Ein neuer Weg Nachrichten zu senden/empfangen

[Stefan Claas]

Hallo miteinander,

Es muss ja nicht immer email, SMS, Fax, Messenger sein.

Man kan auch, wie man an diesem Beispiel sieht,
verschlüsselte Nachrichten via Web versenden /
empfangen, ohne dazu einen Webbrowser zu nutzen. :-)

https://pollux.nekoweb.org/msg/8.html

Alice:

$ enc | nekoweb msg/8.html

Process completed in 4.6044ms

Response: Files uploaded

Bob:

$ nekoweb -d https://pollux.nekoweb.org/msg/8.html | dec
Guten Abend!

Ich wünsche der Usenet Gemeinschaft einen
schönen Abend und ein erholsames Wochenende!

Grüße
Stefan

Process completed in 211.103ms

Bei Interesse zeige ich gerne die verwendeten Werkzeuge.

[Michael Uplawski]

Post by Stefan Claas
verschlüsselte Nachrichten via Web versenden /
empfangen, ohne dazu einen Webbrowser zu nutzen. :-)

Der Vorteil eines – wie auch immer – zentralisierten Dienstes für
die sichere Kommunikation gegen das Beherrschen der Technolgie(n),
erschließt sich mir nicht mehr. Ich glaube, das ist eine Aussage für
die Zukunft.

Es ist offensichtlich, dass „Beherrschen” einer Definition bedarf.
Und dennoch bleibe ich bei meiner Haltung.

Cheerio

[Peter J. Holzer]

Post by Michael Uplawski

Post by Stefan Claas
verschlüsselte Nachrichten via Web versenden /
empfangen, ohne dazu einen Webbrowser zu nutzen. :-)

Der Vorteil eines – wie auch immer – zentralisierten Dienstes für
die sichere Kommunikation gegen das Beherrschen der Technolgie(n),
erschließt sich mir nicht mehr.

Ich sehe Metadaten-Vermeidung als mögliches Motiv an. Wenn ich Dir eine
verschlüsselte Mail schicke, dann steht in den Logfiles der jeweiligen
Mailserver, wer der Sender und der Empfänger war. Und jemand der den
Traffic dazwischen überwacht, kann feststellen, dass es Traffic zwischen
den beiden MTAs gab.

Wenn ich hingegen ein File auf einen öffentlichen Webserver stelle und
Du das später herunterlädst, gibt es keinen unmittelbare Verbindung
zwischen uns[1]. Und wir können das beide über TOR machen, was die
Nachvollziehbarkeit noch einmal erschwert.

Und außerdem bestehen die Files aus bunten Quadraten. Man kann immer
behaupten, das sei ein Kunstprojekt ;-).

hp

[1] Das hängt natürlich sehr von den Zugriffsmustern ab: Wenn ein
File genau einmal hochgeladen und genau einmal heruntergeladen wird
und das in den Logfiles steht, bringt das wenig.

[Michael Uplawski]

Post by Peter J. Holzer
Ich sehe Metadaten-Vermeidung als mögliches Motiv an. Wenn ich Dir eine
verschlüsselte Mail schicke, dann steht in den Logfiles der jeweiligen
Mailserver, wer der Sender und der Empfänger war. Und jemand der den
Traffic dazwischen überwacht, kann feststellen, dass es Traffic zwischen
den beiden MTAs gab.

Freilich habe ich schnell geschrieben, oben. Aber du hast auch
schnell gelesen. ;)

Ich halte das alte Remailer-Netz für ausreichend dezentral und
gleichzeitig fähig, mindestens die Meta-Daten Geschichte zu regeln.
Dass das nicht mehr taugt, hat mit Qualität zu tun, weniger mit
einem mangelhaften Konzept.

Aber du hast natürlich recht, wenn es um die Verteidigung
zentralisierter Sicherheitsstrukturen geht. Ich muss vergleichen
können. Danach halte ich noch immer nichts davon.

[Ralph Aichinger]

Post by Michael Uplawski
Ich halte das alte Remailer-Netz für ausreichend dezentral und
gleichzeitig fähig, mindestens die Meta-Daten Geschichte zu regeln.
Dass das nicht mehr taugt, hat mit Qualität zu tun, weniger mit
einem mangelhaften Konzept.

