Die Telekom hat zusammen mit dem Fraunhofer-Institut für Sichere Informationstechnologie (SIT) die Initiative „Volksverschlüsselung“ gestartet. Ziel ist es, die End-to-End E-Mail Verschlüsselung in Deutschland zum Standard zu machen und den Bürgern benutzerfreundliche, einfache Software dafür zur Verfügung zu stellen. Ein guter Freund hat mich gestern auf die Initiative aufmerksam gemacht, also habe ich mir das mal angesehen. Was zuerst einen vielversprechenden Eindruck gemacht hat, hat mich allerdings schnell enttäuscht, denn bereits jetzt halte ich das Projekt für ungeeignet, um die E-Mail Kommunikation ernsthaft abzusichern. Dafür gibt es natürlich auch einen Grund – und der heißt X.509.
Die Initiative will Public-Key-Infrastruktur (PKI) auf Basis des X.509-Standards zur Beglaubigung ihrer Zertifikate nutzen. Wem X.509 etwas sagt, der kennt sehr wahrscheinlich auch die große Schwäche des Standards: Zentrale Beglaubigungsstellen – auch „Certificate Authorities“, CAs, genannt. Ich will im Folgenden erklären, was X.509 bedeutet und wieso ich es für ungeeignet halte. Wer die Probleme kennt, für den wird hier nichts neues zu lesen sein … ;)
Vor einigen Wochen habe ich hier im Blog die langsame Reaktionszeit und sogar Nicht-Erreichbarkeit von GitLab, einer GitHub-Alternative, beklagt. Die offizielle, kostenlose GitLab-Instanz habe ich für private Repositories genutzt, weil GitHub solche Repos nicht kostenlos anbietet. Ich habe damals überlegt, mir eine eigene GitLab-Instanz zu hosten (schließlich ist die Community Edition von GitLab freie Software) – allerdings hat mich der hohe Ressourcenverbrauch von der Installation abgehalten.
In den Kommentaren wurde mir eine schlankere Alternative zu GitLab vorgeschlagen: Gogs.
Kürzlich habe ich euch gefragt, welchen Hoster ihr mir empfehlen könnt. Meine Anforderungen waren:
KVM-Virtualisierung
100% Ökostrom
Kompetenter und schneller Support
Gute Verfügbarkeit
Mindestens 100 MBit/s Upstream
Gutes Preis- / Leitungsverhältnis
Flexible, individuelle Anpassung der Serverressourcen
Eigene Images nutzbar
Unternehmens- und Serverstandort Deutschland
In den Kommentaren zu dem Beitrag wurde mir unter anderem Servercow.de vorgeschlagen. Ich habe mich ein wenig auf der Webpräsenz des Unternehmens umgesehen und war ziemlich schnell interessiert. Alle meine Anforderungen waren erfüllt und ich habe mir zunächst einen Testserver bereitstellen lassen, den ich nun auch fest gebucht habe. Hier will ich euch von meinen ersten Eindrücken und Erfahrungen mit Servercow.de erzählen.
Vor ein paar Tagen habe ich hier im Blog nach einer neuen, empfehlenswerten Tastatur gefragt. Bei meiner Suche bin ich auf das Fujitsu LX901 Tastatur-Set gestoßen, das in diversen Online-Rezensionen als Tastatur-Maus-Set für den Office-Bereich sehr gelobt wurde. Das Set funktioniert kabellos und verfügt über eine 128 Bit AES Verschlüsselung, sodass eingetippte Daten wie z.B. Passwörter nicht über Funk abgefangen werden können. Das war für mich Voraussetzung: Ein Funk-Tastaturset mit Transportverschlüsselung.
Mailserver betreibe ich zwar auch selbst, aber hin und wieder braucht man auch einen Account auf externer Infrastruktur. Beispielsweise, wenn man noch E-Mail Benachrichtigungen vom Monitoring bekommen will, wenn der eigene Mailserver nicht mehr funktioniert ;) Oder für den Kontakt zum Hosting-Unternehmen, über das die eigenen Mailserver laufen. Bisher habe ich für solche Zwecke meinen uralt-GMX-Account genutzt. Weil wir aber alle wissen, dass man die Seriosität von GMX stark anzweifeln kann und mich die fehlende IMAP-Synchronisierung meines „Free“-Accounts gestört hat, bin ich gestern zu Mailbox.org gewechselt.
