Krypto-Provider / Krypto-Engines - Kooperationsangebot

[mkinzler]

Security by Obscurity ist aber bekanntermassen ein Trugschluß. Die (relative) Sicherheit von bestehenden Verschlüsselungsverfahren (z.B. AES) ist bewiesen, die Unsicherheit besteht "nur" an der sicheren Erzeugung von Zufallszahlen und dort hat sich die NSA für eine "sichere" Berechenbarkeit eingesetzt.

[nuclearping]

Wir haben damals (vor 10+ Jahren) an ein ähnliches Kommunikations-System gedacht und auch schon viel Brainstorming in die Richtung betrieben gehabt und Mindmaps ausgearbeitet.

Das einzige was uns letztlich von der Umsetzung abgehalten hat, war der Fakt, dass wir mit der Schaffung und Bereitstellung so eines Systems den Leuten einen Zufluchtsort bieten, die ihre fragwürdigen Heimlichkeiten austauschen wollen. Mit so einem System bedienst du die ganze Stange an Perversen, Drogendealern, Waffenhändlern, Terroristen, etc.

Dafür die Mitverantwortung zu tragen, war uns zu krass. Nicht mal vom rechtlichen her, sondern vom menschlichen. Also haben wirs gelassen.

[Harry Stahl]

Zitat von nuclearping:

Wir haben damals (vor 10+ Jahren) an ein ähnliches Kommunikations-System gedacht und auch schon viel Brainstorming in die Richtung betrieben gehabt und Mindmaps ausgearbeitet.

Das einzige was uns letztlich von der Umsetzung abgehalten hat, war der Fakt, dass wir mit der Schaffung und Bereitstellung so eines Systems den Leuten einen Zufluchtsort bieten, die ihre fragwürdigen Heimlichkeiten austauschen wollen. Mit so einem System bedienst du die ganze Stange an Perversen, Drogendealern, Waffenhändlern, Terroristen, etc.

Dafür die Mitverantwortung zu tragen, war uns zu krass. Nicht mal vom rechtlichen her, sondern vom menschlichen. Also haben wirs gelassen.

Das finde ich interessant. Natürlich haben mich solche Gedanken auch bewegt. Allerdings wird das Thema Privatshäre und Datenschutz immer mehr zum Thema. Würde man Deiner Argumentation zustimmen, müsste man auch die SSL-Initative verschiedener Internetprovider (die ich auch öffentlich unterstützt hatte) verurteilen, oder?

[nuclearping]

Zitat von Harry Stahl:

Das finde ich interessant. Natürlich haben mich solche Gedanken auch bewegt. Allerdings wird das Thema Privatshäre und Datenschutz immer mehr zum Thema. Würde man Deiner Argumentation zustimmen, müsste man auch die SSL-Initative verschiedener Internetprovider (die ich auch öffentlich unterstützt hatte) verurteilen, oder?

Es gibt bei dem Thema immer zwei Seiten: Die eine ist, das Recht seine ganz normale Privatsphäre zu schützen, damit nicht Hinz und Kunz in irgendwelchen Rechenzentren deine Kreditkartennummer oder Passwörter rekonstruieren können, bzw. irgendwelche Regierungen Firmengeheimnisse und Forschungsdaten erfahren oder zu sehr im Privatleben rumschnüffeln, usw. Das ist alles noch in Ordnung.

Aber wie schon gesagt hat man hier halt auch die andere Seite, die wie Unkraut zwangsläufig mitwuchern wird. Und dabei denke ich primär nichtmal an Drogendealer, Waffenhändler oder Terroristen. Solche Kaliber werden wohl eher weniger zu deinem Kundenkreis gehören. Aber dafür werden die ganz normalen Alltagsperversen deinen Service schwer zu schätzen wissen, vorallem wenn sich's mal rumspricht. Und schon das hat uns gereicht.

[pelzig]

tl;dr: Safer Mail ist also trotz OpenSource darin denn nun was?

