14.05.2018

5086

Experten raten vorerst von E-Mail-Verschlüsselung ab

Auch diese Mühe kann man sich also sparen ...

LG, Thomas

Bitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben

Content-ID: 373783

Url: https://administrator.de/contentid/373783

Ausgedruckt am: 22.11.2024 um 03:11 Uhr

35 Kommentare

Neuester Kommentar

brr und dann die Verlinkung auf den Spiegel...

https://www.eff.org/deeplinks/2018/05/attention-pgp-users-new-vulnerabil ...

Hallo @keine-ahnung,
danke für den Link.
Was ich aber nicht verstehe, warum soll man es denn deaktivieren?
Eine Verschlüsselung, die leicht geknackt werden kann ist imo immer noch besser als komplett unverschlüsselt zu arbeiten.
Und mit den alten Mails passiert ja nichts, wenn ich sie nicht anklicke (wenn ich das richtig verstanden habe). Und mit deaktivierter Software komme ich auch selbst nicht mehr daran.

Oder geht es eher darum, dass man bei Benutzung von GPG den privaten Schlüssel auslesen kann und man muss einfach warten, bis ein Patch draußen ist?

Aber vielleicht muss man auch einfach bis Dienstag warten, damit man mehr weiß.

Gruß
Max

brr und dann die Verlinkung auf den Spiegel...

Um einen Gegner schlagen zu können, muss man ihn verstehen ...

Aber vielleicht muss man auch einfach bis Dienstag warten, damit man mehr weiß.

Vermutlich. Bei mir geht der Trend eh in Richtung Brieftaube ...

LG, Thomas

Oder geht es eher darum, dass man bei Benutzung von GPG den privaten Schlüssel auslesen kann und man muss einfach warten, bis ein Patch draußen ist?

Davon geh ich aus, ansonsten könnten sie die alten Emails nicht auslesen.

Was mich aber stutzig macht ist das intensive Bewerben von Signal.

Zitat von @keine-ahnung:
Vermutlich. Bei mir geht der Trend eh in Richtung Brieftaube ...

Dann lass sie besser nicht durch Köln fliegen, sie könnten abgefangen werden

Wir benutzen führ sensiblen Inhalt aktuell SPX verschlüsselte Mails oder verschlüsselte PDF's. Ansonsten fahr ich zum Kunden und hau Ihm das Papier aufn Tisch.

Zitat von @Voiper:

Wir benutzen führ sensiblen Inhalt aktuell SPX verschlüsselte Mails oder verschlüsselte PDF's. Ansonsten fahr ich zum Kunden und hau Ihm das Papier aufn Tisch.

Vor allem ist man unabhängig von installierten Tools und ein PDF-Reader ist imho Standardausstattung.

VG

Zitat von @keine-ahnung:

http://www.spiegel.de/netzwelt/web/pgp-gpg-oder-s-mime-experten-raten-v ...

Ist unleserlich, denn da steht:

Bitte deaktivieren Sie Ihren Adblocker!

Warum sehe ich SPIEGEL ONLINE nicht mehr?
Vermutlich haben Sie einen Adblocker aktiviert.

Sie haben gar keinen Adblocker oder bereits eine Ausnahme hinzugefügt?

Bitte prüfen Sie, ob Sie ähnliche Erweiterungen, Do-not-Track-Funktionen oder den Inkognito-Modus aktiviert haben, die ebenfalls Werbung unterdrücken. Hier finden Sie mehr Informationen.

Welche Bedeutung Werbung für SPIEGEL ONLINE hat, was wir für Ihre Sicherheit im Netz tun, wie unsere Redaktion arbeitet – Fragen und Antworten finden Sie hier.

Selbst schuld, wenn die nicht gelesen werden wollen.

lks

PS: PGP funktioniert trotzdem noch wunderbar. Man darf halt nur nicht bestimmte Automatismen verwenden, und nur Mails von bekannten Absendern entschlüsseln.

Dann lass sie besser nicht durch Köln fliegen, sie könnten abgefangen werden

Damned!! Schreibt der Oppa dann wenigstens einen NDR und schickt den mit der Post zu?

