News Microsoft mit Verschlüsselung für Webmail und Cloud

[fethomm]

Hatte Google vor wenigen Wochen in seinem Webmail-Report Microsoft zusammen mit Comcast und Apple als unsichere Kandidaten dargestellt, so hat Microsoft nun die Entwicklung zur Implementation von Transport Layer Security (TLS) in die eigenen E-Mail- und Cloud-Dienste abgeschlossen.

Zur News: Microsoft mit Verschlüsselung für Webmail und Cloud

 

[Voyager10]

Die NSA kann das trotzdem entschlüsseln solange Sie an den Leitungen und Servern "saugen" mit politischer Billigung.
Ohne Ende zu Ende Verschlüsslung sind das alles nur Placebos die uns als sicher verkauft werden.

 

[teAmeY]

Die sollen lieber erstmal die OneDrive-Drosselung aufheben bzw. fixen.

 

[#PITA]

Die Leute wollen es scheinbar einfach nicht verstehen.. Bei den Verschlüsselungen ging es noch nie darum dass Behörden keinen Zugriff auf die Daten haben, sondern Dritte, die damit unmittelbar Schaden anrichten können. Und bei NSA, BND, MI6, MOSSAD,... Sehe ich diese Gefahr nicht!

 

[c137]

Ohne Ende zu Ende Verschlüsslung sind das alles nur Placebos die uns als sicher verkauft werden.

Willst du eine End-to-End-Verschlüsselung, dann richte sie dir halt ein: PGP oder S/MIME.
Klar, muss aber auch jeder Gesprächspartner unterstützen, aber das muss man halt als deren Gesprächspartner auch propagieren.

Warum sollte denn ein Mail-Anbieter dafür sorgen, dass die Anwender Software auf ihrem Client installieren und einen privaten Schlüssel erzeugen?

Immerhin werden durch PFS und TLS die Metadaten besser geschützt. Es ist einfach besser als nichts und besser als vorher - kein Grund sich aufzuregen.

 

[RedXon]

Muss mich da jetzt auch anschliessen...

De Verschlüsselung ist doch nicht dazu da, dass die Behörden keinen Zugriff bekommen, das wäre ja auch relativ Sinnlos aus sicht der Anbieter gesehen, denn die Behörden könnten (nehmen wir mal den unwarscheinlichen Fall an, dass sie es nicht knacken können) dann einfach die Daten anfordern, und die ANbieter müssen sie dann ja trotzdem ausliefern...

Die Verschlüsselung dient dazu, dass nicht jeder andere deine Mail lesen kann, was ja auch sinn macht. Stell dir vor, jemand kriegt zugriff auf deine Mail oder deine OneDrive Dateien... Bei den meisten Leuten ist das ja auch nicht weiter schlimm, da keine allzu wichtigen Infos dort sind, aber wenn es dann um wichtige Emails oder sogar Geschäftsemails geht, dann sieht das doch anders aus...

 

[Miuwa]

Die NSA kann das trotzdem entschlüsseln solange Sie an den Leitungen und Servern "saugen" mit politischer Billigung.
Ohne Ende zu Ende Verschlüsslung sind das alles nur Placebos die uns als sicher verkauft werden.

Gerade gegen das "Saugen" an den Leitungen hilft Transportverschlüsselung prinzipiel sehr wohl (ob jetzt der jeweilige Algorithmus bzw. Implementierung NSA-Proof ist sei mal dahin gestellt). Wenn sie natürlich direkten Zugriff auf die Serverdatenbanken haben hilft das tatsächlich nichts.
Ansonsten finde ich es schon traurig, dass die Verwendung von Transporlayer Security nicht schon längst weltweit zum Standard gehört.

 

[BlackVally]

bei NSA, BND, MI6, MOSSAD,... Sehe ich diese Gefahr nicht!

Der Spruch des Tages
Denn das sind wohl die, die am häufigsten mit diesen Daten Schaden anrichten!

 

[Suxxess]

Hat Paypal schon mitgeteilt wann sie das Konto von Microsoft dichtmachen?
Aber bevor wir es vergessen, Microsoft steht auf der Liste die direkt mit der NSA zusammenarbeiten.

