erste signierte RWTH eMail kam vom...

[Manuel]

...Hochschulsportzentrum! ;)
(Zugegeben, das IT Center versendet auch signierte eMails.)

Mindestens seit dem Jahr 2010 - da habe ich zumindest mein erstes
beantragt - besteht die Möglichkeit über die RWTH an ein "gültiges"
S/MIME Zertifikat zu kommen. Das finde ich schon mal absolut toll, Danke
für diese Dienstleistung.
Abgesehen von eMails aus dem IT Center, habe ich jedoch bis vor zwei
Wochen noch nie eine signierte eMail von einer RWTH Adresse bekommen.
Dabei schreiben mir seit 2012 sogar meine Eltern verschlüsselte eMails
(dank eines kostenlosen Comodo Zertifikats und des "Encrypt if Possible"
Thunderbird Plugins).

Nun bekam ich also die erste signierte eMail aus dem RWTH Adressbereich
und zwar vom Hochschulsportzentrum, was mich zu der Frage führt:
*Warum nutzen die anderen Einrichtungen der RWTH und vor allem die
Institute keine gesicherte eMail Kommunikation?* (Von meinen ehemaligen
Kommilitonen oder gar aktuellen Studenten will ich gar nicht erst sprechen.)

Sind Euch (Informatik- (?)) Institute bekannt an denen man durchgängig
sicher kommuniziert?

Was ich gefunden habe sind ein paar vereinzelte (!) PGP Keys.
Man könnte natürlich über PGP vs. S/MIME diskutieren, doch die Form der
Sicherung soll mir zunächst mal egal sein - ich "kann" beides.
Jedoch scheint dank der direkten und somit wirklich einfachen
Integration von S/MIME selbiges wohl in der Industrie (zumindest bei
Bosch) verbreiteter zu sein.

Somit bleibt mir der Hinweis auf:
<https://www.fsmpi.rwth-aachen.de/news/cryptoparty-des-osak> (Wozu ich
jedoch keinerlei Verbindungen habe.)

Viele Grüße
Manuel

[Axel Berger]

Post by Manuel
*Warum nutzen die anderen Einrichtungen der RWTH und vor allem die
Institute keine gesicherte eMail Kommunikation?*

Warum soll ich Postkarten verschlüsseln? Es gibt auf der Welt kaum etwas
öffentlicheres als die Wikipedia und wie wird sie übertragen? HTTPS.
Mehr Dummheit geht kaum. Ich muß nicht jeder dummen Mode nachlaufen.

[Torsten Bronger]

Hallöchen!

Post by Axel Berger

Post by Manuel
*Warum nutzen die anderen Einrichtungen der RWTH und vor allem
die Institute keine gesicherte eMail Kommunikation?*

Warum soll ich Postkarten verschlüsseln? Es gibt auf der Welt kaum
etwas öffentlicheres als die Wikipedia und wie wird sie
übertragen? HTTPS. Mehr Dummheit geht kaum. Ich muß nicht jeder
dummen Mode nachlaufen.

Mein Bewegungsprofil auf der Wikipedia finde ich privat genug, daß
es nur mich und die Wikipedia was angeht.

Tschö,
Torsten.

[Jens Hektor]

Post by Axel Berger

Post by Manuel
*Warum nutzen die anderen Einrichtungen der RWTH und vor allem die
Institute keine gesicherte eMail Kommunikation?*

Warum soll ich Postkarten verschlüsseln? Es gibt auf der Welt kaum etwas
öffentlicheres als die Wikipedia und wie wird sie übertragen? HTTPS.
Mehr Dummheit geht kaum. Ich muß nicht jeder dummen Mode nachlaufen.

Es geht bei E-Mail nicht unbedingt nur um Verschlüsselung.

Allein schon das signieren ist ein Mehrwert.

[Axel Berger]

Post by Jens Hektor
Allein schon das signieren ist ein Mehrwert.

Spätestens dann, wenn ich den Ausdruck einer empfangenen Mail vor
Gericht vorlege und beweisen will, sie nicht nach Empfang manipuliert zu
haben, ja. Ist denkbar, aber bei mir in über 25 Jahren bisher nie
vorgekommen. Falsche Absender erkennt man in aller Regel an den Headern,
von denen die meisten vom Absender nicht zu beeinflußbar sind.

Der Bloatfaktor zwischen den von mir benutzten mindestens zehn Jahre
alten Programmen und "aktueller" "moderner" Software ist gigantisch, der
Mehrwert ist infinitesimal oder subjektiv für mich exakt null.

Axel

[Manuel]

Hallo,

zunächst einmal ist zwischen Signierung (Sicherung) und Verschlüsselung

Post by Axel Berger
Es gibt auf der Welt kaum etwas
öffentlicheres als die Wikipedia und wie wird sie übertragen? HTTPS.

