Fredz
7
Hi,
Ich wollte nur nochmal schnell auf die Aussage eingehen, dass Signal die sicherste Kommunikations-App ist. Meiner Meinung nach ist Threema mindestens genauso sicher, zumal es dort sogar keine Business-Variante gibt, die auch verwendet werden kann.
Grüße
1 „Gefällt mir“
Das kann man zwar erwarten, aber davon auszugehen, dass Menschen keine Fehler machen ist naiv.
Hier sind wir mal wieder beim altbekannten Sprichwort „There’s no glory in prevention“. Wenn man 80% der Zeit alles richtig macht, in den meisten anderen Fällen niemand spioniert oder die Technik funktioniert, dann gibt es immer noch den Einzelfall, dass man mal abgehört wird.
Anscheinend hat die hier durch Russland angewendete Spionagetechnik immer wieder mal Aussicht auf Erfolg (auch bei anderen Nationen), ansonsten hätte man niemanden darauf angesetzt, mit dieser Methode bei diesem Event zu spionieren.
1 „Gefällt mir“
Da stellt sich die Frage wurde diese Person grundsätzlich überwacht, oder gab es ein Vorwissen über das geplante Gespräch? Der 2. Punkt würde auf ein tiefgreifendes Problem hinweisen und sollte geklärt werden.
Volle Zustimmung.
Ich bin kein Experte für VS-NFD-Zulassungen, aber nach meinem Verständnis muss für ein Zertifikat für die asymmetrische Kryptographie auf VS-NFD-Level
- von einer Vertrauenswürdigen PKI ausgestellt werden (Das ist bei Signal nicht der Fall)
- Auf einer Smartcard oder einem Hardware Security Module gespeichert werden, damit jemand der das Gerät knackt nicht einfach das Zertifikat kopieren kann und dann unbemerkt weiter die Kommunikation mitlesen kann. I-Phone hat ja neuerdings die VS-NFD Zulassung bekommen und das hat so ein HSM verbaut.
Wenn man eine sicheren Kanal hat, (also z.B. ein VPN das sicher ist) kann man darüber problemlos Webex machen, solage es innerhalb des sicheren Netzwerks selbst gehosted wird.
Wenn man dafür dann allerdings Telefoneinwahl erlaubt, frage ich mich schon ob so ein Webex Raum noch die Voraussetzungen für VS-NFD erfüllt.
nein, aber die BW könnte einen Signal-Klon selbst hosten, damit wäre das Problem gelöst.
Aber nein, man muss unbedingt einen weit weniger leistungsfähigen Messenger selbst bauen (BWMessenger) und wundert sich dann, dass der nicht genutzt wird.
2 „Gefällt mir“
Ja, das stimmt natürlich.
Es gibt ja nen golem-Artikel zur BwMessenger. Da schreiben sie, daß neben Matrix, was ja auf dem Signal Protokol basiert und als Grundlage für den BW Messenger dient, auch Signal und Stashcat evaluiert haben.
Das mit dem Standort in USA ist beim selbst hosten natürlich quatsch.
Ich vermute daß sie eh Anpassungen machen mussten um die BSI-Anforderungen zu erfüllen. Und ich finde es komisch daß das Thema Zertifikate und Vertrauensanker in dem ganzen Artikel nicht zur Sprache kommt.
(Samsung Knox und Apple Indigo ermöglicht das ja)
Letztlich haben sie aber ein fertiges Open Source Produkt verwendet. Nur halt nicht Signal. Ich finde das kommt eurer Forderung nach dem Einsatz bestehender Open Source Lösungen eigentlich sehr nahe.
4 „Gefällt mir“
sese
13
… Nur weil Snowden mal was von Signal gesagt hat, könnt ihr nicht einfach so dahinplaudern, dass es für einen halbwegs fähigen ITler keinen Tag dauert, sich als Bundeswehr den Quelltext runterzuladen und quasi eine eigene Bundeswehr-Signal-App zu kompilieren. Und sich dann ein bisschen wundern. Lol.
