y0o.de · GNU/Linux Nachrichten u.Ä.

🔒
❌ Über y0o.de
Es gibt neue verfügbare Artikel. Klicken Sie, um die Seite zu aktualisieren.
Heute — 18. Juni 2021Haupt-Feeds

Beta von OpenSSL 3.0

18. Juni 2021 um 11:22

Mit einer Beta-Version der kommenden Major-Version 3.0 versorgen die Entwickler von OpenSSL testwillige Nutzer. Bei OpenSS stellt die Beta das Äquivalent zu einem Release Candidate dar, teilt OpenSSL-Entwickler Matt Caswell mit.

Der Werdegang von OpenSSL 3.0s ei ein langer gewesen, so Caswell. Rund 7000 Commits von 300 Autoren steckten darin. Entsprechend lang ist die Liste der neuen Features, von denen Caswell einige besonders hervorhebt.

Zunächst sind organisatorische Neuerungen genannt. Mit der Version 3.0 geht ein Lizenzwechsel einher. Es komme nun die Apache License zum Einsatz, schreibt der Entwickler. Die ersetze das bislang genutzte Gespann aus OpenSSL- und SSLeay-Lizenzen. Vom Lizenzwechsel bleiben zuvor veröffentlichte Releases außen vor. Zudem wechselt mit OpenSSL das Versionsschema. Statt der bislang verwendete Nummerierung nach MAJOR.MINOR.FIX[PATCH] komme nun ein MAJOR.MINOR.FIX zum Zuge. Die Version 2.0 überspringe man, weil das OpenSSL FIPS Modul diese Version bereits verwendet habe. Auf OpenSSL 1.x folge also 3.0. Das kommende Quartal gilt als angepeilter Release-Termin.

Komplett “pluggable” TLSv1.3 Gruppen, ein neuer Encoder- und Decoder-Support und die Implementierung des kompletten Certificate Management Protocol (CMP) sind als weitere Neuerungen genannt. Neue APIs stünden für den Umgang mit MACs (Message Authentication Codes), KDFs (Key Derivation Functions) und Zufallszahlen (EVP_RAND) zur Verfügung, so Caswell. In seinem Beitrag verlinkt er die Download-Möglichkeiten.

Der Beitrag Beta von OpenSSL 3.0 erschien zuerst auf Linux-Magazin.

Ältere BeiträgeHaupt-Feeds

Google veröffentlicht Lösung für homomorphe Verschlüsselung

15. Juni 2021 um 09:58

Google hat angekündigt, einen universellen Transpiler für die vollständig homomorphe Verschlüsselung unter Open-Source-Lizenz freizugeben. Die Lösung soll es Entwicklern ermöglicht, mit verschlüsselten Daten zu rechnen, ohne auf die darunterliegenden persönlichen Informationen zugreifen zu können.

Mit dem Transpiler für Fully Homomorphic Encryption (FHE) ließen sich verschlüsselte Daten über das Internet an Server schicken und dort verarbeitet werden, ohne dass sie entschlüsselt werden müssen, schreibt Google im Entwicklerblog. Der Transpiler von Google ermögliche es Entwicklern, Code für jede Art von grundlegender Berechnung zu schreiben, etwa einfache String-Verarbeitung, und ihn auf verschlüsselten Daten auszuführen. Der Transpiler wandle diesen Code in eine Version um, sich auf verschlüsselten Daten ausführen lasse. Die so erstellten Programmieranwendungen benötigten dann keine unverschlüsselten Daten mehr.

Mit dem Transpiler für FHE könnten etwa sensible medizinische Daten verschlüsselt werden, die dann zur weiteren Analyse an medizinische Experten weitergeben werden, ohne dass sie dort entschlüsselt werden müssen. Damit erhalte die medizinischen Gemeinschaft hilfreiche Informationen, während sichergestellt sei, dass kein Zugriff auf die zugrunde liegenden Informationen erfolge. Google hat seinen Transpiler für FHE auf Github unter Apache Lizenz gestellt.

Der Beitrag Google veröffentlicht Lösung für homomorphe Verschlüsselung erschien zuerst auf Linux-Magazin.