Ich halte solche Dinge für extrem ungeschickt. Wenn irgendwas das
Mascherl "super geheim" kriegt (Remailernetze, Tor, etc.) dann
rückt es immer besonders in die Aufmerksamkeit.

Da würd ich eher geheime Nachrichten in Kommentare eines
Handtaschen-Diskussionsforums oder einen Social Media-Account zum
Thema Füllfedertinten oder Handaufzugsuhren reincodieren.
Einfach weil da nicht klar ist, *dass* überhaupt Geheimnisse
ausgetauscht werden, und der Kontakt zu solchen Themen auch zwischen
Leuten unterschiedlicher Nationen, politischer Einstellungen (auch
problematischer) etc. plausibel ist. Und auch genug obskure
Deitailinifos kommuniziert werden können, die anderes verstecken
können.

/ralph

[Ralph Aichinger]

Post by Ralph Aichinger
Da würd ich eher geheime Nachrichten in Kommentare eines
Handtaschen-Diskussionsforums oder einen Social Media-Account zum
Thema Füllfedertinten oder Handaufzugsuhren reincodieren.

Oder anders gesagt: Da könnte auch sehr viel versteckte Information
drinstecken:

https://www.instagram.com/p/COFrVFEF3ta/?img_index=1

/ralph

[Michael Uplawski]

Ralph Aichinger wrote in de.comp.security.misc:

(…)
[Remailernetz]
(…)

Post by Ralph Aichinger
Ich halte solche Dinge für extrem ungeschickt. Wenn irgendwas das
Mascherl "super geheim" kriegt (Remailernetze, Tor, etc.) dann
rückt es immer besonders in die Aufmerksamkeit.

Ich bin nicht sicher, ob ich deinen Beitrag komplett verstehe.
Frage: Du weißt, was null-Nachrichten sind, Nachrichtenpool etc. ?

In dem Fall ist das wieder eine Meinungsgeschichte, anderenfalls
formuliere noch einmal um, denn dann habe ich es noch nicht
verstanden.

Cheerio

[Ralph Aichinger]

Post by Michael Uplawski
Ich bin nicht sicher, ob ich deinen Beitrag komplett verstehe.
Frage: Du weißt, was null-Nachrichten sind, Nachrichtenpool etc. ?

Nein, ich hab keine Ahnung was Nullnachrichten etc. sind.
Dass die benutzung derartiger Systeme für sich keinen Geheimdienst auf
den Plan rufen wird, keine Strafverfolgungsbehörde etc. für sich
alleine interessiert ist auch klar, weil wohl 90% der User das aus
technischem Interesse machen und weil sie können, ohne dass sie
es bräuchten.

Aber wenn du z.B. im Iran bist und unauffällig kommunizieren willst,
dann ist halt "technisches Interesse" die unwahrscheinlichere Erklärung,
und du fallst damit auf, und man wird dich eventuell genauer ansehen.

Post by Michael Uplawski
In dem Fall ist das wieder eine Meinungsgeschichte, anderenfalls
formuliere noch einmal um, denn dann habe ich es noch nicht
verstanden.

Ich habe die Vermutung, dass je nach Kontext die Benutzung von Tor,
Remailern etc., dazu führt, dass am Abhören interessierte Leute
ihr Augenmerk auf diese Kommunikation richten, und dann nicht
notwendigerweise diese Kanäle abzuhören versuchen, sondern wohl
eher auf anderem Wege ihre Neugierde befriedigen (bei Geheimdiensten ist
z.B. alles vom Wohnungseinbruch, "Staatstrojaner" am Endgerät oder
akustischen Abhörmaßnahmen vorstellbar).

