Moin, hier meine Erfahrung der letzten Jahre.
1. Alles was länger als 5min dauert und vom Nutzer Aufwand abverlangt, wird in der Masse scheitern! Ausnahme sind Mehrwerte die für den Nutzer in einem fairen Tausch zur aufgebrachten Zeit stehen. Ich erinnere an die Anfänge von WhatsApp. 5min Arbeit. Dafür kostenlose Nachrichten. Das war damals nicht Standard. Deswegen war das ein Selling Point. Heute ist das Standard. 2. User Education funktioniert nicht! Die zu verwendende App muss so einfach sein, wie das marktherschende Produkt. Es wird immer einen gewissen Prozentsatz geben, der sich für das Thema Datenschutz interessiert. Realistisch gesehen ist es der Masse von 1 Milliarde Nutzern aber egal. Oder zumindest nicht soviel Wert, den Messenger selbständig zu wechseln. Möchte man also mit der Marktmacht konkurrieren, muss die User Experience mindestens gleichwertig zum Ursprungsprodukt sein. 3. Die Macher von Signal haben das Signal-Protokoll (damals noch Textsecure-Protokoll) entwickelt. Die Apps von OpenWhisperSystems selbst heissen beide Signal. Für Android und iOS. Und als Desktoperweiterung für Chrome. Das Signal-Protokoll findet mittlerweile offiziell Anwendung bei WhatsApp sowie Facebookmessenger und Google Allo. In den letzteren beiden jeweils nur im Incognitomode. Desweiteren gibt es Derivate die das Protokoll nutzen, jedoch keine Lizenz zur Namensnennung erworben haben. Z.B. GData Secure Chat & Wire. Außerdem wurde das Signal-Protokoll für XMPP adaptiert und findet in dem Zusammenhang unter dem Namem OMEMO Anwendung. 4. Die selbst erklärte Agenda von OpenWhisperSystems ist es, Massenüberwachung unmöglich zu machen. Damit ist auch erklärt wieso mit WhatsApp, Google und Facebook kooperiert wird. Signal nutzt GoogleCloudMessaging (GCM). Es wird eine leere Push Nachricht an das Telefon gesendet. Danach verbindet sich das Telefon zum Signal Server. Daher ist Signal in der normalen Konfiguration auch auf Google Play Services angewiesen. Und auch wenn ich den Versuch nachvollziehen kann, sein Telefon gerne von Google zu befreien, so spielt es doch bei der Masse keine Rolle. Und praktikabel ist das überhaupt nicht. 5. Kurz was zu XMPP, Conversations, OMEMO, Chatsecure, Gajim, etc. Habe ich bisher nur gutes von gehört. Größtes Problem meiner Meinung nach. Bedienbarkeit. Alles unterschiedliche Apps. Die Anleitung zu Gajim die du gepostet hast, sagt im Grunde schon alles. Wenn ein Programm eine Anleitung braucht ist es für den Massenmarkt ungeeignet. Da mag der Code, die Crypto und alles noch so gut sein. Das sind keine Eigenschaften die man greifen kann. Bunte Bilder und schicke GIFs zum Verschicken sind leider wichtiger als Perfect Forward Secrecy, Plausible Deniability etc. Das Prinzip von XMPP mit nickn...@server.tld ist total logisch und nachvollziehbar... für jemanden der das Prinzip vom Internet und dezentralen Strukturen verstanden hat. Alle anderen (die große Masse) sehen darin aber nur eine E-Mail Adresse. Ohne aber das technische Prinzip einer E-Mail verstanden zu haben. 