[Berlin-wireless] Sichere Communicationswege/OT

[Norm@nSteinbach]

Hi Daniel,

Daniel Paufler wrote:
>>> * Webseiten, auf denen sie sich einloggt, werden über https aufgerufen,
>> Was, wenn der Websitebetreiber kein https anbietet? Nicht mehr 
> Nunja - wenn es wichtig ist, dann wirst du den Webseiten-Betreiber wohl
> deine Auffassung von Sicherheit mitteilen müssen. Wenn es eine
> unwichtige Website ist, dann benutze sie nicht.
Hmm, das ist eine ziemlich rigorose Einstellung - vor allem weil man bei
"wichtigen" Seiten, deren Betreiber aber keine Lust hat, https
anzubieten, wieder keine Lösung des Problemes hat. Die Abhängigkeit vom
Betreiber der Webseite ist ja eigentlich immer vorhanden, aber hier
hinterlässt sie einen besonders schalen Beigeschmack.


>> Ich connecte mit dem Betreiber meines Mailservers (der berliner Provider 
>> 1blu) ebenfalls nicht per SSL. Mein Mailprogramm (NICHT Outlook und auch 
>> sonst nix von M$, wenn auch manche behaupten würden es wäre kaum ein 
>> Stück sicherer als diese) bietet "TLS" und "SSL" als Möglichkeit an. 
>> Habe gerade mal probiert, per SSL-POP3 Mails abzurufen: Fehlanzeige. 
>> Allerdings weiß ich nicht, ob dies nun daran liegt dass mein 
>> Mailprogramm beim Ändern der POP3-Settings den dafür zu verwendenden 
>> Port automatisch auf 995 umgestellt hat (der als Default für POP3-SSL 
>> angegeben wird), auf dem sonst genutzten 110er Port funktioniert es 
>> jedoch ebenfalls nicht. Also: Was, wenn mein Mailprovider dies nicht 
>> anbietet? Muss ich jetzt erst doch das tun, was ich (in Anbetracht der 
>> Vielfalt aus der "Leben" eigentlich besteht) nicht vor hatte, nämlich 
>> Informatik zu studieren, bevor ich eine sichere Verbindung hinbekomme? 
>> Oder: Was mache ich, wenn mein Provider dies einfach nicht anbietet? 
>> (Worüber ich nichtmal genau bescheid weiß, shame on me ;-))
> Zeit für eine eMail an den Provider. Hier beißt sich doch die Katze in
> den Schwanz. Der Rrovider macht kein SSL weil keiner danach fragt,
> fragen tut keiner, weil er denkt, dass alles ok ist oder es ihm zu
> aufwendig ist. Werden sie _jetzt_ aktiv.

Schön gesagt. Habe dort angerufen, und man sagte mir: "SSL ist technisch 
zu aufwändig, wird daher nicht angeboten." Stattdessen wurde mir dazu 
geraten, "Clientseitige Sicherheitstechnologien" einzusetzen. Auf die 
Nachfrage hin, was damit gemeint sei, kam die Antwort, man könnte ja die 
Mails per GnuPG zu verschlüsseln (was eigentlich ne total andere 
Baustelle ist)...
Kennt jemand nen anderen Hosting-Provider, bei dem man für ca. 1 Euro 
pro Monat ein paar MB Webspace, Mailservernutzung & .de-Domain mit 
SSL-POP3/SMTP bekommen kann?

>> Was ist mit Datenverschlüsselung auf dem eigenen Rechner? Gibt es ein 
>> Programm (egal ob Textmode oder GUI), was mir unter Linux die Nutzung 
>> von TrueCript für meine Festplatten ermöglicht, *OHNE* dass ich erst 
>> mehrere unterschiedliche Befehle auf der Kommandozeile eingeben muss, 
>> bis ich meine $HOME-Partition mounten kann?
> Schau mal cryptsetup --LUKS und pam_mount an? Anleitungen gibts im Netz
> und funktionieren super. (benutze ich seit. 3 Jahren ...)
Danke!

==== kleiner OT-Einschub ====
Kennt jemand ein "Widget" für KDE, welches eine ToDo-Liste einblendet?
So langsam verliere ich nämlich vor lauter Stumpfsinn etwas den
Überblick, was ich noch alles machen wollte... ;-)
==== OT zuende ====

>> (es
>> sei denn, nicht-MacOS-X-POSIX-Systeme wie Linux, BSD etc. werden als 
>> elitäre OSse betrachtet, die auf den Rechnern des "normalen Fußvolkes" 
>> eh nix zu suchen haben, was wiederrum ein echtes Armutszeugnis für die 
>> entsprechenden Communities wäre).
> Wer verbreitet solchen Unsinn? Du? Das habe ich nicht gehört. Marketing
Wenn ich der einzige bin, der solchen Unsinn verbreitet, dann ist es gut
und ich höre damit auf, ihn zu verbreiten.

> und Realität liegen oft entfernt von einander und die Masse nimmt
> Marketing war.
Ja, hier kommen wir wieder an einen der Angelpunkte, an welchem es
eigentlich nötig wäre, an den Mechanismen der Gesellschaft zu schrauben
um etwas zu verändern/verbessern - nur dass diese Mechanismen allesamt
in (zu) wenigen Händen liegen (den falschen Händen noch dazu) und 100%ig
Idiotensicher wasserdicht zu sein und daher keine Möglichkeit dazu zu
bieten scheinen.

