E-Mail: Abruf sicher in fremden WLAN?

Ingo schrieb:
> Hintergrund: Wenn über das WLAN eines gemieteten Ferienhaus E-Mails via
> Notebook abgerufen werden, ist dann Thunderbird oder ein Webinterface
> (web.de) sicherer?

JA, eigentlich schon.  Wenn du die Übertragung über eine Sichere 
Verbindung machst. SSL ist hier das Zauberwort.

Aber 100 % sicher ist grundsätzlich nix.

Da deine Email - Passwort genau so wichtig ist, wie der Zugang zu deinen 
Bankkonto würde ich es trotzdem nicht machen.  Lieber zahle ich ein paar 
Euro für den Datentraffic und mache es über das Handy-Netz.

Wenn ich größere Mengen an Daten verarbeiten muss, würde ich das über 
ein VPN Routen der bei mir zu Hause steht. Was dann bedeutet würde 
Doppelte Verschlüsselung. Und der "Mann-in-the-Middle" kann mithören.

Das ist mit etwas Aufwand sogar bei SSL-Verschlüsselungen möglich. ;)

Wenn du im Maklclient SSL/TLS aktiviert hast, sollte es sicher sein und 
der WLAN-Betreiber sieht nur noch die DNS-Anfrage und teile des 
Verbindungsaufbau.

Je nachdem wie gut Thunderbird die Zertifikate prüft kann eine gezielte 
MITM-Attacke aber funktionieren.

In dem Fall ist ein vertrauenswürdiges VPN hilfreich. Die Fritzboxen 
können das z. B. oder du kommandierst einen Raspberry Pi zum 
Wireguard-Server ab. Funktioniert auch mit dem Zero verdammt gut. Ist 
dann halt jeweils nur so schnell wie dein Upload minus Overhead.

(prx) A. K. schrieb:
> Chris R. (ohne login) schrieb:
>> und der WLAN-Betreiber sieht nur noch die DNS-Anfrage
>
> Auch das muss nicht mehr sein, in Zeiten von DNS über verschlüsseltes
> Protokoll.
>
> Man hat in den gängigsten Varianten dann zwar Cloudflare oder Google mit
> im Boot, nicht aber neugierigen Junior des Vermieters.

Wenn der WLAN-Betreiber fit ist, unterbindet er einfach bestimmte 
Verschlüsselungen. Erkennt er DNS-over-TLS und blockiert diese, wird der 
Browser oder Client meist auf normales DNS zurückfallen, da es für alle 
Nutzer gedacht ist. Profis müssen dann in den Tweaks rumeditieren und 
das beheben. Ebenso bei IMAP und POP3. Flasch konfigurierter Client 
ermöglicht Klartextverbindungen.

(prx) A. K. schrieb:
> Das WLAN war normal verschlüsselt, aber
> es war das Netz des Vermieters, nicht davon getrennt. Dessen privater
> Drucker tauchte automatisch in meinem Notebook auf.

VORSICHT im Hotel. Da kann kostenpflichtige Absicht sein.

Ich war mal in einen Hotel wo in den WLAN-Bedingungen stand da die 
Nutzung des Druckers 50 Cent pro Seite kostet, bei den Ausdruck von 
Fotos 1 Euro.

Meinen Drucker ist der Zugang zum Netzwerk aus Kostengründen gesperrt. 
Ich will keinen heimlichen Firmware-Updates. ;). Ich habe extra eine 
Gruppe in der FB eingerichtet die 0 Online-Zeit bekommt. ;)

> POP3/IMAP über TLS ist ebenfalls sicher, wenn...

Problem ist halt, diese Protokolle stammen noch aus einer Zeit, als man 
sich über Man in the middle Angriffe keine Gedanken machen musste.

Gibt inzwischen zwar Lösungen, die so sicher wie Https sind. Aber du 
musst selbst kontrollieren, ob Client und Server die sicheren 
Erweiterungen wirklich benutzen.

Wenn jemand einen Fehler im Https eines der 3 verbliebenen Brower 
findet, geht es sofort durch alle Medien, wird sofort gefixt. Wenn 
jemand einen Fehler im TLS des Thunderbird findet, der sich nur bei 
wenigen IMAP Servern auswirkt - das interessiert niemanden. Davon 
erfährst du nichts.

