Login
Newsletter
Werbung

Thema: PGP-Erfinder stellt Verschlüsselung für VoIP-Telefonie vor

27 Kommentar(e) || Alle anzeigen ||  RSS || Kommentieren
Kommentare von Lesern spiegeln nicht unbedingt die Meinung der Redaktion wider.
0
Von Homer am Mi, 15. März 2006 um 13:32 #
Man darf wohl davon ausgehen, dass diese Technik in zahlreichen Ländern als verboten zu betrachten ist? Schon bei GnuPG bzw. PGP gab's ja bereits die Schwierigkeit, dass allein die Installation des Programms in einigen Ländern als Straftat gilt (wenn ich mich recht erinnere z.B. in den USA und der Russischen Föderation). Die Frage stellt sich bereits, wie in Deutschland wohl mit dieser Technik umgegangen werden wird. Schließlich sind Telefondienst-Betreiber sowie auch Internet-Provider ja verpflichtet, den Staatsorganen Schnittstellen zur Verfügung zu stellen. Oder besteht dieses juristische Problem (bisher) gar nicht, da es sich nicht um den Dienst ansich handelt sondern um eine Software und diese Regelungen dafür nicht gelten?
  • 0
    Von Micha am Mi, 15. März 2006 um 14:27 #
    könnte mir vorstellen das die Anbieter nur verpflichtet sind für IHRE Technik eine Abhörmöglichkeit anzubieten.

    Wenn ich PGP nutze kann ja auch GMX z.B. nicht gezwungen werden meinen Schlüssel zu knacken.

    0
    Von Dennis am Mi, 15. März 2006 um 14:27 #
    > ..allein die Installation des Programms in einigen Ländern
    > als Straftat gilt (wenn ich mich recht erinnere z.B. in den USA..

    Ich würde mal wage behaupten das die USA nicht dazu zählen..

    0
    Von Anonymous am Mi, 15. März 2006 um 14:28 #
    GnuPG- bzw. PGP-Installation als Straftat in den USA ? Das bezweifle ich. Der Export dieser Software war problematisch, aber die Installation ?
0
Von Peter am Mi, 15. März 2006 um 13:49 #
warum kommt der DH-Schlüsselaustausch erst jetzt zum Einsatz und warum wird gerade der PGP-Erfinder dafür "gefeiert"?

Die Verschlüsselungstechnik ist nicht neu und kann auf jede x beliebige Übertragung angewandt werden, also im Grunde genommen eine nötige Sache, die viel zu spät ins Protokoll aufgenommen wurde/wird.

  • 0
    Von bsel am Mi, 15. März 2006 um 17:26 #
    Ich stimme dir da völlig zu.

    Ich bin der Ansicht, dass die Aufklärung in Punkto Sicherheit im Internet erst begonnen hat (wenn überhaupt). Es ist im Prinzip soooo einfach eMails verschlüsselt und signiert zu versenden, aber wer nutzt das? Selbst fortgeschrittene bis erfahrene Nutzer, die ich persönlich kenne, ignorieren diese Technik.

    • 0
      Von Martin am Mi, 15. März 2006 um 17:49 #
      > Es ist im Prinzip soooo einfach eMails verschlüsselt und signiert zu versenden, aber wer nutzt das?

      Ich denke ein Grund ist auch dafür -- gerade bei den erfahrenen Benutzern --, dass Verschlüsselung bei
      den meisten Mails praktisch kaum Sinn ergibt. Wenn ich jemandem eine Mail mit einem technischen Problem
      schicke oder meine Schwester frage, ob sie am Wochenende zu Besuch kommt, brauche ich dafür keine
      Verschlüsselung. Ich finde es nämlich durchaus problematisch, immer seinen privaten Schlüssel überall
      parat zu haben und diesen dann gleichfalls noch zu schützen. Das fängt schon bei Webmail an wenn man
      mal unterwegs ist. Weiter gehts dann, dass man eine Vielzahl »alter« Schlüssel benötigen könnte um nur
      einige alte Mails zu lesen, sobald seine privaten Schlüssel abgelaufen sind, man das Passwort nicht mehr
      weiß oder sie unsicher geworden sind. Deswegen setzt sich das auch meiner Meinung nach nicht grundlegend
      durch. Und verschlüsselte Übertragunswege (SSL/TLS) sind schonmal ein Anfang überhaupt ein Grundmaß an
      Sicherheit zu gewährleisten.

0
Von allo am Mi, 15. März 2006 um 14:00 #
ohne public-key signierung ist man-in-the-middle möglich. ok, wenn nicht jedesmal ein lauscher drin sitzt, dürfte das programm wenn nicht alarm schlagen (anderer key). aber möglich wäre es schon.
  • 0
    Von tiradur am Mi, 15. März 2006 um 14:38 #
    Man in the middle duerfte kein Problem sein: http://de.wikipedia.org/wiki/Diffie-Hellman
    • 0
      Von man-draker am Mi, 15. März 2006 um 14:52 #
      Soll heißen: DH schützt in keinster Weise vor einer Man-in-the-middle Attacke. Die Authentisierung der Gesprächspartner muss auf andere Weise erfolgen.
      0
      Von Chef am Mi, 15. März 2006 um 14:56 #
      Dann lies mal den Wikipedia-Artikel. Dort steht, daß Diffie-Hellman-Schlüsselaustausch nur gegen passives Abhören hilft, aber eben nicht vor einem Man-In-The-Middle-Angriff schützt (wie auch?).
      • 0
        Von Shuttle Pilot am Mi, 15. März 2006 um 15:21 #
        Stimmt.
        Die Unterbindung eines Man-In-The-Middle Angriffs muss, wenn es denn tatsächlich eine Unterbindung gibt (siehe Artikel), im ZRTP Protokoll gesichert sein. Eine andere Möglichkeit gibt es nicht.
        Die Frage ist nur: Wie will man das bewerkstelligen??
        • 0
          Von jkob am Mi, 15. März 2006 um 16:27 #
          Na ja, wohl mit Zertifikaten/Signaturen oder Pre-Shared-Secrets.

