Gibt es einen wirklich sicheren spionagefreien Browser?

[Tyler654]

Doch, kann er. Es gibt einen eleganten Weg, wie du dich davon überzeugen kannst: Lies den Quellcode und kompiliere selbst.

Wie du selbst sagst:

Klar, der Laie kann die Lücke im Code nicht finden.

Daher nichts praxistaugliches.

Wenn ein Browser eine mutwillig eingebaute Sicherheitslücke hat, allen voran ein Open Source Browser wie Chromium oder Firefox, was hindert fähige HACKER daran, den Code nach genau solchen Lücken zu durchsuchen.

Das auch ein nicht zur Regierung gehörender Hacker das hinkriegt ist klar. Aber nur weil Opensource drausteht, gehst du auch gleich davon aus, dass die dann auch tatsächlich konsequent zugestopft werden? - Naja...

Wenn es mutwillig eingebaute Lücken für Regierungsbehörden gibt, dann werden Hacker/Malware-Verteiler sie garantiert finden und gewinnbringend ausnutzen.

Und ich bin eben der Meinung, dass solche Cracker wiederum die Lücken für sich ausnutzen und einfach die Klappe halten, damit sie nicht geschlossen werden...

Da solche gravierenden Massen-Hacks aber ziemlich flott ans Licht kommen, kommen auch die verwendeten Lücken ans Licht und müssen geschlossen werden.

Und was macht dich da nochmal so sicher?

 

[Daaron]

Das auch ein nicht zur Regierung gehörender Hacker das hinkriegt ist klar.

Noch viel wichtiger: Auch die zur ANDEREN Regierung gehörenden Hacker kriegen das hin!
Das ist dasselbe wie mit der Behauptung, AES256 wäre unsicher und die NSA könne das problemlos knacken. Die US Regierung hat AES256 für "Top Secret"-Dokumente zertifiziert. Das würden sie nicht tun, wenn Russen und Chinesen (die dieselben Mittel wie die Amis haben) den Kram direkt knacken könnten.
Analog dazu: Man baut keine Lücke in Browser ein um jemanden abzuhören, wenn man über dieselbe Lücke auch vom Gegner abgehört werden kann.

Aber nur weil Opensource drausteht, gehst du auch gleich davon aus, dass die dann auch tatsächlich konsequent zugestopft werden?

In dem Falle? Ja. Ein Zero-Day bleibt nicht lang geheim.

Und was macht dich da nochmal so sicher?

Die Geschichte der letzten größeren Lücken, z.B. die in den Fritzboxen?

Ist eine ganz einfach Gleichung: So eine Lücke wäre ein Zero-Day, und Zero-Days sind schweineteuer. Wenn du also als Angreifer ne 5stellige Summe für die Lücke bezahlt hast, dann willst du über die Lücke schnell und hart zuschlagen, um deine Kohle rein zu holen. Solche Angriffe wiederum bleiben nicht unbemerkt, weil sie eben große monetäre Schäden verursachen.

 

[R3sist_the_NW0]

Warum geht eigentlich jeder davon aus, daß eine absichtlich erlassene Lücke von JEDEM gefunden und genutzt werden kann?

"Wenn ich mir eine Hintertüre einbaue, dann werde ich den Schlüssel dafür auch keinem weitergeben, und, daß es auch in der Softwaretechnologie immer weiter fortschrittlicher wird, wissen wir ja bereits!"

Sonst hätten sich die letzten Jahre über etliche Hacker gemeldet und verkündet: "Ihr werdet von allen Seiten her ausspioniert, wir haben die Lücken gefunden!"

So war es nicht und wird es auch nicht sein!

 

[Daaron]

Sonst hätten sich die letzten Jahre über etliche Hacker gemeldet und verkündet: "Ihr werdet von allen Seiten her ausspioniert, wir haben die Lücken gefunden!"

