PRISM / Tempora Was ist denkbar möglich?

Was bloß Aliens über uns denken würden, wenn sie uns beobachten. Schnell ausrotten, bevor sie sich weiter ausbreiten...
BTW: Wenn Elvis noch leben würde, wüsste die NSA das!11ellf
 
Die Aliens wissen das doch schon längst, einer der Hauptgründe warum wir noch nicht angegriffen und ausgerottet wurden, die sind immer noch dabei Ihren Lachkrampf zu bekämpfen:D
 
Der Plan läuft schon ;-)
Was denkst du wer auf die Idee mit dem Geld gekommen ist.

Nun warten sie ab :-D
 
Last edited by a moderator:
Man fragt sich immer, was die wirklich können und was nur PSYOPs ist.

Aber bei SSL können wir getrost davon ausgehen, dass genug CAs kooperieren und MITM-Attacken für die so kein Problem sind.

Habt ihr gelesen, was Bruce Schneier über Crypto gesagt hat gerade? Er meint wir sollen lieber RSA benutzen als Sachen, die auf elyptischen Kurven basieren, weil da die Sicherheit stark von Parametern abhängt und die können auf $geheimdienst-Anordnung auch so eingestellt werden, dass die Crypto schwach ist obwohl der Algorithmus mehr können müsste.

Und nachdem nun raus ist, dass die wirklich Hintertüren auf Vendor-Ebene einbauen, strebt die Menge der Verschwörungstheorien, die sich noch nicht als wahr herausgestellt haben, weiterhin mit großer Geschwindigkeit gegen null.
 
DjTom-i said:
SSL ist seit Jahren im Arsch
Click to expand...
Schon deswegen, weil es kein Schutz ist, denn auch bei ungültigen Zertifikaten surfen die Leute gern weiter indem sie die Meldung wegklicken.

Das Konzept in Programmen, dass SSL-Verbindungen hergestellt werden können, auch wenn Zertifikate per Hand angenommen werden obwohl ungültig, und dass Browser bei Nichtreaktion eines Servers beim Handshake das nächste schlechtere Protokoll nebst schwächerem Cipher versuchen, führt zu lascher Verschlüsselung.

Dass aber nur NSA davon was hat? OK. Onkel Putyn hat ja keine Gründe zum Abfischen von Daten. ;) Die laden die Datenschleuderer ja als Gast ein.
 
Und wer noch immer glaubt, dass OSS auf Grund der "vielen Augen" nicht betroffen sein kann, der sollte sich zum Beispiel mal OpenSSL oder GnuTLS mal ganz genau ansehen, denn auch dort sind die "Hintertüren" exakt so implementiert, wie in den kommerziellen Produkten.

OpenVPN? TrueCrypt? Dass die nicht sicher sind sage ich ja schon seit Jahren.

Danke NSA, dafür, dass Ihr (nicht nur) meine Glaubwürdigkeit untermauert habt. Weiter so!
 
Joe User said:
OpenVPN? TrueCrypt? Dass die nicht sicher sind sage ich ja schon seit Jahren.
Click to expand...

Wenn du das weißt, wieso unternimmst du nichts dagegen? Hast du ein Beispiel mit Code gesehen? Ich glaube Sachen erst, wenn man es mir Beweist. Gerade im Netz wird immer viel behauptet.
 
Und was hilft Fefes Meinung, wenn der PRNG kaputt ist?
Oder sich die CPU absichtlich verrechnet?
Oder eine der anderen Hintertürchen zuschlägt?

Oder andersherum gefragt:
Welchem PRNG und welcher CPU vertraut Ihr (noch)?
Wer setzt hier elliptische Kurven ein?
Wenn selbst Schneier RSA statt AES und non-EC empfiehlt, wem traut Ihr noch?
Glaubt Ihr Schneier, Zimmermann und Co haben nicht für die NSA gearbeitet oder arbeiten noch für sie?
Sind sie wirklich vertrauenswürdig oder tragen sie NSL-Maulkörbe?
 
Ich bin da old-school und habe wichtige Unterlagen entweder gar nicht erst in digitaler Form (Präferenz), oder sie liegen auf Datenträgern ohne Netzanbindung.
Ansonsten weiss ich seit gut 20 Jahren, dass sichere Verschlüsselung real nicht existiert und verzichte daher gleich auf den Quatsch.

OK, TLS/SSL für Mailverkehr und bestimmte Websites nutze ich auch bevorzugt, aber nicht wegen der "Sicherheit", sondern wegen vertraglicher oder gesetzlicher Vorgaben und auch wegen dem leicht erhöhten Datenschutz. Es muss ja nicht jeder Möchtegernhacker meinen Kontostand oder meine nächste Onlinebestellung oder den Inhalt meiner Mails direkt im Klartext mitlesen. Regierungen, Behörden und Konzerne kommen ohnehin problemlos auf etlichen anderen legalen und illegalen Wegen an diese Daten, so dass es sich gar nicht lohnt, ihnen einen einzelnen Weg holpriger zu machen.

