Aber ehrlich gesagt ist das nur ein Teil des Problems. Das Gesamtbild von Oracle ist schon ziemlich abschreckend: Die Lizenzpolitik ist eine einzige Kostenfalle. Die Lizenzen sind überteuert und das Modell total kompliziert. Man bezahlt viel zu viel, nutzt am Ende aber meist nur einen Bruchteil der Funktionen. Im Vertrieb wird gern das komplette Paket empfohlen – auch wenn man das meiste gar nicht braucht. Das ist einfach klassisches Aufschwatzen, am Ende sitzt man dann auf teuren Lizenzen, die kein Mensch nutzt.

Und dann ist da noch dieses Gefühl, dass Oracle Probleme lieber verwaltet, als sie wirklich zu lösen. Man verliert so viel Zeit mit endlosen Verhandlungen, Lizenz-Checks und Detailfragen, statt einfach mal Lösungen auf den Tisch zu bekommen, die im Alltag helfen.

Ich wünschte mir einfach, dass so ein großer Anbieter wie Oracle transparenter und ehrlicher wäre – gerade, wenn es um Sicherheit geht. Eine Preisstruktur, die man versteht und die sich am tatsächlichen Bedarf orientiert, wäre auch schön. Und ganz ehrlich: Weniger Marketing-Sprech, mehr echte Lösungen. Das wär’s doch.

North Korea, whose government is the only one on earth known to conduct nakedly criminal hacking for monetary gain, has run schemes in some hundred and fifty nations. (Nordkorea, dessen Regierung die einzige auf der Welt ist, von der bekannt ist, dass sie unverhohlen kriminelle Hackerangriffe zum Zwecke des finanziellen Gewinns durchführt, hat in etwa hundertfünfzig Ländern Betrügereien durchgeführt.)

Ein Thema was ich so überhaupt noch nicht gehört habe, hervorragend zusammengestellt.

Link -> The New Yorker The Incredible Rise of North Korea’s Hacking Army

Eine kleine Übersicht der Themen habe ich dir hier aufgelistet.

Wirklich alles so schlimm im Internet? Ja ist es

Gut, dieser Teil war für mich jetzt weniger interessant, dennoch informativ und es wurde gut erklärt, wie das mit dem Internet funktioniert und warum wir Domain-Namen verwenden und keine IP-Adressen. Wenn du es noch genauer erklärt haben willst, die Sendung mit der Maus, haben da auch schon mal einen Film zu gemacht: Die Sendung mit der Maus - Wie funktioniert das Internet. Danach wurde am Beispiel von www.spiegel.de erklärt, warum das Internet zwar eine gute Sache ist, aber die Web-Realität dennoch schlimm ist und man sich schützen muss.

Wie kann man sich schützen

Was passiert, wenn man sich nicht schützt, wurde eindrucksvoll am Beispiel von www.spiegel.de demonstriert. Wenn die Seite aufgerufen wird, dann werden nicht nur vom Spiegel.de-Server Daten geladen, sondern auch von über 50 anderen Domains. Hauptsächlich von sogenanntem Content Delivery Network-Server. Viele davon stehen nicht mal in Europa, sondern sind über die ganze Welt verteilt. Hinzu kommt, dass über 50 Cookies erstellt werden, wovon 21 von Drittanbietern und Werbetreibenden sind.

Mit dem Firefox-Add-on Lightbeam 3.0 kann man all diese Verknüpfungen sichtbar machen. Damit lässt sich zum Beispiel ungefähr nachverfolgen, welche Webseiten zusammenhängen und gemeinsam Content-Delivery-Netzwerke verwenden. Das Add-on visualisiert dabei auf ansehnliche Weise die Verbindungen und zeigt auch, wie viele Anfragen an anderen Adressen gestellt werden, um eine Webseite zu laden. Manchmal ist das ganz schön erschreckend. Einen guten Eindruck von der Menge an Verbindungen sieht man auf den Screenshot in den Folien vom Vortrag auf den Seiten 9ff.