/ralph

[Stefan Claas]

Post by Ralph Aichinger
Ich habe die Vermutung, dass je nach Kontext die Benutzung von Tor,
Remailern etc., dazu führt, dass am Abhören interessierte Leute
ihr Augenmerk auf diese Kommunikation richten, und dann nicht
notwendigerweise diese Kanäle abzuhören versuchen, sondern wohl
eher auf anderem Wege ihre Neugierde befriedigen (bei Geheimdiensten ist
z.B. alles vom Wohnungseinbruch, "Staatstrojaner" am Endgerät oder
akustischen Abhörmaßnahmen vorstellbar).

Richtig! Bei mir sind damals, aus mir unerfindlichen Gründen, meine
Faraday Stoffe, aus USA und China, abhanden gekommen, die ich mir
extra für mein kleinen GPD MicroPC bestellt hatte. :-(

https://www.gpd.hk/gpdmicropc

[Michael Uplawski]

Post by Stefan Claas

Post by Ralph Aichinger
Ich habe die Vermutung, dass je nach Kontext die Benutzung von Tor,
Remailern etc., dazu führt, dass am Abhören interessierte Leute
ihr Augenmerk auf diese Kommunikation richten, und dann nicht
notwendigerweise diese Kanäle abzuhören versuchen, sondern wohl
eher auf anderem Wege ihre Neugierde befriedigen (bei Geheimdiensten ist
z.B. alles vom Wohnungseinbruch, "Staatstrojaner" am Endgerät oder
akustischen Abhörmaßnahmen vorstellbar).

Richtig! Bei mir sind damals, aus mir unerfindlichen Gründen, meine
Faraday Stoffe, aus USA und China, abhanden gekommen, die ich mir
extra für mein kleinen GPD MicroPC bestellt hatte. :-(

Erkläre doch bitte einmal, wie das „Richtig!” hier zustande gekommen ist. Im
Detail.

[Stefan Claas]

Post by Michael Uplawski

Post by Stefan Claas

Post by Ralph Aichinger
Ich habe die Vermutung, dass je nach Kontext die Benutzung von Tor,
Remailern etc., dazu führt, dass am Abhören interessierte Leute
ihr Augenmerk auf diese Kommunikation richten, und dann nicht
notwendigerweise diese Kanäle abzuhören versuchen, sondern wohl
eher auf anderem Wege ihre Neugierde befriedigen (bei Geheimdiensten ist
z.B. alles vom Wohnungseinbruch, "Staatstrojaner" am Endgerät oder
akustischen Abhörmaßnahmen vorstellbar).

Richtig! Bei mir sind damals, aus mir unerfindlichen Gründen, meine
Faraday Stoffe, aus USA und China, abhanden gekommen, die ich mir
extra für mein kleinen GPD MicroPC bestellt hatte. :-(

Erkläre doch bitte einmal, wie das „Richtig!” hier zustande gekommen ist. Im
Detail.

Post by Stefan Claas
sondern wohl
eher auf anderem Wege ihre Neugierde befriedigen (bei Geheimdiensten ist
z.B. alles vom Wohnungseinbruch, "Staatstrojaner" am Endgerät oder
akustischen Abhörmaßnahmen vorstellbar).

und da liegt er richtig. Vielen Journalisten, Aktivisten usw. ist das schon
so passiert. Siehe auch Faeser's Vorstoß in diese Richtung:

<https://www.fr.de/politik/nancy-faeaser-innenministerium-spd-polizei-bka-wohnungsdurchsuchungen-haus-staatstrojaner-software-93253069.html>

[Michael Uplawski]

Post by Stefan Claas
und da liegt er richtig. Vielen Journalisten, Aktivisten usw. ist das schon

Die werden doch nicht überwacht, weil sie die falsche Technologie
verwenden. Wenn über deinem Kopf ein roter Pfeil prangt, dann ist
es unerheblich, welche Software du verwendest.

Das reicht nicht für „Richtig!”. Die Welt wird auch nicht platt,
weil es einer unterschreibt.

[Michael Uplawski]

Post by Ralph Aichinger
Ich habe die Vermutung, dass je nach Kontext die Benutzung von Tor,
Remailern etc., dazu führt, dass am Abhören interessierte Leute
ihr Augenmerk auf diese Kommunikation richten, und dann nicht
notwendigerweise diese Kanäle abzuhören versuchen, sondern wohl
eher auf anderem Wege ihre Neugierde befriedigen (bei Geheimdiensten ist
z.B. alles vom Wohnungseinbruch, "Staatstrojaner" am Endgerät oder
akustischen Abhörmaßnahmen vorstellbar).

