On Friday 27 March 2009, Robert wrote: > >> Ich möchte persönliche Informationen im web ablegen/editieren und > >> mittels jedem Browser (lynx muss nicht unbedingt sein) zugreifen > >> können. Am bequemsten währe natürlich webseite aufrufen -> via PW > >> authentifizieren -> daten angezeigt bekommen / editieren -> fertig. > > > > Soweit so möglich. > > Aha, beispiel?
Bis hier hin ist es simpelstes PHP. (Siehe PHP Doku, Stichworte $PHP_AUTH_*, HTML-Forms, $_POST) > >> Kriterien sollen sein: > >> 1.) niemand ausser dem PW inhaber darf an die Informationen rankommen > >> können. > > > > Machbar, wenn Du spezielle Software (nicht Browser) verwendest. > > > > Ansonsten gilt: alles was der Browser sendet kann an irgendeiner Stelle > > gelesen werden (spätestens wenn der Server gehackt ist). > > Ok, ich hatte grade dazu ein paar Ideen, Nachricht auf mehreren Servern > verteilen und mutierende Schlüssel. Interessante Idee. Sie bricht leider an der Stelle zusammen wo Du den Aufwand für Dich und den Angreifer gegenüberstellst: Du: *recht schwierige Implementation *wesentlich komplexere Algorithmen *Du musst alle Server gleichzeitig oben halten oder Algorithment finden, die toleranter sind (gibt es, sind nicht trivial) *nicht per Pure-Web machbar (braucht Spezialsoftware) Angreifer: *muss n statt 1 Hosts abfragen > Aber im worstcase phreakt jemand Dein Monitor. Oder auf dem Internetcafé > Rechner sitzt ein vnc den eine Kamera im Hinterzimmer abfilmt. ;-) Genau. Egal was Du tust, Du musst volle Kontrolle über die benutzten Clients haben. Wenn es auch nur ein paar Stunden sind, die Du den Client aus den Augen verlierst, dann könnte schon ein Keylogger drauf sein. > >> 2.) Zugriff ohne zusätzliche HW/SW (nur belibiger browser) von überall > >> auf der Welt aus möglich > > > > Entweder 1 oder 2. > > Lehrerzitat erste Stunde Programmierunterricht in der Schule: > "grundsätzlich ist erstmal alles möglich" Dein Lehrer hat über reine Programmieraufgaben gesprochen. Im Bereich der Security gibt es leider mehr Dinge, die beweisbar nicht gehen, als solche die beweisbar gehen. Siehe oben. > >> Als Hardware hab ich einen Vserver in einem RZ mit nem Lenny64bit > >> drauf. Was würdet Ihr dafür verwenden? > >> Ein Notizbuch in der Hosentasche. Ernsthaft. > > Und was würde ich daraus über Verschlüsselung lernen? Dass sie nicht die einzige Lösung ist. > > Was Deine Idee mit AES256 angeht: a) AES128 reicht vollkommen für > > nahezu alle Anwendungen b) bist Du Dir sicher, dass Du AES sicher > > einsetzt? Was exakt wäre Dein Protokoll? (Zufallsquelle, Sicherung des > > Schluessels, Erzeugung des Schluessels, Cipher-Mode, ...) > > Ehrlich? Also ich bin auf dem Gebit absoluter Laie und verstehe nicht > was Du mich da grade fragst. Dann die Empfehlung: programmiere nichts selbst was Du als kritisch betrachtest - die Wahrscheinlichkeit für Fehler ist zu hoch. > Aber dieses Projekt mache ich ja genau aus > dem Grund das zu ändern. Also Antworte ich mal so gut ich atm. kann. > a) bin ich nur paranoid oder verfolgt mich wirklich jemand? Antwort unbekannt. Nur soviel: bewahre bei allem einen kühlen Kopf und den nötigen Abstand. Die paranoidesten Lösungen sind oft auch die unsichersten (weil das Verhalten eines panischen Individuums vorhersagbar