Wie kann man sich nun schütze

Zuallererst kann man sich schon mal damit schützen, dass man den richtigen Browser verwendet. Empfohlen wird eigentlich immer der Firefox Browser von Mozilla. Auch ich verwende den auch sehr gerne neben den Safari-Browser. Firefox solltest du aber noch um ein paar gute Add-ons aufstocken, sonst lohnt es sich eigentlich gar nicht und man verlässt besser wieder das Internet.

Vor den Add-on-Empfehlungen wurde aber erst noch wichtige Einstellungen für den Firefox-Browser gezeigt. Ich zitiere hier einfach mal aus den Folien (Seite “Wie kann ich mich vor Tracking schützen?”)

Browser Einstellungen

• Seitenelemente blockieren: Benutzerdefiniert
• Elemente zur Aktivitätsverfolgung in allen Fenstern blockieren
• Alle Cookies von Drittanbieter blockieren
• Identifizierer (Fingerprinter) blockieren
• “Do Not Track”-Information immer senden
• Suchmaschinen: MetaGer.de, Startpage.com, Duckduckgo.com, lite.qwant.com (im Gegensatz zu Google auch keine individualisierten Ergebnisse)
• JavaScript abschalten, wenn möglich

Add-ons

In der darauffolgenden Folie wurden die folgenden guten Add-ons für Anfänger und Einsteiger vorgestellt.

• uBlock Origin um sich vor allen möglichen Trackern und Zeug was man nicht auf seinem Rechner haben will zu schützen;
• LocalCDN zum Ersetzen von Javascript-Bibliotheken durch lokale Versionen;
• HTTPS Everywhere um nur noch über eine HTTPS Verbindung zu kommunizieren (kann man mittlerweile weglassen, siehe unten);
• Cookie AutoDelete löscht automatisch alle zugehörigen Cookies eines Tabs, wenn dieser geschlossen wird.

HTTPS Everywhere kann man aber mittlerweile weglassen, denn der Firefox hat auf der Einstellungsseite Datenschutz und Sicherheit die Einstellung Nur-HTTPS-Modus mittlerweile eingebaut. Somit kann man sich ein Add-on sparen.

Die Add-ons, die ich verwende, findet ihr an dieser Stelle.

Warum der private Modus nicht anonym is

Ein weiteres Thema im Vortrag war der private Modus von Firefox und anderen Browsern. Viele in meinem Umfeld meinen auch immer, dass man ja in den privaten Modus schalten kann, um sich zu schützen. Auch ich habe das eine Zeit lange geglaubt und gedacht. Der private Modus jedoch speichert einfach nur keine Daten.

Der private Modus von Firefox hinterlässt keine Spuren auf dem Gerät. Es werden keine Cookies gespeichert, keine Historie angelegt und auch keine Daten im Cache behalten. Anonym ist man allerdings dennoch nicht. Warum das so ist, hat Mozilla in diesem Beitrag aufgeschrieben: Häufige Missverständnisse über das Surfen im Privaten Modus | Hilfe zu Firefox.

Anonymous Surfen

Im zweiten Teil des Vortrages ging es dann um das anonyme Surfen im Internet. Dazu wurde der Tor Browser empfohlen und vorgestellt. Der Tor Browser basiert auf dem Firefox und soll verhindern, dass Webseiten herausfinden von wo aus du dich ins Internet eingeklinkt hast. Sprich, wenn die Webseitenbetreiber deine IP-Adresse erhalten, kann man so etwas feststellen. Außerdem schützt der Tor Browser dich für Trackern und angeblich auch vor Staatstrojanern.

The Tor Project | Privacy & Freedom Online

Mehr Anonymität kann man also mit dem Tor-Browser erreichen. The Onion Router stellt ein Netzwerk zu Anonymisierung von Verbindungsdaten zur Verfügung und verschleiert die eigene IP-Adresse. Er ist quelloffen, als freie Software erhältlich und ermöglicht ein (fast) anonymes surfen.

