|
|
|
|
|
|
|
| | Zitat von heutenoch
| | Zitat von indifferent
Interessant.... Damit kann man mal ordentlich Metadaten-Überwachung ins Leere laufen lassen.
| |
Ein Schritt in die richtige Richtung, bis gängige OS das mitbringen wird es aber noch sehr lange dauern imho.
Dann landet die Anfrage ja auch immer noch irgendwo, aber das Problem gibts auch bei VPN/TOR. Der Client dort teilt die Anfragen an einige Hosts auf, es sollte also kein komplettes Bild irgendwo zustande kommen..
| |
Naaaja... weiss nicht, im Tor-Netz werden DNS-Anfragen an den Directory Servern geregelt, und die befinden sich innerhalb des Netzes und haben ihre eigenen DBs (in denen auch so Spässe wie .onion Seiten stehen), also DNS-Anfragen im Tor-Netz sind jetzt bereits Ende-Zu-Ende verschlüsselt und da die Directory Server hinter den Exit Nodes liegen, ist man gegenüber denen auf die gleiche Art anonymisiert wie gegenüber einer .onion Site.
Zumindest verstehe ich das so, aber da steh ich auf eher dünnem Eis.
/Scheinbar ist es nicht so... Die Logik ist: Der Exit Node leakt sowieso die IP des Ziels, also kann er genauso gut auch die DNS-Anfrage bearbeiten/weitergeben. Also die Anfrage ist nicht bis ganz zum Ende verschlüsselt, außer wenn man eine .onion Domain aufruft. Allerdings ist man a) durch die Anonymisierung geschützt und b) dadurch, dass die IP des Exit Node unter sehr vielen Benutzern geteilt wird. Letzteres ist auch bei VPNs eine nicht zu unterschätzende Massnahme gegen die Analyse der Metadaten der Endpunkte.
|
|
[Dieser Beitrag wurde 2 mal editiert; zum letzten Mal von indifferent am 07.11.2017 18:05]
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Boah ne ey, wird das jetzt auch wieder son rituelles Gejammer jedes Mal wenn die Amis ein Telefon nicht direkt aufkriegen?
Total komisch eigentlich, dass der Zirkus grade jetzt anfängt. Verschlüsselte Festplatten gibts ja auch schon seit Ewigkeiten. Meine Theorie: Gejammert wird nicht bei richtig knochenharter Verschlüsselung ala TC/VC-Platte, sondern nur wenn man sich sicher ist, das Gerät noch knacken zu können. Man will ja nix Nützliches verraten, und den Druck auf die Hersteller kriegt man auf die Art genauso gut. Ich hab jedenfalls noch keine Beschwerde über PGP, LUKS oder VC gehört. Bei den Platten von Indymedia hiess es ja auch nur "sind verschlüsselt".
-------------
Wenn ihr mal einen richtig grausigen Opsec-Guide lesen wollt, hab ich ne Empfehlung: Den Spiegel-Ratgeber für potentielle Informanten.
http://m.spiegel.de/extra/a-1030502.html (datiert auf 2015)
1. Seite für Informanten über nacktes HTTP erreichbar, da kann man schon mal klatschen
2. Gute Wege laut Spiegel:
- Telefon
- Post
Sowas zu empfehlen ist eigentlich unter aller Sau. Zugegebenermaßen ist der Rest des Guides gar nicht so verkehrt, sie haben sogar nen Public Key auf der Seite und nen Webmailer mit TLS für Doofe. Das ist schonmal mehr als der Rest der deutschen Qualitätspresse. Ich glaube die checken auch alle noch nicht, was ihnen da an Stories entgeht. Pro Publica zeigt was da ginge, das ist die Seite wo z.B. John Oliver die Hälfte seiner Ideen und Belege hernimmt. Da klickt man einmal auf "get involved", auf der Seite steht was sie für Leute/Situationen untersuchen wollen, und man kann auf jedem sicheren Weg Kontakt aufnehmen. Die Seite enforced TLS mit Cert Pinning und bietet sogar nen Hidden Service an. So sieht der Guide bei denen aus:
https://www.propublica.org/leak-to-us/
TLDR: Normale Mail bitte nur wenns wirklich nix sensibles ist, angeboten werden PGP-Mails, Signal, verschlüsselte Sticks per Post oder deren "virtueller Briefkasten", der nur über Tor erreichbar ist.
