werk2-vortrag/slides.md

Verschlüsselung von digitalen Geräten

19.12.2023 dezentrale e.V.

---

dezentrale.space

• Hackspace
• Anlaufpunkt für alle Technikinteressierte
• Gleich am Lindenau-Markt
• wöchentl. Projekte/Veranstaltungen
• Hardware 4 Future
• Techniksprechstunde
• Freifunk Leipzig
• Crypto Party (in Planung)
• u.v.m.

Tim

Vielleicht bevor wir ins Thema einsteigen ein paar Worte zu uns. Wir sind ein Hackspace. Hackspace ist eine Ort für Technikinteressierte. Technikinteressierte heißt dabei nicht zwingend, dass man in den Bereich arbeitet. Unsere Mitglieder arbeiten in verschiedenen Bereich neben der IT in sozialen Berufen, Logistik, etc.

Wir haben über die Woche ständig Veranstaltungen im Space. Bekannt sind wir so manchen vielleicht durch unsere Projekt Hardware 4 Future oder unsere Techniksprechstunde. Bei uns trifft sich wöchentlich die Freifunk Leipzig Community. Eine Crypto Party ist zz. noch in der Planung. Aber wir haben noch viele andere Veranstaltungen. Wer dazu etwas wissen möchte, kann uns gern nach der Veranstaltung ansprechen oder im Space vorbeikommen.

---

Disclaimer und Zielsetzung

• Vortrag nur Einsteig
• eigene Recherche unumgänglich
• Themenbereich komplex
• Nicht alles auf einmal
• erfolgreich, wenn alle mitmachen

---

Was der heute nicht passiert

❌ 1,5h Schritt-für-Schritt-Anleitung

❌ Gruselgeschichten über Überwachung

❌ Anleitungen wie werde ich unsichtbar

Tim

Was ihr heute nicht bekommt

Eine Schritt-für-Schritt-Anleitung wir man alles sicher macht. Das erfordert eine genau Kenntnis, was ihr einsetzt, warum ihr es einsetzt.

Weiter sollte man sich keine Illusionen machen, dass ihr hier etwas hört, was für immer Bestand hat. Wir versuchen die Best-Practices zu vermitteln. Sie umsetzen müsst ihr selbst.

---

Geräteverschlüsselung

Warum? Ich bin doch nur ...

Alex

Zuerst

---

Passant

Bild: Alexander Böhm

---

Demonstrat:in

Quelle: L-IZ/Bild: Tom Richter

---

Journalist:in

Quelle: Welt.de

---

im Einsatz

Quelle: X/Simon (@simmerl19)

---

Straßenkampfromantik

Quelle: MDR/Bild: Bernd März

---

Zur Falschen Zeit am falschen Ort

---

Unfreiwillig im Polizeikessel

Quelle: L-IZ/Bild: Tom Richter

---

Beschlagnahme

Bild: Openclipart/@schoolfreeware

---

Hausbesuch

Bild: LZ

---

Geräte weg

Bild: Wikipedia/Vyacheslav Argenberg

---

Und noch mehr Geräte weg

Bild: Wikipedia/JDC808

---

... und noch mehr Geräte weg

Bild: Wikipedia/Raimond Spekking

---

... achja und die Cloud

Bild: Wikipedia/Free Clip Art

---

Keine Ahnung

Bild: dribbble.com/Fremox

Ich hab doch sowieso keine Ahnung. Ich nutze die Geräte ja nur. Da gibts so viele Leute, die so viel mehr Ahnung haben.

---

Überwachung überall

Quelle: Youtube/JRE Clips

Und Die Überwachung ist ja überall. Die Firmen überwachen uns ständig. Der Staat überwacht uns ständig. Meine Daten sind sowieso schon überall.

---

Aber: Das stimmt so nicht. Ihr könnt selbst aktiv werden und dagegen etwas tun.

---

Digitale Selbstverteidigung

• Datenschutz und -sicherheit
• Technik nur Basis
• ohne Organisation zwecklos
• Was passiert mit meinen Daten?
• Wo sind meine Daten?