Für 1 € / Monat bekommt man dort (ähnlich wie bei der Konkurrenz Posteo.de) allerhand geboten: 2 GB Speicher, alle IMAP-Features, Spamfilter, und sogar Browser-basierte Office-Software ist mit dabei. Die Benutzeroberfläche von Heinlein Support (dem Unternehmen hinter mailbox.org) basiert auf der OX App Suite. Ich spare mir an dieser Stelle, alle Funktionen aufzuzählen – wollte euch aber mailbox.org aber einfach nur mal empfehlen ;)
… versprochen. Glaubt ihr nicht? Na, dann habe ich da mal eben ein Beispiel für euch: http://www.heise.de/newsticker/meldung/CES-2016-Gluehbirne-hoert-mit-3056853.html. Wir haben ja jetzt schon massiv Probleme mit Smartphones, die keine Updates mehr bekommen, alten Rechner, die noch am Netz hängen, Industriesteuerungen, die nicht ausreichend abgesichert oder hoffnunglos veraltet sind, Videoüberwachung, die Spam verschickt und so weiter und so fort. Beispiele gibt es wie Sand am Meer.
Und jetzt bekommen Leuchtmittel ein Mikrofon und stellen eine Verbindung zu irgendeiner Cloud her, wo dann Geräusche und Sprache erkannt werden, um das Licht zu steuern?! Im Ernst?
Mir wird ja ganz schlecht von solchen Dingen. Nicht nur, weil ich Dingen misstraue, die Daten irgendwohin senden, sondern auch, weil es keine Möglichkeit gibt, diese Dinger sicher zu machen. Kaum verkauft, sind die Geräte offen wie Scheunentore. Und dann laufe ich am besten im Haus herum und update Leuchtmittel für Leuchtmittel? Hah! Nein! Natürlich nicht! Es glaubt doch nicht ernsthaft jemand, dass mich der Hersteller 10 Jahre lang mit Sicherheitsupdates für seine IoT Leuchtmittel versorgt!
Oh Mann. Leute, wir kriegen unsere Security ja jetzt schon nicht gebacken. Und dann streuen wir auch noch milliarden kleiner Computer in die Welt, die niemals sicher gehalten werden können?! Ich weiß nicht mehr, was ich dazu noch sagen soll.
Nachdem ich im Sommer diesen Jahres meine Aktivitäten im sozialen Netzwerk Diaspora schon pausiert hatte, habe ich vor ein paar Tagen meinen Account deaktiviert. Ich will hier kurz begründen, wieso ich meine social Networking Aktivitäten heruntergefahren habe bzw. im Diaspora Netzwerk nicht mehr aktiv war und wohl auch nicht mehr so schnell aktiv sein werde.
Vor einiger Zeit habe ich mir einen Yubikey zugelegt, der u.A. die Authentifizierung über den U2F Industriestandard unterstützt. Bei Diensten wie Dropbox, GitHub oder Gmail kann man sich schon via U2F Mechanismus und einem U2F-kompatiblen Authentifizierungsgerät anmelden – aber bisher nur über den Google Chrome Browser. Andere Browser (und so leider auch Firefox) unterstützen U2F noch nicht, obwohl der erste Standard zu U2F – FIDO v1.0 – schon im Dezember 2014 verabschiedet wurde.
Ein Jahr ist jetzt vorüber und mein Lieblingsbrowser Firefox arbeitet noch immer noch mit meinem Yubikey zusammen. Im Mozilla Bugtracker gibt es eine Diskussion zu dem Thema und offenbar bin ich nicht der einzige, der FIDO U2F Support im Firefox schon sehnsüchtig erwartet. Gerüchten zufolge soll Firefox in etwa 3 Monaten endlich U2F unterstützen. Ich bin gespannt.