Dann kommt ne Belehrung über Metadaten, Decknamen, Briefkästen und TAILS wird auch noch erklärt. Das könnte man einfach mal so kopieren, ggf übersetzt. Darf man auch, eine Anleitung mit dem Titel "steal our stories" ist direkt daneben. 
|
|
[Dieser Beitrag wurde 2 mal editiert; zum letzten Mal von indifferent am 16.11.2017 6:28]
|
|
|
|
|
|
|
|
|
|
Ich möchte gern anonym Bloggen. Am besten ohne eigene Domain, und mit dedizierter Wegwerf-Email bei irgendeinem Blog-Anbieter. Kann da jemand ne kostenlose Platform empfehlen?
|
|
|
|
|
|
|
|
|
|
|
Tumblr. Aber ob du unter den ganzen bloggenden Crossdressern da noch Leser findest wage ich mal zu bezweifeln.
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
| | Zitat von hödyr
Ich möchte gern anonym Bloggen. Am besten ohne eigene Domain, und mit dedizierter Wegwerf-Email bei irgendeinem Blog-Anbieter. Kann da jemand ne kostenlose Platform empfehlen?
| |
tumblr/blogspot/wordpress
(Aber wenn du dich outen möchtest, dann will ich nur sagen, ich steh komplett hinter dir.)
|
|
[Dieser Beitrag wurde 1 mal editiert; zum letzten Mal von csde_rats am 17.11.2017 21:14]
|
|
|
|
|
|
|
|
|
Wer sind die geheimnisvollen Blogger rydöh und star_edsc?
Was werden sie enthüllen?
|
|
[Dieser Beitrag wurde 1 mal editiert; zum letzten Mal von Herr der Lage am 18.11.2017 10:44]
|
|
|
|
|
|
|
|
|
| | Zitat von indifferent
Boah ne ey, wird das jetzt auch wieder son rituelles Gejammer jedes Mal wenn die Amis ein Telefon nicht direkt aufkriegen?
Total komisch eigentlich, dass der Zirkus grade jetzt anfängt. Verschlüsselte Festplatten gibts ja auch schon seit Ewigkeiten.
| |
Verschlüsselte Festplatten sind absolut kein Standard unter PC-Nutzern (Attentäter eingeschlossen) und daher nicht im Ansatz auf der gleichen Ebene des Problems.
Zudem hast du auf Smartphones die interessanten Daten, nämlich soziale Kontakte und Kommunikation, die dir weitere Aufklärung ermöglichen. Auf einem Rechner müsste schon aktiv ein Adressverzeichnis angelegt sein. Die Steam-Library ist ansonsten kein brauchbares Ermittlungsergebnis.
|
|
|
|
|
|
|
|
|
|
Vom Blog des Dicken:
| | Chris Vickery von UpGuard staunte nicht schlecht, als er Amazons Cloud-Speicherdienst S3 nach offenen Türen abklopfte. Dort fand er unter den Namen "Centcom-Backup", "Centcom-Archive" und "Pacom-Archive" drei riesige Datencontainer mit Überwachungsdaten aus sozialen Netzwerken rund über den Globus verteilt. Der Name CENTCOM steht für die militärische Leitung der US-Streitkräfte Cental Command. PACOM steht für Pacific Command, also den Teil der Streitkräfte, der sich um China, Asien und Australien kümmert.
Zu den überwachten Netzwerken gehört auch Youtube.
Die Datencontainer sollen dutzende Terabyte an Rohdaten aus Überwachungen sozialer Netzwerke enthalten. Vickery lud eine Probe von 400 GByte herunter mit 1,8 Milliarden Social-Media-Beiträgen aus den vergangenen acht Jahren. | |
https://www.heise.de/newsticker/meldung/Terabyte-grosse-Datencontainer-entdeckt-US-Militaer-ueberwacht-Soziale-Netzwerke-weltweit-3893569.html
Ich muss zugeben, dass mich solche Geschichten immer mit einer gewissen Genugtuung erfuellen, einfach weil ich seit meinem ersten Kontakt mit "der Cloud" predige, immer eine Ende-Zu-Ende Verschluesselung vorzuschalten. Es ist mittlerweile echt nicht mehr so schwer, aber trotzdem macht es keiner. Die Blueten dieses Verhaltens sieht man bei solchen Geschichten oder bei "The Fappening".
