Schlagwort Archiv: Verschlüsselung

[curi0sity] > Verschlüsselung

Verschlüsselung dient im Allgemeinen dazu Daten (meist Nachrichten oder persönliche Dokumente) nur für autorisierte Personen sichtbar zu machen. Dazu gibt es viele verschiedene Vorgänge doch die sicherste Art ist die Ende-zu-Ende Verschlüsselung (z.B. PGP für Mail-Verschlüsselung).

E-Mails von Facebook verschlüsselt erhalten

In:  Nice to know, Sicherheit 4. Juni 2015

Facebook bietet nun die Möglichkeit E-Mails zu verschlüsseln.

Facebooks E-Mails kann man nun auch per PGP verschlüsseln lassen.

Hier nur eine kurze, knappe aber coole Info:
Ab sofort kann man bei Facebook deren Mails mit PGP verschlüsseln lassen. Dadurch erhält man sichere Mails von Facebook, die nur von einem selbst gelesen werden können.

Zum einschalten dieser Funktion einfach unter Profil → Info → Kontaktinformationen und allgemeine Infos → Füge einen öffentlichen Schlüssel hinzu gehen. In das Textfeld, welches auftaucht, kann man nun einfach den öffentlichen(!) Schlüssel (auch public(!) key genannt) als Text eingeben. Den privaten Schlüssel (private key) wird dabei niemals weitergegeben (warum erfahren sie hier)!

Wer Enigmail mit Thunderbird nutzt, kann in Thunderbird den Schlüssel ganz einfach unter Enigmail → Schlüssel verwalten → Rechtsklick auf eigenen Schlüssel → In Zwischenablage exportieren kopieren. Danach braucht man ihn nur noch per STRG+V in das Textfeld einfügen und das wars.

Anschließent wird eine verschlüsselte Bestätigungs-Mail an die in Facebook angegebene Mail Adresse geschickt. Diese bestätigt man, lädt ggf. den public key von Facebook zum verifizieren der Signatur herunter und erhält nun verschlüsselte Mails von Facebook.

 

Mehr zum Thema E-Mails verschlüsseln gibt es hier.
Wie das Verschlüsselungsverfahren hinter PGP (das sogenannte RSA-Verfahren) funktioniert, erfahren sie hier.

1 Kommentar

Nice to know, Sicherheit

, , , , , , ,

Trusted Computing auch im Auto?

In:  Datenschutz 19. April 2015

Viele BMW-Modelle hatten eine Sicherheitslücke.

Trusted Computing wird in Computern bereits verwendet, doch sollen solche Chips nun in Autos verbaut werden. Bild: http://upload.wikimedia.org/wikipedia/commons/e/ea/BMW_E93_325i_Saphirschwarz_offen_Interieur.JPG

Klingt erst mal sinnlos, doch die Hersteller von Trusted Computing Systemen und Autos sehen darin eine große Chance.

Über Trusted Computing (TC) und des Trusted Platform Modul (TPM) habe ich bereits berichtet, doch ging es dort um den Einsatz im heimischen Rechner. Nun hat die Trusted Computing Group Ideen zum Einsatz in Autos veröffentlicht.

Trusted Computing soll Datenverkehr sicherer machen

Die Idee hinter Trusted Computing in Autos ist das herstellen einer sicheren Datenverbindung zu backend-Servern.

Dazu wird ein TPM (ein Chip zur Verwaltung von kryptografischen Schlüsseln, etc.) benötigt, der den „Trusted Network Connect“-Regeln entspricht und Aufgaben wie z.B. das installieren von Updates, das sammeln und verschlüsseln von Fahrzeugdaten, etc. übernimmt.

Diese Daten sollen dann zum Hersteller gesendet werden um nach der Auswertung z.B. eine bessere Wartung zu ermöglichen oder allgemeine Probleme frühzeitig erkennen.

Vielfach wird dieses Konzept jedoch wegen mangelnder Rücksichtnahme auf Sicherheitsvorkehrungen kritisiert, wie jüngst die Panne bei BMW gezeigt hat, sind viele Systeme zu unausgereift.

Marktverzerrung durch Trusted Computing?

(mehr …)

1 Kommentar

Datenschutz

, , , , , , , ,

SSL Zertifikat von SuperFish gestohlen

In:  Sicherheit, Sicherheitslücken 22. Februar 2015

Das auf Lenovo Rechnern vorinstallierte Superfish ist nur sehr unzureichend geschützt.

Das auf Lenovo Rechnern vorinstallierte Superfish ist nur sehr unzureichend geschützt.

Mit einfachsten Mitteln konnte der Hacker Robert Graham von Errata Security das SSL Zertifikat aus Superfish extrahieren und so zur Entschlüsselung von Datenströmen diverser Lenovo Rechnern nutzen. Dabei brauchte er keine Voodoo-Technik und auch nicht sonderlich lange um das passwortgeschützte Zertifikat zu entwenden und zu entschlüsseln.