Grub 2.06 unterstützt LUKS2-Verschlüsselung

10. Juni 2021 um 10:32

Ursprünglich sollte die neue Version von Grub schon im letzten Jahr erscheinen, dafür bietet der Bootloader trotz des kleinen Versionssprungs mehrere interessante Neuerungen. Unter anderem schützt Grub 2.06 vor den zwei BootHole-Attacken und versteht sich mit LUKS2 verschlüsselten Partitionen.

Neu ist auch der Support für SBAT und die Xen Security Module (XSM/FLASK). Standardmäßig deaktiviert ist “os-prober”, das die installierten Betriebssysteme erkennt und automatisch passende Menüeinträge generiert.

Darüber hinaus haben die Grub-Entwickler zahlreiche von einzelnen Distributoren vorgenommene Änderungen zurückportiert. Abschließend unterstützt Grub 2.06 die Compiler GCC und Clang/LLVM jeweils in der Version 10. Der Quellcode von Grub 2.06 ist auf seiner Website verfügbar.

Der Beitrag Grub 2.06 unterstützt LUKS2-Verschlüsselung erschien zuerst auf Linux-Magazin.

Thunderbird-Update schließt OpenPGP-Lücken

21. Mai 2021 um 11:24

Mit dem Update des Mailprogramms Thunderbird auf Version 78.10.2 beseitigt Mozilla einige Sicherheitsprobleme der OpenPGP-Implementierung.

Thunderbird hat die Verschlüsselung mit OpenPGP seit der Version 78.2.1 aktiviert. Nun hat Mozilla einige Sicherheitslücken geschlossen, die mit OpenPGP zusammenhängen. Die geheimen OpenPGP-Schlüssel, die man mit Thunderbird in den Versionen 78.8.1 bis Version 78.10.1 importiert habe, seien unverschlüsselt auf der lokalen Festplatte des Benutzers gespeichert worden, teil Mozilla zu einer der Lücken mit. Der Master-Kennwortschutz sei für diese Schlüssel inaktiv gewesen, heißt es im Advisory. Thunderbird 78.10.2 stelle den Schutzmechanismus für neu importierte Schlüssel wieder her und schütze automatisch Schlüssel, die mit betroffenen Thunderbird-Versionen importiert wurden, heißt es weiter.

Ein weiteres Problem bestand darin, dass bei MIME-kodierten E-Mail, die einen OpenPGP-inline-signierten oder verschlüsselten Nachrichtenteil, aber auch einen zusätzlichen ungeschützten Teil enthalten, Thunderbird nicht anzeigte, dass nur Teile der Nachricht geschützt seien. Auch dieses Problem behebt die neue Version.

Der Beitrag Thunderbird-Update schließt OpenPGP-Lücken erschien zuerst auf Linux-Magazin.

Linux Tool, um drahtlose Logitech-Tastaturen mit 27 MHz zu verschlüsseln

06. April 2021 um 08:00
Von: jdo

Logitech hat lange Zeit drahtlose Tastaturen produziert, die den Kommunikationsbereich 27 MHz nutzen. Sie werden zwar nicht mehr hergestellt, aber es sind noch einige davon unterwegs und sie lassen sich auch noch perfekt einsetzen. Das Problem unter Linux ist, dass die Verbindung per Standard nicht verschlüsselt wird. Das ist natürlich nicht gut aus Sicht der Security. Die gute Nachricht ist, dass die Tastaturen eigentlich eine verschlüsselte Verbindung unterstützen. Allerdings muss man sie dafür einmalig einrichten, wie in diesem Blog-Beitrag zu […]

Der Beitrag Linux Tool, um drahtlose Logitech-Tastaturen mit 27 MHz zu verschlüsseln ist von bitblokes.de.

Libgcrypt 1.9.0 bringt kritische Sicherheitslücke mit

01. Februar 2021 um 10:56

In der jüngst veröffentlichten Kryptografie-Bibliothek Libgcrypt 1.9.0 steckt ein schwerwiegender Bug. Ein Update auf 1.9.1 sei dringend angeraten, schreiben die Entwickler.