Ordentlich gemacht hat es (leider) z.B. Gamma aka FinFisher, so dass selbst beim Aufknacken von deren Cloud keinen nennenswerten Schaden gab.
|
|
[Dieser Beitrag wurde 1 mal editiert; zum letzten Mal von indifferent am 20.11.2017 15:47]
|
|
|
|
|
|
|
|
|
|
Ich bin mir recht sicher die Verbindung zur Amazon Cloud ware Ende zu Ende verschluesselt, was du meinst ist eher fehlende "data at rest" Verschluesselung..
|
|
|
|
|
|
|
|
|
|
|
Ende zu Ende heisst, auch der Cloudanbieter hat die Daten nicht in Rohform. Siehe DE-Mail Diskussion. Die beiden Enden sind die "Besitzer" der Daten.
Insofern gibt es kein "Verbindung zur Amazon Cloud ist Ende zu Ende verschluesselt", das nennt man Transportverschluesselung.
/Ergaenzung: Man kann von einer End2End Verschluesselung sprechen, wenn der Anbieter der eigentliche Empfaenger ist - etwa beim Online-Banking -, auch wenn das erstmal die gleiche Technologie (TLS) ist. Das ist aber ein komplett anderer Fall.
|
|
[Dieser Beitrag wurde 1 mal editiert; zum letzten Mal von indifferent am 20.11.2017 16:43]
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Notice of Data Breach | Imgur Blog
| | On November 23, Imgur was notified of a potential security breach that occurred in 2014 that affected the email addresses and passwords of 1.7 million user accounts. [...]
We are still investigating how the account information was compromised. | |
|
|
|
|
|
|
|
|
|
|
|
Facebook verlangt Foto zur Identifizierung
Wer kein Porträtbild von sich hochlädt, bekommt keinen Zugriff auf sein Profil: Mit dieser drastischen Methode will Facebook in seinem Netzwerk künftig möglicherweise den Unterschied zwischen Menschen und Bots erkennen.
|
|
|
|
|
|
|
|
|
|
Das wird auf gar keinen Fall zurueckschiessen (Leute nehmen Fotos, machen den Augenabstand 0,5 cm groesser und senden sie als ihre ein).
Die Leute scheinen auch immer noch nicht zu begreiffen, dass Biometrie ein Big Deal ist und so eine Massnahme den Betreibern ermoeglicht, hunderttausende Leute auf allen Fotos und Videos die sie so im Internet rumfliegen haben wiederzuerkennen. Ansonsten waere die Story nicht in unserem Nischenthread, sondern in allen Zeitungen und pOT-News.
|
|
|
|
|
|
|
|
|
|
|
|
Wenn man Biometrie und PhotoDNA o.ä. verbindet, dürfte so ein "Hack" wohl auch erkennbar sein.
|
|
|
|
|
|
|
|
|
|
|
|
Bis jetzt wurde um jede biometrische Erkennung ein billiger Umweg gefunden wenn man es drauf anlegt... und eine eingeschickte zweidimensionale Grafik ist nach heutigen Standards schon eine echt beschissene Datenbasis.
|
|
|
|
|
|
|
|
|
|
|
| | Zitat von FredBert
Wenn man Biometrie und PhotoDNA o.ä. verbindet, dürfte so ein "Hack" wohl auch erkennbar sein.
| |
| | PhotoDNA ist eine von Microsoft in Zusammenarbeit mit der Universität Dartmouth entwickelte Technik um Fotos anhand eines robusten Fingerabdrucks zu identifizieren. Dieser ist gegenüber leichten Veränderungen des Fotos, wie Farbveränderungen oder Verkleinern, unempfindlich.[1] Dazu wird das Bild in ein Schwarz-Weiß-Bild gewandelt, verkleinert und mit einem Raster in Einzelbilder zerlegt. Jedes Einzelbild wird nach dem stärksten Gradienten abgesucht. Die Gradienten aller Bilder zusammen ergeben die PhotoDNA.[2]
Sie wird eingesetzt, um kinderpornographische Bilder in Webdiensten von Microsoft[3], Google[4], Facebook, Twitter[5] und anderen Firmen aufzuspüren, zu blockieren und entsprechenden Behörden zu melden.[4] > | |
Einzelne komplette Fotos kann man damit vermutlich ganz gut wiedererkennen. Aber wenn du dir nur das Gesicht von irgendeinem Otto aus dem nächstbesten Amateurporno ausschneidest (also somit nur ca. 5% des Bildmaterials eines Einzelbildes aus einem ganzen Film), glaube ich nicht, dass das Programm die Herkunft erkennen kann. Mal so als Beispiel.
|
|
|
|
|
|
|
|
|
|
|
Mir ging es gerade darum, dass FB Duplikate erkennen können dürfte. Nicht, dass man ne Gesichtserkennung trollen kann.