Zwar können die Wikipedia Inhalte von jedem geändert werden, dies ist
dann jedoch auch für alle offensichtlich. Ohne gesicherten
Übertragungskanal könnten, während der Übertragung Änderungen
vorgenommen werden, ohne diese Öffentlich machen zu müssen.

Post by Axel Berger

Post by Manuel
*Warum nutzen die anderen Einrichtungen der RWTH und vor allem die
Institute keine gesicherte eMail Kommunikation?*

Warum soll ich Postkarten verschlüsseln?

Also ist eigentlich die Erkenntnis vorhanden, dass unverschlüsselte
eMails mit Postkarten zu vergleichen sind!?
Da stellt sich dann schon die Frage, warum im "analogen"
Geschäftsverkehr Briefe statt Postkarten genutzt werden und Postkarten
eigentlich nur für Urlaubsgrüße Verwendung finden, wohingegen man bei
digitaler Kommunikation Postkarten bevorzugt.

Das Abstimmen der gemeinsamen Mittagspause muss sicherlich nicht per
verschlüsselter eMail erfolgen, dazu kann man sich auch einfach des
Flurfunks bedienen. Aber vom Geschäftsverkehr über aktuelle
Forschungsergebnisse hin zu Personenbezogenen Daten wird - so scheint es
mir - quasi alles unverschlüsselt (per Postkarte) übertragen.

Zumal man ja gerade im universitären Umfeld eher die technisch
versierten Anwender vermuten würde und wenn es nicht hier gelebt,
gelehrt und gelernt wird, wird es im späteren Berufsleben vermutlich
auch nicht zur Anwendung kommen.

Also bezüglich dieses Arguments verwirrte Grüße,
Manuel

[Axel Berger]

warum im "analogen" Geschäftsverkehr Briefe statt Postkarten
genutzt werden und Postkarten
eigentlich nur für Urlaubsgrüße Verwendung finden,

Ganz einfach, weil Briefe schon bei einem Blatt die vierfache Fläche für
Inhalte anbieten, viele Haushaltsdrucker mit dem Postkartenformat nicht
gut zurechtkommen und der Preisvorteil auch keine Rolle mehr spielt.

Axel

[Michael Laumen]

Post by Manuel
[...]
Also ist eigentlich die Erkenntnis vorhanden, dass unverschlüsselte
eMails mit Postkarten zu vergleichen sind!?
Da stellt sich dann schon die Frage, warum im "analogen"
Geschäftsverkehr Briefe statt Postkarten genutzt werden und Postkarten
eigentlich nur für Urlaubsgrüße Verwendung finden, wohingegen man bei
digitaler Kommunikation Postkarten bevorzugt.
[...}
Aber vom Geschäftsverkehr über aktuelle
Forschungsergebnisse hin zu Personenbezogenen Daten wird - so scheint es
mir - quasi alles unverschlüsselt (per Postkarte) übertragen.

Hallo,

das Verschicken sensibler Daten über E-Mail wird tatsächlich oft gemacht
(unter anderem ja auch Rechnungen von Onlineshops, etc.), ist deswegen
aber nicht unbedingt richtig.
Die Telekom ist deswegen auch schon kritisiert worden:
http://www.verbraucherzentrale-rlp.de/sepa-umstellung--1-1-und-deutsche-telekom-unsensibel-im-umgang-mit-bankdaten-

Dass HTTPS automatisch sicher ist und nicht gefälscht, ist im übrigen
auch nur ein Trugschluss. Jede Zertifizierungsstelle (CA) kann ohne
weiteres Sicherheitszertifikate für beliebige Domains ausstellen und
weitergeben. Damit können die scheinbar sicheren HTTPS-Übertragungen
teilweise ohne erkennbare Zeichen manipuliert/abehört werden (public-key
pinning ausgenommen).
Das betrifft jegliche Verschlüsselung mit öffentlichen Trust-Centern,
somit auch S/MIME.
Ist auch schon vorgekommen:
http://googleonlinesecurity.blogspot.de/2015/03/maintaining-digital-certificate-security.html

Falls man den öffentlichen Schlüssel über andere Kommunikationswege
überprüft hat, ist dies nicht mehr möglich.
Wird jedoch meines Wissens nach aktuell nur bei PGP durchgeführt.


Viele Grüße
Michael

[Torsten Bronger]

Hallöchen!

Post by Michael Laumen
[...]
Dass HTTPS automatisch sicher ist und nicht gefälscht, ist im
übrigen auch nur ein Trugschluss. Jede Zertifizierungsstelle (CA)
kann ohne weiteres Sicherheitszertifikate für beliebige Domains
ausstellen und weitergeben.

Meiner Meinung nach ist das allerdings das bißchen Unsicherheit, mit
dem man leben muß. Irgendwem muß ich halt vertrauen, wenn ich nicht
zu all meinen Geschäftspartnern latschen will und Fingerprints
vergleichen will. Man könnte da ein bißchen finetunen, aber das
Grundproblem bleibt immer.