Trotz seiner vielen Vorteile, hat er auch einige Nachteile. Einer davon ist die Geschwindigkeit. Dadurch das eine Verbindung zum Ziel immer über mehrere Rechner (Knoten) hergestellt wird, steigt die Latenz teilweise erheblich. Außerdem sollte man immer bedenken, dass man nicht mehr anonym ist, wenn man auf einer Webseite die man über den Tor-Dienst aufgerufen hat, sich mit einem persönlichen Login anmeldet.

Den Tor-Browser Installieren

Den Tor-Browser findet man auf der offiziellen Webseite: Tor Project | Anonymity Online. Hier kannst du die verschiedenen Versionen für dein Betriebssystem herunterladen und installieren.

• Unter macOS geht das auch mit Homebrew: brew install tor-browser
• Für Windows kann man das auch mit Chocolatey erledigen: choco install tor-browser
• Wenn du Linux verwenden solltest, dann findest du den Tor-Browser auch mit deinem Paketmanager (apt-get, yum, dnf, pacman).

Was während des Vortrages und im Chat mehrfach noch erwähnt wurde und ich hier auch nicht vergessen will ist folgende Aussage: Wenn du den Tor-Browser benutzt, dann ändere um Gottes willen nichts an den Einstellungen. Auch nicht die Fenstergröße!

Sobald der Browser installiert ist, kann man ihn ganz normal verwenden.

Tail

Wenn du noch einen Schritt weitergehen möchtest, kannst du dir auch das Betriebssystem Tails anschauen. Tails ist eine Linux-Distribution die auf Sicherheit und Anonymität ausgelegt ist.

Tails wird von einem USB-Stick aus gestartet und hinterlässt bei der Benutzung keine Spuren. Immer wenn man es startet, ist es so als ob man es nie benutzt hätte. Wenn man doch ein paar Dateien Speichen will, dann geht das natürlich. Dazu wird ein verschlüsselter Speicher verwendet. Wie man so einen Speicher zum Beispiel mit VeraCrypt anlegt, kannst du hier erfahren.

Gesammelte Links

Hier sind alle Links, die ich während des Vortrags gesammelt habe.

• Vortragsfolien Sicher und anonym im World Wide Web Link PDF
• Handzettel zum Vortrag Link PDF
• Vor dem Vortrag wurde sich über IP-Telefonie unterhalten. Dabei sind ein paar Links im Chat gefallen (von Uli Kleemann)
• VoiP-Telefongespräche lassen sich leicht abhören - Praktisches Beispiel Link
• Maßnahmen gegen das Abhören von VoIP-Gesprächen Link
• HTTPS ist keine Garantie für Sicherheit Link
• HTTPS / HTTP Secure Link
• Was ist Tracking Link
• Privacy Handbuch - Mozilla Firefox Link
• Es geht auch ohne Google Link
• Was sind Cookies Link
• Sendung mit der Maus - Wie funktioniert das Internet Video
• nuudel - das nichtspeichernde Terminool Link
• Kuketz Blog Empfehlungen Link Firefox
• Kuketz Blog
• Tor Server von digitalcourage Link
• Tor Server die von digitalcourage betrieben werden Link
• Das Darknet und Tor erklärt in 3 Minuten Video
• Das Tor zur Anonymität Link
• The Ultimate Guide to the Tor Browser Link
• VPN Overview: Wie sicher ist Tor Link

**TL;DR:**Ein schöner und informativer Vortrag. Er richtete sich aber vornehmlich an Personen, die sich bisher gar nicht oder nur ein wenig mit den Themen Passworterstellung und -verwaltung sowie Dateiverschlüsselung beschäftigt haben oder auskennen. Alle Folien findet ihr auf der Übersichtsseite der DC-HSG-Bielefeld (falls die Links unten nicht mehr funktionieren).

