Article note: #readl8er

Beim Privacy-Handbuch hat man sich die Arbeit gemacht und in zwei Artikel Matrix/Riot und Jabber/XMPP hinsichtlich der Sicherheitskonzepte überprüft. Beim Jabber/XMPP wird als Maßstab ausdrücklich Signal und Threema angelegt, bei Matrix/Riot zumindest unterschwellig. Beides lohnt sich zu lesen.

Bei beiden werden strukturelle Schwächen im Sicherheitskonzept ausgemacht. Das ermöglicht nicht nur Man-in-the-middle-Angriffe, sondern es gibt auch Datenschutz-Probleme wie unverschlüsselte Kontaktlisten, Gruppenmitgliedschaften etc. pp. auf den Servern. Ein Punkt, den man bei WhatsApp so gerne kritisiert. Im Fall von Jabber kritisieren sie beim Privacy-Handbuch auch die zusammen gestückelte Verschlüsselung (ich hatte hier schonmal darüber geschrieben: Dezentralisierte Dienste - Zu spät, zu kompliziert, zu fragmentiert).

Eine strukturelle Schwäche liegt einfach im föderalen Ansatz beider Protokolle. Dieser verhindert nicht nur systembedingt einige Sicherheitsmaßnahmen, sondern setzt z. B. bei Matrix/Riot auch Vertrauen in alle anderen Server-Betreiber voraus.

Beide Artikel sind auch deshalb lesenswert, weil in Teilen der Datenschutz-Szene und Open Source Community beide Protokolle als vermeintlich sichere Alternativen zu den klassischen Messengern hoch geschrieben werden. Hier fällt eine nicht Fakten-basierte Vermengung von Open Source-Begeisterung mit einem Faible für dezentrale Ansätze und Sicherheits-Illusionen zusammen. Dies kann man leider sehr oft beobachten, wenn Open Source und Eigenbetrieb pauschal mit Sicherheit gleich gesetzt werden (siehe auch: Kommentar: Der fatale Glaube an Open Source).

Ganz ähnlich ist das mit Telegram, dessen Popularität sich eigentlich nur aus der Halbwahrheit es sei Open Source speist und der Möglichkeit Clients für jede noch so kleine Nischenplattform zu entwickeln. Kurioserweise führte beides zu der weit verbreiteten Annahme Telegram sei in irgendeiner Form sicherer als die proprietären Alternativen (siehe: Kommentar: Telegram ist unsicher - welch Überraschung).

Die strukturellen Probleme bedeuten nicht, dass Matrix/Riot oder XMPP keine Grundlage für sinnvolle Entwicklungen seien können. So testet die Bundeswehr momentan Matrix und die französische Regierung machte dies bereits erfolgreich vor. Beide werden allerdings kaum den föderalen Ansatz unterstützen. Privatanwender sollten weiterhin auf Signal (wenn Open Source) oder Threema zurückgreifen (siehe auch: Sichere Messenger - Verschlüsselung und Metadaten). Beides ist nach aktueller Erkenntnislage sicherer als Matrix und XMPP.


Bilder:
Einleitungs- und Beitragsbild von geralt via pixabay

"

Article note: :-)

The decade is almost done. You’re sitting there and you’re thinking: “I wish I could easily access the scripts from all seasons of The Office so that I could analyze the dialogue and relationships between characters.” Well, your wish is granted. Bradley Lindblad stuck all the scripts in an R package. It’s called schrute.

Take that, 2019.

Tags: R, scripts, The Office

Article note: #best! Unbedingt anschauen, sofort ...! :-)

Dieser Post enthält das Material zu meinem Vortrag „Bahnmining – Pünktlichkeit ist eine Zier“ vom 36. Communication Congress. Ich muss sagen, dass die Erfahrung dermaßen intensiv war, dass ich das selbst erstmal verdauen muss, und das meine ich ganz positiv. Felix unterstellt hier, dass ich sichtlich gerührt gewesen sei, und das trifft vollumfänglich zu.

Wir hatten den fettesten Saal mit Platz für 5000 Leute, der war komplett voll, und die Stimmung war herrlich. Der Gänsehautmoment für mich persönlich waren in Wirklichkeit zwei: Als ich beim Schlusswort war, war es im Saal so still, man hätte eine Stecknadel fallen hören können. Wow. Und als sich nach Ende des Vortrags die Leute von ihren Sitzen erhoben, musste ich echt schlucken. Danke, danke, danke. Once in a lifetime experience.

Danke auch noch mal an die Leute vom Congress, die den besten und professionellsten Service liefern, den ich je bei einer Konferenz erlebt habe – von Säälen über Technik über Simultanübersetzungsteams bis hin zu sofort-Liveübertragung draußen vor dem Saal, als der wegen Überfüllung dichtgemacht werden musste. Respekt.

Ich habe noch verschiedenste Fragen aus dem Chat vom CCC gemailt bekommen, die es nicht mehr in die Livesendung gepackt haben. Sobald ich Zeit habe, versuche ich einen Blogpost mit Antworten nachzuschieben, sofern technisch und mathematisch möglich. Ich versuche auch, auf die Mails zu antworten, die reingekommen sind, bitte seht mir nach, wenn es etwas dauert.

Hier noch eine Presseschau (lange nicht erschöpfend und da kommen grade diverse nach, ich werde das aber nicht schaffen, alles nachzuhalten): SpiegelOnline, FAZ, Heise, Golem, Zeit.

Zum Material:

  • Hier gibt es die Vortragsfolien als PDF (5.3 MB). Ich habe zwei kleine Fehler direkt korrigert. Zum einen hat ein Pfeil nicht auf Leipzig, sondern auf Riesa gezeigt. Mea Culpa. Ich war schon immer schlecht in Geographie. Zum andern hatte ich mich am Anfang verklickt beim Zählen der Stops pro Bahnhof, ist jetzt auch korrigiert. Danke fürs melden!
    • Liebe Medienvertreter, aus gegebenem Anlass: Um meine Vorträge ansprechend zu halten, habe ich sehr wenig Text in meinen Folien (man kann entweder Folien lesen, oder mir zuhören). Darum: Es gilt das gesprochene Wort! Wer weder die Zeit für ein Interview aufbringen will, noch 45 Minuten Vortrag zu hören bereit ist, braucht aus meiner Sicht auch nicht darüber berichten. Beispiel: Hört mal genau nach, ob die in den Folien angegebene Requestanzahl real war, oder ob ich daran demonstriert habe, wie man es nicht macht. ;-)
  • Hier könnt ihr wieder Feedback zum Vortrag geben! – Ich würde mich freuen. Achtung: Das sind keine Schulnoten, 5 ist das beste, 1 ist das schlechteste.

Und hier nun der Mitschnitt im deutschen Originalton direkt eingebettet:

Eintrag vom 2019-12-29 um 14:33 , zuletzt geändert am 2020-01-01 um 19:01 by David Kriesel. Tags: 36c3, BahnMining, CCC, Chaos Communication Congress, Choo Choo, mostpopular.

Article note: .oO(Immerhin weiß ich jetzt, wozu Twitter ne Nummer haben wollte ... #dankesehr!)
Yes, it's another Twitter security issue in the space of just a few days. Security researcher Ibrahim Balic told TechCrunch that Twitter's Android app had a flaw that allowed him to match 17 million phone numbers with their respective user accounts....