Der Fehler, ein Pufferüberlauf, der schon durch das simple Entschlüsseln von Daten ausgelöst werden könne, sei bereits vor zwei Jahren bei der Entwicklung von Libgcrypt 1.9 eingeschleust worden. Vor der im Januar veröffentlichten Version 1.9 enthalte aber keine andere Version der Bibliothek den Bug. Libgcrypt 1.8 LTS sei also sicher. Wie die Entwickler mitteilen, nutze derzeit auch keine Version von GnuPG die betroffene Version. Inzwischen habe man die Tarballs von 1.9 auf den FTP-Servern umbenannt. Es sollten also keine Skripte mehr darauf zugreifen können, um die lückenhafte Version abzuholen. Eine CVE-Nummer hat das Projekt nicht vergeben. man tracke den Bug auf dieser Webseite.

Der Beitrag Libgcrypt 1.9.0 bringt kritische Sicherheitslücke mit erschien zuerst auf Linux-Magazin.

Nextcloud Client 3.1 – Problem gelöst, dennoch bizarr

18. Dezember 2020 um 11:09
Von: jdo

Ein paar Tage habe ich mir nun mit einem älteren AppImage geholfen, weil Nextcloud Client 3.1 einfach nicht starten wollte. Nun hat mich das Problem aber doch gewurmt. Vor allen Dingen hat mich stutzig gemacht, dass das AppImage 3.1 unter Linux Mint 20.1 Beta gestartet ist. Warum hat mich das Problem gewurmt? Einfach so Das AppImage 3.0.3 hat bei jedem Start wieder die Ordner über 500 MByte als zu groß markiert und von der Synchronisierung ausgenommen. Deswegen musste ich das […]

Der Beitrag Nextcloud Client 3.1 – Problem gelöst, dennoch bizarr ist von bitblokes.de.

Bitkom will keine staatlichen Backdoors

15. Dezember 2020 um 10:20

Der Internetbranchenverband Bitkom hat sich gegen eine zwangsweise Einführung von Hintertüren in Kommunikationsdiensten ausgesprochen. Die würden mehr schaden als nutzen, heißt es in einer Grundsatzerklärung des Verbands.

Ähnliches Unheil sieht der Bitkom auch bei der Forderung für sogenannte Generalschlüssel für gesicherte Kommunikationswege. „Wir müssen alles dafür tun, elektronische Kommunikation so sicher wie möglich zu machen und hier ist eine starke Verschlüsselung das Mittel der Wahl. Eine Verschlüsselung light bietet keine echte Sicherheit“, sagt Bitkom-Hauptgeschäftsführer Dr. Bernhard Rohleder.

Rohleder zeigte sich überzeugt, dass Hintertüren nicht dauerhaft kontrollierbar seien und sich von Cyberkriminellen und fremden Nachrichtendiensten ausnutzen lassen. Vertrauliche Kommunikation brauche Verschlüsselung, so Rohleder.

Für den Verband ist es aber unbestritten, dass eine effektive Strafverfolgung im digitalen Raum möglich sein müsse. Dafür sollte es aber zunächst Verbesserungen in der Infrastruktur geben. Ermittlungsbehörden sollten dafür besser ausgestattet werden und mehr Digitalkompetenz beim Personal aufbauen, fordert der Bitkom.

 

Daneben brauche es eine Debatte darüber, wie anlassbezogene, richterlich angeordnete Eingriffsmöglichkeiten im Bereich der Telekommunikation für Sicherheitsbehörden aussehen könnten. Der Bitkom hat seine Erklärung online veröffentlicht.

Der Beitrag Bitkom will keine staatlichen Backdoors erschien zuerst auf Linux-Magazin.

Threema-Quellcode bei Security-Audit als sehr solide gelobt

27. November 2020 um 09:31
Von: jdo

Während man in der EU gerade die Ende-zu-Ende-Verschlüsselung (E2EE) in Messaging-Services wie WhatsApp und Signal verbieten möchte, öffnet Threema langsam seinen Code. In Kürze soll der Source Code von Threema verfügbar sein. Das Team will so transparent wie möglich auftreten und Anwender*innen sollen sich selbst von der Sicherheit überzeugen können. Vorher Security-Audit von Threema Es ist bereits der zweite Security-Audit, den Threema durchführen lässt. Bereits 2019 hat die FH Münster den Quellcode überprüft. 2020 haben sich die Experten von Cure53 […]

Der Beitrag Threema-Quellcode bei Security-Audit als sehr solide gelobt ist von bitblokes.de.

