Tools für Digitale Sicherheit: Pi-hole, Browser-Plugins, sicheres Surfen und Kommunizieren

[Member]

@Yodrak im Schritt 4, bevor Du den sudo docker run.... Befehl absetzt, erstelle erst mal das portainer_data Verzeichnis, sonst schlägt der Befehl fehl.

Und dann danach der WebLink ist nicht https. Das muss http (ohne s) heißen.

Dann wirklich einige Minuten warten. Das kann 5 bis 10 Minuten dauern bis Du die Container siehst.

 

[Member]

So ich bin durch mit der Konfiguration, genau so wie beschrieben.

Aber am Ende wenn ich mit http://IPaddresse des NAS/admin drauf gehe, bekomme ich eine Fehlermeldung:
404 Die Seite, nach der Sie suchen, kann nicht gefunden werden.

im Log sehe ich diese Zeilen die mir nicht so sehr gefallen:

2020-11-20 11:32:13	stdout	chown: cannot access '/etc/pihole/dhcp.leases': No such file or directory
2020-11-20 11:32:13	stdout	chmod: cannot access '': No such file or directory
2020-11-20 11:32:13	stdout	chown: cannot access '': No such file or directory
2020-11-20 11:32:13	stdout	Copying 01-pihole.conf to /etc/dnsmasq.d/01-pihole.conf... [K [[32m✓[0m] Copying 01-pihole.conf to /etc/dnsmasq.d/01-pihole.conf

[TR]
[TD]2020-11-20 11:32:13[/TD][TD]stdout[/TD][TD] Existing dnsmasq.conf found... it is not a Pi-hole file, leaving alone![/TD]
[/TR]
[TR]
[TD]2020-11-20 11:32:13[/TD][TD]stdout[/TD][TD] Installing configs from /etc/.pihole...[/TD]
[/TR]


Da passt noch was nicht.

 

[Member]

Das ist glaube ich dann doch etwas zu speziell @Pilo und wir kommen vom Thema ab. Vielleicht ist es ja ok, wenn du das in einem eigenen Thread bearbeitest. Wenn dann alles funktioniert, kannst du ja abschließend das hier posten oder darauf verweisen. Schwerpunkt ist hier mehr Verschlüsselung, Überwachung und Sicherheit.

 

[Member]

Habs geschafft, nun funktioniert es.
Hatte an einer Stelle ne falsche IP angegeben.
@Yodrak wenn Du magst können wir das in einem eigenen Docker Thread bereden.

 

[Member]

Die obere Kurve zeigt an wieviele Anfragen geblockt werden und die zweite Kurve zeigt die Aktivität der Clients. Das ist schon sehr interessant welche Geräte auch Nachts ständig irgendwelche Server anfragen. Wenn ihr weitere Teilnehmer in eurem Netzwerk habt, zum Beispiel Familie, Nachbarn usw. dann solltet ihr die über den Pi-hole informieren. Schließlich spielt ihr automatisch ein bisschen Stasi und ihr seht welche Geräte sich zu welchen Servern verbinden.

Weiter mit dem Dashboard des Pi-holes.

Anhang anzeigen 1605875466500.jpg

Auch hier ein Screenshot des Pi-holes aus dem Internet, weil ich euch natürlich nicht so einen tiefen Einblick in mein eigenen Traffic geben möchte. Top Domain "PoHub"...

Hier könnt ihr auf einem Blick sehen, welche Clients (rechts) die meisten Anfragen erzeugen und welche Domains (mitte) am häufigsten geblockt werden. In meinem Dashboard gibt es eine weitere Tabelle mit den Top Clients mit geblockten Anfragen. Anders als in dem Screenshot, kommen die Client IP Adressen ja alle aus dem LAN, hier sind fälschlicherweise WAN Adressen aufgeführt. Diese IP Adressen könnt ihr in der Web-Gui auch bequem auf eure Gerätenamen mappen. Dann stehen dort keine IPs mehr, sondern HandyVomSchatzi, FirestickWohnzimmer, SamsungOled, AlexaKüche, Dödelcam usw....

Wenn ihr IPv6 eingerichtet habt, dann müsst ihr auch diese Adressen mappen. Das ist manchmal etwas mühevoll. Viele Geräte nutzen beide IP Versionen. Das ist aber eine einmalige Fleißarbeit.

Die Liste mit blocked Domains wird bei mir wegen starker Nutzung Teams, Microsoft365 auch von Microsoft angeführt. Ich habe in den letzten 24 Stunden etwa 20.000 DNS Anfragen von Microsoft verwerfen lassen. Ohne spürbare Nachteile. Google Adserver stehen bei mir erst an 5. Stelle. Das liegt aber daran, dass ich die meisten direkt am Browser herausfilter. Ich denke die meisten nutzlosen Googleserver Anfragen bei mir kommen von Android Phones. Auf den Geräten selber kann man ohne Root meist keine sinnvollen Blocker installieren. Von daher ist ein Pi-hole eigentlich die einzige Möglichkeit nervige Werbung in Browser und Apps für Android herauszufiltern. Funktioniert natürlich nur im Heimnetz. Webseiten die ihr unterstützen möchtet, wie zum Beispiel dieses Forum, könnt ihr auf die Whitelist setzen. Die meiste Werbung des TAF sind aber klassische Werbebanner und die kommen eh von der TAF Domain. Das würde wahrscheinlich nur Booking com betreffen.

