• Published:
  • Updated:
  • Written by:

Tutorials

Wer sich die Entwicklung der digitalen Infrastruktur mit offenen Augen anschaut, landet zwangsläufig bei einem Bild, das mit Freiheit nur noch dekorativ zu tun hat: individuelle CO2-Budgets1, zentral gesteuerte Digitalwährungen der Zentralbanken, CBDC2, ein ausufernder Überwachungskapitalismus, der jede Regung des Alltags in Daten verwandelt,3 flächige Erfassung biometrischer Merkmale,4 und inzwischen ganz offiziell diskutierte Szenarien zur Auswertung von Gehirnaktivität am Arbeitsplatz in Echtzeit.5 In diesem Umfeld ist der Betrieb gehärteter Systeme in eigener Verantwortung, sei es im Unternehmen, im eigenen Heim oder in einer kleinen Organisation, für mich kein Hobby, sondern die naheliegende Form digitaler Notwehr, Ausdruck von Autonomie und ein Minimum an Selbstschutz, soweit dies unter den Bedingungen einer immer dichter gespannten Überwachungsarchitektur überhaupt noch erreichbar bleibt.

Zur intellektuellen Redlichkeit gehört dabei der klare Hinweis, dass weder Debian noch irgendein anderes FOSS-Betriebssystem6 von sich aus Sicherheit erzeugen. Die klassischen Schutzziele der Informationssicherheit, also Vertraulichkeit, Integrität und Authentizität beziehungsweise, je nach Schule, Verfügbarkeit, gegebenenfalls ergänzt um Nichtabstreitbarkeit und weitere moderne Zielsetzungen, lassen sich nur im Lichte eines konkreten Bedrohungsmodells sinnvoll bewerten.7 Entscheidend ist, wer mit welchen Mitteln angreifen könnte und welche Schäden ich zu tolerieren bereit bin. Endlose Distro Glaubenskriege interessieren mich in diesem Rahmen nicht; ich dokumentiere, was ich selbst produktiv einsetze und verantworten kann, und verzichte bewusst auf missionarische Anwandlungen.

Irgendeinen Tod muss man sterben.

Wer die Schutzziele der IT Sicherheit einem grösseren, technisch interessierten Publikum vermitteln will, fährt mit soliden, gut gepflegten Distributionen besser als mit exotischen Spezialvarianten, die zwar theoretisch reizvoll sind, in der betrieblichen Realität aber praktisch nicht vorkommen. Die hier vorgestellten und laufend weiterentwickelten Standards und Werkzeuge sollen zeigen, dass sich auch umfangreiche Infrastrukturen mit vertretbarem Aufwand gegen das alltägliche Grundrauschen aus automatisierten Angriffen absichern lassen und dass sich durch konsequenten Einsatz lizenzfreier Software einerseits Kosten senken und andererseits die oft uebermässige Abhängigkeit von in der Regel US amerikanischen Anbietern spürbar reduzieren oder im Einzelfall ganz auflösen lässt. Ein angenehmer Nebeneffekt besteht darin, das Risiko von Datenlecks bei Drittanbietern zu verringern, deren Systeme ich weder kontrolliere noch überhaupt auch nur ansatzweise auditieren kann, für deren Versagen ich nach EU Recht aber voll hafte.

Alle von mir gepflegten Repositories liegen auf der von mir betriebenen Gitea-Instanz8 und stehen dort zum Download bereit. Scripte, die in diesem Rahmen bereitgestellt werden, verfügen über ein eigenes Self Check Modul, prüfen mittels kryptographischer Signaturen ihre eigene Integrität sowie allfällig nachzuladende Komponenten und brechen bei jeder Fehlermeldung, bei nicht gesetzten Variablen oder beim Versuch, vorhandene Dateien zu überschreiben, kompromisslos ab. Fehler werden nicht kosmetisch überpinselt, sondern führen zu einem klar definierten Abbruchzustand.

Die Signierung der Repositories erfolgt konsequent mit meinem OpenPGP Schlüssel, die Domain coresecret.dev ist DNSSEC9 signiert. Das TLS Zertifikat des europäischen Anbieters ZeroSSL wird über TLSA-Resource-Records10 direkt an die DNS Zone gebunden, CAA-Resource-Records11 akzeptieren ausschliesslich diesen Zertifikatsaussteller. Die vier redundant ausgelegten autoritativen Nameserver, verteilt auf zwei autonome Systeme12, mehrere Standorte innerhalb der EU und zwei TLDs, stehen vollständig unter meiner Kontrolle. Der private Schlüssel zum Signieren der Repositories liegt in einem Hardware Sicherheitsmodul13 von Nitrokey14, das Signiersystem selbst arbeitet konsequent air-gapped15. Mir ist bewusst, dass ein hinreichend mächtiger und entschlossener Akteur auch diese Barrieren prinzipiell überwinden kann; Ziel der Architektur ist eine drastische Reduktion der Angriffsfläche und die Minimierung vermeidbarer Risiken, nicht das Versprechen absoluter Unverwundbarkeit.

