Tag Archives: Acrylmensch

Enigmail und die Suche

Nach dem Studium habe ich E-Mailverschlüsselung bewusst nicht mehr genutzt. Der Grund: die Suche – verschlüsselte E-Mails lassen sich nicht finden, weil sie von Thunderbirds Suche nicht indiziert werden. Bei der Flut an E-Mails, die sich im Laufe der Zeit ansammeln ist das für mich ein klares NO-GO.

Bis vor Kurzem hatte ich mich damit abgefunden, dass dieses Problem nicht lösbar sei und ganz bewusst darauf verzichtet, E-Mails zu verschlüsseln oder andere zu animieren, mir verschlüsselte E-Mails zu schicken.

Unterschiedliche Sphären

Nun muss man sich beim Thema Sicherheit immer im klaren sein innerhalb welcher “Sphäre” man sich bewegt und wie vertrauenswürdig diese ist. Davon ausgehend, dass Sender und Empfänger ihre E-Mails jeweils auf einem Server liegen lassen (IMAP), der nicht unter ihrer Kontrolle steht und zudem immer auch eine lokale Kopie behalten, gibt es fünf relevante Sphären:

  • der Rechner des Kommunikationspartners
  • der E-Mailserver des Kommunikationspartners
  • der Transportweg
  • mein E-Mailserver
  • mein Rechner

Über den Rechner und den E-Mailserver des Kommunikationspartners habe ich keinerlei Kontrolle. In diesen beiden Sphären gibt es keine Möglichkeit, sicherzustellen, dass Nachrichten vor dem Zugriff Unberechtigter geschützt sind. Der Kommunikationspartner könnte die E-Mails hier unverschlüsselt ablegen und ich würde es noch nicht einmal bemerken. Die beiden Sphären “Rechner des Kommunikationspartners” und “E-Mailserver des Kommunikationspartners” sind also unsicher und unkontrollierbar. Da hilft nur Vertrauen, dass der Partner diese Sphären sicher macht.

Die Sphären “Transportweg” und “mein E-Mailserver” müssen per se als unsicher angesehen werden. Ich kann nicht sicher sein, dass hier niemand mitliest. Aber die beiden Sphären sind kontrollierbar. Ich kann entscheiden, wie meine Nachrichten innerhalb aussehen weil ich diese in die Sphären einbringe.

Die letzte Sphäre “mein Rechner” ist kontrollierbar und ich bin in der Lage, dafür sorgen, dass sie auch sicher ist. Letzteres kann beispielsweise durch Festplattenverschlüsselung erreicht werden.

Sicherheit in den drei kontrollierbaren Sphären

Ziel ist es, dass innerhalb der kontrollierbaren Sphären nur Berechtigte in der Lage sind, den Inhalt meiner E-Mails zu lesen. In den beiden unsicheren Sphären “Transportweg” und “mein E-Mailserver” kann ich das erreichen, indem ich die Nachrichten verschlüssele. Ich verpacke die Nachrichten damit in eine sichere Sphäre, bevor ich sie in eine unsichere einbringe. In der sicheren Sphäre “mein Rechner” ist das nicht notwendig, weil die Sphäre durch andere Maßnahmen ja bereits sicher ist.

Vertrauen ist alles

Letztlich geht es immer nur darum, wie groß mein Vertrauen in die Sicherheit einer Sphäre ist. Und natürlich, wie sicher “sicher” denn sein soll (wie stark der Angreifer sein darf). Ich muss glauben, dass der “Rechner des Kommunikationspartners” und der “E-Mailserver des Kommunikationspartners” sicher sind. Ich muss glauben, dass die von mir verwendete Verschlüsselungstechnologie sicher ist und ich muss glauben, dass die Maßnahmen, die ich ergreife, “meinen Rechner” sicher zu machen ausreichend sind. Und natürlich muss ich auch Thunderbird, Enigmail und dem Linuxkernel vertrauen 🙂 .