Threema Multi-Gerät-Unterstützung kommt – technische Herausforderung

04. November 2020 um 08:09
Von: jdo

Beim Messenger Threema gibt es derzeit viele gute Nachrichten. Es befinden sich Desktop-Clients in der Entwicklung und auch Multi-Device-Unterstützung kommt. Allerdings wirst Du Dich noch etwas gedulden müssen. Zwar bieten viele Chat- und Messaging-Services wie zum Beispiel Telegram solche Multi-Gerät-Unterstützung an, aber mit Blick auf Sicherheit und Datenschutz ist die Sache komplex. Die Entwickler erklären, dass eine Multi-Device-Lösung von Threema vollständig Ende-zu-Ende-Verschlüsselung (E2EE) haben muss. Der Server darf auch Schlüssel nicht verändern und übertragene Metadaten müssen so gering wie möglich […]

Der Beitrag Threema Multi-Gerät-Unterstützung kommt – technische Herausforderung ist von bitblokes.de.

Nextcloud Hub 20 mit neuem Dashboard, einheitlicher Suche und mehr

04. Oktober 2020 um 08:09
Von: jdo

Auf der Nextcloud-Konferenz in Berlin wurde Nextcloud Hub 20 vorgestellt. Es ist eine weitere große Version, die sehr sichtbare Änderungen mit sich bringt. Das Dashboard war schon in den Test-Versionen sehr auffällig. Ebenfalls hat CEO Frank Karlitschek Integrationsmöglichkeiten mit vielen anderen Plattformen angekündigt. Dazu gehören Moodle, Microsoft Teams, Gitlab, Slack und so weiter. get the new release. Die größten Änderungen in Nextcloud Hub 20 Die Entwickler stellen drei Neuerungen bei Nextcloud Hub 20 besonders heraus: Das neue Dashboard, das mit […]

Der Beitrag Nextcloud Hub 20 mit neuem Dashboard, einheitlicher Suche und mehr ist von bitblokes.de.

E2EE bei Nextcloud weiterhin unbrauchbar – Linux, Windows, Android

27. September 2020 um 11:09
Von: jdo

Ich bin mir ziemlich sicher, dass das Hochladen mehrerer Dateien mit E2EE bei Veröffentlichung von Nextcloud 19 funktioniert hat. Allerdings gab es da acuh Macken. In der Zwischenzeit scheint sich die Sache massiv zu verschlimmbessert haben. Ich bin echt froh, das nur auf meiner Test-Instanz aktiviert zu haben und da muss ich mich schon darüber ärgern. Zwar werden mir nun im Android-Client Ordner angezeigt, die ich mit einem Desktop-Client erstellt habe (das war die größte Macke damals), dafür kann ich […]

Der Beitrag E2EE bei Nextcloud weiterhin unbrauchbar – Linux, Windows, Android ist von bitblokes.de.

Nextcloud 20 RC2 – habe gerade aktualisiert – Update für Desktop Client

25. September 2020 um 07:55
Von: jdo

Die Entwickler der Nextcloud haben einen zweiten RC der Nextcloud 20 angekündigt. Habe ich gerade auf meiner Beta-Instanz installiert. Ich benutze dafür eigentlich immer die Kommandozeile: sudo -u www-data php /pfad/zu/nextcloud/updater/updater.phar Es funktioniert mit der grafischen Variante via Browser sicherlich auch, aber mir ist die Kommandozeile lieber. Da habe ich mehr Kontrolle. Auf jeden Fall ist das Update problemlos durchgelaufen. Details zu den Neuerungen von Nextcloud 20 behalten die Entwickler für sich, deswegen teste ich nicht. Aber das neue Dashboard […]

Der Beitrag Nextcloud 20 RC2 – habe gerade aktualisiert – Update für Desktop Client ist von bitblokes.de.

OpenPGP: Mozilla beschreibt Update von Thunderbird 68 auf 78

11. September 2020 um 10:49

Mit dem Update des Mailprogramms Thunderbrid auf Version 78 hat Mozilla Enigmail durch die Integration von OpenPGP ersetzt. Nutzer von Enigmail finden nun eine Hilfestellung zum Update auf den neuen Thunderbird.

