Guten Abend, ich verwende für die Versionspflege von C-Code TortoiseSVN. Nun werden an der Uni z.Z. Wartungsarbeiten an der Infrastruktur durchgeführt, immer dann wenn ich gerade auf dem Netzlaufwerk einchecken möchte (zumindest gefühlt). :) Da der Quellcode an manchen Stellen sensibel ist, benötige ich eine Alternative zu den sicheren Netzlaufwerken. Mir kam da heute Dropbox in den Sinn. Habe mir mal die AGBs bzgl. der Sicherheit durchgelesen und bin daraus nicht so wirklich schlau geworden. Das man TortoiseSVN und Dropbox verheiraten kann, steht wohl außer Frage. Doch ist das für solche sensiblen Sachen auch geeignet? Ich gehe jetzt davon aus, dass das Passwort sicher ist. Oder ist es besser nur verschlüsselte Container (Stichwort TrueCrypt) in die Dropbox zu legen und diese dann immer zu Mounten? Kommentare wie: "Die absolute Sicherheit bekommt man nie" sind hier fehl am Platz, das weis man auch so. ;) Ein Arbeitskollege hat mir mal eine Story erzählt, dass manche Mail-Anbieter bestimmte Dateien filtern. Steht im Betreff: "Patentantrag" oder so etwas wird das erst einmal aussortiert. Seitdem versendet er solche sensiblen Sachen immer verschlüsselt. Bin auf eure Antworten, Anregungen, etc. gespannt. Viele Grüße Chris
Christian W. schrieb: > Oder ist es besser nur verschlüsselte Container (Stichwort TrueCrypt) in > die Dropbox zu legen und diese dann immer zu Mounten? ja, dropbox verschlüsselt nur die daten im amazon storage, dropbox selbst kommt an die daten ran (deswegen kann man auch ordner mit anderen leuten sharen).
SPON/Netzwelt RSS Feed lesen. Bei Dropbox haben die auch erst vor ~3 Wochen oder so eingebrochen sowie LoginDaten und Keys geklaut. Zur Zeit ist es nicht besonderst lustig mit Annonymous und Lulz Vieleicht solltest Du Dir einen 7,90 Euro VServer (20 GByte Diskspace) bei Hetzner besorgen und selber ein Linux Deiner Wahl aufsetzen... Grüße Michelle
__tom schrieb: > ja, dropbox verschlüsselt nur die daten im amazon storage, dropbox > selbst kommt an die daten ran (deswegen kann man auch ordner mit anderen > leuten sharen). Auch bei Systemen mit Client-seitiger Verschluesselung kann man Ordner sharen, siehe zum Beispiel Wuala. Bei denen werden die Daten auch nicht in den USA geparkt, obwohl's da ja egal waere...
Michelle Konzack schrieb: > Vieleicht solltest Du Dir einen 7,90 Euro VServer (20 GByte Diskspace) > bei Hetzner besorgen und selber ein Linux Deiner Wahl aufsetzen... Was soll daran sicher sein?
xXx schrieb: >> Vieleicht solltest Du Dir einen 7,90 Euro VServer (20 GByte Diskspace) >> bei Hetzner besorgen und selber ein Linux Deiner Wahl aufsetzen... > > Was soll daran sicher sein? Wenn Du völlig unerfahren auf dem Gebiet bist, dann liegen die Daten bei Dropbox sicherer. Linux != sicher Linux + Know-how + immer am Ball bleiben = (ziemlich) sicher
Chris schrieb: > Wenn Du völlig unerfahren auf dem Gebiet bist, dann liegen die Daten bei > Dropbox sicherer. > Linux != sicher > Linux + Know-how + immer am Ball bleiben = (ziemlich) sicher Eine Diskussion ueber die eingebildete Sicherheit von Linux-Usern fuehren wir besser nicht. Und in diesem Falle ist die auch voellig unnoetig, da wir hier ueber eine VM reden - deren Sicherheit steht und faellt mit dem Betreiber, der die VM hostet. Da kannst du in der VM machen, was du willst, du bleibst dem Betreiber ausgeliefert.