Wenn meine 70-jährige Mutter sich das so vorstellt, dann ist das ja nicht weiter schlimm. Wer aber ein so großes Publikum erreicht, sollte vielleicht doch ein bisschen aufpassen, wie apodiktisch er als fachfremder Podcaster mal eben die IT-Verantwortlichen der Bundeswehr niederbügelt. Insbesondere dann, wenn ja ohnehin schon klar ist, dass die gewählte Plattform genau nicht das Problem war.
Abgesehen von der fachlichen Fehlleistung: Einfach nur unnötig.
Ich weiß wovon ich rede: Ich habe das nämlich schon gemacht, und es hat einen Nachmittag gedauert 
Abgesehen davon wäre es sicher hilfreich, wenn du dich erst mit der Qualifikation von Menschen beschäftigst, ehe du sie als „fachfremd“ bezeichnest. Ich habe mich aus dem Fenster gelehnt, weil ich diese IT-Frage aus eigener Erfahrung besonders gut einschätzen kann.
natürlich war auch die Plattform das Problem, weil sie zum einen an der Firewall vor Ort scheiterte (was bei Signal eher nicht passiert) und weil sie zum anderen die Einwahl per Telefon erlaubte (WTF). Ein Mensch hat zwar einen Fehler gemacht, aber eine gute Plattform hätte ihn diesen Fehler gar nicht erst machen lassen (nennt sich „Fehlertoleranz“).
2 „Gefällt mir“
Ich arbeite jetzt schon sehr lange fachlich in dem Bereich IT Sicherheit, und muss sagen dass Du natürlich einerseits Recht hast mit der Aussage, dass man das an einem Tag aufsetzen kann. Nur muss man sich andererseits auch die Umgebung ansehen, in der das installiert wird. Die BW ist eben kein 10 Personen Unternehmen, für das man mal eben Signal aufsetzt. Die Ansprüche an so eine Platform sind unabhängig von der sicherheit eine gänzlich andere. Und Open Source ohne technischen und fachlichen Support durch den Hersteller ist immer schwierig in Behörden einzusetzen. Da gilt immer auch „save your own ass“. Das solltest Du, Ulf, ja aus eigener Erfahrung mit Deinem Projekt erfahren haben.
Irgendwie klang das für mich auch etwas sehr flapsig dahin gesagt, obwohl natürlich auch etwas Wahrheit drinn steckt.
Da hat dann aber eher das Admin-Team Fehler gemacht, das ist kaum der Software anzulasten (wobei ich wirklich kein gutes Haar an der eingesetzten Software lassen will, die ist aus vielerlei Gründen problematisch).
Ich hatte das auch mal weiter oben angesprochen, es wurde aber irgendwie weggebügelt, dennoch denke ich immer noch dass ein Offizier auf diesem Rang auch mal sein Gehirn einschalten kann, ehe er über eine offensichtlich unsichere Leitung solche Gespräche führt. Das bedeutet natürlich nicht, dass man Software unsicher zur Verfügung stellen solte. Nur in diesem speziellen Fall hat mindestens der eine Teilnehmer eine deftige Mitschuld.
3 „Gefällt mir“
ctg
16
Zitat aus dem Podcast:
„das dauert für einen halbwegs fähigen ITler keinen ganzen Tag das aufzubauen“
Klar kann man sich den Quellcode runterladen und compilieren und hat in ein paar Stunden seinen eigenen Klon.
Damit ist es aber nun wirklich nicht getan. So ein System für mehrere tausend Nutzer stabil im Betrieb zu halten (und auch die Nutzer mit Updates versorgen) braucht dann doch dauerhaft Ressourcen.
Die gute Nachricht, die Bundeswehr/das BWI hat genau das getan: sie hat sich als Basis nur für elements und matrix entschieden.
Eine weitere Anmerkung: der Inhalt des Gesprächs war wahrscheinlich nicht „streng geheim“, aber wahrscheinlich höher als „nur für den Dienstgebrauch“ (welches das Maximum ist, für das Webex zugelassen ist).
1 „Gefällt mir“
Wenn es die Firewall vor Ort (Singapur) war, kann die Plattform nichts dafür. Wir haben bei uns in der Firma unsere VK-Plattform auch geschützt, dass wir Einwahlen nur aus definierten Ländern erlauben. Frage wäre also, wie die BW ihren WebEx-Tenant eingestellt hat.