Das gute alte Papier und die Gesicht-zu-Gesicht-Kommunikation sind halt immernoch am Sichersten und werden dies auch noch einige Jahrzehnte bleiben. Es gibt aber eine Datenablage die noch sehr viel sicherer ist: Das eigene Gehirn.
 
Joe User said:
Ansonsten weiss ich seit gut 20 Jahren, dass sichere Verschlüsselung real nicht existiert und verzichte daher gleich auf den Quatsch.
Click to expand...
http://blog.fefe.de/?ts=acd52294

Bei die hat also die PSYOP funktioniert. Die Behauptung, Verschlüsselung sei gebrochen, führt zum Verzicht auf die Benutzung derselben.
D.h. wenn sie die Verschlüsselung nicht gebrochen haben, kommen sie nun trotzdem an deine Daten. Das ist Social Engineering in Reinform.
 
Last edited by a moderator:
Falsch. Ich gehe nicht davon aus dass Verschlüsselung gebrochen wurde, sondern davon, dass sie digital gar nicht erst sicher implementiert werden kann.
Digital ist grundsätzlich physikalisch auf zwei Zustände begrenzt, nämlich On (1) und Off (0).
Analog hingegen ist physikalisch unendendlich.
Daraus ergibt sich automatisch, dass digital erzeugte "Zufallszahlen" nicht zufällig sein können, sondern immer aus einer endlichen Kette zweier Zustände errechnet werden müssen.
Hierzu benötigt man eine mathematische Formel und diese lässt sich grundsätzlich auch rückwärts rechnen.
Zufallszahlen sind wiederum die Grundlage von Verschlüsselung.
Da also sowohl die Formel zur Erzeugung der Zufallszahlen als auch die Formel zur Verschlüsselung bekannt sind, lassen sich auch Beide zurückrechnen.
Einfache Mathematik gepaart mit einfacher Physik.

Wenn sowohl die Zufallszahlen als auch die Verschlüsselungsverfahren von Anfang an sicher wären, dann bräuchte man keine x-fachen Durchläufe des Verschlüsselungsalgorythmusses, sondern nur einen Einzigen.
Die x-fachen Durchläufe erhöhen lediglich den Rechenaufwand (sowohl vorwärts als auch rückwärts), nicht aber die Sicherheit.

Ein weiteres wichtiges Problem liegt darin, dass über 98% der Implementierungen mit Standardwerten bei der Anzahl der Recursionen arbeiten und man so nur einmal zurückrechnen muss und die Eingangs- und Ausgangswerte in eine Tabelle einträgt. Trifft man erneut auf einen bereits in der Tabelle stehenden Eingangswert, kann man sich das Rechnen sparen und nimmt den bekannten Ausgangswert aus der Tabelle.
Solche Tabellen existieren seit Jahrzehnten für alle Verschlüsselungsverfahren.

Wenn nun noch (absichtliche) Fehler in den Zufallszahlengeneratoren oder den Verschlüsselungverfahren existieren, dann ist der Rechenaufwand plötzlich erheblich geringer und die Tabellen schneller vervollständigt.

Bis hier hin halbwegs verstanden?

Gut, dann kommt hier für einige Mitleser eine offensichtlich neue Information:
Die NSA und viele Andere errechnen neue Tabelleneinträge nicht erst wenn sie auf einen neuen Eingangswert treffen, sondern permanent im Voraus.

Wie alt sind die derzeit aktuell hauptsächlich eingesetzten Verschlüsselungsverfahren? 5 Jahre? 10 Jahre? Älter?
Wieviel Rechenpower steht der NSA intern wie extern zur Verfügung?
Wieviele Fehler hat die NSA in Zufallszahlengeneratoren, Verschlüsselungsverfahren und digitalen Bauteilen wie etwa CPUs und TPM-Chips einschleusen können?

Sorry, aber die NSA-Systeme müssen nur selten Schlüssel errechnen, die schauen meist nur in ihre Tabellen.

Lasst Euch doch nicht von Sicherheitsversprechen blenden, wenn ihr sie gar nicht prüfen könnt, weil ihr schon die Basics nicht versteht.

Die Geheimdienste brauchen mitlerweile länger um "Zaubertinte" zu entdecken, als TrueCrypt-Container zu knacken.
 
[ ] Du hast verstanden, wie symmetrische Verschlüsselung funktioniert.