Tim

Dagegen hilft digitale Selbstverteidigung

Datenschutz meint dabei den Schutz vor der Erlangung ggü. Dritten. Sicherheit bedeutet, dass die Daten nicht zweckentfremdet oder manipuliert werden.

Technik stellt dabei nur die Basis. Die beste Technik hilft nichts, wenn ihr Zweck durch den Nutzer umgangen wird. Gründe gibt es dafür viele.

Deshalb ist Organisation dafür grundlegend wichtig. Wenn ich einem Gerät oder einer Software meine Daten anvertraue, sollte ich mir zwei grundlegende Fragen stellen. Was passiert mit meinen Daten und wo sind sie?

Und das sind Fragen, die sich jeder stellen kann. Was passiert mit dem Katzenvideo, wenn ich es an meine Freunde schicke.

---

Risikobewertung

Gute digitale Selbstverteidigung beginnt immer mit einer realistischen Abschätzung der Bedrohungsszenarien

---

Beweissicherung

Als Beweismittel fallen Datenträger unzähliger Formate, Magnetbänder, Magnetbandkassetten, Fest- und Wechselplatten, Speicherkarten aller Formate, E-Book-Reader, Spielekonsolen, Chipkarten, optische Medien sowie Mobiltelefone/Smartphones und SIM-Karten an. [...]

Immer größere Relevanz bekommen Speicherkapazitäten im Internet, so genannte Cloudspeicher.

Quelle: Website BKA

---

Blick ins Gesetz

• Beschuldigte:r im Verfahren
• Aussageverweigerungsrecht
• Schutz durch Beruf?
• Passwort = Aussage
• Kein Passwort = Aussageverweigerungsrecht
• Biometrie (Fingerabdruck, Gesicht) ≠ Passwort

Wenn ich beschuldigter im Verfahren bin, dann habe ich ein Aussageverweigerungsrecht. Eventuell habe ich auch besondere Rechte, weil ich einem geschützten Beruf ausübe, wie Journalist:in, Ärzt:in, Seelsorger:in. Grundsätzlich wird mein Passwort als Aussage gewertet. Wenn ich es nicht mein Passwort herausgeben, dann mache ich keine Aussage, was mein Recht ist. Allerdings sollte beachtet werden, dass biometrische Merkmale bspw. der Fingerabdruck nicht dazu zählen.

---

Geräteverschlüsselung

Braucht meist geschütztes Merkmal Schützt vor Zugriff Dritter Weit verbreitet Umgehung ⇒ Wissen & Technik ⚠️ Integrität des Gerätes

USB Keylogger, Bild: Wikipedia/Stefan Bellini

---

Aber

bei Verschlüsselung gibt es viele Stolperfallen

---

Convenience

• automatische Entsperrung
• Entsperrung mit dem Fingerabdruck
• Entsperrung mit unsicheren PIN
• Entsperrung mit unsicheren Passwörter
• mehrfach verwendete Passwörter
• Rücksetzmechanismen

---

Informationslecks

• unverschlüsselte Daten in der Cloud
• unverschlüsselte Backups
• Pseudosichere Lösungen
• schwache Algorithmen
• technische Umsetzung

---

Datenverlust

• Vergessene Passwörter
• Verlorene Schlüssel
• Verlorene/gesperrte Geräte & Accounts
• Unzureichende hinterlegte Rücksetzinformationen

---

Was macht ein gutes Passwort aus?

• Schwer zu erraten
• Möglichst lang -> Länge > Komplexität
• Leicht einzuprägen -> Aufzeichnung verringert Sicherheit
• Keinen unmittelbaren Bezug zur eigenen Person

---

Wie erstelle ich ein Passwort das diese Anforderungen erfüllt?