Okay.
Die Hemmschwelle vor dem Austausch von Kenntnissen gegen Vertrauen
ist mir zu hoch.

Da muss dann eben jeder Bedarf und Risikofreude abwägen.

Cheerio

[Christian @Soemtron]

Post by Ralph Aichinger

Post by Michael Uplawski
Ich halte das alte Remailer-Netz für ausreichend dezentral und
gleichzeitig fähig, mindestens die Meta-Daten Geschichte zu

+1

Post by Ralph Aichinger

Post by Michael Uplawski
regeln. Dass das nicht mehr taugt, hat mit Qualität zu tun,

?

Post by Ralph Aichinger

Post by Michael Uplawski
weniger mit einem mangelhaften Konzept.

Ja, sehr schade.

Post by Ralph Aichinger
Ich halte solche Dinge für extrem ungeschickt. Wenn irgendwas das
Mascherl "super geheim" kriegt (Remailernetze, Tor, etc.) dann
rückt es immer besonders in die Aufmerksamkeit.

Wäre ja schön... wenn es denn die öffentliche Aufmerksamkeit wäre, d.h.
es von sehr vielen genutzt würde. Dann müßte man sich wohl weniger Sorgen
um Privatsphäre machen. Deshalb ist schon aus Prinzip der Torbrowser mein
Hauptbrowser, mit i.d.R. abgeschaltetem Javascript. Leider gibt es noch
nicht genug TOR-Nutzer, so daß es sich Webseitenbetreiber leisten können,
diese auszuschließen oder die Nutzung massiv zu erschweren. Facebook hat
da z.B. gerade wieder unschön nachgelegt :-(Veranstaltungen werden ohne
JS nicht mehr angezeigt)
Aber Verzicht tut auch manchmal gut...

cu,
Christian

PGP Key available.

[Stefan Claas]

Post by Peter J. Holzer
[1] Das hängt natürlich sehr von den Zugriffsmustern ab: Wenn ein
File genau einmal hochgeladen und genau einmal heruntergeladen wird
und das in den Logfiles steht, bringt das wenig.

Man kann sich bei nekoweb auch via Tor, mit einer anonymen email Adresse
registrieren, was ich jedoch nicht tat.

[Peter J. Holzer]

Post by Stefan Claas

Post by Peter J. Holzer
[1] Das hängt natürlich sehr von den Zugriffsmustern ab: Wenn ein
File genau einmal hochgeladen und genau einmal heruntergeladen wird
und das in den Logfiles steht, bringt das wenig.

Man kann sich bei nekoweb auch via Tor, mit einer anonymen email Adresse
registrieren, was ich jedoch nicht tat.

Post by Peter J. Holzer
Und wir können das beide über TOR machen, was die Nachvollziehbarkeit
noch einmal erschwert.

hp

[Peter J. Holzer]

Post by Stefan Claas

Post by Peter J. Holzer
[1] Das hängt natürlich sehr von den Zugriffsmustern ab: Wenn ein
File genau einmal hochgeladen und genau einmal heruntergeladen wird
und das in den Logfiles steht, bringt das wenig.

Man kann sich bei nekoweb auch via Tor, mit einer anonymen email Adresse
registrieren, was ich jedoch nicht tat.

Post by Peter J. Holzer
Und wir können das beide über TOR machen, was die Nachvollziehbarkeit
noch einmal erschwert.

hp

[Stefan Claas]

Post by Peter J. Holzer
Und außerdem bestehen die Files aus bunten Quadraten. Man kann immer
behaupten, das sei ein Kunstprojekt ;-).