          Gruß, Jkob

          0
          Von Daniel am Mi, 15. März 2006 um 16:38 #
          Das funktioniert anscheinend so, dass man sich die Fingerprints der Schlüssel gegenseitig vorliest. Und da man ja im Normalfall die Stimme des Gegenübers kennt, mit dem man vertraulich quatschen will, ist das wohl einigermassen sicher.
          • 0
            Von allo am Mi, 15. März 2006 um 17:15 #
            naja, die stimme hörtst du dann ja schon durch den kompromitieren kanal.
            • 0
              Von Daniel am Mi, 15. März 2006 um 17:29 #
              Aber falls es einen MITM gibt, dann existieren 2 verschiedene Schlüssel. Der von dir zum MITM und der vom MITM zu deinem Gesprächspartner. Und in diesem Fall werden wohl die vorgelesenen Fingerprints nicht mit den erwarteten Fingerprints übereinstimmen, wodurch man weiß, dass der Kanal kompromitiert ist.
    0
    Von AC am Mi, 15. März 2006 um 17:34 #
    http://www.ietf.org/internet-drafts/draft-zimmermann-avt-zrtp-01.txt

    " Although it uses
    a public key algorithm, it does not rely on a public key
    infrastructure (PKI). In fact, it does not use persistent public
    keys at all. It uses ephemeral Diffie-Hellman (DH) with hash
    commitment, and allows the detection of Man in the Middle (MitM)
    attacks by displaying a short authentication string for the users to
    read and compare over the phone. "

    http://www.philzimmermann.com/images/Zfone-GUI.png

    • 0
      Von AC am Mi, 15. März 2006 um 17:36 #
      " But even if the users are too lazy to bother with
      short authentication strings, we still get fairly decent
      authentication against a MitM attack, based on a form of key
      continuity. It does this by caching some key material to use in the
      next call, to be mixed in with the next call's DH shared secret,
      giving it key continuity properties analogous to SSH."
0
Von Michael am Mi, 15. März 2006 um 16:15 #
Dass die Software weder frei ist, noch direkt heruntergeladen werden kann, sondern nur nach Angabe persönlicher Daten (mind. eMail-Adresse), hättet ihr zumindest erwähnen können.
  • 0
    Von Grmpf am Do, 16. März 2006 um 20:42 #
    Ach komm schon, irgendwie müssen unsere amerikanischen Feunde doch wissen, wer da mit Terroristenspielzeug rumhantiert. Wirklich, das wäre ja kein faires Spiel: Stell dir doch mal vor, du könntest wirklich frei denken und handeln. Das wäre ja schrecklich, wenn man überlegt wieviel Schlechtes du so als Normalbürger über die Welt bringen kannst, da regst du dich über so'n paar persönliche Daten und Kontrolle auf...unfassbar. Ich lass die Ironie-Tags mal weg, das Thema ist zu ernst :-P

    Gruss

0
Von loretta am Mi, 15. März 2006 um 18:41 #
Warum muß ich Kryptographie in jedes Einzelprodukt einbauen?

Ich telephoniere mit XYZZY auf einem VPN. Darauf könnte ich ebesogut mit FTP oder Telnet arbeiten, denn der Kanal ist ja sicher...

Warum muß also SSH, SFTP, FTP-SSL, verschlüsseltes Telephonieren, usw her, wenn man es in 2 Ebenen viel universeller lösen könnte?

Klar: Es gibt unendlich viel mehr verkaufbare Produkte, wenn jedes Protokoll um Verschlüsselung erweitert wird... aber braucht die Welt das wirklich?

Oder entspricht die Frage schon dem dreimaligen Jehova-Ausruf und gleich fliegen die Steine?

  • 0
    Von loretta am Mi, 15. März 2006 um 19:22 #
    Also ich meine: Wenn der Gutste weiß, wie man sicher auch gegen Man-in-the-Middle-Attacks kommunizieren kann, warum macht er nicht eine On-Demand-VPN-Software damit, dann wären alle Datenübertragungsprobleme damit auf einen Rutsch abgesichert...

    ...oder kommt er morgen mit einem SSH-Konkurrenten und übermorgen mit sicheren Downloads?

    • 0
      Von broecker am Mi, 15. März 2006 um 22:01 #
      eine Antwort kann in unterschiedlichen Anforderungen liegen:
      VOIP-Sprachstrom - mittlere Bandbreite, schnelle Bearbeitung wichtig,
      VOIP-Verbindungsaufbau - Bandbreite egal, Bearbeitungszeit auch, aber Gesprächspartner evt. unbekannt!
      usw.
    0
    Von Binar am Do, 16. März 2006 um 00:09 #
    Weil ein VPN normalerweise zwei festkonfigurierte Netze miteinander verbindet. Per VoIP willst du aber prinzipiell erstmal beliebige Personen anrufen können.
Pro-Linux
Traut euch!
Neue Nachrichten
Werbung