ist). > b) im Moment befinde ich mich noch in der Planungsphase, was sind die > Kriterien für einen sicheren Einsatz von AES? Reicht der Zugriff per > https + .htaccess + apache auth? Autsch. Du verwechselst gerade Cipher mit Protokoll. Das sind unterschiedliche Schichten. Bitte beachte die Literaturhinweise unten. > b^1) der Schlüssel liegt allein in meinem Gedächtniss und besteht aus 24 > oder mehr Zeichen Alles was Du Dir merken kannst hat zu wenig Zufall für Dein Level von Paranoia. > > [ ] Computer-Illiteraten (Kollegen/Bekannte) > > [ ] Computer-Illiteraten (Verwandschaft oder enge (Ex-)Freunde) > > [ ] Skript-Kiddies > > [ ] Organisiertes Verbrechen (Spam-Bot-Farmer) > > [ ] Organisiertes Verbrechen (Erpresser) > > [ ] versierte Hacker, die es auf Dich abgesehen haben (egal ob > > Ex-Freund(in) oder schon-immer-Feind) > > [x] NSA/Mossad/BND/$GEHEIMDIENST Wandere aus. Mars z.B. ...oder Tau Ceti. > Ich will mich nicht wichtiger machen als ich bin, weil ich nicht > glaube/hoffe das es mal soweit kommt. Aber ich bin politisch aktiv, hab > meine eigene Meinung und sammel gern Informationen zu relevanten > Themen.Mein persönliches Tagebuch geht ausserdem niemanden was an. Damit > erübrigt sich auch Deine nächste Frage, "Welche Vektoren willst Du > absichern?" denn die Antwort lautet, alles und jeder. vereinfacht gesagt > das was atm. in meinem Gedächtnis ist will ich auslagern und intern > vernetzen. Und niemand ausser mir hat das recht das zu sehen. Lösung: persönlicher Laptop, mit Truecrypt oder einem vergleichbaren Tool verschlüsselt. Sehr lange Passphrase. Den Laptop nie aus den Augen lassen (wg. Hardware-Keylogger). Aufpassen dass wirklich ALLE Partitionen verschlüsselt sind (auch swap!!). Den Laptop ausschalten wenn er nicht gebraucht wird (Suspend to RAM ist böse). Es gibt Folien, die den Sichtbereich von Laptops einschränken. Vermeide Netzwerke, oder benutze zumindest eine paranoide Firewall-Einstellung. Vermeide proprietäre Betriebssysteme (Windows ist böse) und Programme (Skype ist böse). Pass auf wo Du die Daten zwischeslagerst - es sollte mindestens das selbe Sicherheitslevel herrschen. Ganz nebenbei: die Erpresser oder einen Geheimdienst mit schlechter Laune kannst Du nicht ausschließen: http://www.xkcd.org/538/ > Nun klingt das alles nat. sehr drastisch, dessen bin ich mir bewusst. > Bitte nicht vergessen, das ist ein lernprojekt. 100% Sicherheit ist nie > Möglich, das ist klar. Aber ich möchte das alles was im Rahmen bleibt > versucht haben. Und vorallem auch die Grenzen kennen lernen. Bevor Du kritische Daten Deinen eigenen Experimenten anvertraust: besorge Dir passende Literatur(*) und probiere es an harmlosen Daten aus - lass die Programme von Experten begutachten. (*) Z.B. Bruce Schneier: "Beyond Fear", "Applied Cryptography", etc.pp. Wo wir gerade dabei sind: http://xkcd.com/177/ (wenn Du darüber lachen kannst, dann hast Du die Grundlagen verstanden) Konrad -- Note: I'm changing my PGP/GPG key soon! New KeyID: 723A6200 Fingerprint: B37C FA75 8C4C 6537 7954 CBC0 CB15 C991 723A 6200 Keyserver: wwwkeys.eu.pgp.net
pgp3GjOOkziUt.pgp
Description: PGP signature
_______________________________________________ Lug-dd maillist - [email protected] https://ssl.schlittermann.de/mailman/listinfo/lug-dd