Hmmm... Protokolle in der Mehrzahl sind das Problem.

Wenn du es deinem Client nicht explizit verbietet, können sich Client 
und Server auf prähistorisches POP3 ohne Verschlüsselung und 
Serverauthentifizierung einigen. Oder auf ein Protokoll, was schon seit 
20 Jahren als unsicher gilt.

Und das nächste Problem. Da sammeln sich alte Protokolle an, deren 
Implementierungen niemand mehr pflegt. Selbst wenn eine der 
Verschlüsselungen einwandfrei implementiert ist - Client und Server 
können sich auf alten Schrott einigen.

Marc G. schrieb:
> darauf achten dass das WLAN verschlüsselt ist

Muss nicht sein. Solange https/SSL/TLS benutzt wird, ist das auch in 
offenen WLAN ausreichend sicher geschützt*.

*Vor Mithörern auf der WLAN-Strecke.

Der Opa aus der Muppet Show schrieb:
> Wenn jemand einen Fehler im TLS des Thunderbird findet, der sich nur bei
> wenigen IMAP Servern auswirkt - das interessiert niemanden. Davon
> erfährst du nichts.

Unter der Haube verwenden (fast?) alle eine der gängigen 
SSL/TLS-Implementationen, da muss man sich schon Mühe geben, um es zu 
verbocken.

Das grösste Problem ist der User. Gerade in öffentlichen WLANs sollte 
man sich Warnmeldungen zum Zertifikat sehr genau durchlesen und im 
Zweifelsfall ablehnen.

Einstellungen wie "SSL/TLS, wenn möglich" darf man natürlich keinesfalls 
aktivieren.

> da muss man sich schon Mühe geben, um es zu verbocken.

Leider erlauben die SSL/TLS Standards ein Dutzend Key exchange 
Algorithmen. Ein Dutzend Verschlüsselungen und ein halbes Dutzend Hash 
Algorithmen.

Wer hat da noch einen Überblick, welche Kombinationen von Algorithmen 
und Implementierungen zur Zeit als sicher gelten? Und wer kann noch 
beurteilen, ob Thunderbird alle relevanten Sicherheitspatches aller 
verwendeten Libraries übernommen hat?

Ingo schrieb:
> Wenn über das WLAN eines gemieteten Ferienhaus E-Mails via
> Notebook abgerufen werden, ist dann Thunderbird oder ein Webinterface
> (web.de) sicherer?

Egal, wenn der Vermieter geschickt Mini-Kameras installiert hat, die bei 
Dir quasi über die Schulter mitlesen.

Ich dachte, VPN und verschlüsseltes Webmail über ein aktuelles Browser 
würden in so einer Konstellation ausreichen. Tuen sie meiner Meinung 
nach auch.

> wo der WLAN Zugang nicht verschlüsselt war...

hat jeder ahnungslose Depp sein POP3-Passwort im Klartext
im Paket gehabt. Damit haette man damals dann auch per
SMTP Emails in seinem Namen verschicken koennen.

Private DNS finde ich auch nur gut, wenn ich selber einen
DNS-Proxy betreiben kann, der seine Anfragen ganz normal
auf Port 53 empfaengt, und dann die DNS-Query bearbeitet
und ggfs. die Daten per https besorgt.

"Eingebautes" Private DNS hilft nur den Werbe- und Schnueffelfirmen
wie Google, Apple, ....

> Erkennt er DNS-over-TLS und blockiert diese

Dazu muesste er "HTTPS-Tossing" betreiben.

Also https-Verbindungen aufbrechen und mit einem passend
gefaelschten Zertifikat on the fly neu signieren.
Und das kann man natuerlich feststellen.
Damit waere dieser Hotelbetreiber umgehend ein Fall fuer
die Staatsanwaltschaft.

Geruechteweise ist ein "Wildcard-Zertifikat" einer Root-CA
mal "entfleucht". Wenn das verbreitet wuerde, waere das das
Ende von https.