Dieses Blog zieht um!

undzwar endlich auf meinen eigenen Webspace mit eigener Domain und SSL-Zertifikat.

https://ctrnx.de

Mein Garten

Mein Garten ist schön. Mein Garten ist gemütlich. Mein Garten ist nicht dein Garten. Mein Garten ist ein Walled Garden.

Dieser Ausdruck wird häufig verwendet, um eine sehr verbreitete Unternehmensstrategie in der Technologiebranche zu umschreiben: Meine Produkte sind auf Prozesse angewiesen, die unter meiner Kontrolle stehen. Dies bezieht sich auf mindestens einen dieser Punkte: Software, Hardware, Dateiformate und Protokolle.

Software

Die Betriebssysteme und digitalen Marktplätze können entscheiden welche Programme und Inhalte ich nutzen und beziehen kann. Noch tiefer im System ist heutzutage sogar das UEFI – ein Ersatz für das angestaubte BIOS – teilweise in der Lage zu kontrollieren, welche Betriebssysteme ich installieren kann.

Hardware

Durch herstellerspezifische Anschlüsse wird sichergestellt, dass ich nur bestimmte, zertifizierte Geräte anschließen kann oder teure Adapter kaufen muss. Einige Geräte detektieren Ersatzteile (etwa Akkus oder Tinte) von Drittherstellern und verweigern die reibungslose Zusammenarbeit: Stromsparfunktionen werden abgeschaltet oder übermäßig Tinte verbraucht.

Dateiformate und Protokolle

Undokumentierte Dateiformate und Protokolle zwingen die Benutzung von bestimmter Software. Patentierte Dateiformate im Multimedia-Bereich erfordern eine Lizenzierung für die Implementierung in Hard- oder Software.

Kontrolle

In kontrollierten Umgebungen ist das Geschäftsmodell für Firmen deutlich klarer, als in einem offenen Ökosystem: Die Kunden sind auf dich angewiesen und müssen deine Produkte kaufen. Das Unternehmen muss sich auch nicht so viel um die Dokumentation kümmern. Es ist ja sowieso besser, wenn kein einzelner Mitarbeiter Wissen über das gesamte Produkt hat.

Weiterhin kann die reibungslose Funktion durch Tests und Zertifizierung sichergestellt werden. Sicherheit gegen Angriffe wird häufig als Argument gebracht – es wisse ja schließlich niemand, wie die Systeme intern arbeiten. Leider ist dieses Argument zahnlos: gerade verbreitete proprietäre Produkte sind das Ziel von Angriffen.

Für Software kann die Konsistenz von Aussehen und Benutzerführung erzwungen werden. Erfüllt ein Programm oder ein Inhalt die Anforderungen an Design oder Moralvorstellung nicht, ist dies einfach nicht verfügbar oder nutzbar. Bedauerlicherweise geht die Konsistenz verloren sobald man mit anderen Systemen interagieren muss.

Offenheit

Offene Software zeichnet sich durch den freigelegten Quellcode aus. So kann ein Experte die geforderte Funktionalität und Kompatibilität überprüfen, Fehler beheben und ungewollte Funktionen entfernen. Viele Endkunden wollen den Quellcode gar nicht sehen, doch das müssen sie auch nicht. Offen dokumentierte Hardware und Dateiformate bzw. Protokolle können von verschiedenen Implementierungen umgesetzt werden, die sich dann besser in ihre spezielle Zielumgebung einbetten.

Durch die freie Verfügbarkeit und Dokumentation (notfalls auch Quellcode) kann Konkurrenz die Innovationen fördern. Außerdem ist so sichergestellt, dass die Dateiformate auch in Zukunft noch lesbar und verwendbar sind – auch wenn der ursprüngliche Hersteller nicht mehr existiert oder das Produkt eingestellt hat.

Weiche Faktoren

Oft vergessen werden die weichen Faktoren: Ein geschlossenes System lässt die Nutzer nicht hinter die Mauern sehen. Bei Fragen und Empfehlungen kann ein Nutzer nur Information zu „seiner“ Plattform geben. Andererseits ist gleichzeitig ein Außenstehender nicht in der Lage in den Garten zu schauen. So ist ein Vendor Lock-In immer auch ein Lock-Out.

Freiheit?

