WhatsApp-Alternative? Threema!

threemaWer auf der Suche nach einer sicheren Alternative ist, dem sei die Schweizer Erfindung Threema wärmstens empfohlen. Die App, welche es sowohl für das iPhone als auch Android-Smartphone gibt, wartet lautet Beschreibung mit den folgenden Funktionen auf:

  • Ende-zu-Ende-Verschlüsselung von Textnachrichten, Bildern, Videos und GPS-Standorten
  • Kontaktsynchronisation (optional): andere Threema-Benutzer automatisch finden
  • Eigenen Standort auf einer Karte teilen
  • Öffentliche Schlüssel der Kontakte ganz einfach durch Scannen eines QR-Codes innerhalb der App überprüfen
  • Netzwerk-Verbindungsstatus auf einen Blick: die Farbe des Bandes unterhalb der Navigationsleiste zeigt an, ob die App gerade mit dem Server verbunden ist

Durch die Ende-zu-Ende-Verschlüsselung hat bei Threema selbst der Serverbetreiber keine Möglichkeit, die Nachrichten mitzulesen. Die Server sind übrigens in der Schweiz beheimatet und nicht wie bei WhatsApp in den USA.

WebDAV einrichten

WebDAV stellt eine Erweiterung des HTTP-Protokolls dar und kann nicht nur für einzelne Dateien, sondern auch zum Up- und Download von ganzen Ordnerstrukturen verwendet werden. Wenn ihr einen solchen WebDAV-Zugang habt, bietet dieser interessante Möglichkeiten um Dateien auf einen Server hochzuladen. Ein wesentlicher Vorteil ist die Tatsache, dass der gesamte Netzwerkverkehr bei WebDAV im Vergleich zu FTP (Port 21) über Port 80 und ggf. 443 (SSL) abgewickelt wird. Das sind die gleichen Ports, über welche ein Webserver standardmäßig angesprochen wird. Somit müssen an der Firewall keine zusätzlichen Portfreigaben eingerichtet werden und man kann es von (fast) überall nutzen. Die heutigen Desktop-Betriebssysteme und sogar Smartphones beherrschen WebDAV mittlerweile von Hause aus. In der Regel ist keine zusätzliche Software oder Konfiguration erforderlich.

Am Beispiel von Windows zeige ich euch, welche Schritte ihr durchführen müsst. Im Windows Explorer wählt ihr die Option “Netzlaufwerk verbinden“. Es öffnet sich daraufhin ein Dialogfenster. In diesem erfasst ihr folgende Daten:

  • Laufwerk: Beliebiger Laufwerksbuchstabe
  • Ordner: Die Adresse der Freigabe. Sie setzt sich zusammen aus dem
    • Protokoll (http:// oder https://)
    • Servernamen
    • Freigabenamen
      Beispiel: https://webdav.example.com/Freigabename
  • Häkchen bei “Verbindung bei Anmeldung wiederherstellen” (optional)
  • Häkchen bei “Verbindung mit anderen Anmeldeinformationen herstellen”

Empfohlen wird natürlich SSL-Verschlüsselung (https). Dieses Feature ist aber von eurem Anbieter abhängig. Wenn es dort nicht angeboten wird, sollte man vorsichtig sein, da die Login-Daten usw. im Klartext übertragen werden (Vorsicht in öffentlichen WiFi-Netzwerken). Nach einem Klick auf “Fertig stellen” öffnet sich ein weiteres Fenster wo Benutzername und Kennwort abgefragt werden. Auf Wunsch könnt ihr die Anmeldedaten auch speichern. Das erspart die erneute Eingabe nach einem Neustart. Wenn alles korrekt erfasst wurde, bestätigt die Abfrage mit “OK” und kurz darauf sollte ein weiteres Laufwerk im Explorer erscheinen. Wenn das nicht der Fall ist, gibt es zwei der häufigsten Problemursachen:

  1. Der Anbieter unterstützt kein SSL. In diesem Fall könnte man von https auf http switchen.
    Dies ist aber sehr unschön und zieht üblicherweise ein weiteres Problem nach sich.
  2. Ein Eintrag in der Windows-Registrierung verhindert im Regelfall die Verbindung mit unverschlüsselten Freigaben, also über http.