LG, Thomas

Zitat von @certifiedit.net:

brr und dann die Verlinkung auf den Spiegel...

www.eff.org/deeplinks/2018/05/attention-pgp-users-new-vulnerabilities-require-you-take-action-now

Aber von dem dort empfohlenen Signal als Alternative würde ich abraten

lks

Zitat von @keine-ahnung:

Dann lass sie besser nicht durch Köln fliegen, sie könnten abgefangen werden

Damned!! Schreibt der Oppa dann wenigstens einen NDR und schickt den mit der Post zu?

Wenn er den Absender des Schreibens nach dem Verzehr noch im Lokus findet dann vielleicht, aber bei der Zuverlässigkeit der gelben Indianer auf Streifzug heutzutage, wäre das Zufall

.
Vielleicht kommen dann stattdessen Rauchzeichen.
Abwarten und Gras rauchen.

Zitat von @Lochkartenstanzer:

Zitat von @certifiedit.net:

brr und dann die Verlinkung auf den Spiegel...

www.eff.org/deeplinks/2018/05/attention-pgp-users-new-vulnerabilities-require-you-take-action-now

Aber von dem dort empfohlenen Signal als Alternative würde ich abraten

lks

Wie erwähnt:

Was mich aber stutzig macht ist das intensive Bewerben von Signal.

Zitat von @Lochkartenstanzer:

Zitat von @certifiedit.net:

brr und dann die Verlinkung auf den Spiegel...

www.eff.org/deeplinks/2018/05/attention-pgp-users-new-vulnerabilities-require-you-take-action-now

Aber von dem dort empfohlenen Signal als Alternative würde ich abraten

lks

Naja die Kritik bezieht sich nur auf das Benachrichtigen der User, dass man die App nutzt. Und auch nur dann, wenn die deine Kontaktdaten schon haben. Steht komplett zu der Aussage " We're not sharing your Contact-Details" aber Sicherheitskritisch ist es nicht (Für mich).

Selbst schuld, wenn die nicht gelesen werden wollen.

Nimm Ghostery damit kann man es fehlerlos lesen

Zitat von @aqui:

Selbst schuld, wenn die nicht gelesen werden wollen.

Nimm Ghostery damit kann man es fehlerlos lesen

ich habe ghostery und umatrix. Aber nur um Spiegel lesen zu können, schalte ich da ncihts ab.

lks

ublock origin tuts auch ;)

Riecht für mich nach einer der Spectre/Intel Lücken, d.h. eventuell mit "bösartiger" E-Mail den private Key klauen der beim automatischen entschlüsseln natürlich benötigt wird. Da oft im Hintergrund die gleichen Krypto Libs verwendet werden sind Fehler an dieser Stelle wirklich unschön.

Es gibt auch schon eine Seite dazu: efail.de. Offensichtlich ist die von den Entdeckern, denn so datailiert wie die beschrieben ist, kann das keiner heute mal eben schnell gemacht haben, würde ich sagen...

Moin,

Füße still halten, so wild ist es nicht.

Offizielle Webseite zum "Problem": https://efail.de/

Und passend dazu die Entwarnung frisch vom BSI: https://www.bsi-fuer-buerger.de/BSIFB/DE/Service/Aktuell/Informationen/A ...

Sonst noch Fragen?

GnuPG hat ein paar antworten:

https://lists.gnupg.org/pipermail/gnupg-users/2018-May/060315.html
https://lists.gnupg.org/pipermail/gnupg-users/2018-May/060317.html

Viel Spaß

Gruß
Chris

Boah, ey. Das hat mit S/MIME und PGP eigentlich gar nix zu tun sondern ist ein Problem des Mailclient bzw. von HTML E-Mail. Wenn der Client externe URLs nachlädt bin ich eh schon gekniffen, da brauche ich auch kein Verschlüsselung mehr.

Heise hat auch nachgezogen:
https://www.heise.de/security/meldung/PGP-E-Mail-Verschluesselung-akut-a ...

Zitat von @aqui:

Heise hat auch nachgezogen:
https://www.heise.de/security/meldung/PGP-E-Mail-Verschluesselung-akut-a ...

Spinn ich? Der Artikel ist ja 1:1 von Spiegel geklaut.

Zitat von @AndiEoh:

Boah, ey. Das hat mit S/MIME und PGP eigentlich gar nix zu tun sondern ist ein Problem des Mailclient bzw. von HTML E-Mail. Wenn der Client externe URLs nachlädt bin ich eh schon gekniffen, da brauche ich auch kein Verschlüsselung mehr.

