tor browser / ssh tunnel / was ist sicher ?

[Orc123]

Da kurz vor dem Abitur und Interesse an IT ein paar Fragen, wobei ich nicht weiterkomme.

Wenn ich den Tor Browser, welcher ja über VPN läuft, als portable browser via linux über ubs stick boote, kann ich die Sicherheitsstufe nochmal erhöhen, wenn ich das OS auch über VPN laufen lasse ?

Sprich Linux via VPN verbinden und dann den Tor Browser starten (welcher sowieso über VPN läuft). Ist das überhaupt sinnvoll?

Eine weitere Frage :

Nach intensiver Recherche habe ich es selbst hinbekommen, einen ssh-tunnel aufzubauen. Da jedoch nicht alle Protokolle über ssh an den Zweit-Server weitergegeben werden, habe ich noch einen dritten Server hinzugefügt, wobei der zweite und der dritte Server keinen Kontakt haben und so die Protokolle verteilt werden.

Ist dieses ganze Prozedere sicherer als das einfache VPN oder rede ich gerade nur Schwachsinn ?

Wie gesagt ich bewege mich grad erst in Kinderschuhen und kann auf eure Hilfe nicht verzichten. Danke im voraus.

 

[Luxuspur]

na zuerst musst du mal lernen das es im Internet keine Sicherheit gibt! Auch VPN & Tor und selbst Verschlüsselung schützen dich nicht wenn es jemand mit Macht & Geld auf dich abgesehen hat ... all das genannte sind lediglich "Transport" Sicherungen die den Bodensatz abhalten, mehr nicht!

Sicherheit ist eine Illusion das gilt es erst mal zu verstehen!

Verschlüsselung ist nur sicher wenn du verschlüsselst und nie wieder darauf zugreifst
Tor hat genug Sicherheitlücken, das fängt bei den Exitnodes an und hört da nicht auf
VPN Tunnel nützen dir auch nix bei einer Deep Packet Inspection!

Und jeder der über eine Malware oder Hintertür auf deinen Systemen sitzt liest sowieso im Klartext mit.
Wenn du wirklich ein interessantes Ziel bist eben notfalls auch durch legale/illegale "Verwanzung" wenn du nicht da bist ;p

Dann noch so Sachen wie BadBIOS & Co.


Jetzt kommen bestimmt gleich die Linux Jünger: Ich kompiliere meine System selbst da ist sicher nix drinn allen Sourcecode selber überprüft ... JA Nee auf welcher Hardware? die die du auch selbst entwickelt und produziert hast inkl. jeden einzelnen IC ?

 

[chrigu]

von was für einer sicherheit handelt es sich dabei?
1. malware-befall vom internet
2. anonymität
3. sicheres daten hin und her schieben?

 

[Orc123]

Danke für eure Antworten. Natürlich gibt es die absolute Sicherheit nicht. Und wie Luxuspur schon gesagt hat, wenn dich jemand unbedingt kriegen will, kriegt er dich auch

Die First und Exit-Nodes sind bei Tor ja schon immer ein Problem gewesen.

Mir geht es in erster Linie um Zugriffe auf das Deep Web und einige legale Projekte, für die ich monatelange Vorbereitungszeit brauchte. Ich habe keine Lust, all die Arbeit durch Cyberangriffe zu verlieren.

Eine Alpha-Version unserer Seite wurde innerhalb von nur 1 Woche durch die Konkurrenz zerstört.

Und auch für das private Surfen im Deep Web, ist es mir wichtig.
@chrigu : Die Anonymität wäre also das Problem.

Gibt es also noch kostengünstige Wege neben der von mir schon im ersten Post beschriebenen Möglichkeiten, die Sicherheit bei diesem Projekt zu verbessern ?

Was haltet ihr von doppelter oder dreifacher VPN ? Was von ssh-tunneln die über 3 Server laufen ?
Wäre eine Internetverbindung per UMTS- Webstick und nochmaliger Verschlüsselung via ssh oder vpn sinnvoll ?

Danke nochmal für eure Zeit.

PS : Die Arbeit im Deep Web habe ich bis hierhin meist über ssh in öffentlichen Netzwerken, wie Hotellobby oder Starbucks, etc. ausgeführt. Nur ist es sehr mühsam für 1 Tag Arbeit mehrere öffentliche Netzwerke aufzusuchen um die Spuren zu verwischen.

 

[DerSchwatte]

Das du die Netzwerke tatsächlich tauschst, ist an sich eine gute Idee. Falls man es auf dich abgesehen hätte, wäre so die Recherche um einiges schwerer. Aber immer noch nicht unmöglich.