Enigmail und die Suche

Nach all der Vorrede will ich nun aber zum Thema dieses Posts kommen. Wie eingangs bereits dargelegt ist eine funktionierende Suche in meinem Desktop-E-Mailprogramm für mich ein absolutes MUSS. Wenn ich nun wie ausgeführt davon ausgehe, dass “mein Rechner” eine sichere Sphäre ist, so kann ich E-Mails hier getrost in unverschlüsselter Form ablegen und von der Suche indizieren lassen. Und genau das ist mit Enigmail möglich. Dazu wird ein Mailfilter angelegt, der von jeder eingehenden verschlüsselten E-Mail eine unverschlüsselte Version in einem LOKALEN Ordner ablegt. Diese Kopie wird indiziert und bei einer entsprechenden Suchanfrage gefunden.

enigmail-message-filter

Wichtig dabei ist, dass die unverschlüsselte Kopie ausschließlich in der sicheren Sphäre “mein Rechner” verbleibt und dafür ein Odner im lokalen Account benutzt wird. Keinesfalls darf hier ein IMAP-Ordner gewählt werden.

Fazit

Mit Hilfe von Thunderbirds Nachrichtenfiltern und der von Enigmail mitgebrachten Filteraktion “Create decrypted Copy” ist es möglich, verschlüsselte Kommunikation innerhalb von Thunderbird suchbar zu machen. Serverseitig funktioniert das selbstverständlich nicht. Solange der E-Mailserver nicht als sichere Sphäre betrachtet werden kann dürfen die betreffenden Nachrichten hier niemals unverschlüsselt abgelegt werden. Genauso verhält es sich mit anderen E-Mail-Clients, die sich nicht in einer sicheren Sphäre befinden wie Smartphone, Portable Edition von Thunderbird, etc.

Für mich genügt das aber, um wieder aktiv GPG zu nutzen und zu propagieren.

In diesem Sinne (nur für private E-Mails):

-----BEGIN PGP PUBLIC KEY BLOCK-----
Version: GnuPG v2
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=DCD9
-----END PGP PUBLIC KEY BLOCK-----

Dank geht an dieser Stelle an meinen Kollegen Carsten, der mich nach einer Diskussion über dieses Thema auf die Filteraktionen von Enigmail aufmerksam gemacht hat.

Mir fehlen die Worte

Keine Zukunft: HP gibt WebOS-Geräte auf – Golem.de.

Was soll man dazu sagen. Ich hab im letzten Jahr einen guten Teil meiner Freizeit genutzt, um mich mit WebOS vertraut zu machen, und es hat sich gut angefühlt. Dieses Jahr habe ich sogar einen Entwickler-PRE2 erhalten …

Tja und jetzt bin ich froh, dass sich noch kein HP-Touchpad in meinem Besitz befindet.

Dabei schien Palm und später HP aus Anwendersicht genau alles richtig zu machen:

  • Offenes System (Linux, Quellen aller OOTB-Apps verfügbar)
  • Kein erzwungener App-review durch diverse Verbreitungsmöglichkeiten (Web-catalog, alternative Feeds)
  • Aktive Unterstützung der Homebrew-community
  • Kein Zwang, persönliche Daten wie Kontakte oder Termine mit Palm/HP zu teilen

Die große Frage ist nun: Was ist die Alternative?  Apple ist hier ein totales NO-GO und hinter Android steht Google. – MIST!

Ich bin unglaublich enttäuscht!

Werbung mangels Akzeptanz

Heute war ich seit Langem einmal wieder im Kino (Die Chroniken von Narnia 3d – nett).

Besonders lustig war dabei die Einstimmung auf den Film. Nachdem einem qualmverherrlichenden Zigarettenspots inzwischen ja erspart bleiben, durfte Werbung für den neuen super-sicheren Eh-Perso und google-wir-zeigen-der-ganzen-Welt-was-man-sonst-höchstens-lokal-sehen-kann-street-view konsumiert werden.

Mal abgesehen davon, dass jedes einzelne Argument für die neue handliche “eine Karte für alles” gelogen war, hab ich mich gefragt, ob wir im nächsten Jahr wohl Werbung für die Anlage N der Einkommensteuererklärung oder den dann etwas geänderten JMStV sehen werden und ob die Kosten für den gefühlten 5-Minuten-Spot in den knapp 30,– € mit einkalkuliert waren.

Einordnung von Flattr

Generelles Zum Thema Persönliche Daten und Soziales Internet

Wer hier gelegentlich ließt, der weiß, wie ich zum Thema soziale Netze stehe (plapperVZ ist ansonsten ein guter Start :)).