6. Was also nehmen? Ganz ehrlich, keine Ahnung! WhatsApp: Gute Verschlüsselung durch Signal-Protokoll. Katastrophe beim Schutz der Metadaten. Wer mit wem wann in Kontakt steht, wird analysiert, vermarktet und für "Big-Data" weiterverwendet. Closed Source, daher keine Verfikation der Verschlüsselung. Signal: Gute Verschlüsselung durch Signal-Protokoll. Speichert keine Metadaten. Teilweise immer noch Buggy z.B. bei Gruppen. Open Source. XMPP (mit all seinen Derivaten): Open Source. dezentral. In der Masse gescheitert. Leider. Threema: Closed Source. Ansonsten keine Erfahrung. Telegram: Verschlüsselung nur für Secret Chats. Alles andere wird in deren Cloud gespeichert. Und die Verschlüsselung selbst musste schon harte Kritik einstecken. Andere Messenger: kaum Erfahrung. Mein Tipp zum Schluss: Fokussiere dich weniger darauf, was das absolute Optimum wäre. Sondern versuche etwas zu finden, womit deine Belegschaft ernsthaft zurecht kommt. Das Beste wäre sicherlich ein Endgerät ohne Google. Mit Ende-zu-Ende Verschlüsselung. Verifyed Builds. Dezentralen Servern. Und das ganze über Tor angebunden. Dabei so einfach zu bedienen wie WhatsApp. ...Ja das wäre schön. Gibt es aber nicht. Vielleicht reicht es aber auch schon etwas zu nehmen, was sich ähnlich wie WhatsApp anfühlt, dabei aber nicht alle Metadaten verarbeitet. Und gut verschlüsselt. Ob der Server dann zentral ist, oder GCM genutzt wird spielt dann fast keine Rolle mehr. Wir Techniker verlieren leider zu oft den Blick der anderen Seite. Ist deine gesuchte App nicht so einfach wie WhatsApp, wird WhatsApp benutzt. Verbot hin oder her. Ich wünsche dir viel Erfolg! On 14.12.2016 21:40, Ephraim wrote: > Hallo zusammen, > > ich habe den Tipp gekriegt, statt bei den Windowsmusterlösungsleuten > (klingt umständlich *g*), das Folgende besser bei den Linuxern zu > posten. Klingt logisch, daher: > > Ich würde gerne zum Thema "Sichere Kommunikation" und über meine Idee > mit euch diskutieren, sichere Messenger zu verwenden. Weil ich es > nicht ertrage, dass fast jeder Lehrer, den ich kenne, mit seinen > Schülern WhatsApp verwendet und untereinander und mit Eltern nur > unverschlüsselte E-Mails (natürlich ohne Veracrypt) schreibt. Übrigens > auch von dir geschulten Referendare, Holger :-( > > Zum rechtlichen Aspekt: Ich habe durchaus Hoffnung, dass eines Tages > eine Empfehlung für ein Messenger-System ausgesprochen wird. Ist nur > die Frage, ob die Empfehlung Hand und Fuß haben wird. Bei Veracrypt > finde ich die Empfehlung gut getroffen. Nur scheitert Veracrypt > praktisch am Arbeitsaufwand. Eine Empfehlung bei Nachrichten-Systemen > (ich finde eine Unterscheidung zwischen E-Mail und Messengern nicht > sinnvoll: ob IMAP/SMTP, XMPP oder Matrix, letztlich sind's alles > Protokolle und es geht um Daten, die über diese im Internet umher > fließen.) könnte die OMEMO-Verschlüsselung sein. Beruht auf PGP, ist > opensource, es gibt Audits und hat das Vertrauen aller > Datenschutzleute, von denen ich bisher gelesen habe. Es gibt > verschiedene Varianten: in der App Signal, in Programmen, die xmpp > verwenden und in Programmen, die Matrix verwenden. Auch WhatsApp > verwendet sie, wird zumindest behauptet. Kommt das Land seiner > Fürsorgepflicht nach, empfiehlt es ein Programm, das Ende-zu-Ende > verschlüsselt, opensource und dezentral ist. > > Ich gehe kurz ein paar in der Windows-Liste angesprochene Beispiele > durch: > * Die schlechteste Empfehlung wäre WhatsApp. Nicht opensource, Krake > im Hintergrund,... > * Threema. Nicht opensource, kostenpflichtig, zentraler Server. > * Signal. Schon besser, mit