Ich persönlich benutze das Deep Web auch per SSH Tunnel und verteile die Protokolle auch auf mehrere Server. Aber solange du die "onions" nicht ausreizt, solltest du auch keine Probleme bekommen. Von nur VPN würde ich abraten.

 

[Inateck]

Jetzt ist die spannende Frage, was Du genau willst. Also auf der einen Seite willst Du dich beim Surfen vor Cyberangriffen schützen, sprich es soll Dich keiner beim Surfen im Internet attackieren.

Dann haben wir die Aussage: "Eine Alpha-Version unserer Seite wurde innerhalb von nur 1 Woche durch die Konkurrenz zerstört."
Das wäre ein ganz anderes Szenario. Du müsstest einmal genauer den Sachverhalt darstellen, damit wir die richtigen Tipps geben und
Du mit deinen Maßnahmen nicht das falsche Ziel anvisierst.

Zum im Internet surfen wurde ja schon einiges gesagt. Sofern es sich um reine legale Projekte handelt und Du keine Angst vor Sicherheitsbehörden haben musst, würde ich bei einem Internetanschluss mit dynamischer IP einfach ein VPN in einer Linux-VM verwenden und damit arbeiten. In der VM liegen dann auch nur die Daten, mit denen Du aktuell arbeiten musst. Nach jeder Arbeitssession reconnetest Du dich mit dem Internet um eine neue IP zu erhalten. Und dann halt einfach ein VPN deiner Wahl.
UMTS-Stick und VPN kann gut gehen, aber es kommt drauf an. Ich habe das eine Weile gemacht, aber das Internet war grotten langsam. War halt UMTS mit 7,2 mbit/s. Mit LTE sieht es dann wieder anders aus und geht auch gut mit VPN. Aber an LTE-Tarife kommst Du nur per Vertrag ran und dann kannst Du auch gleich deinen eigenen Internetanschluss verwenden.

100%-Sicherheit gibt es nicht wie schon ausgeführt wurde. Man kann aber die Hürden für den Angreifer sehr hoch legen.
Der höchste Level an Sicherheit wäre eine Kombi aus UMTS-Stick + VPN-Zugang mit anonymen Zahlungsmittel + Linux-VM auf einem Notebook. Auf den UMTS-Stick verbindest Du dich auch nur mit einem WLAN-USB-Stick und änderst noch die MAC ab. Die Hardware wird verteilt in der Stadt gekauft. das wäre soweit die Anonymität. Bei der Sicherheit kannst Du dann einen Browser in einer Sandbox laufen lassen und auf dem Brwoser alles mit NoScript blocken. Den ganzen Spaß lässt Du in einer Linux-VM laufen. Das wäre bzgl. Sicherheit auch ne Menge.

Ich bin jetzt etwas abgeschweift, um Dir bisschen was in der Breite zu zeigen.
Also nochmal die Frage: was willst Du genau schützen? Deine Projektdaten, die auf deinem Rechner liegen, mit denen Du arbeitest oder ein System, auf welchem die Applikation läuft? Oder beides?

Ansonsten noch als Lektüre: https://www.privacy-handbuch.de/

 

[Orc123]

Die Lektüre über Nacht durchgepaukt und hat an einigen Aspekten geholfen. Danke dafür erstmal.

Die Bestätigung zum UTMS Vorschlag hat mich nun bestärkt. Die VM Box ist auch eine sehr gute Ergänzung an die ich garnet gedacht hatte.

Hab gestern mal den Umts Stick in Verbindung mit Mint, ssh-tunnel über 2 gertennte Server und nochmaliger VPN über Tor-Browser in einer VM-Box erfolgreich getestet.

Meine Frage war in der Tat ein wenig wirr. Mir ging es eigentlich sowohl um 99,9 % Sicherheit beim surfen im Deep Web sowie der Absicherung unseres Projektes.

Ich habe einen Server über Kali benutzt. Admin abgesichert über htaccess, robot und sitemap genauso abgesichert und auch wp-login so bearbeitet, dass sie zu irgendwelchen Trojaner-Seiten leitet. Allerdings hat all die Arbeit nichts gebracht und wir wurden trotzdem gehackt. Die Gründe lasse ich mal unkommentiert.

Ich wollte einfach allgemeinen Input einholen. Speziell zu besprochenen Themen (außer Absicherung der Website im Darknet), gibt es fast nichts zu finden in öffentlichen Foren.

 

[Inateck]

Solche Thematik ist halt auch keine alltägliche Thematik (also anonym im Netz surfen, etc.). Das ist dann schon für spezielle Fälle, sodass es nicht wundert, wenn man nichts in öffentlichen Foren findet. Wir gehen dann einfach mal davon aus, dass Du Dich sicher im Darknet bewegen möchtest und dort auch ein nach deutschem Recht legales Projekt hostet.