Zu den Tutorials

Schlüsselmaterial coresecret.dev

msw@coresecret.dev
OpenPGP Keyserver

Fingerprints:

msw@coresecret.dev ed25519
87FC 20A0 8369 4AFF B833 011B 8402 9991 E62E 84F8

msw@coresecret.dev RSA4096
0373 A17D E80D A01B FC15 D557 612F 1CF5 A274 D344

msw+bot@coresecret.dev ed25519
AA62 73CC 34A1 B3EB D69F C870 3CE4 A638 8733 B021

msw+bot@coresecret.dev RSA4096
81D5 32E6 4CB2 62F2 73A6 D727 38D1 3E85 BB40 036B

  1. HÄRING, Norbert, 2023. Individuelle CO2-Budgets als Herrschaftsinstrument – Geld und mehr. [online]. 23 Januar 2023. [Zugriff am: 11 Juni 2024]. Verfügbar unter: https://norberthaering.de/macht-kontrolle/co2-budget-schellnhuber/ ↩︎
  2. HÄRING, Norbert, 2023. Ihre neue, bessere, digitale Währung wird Ihnen präsentiert vom: Weltwirtschaftsforum! (ob Sie wollen oder nicht) – Geld und mehr. [online]. 1 Mai 2023. [Zugriff am: 11 Juni 2024]. Verfügbar unter: https://norberthaering.de/geldsystem/wef-iwf-cbdc/ ↩︎
  3. Die Anzahl der Gesetze, Verordnungen, Richtlinien, Durchführungsverordnungen und dergleichen sind Legion. Bspw. versuchte netzpolitik.org im jahr 2018 eine Übersicht zur Verfügung zu stellen: MÜHLENMEIER, Lennart, 2018. Wie man in 69 Jahren einen Überwachungsstaat aufbaut. netzpolitik.org [online]. 24 September 2018. [Zugriff am: 11 Juni 2024]. Verfügbar unter: https://netzpolitik.org/2018/wie-man-in-69-jahren-einen-ueberwachungsstaat-aufbaut/ Zur Überachung durch private Unternehmen: MONROY, Matthias, 2020. Rasterfahndung: Europol nutzt Palantir. netzpolitik.org [online]. 11 Juni 2020. [Zugriff am: 21 August 2023]. Verfügbar unter: https://netzpolitik.org/2020/europol-nutzt-palantir/ Eine Studie aus dem Jahr 2021 wird ebenfalls durch netzpolitik.org besprochen: KULBATZKI, Josefine, 2021. Studie: Das Ausmaß der Überwachung ist belegt. netzpolitik.org [online]. 7 März 2021. [Zugriff am: 11 Juni 2024]. Verfügbar unter: https://netzpolitik.org/2021/studie-das-ausmass-der-ueberwachung-ist-belegt/ ↩︎
  4. MEINECK, Sebastian, 2024. Lücken der KI-Verordnung: Ampel will Verbot biometrischer Echtzeit-Überwachung. netzpolitik.org [online]. 9 Februar 2024. [Zugriff am: 11 Juni 2024]. Verfügbar unter: https://netzpolitik.org/2024/luecken-der-ki-verordnung-ampel-will-verbot-biometrischer-echtzeit-ueberwachung/ ↩︎
  5. Ready for Brain Transparency?, 2023. World Economic Forum [online]. [Zugriff am: 11 Juni 2024]. Verfügbar unter: https://www.weforum.org/events/world-economic-forum-annual-meeting-2023/sessions/ready-for-brain-transparency/ ↩︎
  6. https://de.wikipedia.org/wiki/Free/Libre_Open_Source_Software ↩︎
  7. https://en.wikipedia.org/wiki/Information_security#Key_concepts ↩︎
  8. https://git.coresecret.dev/msw/ ↩︎
  9. https://dnsviz.net/d/coresecret.dev/dnssec/ ↩︎
  10. https://de.wikipedia.org/wiki/DNS-based_Authentication_of_Named_Entities vgl. ebenso: DUKHOVNI, Viktor und Wes HARDAKER, 2015. RFC 7671: The DNS-Based Authentication of Named Entities (DANE) Protocol: Updates and Operational Guidance [online]. Request for Comments. Internet Engineering Task Force. [Zugriff am: 11 Juni 2024]. Verfügbar unter: https://datatracker.ietf.org/doc/rfc7671 ↩︎
  11. https://de.wikipedia.org/wiki/DNS_Certification_Authority_Authorization vgl. ebenso: LANDAU, Hugo, 2019. RFC 8657: Certification Authority Authorization (CAA) Record Extensions for Account URI and Automatic Certificate Management Environment (ACME) Method Binding [online]. Request for Comments. Internet Engineering Task Force. [Zugriff am: 7 Dezember 2023]. Verfügbar unter: https://datatracker.ietf.org/doc/rfc8657 ↩︎
  12. https://de.wikipedia.org/wiki/Autonomes_System ↩︎
  13. https://de.wikipedia.org/wiki/Hardware-Sicherheitsmodul ↩︎
  14. https://www.nitrokey.com/de ↩︎
  15. https://en.wikipedia.org/wiki/Air_gap_(networking) ↩︎
Search: