RZ002 – E-Mails schützen

avatar
Viktor Garske
avatar
Andreas Noack

Die zweite Episode des Risikozone-Podcasts greift die E-Mail-Thematik aus der ersten Episode auf. Prof. Dr. Andreas Noack und Viktor Garske diskutieren im ersten Teil eine E-Mail-Betrugskampagne, die aktuell im Umlauf ist, und gehen im zweiten Teil genauer auf den Schutz von Inhalten in E-Mails ein. Sie erklären die Möglichkeiten der digitalen Signaturen sowie der Verschlüsselung und legen den Einsatz der Verfahren im Kontext von S/MIME und PGP dar. So können z. B. E-Mails von Unternehmen, die zunehmend sensible Daten wie Rechnungen oder persönliche Informationen enthalten, integritätsgeschützt und/oder vor Zugriff unbefugter Dritter wirksam geschützt werden.

Shownotes

News

In der Nachrichtensektion geht es um einen PayPal-Phishing-Scam, also eine Betrugskampagne, die PayPal instrumentalisiert. Siehe hierzu die Originalnachricht auf krebsonsecurity.com, dem Blog von Brian Krebs.

Schwerpunktthema: S/MIME und PGP

Das Schwerpunktthema der heutigen Episode ist die Verschlüsselung und Signierung von E-Mails. Dies ist immer dann wichtig, wenn der Inhalt

  • vor dem Zugriff Dritter geschützt werden soll (Verschlüsselung) oder
  • der Empfänger überprüfen können soll, ob der Inhalt unverändert erhalten wurde (Signierung mittels Digitaler Signatur).

Es ist an dieser Stelle hervorzuheben, dass eine Digitale Signatur mit der typischen „E-Mail-Signatur“ nichts gemein hat: letztere ist ein simpler Text, der an das Ende der E-Mail angefügt wird, erstere ist das Ergebnis einer kryptographischen Operation.

Im Folgenden einige hilfreiche Links zu den entsprechenden Themen:

Loslegen

Wer E-Mails verschlüsseln bzw. signieren möchte, kann also zwischen S/MIME und PGP wählen, mitunter auch seine E-Mails durch beide Techniken schützen. Obgleich beide Techniken an sich nicht miteinander kompatibel sind, kann aber z. B. eine E-Mail sowohl mit S/MIME als auch mit PGP signiert werden.

Der Unterschied zwischen den Verfahren liegt, wie in der Folge von Andreas erwähnt, in der Vertrauensetablierung: Bei S/MIME gibt es Zertifizierungsstellen (CA), denen der E-Mail-Client automatisch vertraut (diese Liste wurde vom Hersteller des E-Mail-Clients voreingestellt). Eine von diesen CAs stellt für die E-Mail-Adresse nach einer Verifizierung ein Zertifikat mit dem Public Key aus, das in Verbindung mit einem Public-Key verwendet werden kann. Bei GPG kann man sich Public- und Private-Key selber generieren. Es erfolgt keine Verifizierung durch eine zentrale Stelle, vielmehr können Freunde und Bekannte digital signieren, dass das Keypair aus Public- und Private-Key auch wirklich zu der Person gehört. Sie nehmen somit dezentral im Kollektiv die Aufgabe der CA wahr.

Eine S/MIME-CA lässt sich die Dienstleistung der Verifikation in der Regel bezahlen. Wir können in der Kürze keine Übersicht möglicher oder gar empfehlenswerter S/MIME-CAs aufbereiten. Wichtig für die eigenen Recherche ist nur, dass die CA in den meisten E-Mail-Clients, mit denen man kommuniziert, bereits vorhinterlegt sein sollte. Spezialfälle wie unternehmensinterne CAs, die evtl. von Partnerunternehmen anerkannt werden, lassen wir an dieser Stelle aus.

Wer unmittelbar die Technik hinter dem Verschlüsseln und Signieren ausprobieren möchte und Mozilla Thunderbird einsetzt, kann dies mit OpenGPG (eine Form von PGP) kostengünstig (= kostenlos) ausprobieren, da Thunderbird dies seit Version 78 nativ unterstützt. Eine Anleitung hierzu steht in der Thunderbird-Hilfe auf support.mozilla.org bereit.