Michelle Konzack schrieb: > Vieleicht solltest Du Dir einen 7,90 Euro VServer (20 GByte Diskspace) > bei Hetzner besorgen und selber ein Linux Deiner Wahl aufsetzen... Ich hatte mal einen Linux-Root Server. Allerdings hatte ich dann immer Bauchschmerzen weil die Konfiguration eines solchen Servers doch recht kompliziert ist (also bezogen auf die Sicherheit). Außerdem möchte ich nicht schon wieder irgendeinen Vertrag, habe gerade mein Handyvertrag auf Prepaid umgestellt. (: Ich denke die Kombination aus Dropbox und einem verschlüsselten Truecrypt-Container ist die sicherste Variante. Viele Grüße Chris
Teste mal, wie der Speed aussieht, weil so ein TC-COntainer hat ja ne gewisse Größe, nicht dass man immer den gesamten Container hoch und runter laden muss. Da gefällt mir das Firefox-Sync besser, die lassen alles Clientseitig verschlüsseln und das geht dann auf die Server von denen.
Der Speed ist Ok! Man kann mit TC auch Container variabler Größe erzeugen. Habe einen TC-Container mit 250 MB erstellt. Es werden aber nur 3 MB Speicherplatz auf der Festplatte verwendet. Wächst der Inhalt des Containers, wird auch die Datei auf der Festplatte größer. Aber das Problem hat man ja immer... Firefox-Sync ist doch zur Synchronisation von Favoriten, etc. entwickelt worden. Wie soll man da TortoiseSVN Sachen Synchronisieren?
Christian W. schrieb: > Firefox-Sync ist doch zur Synchronisation von Favoriten, etc. entwickelt > worden. > Wie soll man da TortoiseSVN Sachen Synchronisieren? Ich meint ehr, dass dieses Konzept Vorbild sein könnte, ich denke kaum, dass man deren Service so direkt nutzen kann
Christian W. schrieb: > Ich denke die Kombination aus Dropbox und einem verschlüsselten > Truecrypt-Container ist die sicherste Variante. Kurz: Du hattest dich sowieso schon fuer diese Variante entschieden und wolltest nur bestaetigt werden.
xXx schrieb: > Du hattest dich sowieso schon fuer diese Variante entschieden und > wolltest nur bestaetigt werden. Nein. Es kamen danach ja noch Vorschläge bzgl. Linux. Da ich wohl kein Linux-Spezialist bin, und auch nicht so schnell sein werde, ist das aus meiner Sicht für den Windows-Normalo eine sichere Variante. Würde jemand einen Alternativvorschlag machen wie es einfacher geht, würde ich das dann selbstverständlich so machen. Es ist doch auch interessant einmal andere Gedankengänge/ anderes Wissen/ andere Sichtweisen zu sehen. Viele Grüße
Christian W. schrieb: > Würde jemand einen Alternativvorschlag machen wie es einfacher geht, > würde ich das dann selbstverständlich so machen. Habe ich ja oben: Wuala. Hat clientseitge Verschluesselung, kann aber trotzdem Verzeichnisse sharen. Das kriegst du mit TC und DropBox nicht hin.
xXx schrieb: > Habe ich ja oben: Wuala. Hat clientseitge Verschluesselung, kann aber > trotzdem Verzeichnisse sharen. Das kriegst du mit TC und DropBox nicht > hin. Sorry x³! Das habe ich wirklich überlesen. Wäre wirklich eine gute Alternative, habe es mir gerade angesehen. Besten Dank für den Tip! Zitat: "Wuala ist der sichere Online-Speicher aus der Schweiz". Falls da etwas schief gehen sollte, laufe ich in die Schweiz und trete denen in den Allerwertesten! :)
Seltsame Frage! Sensible Daten auf fremden Servern sollte man immer selbst verschlüsseln. Ohne Ausnahme! Denn niemand weiß, wie gut, falls überhaupt vorhanden, der Verschlüsselungsservice des fremden Servers ist. Pannen, schlechte Implementierung, Schlamperei seitens des Serveranbieters sind in der Vergangenheit immer mal wieder vor gekommen - und das wird ganz sicher wieder passieren. Gute und kostenlose Verschlüsselungssoftware gibt es genug, angefangen vom bewährten pgp/gpg. Von closed source Verschlüsselungssoftware sollte man aber eher die Finger lassen, da weiß man nie ob es wirklich was taugt. Bei bekannten Opensource-Lösungen kann man davon ausgehen, dass diese schon von genügend Experten auf Schwachstellen untersucht wurden.