Und bei Bedarf gehen auch Linien oder bunte Kreise. :-)

https://pollux.nekoweb.org/msg/9.html
https://pollux.nekoweb.org/msg/10.html

Wenn man solche Dateien als email verschickt, dürfte man email
Filter, wie procmail und Co., umgehen, da diese dann keine PGP
Header oder Stichwörter finden. :-)

[Stefan Reuther]

Post by Peter J. Holzer
Ich sehe Metadaten-Vermeidung als mögliches Motiv an. Wenn ich Dir eine
verschlüsselte Mail schicke, dann steht in den Logfiles der jeweiligen
Mailserver, wer der Sender und der Empfänger war. Und jemand der den
Traffic dazwischen überwacht, kann feststellen, dass es Traffic zwischen
den beiden MTAs gab.
Wenn ich hingegen ein File auf einen öffentlichen Webserver stelle und
Du das später herunterlädst,

...dann muss man halt zwei Logzeilen aus dem Webserver-Log raussuchen,
um die Verbindung zu ziehen, die vom Upload und die vom Download. Ist
jetzt irgendwie auch nicht so viel besser.

Post by Peter J. Holzer
[1] Das hängt natürlich sehr von den Zugriffsmustern ab: Wenn ein
File genau einmal hochgeladen und genau einmal heruntergeladen wird
und das in den Logfiles steht, bringt das wenig.

Wie werden denn die URLs dem Empfänger bekanntgemacht? Im Zweifelsfall
ist halt der erste Uploader der Sender, und der erste Downloader mit
hoher Wahrscheinlichkeit der Empfänger.


Stefan

[Stefan Claas]

Post by Stefan Reuther
Wie werden denn die URLs dem Empfänger bekanntgemacht?

Alice braucht Bob nur eine SMS mit einer Zahl senden, so das Bob dann
in seinem Verzeichnis https://domain.org/msg/Bob/Zahl.hmtl nachschaut,
oder Alice verzichtet darauf und Bob schaut einfach so gelegentlich
nach, ob für ihn etwas vorliegt.

[Peter J. Holzer]

Post by Stefan Claas

Post by Stefan Reuther
Wie werden denn die URLs dem Empfänger bekanntgemacht?

Alice braucht Bob nur eine SMS mit einer Zahl senden,

Eine SMS unterläuft aber das Ziel, keine Metadaten zu produzieren, schon
recht deutlich, oder?

DJB hat übrigens - wenn auch mit ganz anderer Zielsetzung - von 25
Jahren schon ein ähnliches System vorgeschlagen: "Internet Mail 2000".

Post by Stefan Claas
oder Alice verzichtet darauf und Bob schaut einfach so gelegentlich
nach, ob für ihn etwas vorliegt.

Das eher. Alles, was Bob nicht entschlüsseln kann, ist nicht für ihn.
Allerdings muss Bob vorher wissen, auf welchen URLs potentiell
Nachrichten für ihn auftauchen könnten.

hp

[Stefan Claas]

Post by Peter J. Holzer

Post by Stefan Claas

Post by Stefan Reuther
Wie werden denn die URLs dem Empfänger bekanntgemacht?

Alice braucht Bob nur eine SMS mit einer Zahl senden,

Eine SMS unterläuft aber das Ziel, keine Metadaten zu produzieren, schon
recht deutlich, oder?

Ja, stimmt.

Post by Peter J. Holzer
DJB hat übrigens - wenn auch mit ganz anderer Zielsetzung - von 25
Jahren schon ein ähnliches System vorgeschlagen: "Internet Mail 2000".

Ich habe heute nochmal nachgedacht und mache das jetzt über Tor Hidden
Services, von Computer zu Computer direkt, ohne dabei OnionShare zu
nutzen, sondern mit einem einfachen Client und Server Programm in Go,
was nur wenige Zeilen beinhaltet. Morgen dazu mehr in einem neuen thread.

Post by Peter J. Holzer

Post by Stefan Claas
oder Alice verzichtet darauf und Bob schaut einfach so gelegentlich
nach, ob für ihn etwas vorliegt.

Das eher. Alles, was Bob nicht entschlüsseln kann, ist nicht für ihn.
Allerdings muss Bob vorher wissen, auf welchen URLs potentiell
Nachrichten für ihn auftauchen könnten.

Ja, Alice und Bob besprechen vorher die URLs und entsprechenden
Verzeichnisse dort.