Die Spionage seitens Bundesbehörden läuft auf mehreren Bahnen
1.) direkte Backdoors in der Hardware - fast unmöglich, die Dinger zu finden
2.) Abhören von Leitungen - dafür ist keine Lücke notwendig, lediglich mangelnde Verschlüsselung
3.) Backdoors in Closed Source (z.B. Windows) - extrem schwer, die Lücken zu finden
4.) Erzwungene Herausgabe von Daten - unmöglich zu verhindern

Eine Backdoor in Open Source hingegen kann verhältnismäßig leicht gefunden werden und mit den beachtlichen Pwn2Own-Preisgeldern gibt es auch einen fetten Anreiz, genau nach diesen Lücken zu suchen.
Hätte es für Lücken in OpenSSL ein solches Kopfgeld gegeben, dann wäre Heartbleed viel eher aufgefallen.


Also: Was dich hier antreibt ist tatsächlich die blanke Paranoia. Komm mal runter, halt den Kopf in kaltes Wasser und fang an rational zu denken.

 

[R3sist_the_NW0]

Bin nun ich paranoid, der sich vor diesen bereits umgesetzten Überwachungen etwas schützen möchte, oder ist es ganz plausibel gesagt "Big Brother" der dies alles erst realisierte??

Was geschieht denn überhaupt noch rational in unserem System?

 

[Daaron]

OK, wenn du so an die Sache heran gehen willst, dann hast du deine Antwort viel weiter oben schon erhalten: Lynx. Das Ding ist so einfach gestrickt und so steinalt, dass der mit extremer Wahrscheinlichkeit spywarefrei ist.

 

[Moonlight*]

100%ige Sicherheit gibt es nicht. Nimm einfach den TOR-Browser, wenn du anonym surfen willst. Als Suchmaschine kann ich dir Startpage empfehlen. Natürlich kannst du auch den normalen Firefoxbrowser und VPN verwenden. Im Prinzip ist das vielleicht sogar besser, wenn du die nötigen Einstellungen im Browser und im OS vornimmst. Dann noch einen alternativen DNS-Anbieter und alle unnötigen Windowsdienste deaktivieren.

 

[Daaron]

Du weißt, was mit Leuten passiert, die TOR verwenden? Wenn nicht, dann gehts hier zum passenden Heise-Artikel.

Was Startpage angeht... Jap, ist natürlich 1000x besser, einer holländischen Firma zu vertrauen als einer amerikanischen... Der Unterschied liegt nochmal genau wo?

VPN: Ja WELTKLASSE. Dir ist schon klar, dass du damit VPN-Anbietern Tür und Tor öffnest, um wunderschöne MitM - Angriffe gegen deine ansonsten verschlüsselte Kommunikation zu starten, hm? Es gibt nur ein sicheres VPN: Das, bei dem man den Server selbst kontrolliert, das heißt: ne kleine Raspberry im eigenen LAN. Da ist zwar nix mit Anon, aber dafür hat man endlich ne sichere Leitung in offenen WLANs.

Und alternative DNS-Anbieter... Tja, auch toll. Wer solls denn sein? Weißt du, wer GENAU über dein Surfverhalten bescheid weiß? Genau, dein DNS-Anbieter. Der kennt jede Domain, die du auflöst. Das Schönste: Wenn dein DNS-Anbieter n Schlimmer Finger ist, dann leitet er dich mutwillig zu Malware-und Phishing-Seiten.

 

[InteGralFormat]

Viel interessanter ist eigentlich der Arikel aus der ct: Eigen-Tor

VPNs sind auch deswegen sinnlos, weil die Anbieter sowieso gezwungen werden, Daten rauszurücken bzw. aufzuzeichnen, wenn die Behörden es verlangen. Das schreibt nur kein VPN-Anbieter rein, da es sonst keiner nutzen würde. (wen es interessiert: hidemyass - lulzsec fiasco)

Anonymität bietet vielleicht noch ein Internetcafe in irgendeinem 3te Welt Land, wo sich kein Mensch dafür interessiert, wer gerade im Laden wo was macht.

Klingt zwar etwas abwegig, aber ansonsten hat man die größte Sicherheit vielleicht noch bei einem Unternehmen mit größerem Haushalt, da die sich notfalls (wenn sie es denn wollen) zumindest noch juristisch zur Wehr setzen können.