hkgk schrieb: > Von closed source Verschlüsselungssoftware sollte > man aber eher die Finger lassen, da weiß man nie ob es wirklich was > taugt. Bei bekannten Opensource-Lösungen kann man davon ausgehen, dass > diese schon von genügend Experten auf Schwachstellen untersucht wurden. So ist das Unfug, auch eine recht bekannte Open-Source-Lösung ist damit böse auf die Schnauze gefallen und lange Zeit hats niemand bemerkt. Die Qualität mag durch viele Quelltextleser durchaus der Qualität von Closed-Source überlegen sein, das schützt aber vor fatalen Außreißern nicht, wenn Änderungen ungeprüft eingepflegt werden. Aber darüber hast du wohl Recht: Nachdem man das Problem dieser Lösung bemerkte, wurde es umgehend geflickt. Das ist bei kommerzieller Software oft anders, da wartet man auf Patchdays und so weiter.
Sven P. schrieb: > Die Qualität mag durch viele Quelltextleser durchaus der Qualität von > Closed-Source überlegen sein, das schützt aber vor fatalen Außreißern > nicht, wenn Änderungen ungeprüft eingepflegt werden. Sich darauf verlassen, dass hoffentlich ein Anderer den Code gelesen hat und, dass derjenige zu den guten gehoert und gefundene Schwachstellen nicht ausnutzt, ist ein ziemlich optimistisches Sicherheitskonzept.
> So ist das Unfug, auch eine recht bekannte Open-Source-Lösung ist damit > böse auf die Schnauze gefallen und lange Zeit hats niemand bemerkt. Es ist doch absolut klar, dass es immer Sicherheitslücken geben kann und dass deshalb 100% Sicherheit reine Illusion ist. Mir ist unverständlich, dass du das extra erwähnen musst, wo ich doch nie gegenteiliges behauptet habe. Allerdings ist die Wahrscheinlichkeit einer Sicherheitslücke bei closed source Anwendungen in jedem Fall höher als bei bekannten open source Anwendungen. > Sich darauf verlassen, dass hoffentlich ein Anderer den Code gelesen hat > und, dass derjenige zu den guten gehoert und gefundene Schwachstellen > nicht ausnutzt, ist ein ziemlich optimistisches Sicherheitskonzept. Das hat nichts mit Optimismus, sondern mit Wahrscheinlichkeit zu tun. Viele Experten sehen eben mehr Schwachstellen als eine begrenzte Anzahl an Entwicklern einer Firma. Dazu kommt noch die Gefahr von absichtlichen Hintertürchen. Nur darauf zu vertrauen, dass ein kleiner Entwicklerkreis einer closed source Anwendung alles richtig gemacht hat, ist nicht nur ein ziemlich optimistisches Sicherheitskonzept, sondern Fahrlässigkeit oder Dummheit.
xXx: Von 'darauf verlassen' war garkeine Rede. Im Gegenteil: Genau das bemängele ich ja. hkgk schrieb: > Es ist doch absolut klar, dass es immer Sicherheitslücken geben kann und > dass deshalb 100% Sicherheit reine Illusion ist. Mir ist unverständlich, > dass du das extra erwähnen musst, wo ich doch nie gegenteiliges > behauptet habe. Allerdings ist die Wahrscheinlichkeit einer > Sicherheitslücke bei closed source Anwendungen in jedem Fall höher als > bei bekannten open source Anwendungen. Das ist sicherlich so. Blöderweise ist aber auch die Wahrscheinlichkeit viel größer, dass sich viele Experten darauf verlassen, dass eben viele andere Experten den Text lesen... Wie gesagt, ich erinnere nur an den Crypto-GAU bei Debian. Der hat sich etwa zwei Jahre gehalten, was für Software eine verdammt lange Zeit ist. Packt man das von einer (doch eher hypothetischen) Seite an, wird ein Schuh draus: Bei Open Source hat jeder die Möglichkeit, etwa mit entsprechenden finanziellen Mitteln, die Sicherheit nachzuprüfen. Jeder kann Experten anheuern und denen den Text vorlegen und so weiter. Bei Closed Source kann man nur dem Hersteller glauben. TÜV und Konsorten haben sich ja bereits quasi selbst disqualifiziert.