Und wenn du ein Foto von dir hochladen musst, um an dein Profil zu kommen, haben sie wahrscheinlich schon genug nicht-manipulierte Fotos, um dich effektiv auszusperren.
Fake-Profile komplett verhindern wird man natürlich nicht können, aber zumindest den Aufwand dafür erhöhen.
|
|
[Dieser Beitrag wurde 2 mal editiert; zum letzten Mal von FredBert am 29.11.2017 18:16]
|
|
|
|
|
|
|
|
|
| | Zitat von indifferent
Bis jetzt wurde um jede biometrische Erkennung ein billiger Umweg gefunden wenn man es drauf anlegt... und eine eingeschickte zweidimensionale Grafik ist nach heutigen Standards schon eine echt beschissene Datenbasis.
| |
Keine Sorge, wenn erst jeder Bahnhofspassbildautomat biometrische dreidimensionale Gesichtsscans machen kann wird Facebook die auch nachfordern.
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
| | Zitat von Herr der Lage
“in the event of global internet malfunctions,”
| |
Russland, China...ja. Verstehe gar nicht, wie die darauf kommen könnten, dass es Probleme mit dem Internet gibt.
I see you have a nice internet there...it would be a shame if...something happened to it.
|
|
|
|
|
|
|
|
|
|
|
Solange ich alle 3 (oder dann 4) Internets über Tor erreichen kann, können die Russen meinetwegen auch nen eigenen DNS bauen 
|
|
[Dieser Beitrag wurde 1 mal editiert; zum letzten Mal von indifferent am 04.12.2017 0:46]
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Nochmal zum Thema "mein Telefon belauscht mich": ich hab mit Plattenspielern nichts am Hut. Null.
Vorhin war ein Freund da, und dann erzählt er mir dass er sich schon länger einen Plattenspieler bauen möchte.
Jetzt, 2h später, schau ich in FB über den Browser (die App hab ich aus aluhut Gründen nicht drauf), und ich bekomme Werbung von Teilen zum Bau eines Plattenspielers. Ja, ich bin auch erstaunt dass es so spezifische Dinge auf Facebook gibt.
Ich hab derzeit auch kein Internet am PC, und der Freund der eben da war ist zwar in meiner FB Freundesliste, aber via Facebook hab ich vor 2 Jahren mit ihm Kontakt gehabt.
Es gibt also jetzt 2 Möglichkeiten:
1. Zufall.
2. Mein Handy hat mir bzw uns zugehört während der Bildschirm gesperrt war und Musik nebenbei davon gespielt wurde und die Gespräche wurden entsprechend ausgewertet.
Ist ja eine Sache wenn man sich die Schrott App lädt, aber das find ich gar nicht lustig.
Gerät ist ein Redmi 3S mit original MIUI Rom von Xiaomi, selbst geflashed weil eine Vendor Rom drauf war.
Mal sehen was es da so für LOS gibt.
Screenshot der Werbung kann ich morgen Posten, dann hab ich wahrscheinlich wieder Internet am PC.
e: | | Zitat von Nose
Ahso, ich bin ja doof: Mein Kumpel hat die FB App auf seinem IPhone, und über die WLAN-SSIDs hier war natürlich klar wo er ist. -> Also wurde auch mir diese Werbung angezeigt.
| |
|
|
[Dieser Beitrag wurde 1 mal editiert; zum letzten Mal von Nose am 12.12.2017 12:43]
|
|
|
|
|
|
|
|
|
|
3. Der Freund hat irgendjemandem auf FB erzählt, dass er sich mit Nose über den Bau eines Plattenspielers unterhalten hat - etwas, dass er schon länger plant, und es sich um den Nose handelt, den er in seiner Freundesliste hat.
|
|
|
|
|
|
|
|
|
|
|
In letzter Zeit häufen sich solche Geschichten, kann das sein?
So ist zumindest mein Gefühl, ob es ne reale Entwicklung ist weiß ich noch nicht.
|
|
|
|
|
|
|
|
| Thema: Verschlüsselung und Anonymität III ( Privatsphäre jetzt ) |