 

[Moonlight*]

Ist mir doch so was von egal, wer irgendwo mitliest oder Daten aufzeichnet, ich habe ja nichts zu verbergen

Wenn man einem VPN-Anbieter oder DNS-Anbieter nicht vertraut, muss man ihn ja nicht nutzen. Man wird sich da ja bestimmt im Vorfeld informieren und nicht einen Anbieter wählen der Malware verteilt. Sicherer surft man mit VPN allerdings schon, VPN bietet z.B. relativ guten Schutz gegen Datendiebe und Hacker. Vor allem unterwegs im öffentlichen WLAN.

StartPage speichert weder die IP-Adresse noch werden Tracking-Cookies verwendet oder Suchanfragen aufgezeichnet. Das ist der Vorteil gegenüber anderen Suchmaschinen.

Es soll aber jeder verwenden, was er möchte. Der TE hat nach Alternativen gesucht. Der Artikel über TOR ist interessant. Danke für die Verlinkung. Ich selbst verwende kein TOR, ich surfe mit dem Firefoxbrowser.

 

[Daaron]

Ist mir doch so was von egal, wer irgendwo mitliest oder Daten aufzeichnet, ich habe ja nichts zu verbergen

Ok, dann poste hier mal ein Foto deiner Kreditkarte... Und wie war das noch mit den Geschäftsunterlagen deines Unternehmens?
Du siehst, du hast DOCH was zu verbergen. Manche Daten gehen keinen Dritten was an und MÜSSEN verschlüsselt werden. Fakt ist aber: Sowohl hinsichtlich der eigentlichen Daten als auch der Meta-Daten wird verdammt viel Paranoia und Hysterie verbreitet.

Wenn man einem VPN-Anbieter oder DNS-Anbieter nicht vertraut, muss man ihn ja nicht nutzen. Man wird sich da ja bestimmt im Vorfeld informieren und nicht einen Anbieter wählen der Malware verteilt.

Ok, und wem kannst du vertrauen? Haben die, die tatsächlich üble Dinge anstellen, ein großes Warnschild auf ihrer Webseite? Du kannst nur einer Person vertrauen: Dir selbst.

Sicherer surft man mit VPN allerdings schon, VPN bietet z.B. relativ guten Schutz gegen Datendiebe und Hacker. Vor allem unterwegs im öffentlichen WLAN.

Ja, in einem öffentlichen WLAN muss man aufpassen, was man tut... ABER:
Ein ÖFFENTLICHER VPN, vor allem wenn er kostenlos ist, ist eine wunderbare Methode, um eine richtig schöne MitM-Attacke zu starten... und du öffnest ihm noch freiwillig Tür und Tor. Und jenseits des VPN-Servers (bzw. schon AUF dem VPN-Server), sind deine Daten genau so verwundbar wie bei einer Übertragung ohne VPN. Gewonnen hast du also... NICHTS. Erst hast du ein WLAN, dessen Integrität du nicht kontrollieren kannst. Danach hast du einen VPN, dessen Integrität du nicht kontrollieren kannst. Wo hat sich deine Lage verbessert?

Du brauchst 2 Schritte, um dich abzusichern.
1.) Überall, wo es möglich ist, sollte SSL verwendet werden... Du bist damit mit oder ohne fremdbetriebenen VPN gleich sicher.
2.) Da, wo SSL nicht möglich ist, sollte nur ein unter EIGENER Verwaltung stehender VPN verwendet werden. Das heißt: Entweder der heimische Router kanns schon, oder du kaufst dir n Kleinstcomputer (z.B. ne Razzy) und lässt die zuhause als VPN laufen.

Warum darf man fremden VPN-Servern nicht trauen? Nun, allen voran kann der Betreiber ein Schweinehund sein. Er kommt an alle deine unverschlüsselten Daten. Kennt er ne Lücke in deiner SSL-Implementierung, kennt er auch deine verschlüsselten Daten. Und selbst wenn der Betreiber sauber ist... 1.) könnten Unbefugte in seine Infrastruktur eindringen und 2.) kann ihn eine Bundesbehörde zur Zusammenarbeit zwingen.