An dritter Stelle bei den blocked Domains und an erster Stelle bei den blockierten Client Anfragen, werkelt bei mir eine Webcam aus China bei mir. Wenn sie könnte, würde sie 24/7 irgendwas nach China schicken. Ich habe fast alle Anfragen der Cam nachträglich geblockt und sie macht immer noch das was sie machen soll. Moderne Geräte wie Webcams, Hausautomatisierung usw. bekommt ihr fast gar nicht mehr ohne Cloud Anbindung. Aber nicht alle Geräte kommunizieren gleich viel. Dank Pi-hole ist das auch egal weil ihr es selber im Griff habt. Das ist ein gutes Gefühl etwas mehr Kontrolle über sein Heimnetz zu bekommen. Auch wenn es euch keine falsche Sicherheit vorgaukeln sollte. Dazu später mehr.

 

[Member]

In dem Zusammenhang würde mich noch interessieren, wieviel der Flatbild Fernseher mit Wlan Anschluss so rumfunkt.

Kann ich sowas mit dem Rasp auch basteln, wenn meine Internetversorgung zu Hause über einen mobilen Router via Handynetz läuft?

 

[Member]

In dem Zusammenhang würde mich noch interessieren, wieviel der Flatbild Fernseher mit Wlan Anschluss so rumfunkt.

Kann ich sowas mit dem Rasp auch basteln, wenn meine Internetversorgung zu Hause über einen mobilen Router via Handynetz läuft?

Mein Fernseher funkt erstaunlich wenig. Ich habe in den Einstellungen schon alles Mögliche in dieser Richtung deaktiviert und ich schaue fast kein Privatfernsehen. Bei RTL & Co laden häufig irgendwelche HbbTV Anwendungen die zum Teil auch eine aktive Zustimmung für die Datenschutzerklärung bedürfen.

Du kannst auf jedem Fall den Raspi direkt als DNS Server einzeln für deine Endgeräte eintragen. Wenn du sie nicht auf DHCP stehen hast, kannst du in den Netzwerkeinstellungen einen DNS Server eintragen. Meist wird dort über DHCP die IP deines Routers eingetragen. Am einfachsten geht es halt wenn du an deinem mobilen Router den Raspi als DNS Server einträgst. Dann brauchst du das nicht für jedes Gerät einzeln machen. Allerdings weiß ich nicht ob das bei deinem mobilen Router geht. FritzBoxen können das zum Beispiel alle.

 

[Member]

Wenn ihr weitere Teilnehmer in eurem Netzwerk habt, zum Beispiel Familie, Nachbarn usw. dann solltet ihr die über den Pi-hole informieren. Schließlich spielt ihr automatisch ein bisschen Stasi und ihr seht welche Geräte sich zu welchen Servern verbinden.

Ich habe mich noch nicht sehr intensiv mit dem Pi-hole befasst, aber mal angenommen als Beispiel: wenn ich in deinem Heim-Netzwerk bin und bei mir den DNS Server manuell eintrage, dann umgehe ich deine Schutzmassnahmen mit dem Pi-Hole, oder nicht? OK, das kann Dir natürlich theoretisch egal sein, aber die ganzen Werbedienste stützen sich ja nicht nur ausschliesslich auf Browser plugins und Cookies sondern z.B. auch auf die externe IP Adresse, die wir dann beide teilen. Somit könntest Du mit "meiner" Werbung belästigt werden. Oder gibts da noch zusätzliche Schutzmassnahmen beim Pi-hole? Ich kann mir einfach nicht so recht vorstellen, wie diese sein könnten, resp. wie Du dies verhindern willst.

Werde das Ding aber sicher mal aufsetzen die nächsten Tage.
Mal ganz nebenbei zum Thema Cookies: wenn ich den Politiker erwische welcher noch Stolz darauf ist dass sie die EU Cookie Richtlinien durchboxen konnten, den schlage ich.
Verbringe gefült mein halbes Leben damit Cookie Meldungen zu approven. Etwas dümmeres und benutzerunfreundlicheres habe ich noch nie gesehen. Bin aber anscheinend der einzige der sich darüber nervt.

In dem Zusammenhang würde mich noch interessieren, wieviel der Flatbild Fernseher mit Wlan Anschluss so rumfunkt.

Kann ich sowas mit dem Rasp auch basteln, wenn meine Internetversorgung zu Hause über einen mobilen Router via Handynetz läuft?