Im Juni 2013 wurde bekannt, dass die NSA im Rahmen des Programms PRISM in großem Umfang weltweit das Internet ausspähen soll, indem es Daten großer Konzerne und deren Nutzer auswertet.[73][74] Dazu gehören nach Medienberichten Google, Microsoft, Apple, Facebook, Yahoo, PalTalk, YouTube, Skype und AOL

Quelle: Wikipedia

So kann man sich auch Wettbewerbsvorteile sichern...

 

[Locutus2002]

War da nicht mal was, dass Microsoft gezielt dafür gesorgt hat, dass die NSA trotz Verschlüsselung auf Outlook.com, Skype, OneDrive usw. direkten Zugriff bekommt? Also sind diese Nachrichten nur Blendwerk.

 

[etking]

Die NSA kann das trotzdem entschlüsseln solange Sie an den Leitungen und Servern "saugen" mit politischer Billigung.
Ohne Ende zu Ende Verschlüsslung sind das alles nur Placebos die uns als sicher verkauft werden.

Richtig, Ende zu Ende Verschlüsselung ist sinnlos wenn die NSA an einen Ende sitzt und die Daten erst nach der Entschlüsselung abgreift.
Es ist ebenfalls sinnlos wenn die NSA die weltweit verbreiteten mathematischen Verfahren zur Schlüsselgeneration und zum Schlüsselaustausch und die Verschlüsselungsfunktionen in den CPUs manipuliert hat oder einen Generalschlüssel besitzt, der überall passt weil die Zertifikate von kontrollierten Root-CAs stammen (die meisten Root-CAs stammen von kontrollierten Firmen wie Microsoft, Google und Verisign und warum sollte nicht eine Kopie der privaten Schlüssel zurückbehalten werden oder generell ein zweiter Schlüssel existieren wie beim NSAkey (zweiter Schlüssel in der Windows Signierung für "Entwicklungszwecke", dessen Existenz von Microsoft bestätigt wurde).

Ebenfalls besteht Unsicherheit wenn der private Schlüssel in der NSA-Cloud aufbewahrt wird wird oder über Backdoors wie Windows-Update abgreifbar ist.

 

[c137]

"Das Internet ausspähen" ist auch so eine tolle Formulierung

Aber mal ernsthaft, was würdest du als US-Firma oder als US-Niederlassung einer deutschen Firma tun, wenn du eine FISA-Order, National Security Letter samt Gag Order usw. bekommst? Einfach zusperren wie Lavabit geht mit einer riesigen AG wohl kaum.
Zusammenarbeit ist außerdem gar nicht nötig, schon gar nicht freiwillige, damit deine Daten an die NoSuchAgency gelangen.
Microsoft klagt(e) wie z.B. Yahoo auch schon erfolgreich gegen NSLs und Gag Orders.

Dass auch alle anderen großen Firmen mindestens genauso drinhängen hast du ja schon gut erkannt. Bei den meisten Leuten wird komischerweise aber nur auf MS geschimpft.

 

[Miuwa]

@etking:
singed

Nur ein kleine Anmerkung um Missverständnissen vorzubeugen:

...
(die meisten Root-CAs stammen von kontrollierten Firmen wie Microsoft, Google und Verisign und warum sollte nicht eine Kopie der privaten Schlüssel zurückbehalten werden
...

Verisign bekommt den privaten Schlüssel nie zu Gesicht, weil dieser lokal vom Kunden generiert wird. Nur der öffentliche Schlüssel wird zur Signierung an den Provider gesendet.

 

[hallo7]

Aber bevor wir es vergessen, Microsoft steht auf der Liste die direkt mit der NSA zusammenarbeiten.

Wobei sie dazu mehr oder weniger gezwungen werden, da es für jedes US Unternehmen Pflicht ist mit der NSA zusammenzuarbeiten... (siehe Lavabit usw...)

