Was ist neu
Gäste lese Limitierung!
Thailändisch lernen

  • Tools für Digitale Sicherheit: Pi-hole, Browser-Plugins, sicheres Surfen und Kommunizieren

            #42  

    Member

    Member hat gesagt:
    Also ich lese hier gerne mit.

    Ein interessanter Artikel in dem Zusammenhang:
    nrkbeta.no

    My Phone Was Spying on Me, so I Tracked Down the Surveillants

    There are 160 apps on my phone. What they're actually doing, I don't know. But I decided to find out. This is an English translation, read the original here. I have a feeling these apps are …
    nrkbeta.no nrkbeta.no
    Zum Vergrößern anklicken....

    Wirklich interessant. Einleitend auch gut erklärt, dass es nicht immer nur um die eigene Sicherheit geht, sondern man auch andere gefährden kann. Das wird von den "Isch hab ja nichts zu verbergen" Leuten gerne vergessen.

    Was Martin Gundersen beschreibt, ist natürlich schon hochkriminell. Aber so schnell kann es gehen. Man muss Softwareanbietern vertrauen. Früher habe ich mir auch irgendwelche kostenlosen Apps aufs Handy geknallt. Inzwischen mache ich das kaum noch. Abgesehen von Software die von Organisationen zur Verfügung gestellt werden die kein kommerzielles Interesse haben. NGOs oder ähnliches. Auf F-Droid findet man inzwischen viele Apps für viele Bedürfnisse.

    Trotzdem sehe ich irgendwie den Tag schon kommen an dem folgende Daten in etwa auftauchen. Riva war am Tag xx.yy.2015 im Penthouse Hotel in Pattaya. Fotos der Überwachungskameras, ATM Belege, Tracking durch die Bars, Fotos aus der Ibar usw.

    Das blöde ist, man weiß heute noch nicht was morgen technisch alles möglich ist. Stichwort Quantencomputer und Passwortsicherheit. Von daher versuche ich seit einigen Jahren so datensparsam wie möglich zu leben.
     
            #43  

    Member

    Member hat gesagt:
    Man muss Softwareanbietern vertrauen.
    Zum Vergrößern anklicken....

    Auch wenn nicht 1:1 vergleichbar, sieht man wohin das führen kann:

    www.theguardian.com

    'It's a free-for-all': how hi-tech spyware ends up in the hands of Mexico's cartels

    Mexico has become a major importer of spying kit but officials are accused of colluding with criminal groups – and innocent individuals are often targeted
    www.theguardian.com www.theguardian.com


    Es ginge auch ohne, wir sind einfach zu bequem geworden...

    Ein Telefon ohne GPS-Chip und mit entnehmbarer Batterie wär schon mal ein Anfang...
     
            #44  

    Member

    Member hat gesagt:
    Secure DNS​

    Pi-hole ist also eine DNS Firewall. Aber warum kann der Pi-hole den DNS Verkehr denn überhaupt so einfach mitlesen? Im Gegensatz zu den Inhalten, die heute zu weit über 90 % verschlüsselt über HTTPS übertragen werden, finden die DNS Anfragen meist unverschlüsselt statt. Dabei lassen sich gerade über die DNS Anfragen hervorragend Nutzerprofile erstellen. An einem Single Point kann man alle Webseiten, Dienste usw. mitlesen die ihr aufruft. In Zeiten von Big Data sind genau diese Metadaten meist viel wichtiger als die Inhalte. Vor allem dann, wenn der DNS Provider z.B. Google über eigene Dienste wie GMail auch noch Informationen mit persönlichen Daten sammeln kann, wie Name und Anschrift.

    DNS ist also ideal um Daten über euch zu sammeln. Das kann ein Pi-hole erstmal nicht verhindern. Unverschlüsseltes DNS erlaubt es auch, dass DNS Anfragen von Dritten, als man-in-the-middle mitgelesen werden und auch kompromittiert werden, in dem ihr auf "böse" Webseiten "umgeleitet" werdet.

    Seit ein paar Monaten könnt ihr euch aber absichern. Es wurden verschiedene Lösungen für verschlüsseltes DNS spezifiziert und aktuell scheint DoT (DNS over TLS) die Nase vorn zu haben. Damit werden die DNS Anfragen und Antworten, von euch zum DNS Provider verschlüsselt. Das Auslesen Dritter wird also verhindert. Trotzdem müsst ihr dem DNS Provider noch vertrauen, weil er die DNS Anfragen ja entschlüsselt um sie beantworten zu können.