> Das impliziert das Verstehen des Nutzers, welche Klicks er wo und warum
> macht. Das versuchen viele SM Programme seit langem mit mäßigem Erfolg.
> Das Problem ist, dass sich die Nutzer damit beschäftigen _müssen_, damit
> sie sinnvolle Entscheidungen treffen können. Willst du ein Program
> bauen, dass dieses Wissen nicht vorraussetzt, bist zu imo zum scheitern
> verurteilt.
Das ist ein hartes Urteil, und ich weiß noch nicht, ob ich daran
wirklich glauben will...Ich meine, ein Programm-Setup im Sinne von
Multiple-Choice-Tests aufzubauen, wo Fragen mit entsprechender
Erklärung gestellt werden und der Anwender sich nurnoch zwischen "Ja"
oder "Nein" entscheiden muss, könnte sicherlich vieles erleichtern.
Allerdings habe ich bei so aufgebauten Programmen auch schon einiges an 
Mist gesehen, wo doppel- oder dreifach-Verneinungen so verwendet wurden, 
dass man als Anwender den Satz ganz genau lesen und mehrere male 
durchdenken muss, um wirklich zu verstehen, welche Antwort nun welche 
Auswirkung hat (naja, es erhöht die Chance alles richtig zu machen auf 
50% ;-))


>> Wissen zu schaffen [z.B.: Was sind sichere Verbindungen, wie 
>> funktioniert PGP etcpp]), ein Hauptaugenmerk darauf liegen, dass auch 
>> "Lischen Müller" den Sinngehalt der möglichen Sicherheitsmaßnahmen 
>> erkennt, und es künftig deutlich leichter hat, diese umzusetzen und 
>> anzuwenden
> Und du meinst, dass die das ließt und nicht auf Grund von aus ihrem
> Blickwinkel empfundenen "Nerdblafasel" das Teil nicht installiert /
> zuklickt. Die Lese- und Verstehbereitschaft nimmer leider im Bezug auf
> Computer ab, getreu "Das macht doch der Computer".
Ich würde mich ja vielleicht ganz gerne irgendwo einbringen, um solches
"Nerdblafasel" in für normale Menschen verständliches Deutsch zu
übersetzen. Da gibts nämlich nen Unterschied, und dieser wird aber von
Leuten die nur auf der einen oder auf der anderen Seite stehen nur 
äußerst selten deutlich genug wahrgenommen. Mit diesem Unterschied, 
nicht nur auf computerspezifisch-Sprachliches bezogen, habe ich mich 
einmal etwas beschäftigt - natürlich in keinerlei wissenschaftlicher 
oder forscherischer Weise, sondern rein gefühls- und gedankenmäßig (da 
die Sprache die Schnittstelle zwischen Gedanken- und Außenwelt 
darstellt, ist es IMHO anders auch garnicht möglich, zumindest nicht 
"einfach so", wenn es in erster Linie um eigene Erkenntnisse 
geht...Zudem ist diese Protokollschnittstelle nur in äußerst 
rudimentärer Form standardisiert, jeder Mensch hat letztlich seine 
"eigene" Sprache - der Anschein, wir würden alle 
Deutsch/Englisch/Sonstwas sprechen trügt hier bei genauerem Hinsehen 
ziemlich...)
Jedenfalls glaube ich inzwischen auf der Grenzlinie sitzen und den
Kopf in die eine und die andere Richtung drehen zu können, um mich
entsprechend verständlich für die jeweilige Zielgruppe auszudrücken.
Allerdings würde das natürlich erfordern, dass ich die Zusammenhänge die 
ich in solchen Texten einfach erkläre selbst verstanden habe, klar ;-)
Häufig ist aber auch Gliederung/Unterteilung und Layout des Textes für 
das "einfache Verstehen" entscheidend. Auch wenn ich sie eigentlich für 
Papierverschwendung halte, so ist an dieser Stelle die "Computerbild" 
doch gar nicht so schlecht: Sie schafft es immer wieder, einigermaßen 
komplexe Zusammenhänge soweit zu erklären, dass auch "Lieschen Müller" 
eine Chance hat, sie zu verstehen. Nagut, hab schon jahrelang nicht mehr 
in eine reingeschaut, aber das letzte mal als ich es tat, hatte ich 
diesen Eindruck.


> Das hat SM Windows auch erkannt und hat massig Wizards gebaut, welche
> die Sicherheit des Systems erhöhen. Kehrseite ist, dass sie
> undurchsichtiger Weise die Funktionalität einschränken. Und das erklar
> mal Lieschen Müller.
Ich mag auch in der Regel keine Wizards, aber wenn die sonstige
Konfiguration zu "umständlich" ist, weil in der Konfigurationsdatei
vielleicht Werte wie AppGet_Def_Hndl="[irgendein-Integer]" zu verändern 
sind, ohne dass irgendwo erklärt wäre, was die Variable bedeuten soll 
oder wie die Integer-Zahl in der Variable das Verhalten des Programms 
beeinflusst, dann benutze ich auch lieber einen Wizard - vor allem weil 
sich dann, um die volle Funktionalität wieder zu erhalten, Anleitungen 
im Internet finden lassen, die es selektiv ermöglichen die gewünschten 
Funktionen zusätzlich zur Wizard-Einrichtung einfach hinzuzufügen.


Naja, ist nur meine (Anwender-)Meinung dazu, nichts weiter ;-)


Viele Grüße,

Norm at n