Es sind seit vielen Jahren eine Menge Leute mit Krypto beschäftigt, die davon um Größenordnungen mehr Ahnung haben als du und die sicher nicht alle auf der Gehaltsliste der NSA oder irgendwelcher Geheimdienste standen (alle bekommen die nämlich nicht). Ich werde jetzt sicher nicht auf Basis deiner Ausführungen davon ausgehen, dass die alle in die Klapse gehören weil sie glauben dass man das Brechen von Verschlüsselung so aufwendig gestalten kann, dass so lange dauert, dass die Erde eher in die Sonne stürzt.

Ich empfehle mal den FactHacks-Vortrag von DJB vom 29C3 zum Thema Angreifen von 1024Bit RSA-Schlüsseln. Da geht er auch ein bisschen drauf ein, wie aufwendig seiner Meinung nach sein könnte. Er empfiehlt dann einfach 2048Bit Keys zu nehmen - die zu Knacken ist um Größenordnungen schwieriger. Die meisten CAs signieren schon keine Certs mehr für Keys <2048Bit.
 
Last edited by a moderator:
Sollten wir dann nicht auf chinesische Hard- und Software für sicherheitskritische Funktionen setzen? Die bauen höchstwahrscheinlich keine Backdoors/Fehler für die Amis ein. Und die Amis werden den Chinesen nicht die Daten geben.

Edit: Natürlich muss es eine schlaue Mischung chinesischer und amerikanisch beeinflusster Technik sein. Wenn die Chinesen meine Mails mitlesen, ist mir das auch nicht lieber, als wenn's Amis, Briten und Deutsche tun.
 
Warum habe ich das nur erwartet?

Es lässt sich Beides vor- und zurückrechnen, so ist das in der Mathematik nunmal.

Ein Hash, ein Passwort, ein Zertifikat oder ein Schlüssel sind nur Zeichenfolgen aka eine Ansammlung von Nullen und Einsen, welche man in Tabellen ablegen kann.

Diese fügt man an entsprechender Stelle in die bekannte Formel ein und rechnet diese Formel rückwärts. Das funktioniert bei Hashverfahren genauso wie bei Verschlüsselungsverfahren.
Bei Hashverfahren ist das Vorwärtsrechnen nur wesentlich billiger, weshalb man hier auf Bruteforce setzt.

Wäre es nicht so, wäre kein einziges Verschlüsselungsverfahren und kein einziges Hashverfahren jemals gebrochen worden.
 
Ich möchte diese Konversation nochmal hoch holen.

Mag vielleicht für den ein oder anderen schon vergessen sein, aber genau das ist es ja eigentlich nicht.

Ihr habt doch bestimmt gegen Ende mitbekommen, als es hieß, das deutsche Geheimdienste mit den amerikanischen Geheimdiensten zusammen gearbeitet haben.

Nun, so wurde es jedenfalls in den Medien verlautet. Deutsche Geheimdienste haben sich quasi die Finger danach geleckt, mit dem amerikanischen Geheimdienst zusammen zu arbeiten.

So wurde also klar, das auch unsere Daten bereitwillig von deutschen Staatsbehörden weiter gegeben wurden.

- Jetzt der Abriss -

Wieso hat sich da keiner drüber aufregt?

Nein, viel lieber wurde sich die Hand vor den Kopf gehalten, als bekannt wurde, das auch das Smartphone der Fr. Merkel abgehört wurde.

Die, die hintergangen wurden, regen sich also darüber auf, das unsere "ach so heilige, hochgelobte" BK von den amerikanischen Geheimdiensten ausspioniert wurde, OBWOHL doch diese Regierung uns hintergangen hat.

Das ist etwas, was ich nicht verstehe. Das wurde kein einziges mal in den Medien hoch gehyped.

Der "Skandal" (in meinen Augen kein Skandal, da sie es verdient hat), das die BK abgehört wurde, wurde wochenlang durch die Medien gezogen. Unfassbar sag ich euch.

Und genau da sehe ich die größte Gefahr. Nicht die amerikanischen Geheimdienste, nicht die deutschen Geheimdienste und auch keine anderen Geheimdienste sind die, die man fürchten muss. Nein! Es ist die dumme Bauern bzw. Bildzeitung Mentalität der Masse/Bürger, der Menschen.

Die sind alle schon zu manipuliert. Oder besser gesagt WIR sind alle schon so unfassbar teilnahmslos - wir kümmern uns doch eigentlich nur um unseren Konsum.


VG

Michael

p.s. wollte nur nur mal eben Luft machen. Werde wieder meinem gewöhnlichen Tagesablauf nachgehen *Ironie* *lolschild*
 
Last edited by a moderator:
You must log in or register to reply here.
Back
Top