Und gleiches gilt auch für die Einwahl per Telefon. Natürlich geht das grundsätzlich bei WebEx. Auch da die Frage, wie die BW es für sich eingestellt hat, oder wenn es an sich offen ist, ob es dann Regelungen gab, was der Organisator des Termins zu befolgen hat.
Ich weiß nicht, warum man hier meint, Signal wäre besser als Matrix als BWMessanger. Gerade für die Bundeswehr ist doch so ein dezentraler Messanger, der auch noch funktioniert, wenn der Satcom Link mal nicht da ist, genau das, was man braucht.
Vom Konzept her hat die Bw das mit dem Matrix mal gar nicht so schlecht angefangen. Es wurde nur wieder aufgesattelt, so dass es quasi „nie“ fertig wird. Das wäre aber mit Signal auch passiert. Da fehlt dann noch Feature x und y und so weiter…
2 „Gefällt mir“
koebes
19
Doch etwas schlimmer als befürchtet.
https://twitter.com/thomas_wiegold/status/1767279046428094677
Bei dem abgehörten Gespräch hoher Luftwaffenoffiziere über Optionen für eine Taurus-Lieferung an die Ukraine war auch Luftwaffeninspekteur Ingo Gerhartz über eine ungesicherte Verbindung zugeschaltet. Das teilte Verteidigungsminister Boris Pistorius nach einer Sondersitzung des Verteidigungsausschusses am (heutigen) Montag mit. Bisher war nur bekannt gewesen, dass einer der Teilnehmer der Telekonferenz aus Singapur über eine ungesicherte Verbindung zugeschaltet war und so vermutlich der russische Geheimdienst das Gespräch mitschneiden konnte.
skotif
20
Signal oder BWMessenger sind keine Lösungen für Sicherheitsprobleme, Deutschland braucht eine sichere Ende-zu-Ende-Kommunikation, was bedeutet, dass alles vom Chip bis zum Mikrofon selbst gebaut werden sollte.
End-to-End ist in seriösen großen Tech-Unternehmen schon lange Standard. Bei Google zum Beispiel benutzen die meisten Mitarbeiter selbstgebaute Chromebooks, auf denen man nur Webbrowser öffnen kann, keine USB-Anschlüsse nutzbar sind und keine Apps verwendet werden können.
Samsung ist sogar noch strenger: Man kann nur in Samsung-Gebäuden telefonieren und arbeiten und darf keine persönliche Elektronik in diese Gebäude mitbringen, auch keine Kopfhörer und Ladegeräte.
End-to-End ist wichtig, da die ausländischen Geräte sogenannte Backdors haben können/müssen. Zum Beispiel unterliegen alle in den USA hergestellten oder entwickelten Geräte dem Telekommunikationsgesetz (Tellecommunication Act):
„reuired to appropriate authorization to activate interception of communications or access to call-identifying information“.
Ich habe persönlich als SW-Entwickler mit den Behörden zusammengearbeitet, um dies zu ermöglichen, und ich habe mehrere Zeugenaussagen gehört, dass die NSA nicht nur Telekommunikationsunternehmen, sondern auch Hardware-Firmen („hard disk“, Chips) für einige Dinge beauftragt.
sese
21
Danke. Genau das meine ich ja mit meiner Aussage. Natürlich kann man das mal auf die Schnelle machen und mit einer Handvoll motivierter Leute nutzen. Aber man kann das nicht mal eben bei der Bundeswehr einführen. Das so hinzustellen ist einfach falsch. (Von Mod gekürzt)
Zuerst dachte ich: whataboutism bezüglich: mein Messenger/Konferenztool ist besser als deines! Und ja, ich finde es gut, dass das BMI eine Wahl pro Matrix (BwMessenger) getroffen und weiter entwickelt hat. Seitennotiz: sogar einen BunderMessenger, wie ich heute überrascht feststellen konnte.
Irgendwie scheinen aber nur bunte und teure Produkte in die Herzen der beschaffer von Behörden zu kommen.
Und schon bin ich wieder beim Anfangsgedanken: WhatsAppaboutism.
LG
Da müssen die Devs bei Google sicher mächtig leiden wenn sie nur die Browserversion von VS Code/Codium ohne Extensions und ähnliches nutzen können. Und Library Repositories (pypi, maven,…) sind dann auch tabu.