Kali als Serversystem? Gut, es basiert auf Debian, aber trotzdem. Es gibt 2 Wege ein System abzusichern.
Entweder ist installiere erstmal alles bis alles igrendwie läuft und sichere es dann ab. Oder ich installiere ein Minimalsystem (ohne GUI und Co.), sichere es grundsätzlich ab und installiere nach und nach die Sachen, sodass kein unnötiger Balast auf dem System ist. Also eifnach mal normales Debian oder auch CentOS. Wenn ich von wp-login lese, komme ich auf Wordpress. Wordpress gilt ja nicht unbedingt als sicher. Dazu gab es hier auch schon immer wieder witzige Diskussionen.
Für die Serverabsicherung findest Du mehr als genügend Lektüre im Netz. Du kannst ein Linuxsystem ziemlich dicht nageln. Aber das erfordert dann schon mehr als ein bisschen auf der CLI rumzutippseln.

Ich weiß ja nicht, wie das mit dem Abitur bei Dir aussieht, aber Du solltest Dich hauptsächlich darauf konzentrieren und nicht an "irgendeinem" Projekt im Darknet. Das kannst Du später immer noch machen, wenn Du unbedingt willst.

 

[Orc123]

Hast mir wirklich an einigen Stellen weitergeholfen. Manchmal kommt man alleine einfach nicht mehr weiter und braucht einfach Meinungen die einen weiterbringen. Wie gesagt, diese Themen und auch Auskunft darüber wird sehr skeptisch angesehen und ist deswegen auch "rare".

Und ja Papa, Abi ist so gut wie im Sack in den nächsten Monaten ;D

Nur ist das alles halt ein riesieges komplexes Themengebiet und wenn man in dem Bereich weit kommen möchte, sollte man sich so früh wie möglich damit beschäftigen. Dir begegnen immer wieder Personen die mehr als 10-20 Jahre mit hacken, programmieren, etc. bschäftigt sind und dagegen ist meist nur schwer anzukommen. Deswegen auch die ganze Arbeit und Mühe.

Aber ich erlaube mir mal zu behaupten, dass du auch kein unbeschriebenes Blatt bist, was das Thema "Deep Web" angeht ^^

 

[Inateck]

Die Frage ist auch, ob man gegen solche Personen überhaupt ankommen muss. Wenn man zu den Besten gehören will, dann erfordert das sehr viel Leidenschaft und ist auch sehr zeitintensiv. Aber wenn Du gerade eh erst vor dem Abitur stehst, hast Du ja noch alles vor Dir und auch deine Einstellungen werden sich noch ändern. Such Dir auf jeden Fall was Spaß macht und zieh das dann durch. Wenn Dir IT-Sicherheit sozusagen so am Herzen liegt, solltest Du dir vor allem ein gutes Wissen um Netzwerke aneignen. Das wäre wohl ein guter Schritt und im Bereich der Programmierung Python.
Du wirst schon so deine Ideen haben.

In dem Bereich Deep Web bin ich in der Tat eher ein unbeschriebenes Blatt. Die Strukturen dahinter sind mir allerdings bekannt und auch was da "los ist". Ein entfernter Bekannter meinte letztens noch zu mir, dass er im Deep Web etwas gefunden hat, wie er WPA2 schnell knacken könnte und auch ganz viel Pentesting für Firmen jetzt macht und blaaaaaaa...der hat einen solchen gewaltigen Geltungsdrang, dass ich ihn gerne von einer Klippe gestoßen hätte. Auf Nachfrage wollte er die Quelle nicht preisgeben, sondern ich solle ihm einfach vertrauen, dass es so ist. Auf Script Kiddies mit einem Aufmerksamkeitsproblem kann ich gerne verzichten und daher interessieren mich auch die Oberflächliche Bereiche des Deep Web nicht. Also nein, Deep Web brauche ich nicht

 

[chrigu]

also wenn einer stolz auf "ich benutze deep web" ist, und damit auch angeben will, hat er den sinn nicht wirklich begriffen.

 

[Orc123]

also wenn einer stolz auf "ich benutze deep web" ist, und damit auch angeben will, hat er den sinn nicht wirklich begriffen.

Verstehe nicht worauf du hinaus willst. Also meinst du das allgemein auf irgendwelche Idioten bezogen ?

 

[Inateck]

chrigu bezieht das denke ich auf Leute wie meinen Bekannten, die sich cool fühlen und total 1337, nur weil sie das Deep Web nutzen sind...sprich Leute mir großer Klappe und nichts dahinter.