hkgk schrieb: > Das hat nichts mit Optimismus, sondern mit Wahrscheinlichkeit zu tun. Dann rechne mal ordentlich. > Viele Experten sehen eben mehr Schwachstellen als eine begrenzte Anzahl > an Entwicklern einer Firma. Erster Fehler: Du nimmst voellig unbelegt an, viele Experten wuerden nach Schwachstellen suchen. Ein voellig unkontrollierter Prozess, der rein auf dem Prinzip Hoffnung beruht. Wo sollen ueberhaupt die Experten herkommen? Um kritische Fehler zu finden, die nicht gerade offensichtlich sind, reicht es nicht "mal eben" in den Code zu gucken. Da muss man sich intensiv in die Software einarbeiten und sich richtig damit beschaeftigen. Wie erklaerst du dir, dass nach deiner Theorie der kritische Fehler in ssh jahrelang nicht gefunden wurde? Der zweite Fehler ist, dass du voellig ausblendest, dass die Angreifer es bei offenem Source ebenfalls viel leichter haben. Der angebliche Vorteil ist in Wirklichkeit ein Nachteil, den der Anwender teuer bezahlt.
Was nützt dem gewissenhaften User da ein meterlanges kryptisches PW wenn der Admin keinen Plan hat und alle Türen offen sind? Sicher ist immer relativ. Früher haben die Leute ihre Reichtümer vergraben. Heute müssen wir unsere Daten im Daten-Müll verstecken. Wer nur 2 MB verschlüsselt hat nach meiner Meinung was wichtiges drin. Wenn einer 2 GB verschlüsselt macht es heute ziemlich viel Mühe was zu finden.
Wer sensible Daten unverschlüsselt auf USB-Sticks, -festplatten oder Scheibchen mit sich rumschleppt, ist unvorsichtig. Wer sensible Daten unverschlüsselt im Web ablegt, egal bei welchem auch noch so vertrauenswürdigen Anbieter, dem ist leider nicht mehr zu helfen.
xXx schrieb: > hkgk schrieb: > >> Das hat nichts mit Optimismus, sondern mit Wahrscheinlichkeit zu tun. > > Dann rechne mal ordentlich. Sehe ich genauso. Der gemeine Anwender hat von der Option Quellcode-Einsicht absolut gar nix! Das wäre genauso, als würde das Militär die Schlachtpläne offenlegen, weil doch die eigene Übermacht eh ausreicht. Wenn man mit den eigenen Vorstellungen nicht mehr weiterkommt, ist es ganz hilfreich sich reale Beispiele aus der Wirklichkeit zu suchen. Am besten solche die schon sehr lange existieren, sei es menschlich oder im weiteren Sinne evolutionär.
> Sehe ich genauso. Der gemeine Anwender hat von der Option > Quellcode-Einsicht absolut gar nix! Die Erfahrung zeigt nunmal, dass man einer Entwicklungsabteilung einer Firma, die nur soviel investiert wie nötig um das Produkt verkaufen zu können, eben nicht trauen kann. Mit der begrenzten Manpower werden viele Bugs gar nicht entdeckt, andere werden vielleicht entdeckt aber vertuscht weil kein Geld investiert wird, diese zu korrigieren. Die Manpower verschiedener und unabhängiger Experten weltweit leistet da wesentlich mehr. Sicherheit und ClosedSource passt deshalb nicht zusammen. Deshalb nutzt dem gemeinen Anwender die Option der Quellcode-Einsicht sehr wohl, auch wenn er selbst von Programmierung und Sicherheitskonzepten keine Ahnung hat. Pannen und Sicherheitslücken können und werden natürlich überall mal entstehen. Aber bei CloseedSource-Anwendungen ist die Gefahr nicht nur theoretisch größer sondern wird auch in der Praxis bestätigt.
Überzeuge einen Christen vom Islam. So wird die Diskussion sicherlich nicht erhellend. Worauf beziehst du dich? Auf M$? Haben die nicht genug Geld?! Nein, sie haben bestimmte Anforderungen an die Qualität der Software definiert und diese sicherlich auch in den Projektgruppen eingehalten. Wer es nicht schafft, fliegt raus! Man könnte nun diskutieren, warum sie die Meßlatte nicht höher ansetzen. Das amerikanische Militär ist einer der größten M$-Kunden. Sicherlich wollen die bei ihrer nur noch als klinisch bezeichenbaren Angst keinen defekten Code sehen. So, nun was passierte, sie bekamen eine extra Version von Windoof. Geht also, wenn man will.