Bei deinem heimischen VPN hingegen... hier hast du nur das Bundesbehörden-Problem, für die Absicherung gegen Unbefugte kannst du selbst sorgen. Deine Infrastruktur ist viel übersichtlicher und somit leichter zu härten als die eines global agierenden Anbieters.

 

[Moonlight*]

Ok, dann poste hier mal ein Foto deiner Kreditkarte... Und wie war das noch mit den Geschäftsunterlagen deines Unternehmens?
Du siehst, du hast DOCH was zu verbergen. Manche Daten gehen keinen Dritten was an und MÜSSEN verschlüsselt werden. Fakt ist aber: Sowohl hinsichtlich der eigentlichen Daten als auch der Meta-Daten wird verdammt viel Paranoia und Hysterie verbreitet.

Ich habe keine Kreditkarte. Wenn ich eine benötige, kaufe ich mir eine Prepaid-karte. Ich meinte, dass ich beim normalen Surfen nichts zu verbergen habe. Ich arbeite zwar ab und zu zu Hause, habe aber einen Firmenlaptop mit eigenem Intranet dafür. Es ist schon klar das manche Daten niemanden etwas angehen, trotzdem muss man sich da nicht so verrückt machen.

Ok, und wem kannst du vertrauen? Haben die, die tatsächlich üble Dinge anstellen, ein großes Warnschild auf ihrer Webseite? Du kannst nur einer Person vertrauen: Dir selbst.

Ich vertraue meinem Internetprovider und meinem VPN-Anbieter, der auch einen alternativen DNS-Server und eine NAT-Firewall bereitstellt, sonst würde ich sie nicht bezahlen. Von kostenlosen Anbietern halte ich nichts. Solche Anbieter würde ich nicht nutzen. Mir geht es bei VPN hauptsächlich darum unterwegs besser geschützt zu sein und nicht direkt um Anonymität, obwohl das sicher ein netter Nebeneffekt ist.

Natürlich können Unbefugte eindringen, das kann immer passieren. Trotzdem bin ich meiner Meinung nach so besser geschützt. Meiner Einschätzung nach ist man unterwegs und zu Hause mit VPN sicherer gegen Angriffe von außen. Vorausgesetzt natürlich das man einen guten vertrauenswürdigen Anbieter hat und selbst auch Sicherheitsvorkehrungen vornimmt. Ich habe einen Router mit Hardwarefirewall und außerdem alle unnötigen Ports und Dienste gesperrt, einen Virenscanner und die Windows Firewall (selbst konfiguriert) in Betrieb. SSL verwende ich auch. Das reicht mir eigentlich. Aber wie schon gesagt, jeder soll es so machen, wie er will. Das mit dem eigenen VPN ist bestimmt die bessere Lösung, wäre mir aber zu aufwendig und zu kostspielig.

 

[Daaron]

Wieso zu kostspielig? Viele der besseren Router beherrschen OpenVPN. Wenn du statt dessen auf ne Raspberry ausweichst: Razzy+Schutzgehäuse+SD-Karte+Netzteil kommt vielleicht auf 100€. Stromkosten kannst du unter Ulk verbuchen, und das Ding kannste zusätzlich im Haus für irgendwelche Aufgaben verwenden.

 

[Moonlight*]

Na ja, das mag schon stimmen. Finde es aber trotzdem relativ aufwendig. Hast du einen eigenen VPN laufen? Mein Router kann glaub ich gar kein Open VPN. Da müsste ich einmal nachsehen.

 

[Daaron]

Zur Zeit nicht. Unser alter Router hat sich zu nem ungünstigen Zeitpunkt verabschiedet und musste auf die Schnelle ersetzt werden -> StiNo Telekom Gerät ohne Features.
Ich muss hier im Netzwerk etwas umstrukturieren (meeeeeehr Ports!), dann ist auch Platz für ne Razzy nebst Zusatzfeatures, und dann gibts Raspbian-basiertes VPN.