Und wer nutzt jetzt noch kritische Verbindungen ohne Transportverrschlüsselung bzw. E2E?
Dazu habe ich oben schon was geschrieben. Das unterliegt gleich mehreren ganz gefährlichen Annahmen bzw. Unterstellungen. Nur mal als Auswahl:
- Wie kommst du darauf, dass systemseitig alle notwendigen Implementierungen fehlerfrei sind?
- Wie komsmt du darauf, dass Anbeiterseitig alle notwendigen Implementierungen fehlerfrei sind?
- Wie kommst du darauf, dass die Umsetzung aktuellen technischen Standards genügt?
- Woher weist du, dass die verwendeten Schlüssel nicht universell genutzt werden?
...
Merkst du was? Du kannst wohl auf *keine* dieser Fragen eine Antwort mit Sicherheit geben, gehst aber zugleich davon aus, dass das System sicher ist. Das ist ziemlich widersprüchlich.
Deine Aussage mag stimmen. Jedoch schwingt da mit, dass man unter keinen Umständen sein eigenes Netzwerk verlassen dürfte, ohne befürchten zu müssen, kompromittiert zu werden.
Würde ich auch nicht. Wie kommst du bitte darauf, dass dein Netzwerk sicher ist? Weil du regelmäßig deine AVM mit Patches versorgst? Es gibt seit Jahren und Jahrzehnten haufenweise Botnetze aus WLAN-Routern, es gibt immer wieder große Netzwerke größer Unternehmen, die geknackt werden, obwohl da ganze Mannschaften dafür bezahlt werden, diese abzusichern.
Aber Erna Müller ist nun der Netzwerk-Absicherungsprofi, weil sie abends nach der Arbeit in Foren was dazu liest?
Es hat schon seinen Grund, warum bestimmte Unternehmen diverse Systeme bis heute nicht mit einem öffentlich erreichbaren Netzwerk verbinden.
Klar, verlässt man sein (sicheres) Netzwerk, ist man angreifbar. Dann nutzt man aber auch lieber ein 3310 und kein iPhone, wenn man die Bedenken hat.
Nein, es ist eine Abwägung. Und diese Abwägung kennt nun mal nicht die pauschale Antwort: "Nö, das ist risikolos". Sei dir des - vielleicht auch nur theoretischen - Risikos bewusst, dann kannst du entsprechend handeln. Das ist wie in vielen anderen Bereichen des Lebens auch. Nehmen wir Backups: Die alte Regeln, dass man mehrere Versionen von Backups an verschiedenen Orten haben soll, entspringt der gleichen Logik: Es mag ja unwahrscheinlich sein, dass die Festplatte abraucht und das Haus abbrennt und die Festplatte im Keller nicht mehr funktioniert...
... aber es ist möglich. Und daher die Abwägung: Wie wichtig sind die dir Daten? Umso mehr Aufwand wirst du in das Backup stecken müssen, um die Wahrscheinlichkeit eines Totalverlusts immer weiter zu reduzieren.
Hier ist es das gleiche: Für viele Dienste reicht auch mir eine normale verschlüsselte HTTPS-Verbindung aus, ohne dass ich sie weiter prüfe, wie "gut" sie gesichert ist. Andere, z.B. berufliche Daten, würde ich aber heute nicht mal mehr per verschlüsselter Mail verschicken, sondern dafür werden ausschließlich speziell gesicherte Systeme mit extra gesicherten Verbindungen genutzt.
Im Ergebnis also immer: Es kommt darauf an...
Die Mobilfunknetze sind aufwändig verschlüsselt, da besteht ein geringes Risiko. Die perfekte Verschlüsselung gibt es natürlich nicht, aber im Mobilfunknetz ist das Risiko geringer.
Ich glaube bei LTE gab es vor ein paar Jahren mal Bedenken bzgl. der Verschlüsselung (oder gar Lücken?) aber bei 5G ist mir noch nichts zu Ohren gekommen.
Auch an der Stelle: Frag noch mal bei Merkel. Denk noch mal darüber nach, welche Diskussionen in den letzten Jahren zu den chinesischen Lieferanten von Komponenten dieser Systeme geführt wurden.
Und "nicht kennen" != "nicht vorhanden"
Welcher Browser akzeptiert noch Zertifikate mit weniger als 2048bit schlüssellänge? Und das Problem mit dem Anbieter hättest du dann auch aus dem heimnetz und und einem vpn.
Und 2048 Bit Schlüssel gelten als sicher bis 2030. Selbst ein noch nicht existierender 10,000 qubits quatencomputer bräuchte ~105 Tage für eine Attacke auf einen Schlüssel…
Ja, das ist richtig - und wird regelmäßig von der Wirklichkeit konterkariert. Da werden technische Systeme nicht korrekt implementiert, es gibt Fehler bei der Programmierung, es werden generische Schlüssel verwendet, ...
Es bringt überhaupt nichts, darüber zu disktutieren, wie die perfekte Welt aussehen *könnte* - solange an jeder Ecke, aus welchen Gründen auch immer, Fehler gemacht werden.
Würden wir die Welt um ein Jahr zurückdrehen, hättest du wahrscheinlich auch argumentiert, dass bei Microsoft doch bestimmt niemand so doof ist, einen Schlüssel für alle möglichen Dienste zu nutzen, oder?
Und du kannst dir unendlich viele Beispiele aus der Vergangenheit heraussuchen. In sofern halte ich mich da nicht an das theoretische Modell, was unter ideal Umstände das maximale Level an Sicherheit sein könnte - weil ich davon ausgehen muss, dass es nunmal irgendwo einen Fehler gibt. Und sei es auch nur, weil im Sourceode jemand vergessen hat, die Länge eines Strings zu prüfen und somit eine Injection möglich ist, ... oder was auch immer.
Die Attacke auf einen rsa Schlüssel aus einem Mediamarkt netzt möchte ich gerne sehen.
Ich sage ja nicht dass es bedenkenlos sicher ist, allerdings ist die Frage wie aufwändig und wahrscheinlich ist es und dann welche Probleme gibt es mit möglichen Motivierungen wie vpn von kommerziellen Anbietern aus dubiosen drittstaaten…
Damit sind wir aber auf der anderen Ebene: Abwägung der Wahrscheinlichkeit, dass es einen "dort" trifft. Das es einen "selbst" trifft. Et cetera. Geht es um die Frage "Ist das ein Risiko bzw. kann ich so ausspioniert werden" gibt es nur eine Antwort: Ja.
Du würdest die Frage, ob es jedenfalls sicher ist Auto zu fahren, doch auch nicht pauschal mit "Ja, auf jeden Fall" beantworten. Auch hier hast du unzähliche Einflussfaktoren. Und nichts anderes ist es in Bezug auf die hier gestellte Frage.