Entwenden des Schlüssels

Graham musste zunächst das Zertifikat, welches verschlüsselt und passwortgeschützt ist aus Superfish extrahieren. Dazu hat er einfach einen Debugger benutzt und einen Haltepunkt (BreakPoint) direkt nach dem entschlüsseln des eigenen Programms (wie es bei Malware typisch ist) gesetzt.

Da nun das Programm entschlüsselt im Speicher lag, konnte er es mit dem Programm procdump da raus holen. Das Ergebnis war jedoch eine Binärdatei, das heißt da waren diverse binäre Zeichen mit enthalten.
Mit dem Programm strings kann man jedoch alles binäre wegschmeißen und erhält eine Datei mit lesbarem Text. Der Schlüssel war dann in dieser Datei enthalten.

Den Schlüssel jetzt zu finden ist nicht schwer: Einfach nach Private Key suchen und fertig. Tatsächlich lag der Schlüssel mehrfach in der Datei.

Schlüssel entschlüsseln

Mit dem Schlüssel kann man nun im Grunde SSL Verbindungen (z.B. HTTPS) entschlüsseln und dem entsprechend den Datenfluss mitlesen. Da es so keinen Passwort-Cracker für SSL PEM Dateien gibt, hat Graham sich einen eigenen geschrieben.

Da die Brute-Force Methode (alle denkbaren Kombinationen an Zeichen durchgehen) Jahre dauert, fiel die Wahl auf ein Wörterbuch-Verfahren. Dabei benutzte er ein Wörterbuch mit Standardwörtern, wurde jedoch nicht fündig. Im memory-Dump (der Output vom Debugger von vorhin) muss eigentlich der Schlüssel auf drin enthalten sein. Aus der Datei, die strings lieferte, nahm er dann alle Wörter mit Kleinbuchstaben (da sonst 150.000 Wörter vorhanden wären) und wurde mit dem Wort „komodia“ nach 10 Sekunden fündig.

Mit dem OpenSSL tool kann man nun die Schlüssel entschlüsseln und so nun benutzen.

Reaktion von Lenovo

Da Superfish unter Lenovo vorinstalliert ist, hat Lenovo direkt ein Deinstallationstool mit Tipps zum entfernen aller Superfish Zertifikate und Einträge.

0 Kommentare

Sicherheit, Sicherheitslücken

, , , , , , , ,

GnuPG: Finanzlage gesichert

In:  Sicherheit 14. Februar 2015

Die finanzielle Lage von GnuPG ist endlich sicher.

Die finanzielle Lage von GnuPG ist endlich sicher.

Wer seine Mails verschlüsselt, greift in den meisten Fällen auf das Verschlüsselungssystem GnuPG zurück, doch die Finanzlage von GnuPG ist schwierig. Dies liegt daran, dass es, wie so vieles andere auch, kostenlos und Open-Source (jeder kann sich den Quellcode runterladen).

GnuPG wird nur über Spenden finanziert

Da man also mit GnuPG – da kostenlos – kein Geld verdienen kann, muss der einzige Entwickler (Werner Koch) auf Spenden zurückgreifen.

Nach dem Koch bereits 2013 fast aufgegeben hätte (die Snoweden-Enthüllungen haben ihn dazu motiviert weiter zu machen), war die finanzielle Lage schwierig und eine Spendenaktion scheiterte mehr oder weniger.

Facebook und Linux-Foundation greifen ein

Als Werner Koch dann einen Artikel über seine finanzielle Lage veröffentlichte, kündigten sowohl Facebook, als auch die Linux-Foundation an ihn mit insgesamt 110.000$ pro Jahr zu unterstützen.

Das wohl am weitesten verbreitetste Tool für die Mail Verschlüsselung ist damit gerettet.

0 Kommentare

Sicherheit

, , , , ,

ADAC: BMWs per Smartphone hacken

In:  Sicherheitslücken 3. Februar 2015

Viele BMW-Modelle hatten eine Sicherheitslücke.

Viele Modelle von BMW waren von der Sicherheitslücke betroffen. Quelle: http://upload.wikimedia.org/wikipedia/commons/e/ea/BMW_E93_325i_Saphirschwarz_offen_Interieur.JPG

Der ADAC hat nach einer Untersuchung des „ConnectedDrive“ Systems eine Sicherheitslücke entdeckt und BMWs per Smartphone hacken können. Hintergrund war, dass der ADAC bei der besagten Untersuchung eine Sicherheitslücke entdeckt hat, mit der man Fahrzeuge z.B. öffnen, deren Heizung oder Klimaanlage regeln und vieles mehr steuern kann.

Weltweit sind rund 2,2 Millionen Fahrzeuge betroffen, rund 432.000 allein in Deutschland.

Was ist ConnectedDrive?

ConnectedDrive ist ein System von BMW, welches z.B. ermöglicht über das Mobilfunknetz und einer passenden App für das Smartphone, Funktionen des Fahrzeugs (z.B. Heizung oder Klimaanlage) zu steuern. Ein Fehler in diesem System hat es Dritten erlaubt eben diese Funktionen zu steuern und es so ermöglicht, dass z.B. die Verriegelung der Türen entsperrt werden konnte.

Sind Sie betroffen?

(mehr …)

3 Kommentare

Sicherheitslücken

, , , ,