Ich bin ein Befürworter offen dokumentierter Produkte und frei verfügbaren Quellcodes. Ich versuche Lösungen zu finden, die auf verschiedenen Plattformen lauffähig sind. Unglücklicherwiese ist das nie so gut umsetzbar, wie man das haben will. Den Effekt des Lock-Outs habe ich erst in den letzten paar Jahren richtig zu spüren bekommen – sowohl bei mir, als auch im Gespräch mit anderen Menschen. Wirklich frei ist so leider niemand. Wenn ihr mit Leuten aus anderen Ökosystemen redet, achtet mal darauf. Ihr werdet euch wundern wie gestört die Wahrnehmung ist. Jedem seine Blase!

Aufnahmen kluger Leute

Nicht nur die Konferenzen mit dem Label TED sind sehr interessant. Auch in Deutschland finden spannende Konferenzen statt.

Vor einem Monat war die re:publica 12 in Berlin. Sie ist so etwas wie die Internetkonferenz in Deutschand. Es geht um das Netz, Blogs, die digitale Gesellschaft und was das alles mit dem sogenannten real life zu tun hat. Mittlerweile sind viele Videoaufzeichnungen der Vorträge und Gesprächsrunden online. Schaut mal vorbei, ob es euch auch so interessiert, wie mich. Ein paar Beispiele, worum es geht:

• Eben Moglen: Why Freedom of Thought Requires Free Media and Why Free Media Require Free Technology
• Michael Seemann: Infrastruktur und Kontrolle
• Dr. Till Kreutzer: Urheberrecht 2037 – Eine Vision

Zu finden sind diese Vorträge im Video-Archiv der re:publica.

Was zum … ?

WTF? Fork you! Erst denken, dann sprechen!

Passwörter

Wenn man so etwas liest, will man doch alle betroffenen einfach nur erschießen, oder?

Dabei gibt es doch so geniale Dinge wie Kennwortverwaltung oder Kennwortgeneratoren. Mein derzeitiges Lieblingstool: pwgen für die Linux-Konsole.

»Kennwortstärke«, ein Comic von xkcd.com, Lizenz: CC-By-NC 2.5

Melde! Mail-de? De-Mail?? Dement!!

Falls ihr noch nicht von De-Mail gehört habt: Es gibt einen Vorschlag, die Kommunikation mit Behörden zu vereinfachen. Statt Briefe mit rechtsgültigen Unterschriften, soll man in Zukunft auch De-Mails schicken können. Die ersten Anbieter haben nun ihre Zulassung bekommen.

Mein Aufruf an alle: Nicht nutzen!

Das System verspricht Vertraulichkeit, die aber technisch nicht durchgehend gewährleistetet ist. Mag sein, dass es praktischer ist als Briefe, aber die Kosten sind meiner Meinung nach nicht gerechtfertigt.

Und wieder fragt man sich: Wenn eine neue Technik beworben wird, warum wird immer gesagt, es sei besser als nichts? Warum tritt es nicht gegen die beste verfügbare Technologie an?

Digitale Briefumschläge

Der eine oder die andere von euch wird sich sicher schon einmal gefragt haben, warum man heutzutage, wo doch das Internet alles vereinfacht, immer noch das eine oder andere persönlich machen muss. Im besten Fall „genügt“ eine Unterschrift, die per Post verschickt wird.

In E-Mails sieht man eher selten Unterschriften, sie haben dann meist eher schmückenden Charakter. Hat auch seine guten Gründe: Digitale Daten sind zu leicht kopierbar und manipulierbar. Gleichzeitig haben E-Mails den Charakter von Postkarten: Der gesamte Inhalt einer E-Mail ist für jeden, der bei der Zustellung beteiligt ist, sichtbar und kopierbar. Kann seine Vorteile haben, kann seine Nachteile haben. Da ich Briefe lieber im Umschlag versende, möchte ich das bei E-Mails vielleicht auch tun.

Für beide Probleme, Manipulierbarkeit und Lesbarkeit, gibt es eine gemeinsame Lösung: Verschlüsselungs-Systeme wie OpenPGP. Einziger Haken: PGP hat keine sehr hohe Verbreitung. Dennoch möchte ich hier einmal grob skizzieren, wie dieses OpenPGP funktioniert.