Wie Mozilla im Thunderbird-Blog wissen lässt, beginnt demnächst die Updatephase auf Version 78 für die älteren Versionen über die automatische Update-Funktion. Der Blogbeitrag befasst sich mit der Integration von OpenPGP und den Auswirkungen eines Updates für Enigmail-Nutzer. Enigmail ist mit dem neuen Thunderbird wegen Umstellung der Codebasis nicht mehr kompatibel. Das Update auf Thunderbird 78 wird aber trotzdem empfohlen, weil Thunderbird 68 keine Updates ab Ende September mehr bekommt.

Noch biete die OpenPGP-Installation nicht alle Features von Enigmail, man sei aber an der weiteren Entwicklung von Funktionen, so Mozillas Ryan Sipes. Technisch bedingt seien manche Funktionen auch unterschiedlich implementiert.

Mithilfe eines von den Enigmail-Entwicklern bereitgestellten Migrations-Tool sollte der Umzug der Einstellungen und der Keys von Enigmail Classic klappen, schreibt Sipes. Die Anwender von Enigmail Junior werde das Enigmail-Projekt informieren, wie ein Umzug vonstattengeht. Es sei dafür Software nötig, die Thunderbird nicht mitbringe, so der Mozilla-Entwickler.

In einem How-to erläutert Mozilla zudem diverse Vorgehensweisen beim Umzug und den Umgang mit OpenPGP in Thunderbird.

Der Beitrag OpenPGP: Mozilla beschreibt Update von Thunderbird 68 auf 78 erschien zuerst auf Linux-Magazin.

Thunderbird aktiviert OpenPGP

31. August 2020 um 13:41

Mit der Version 78.2.1 bringt der freie Mailclient Thunderbird standardmäßig die Möglichkeit mit, Mails mit OpenPGP zu verschlüsseln. Das bislang dazu oft benutzte Add-on Enigmail ist nicht mehr kompatibel.

Die Einbindung von OpenPGP ohne Umwege über ein Add-on ist ein oft gefordertes Feature des Mailclients Thunderbird unter Mozilla-Obhut. Mit der standardmäßigen Aktivierung von OpenPGP haben die Entwickler gleichzeitig die Verschlüsselungsalgorithmen MD5, SM2 und SM3 deaktiviert. OpenPGP lässt sich im Menü Konteneinstellung unter dem End-to-End-Encryption-Tab konfigurieren. Nach der Konfiguration oder dem Import eines personal Keys lässt sich die Verschlüsselung in den Mails anwenden.

OpenPGP in Thunderbird. Quelle: Mozilla

Der Wegfall von Enigmail als kompatibles Add-on in der Version 78.2.1 macht ein Upgrade von Version 68 unmöglich und ein Downgrade funktioniert dann ebenfalls nicht. Nutzer müssen sich also den aktuellen Thunderbird neu installieren.

Der Beitrag Thunderbird aktiviert OpenPGP erschien zuerst auf Linux-Magazin.

Nextcloud 20 Beta 2 mit neuen Dashboard – Desktop Client 3.0.1

29. August 2020 um 09:28
Von: jdo

Nextcloud 20 Beta 2 ist da und es lässt sich über den Beta-Kanal einfach installieren. Es bringt ein neues und interessantes Dashboard mit sich. Diese Neuerung ist sehr offensichtlich. Version 3.0 des Nextcloud Desktop-Clients ist noch relativ frisch. Eine der großen Neuerungen bei Nextcloud Desktop Client 3.x ist die Unterstützung für E2EE oder End-to-End-Verschlüsselung. Sie funktioniert zum größten Teil, hat aber ein paar kleine Macken, von denen einige in Version 3.0.1 ausgebessert wurden. Änderungen in Nextcloud Desktop Client 3.0.1 Zum […]

Der Beitrag Nextcloud 20 Beta 2 mit neuen Dashboard – Desktop Client 3.0.1 ist von bitblokes.de.

Nextcloud 19.0.2, 18.0.8 und 17.0.9 sind da – Infos zu Nextcloud 20 / 21

27. August 2020 um 18:12
Von: jdo

Update-Zeit im Nextcloud-Lager. Die Entwickler haben die Versionen 19.0.2, 18.0.8 und 17.0.9 zur Verfügung gestellt. In der Ankündigung (steht 19.0.1 – das stimmt aber nicht, das gibt es schon länger) weisen sie außerdem darauf hin, dass Nextcloud 16 nicht mehr länger unterstützt wird. Wer die Variante immer noch im Einsatz hat, sollte sich langsam aber sicher ein Upgrade überlegen. Anwender von Version 17 sollten wissen, dass 17.0.9 die letzte Wartungs-Version dieser Reihe ist. Ein Upgrade auf eine höhere Version ist […]

Der Beitrag Nextcloud 19.0.2, 18.0.8 und 17.0.9 sind da – Infos zu Nextcloud 20 / 21 ist von bitblokes.de.