> Worauf beziehst du dich? Auf M$? Haben die nicht genug Geld?! Sie haben genug Geld. Sie investieren aber nicht genug um ihre Produkte ausreichend sicher zu machen. Sie investieren nur soviel um ihre Produkte verkaufen zu können. So agiert jede wirtschaftlich erfolgreiche Firma. > Das amerikanische Militär ist einer der größten M$-Kunden. Sehr unwahrscheinlich, dass die M$-Produkte für lebenswichtige Systeme und Server einsetzen. Das Risiko geht noch nicht mal die Deutsche Flugsicherung ein. M$-Produkte setzt man für unwichtige Bereiche ein und wo man billige Arbeitskräfte mit schlechter Bildung beschäftigt (passend für viele Bereiche beim Militär). Die haben dann vielleicht auch ein Windows privat zu Hause und können zumindest die wichtigsten Funktionen von Oje benutzen und müssen nicht erschrecken weil bei kmail (stelvertretend zu jeder anderen Software) der Senden-Button an einer etwas anderen Stelle ist.
Na dann sind wir doch einer Meinung. Schlicht der Kunde pocht nicht auf bessere Software über irgendeinen Hebel. Meist Geld. Er bekommt also das was er verdient. Die Sicherheit beginnt bei jedem kleinen Furz-Soldaten. Von daher ist es kein Argument, eine abgestufte Softwarequalität zu verwenden. Was ist denn Oje? Aber es geht weiter! Schau dir das mittlerweile per Ads, Flash, usw. zugemüllte Internet an. Ciao.
madix schrieb: > M$-Produkte setzt man für unwichtige Bereiche ein und > wo man billige Arbeitskräfte mit schlechter Bildung beschäftigt (passend > für viele Bereiche beim Militär). Das ist faktisch einfach nur falsch. Deine ganzen Beitraege sind blosse Mutmassungen. Ich habe schon einige Jahre sowohl im Militaerbereich als auch im Bankenumfeld hinter mir und in beiden Bereichen kommt es sehr wohl auf hohe Qualitaet und Zuverlaessigkeit an. Und beides ist mit Microsoft-Produkten problemlos einzuhalten. Aber das wird ein Hobby-Linux-User fuer den Microsoft boese ist weil sein Papa und sein Kumpel sich mal einen Virus eingefangen haben, nie verstehen. Ich persoenlich benutze kein Windows, fuer mich ist das reine Geschmackssache. Nur interessiert das in diesen Branchen Niemanden, da interessiert einzig und alleine, wie das Ziel erreicht wird.
> Na dann sind wir doch einer Meinung. Schlicht der Kunde pocht nicht auf > bessere Software über irgendeinen Hebel. Meist Geld. > Er bekommt also das was er verdient. ACK, ändert aber nichts am Problem. Dann ist er, der Kunde, aber auch selber schuld wenn er Probleme deswegen bekommt und sollte sie auch selber ausbaden müssen. > Die Sicherheit beginnt bei jedem kleinen Furz-Soldaten. Der ist Kanonenfutter und kann ersetzt werden. > Was ist denn Oje? Die Glanzleistung, die M$ "Outlook Express (OE)" nennt und deren Nachfolgeversionen sollte auch einem Nicht-Windows-User ein Begriff sein. Besonders wenn er meint, eine Aussage über die Qualität von M$-Software machen zu können. http://de.wikipedia.org/wiki/Outlook_Express Seis drum Ciao
@xXx Mit plumper Polemik und einfallslosem Getrolle kommst du hier nicht weiter und ich bin sicher, auch du weißt genau warum Microsoft in den von dir geschilderten Bereichen eingesetzt wird. Ganz sicher nicht aufgrund der Qualität.