Asymmetrische Verschlüsselung

Eine einfache Möglichkeit wäre ja: Einfach einen Schlüssel erzeugen, Daten (E-Mail, etc.) verschlüsseln, verschlüsseltes Paket verschicken, auf anderem Weg Schlüssel verschicken, der Empfänger schließt das Paket auf. Fertig. Haken: Der Schlüssel muss unverschlüsselt verschickt werden. Insgesamt kein Gewinn.

Dieses Problem kann umgangen werden, indem zwei zusammengehörige Schlüssel erzeugt werden. Das, was der eine verschlüsselt, kann nur vom anderen wieder geöffnet werden. Asymmetrisches Schlüsselpaar wird das genannt. Damit man die beiden auseinander halten kann, heißt der eine „privat“ und der andere „öffentlich“. Ich kann nun also ein solches Schlüsselpaar erzeugen und der private Schlüssel ist mein Geheimnis, den bekommt niemand. Der öffentliche Schlüssel ist kein Geheimnis, im Gegenteil: Jeder sollte meinen öffentlichen Schlüssel kennen, oder zumindest in Erfahrung bringen können. Diesen Verbreitungsdienst übernehmen sogenannte Schlüsselserver.

Briefumschläge

Jeder, der mir eine verschlüsselte E-Mail schicken möchte, verschlüsselt sie mit meinem öffentlichen Schlüssel. Dann kann nur ich sie öffnen, da nur mein privater Schlüssel das kann. Genau hier kommt der oben genannte Haken ins Spiel: Man kann nur verschlüsselte E-Mails an Menschen verschicken, die ein Schlüsselpaar haben.

Unterschriften

Ich kann auch E-Mails, die ich verschicke mit meinem privaten Schlüssel „unterschreiben“. Jeder, der so eine signierte E-Mail bekommt, kann mit der Unterschrift und meinem öffentlichen Schlüssel überprüfen, dass nur ich die Nachricht verschickt haben kann und dass die Nachricht auf dem Weg nicht verändert wurde. Wieder der Haken: Leute, die nicht wissen, was diese Signatur (Ein Textdatei-Anhang an die E-Mail) ist, haben davon keinen Vorteil.

Vertrauen ist gut …

Wie kann ich nun einem öffentlichen Schlüssel vertrauen? Ganz einfach: Ich überprüfe den „Fingerabdruck“ des Schlüsselpaars. Wenn du meinem Schlüssel trauen möchtest, reicht es, dass wir uns zusammensetzen und ich dir meine Schlüssel-Identifikations-Nummer, auch Fingerabdruck genannt, persönlich gebe. Dann weißt du, dass ich im Besitz des zugehörigen privaten Schlüssels bin. Das kann man auch per Telefon machen, also irgend ein „sicherer“ Kanal, wo die Identität des Besitzers festgestellt werden kann.

Dieses Vertrauen kann man auch gleich öffentlich aussprechen: Ich kann mit meinem privaten Schlüssel deinen Fingerabdruck signieren und ihn wieder auf einen Schlüsselserver hochladen. Dieses nennt man signieren von Schlüsseln. Dem kann man noch einen von insgesamt fünf verschiedenen Vertrauensgraden hinzufügen. Auf den Schlüsselservern wird dann ein Vertrauensnetzwerk sichtbar. Ich traue allen Schlüsseln, denen meine Freunde auch trauen.

Ja, aber:

klingt zwar alles schön und gut, das kann doch aber niemand bedienen! Falsch. Es gibt sehr einfache Werkzeuge, die einem die Arbeit abnehmen. Das Komplizierteste ist, das Prinzip zu verstehen. Ich selbst benutze Enigmail, eine Erweiterung für Thunderbird, zusammen mit dem GNU Privacy Guard (GPG). Für andere E-Mail-Programme gibt es bestimmt ähnliche Möglichkeiten, wenn sie nicht direkt eingebaut sind.

So weit ich das überblicke, funktioniert das alles nicht für Webmail-Dienste. Also wenn man nur per Browser seine E-Mails verwaltet. Dort müsste man dem E-Mail-Provider den eigenen privaten Schlüssel geben, damit man die Nachrichten ansehen kann. Korrigiert mich, wenn ich nicht auf dem neusten Stand bin.

Ist doch alles viel zu paranoid, wird der eine oder andere anmerken wollen. Warum verschicke ich denn dann Briefe überhaupt eigenhändig unterschrieben und im Umschlag?