Nextcloud führt Ende-zu-Ende-Verschlüsselung ein

19. August 2020 um 11:45

Nextcloud hat seine Kollaboationsplattform um ein Sicherheitsfeature erweitert. Mit dem Nextcloud Client 3.0 bringt das gleichnamige Unternehmen mit Sitz in Stuttgart Ende-zu-Ende-Verschlüsselung (E2EE) in seine Filesharing-Plattform.

Die Verschlüsselung funktioniert neben dem Desktop-Client 3.0 auch mit den Android- und iOS-Geräten und den zugehörigen Nextcloud-Dateiclients, teilt das Unternehmen mit. Die E2EE von Nextcloud arbeitet auf Ordner-Level und nutzt ein serverunterstütztes und laut Anbieter völlig sicheres Schlüsselmanagement. Der Server habe nie Zugriff auf unverschlüsselte Passwörter oder unverschlüsselte Daten. Nutzer können dann auf jedem ihrer verwendeten Geräte auf ihre verschlüsselten Daten zugreifen, jedoch nicht mit dem Web-Interface. Der Dateitausch mit E2EE zwischen verschiedenen Nutzern ist derzeit noch nicht möglich.

Demonstration der Nextcloud-Lösung. Quelle: Nextcloud

Die Verschlüsselung arbeitet mit einem Private- und Public-Key. Die Schlüssel erzeugt der Client, sie werden, auf dem Server gespeichert, der private Key verschlüsselt und durch eine Passphrase geschützt, die aus 12 Wörtern besteht. Der Public-Key wird mit einem Zertifikat signiert.

Nutzer können dann neue Geräte hinzufügen, indem sie die Passphrase aus 12 Wörtern verwenden. Die Wörter wählt der Client aus dem Wörterbuch. Der Nutzer muss so keinen privaten Schlüssel auf möglicherweise unsicherem Weg transportieren. Nextcloud spricht vom jetzigen Release des Verschlüsselungsprotokolls von Version 1.1. Es soll eine Version 2.0 geben, mit der dann auch das Ende-zu-Ende verschlüsselte Teilen von Daten mit anderen Nutzern möglich sein soll.

Der Beitrag Nextcloud führt Ende-zu-Ende-Verschlüsselung ein erschien zuerst auf Linux-Magazin.

E2EE (End-to-End-Verschlüsselung) bei Nextcloud – hat Macken

19. August 2020 um 11:22
Von: jdo

Nachdem die Nextcloud-Entwickler Unterstützung für die End-to-End-Verschlüsslung oder E2EE in den neuesten Desktop- und Android-Clients angekündigt haben, wollte ich sehen: Wie es funktioniert, also wie einfach die Einrichtung ist Ob es funktioniert Ich habe dazu meine Test-Instanz genommen und kann sagen: Die Einrichtung ist wesentlich einfacher geworden. Allerdings gibt es einen fiesen Stolperstein, den ich am Ende des Artikels beschreibe. Allein aus diesem Grund würde ich E2EE bei der Nextcloud noch nicht produktiv nutzen. E2EE auf dem Server aktivieren Als […]

Der Beitrag E2EE (End-to-End-Verschlüsselung) bei Nextcloud – hat Macken ist von bitblokes.de.

End-to-End-Verschlüsselung (E2EE) im neuen Nextcloud Client 3.0 – endlich!

18. August 2020 um 12:31
Von: jdo

Endlich ist es so weit und die Entwickler der Nextcloud haben End-to-End-Veschlüsselung (E2EE) für den neuesten Client angekündigt. Genauer gesagt funktioniert es laut eigenen Angaben mit Desktop Client 3.0 und Android Client 3.13. Weiterhin wurde die Benutzeroberfläche grundlegend überarbeitet. Der Versionssprung auf 3.0 kommt etwas überraschend, da die letzten Release-Kandidaten 2.7 als Versions-Nummer trugen – aber egal. Die neuen Funktionen rechtfertigen den Sprung sicherlich. Update: Ich habe es getestet und es funktioniert zum Großteil, hat aber noch Macken. Produktiv setze […]

Der Beitrag End-to-End-Verschlüsselung (E2EE) im neuen Nextcloud Client 3.0 – endlich! ist von bitblokes.de.