Wenn man nun auf Biegen und Brechen die Verbindung mittels unsicherer Standardauthentifizierung herstellen möchte, muss folgender Eingriff in der Registry vorgenommen werden. Macht dies nur, wenn ihr mit dieser Materie vertraut seit. Leider kann man dort auch viel falsch machen. Ruft den Registrierungs-Editor über “Start / Ausführen / regedit” auf. Hangelt euch dann bis zu folgender Position durch:

HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ services \ WebClient \ Parameters

Dort solltet ihr einen Eintrag namens “BasicAuthLevel” vorfinden. Ist dieser wider erwarten nicht zu sehen, überprüft zunächst ob ihr dem obigen Pfad korrekt gefolgt seid. Wenn dieser stimmt legt einen neuen DWORD-Wert (32-bit) an. Der vorhandene bzw. neue Eintrag wird auf den Wert 2 festgesetzt. Das bedeutet, dass die Authentifizierung kein SSL erfordert. Solltet ihr euch irgendwann mal umentscheiden, ändert diesen Value einfach auf 1. Wenn das soweit erledigt ist, sollte der Verbindungsaufbau nach einem Neustart funktionieren.

Wo wir aber gerade in der Registry sind, kann man bei Bedarf noch eine weitere kleine Änderung vornehmen. Standardmäßig ist die Dateigröße bei dieser Methode auf knapp 50 MB begrenzt. Das erkennt man an gleicher Stelle am Eintrag “FileSizeLimitInBytes“. Dort ist als Dezimal-Wert 50000000 vorbelegt sein. Diesen Wert könnt ihr natürlich erhöhen. Für bis zu ein Gigabyte große Dateien ersetzt diesen z.B. durch 1073741824 Bytes (1024^3). Man sollte jedoch wissen, dass ein Transfer einer Datei solchen Ausmaßes einige Zeit in Anspruch nimmt und Windows keine aussagekräftigen Geschwindigkeits- und Restzeitangaben liefert. Einen sehr guten Freeware-Client stellt in diesem Zusammenhang BitKinex dar. Dieser liefert präzise Messergebnisse und es können auch etwaige Verbindungsprobleme näher untersucht werden.

BoxCryptor

boxcryptor-logo

In einem meiner letzten Beiträge habe ich Euch die zwei Cloud-Varianten vorgestellt. In diesem Artikel möchte ich nun etwas näher auf die Datenspeicherung auf einem externen Server eingehen. Häufig wird der Komfort – überall alles verfügbar zu haben – mehr in den Vordergrund gestellt als die Sicherheit. Kaum jemand der nicht gerade technikaffin ist hat Lust sich mit komplexen Sicherheitslösungen auseinander zu setzen. Als User wird man geradezu eingeladen alles erdenkliche auf fremden Systemen abzulegen und darüber sogar Backups laufen zu lassen. Was dabei gern außer Acht gelassen wird ist die Tatsache, dass die Daten unverschlüsselt irgendwo im Netz gehostet sind, womöglich sogar noch im Ausland wo ganz andere Datenschutzbestimmungen greifen. Übertragen werden die Daten zwar mittels SSL-Verschlüsselung, doch was passiert dann damit? Anbieter wie Dropbox werben damit, dass selbst unter den eigenen Mitarbeitern nur ein eingeschränkter Personenkreis Zugriff auf diese Daten hat. Zudem werden die empfangenen Daten nach eigenen Aussagen verschlüsselt. Doch wie heißt es so schön: Vertrauen ist nicht verkehrt, aber Misstrauen ist auch was wert.

