen System zu umschiffen.

So, jetzt nochmal ganz langsam zum Mitschreiben:

PGP ist mindestens bis 2013 unbroken gewesen - Quelle: Geheimdienst-Internas der NSA veröffentlicht durch Edward Snowden.
Enigma ist broken beyond repair and hope, weil zu viele Designschwächen in fast jedem Schritt der Ausführung. Beweise: Bletchley Park. Ist nen Museum, kann man sich angucken. Alternativ hilft auch der Film "The Imitation Game".

Klar kannst du deine Enigma-Encodierung (nix anderes ist das, ein Encoding mit unbekanntem Primer) in eine PGP-verschlüsselte Mail packen. Zu glauben, das würde jemanden aufhalten, der in der Lage ist, PGP zu brechen, ist ähnlich naiv als zu glauben, das Herzchenschloss am Tagebuch würde irgendwas bringen, wenn das Bankschließfach in Fort Knox aufgebrochen wird, in dem es liegt.
 

darksider3

NGBler

Registriert
18 Sep. 2013
Beiträge
393
Ort
/dev/sda
Mal ganz davon abgesehen, dass Mails an sich von der Security-Perspektive absolut broken sind(wegen den Metadaten, wegen Clients die Encrypted Mails Plain verschicken wenn einer im CC ist der nicht encrypted, etc), und auch ein PGP nicht dafür sorgen wird, dass das weggeht, würde ich nach deinem Thread-Model eher hinfahren, alle elektronischen Geräte und Kleidung in die Mikrowelle legen, nackt in den Wald fahren und dort darüber sprechen, dann die Pistole und den Kruppstahldildo rausholen und dann dein Gegenüber entweder viel Angst oder Liebe machen.


Alternativ lebst Du einfach damit, dass die Enigma seit bald 90 Jahren unbrauchbar ist, und nimmst einfach PGP und achtest darauf, dass niemand im CC steht und dein Betreff kein Aufschluss gibt

PS: Wieso diskutieren hier eigentlich Menschen über die Enigma? Sind wir in 1942 steckengeblieben?:confused:
 

Metal_Warrior

Defender of Freedom
Teammitglied

Registriert
10 Aug. 2013
Beiträge
6.830
Ort
/dev/mapper/home
@drfuture: Da empfiehlst du ihm lieber sowas wie openssl, das man auch zum Verschlüsseln von Dateien verwenden kann. Ist wenigstens hübsch kompliziert, damit er viel Freude an seiner ach so gesteigerten Sicherheit gegenüber single-PGP hat.
 

one

Querulant

Registriert
21 Juli 2013
Beiträge
5.943
Ort
ja
Weil denkst ich sei Avantasia?

Du solltest dich mal ein wenig zurecht rücken. Also da oben drin.
 

rexcolo

Opfer

Registriert
16 Sep. 2017
Beiträge
158
PGP oder GTFO.

Wurde doch schon ausreichend dargelegt, warum PGP 100% für den Anwendungsfall geeignet ist. Warum wird hier überhaupt noch diskutiert? *scnr*

Eine Alternative, wenn man häufig kleine Informationen mit Leuten austauscht, die verschlüsselt sein sollen, wäre Matrix.org. Das ist ausreichend sicher, todes einfach zu bedienen und hat geringfügig weniger Probleme als Mail (Metadaten wären eines davon).

EVOLUTION. Das Outlook-Pendant des Gnome-Desktops. Das verschlüsselt per GnuPG, wenn mans einrichtet, und arbeitet dazu mit Seahorse zusammen. Man kann es sogar so einrichten, dass unverschlüsselte Mails generell eine Warnung erzeugen und erst abgeschickt werden können, wenn man es explizit für diese Mail abschaltet (z. B. wenn der PubKey des Empfängers unbekannt ist). Das brauche ich zum Beispiel im Job.

Vielen Danke für deine Mitteilung! Ich schaue mir das an,
Mir ist jetzt auch wieder eingefallen was Ich gessucht hatte: ENIGMA Crypter

Nimm lieber Thunderbird. Das ist auf allen Plattformen verfügbar und funktioniert IMHO geringfügig besser mit PGP.
 
Oben