> Ich habe schon einige Jahre sowohl im Militaerbereich als > auch im Bankenumfeld hinter mir und in beiden Bereichen kommt es sehr > wohl auf hohe Qualitaet und Zuverlaessigkeit an. Bei den kleinen Bankangestellten im Schalterraum kommt Windows vielleicht vor, weil man glaubt, damit die Schulungskosten der Angestellten zu reduzieren, weil genug Schmiergelder geflossen sind, weil die Entscheidungsträger von nichts eine Ahnung haben oder sich von Werbung verarschen lassen. Aber glaube mir. Im Serverbereich wo es auf Zuverlässigkeit ankommt, kann sich keine Bank Windows leisten. Dass man Win2000Server jede Nacht neu booten muss, damit es stabil läuft, wäre da nicht das größte Problem.
madix schrieb: >> Na dann sind wir doch einer Meinung. Schlicht der Kunde pocht nicht auf >> bessere Software über irgendeinen Hebel. Meist Geld. >> Er bekommt also das was er verdient. > > ACK, ändert aber nichts am Problem. > Dann ist er, der Kunde, aber auch selber schuld wenn er Probleme > deswegen bekommt und sollte sie auch selber ausbaden müssen. > Könnte man drüber nachdenken. Computer sind eh die größten Zeitvernichtungsmaschinen. >> Die Sicherheit beginnt bei jedem kleinen Furz-Soldaten. > > Der ist Kanonenfutter und kann ersetzt werden. Mitnichten! Kriege werden über das Ausbleiben des Nachschubs entschieden!! Warst du nicht beim Bund? Kennst deine Überlebensstatistik wohl auch nicht? > >> Was ist denn Oje? > > Die Glanzleistung, die M$ "Outlook Express (OE)" nennt und deren > Nachfolgeversionen sollte auch einem Nicht-Windows-User ein Begriff > sein. Besonders wenn er meint, eine Aussage über die Qualität von > M$-Software machen zu können. > http://de.wikipedia.org/wiki/Outlook_Express > Benutzt meine Frau immernoch gerne. Besser als Thunderbird allemal, wenn man nicht zuviele emails hat.
Abdul K. schrieb: > Besser als Thunderbird allemal, wenn > man nicht zuviele emails hat. Ich sag nur winmail.dat
Luk4s K. schrieb: > Ich sag nur winmail.dat Hat mit Outlook Expreß nix zu tun, sondern mit Outlook (OE != Outlook). Und ist auch da nur eine Frage der richtigen Einstellungen (durch den User).
Icke ®. schrieb: > Hat mit Outlook Expreß nix zu tun, sondern mit Outlook Ich hab' mal meine Emails durchsucht. Die einzige winmail.dat kommt von 'nem Outlook. Das Problem scheint in der tat Outlook-spezifisch zu sein. Recherchen bestätigten dies. Icke ®. schrieb: > Und ist auch da nur eine Frage der richtigen Einstellungen Warum sollte ein nicht sonderlich versierter Nutzer von dieser Einstellung wissen? Abdul K. schrieb: > Klär mich mal auf. Outlook (bis XP) hat in der Standardeinstellung die schlechte Angewohnheit, alle Anhänge in eine 'winmail.dat' einzupacken, welche nur Outlook ohne weiteres öffnen kann. Bei anderen Email-Programmen muss man sich dann Programmen wie fentun http://www.fentun.com/ oder so bedienen. Abdul K. schrieb: > Wieso kennt ein Jungspund überhaupt noch OE? Liegt XP bei und es gibt ja https://addons.mozilla.org/de/thunderbird/addon/display-mail-user-agent/ ;)
Luk4s K. schrieb: > Outlook (bis XP) hat in der Standardeinstellung die schlechte > Angewohnheit, alle Anhänge in eine 'winmail.dat' einzupacken, welche nur > Outlook ohne weiteres öffnen kann. Die winmail.dat kommt nur zustande, wenn Word statt des internen Maileditors zum Schreiben benutzt UND Rich-Text als Format eingestellt wird. Das ist aber nicht die Standardeinstellung, sondern muß vom User bzw. evtl. vorhandenen GPOs explizit so festgelegt werden.
Ich konnte das Verhalten bislang nicht beobachten. Anhänge kann man einfach genauso wie mails irgendwohin speichern.
Bitte melde dich an um einen Beitrag zu schreiben. Anmeldung ist kostenlos und dauert nur eine Minute.
Bestehender Account
Schon ein Account bei Google/GoogleMail? Keine Anmeldung erforderlich!
Mit Google-Account einloggen
Mit Google-Account einloggen
Noch kein Account? Hier anmelden.