Sorry, aber deine Darstellung ist ziemlich realitätsfremd. Ganz so streng sind auch die Großen nicht.
1 „Gefällt mir“
skotif
24
Dies ist keine Darstellung, sondern eine Erfahrung. Ich habe lange in der Big-Tech-Branche gearbeitet, und ich kann dir versichern, dass dort nicht nur niemand leidet, sondern die Arbeit auch viel angenehmer ist.
Die Browserversionen sind viel besser für die Arbeit mit großen Code-Repos geeignet. Es ist viel einfacher, wenn alles direkt in der Cloud gebaut, getestet und bearbeitet wird.
Pypi und Maven werden bei BigTech nicht verwendet, da diese Unternehmen Software in so genannten SuperRepos entwickeln, wo man kein Dependency Management braucht.
Auch die Sicherheit steht bei diesem Modell an erster Stelle, denn wenn mein Laptop gestohlen wird, befinden sich weder Code noch geheime Dinge auf der Disk.
Das Gleiche gilt für Textdokumente, die nur im Cloud Drive bearbeitet werden können.
Übersetzt mit DeepL.com (kostenlose Version)
Und ich arbeite direkt mit Leute von Microsoft zusammen und habe dort auch Freunde aus Studienzeit. Um bestimmte Features oder Strukturen zu zeigen, durfte ich denen auch direkt über die Schulter schauen. Was ich dort erlebe und sehe geht nicht mit deinen Beschreibungen konform.
Auch Maven und Pypi wird defacto dort verwendet und sogar contributed. Einziger Unterschied, man verweist nicht direkt auf diese Repos sondern eben auf Tools wie JFrog, Nexus oder Eigenbauten, die die öffentlichen Repos spiegeln und nach bekannten Vulnerabilities scannen.
Zur Browserversion von IDEs kann man nur sagen, probier sie aus. Einiges, dass auf einer lokalen Maschine funktioniert, klappt in den Browserversionen meines Erachtens nicht. Ich kenne niemanden (außer dir) der sagt, dass das besser ist. Gerade deswegen hat VS Code ja eine Remote Session Extension für die lokale App angebaut bekommen.
Wo ich dir recht gebe ist die Nutzung von Cloud Technologien zu Development, Build und Releasezwecken. Das ist definitiv weit verbreitet, aber auch weit über die großen Unternehmen hinaus.
1 „Gefällt mir“
skotif
26
Einzelfälle bestätigen nicht die Regel, auch Google, Facebook, Netflix und Nvidia arbeiten am meisten, wie ich geschrieben habe.
Mehrere Unternehmen versuchen es, zum Beispiel: Samsung, Salesforce, Amazon und mehrere GameDev-Unternehmen.
Microsoft ist eine Ausnahme, denn sie haben GitHub gekauft und konzentrieren sich nun auf die Organisation von Repos, die der OpenSource-Welt ähnlich ist.
Mehrere Leute sind der Meinung, dass diese Entscheidung für solche Unternehmen schlecht ist.
Die lokale Entwicklung eignet sich nicht für große Projekte, die mehrere Millionen Codezeilen und Hunderttausende von Tests umfassen.
Stellen Sie sich vor, Sie arbeiten als Android-Entwickler und wollen den Compiler ändern, mit dem das gesamte System aufgebaut ist, und Sie wollen sicher sein, dass dies keine Probleme verursacht.
Das bedeutet, dass Sie die neue Version von Android nicht nur für alle Architekturen mit allen Treibern und Anwendungen erstellen müssen, sondern dass auch alle Anwendungen bis hin zu GMail getestet werden müssen.
Das bedeutet zu viel Arbeit nicht nur für den lokalen Rechner, sondern auch für den Build-Server im Keller. Wenn man alles testen will, kann man nur in der Cloud arbeiten.
Lokal bedeutet immer zu wenig Tests, und man kann bei Firmen wie Microsoft oder Volkswagen sehen, wie das funktioniert XD
Man kann auch sagen, dass man lokal schreiben und in der Cloud testen will, aber ich verstehe den Sinn dahinter nicht.
Maven und PyPi sind für große Projekte nicht gut geeignet, weil sie das Betriebssystem nicht beschreiben, was sehr viel bedeutet.