Namensnennung

Die Hintergrundmusik wurde uns freundlicherweise von Jason Shawn von Audionautix.com unter der CC-BY-4.0-Lizenz bereitgestellt!

Hinweise

Die im Podcast erwähnten Methoden und Werkzeuge für Angriffe dienen ausschließlich dem Bildungszweck zur Verbesserung der IT-Sicherheit. Es wird ausdrücklich angemerkt, dass u. a. das Ausspähen und Abfangen von Daten sowie die Computersabotage strafbar sind.

Zur Verbesserung der Barrierefreiheit verfügt diese Episode über ein automatisiert erstelltes Transkript. Da die zugrundeliegende Technik in einem frühen Stadium ist, sind die Ergebnis teilweise nutzbar, aber noch nicht zuverlässig richtig oder gar vollständig. Im Zweifelsfall ist ausschließlich das gesprochene Wort maßgeblich. Weitere Hinweise befinden sich auf der Unterseite „Transkript“.

RZ001 – Sie haben Post!

avatar
Viktor Garske

In der ersten Episode des Risikozone-Podcasts geht es um eines der wichtigsten Kommunikationsmedien der heutigen Zeit: die E-Mail! Man mag es kaum glauben, aber die Standards hinter der E-Mail werden über 40 Jahre alt. Aber was sind das für Standards? Was ist ihre Aufgabe und warum gibt es unterschiedliche Protokolle für das Empfangen und Versenden?

Ein kleiner geschichtlicher Exkurs wird Klarheit schaffen. An dieser Stelle wird auch deutlich werden, warum E-Mail so anfällig für Spam und Phishing ist. Trotzdem werden wir gemeinsam in der Episode einige Indizien und Techniken besprechen, mit denen nicht-authentische, also potentiell gefälschte, E-Mails erkannt werden können.

Shownotes

Die RFCs

  • Simple Mail Transfer Protocol (SMTP) nach STD 10 / RFC 821 (auch RFC 2821, 5321)
  • E-Mail-Format („Internet Message Format“) nach RFC 5322 (vorm. RFC 822, 2822)
  • Multipurpose Internet Mail Extensions (MIME) nach RFC 2045 ff.
  • Message Submission for Mail nach STD 72 / RFC 6409
  • Spammaßnahmen nach RFC 2505
  • Domain Keys Identified Mail (DKIM) nach RFC 6376
  • Sender Policy Framework (SPF) nach RFC 7208
  • Domain-based Message Authentication, Reporting and Conformance (DMARC) nach RFC 7489

Weiterführende Informationen

Namensnennung

Die Hintergrundmusik wurde uns freundlicherweise von Jason Shawn von Audionautix.com unter der CC-BY-4.0-Lizenz bereitgestellt!

Hinweise

Die im Podcast erwähnten Methoden und Werkzeuge für Angriffe dienen ausschließlich dem Bildungszweck zur Verbesserung der IT-Sicherheit. Es wird ausdrücklich angemerkt, dass u. a. das Ausspähen und Abfangen von Daten sowie die Computersabotage strafbar sind.

Zur Verbesserung der Barrierefreiheit verfügt diese Episode über ein automatisiert erstelltes Transkript. Da die zugrundeliegende Technik in einem frühen Stadium ist, sind die Ergebnis teilweise nutzbar, aber noch nicht zuverlässig richtig oder gar vollständig. Im Zweifelsfall ist ausschließlich das gesprochene Wort maßgeblich. Weitere Hinweise befinden sich auf der Unterseite „Transkript“.

RZ000 – Willkommen!

avatar
Viktor Garske

Herzlich willkommen beim Risikozone Podcast! In der nullten Episode führt euch Viktor kurz in den Podcast ein. Es geht um die Ziele, die Zielgruppe sowie die verschiedenen Themen des Podcasts.

Alle weiteren Informationen zum neuen Podcast lassen sich insbesondere unter dem Einführungsartikel sowie der Über-uns-Seite finden.