[Stefan Claas]

Post by Stefan Claas
Ich habe heute nochmal nachgedacht und mache das jetzt über Tor Hidden
Services, von Computer zu Computer direkt, ohne dabei OnionShare zu
nutzen, sondern mit einem einfachen Client und Server Programm in Go,
was nur wenige Zeilen beinhaltet. Morgen dazu mehr in einem neuen thread.

Ich muss noch ein README (vielleicht heute Abend noch) schreiben und dann
kann man nachlesen wie das genau funktioniert.

Eine Sitzung mit server.go als Tor Hidden Service und client.go funktionieren
tadelos auf meinem Windows PC und das sieht dann so aus:

Client Ausgabe:

C:\Users\xxxxxx\Desktop>client 127.0.0.1:5870 bin secretPassword
Uploading... 100.00%
Server response: File bin successfully uploaded

File uploaded successfully

C:\Users\xxxxxx\Desktop>client -u "Stefan Claas" 127.0.0.1:5870 msg.txt secretPassword
Uploading... 100.00%
Server response: File msg.txt successfully uploaded

File uploaded successfully

Server Ausgabe auf stderr:

Server is running on http://localhost:8080
File received: bin at 17:52:10 by Anonymous
File received: msg.txt at 17:52:30 by Stefan Claas

Das dürfte eine Privatsphäre Lösung, mit Tor Hidden Services' sein,
so in etwa wie damals mit 300 baud Akustik Koppler Dateien hin und
her schieben. :-)

Zumindest Kann jetzt Alice und Bob ihre eigenen Tor Hidden Services auf
dem PC laufen lassen, nebst Client und Server Programm, im Hintergrund
und brauchen nur gelegentlich auf die Server Ausgabe schauen, ob etwas
angekommen ist. Vorteil Bei Tor ist auch IIRC das Nachts, wenn der Router
die IP Adresse ändert die Verbindung zum Zwiebel Server weiterhin besteht.

[Stefan Reuther]

Post by Peter J. Holzer

Post by Stefan Claas

Post by Stefan Reuther
Wie werden denn die URLs dem Empfänger bekanntgemacht?

Alice braucht Bob nur eine SMS mit einer Zahl senden,

Eine SMS unterläuft aber das Ziel, keine Metadaten zu produzieren, schon
recht deutlich, oder?

Eben. Und bringt auch kaum Sicherheit. Wenn ich dir sage, unter welche
Email-Adresse du mich erreichst, setze ich als bekannt voraus, wo genau
du die im SMTP einsetzen musst und wie du überhaupt mal in ein IP-Netz
kommst. Das ist nicht viel anderes als wenn ich dir eine Zahl sage, und
als bekannt voraussetze, wo du die in einer HTTP-Transaktion einsetzen
musst.

Post by Peter J. Holzer

Post by Stefan Claas
oder Alice verzichtet darauf und Bob schaut einfach so gelegentlich
nach, ob für ihn etwas vorliegt.

Das eher. Alles, was Bob nicht entschlüsseln kann, ist nicht für ihn.
Allerdings muss Bob vorher wissen, auf welchen URLs potentiell
Nachrichten für ihn auftauchen könnten.

Das ginge dann in die Richtung: wir posten verschlüsselte Nachrichten in
eine Newsgruppe, und jeder kann nur die entschlüsseln, die für ihn sind.
Gab's sowas nicht schon mal?


Stefan

[Stefan Claas]

Post by Stefan Reuther

Post by Peter J. Holzer

Post by Stefan Claas
oder Alice verzichtet darauf und Bob schaut einfach so gelegentlich
nach, ob für ihn etwas vorliegt.

Das eher. Alles, was Bob nicht entschlüsseln kann, ist nicht für ihn.
Allerdings muss Bob vorher wissen, auf welchen URLs potentiell
Nachrichten für ihn auftauchen könnten.

Das ginge dann in die Richtung: wir posten verschlüsselte Nachrichten in
eine Newsgruppe, und jeder kann nur die entschlüsseln, die für ihn sind.
Gab's sowas nicht schon mal?

Gibt es immer noch. alt.anonymous.messages.