Warum nimmt man das ganze also nicht selbst in die Hand? Was genau? Na, die zu übertragenden Daten vor dem Transfer lokal mit AES 256 Bit zu verschlüsseln! Apropos, dieser Verschlüsselungsstandard ist in den USA zugelassen für Dokumente mit höchster Geheimhaltungsstufe. Er sollte somit privaten Ansprüchen allemal genügen 🙂

Sehr anwenderfreundlich gestaltet ist der Umgang mit diesem Algorithmus dank BoxCryptor.

Doch was genau macht BoxCryptor? Zunächst gehe ich davon aus, dass ihr bereits über einen Dropbox-, SkyDrive- oder Google-Drive-Account verfügt und auch schon die jeweilige Sync-Software installiert habt, sprich es gibt für den jeweiligen Dienst einen Ordner auf eurer lokalen Festplatte. Wenn dort alles reibungslos funktioniert, dann kann man sich ans Werk machen.

BoxCryptor gibt es in drei unteschiedlichen Varianten:

  1. Kostenlos (privat), max. ein Laufwerk, keine Dateinamenverschlüsselung
  2. Kostenpflichtig (privat), beliebig viele Laufwerke, mit Dateinamenverschlüsselung
  3. Kostenpflichtig (kommerzieller Einsatz), beliebig viele Laufwerke, mit Dateinamenverschlüsselung

Ich habe mich für die 2. Variante entschieden. Die Software ist jeden Cent wert. Und letztlich geht es um die Sicherheit an der man bekanntlich nicht sparen sollte.

Die Einrichtung von BoxCryptor ist während und nach der Installation selbsterklärend. Das Programm erkennt installierte Cloud-Ordner in der Regel selbstständig. Wichtig ist, dass man bei der Einrichtung eines Laufwerks keinen einfachen Schlüssel auswählt. Folgende Merkmale sollte er aufweisen und beinhalten:

  • Mindestens 35 Zeichen
  • Zahlen
  • Großbuchstaben
  • Kleinbuchstaben
  • Sonderzeichen
  • Kein Begriffe (Stichwort: Wörterbuchangriff)

Ein gutes Beispiel für einen sicheren Schlüssel ist:

UbByA#5VUmtQ_Df@rX5gsuvMx_])Ws9gtbFT*aeNmx-m2a~}XS${@kt_jb)7

Man muss den selbst gewählten Schlüssel nur einmalig erfassen. Nicht nach jedem Neustart. *puh* 😉 Sollte man das Laufwerk einmal trennen oder seinen Rechner neu installieren, dann ist er logischerweise wieder erforderlich. Also gut aufbewahren! Natürlich nicht in der Cloud oder dem verschlüsselten Teil davon selbst. Wurden Daten einmal kryptographiert, ist es ohne den Schlüssel (praktisch) unmöglich, die Daten zurückzugewinnen. Theoretisch wäre es mittels Brute-Force denkbar, aber aufgrund des enormen Zeit- und Rechenaufwands nahezu ausgeschlossen (Stand: heute). Im Zweifelsfall ausdrucken.

Wenn die Einrichtung erfolgreich verlaufen ist, dann solltet ihr im Windows Explorer nun ein entsprechendes Laufwerk erkennen. Dieses Laufwerk  ist gemappt auf einen Unterordner im z.B. Dropbox-Verzeichnis. Alles was man auf dieser (logischen) Festplatte speichert wird im Hintergrund durch Boxcryptor verschlüsselt und im besagten Unterordner abgelegt. Die Sync-Software führt derweil den Upload durch. Wenn ihr euch den Sync-Ordner anseht, erkennt ihr die verschlüsselten Dateien. Der beste Beweis, dass alles sicher in der Cloud verwahrt wird.

Abschließend nochmals der Hinweis, dass die Verschlüsselung ausschlieߟlich über das Laufwerk funktioniert. Nicht wenn man Dateien direkt im BoxCryptor-Ordner ablegt. Und die Datei .encfs6 bitte niemals löschen. Diese wird zwingend benötigt, enthält aber keine sicherheits-kritischen Daten oder gar Hinweise auf den Schlüssel.