• Passphrasen generell leichter zu merken
• Können generiert oder ausgedacht werden

---

Hypothetisches Szenario

• Angeschaltetes Gerät
• Gerät hat PIN & gesperrt
• Sensible Daten sind auf dem Gerät
• Angreifer möchte an Daten

Alex

---

Gerät weg

• Nutzer hat Screen-Lock aktiviert
• Gerät wird entwendet oder Beschlagnahme
• Entsperrung mit Fingerabdruck meist einfach
• PIN raten wird schwierig, evlt. Sicherung in Hardware (Apple/Google) oder viele PINs durchraten
• Sehr teuer Sicherheitslücke ausnutzen
  • bspw. Bayern 250.000€ für Einrichtung eines Labors
  • Begrenzte Ressourcen
  • Auslagerung an Dienstleister

---

Cloud weg

---

Geräteverschlüsselung

Tim

---

Smartphones

---

Android

• PIN setzen
• regelmäßig Updates
• Unterstützung für Speicherkarten
• Probleme
  • Fingerabdruck
  • Support-Ende nach 18 Monaten ab Verkaufsstart
• Variante GrapheneOS mit Sicherheitsfokus

---

iOS

• PIN setzen ist Pflicht
• regelmäßig Updates
• Langer Supportzeitraum
• Probleme
  • Entsperrung mit FaceID/Fingerabdruck/Watch
  • Supportende unklar

---

PCs

Alex

---

Hardware

Betriebssystem unabhängig Festplatten verschlüsselt selbst Probleme OPAL-Unterstützung notwendig Kaum überprüfbar Hersteller-abhängig

---

Windows (1)

Bitlocker Freischaltung bei Start Probleme nur Pro-Versionen Wiederherstellungsschüssel sicher aufbewahren

---

Windows (2)

Veracrypt Alternative zu Bitlocker Externe Laufwerke Freischaltung bei Start BSI-Audit Probleme: Systemupdates

---

Linux

Bei Installation Systemverschlüsselung Nur Nutzerdaten möglich Probleme Nachträglich aufwendig

---

MacOS

FileVault 2 Freischaltung bei Start Nachträglich aktivierbar Probleme Diskrepanz zwischen Login- und Verschlüsselungspasswort möglich Time Machine Backups standartmäßig unverschlüsselt

---

Kollaboration

Tim

---

Ende-Zu-Ende-Verschlüsselung hilft

---

Messenger Allgemein

• Nutzt Messenger, die
• ihren Code prüfen lassen
• Verifizierung von Kontakten unterstützen
• Ende-zu-Ende verschlüsseln
Beispiele
• Signal
• Matrix/Element
• Briar
• Threema

---

Kommerz. & kostenlose Messenger

• Keine Empfehlung
• Privatsphäre gegen Profit
Telegram
• Server Code nicht öffentlich
• Kein Crypto standardmäßig
• Kein Crypto bei Gruppenchats
WhatsApp
• Tracker
• Code nicht öffentlich
• ...

---

E-Mail

• (Open)PGP oder S/MIME
• Erfahrungsgemäß schwierig
• Öffentliche Schlüssel auf Keyserver

---

VPN

• Geeignete Anwendungsfälle begrenzt
• Viel Desinformation/Halbwahrheiten durch Werbung
• Primär Vertrauensverlagerung

---

Cloud Dienste

Anwendungszweck wichtig Cryptomator Cryptpad Nextcloud

Alex

• Cryptomator
  • Anbindung für diverse Cloud-Anbieter
  • Daten nur verschlüsselt abgelegt
• Cryptpad
  • Kollaborationsplattform
  • E2E-Verschlüsselung
• Nextcloud
  • Diverse Applikationen
  • Self-Hosting
  • E2E-Verschlüsselung optional

---

Passwortspeicher - Browser

• Webbrowser
• ⚠️ Synchronisation (Google)
• Master Passwort setzen (Firefox)
• Integration in Betriebssystem (Apple)
• 3rd-Party Lösungen

---

Passwortspeicher - Betriebssystem

• Betriebssystem
• Schlüsselring
• Problem mit automatischen Logins

---

Passwortspeicher - 3rd-Party

• Diverse Lösungen
• Teilw. mit Integrationen
• Beispiele
  • KeePass
  • KeePassX / KeePassXC
  • Bitwarden
  • etc.

---

Zum Nachlesen

Anleitungen Anlaufstellen Termine Link: fckaf.de/OUY

---

Q&A