Enigmail warnt mich, nicht manuell auf Thunderbid 78 zu aktualisieren

29. Juni 2020 um 09:09
Von: jdo

Eigentlich schnurrt Enigmail ganz brav und leise im Hintergrund. Nun ist es aber relativ laut geworden. Es warnt mit einer Meldung, nicht manuell auf Thunderbird 78 zu aktualisieren. Das gilt dann, wenn man OpenPGP für wichtige Zwecke einsetzt. Der Grund ist, dass Enigmail für Thunderbird 78 nicht mehr als traditionelle Erweiterung zu Verfügung steht, weil OpenPGP in Thunderbird integriert wird. Allerdings ist die Funktion noch experimentell und per Standard deaktiviert. Eine stabile Version von OpenPGP ist ab Thunderbird 78.2 geplant. […]

Der Beitrag Enigmail warnt mich, nicht manuell auf Thunderbid 78 zu aktualisieren ist von Linux | Spiele | Open-Source | Server | Desktop | Cloud | Android.

OpenSSH kündigt RSA mit SHA-1 ab

29. Mai 2020 um 08:35

Obwohl SHA-1 angreifbar ist, kommt es immer noch häufig zum Einsatz. Auch bei SSH. Das soll sich ändern.

In Zukunft soll es in OpenSSH kein SHA-1 mehr zur Schlüsselsignatur geben. Die Entwickler verweisen auf die Forschung von Gaëtan Leurent und Thomas Peyrin, die Anfang des Jahres einen Kollisionsangriff für unter 50.000 US-Dollar demonstrierten. Die Forscher konnten auf diese Weise einen zweiten GnuPG-Schlüssel mit dem gleichen SHA-1-Hashwert erzeugen.

Auch in OpenSSH sei die Verwendung von SHA-1 immer noch weit verbreitet, auch weil es der einzige verbleibende Algorithmus sei, der in den ursprünglichen SSH-RFCs spezifiziert wurde, schreiben die Entwickler in der Ankündigung der neuen OpenSSH-Version 8.3. Diese enthält vornehmlich Bugfixes und nur wenige kleinere Neuerungen.

Allerdings kündigen die OpenSSH-Entwickler an, den ssh-rsa-Algorithmus in einer zukünftigen Version standardmäßig zu deaktivieren, und verweisen auf bessere Alternativen wie den rsa-sha2-256/512-Algorithmus, der bereits seit OpenSSH 7.2 unterstützt wird. Weitere Alternativen seien die Algorithmen auf der Basis elliptischer Kurven, ssh-ed25519 und ecdsa-sha2-nistp256/384/521, die bereits seit OpenSSH-Version 6.5 beziehungsweise 5.7 zur Verfügung stehen. Gegen ECDSA bestehen jedoch ähnlich wie gegenüber DSA Vorbehalte.

Eine der nächsten SSH-Versionen soll zudem die UpdateHostKeys standardmäßig aktivieren, um eine automatische Migration zu besseren Algorithmen zu ermöglichen. Alternativ könne die Option schon jetzt manuell aktiviert werden, schreiben die Entwickler. Ob ein Server noch den veralteten Algorithmus verwendet, können SSH-Nutzer selbst überprüfen: Hierzu müssen sie ssh-rsa aus der Liste der erlaubten Algorithmen entfernen und anschließend einen Verbindungsversuch mit  “ssh -oHostKeyAlgorithms=-ssh-rsa user@host” starten. Schlage die Schlüsselüberprüfung des Hosts fehl und sei kein anderer unterstützter Hostschlüsseltyp verfügbar, müsse der Server aktualisiert werden, erklären die OpenSSH-Entwickler.

Der Beitrag OpenSSH kündigt RSA mit SHA-1 ab erschien zuerst auf Linux-Magazin.