der ChromeApp praktisch, aber: nicht > dezentral und nicht unabhängig von der Google-Krake. > * Telegram. Weiß ich nichts drüber, habe in der App Mal Werbung > gekriegt, dadurch ist sie für mich ausgeschieden. Soweit ich weiß > nicht dezentral. > > Und jetzt zu den Beispielen, die mir positiv aufgefallen sind. > > 1. XMPP. > Die OMEMO-Verschlüsselung deckt alle obigen Kriterien ab. Die > Erstellung der privaten Schlüssel läuft im Hintergrund (Vorteil > gegenüber PGP). Es gibt für die wichtigsten Systeme Apps: > Conversations (für Android), ChatSecure (fürs iPhone), Gajim (für > Linux-PCs). Den Switch zwischen Handy und Desktopclient übernimmt > OMEMO und eine händische Verifizierung der Geräte über eine ID. Statt > mit der Telefonnummer funktioniert das Ganze mit xmpp-Adressen. Was > besonders praktisch ist, weil man in der App die berufliche > xmpp-Adresse in den Ferien einfach deaktivieren kann. Der private > Schlüssel liegt gehashed auf dem Gerät. Die Passwörter könnte man mit > einem eigenen xmpp-Server gegen LDAP authentifizieren. > > 2. Matrix. > Auch der xmpp-Konkurrent Matrix, auch dezentral, hat jetzt eine > OMEMO-Verschlüsselung. Auch hier gibt's für Android und das iPhone > Apps: http://riot.im/ Ob eine Anbindung an LDAP möglich ist, weiß ich > nicht. Ich weiß aber, dass die Registrierung weniger Überwindung ist, > als sich eine xmpp-Adresse anzulegen (was, warum auch immer, Leute > große Überwindung kostet), da man sich mit einer E-Mail-Adresse > anmeldet und in der erhaltenen E-Mail dann auf einen Link klickt, wie > man es von anderen Diensten gewöhnt ist. Die App sieht noch nicht > wirklich schick aus, dafür kann man zudem telefonieren, sogar mit Bild > (wie Skype). Der Vorteil gegenüber xmpp ist ein praktischer: Es gibt > eine WebApp, sodass man auf dem heimischen PC kein Programm > installieren muss. Auch bei xmpp gibt es da glaub etwas, Cryptocat, > habe ich aber noch nicht ausprobiert, weil ich Gajim cool genug finde. > > Ich bin gespannt, was ihr dazu sagt. > Und falls ihr die Apps nicht eh schon benutzt: Viel Spaß beim > Ausprobieren! :-) Hier noch eine Anleitung zu Gajim: > http://barfoos.blogsport.eu/gajim-mit-omemo-verschluesselung/ > > Ephraim > _______________________________________________ > linuxmuster-user mailing list > linuxmuster-user@lists.linuxmuster.net > https://mail.lehrerpost.de/mailman/listinfo/linuxmuster-user -- Freundliche Grüße Im Auftrag Ulf Weikert Systemadministrator Berufsbildende Schulen Haarentor der Stadt Oldenburg Ammerländer Heerstr. 33-39 | 26129 Oldenburg ----------------------------------------- Encryptet 'Signal' Call: +49 441 77915-17 Tel. +49 441 77915-17 E-Mail: w...@bbs-haarentor.de Besuchen Sie uns im Internet unter www.bbs-haarentor.de Schulprogramm unter: http://www.bbs-haarentor.de/index.php?id=323 Diese E-Mail enthält vertrauliche und/oder rechtlich geschützte Informationen. Wenn Sie nicht der richtige Adressat sind oder diese E-Mail irrtümlich erhalten haben, informieren Sie bitte sofort den Absender und vernichten Sie diese Mail. Das unerlaubte Kopieren sowie die unbefugte Weitergabe dieser Mail ist nicht gestattet. _______________________________________________ linuxmuster-user mailing list linuxmuster-user@lists.linuxmuster.net https://mail.lehrerpost.de/mailman/listinfo/linuxmuster-user