Dazu empfehle ich Dir eher das Tool Wireshark. Anleitungen dazu findest Du hundertfach auf You-Toube.

 

[Member]

Ich habe mich noch nicht sehr intensiv mit dem Pi-hole befasst, aber mal angenommen als Beispiel: wenn ich in deinem Heim-Netzwerk bin und bei mir den DNS Server manuell eintrage, dann umgehe ich deine Schutzmassnahmen mit dem Pi-Hole, oder nicht? OK, das kann Dir natürlich theoretisch egal sein, aber die ganzen Werbedienste stützen sich ja nicht nur ausschliesslich auf Browser plugins und Cookies sondern z.B. auch auf die externe IP Adresse, die wir dann beide teilen. Somit könntest Du mit "meiner" Werbung belästigt werden. Oder gibts da noch zusätzliche Schutzmassnahmen beim Pi-hole? Ich kann mir einfach nicht so recht vorstellen, wie diese sein könnten, resp. wie Du dies verhindern willst.

Das kann jedes Gerät selber entscheiden. Das ist richtig. Wenn du dich mit deinem Handy in meinem Netzwerk anmeldest kannst du natürlich deinen eigenen DNS verwenden. Den Rest deiner Frage verstehe ich dann nicht so ganz. Wenn du von IP Adressen in Anwendungen sprichst, dann hat das nichts mehr mit DNS zu tun und der Pi-hole ist aus dem Spiel. Es ist zwar selten, aber es kommt vor, dass Geräte über hard-gecodete IP-Adressen den Kontakt zur Außenwelt suchen. Aus verschiedenen Gründen wird das aber von vertrauensvollen Geräteherstellern eher selten gemacht, weil so etwas immer den Verdacht erweckt, dass etwas verschleiert werden soll. Viren arbeiten meist auch so. Wenn man einen Verdacht hat und es genauer wissen möchte, dann ist das wirklich ein Fall für Wireshark. Bei Viren oder Verschleierung wird man aber dann auch nicht viel sehen können, weil das verschlüsselt abläuft. Die Aufgabe des Pi-hole ist von daher keine Firewall die Hackerangriffe von innen abwehren kann.

Werde das Ding aber sicher mal aufsetzen die nächsten Tage.
Mal ganz nebenbei zum Thema Cookies: wenn ich den Politiker erwische welcher noch Stolz darauf ist dass sie die EU Cookie Richtlinien durchboxen konnten, den schlage ich.
Verbringe gefült mein halbes Leben damit Cookie Meldungen zu approven. Etwas dümmeres und benutzerunfreundlicheres habe ich noch nie gesehen. Bin aber anscheinend der einzige der sich darüber nervt.

Schlecht umgesetzt aber im Prinzip ziemlich richtig. Cookies werden aber stark an Bedeutung verlieren weil GAFAM diese schon lange nicht mehr brauchen. Die sammeln genug Daten über andere Wege. Um Browser zu identifizieren reicht auch ein Fingerprint, da haben Cookies eh ausgedient. Ist aber vielleicht mal ein zusätzliches Thema wert.

Wenn dich die Cookie Bestätigungen nerven, dann kannst du folgendes Addon nutzen. Ich setze es auch ein. Allerdings nutze ich einen normalen Browser eh nur noch ganz selten, und dann lasse ich die Cookies nach der Session eh wieder alle löschen, bzw. gebe zuvor kaum etwas von mir preis.

I don't care about cookies - Chrome Web Store

Remove cookie warnings from almost all websites! The EU regulations require that any website using tracking cookies must get…

chrome.google.com

Dazu empfehle ich Dir eher das Tool Wireshark. Anleitungen dazu findest Du hundertfach auf You-Toube.

Ich würde Wireshark nur nutzen wenn du in die Pakete hineinschauen möchtest. Wobei wohl eh das meiste verschlüsselt ist. Oder wenn du den Verdacht hast es werden Server direkt per IP und nicht über DNS angefunkt. Ich glaube aber LG, Samsung & Co arbeiten ja alle mit den großen Werbenetzwerken, Trackern und Videooptimierern (z.B. Conviva) zusammen die alle aus Usability Gründen über DNS angesprochen werden.

 

[Member]

(...)

Mal ganz nebenbei zum Thema Cookies: wenn ich den Politiker erwische welcher noch Stolz darauf ist dass sie die EU Cookie Richtlinien durchboxen konnten, den schlage ich.
Verbringe gefült mein halbes Leben damit Cookie Meldungen zu approven. Etwas dümmeres und benutzerunfreundlicheres habe ich noch nie gesehen. Bin aber anscheinend der einzige der sich darüber nervt.

Ich kann dich beruhigen. Du bist nicht der einzige, den es nervt. In mir steigen zeitweise regelrecht Agressionen auf, wenn diese Fenster zur Bestätigung der Cookie-Speicherung erscheinen.