Manjaro – wenn Dich Ubuntu am Arch lecken kann (kein Schreibfehler)

05. Mai 2020 um 10:09
Von: jdo

Es gibt ja einige Alternativen zu Ubuntu. Einige davon basieren auf Ubuntu, andere eben nicht. Es kommt immer ein bisschen darauf an, in welchem Distributions-Universum Du Dich zu Hause fühlst. Bei mir sind es schon eindeutig eher Debian-basierte Distributionen, zu denen auch Ubuntu und Raspbian gehören. Persönlich nehme ich am liebsten Linux Mint Cinnamon, habe aber das auf Arch basierende Manjaro nie wirklich aus den Augen gelassen. Bei Ubuntu missfällt mir derzeit ehrlich gesagt dieser krude Mix aus Snaps und Nicht-Snaps. […]

Der Beitrag Manjaro – wenn Dich Ubuntu am Arch lecken kann (kein Schreibfehler) ist von Linux | Spiele | Open-Source | Server | Desktop | Cloud | Android.

Jitsi Meet soll E2E-Verschlüsselung erhalten

14. April 2020 um 10:47

Jitsi Meet lässt sich zwar auf eigenen Servern betreiben, erlaubt aber keine Ende-zu-Ende-verschlüsselte Kommunikation von Gruppen. Das soll sich nun ändern.

In einem Blogpost stellt das quelloffene Videokonferenz-Projekt Jitsi Meet erste Pläne vor, eine Ende-zu-Ende-Verschlüsselung über WebRTC umzusetzen und bittet Krypto-Experten um ihre Meinung. Das Projekt will dazu so genannte Insertable Streams verwenden, an denen Google zurzeit arbeitet. Dabei wird für eine verschlüsselte WebRTC-Übertragung einfach eine zusätzliche Verschlüsselungsebene eingezogen.

Den Schlüssel will das Projekt dabei von einem URL-Hash ableiten. Das ist der Teil einer URL, der dem “#” folgt und der nicht an einen Server gesendet wird (und in dem Jitsi-Modell auch nicht gesendet werden darf). Die Jitsi-Macher werten ihn über “window.location.onhashchange” aus und spüren so Änderungen am E2EE-Schlüssel auf. Von diesem Schlüssel leitet das Projekt wiederum einen 128-Bit-Schlüssel über PBKDF2 ab, wobei die Raumnamen als Salt herhalten. Das sei ein wenig schwach, aber alle Teilnehmer am verschlüsselten Chat müssten dasselbe Salt erhalten. Erhalten anfangs alle Teilnehmer noch denselben Schlüssel zum chiffrieren und dechiffrieren der Kommunikation soll später jeder Teilnehmer über die MUC-Ressource einen eigenen Key erhalten. Kommt ein neuer Teilnehmer in den Chat, rotieren die Schlüssel. Das sei aktuell noch nicht möglich, weil dies ein funktionierendes E2E-Signaling erfordere.

SRTP als Vorbild

Der abgeleitete Schlüssel kommt dann beim Verschlüsseln des Streams zum Einsatz. Dieser Prozess setzt auf die Insertable Stream API, AES-GCM und das Webcrypto-API und generiert einen 96-Bit langen Initialisierungsvektor. Vorbild dafür ist die Verschlüsselung in SRTP (Secure Real-Time Transport Protocol). Der Vektor fügt einem Paket 12 Byte Overhead hinzu. Während das für Videopakete in Ordnung gehe, denke man bei Audio-Tags über kürzere Authentifizierungs-Tags nach. Weil man den Header nicht verschlüssele, könne der Encoder chiffrieret Pakete auch ohne Schlüssel verarbeiten, erzeuge dann aber eine Art visuelles Rauschen. Am Ende soll die Selective Forwarding Unit (SFU), also die Jitsi-Videobridge auf dem Server, nicht zwischen verschlüsselten und unverschlüsselten Inhalten unterscheiden können.

Die Verschlüsselung in Jitsi steht also auf der Agenda, auch wenn die Umsetzung in mehreren Schritten erfolgen wird und noch Fragen offen sind. Interessierte dürfen aber bereits vorhandenen Code begutachten. E2EE-Keys lassen sich zudem in der aktuellen Alpha-Version experimentell einsetzen. Im nächsten Schritt stellt sich daher die Frage, ob und wie das Feedback der Krypto-Experten die Verschlüsselungspläne beeinflusst.

Der Beitrag Jitsi Meet soll E2E-Verschlüsselung erhalten erschien zuerst auf Linux-Magazin.

❌