**Hinweis in eigener Sache:***Wer das hier liest und Fragen zu den Themen hat, darf mir auch gerne eine E-Mail schreiben oder mich über die diversen sozialen Medien kontaktieren. Ich versuche dann gerne zu helfen. Ein wenig kenne ich mich ja auch aus. ;-)

Sichere Passwörter

Der erste Vortrag drehte sich um beiden Themen Passwörter und Dateiverschlüsselung. Im ersten Teil wurde erklärt, wie du ausreichend sichere Passwörtern erstellen kannst und wie man die vielen Passwörtern sicher und geordnet mithilfe eines Passwortmanagers abspeichern kann.

Diceware-Methode

Zur Erstellung von ausreichend sicheren Passwörtern wurde die Diceware-Methode von Arnold G. Reinhold vorgeschlagen. Hierbei nimmt sich einen oder mehrere Würfel und erzeigt sich Zahlenreihen. Diese Zahlenfolgen werden dann benutzt, um sich die zugehörigen Wörter aus einer Wortliste herauszusuchen. Kombiniert mit Sonderzeichen ergeben sich so gute und ausreichend sicherer Passwörter oder Passphrasen.

Was ist ein sicheres Passwort?

Was ein sicheres Passwort ist, ist schwer zu sagen. Was generell empfohlen wird, sind folgende Merkmale:

• es sollte mindestens 16 Zeichen lang sein
• verwende Groß-/Kleinbuchstaben und Zahlen
• verwende ein oder mehrere Sonderzeichen
• zufällig generiert und nicht ausgedacht

2FA

Zusätzliche zum Thema Passwörter wurde auch das Thema 2-Faktor-Authentifizierung angesprochen. Es wurde erklärt warum das wichtig ist und welche Möglichkeiten es heutzutage gibt.

Passwortmanager KeePassXC

Im dritten Abschnitt ging es dann um KeepassXC, eine Open-Source-Software zur Passwortverwaltung. KeepassXC ist mit einer der aktuellsten Clients und wird regelmäßig mit Updates versehen. Dadurch kann man die Software ruhigen Gewissens empfehlen. Natürlich sind die Passwortverwalter nur so sicher, wie das Master-Kennwort welches zur Absicherung der Passwortdatenbank vergeben wird. Hier musst du also aufpassen, dass du ebenfalls ein sicheres und gutes Kennwort vergibst.

Die Folien zum Vortrag findest du hier: Vortragsfolien (PDF) und die Handzettel (PDF).

Verschlüsselung von Datenträgern

Im zweiten Teil des Vortrags ging es mit dem Thema Verschlüsselung von Datenträgern weiter. Hier wurde die Software VeraCrypt vorgestellt. Eine Weiterentwicklung der Software TrueCrypt.

Nach kurzer Einführung und Vorstellung des Funktionsumfangs gab es wie zu KeePassXC eine Demonstration.

Die Folien zum Vortrag findest du hier: Vortragsfolien (PDF) und die Handzettel (PDF).

Fazit

Insgesamt war der Vortrag wirklich gut und informativ. Auch wenn ich schon einiges an Hintergrundwissen hatte, so habe ich doch noch die ein oder andere Idee und Information mitgenommen.

NitroKey

Zum einen habe ich von einem anderen Teilnehmer erfahren, dass es sogenannte NitroKeys gibt. Das sind Hardware-USB-Sticks die als 2FA-Lösung benutzt werden können. Diese lassen sich aber nicht nur für 2FA verwenden, sondern auch für den Anmeldevorgang, die Ver- und Entschlüsselung von E-Mails und vielem mehr. Auf dem Blog von Mike Kuketz gibt es dazu eine ausführliche Anleitung.

HaveIBeenPwned

Dazu gab es sinnvolle Hinweise im Chat zu Diensten wie HaveIBeenPwned und dem Identity Leak Checker vom Hasso-Plattner-Instutit.

Was ich noch erwähnenswert finde ist, dass in KeePassXC und auch in Bitwarden, meinem Passwortmanager der Wahl, die Möglichkeit besteht, die eigenen Passwortdatenbank gegen diese beiden Datenbanken zu prüfen. Aber keine Angst, es werden keine Passwörter abgeglichen, sondern nur die Webseiten wo ihr Accounts für eingetragen habt.