    Seit dem Sommer können die meisten FritzBoxen DoT. In Verbindung mit dem Pi-hole müsst ihr also die FritzBox als Upstream DNS Provider einstellen und die verschlüsselt dann DNS zu einem DNS-Provider eurer Wahl.

    Ob ihr bereits DoT nutzt, könnt ihr über einen Test erfahren:

    www.cloudflare.com

    Cloudflare Browser Check

    Secure DNS Transport using DoH (DNS over HTTPS) or DoT (DNS over TLS) and SNI with ECH
    www.cloudflare.com www.cloudflare.com

    Welche Clients DoT erlauben, steht hier:

    http://dnsprivacy.org/dns_privacy_clients/

    dnsprivacy.org

    Ich habe mich für Cloudflare als DoT Provider entschieden. Der Dienst ist zwar kostenlos, was meist gegen einen Schutz der Daten spricht. Allerdings verspricht Cloudflare die DNS Daten nur für die Optimierung ihrer Infrastruktur einzusetzen. Das klingt für mich Glaubhaft, weil Cloudflare ein Geschäftsmodell betreibt welches nicht auf Datenhandel basiert. Sie sind einer der größten Infrastruktur Anbieter für das Internet und verkaufen diese Leistungen und nichts anderes. Beim Thema Sicherheit geht es aber immer auch um vertrauen und das muss jeder für sich entscheiden.
    Zum Vergrößern anklicken....
    Um mal an das Thema Secure DNS im Zusammenhang mit dem PiHole anzuschließen. In der aktuellen c't wird ab Seite 134 sehr gut erklärt wie man auf dem Pi, neben PiHole, den DoT-Client Stubby installieren kann. Und auf einem weiteren Pi DNSCrypt Proxy. Wenn man noch einen Pi übrig hat, dann ist das sicherlich eine gute und vor allem sehr sichere Lösung. Insgesamt wirkt es schon etwas aufwändig. Eleganter wäre es, wenn PiHole in einer der nächsten Versionen die DNS-Daten selbst verschlüsseln würde.
     
            #45  

    Member

    Wenn Interesse besteht, können wir hier gerne weiter machen. Für Themenvorschläge bin ich offen.

    Wer mal etwas tiefer in das Security Reverse Engineering von SoMe Apps einsteigen möchte, dem empfehle ich diesen Report vom Citizenlab:

    citizenlab.ca

    TikTok vs Douyin: A Security and Privacy Analysis - The Citizen Lab

    A comparative analysis of security, privacy, and censorship issues in TikTok and Douyin, both developed by ByteDance.
    citizenlab.ca citizenlab.ca

    Sicherlich hat man die ganzen Tools nicht unbedingt zur Hand und die Zeit um so viel Code durchzugehen auch nicht unbedingt, aber man kann aus dem systematischen Vorgehen ganz gut lernen, wie man so eine Monster App wie TikTok zerlegt.

    Oft reicht es den Netzwerkverkehr mitzusniffen. Im einfachsten Fall die DNS Anfragen mit einem PiHole, wie hier vorgestellt.
     
            #46  

    Member

    Das wird ja schon meistens ein Problem, dass SSL Pinning zu umgehen. Immerhin hat sich da die letzten Jahre was getan

    Bilder und Videos sind nur für registrierte oder eingeloggte Mitglieder sichtbar. 
     
            #47  

    Member

    Noch eine Ergänzung zu Pi-Hole und verschlüsseltem DNS (z.B. DoT ) wäre der Einsatz von einem rekursiven Unbound DNS Resolver:

    Bei DoT geht die DNS Anfrage verschlüsselt an die eingetragenen DNS-Server. Diese DNS-Server bekommen alle DNS-Anfragen mit (der Server bekommt die verlüsselte Anfrage und entschlüsselt diese für die Bearbeitung). Der eigene Internet-Provider erkennt die Anfragen nicht, da verschlüsselt. Doch wenn man nach der DNS-Anfrage die ensprechende Ziel-IP-Adresse aufruft steht diese Adresse in den Kopfdaten der Datenkakete. Warum also DNS-Anfragen verschlüsseln (wenn die DNS-Server vom Internet-Provider nicht mehr benutzt werden) ?

    Mit der entsprechenden Unbound Integration und Konfiguration in Pi-Hole werden die autoritativen Root-Nameserver und die autoritativen Nameserver benutzt.