Quellen

Die Hintergrundmusik wurde uns freundlicherweise von Jason Shawn von Audionautix.com unter der CC-BY-4.0-Lizenz bereitgestellt!

Willkommen!

Herzlich willkommen bei Risikozone, einem regelmäßig erscheinenden Podcast über die Sicherheit und Zuverlässigkeit moderner Technologien. Der Schwerpunkt des Podcasts liegt besonders auf der IT-Sicherheit, einem der schnelllebigsten Bereiche der Informatik.

Ein neuer Podcast – ab wann, wie oft und über was?

In regelmäßigen Abständen sollen ab Donnerstag, dem 01. September 2022 neue Episoden erscheinen. Es wird keine fixe Frequenz festgelegt, allerdings versuchen wir, alle zwei bis vier Wochen eine neue Episode zu veröffentlichen. Die jeweiligen Episoden werden eine Länge von 20 Minuten bis 50 Minuten umfassen und sich um ein spezielles Thema drehen. So werden sich die ersten beiden Episoden RZ001 und RZ002 mit der E-Mail als Kommunikationswerkzeug beschäftigen und aufzeigen, wie sie funktioniert, wo Risiken auftreten können und wie man sich absichern kann.

Die Themen der weiteren Episoden stammen überwiegend aus dem Bereich der IT-Sicherheit. Hier wird es dann beispielhaft um Netzwerkprotokolle wie TLS oder SSH, um kryptographische Hintergründe zur sicheren Authentifizierung und zu Zero-Knowlege-Protokollen oder um praktische Systemsicherheit wie dem Schutz vor Phishingattacken und Abhörangriffen gehen.

Abseits vom jeweiligen Themenschwerpunkt werden in den Episoden auch nach Bedarf die IT-Nachrichten der letzten Tage und Wochen eingeordnet und diskutiert. Darüber hinaus werden Hörerfragen beantwortet.

An wen richtetet sich der Podcast?

Der Podcast richtet sich an Beschäftigte und Entscheidungsträger in Unternehmen und Institutionen, aber auch an Privatanwender. Es werden grundlegende, teils fortgeschrittene IT-Kenntnisse vorausgesetzt.

Bei diesem Podcast geht es darum, die Breite der IT-Sicherheit zu vermitteln. Wir werden deshalb eine Reihe von Themen ansprechen. Die Detailtiefe ist dabei unterschiedlich: während einfache Themen abschließend behandelbar sind und zu konkreten Handlungsempfehlungen führen können, sind andere Themen deutlich individueller umzusetzen, weswegen wir hier nur Denkanstöße geben möchten, die in der Eigenrecherche vertieft werden können. Unsere Shownotes werden hier weiterführende Materialien umfassen.

Wer ist beim Podcast dabei?

Moderator des Podcasts ist Viktor Garske. Er hat IT-Sicherheit und Mobile Systeme studiert und entwickelt seit 2016 ein E-Learning-Kursangebot mit über aktuell 4.000 Teilnehmern auf Udemy, das Themen der IT und IT-Sicherheit abdeckt.

Für die jeweiligen Fachthemen unterstützen Experten wie Prof. Dr. Andreas Noack den Podcast. Themenabhängig werden auch weitere Gäste eingeladen.

Abonnieren und weitere Informationen

Die aktuellen Folgen werden zu erst auf risikozone.de veröffentlicht. Sofern Ihr einen Podcatcher nutzt, könnt ihr den Feed über diese Seite abonnieren. Bis zum offiziellen Start des Podcasts am 01. September 2022 werden wir allerdings auch bei Spotify, Apple Podcasts und Google Podcasts vertreten sein. Wir freuen uns über jedes Abonnement!

Im Laufe des heutigen Tages wird noch die Probeepisode RZ000 veröffentlicht, sodass ihr bereits zwei Minuten in den Podcast lauschen könnt. Feedback könnt ihr uns jederzeit geben, indem ihr eine E-Mail an info@risikozone.de schickt!

Wir freuen uns auf euch!