 

[SkipOutLaw]

Auch hier zeigt sich wieder, in Anlehnung an einen anderen Thread- egal was MS macht, sofort wird gemeckert. Einige haben es ja schon angesprochen und ich hoffe wir können uns darauf einigen: NSA, BND und andere Geheimdienste spielen in einer ganz anderen Liga. Und dort sind alle Anbieter betroffen, egal ob sie Microsoft, Apple, Google, Telekom, GMX oder Web.de heißen. Einige scheinen immer noch zu glauben, Microsoft nehme eine (böse) Sonderstellung ein und sie wären so ziemlich die einzigen, die den Geheimdiensten wohlwollend alle Türen öffnen. Nein, sind sie ganz sicher nicht, denn das wirkt sich nicht gerade positiv auf die eigenen Geschäfte aus. Sie gehören aber zu den wenigen, die bezüglich dieser Problematik sehr viel kommuniziert haben. Ein Fehler, wenn man sich die Reaktionen anschaut und wie auf Firmen reagiert wird, die sich eher bedeckt halten und die Klappe halten.

 

[Locutus2002]

[...] Es ist ebenfalls sinnlos wenn die NSA die weltweit verbreiteten mathematischen Verfahren zur Schlüsselgeneration und zum Schlüsselaustausch und die Verschlüsselungsfunktionen in den CPUs manipuliert hat [...] .

Ersteres ist kaum möglich, da die betreffenden mathematischen Verfahren öffentlich bekannt und von den besten Kryptologen auf aller Welt geprüft wurden. Wenn es da Schwachstellen oder gar Hintertüren gibt, dann wären sie bereits bekannt. Immerhin sind die gängigen Verfahren min. 15 Jahre alt; überhaupt werden Verfahren erst nach sehr langer Zeit breit eingesetzt, weil man eben abwartet, was eventuell entdeckt wird. Und die NSA hat GANZ SICHER NICHT die besten Mathematiker der Welt, denn die stammen nicht aus den USA. ;-) HArvard und Co wären NICHTS ohne die vielen ausländischen Studenten und Doktoranden. Abgesehen davon sind NSA-Angestellte Staatsdiener und somit im Vergleich zur freien Wirtschaft unterirdisch bezahlt. Die US-Regierung könnte sich also nicht einmal die besten US-Mathematiker/Kryptologen leisten.

Wo ich Dir vollständig zustimme ist die Manipulation von CPUs. Intel, AMD und ARM sind alles Unternehmen aus Five-Eyes-Staaten und stecken in 99,x% der Rechner der Welt. Da liegt es auf der Hand, dass diese Unternehmen Schwachstellen oder gar Hintertüren in die Implementierung von Zufallszahlengeneratoren (RNGs) bzw. AES-NI einbauen könnten bzw. dazu veranlasst werden. Da würde die mathematische Sicherheit nicht mehr greifen, wenn sie durch bewusste technische Schwächung untergraben wird. Daher sollte man auch nie die CPU-Einheiten für RNGs und AES benutzen, wenn man ganz sicher gehen will.

 

[hroessler]

"Der Kampf gegen die Windmühlen".

So sehr Microsoft sich bemüht, solange es Patriot Act & Co. gibt, und Amerikanische Gerichte die Verschlüsselung per Verfügung aushebeln können, ist das leider alles für den Poppo!

Greetz
hroessler

 

[c137]

Es gibt ja nicht nur die staatlichen "Kriminellen", sondern auch nicht-staatliche

 

[hroessler]

Die Leute wollen es scheinbar einfach nicht verstehen.. Bei den Verschlüsselungen ging es noch nie darum dass Behörden keinen Zugriff auf die Daten haben, sondern Dritte, die damit unmittelbar Schaden anrichten können. Und bei NSA, BND, MI6, MOSSAD,... Sehe ich diese Gefahr nicht!

Hallo,
meine privaten Daten haben den Behörden am Arsch vorbeizugehen! Geht die rein gar nichts an. Wenn du deine Daten freiwillig Preis geben möchtest ist das deine Sache. Meine geht die nichts an. Egal, ob die damit Schindluder treiben, oder nicht.

Achja, ich bin weder bei Facebook noch bei WhatsApp!

Greetz
hroessler

 

[Benzolium]

sondern Dritte, die damit unmittelbar Schaden anrichten können. Und bei NSA, BND, MI6, MOSSAD,... Sehe ich diese Gefahr nicht!

Das ist einfach nur Traurig... Informiere dich bitte mal über Themen wie z.B. die No Fly Liste
Die Gefahr für Direkten Schaden ist durch die Geheimdienste um ein Tausendfaches höher als irgend welche Dritte...