    Ein Beispiel:

    PC: "IP-Adresse für www.heise.de?" → Nameserver: "Moment."
    Nameserver: "IP-Adresse für .de?" → autoritativer DNS-Root-Server: "Frag autoritativen Nameserver XY"
    Nameserver: "IP-Adresse für heise.de?" → autoritativer TDL-DNS-Server XY: "Frag Netcup-Nameserver"
    Nameserver: "IP-Adresse für www.heise.de?" → Netcup-Nameserver: "193.99.144.85"
    Nameserver: "193.99.144.85" → PC

    Der Vorteil liegt u.a. darin, dass die DNS-Anfragen auf verschieden DNS-Server verteilt werden. Ein Anleitung zur Integration in Pi-Hole findet sich hier: Unbound mit Pi-Hole
     
            #48  

    Member

    @walt das ist natürlich noch ein Schritt weiter gedacht. Vielen Dank!

    Ob das dann notwendig ist, muss jeder für sich entscheiden. Zumindest ist eine IP Adresse ein weniger klar lesbares Ziel als eine komplette URL. Zumal man ja auch noch encrypted SNI nutzen kann.
     
            #49  

    Member

    Eine gute Idee, hier was über das Pi-hole zu schreiben. Finde ich immer noch interessant.
    Hätte ich einen Pi übrig, würde ich das ganze mal ausprobieren.

    Was mir an der Lösung nicht ganz so gut gefällt:
    - Läuft nicht auf normalen Routern (wie z.B. der FritzBox), die sowieso 24/7 an sind
    - zusätzliche Hardware nötig (heißt Anschaffungskosten und dauerhaft geringer Stromverbrauch)
    - initialer Einrichtungsaufwand (wenn man Spaß dran hat, kein Problem)

    Eine Alternative wäre eine light-Variante für PC/Mac, die ohne zusätzliche Hardware bzw. Pi-hole funktioniert:
    Dazu installiert man auf jedem internetfähigen PC eine sog. hosts-Datei, die ungewollte Verbindungen zu bekannten, schädlichen Internetadressen nicht auflöst.
    Eine solche Datei bekommt man fix und fertig vorbereitet z.B. hier: Blocking Unwanted Connections with a Hosts File

    Vorteile:
    - wenig Installationsaufwand
    - funktioniert schnell und ressourcenschonend
    - keine zusätzliche initiale und laufende Kosten

    Nachteile:
    - Anzahl und Auswahl der Einträge der hosts-Datei sind begrenzt
    - Updates der Datei (sofern nötig) müssen händisch vorgenommen werden
    - keine Auswertungsmöglichkeiten
     
            #50  

    Member

    Member hat gesagt:
    Eine gute Idee, hier was über das Pi-hole zu schreiben. Finde ich immer noch interessant.
    Hätte ich einen Pi übrig, würde ich das ganze mal ausprobieren.

    Was mir an der Lösung nicht ganz so gut gefällt:
    - Läuft nicht auf normalen Routern (wie z.B. der FritzBox), die sowieso 24/7 an sind
    - zusätzliche Hardware nötig (heißt Anschaffungskosten und dauerhaft geringer Stromverbrauch)
    - initialer Einrichtungsaufwand (wenn man Spaß dran hat, kein Problem)

    Eine Alternative wäre eine light-Variante für PC/Mac, die ohne zusätzliche Hardware bzw. Pi-hole funktioniert:
    Dazu installiert man auf jedem internetfähigen PC eine sog. hosts-Datei, die ungewollte Verbindungen zu bekannten, schädlichen Internetadressen nicht auflöst.
    Eine solche Datei bekommt man fix und fertig vorbereitet z.B. hier: Blocking Unwanted Connections with a Hosts File

    Vorteile:
    - wenig Installationsaufwand
    - funktioniert schnell und ressourcenschonend
    - keine zusätzliche initiale und laufende Kosten

    Nachteile:
    - Anzahl und Auswahl der Einträge der hosts-Datei sind begrenzt
    - Updates der Datei (sofern nötig) müssen händisch vorgenommen werden
    - keine Auswertungsmöglichkeiten
    Zum Vergrößern anklicken....
    ... das wäre genau meine Frage gewesen: Wie aktualisiere ich diese Datei (vollautomatisch)?
    Jeden Tag ne neue Datei ziehen wäre ja prinzipiell kein Problem.
     
    Um antworten zu können musst du eingeloggt sein.
  • Standard Pattaya Afrika Afrika Phillipinen Phillipinen Amerika Amerika Blank
    Oben Unten