Tschö,
Torsten.

[Axel Berger]

Post by Torsten Bronger
Meiner Meinung nach ist das allerdings das bißchen Unsicherheit, mit
dem man leben muß. Irgendwem muß ich halt vertrauen, wenn ich nicht
zu all meinen Geschäftspartnern latschen will und Fingerprints
vergleichen will.

Genau dasselbe Argument mache ich für die unverschlüsselte Übertragung
geltend. Für einzelne Buchkäufe und ähnliches lohnt sich kein Betrug und
wenn es um großes geht oder mir etwas seltsam vorkommt, dann greife ich
(zusätzlich) zum Telephon.

Staatliche Stellen versenden seit einiger Zeit nur noch
ununterschriebene Drucksachen und das reicht den meisten Empfängern
ebenso. Die übelsten Sicherheitsverstöße habe ich bisher in eMails von
Banken erlebt.

Axel

[Torsten Bronger]

Hallöchen!

Post by Axel Berger
[...]
Genau dasselbe Argument mache ich für die unverschlüsselte
Übertragung geltend. Für einzelne Buchkäufe und ähnliches lohnt
sich kein Betrug und wenn es um großes geht oder mir etwas seltsam
vorkommt, dann greife ich (zusätzlich) zum Telephon.

Die Rechnung muß jeder für sich selbst machen, klar. Allerdings ist
HTTPS für den Serverbetreiber ein kleiner und für den Kunden kein
Aufwand. Damit ist es für mich verhaltnismäßig. Man kann an sein
Fahrrad ein zu großes Schloß machen, aber gar keins ist auch nicht
gut.

Tschö,
Torsten.

[Stephan Feinen]

Post by Axel Berger
Staatliche Stellen versenden seit einiger Zeit nur noch
ununterschriebene Drucksachen und das reicht den meisten Empfängern
ebenso. Die übelsten Sicherheitsverstöße habe ich bisher in eMails von
Banken erlebt.

Interessant, ich bekomme praktisch keine eMails von Banken.

Ich bekomme oft eMails, die behaupten, von einer Bank verschickt worden
zu sein, aber meine Banken schicken mir (fast) nie eMails und wenn, dann
nur in der Form "Es gibt Neuigkeiten, bitte loggen Sie sich bei der Bank
ein und lesen Sie Ihre Post" und das NICHT gefolgt von einem Link zum
Draufklicken.

Nur weil andere Leute ihre höchst private Korrespondenz auf Postkarten
verschicken, muss ich das ja nicht auch noch tun.

Gerade weil Metadaten inzwischen genauso wertvoll geworden sind, wie die
echten Daten, sollte man damit auch etwas sorgfältiger umgehen.

Jetzt fehlt bloss noch der Spruch "Ich habe ja nichts zu verbergen."

gruß
stephan

[Axel Berger]

und wenn, dann nur in der Form
"Es gibt Neuigkeiten, bitte loggen Sie sich bei der Bank
ein und lesen Sie Ihre Post" und das NICHT gefolgt von einem Link

Ich habe ja nicht gesagt gesagt, daß alle Banken das tun, aber meine
Sparkasse hatte die klassische Kombination eines generischen "Sehr
geehrer Kunde" mit Link, iirc auch noch als HTML, so daß das wahre
Linkziel nicht sichtbar ist. Zu loben ist, daß sie das nach meinem
deutlichen Hinweis sofort geändert haben und jetzt keinen Link mehr
schicken.

Eine Bank mit Sitz in den USA hat allerdings den absoluten Vogel
abgeschossen. Eine Mail mit Link zu einem windigen, mir völlig
unbekannten Provider, bei dem ich einen Account einrichten mußte und
dann dort erst im Web die eigentliche Nachricht abholen konnte. Und ja,
es war die Bank und sie meinten das ernst.

(Wenn mir sowas irgendwer im Usenet erzählte, würde ich es vermutlich
auch nicht glauben. Die Nachrichten sind hier noch archiviert.)

Jetzt fehlt bloss noch der Spruch "Ich habe ja nichts zu verbergen."

Auch wenn Dir das gefiele, ich muß ja nicht gleich alle Klischees
erfüllen.

Axel

[Thomas Hochstein]

Post by Axel Berger
Es gibt auf der Welt kaum etwas
öffentlicheres als die Wikipedia und wie wird sie übertragen? HTTPS.

Es würde mich wundern, wenn die Passworte der Wikipedia-Accounts
öffentlich wären. (Und schon deshalb ist es sinnvoll, grundsätzlich
nur verschlüsselte Verbindungen zuzulassen, damit Passwort oder
Session-Cookie nicht versehentlich offen übermittelt werden.)

Post by Axel Berger
Mehr Dummheit geht kaum.

Soso.