Spurenarmes und anonymes Surfen

Das ist der Vortrag, der morgen stattfinden wird und an dem ich auch auf jeden fall teilnehmen will. Vielleicht sehen wir uns ja morgen im Chat. Bis dahin, einen schönen und angenehmen Abend / Tag noch.

Darin geht es um die Ausfälle einiger Apple-Dienst und das Apple für jeden App-Start eine unverschlüsselte Anfrage an einen Dienst stellt (oscp.apple.com), um herauszufinden, ob du auf dieses Programm auf deinem Mac öffnen darfst oder nicht.

Viele hüpfende App-Icons

Herausgekommen ist das alles, weil vor ein paar Tagen der Server für die Zertifikats-Validierung zwar erreichbar war, aber nicht schnell genug geantwortet hat. Dadurch ließen sich bei aktiver Internetverbindung, keine Apps mehr öffnen. Alles war irgendwie eingefroren. Der dafür zustände Dienst (trustd) hat keine Antwort bekommen und dadurch den App-Start nicht freigegeben. Beheben ließ sich das vorerst nur, wenn die Internetverbindung getrennt oder der Dienst mithilfe einer Firewall blockiert wird. Zum einen ist das allerdings nicht ratsam, und zum anderen geht das mit der Firewall Big Sur nicht mehr. Was aber ein anderes Thema ist.

Ein Serverausfall hat bei vielen Macs für Probleme gesorgt. Der Vorfall wirft aber auch Licht auf eine bedenkl

Big Sur hebelt Firewalls aus, um Daten an Apple zu senden

Aber eben um diese unverschlüsselten Anfragen bei Apple geht der ganz oben genannten Beitrag von Jeffrey Paul. Lesenswert bis zum Schluss. Wirklich.

Warum ich das hier schreibe

Zum einen interessiere ich mich für Dinge rund um die Privatsphäre und den Datenschutz und zum anderen, sollte man sich immer nicht nur aus einer Quelle informieren und nicht alles als gegeben hinnehmen.

Klar kann man jetzt sagen “Apple schreibt sich Datenschutz und Privatsphäre immer so groß auf die Flagge und dann machen sie so etwas! Das geht ja mal gar nicht!” - Kann man machen, muss man aber nicht. Wie sagt man doch so schön: Es wird nicht alles so heiß gegessen wie es es gekocht wird.

Zusätzlich dazu, habe ich mich dazu hinreißen lassen, auf dem Blog von monstropolis einen längeren Kommentar zu verfassen und dann hier im eigenen Blog noch ein paar weitere Dinge aufzuführen. Hier aber erst einmal mein Kommentar:

MacNutzer haben wohl weniger Kontrolle. Da habe ich heute noch lange mit einem Arbeitskollegen drüber gesprochen. Vielleicht schreibe ich das mal nieder. Weiß noch nicht. Aber so viel vorweg: Ich habe mich schon damit beschäftigt, Alternativen zu Bear und Co und haste nicht gesehen zu suchen. Leider sind die Tools auf Linux mir nicht ausgereift genug und zweitens, wenn ich da an Windows denke? Haua, haua, haua.

Dann gebe ich meine paar Logfiles wann und wo welche App geöffnet habe doch leider Apple. Ich meine, das schwirrt nun schon länger im Netz rum, OCSP ist ja nicht erst seit heute implementiert. Und wenn Apple jetzt, wie versprochen, sich darum kümmern will, dann finde ich das in Ordnung. Was trotzdem bleibt ist die Sache mit der Firewall. Ehrlich gesagt habe ich in LittleSnitch die default regeln aber auch noch nie ausgemacht. Hätte ich das tun sollen? Ich vertraue da aber Apple, dass sie mit meinen Logs keinen Scheiß machen. Immerhin kann man aber glaube schon behaupten, dass Apple mit unseren Daten nicht für Geld verkaufen muss.