Nun ist es ja nicht so, dass ich den Wert solcher Dienste nicht sehen würde, nur fürchte ich mich unglaublich davor, einen derart intimen Einblick in mein Privatleben zu gewähren.

Es gibt absolut keinen Grund, anzunehmen, dass der Betreiber für immer und ewig GUT bleiben wird, oder die erfassten Daten vernichtet, bevor er seine Gesinnung wechselt. Von externen Parteien wie bösen Hackern oder dem Interesse diverser Institutionen will ich hier mal gar nicht erst anfangen.

Daher stellt jede erteilte Information zunächst einmal ein unkalkulierbares Risiko für die Zukunft dar und es gilt grundsätzlich immer zwischen dem möglichen Mehrwert und diesem Risiko abzuwägen. Ich für meinen Teil habe entschieden, dass der Nutzen sozialer Dienste auf keinen Fall mehr wiegt als das Risiko einer Datenpanne oder des geänderten Wertes der gegebenen Informationen in der Zukunft (Ich denke der Wert [m]eines persönlichen sozialen Netzwerkes ist bereits heute extrem hoch).

Flattr

Nun ließt man seit geraumer Zeit hier und da Verschiedenes zum Thema Micropayment. Flattr ist dabei vor nicht allzu langer Zeit angetreten und in der Blogosphäre zu einem regelrechten Hype mutiert.

Ich selbst investieren nur einen sehr kleinen Teil meiner Freizeit zum bloggen und bin ehrlich gesagt weder bereit für private Meinungen zu zahlen, noch erwarte ich für meine eigene Geld. Also gab es zunächst überhaupt keinen Grund, mich mit dem Thema zu beschäftigen.

Einordnung

Da nun aber gleich mehrere Leute in meinem direkten Umfeld unter dem Motto “im Schlimmsten Fall kommt nix bei raus” einen Flattrbutton unter ihren Beiträgen platzieren, schien es an der Zeit sich doch einmal damit auseinander zu setzen.

Also auf gehts:

  1. Nutzungs- und Datenschutzbestimmungen lesen
  2. Möglichen Nutzen überschlagen (Heuristik: durchschnittliche Anzahl der Kommentare pro Post … oh, da wird wohl nicht viel rauskommen ;))
  3. Abwägen

Tja, nach Punkt eins hab ich abgebrochen.

Social sharing of data: Flattr allows other users to browse things that you have Flattred, submitted or commented on. This information is made available publicly via your User Profile, via the public API, or within the permalink URL of the website on which you performed the action. Flattr may choose to post this data on other site features.

Bedeutung und Mecker

Während im Falle von Facebook, StudiVZ und Co. “nur” der Betreiber und die “Freunde” über mich, meine Kontakte und Interessen Bescheid wissen, kann es bei Flattr potentiell JEDER! Und der interessierte Dataminer kann alles schick via API maschinenlesbar abrufen (obgleich das gemäß der AGB untersagt ist).

Das Beste dabei ist, dass durch die geflatteten Beträge meine Interessen auch noch gewichtet sind.

Voller Neugierde hab mir mal die Profile einiger Leute angeschaut, die schon länger Flattern (Button und Profil lassen sich in jedem Fall einander zuordnen) – interessant interessant.

Ja sag’ mal, gehts noch? Wie kann man sich denn nur derart nackig machen und sich auf der anderen Seite über die Wissensbegierde des BKA ärgern?

Liegt es wirklich an der Aussicht auf einen winzigen Gewinn, dass selbst Leute, die ich persönlich für intelligent und kritisch halte, auf deren Meinung ich viel gebe und die ansonsten immer die Fahne der Privatsphäre hochhalten hier schwach werden? Oder ist es vielleicht einfach dass ständige Einwirken der allgegenwärtigen Facebooker und Twitterer, die die eigenen Bedenken allmählich aufweichen?

Manchmal stelle ich mir ernsthaft die Frage: Bin ich paranoid oder ist der Rest der Welt zu unkritisch?

Auch wenn alle einer Meinung sind, können alle Unrecht haben. (Bertrand Russell)

Links

Kurz vor dem Klick auf den Publishbutton hab ich mich noch einmal schnell umgeschaut und ein paar interessante Beiträge zu dem Thema gefunden. Einige davon gehen dabei noch viel weiter als mein egoistisches Privatsphärengebabel.