MfG

[Dejan Vu]

Eine gute Idee. Gerade *weil* die Kryptoprovider offen sind (wenn sie es denn sind). Denn der Algorithmus ist dann im besten fall beweisbar sicher und hat (auch im Idealfall) weder Schwachstellen noch Bugs noch Exploits. Diese Codesicherheit kann ja durch jeden geprüft werden.

Bei Closed Source weiß man einfach nicht, wie gut der Code ist. Dann ist zwar auf den ersten Blickm auch das Kryptoverfahren unbekannt, aber nicht lange: Disassemblieren und fertig. Es bringt also rein gar nichts, den Code zu verbergen.

Eine andere Möglichkeit der Verschlüsselung besteht darin, so zu tun, als ob man gar nicht verschlüsselt. Aber das ist ein anderes Thema.

[himitsu]

Bei den öffentlichen Sachen kann jeder reinsehen und Schachstellen/Backdors entdecken, welche dann auch behoben werden können.

Für "geheime" Algorithmen kann man z.B. über statistische Analysen einige Grundschlüsse ziehen und dann kann man immernoch via Reverse Engineering (des Verschlüsselungsprogramms) die Sache knacken.


Siehe DEC: Der Hagen hat massig Ahnung, von der Materie, und selbst er hat da viel Zeit dran gessessen, an seinen Verbesserungen der verschiedensten Standards.

Es gibt bestimmte Dinge, die man beachten sollte und selbst wenn man "denkt", man habe etwas super Sicheres erfunden, dann kann man bei der Implementierung immernoch irgendwo "Mist" bauen, womit das dann am Ende doch wieder so unsicher wie Klartext ist.
Und wenn da kein Anderer da mal drübergucken kann, dann fällt das einem garnicht auf, bis es einer der "lieben" Hacker entdeckt und es bekannt macht.

[Namenloser]

Zitat von himitsu:

Siehe DEC: Der Hagen hat massig Ahnung, von der Materie, und selbst er hat da viel Zeit dran gessessen, an seinen Verbesserungen der verschiedensten Standards.

Und selbst er hat die Algorithmen nicht erfunden sondern „nur“ implementiert.

[bernau]

Zitat von nuclearping:

Dafür die Mitverantwortung zu tragen, war uns zu krass. Nicht mal vom rechtlichen her, sondern vom menschlichen. Also haben wirs gelassen.

Wenn man so denken würde, dann dürfte man so vieles nicht entwickeln oder anfertigen. Früher hat man Videokassetten mit Kinderpornos per Post versendet. Man hat werder Videokassetten verboten, noch die Post eingestellt. Alles kann missbraucht werden. Ist aber noch lange kein Grund dies als Grund zu nehmen, Dinge nicht für Gutes zu entwickeln.

[nuclearping]

Zitat von bernau:

Wenn man so denken würde, dann dürfte man so vieles nicht entwickeln oder anfertigen. Früher hat man Videokassetten mit Kinderpornos per Post versendet. Man hat werder Videokassetten verboten, noch die Post eingestellt. Alles kann missbraucht werden. Ist aber noch lange kein Grund dies als Grund zu nehmen, Dinge nicht für Gutes zu entwickeln.

Das stimmt schon. Man kann alles missbrauchen. Aber man entwickelt hier eben nicht nur Dinge für Gutes, selbst wenn das das Ziel ist. Man trägt halt einfach eine gewisse Mitverantwortung und dessen sollte man sich bewusst sein. Mehr will ich nicht sagen. Ob man auf Grund dessen ein Projekt umsetzt oder nicht, liegt bei jedem selbst.

@Dejan Vu: Dann lies auch bitte meine zweite Antwort ganz unten auf der ersten Seite. Da habe ich das nochmal ein bisschen relativiert. Sorry wenn mein Contra vielleicht ein bisschen radikal klingt.

Dass jeder, der das nutzt, was (vorm Gesetz) zu verbergen hat, will ich um gottes Willen niemanden unterstellen. Wenn ich sensible Sachen verschicke, stelle ich auch sicher, dass das nicht im Body im Klartext zu lesen ist, bzw. verschicke es erst garnicht per Mail, damit eben nicht Hinz und Kunz irgendwo irgendwelche Zugangsdaten oder Projektinformationen rekonstruieren können.