Was ist denn jetzt so schlimm

Für mich stellt sich also gar nicht mal mehr so sehr die Frage, wie viele Daten Apple von mir bekommt. Einen Großteil der Daten haben sie eigentlich eh schon. Kontakte, E-Mails, Nachrichten, Bezahlinformation etc. Und das schon seit ein paar Jahren. Ich bin Nutzer von iCloud seit der ersten Stunde als es damals unter dem Namen mobileme eingeführt wurde.

Doch was ist jetzt so schlimm an der ganzen Sachen? Apple will auf der einen Seite sicherstellen, dass das System sauber und anständig funktioniert und keine Malware sich einnisten kann. Auf der anderen Seite sehen aber viele einen Bruch mit dem Datenschutz und werfen Apple unötiges Tracking vor.

Jeffrey Paul schreibt:

This means that Apple knows when you’re at home. When you’re at work. What apps you open there, and how often. They know when you open Premiere over at a friend’s house on their Wi-Fi, and they know when you open Tor Browser in a hotel on a trip to another city.

Das ist auf der einen Seite verständlich, doch ist das wirklich so schlimm, dass mein Provider nun weiß, wann ich Premier geöffnet habe und steht das überhaupt in der Anfrage?

Jacopo Jannone schreibt:

It is clear that the trustd service on macOS doesn’t send out a hash of the apps you launch. […] macOS does actually send out some opaque information about the developer certificate of those apps, and that’s quite an important difference on a privacy perspective.

Es wird also gar kein Hash der App übertragen, sondern nur ein paar allgemeine Informationen die den Entwickler der App identifizieren. Gut, wenn der Entwickler nur eine App hat, dann wird es halt doch wieder einfach. Aber Apple macht hier schon vieles richtig und muss schließlich sicherstellen, dass Software aus dem App Store läuft und das man böse Entwickler sperren kann, wenn man denn muss. Einige weitere Informationen findet man dazu auch auf dem Blog von SentinalOne.

Macs worldwide became unresponsive last week while attempting to launch 3rd party apps. What caused the issue and what does it mean for your Mac’s security?

What Happened to My Mac? Apple’s OCSP Apocalypse | SentinelOne

Bleiben oder nicht bleiben

das ist hier wohl die Frage. Doch was tun, wenn man wenig alternativen sieht. Sicherlich könnte ich auf viele Open Source Lösungen umstellen. Doch will man das? Ich habe in den letzten Jahren schon ziemlich viel Geld in Software investiert. Diese Software gibt es nicht unter Linux. Soll ich das jetzt alles aufgeben, nur weil Apple den Start meiner Apps mitprotokoliert?

Ich denke nicht, dass ich in die Kategorie Personen falle, die sich Sorgen machen muss, wenn ich Apps starte. Auch wenn jeder von uns etwas zu verbergen hat, so sehe ich die Sache mit den Abfragen als eher unproblematisch an. Also werde ich bleiben. Ich mag das Ökosystem von Apple, auch wenn es Kanten und Macken hat. Aber es sind immerhin sehr viel weniger Kanten und Macken als andere Systeme (Linux ist gut, aber es gibt nicht alle Software die ich verwenden möchte). Für mich funktioniert das System gut und ich denke für viele andere eben auch. Jeder macht mal Fehler und Apple hat sich mittlerweile auch schon zu dem Problem geäußert und versprochen, an dem Problem zu arbeiten und das System zu verbessern (Letzter Absatz).

End gut alles gut?

Mit Sicherheit nicht. Apple hat jetzt aber wohl genut Shit-Storm abbekommen, dass sie sich hinsetzen werden und das bestehende System überarbeiten. Die nächsten Monate und Jahre werden zeigen, in welche Richtung sich Apple weiterentwickeln will.

Früher waren es Apple Computer, aber jetzt ist es der Computer von Apple.

Ich wünsche mir nur, dass der Mac ein Mac bleibt und nicht zu einem ultra-geschlossenes System wie iOS oder iPad OS mutiert.