Das ist das, was ich schon seit Jahrzehnten meinen Kunden predige: Nur reine Text-Mails senden und empfangen und auf jedes "enrichment" verzichten.

Solange man sich damit zurückhält, solle pgp unproblematisch sein. mutt oder pine zusammen mit pgp dürfte bisher unschlagbar sein.

da wird wieder viel bohei um ein Problem genacht, daß ganz woanders herkommt.

lks

Zitat von @Voiper:

Zitat von @aqui:

Heise hat auch nachgezogen:
https://www.heise.de/security/meldung/PGP-E-Mail-Verschluesselung-akut-a ...

Spinn ich? Der Artikel ist ja 1:1 von Spiegel geklaut.

Und deswegen genauso unprofessionell.

lks

so, nicht verschlüsseln ist also besser?
Habs mal anders gelernt.

56 Bit war 1980 besser als nichts (128 gabs nur innerhalb der USA), ziemlich schnell kam PGP, ich meine 88 oder so und es heißt ja auch nur "pretty good", also ziemlich gut und nicht perfekt.

Moin nochmal,

Spinn ich? Der Artikel ist ja 1:1 von Spiegel geklaut.

nö - das ist moderner Journalismus, die Redaktionen spammen jetzt nur noch dpa-Meldungen in die Welt und versehen die, wenn da politische Inhalte drin sein sollten, mit ihrer eigenen Meinung (Empörung, Mitleid, ...)
Nennt sich betreutes Denken - alles in Ordnung

LG, Thomas

Zitat von @keine-ahnung:

Moin nochmal,

Spinn ich? Der Artikel ist ja 1:1 von Spiegel geklaut.

LG, Thomas

Hm...offenbar lese ich die Medien dieser Art zu selten :D

Nur so mal als Info:

The Efail authors confirmed to Patrick that Enigmail 2.0 and later handles MDCs correctly. So we're a little confused as to why Enigmail's listed in the paper as being vulnerable. 2/

lks

Zitat von @Voiper:

Naja die Kritik bezieht sich nur auf das Benachrichtigen der User, dass man die App nutzt. Und auch nur dann, wenn die deine Kontaktdaten schon haben. Steht komplett zu der Aussage " We're not sharing your Contact-Details" aber Sicherheitskritisch ist es nicht (Für mich).

Hier wird von Signal abgeraten und PGP /GnuPG empfohlen:

https://ivan.barreraoro.com.ar/signal-desktop-html-tag-injection/advisor ...

lks

Experten raten vorerst von E-Mail-Verschlüsselung ab

Man könnte das ganze erweitern zu:

Polizei rät von Türschlössern ab, weil die alle recht einfach zu knacken oder zu umgehen sind.

lks

PS: Braucht jemand ~~Sklaven~~ freie Mitarbeiter zum Tätowieren? Sind grad welche günstig abzugeben.

Zitat von @Lochkartenstanzer:

Experten raten vorerst von E-Mail-Verschlüsselung ab

Man könnte das ganze erweitern zu:

Polizei rät von Türschlössern ab, weil die alle recht einfach zu kacken oder zu umgehen sind.

Ist prinzipiell richtig, allerdings ist fraglich, ob Email für Geheime Informationen das richtige Mittel ist.

Demnach ist es eher so zu sehen, dass man heutzutage in ein 1.000.000 Haus eben keine Bartschlösser wie vor 150 Jahren einbauen sollte.

lks

PS: Braucht jemand ~~Sklaven~~ freie Mitarbeiter zum Tättowieren? sind grad welche günstig abzzgeben.

Was hast du im Sinn - falsches Forum?

Zitat von @certifiedit.net:

PS: Braucht jemand ~~Sklaven~~ freie Mitarbeiter zum Tättowieren? sind grad welche günstig abzzgeben.

Was hast du im Sinn - falsches Forum?

Früher nutzte man Sklaven, deren Kopfhaut man mit Tattoos für geheime Nachrichten verzierte. Heutzutage nimmt man dafür offensichtlich freiwillige freie Mitarbeiter, wie man bei Sommerwetter ganz leicht sieht.

lks