piwik no script img

Sicheres Chatten mit Crypto.catDer Katzenkryptograf

Nutzer haben Vieles im Netz nicht unter ihrer Kontrolle, findet Nadim Kobeissi. Deshalb hat er einen verschlüsselten Browserchat erfunden.

Die rote Katze wird gleich den bösen Lauscher besiegen. Bild: Screenshot: Crypto.cat

BERLIN taz | Die Katze ist rot, hat süße Kulleraugen und sitzt schüchtern in einer Ecke. Kaum zu glauben, dass das grob gepixelte Kuscheltier ein staats- und überwachungsfeindliches Anliegen hat: Das Projekt crypto.cat, für das die Katze symbolisch steht, macht es auch für blutige Internet-Laien und Technik-FeindInnen möglich, verschlüsselt im World Wide Web zu chatten – also ohne abgehört zu werden.

Nadim Kobeissi, der Initiator von crypto.cat, ist ein 21-jähriger kanadischer Student der Philosophie und Politikwissenschaften mit libanesischen Wurzeln. Er liebt Katzen und Kryptografie, die Wissenschaft der Verschlüsselung – Daten in Datensalat zu verwandeln und andersherum.

Einfacher geht es wirklich nicht: Man muss nichts installieren, keine komplizierten Befehle eingeben, keine Handbücher lesen. Man surft mit dem Browser auf die Website crypto.cat, tippt den gewünschten Namen des virtuellen Chat-Raums ein, ein beliebiges Pseudonym und legt los – falls jemand da ist, den man kennt und mit dem man vertraulich und in Echtzeit „schnattern“ will.

Die Technik des Katzenkryptografie-Projekts ist anspruchsvoll, und Open Source, also mit nachvollziehbarem Quellcode. Es richtet sich an Menschen, die ganz allgemein ihre Privatsphäre schützen wollen, an Mitglieder nicht-kommerzieller Organisationen, für die der Einsatz von spezieller Krypto-Software bedeutete, mit Kanonen auf Spatzen zu schießen, an JournalistInnen, die geschützt Informationen in Echtzeit austauschen wollen – im Hotel oder im Internet-Cafe, aber auch an Profis, für die Verschlüsselung digitaler Daten zum Alltag gehört.

Die Gegner der roten Pixel-Katze sind schnell ausgemacht: Die internationale Überwachungs-Lobby, aber vor allem auch die so genannten sozialen Netze wie Facebook, Google Talk oder Internet-Telefonie via Skype. Nadim Kobeissi warnt davor, dass diese Datenkraken „gigantische Massen“ von Informationen über ihre Nutzer sammelten, sich aber um den Schutz der Privatsphäre nicht kümmerten. „Vieles von dem, was ihr online macht, ist nicht wirklich unter eurer Kontrolle“, sondern gerate in die Fänge von Regierungen und Konzernen.

Immer wieder unter Terrorverdacht

Die Veröffentlichungen der Enthüllungs-Plattform Wikileaks hat Kobeissi nicht nur technisch unterstützt, sondern sogar eine Demonstration organisiert. Mit dieser Einstellung macht man sich bei Sicherheitsbehörden nicht beliebt. Doch offenbar war nicht die Demonstration denen ein Dorn im Auge, sondern vielmehr sein Projekt crypto.cat. Regelmäßig findet er die Buchstaben „SSSS“ auf seiner Bordkarte. Das bedeutet „Secondary Security Screening Selection“ und ist bei Fluggesellschaften in den USA ein Zeichen für Terrorverdacht. Für die Betroffenen bedeutet das Leibesvisitationen auf Inlandsflügen und andere Schikanen.

Nadim Kobeissi lässt sich aber davon nicht beeindrucken. In einem Interview mit dem US-Magazin Wired sagte er, man könne ihn aber nicht einschüchtern. „Meine Freunde wurden 2008 im Libanon umgebracht, mein Haus wurde zerbombt, mein Vater wurde 2008 ermordet. Wenn ihr mich ängstigen wollt, dann müsst ihr mich schon an die Folterknechte Assads in Syrien ausliefern.“

Crypto.cat ist auch ein Projekt für Internet-Nutzer in Ländern, in denen die Bevölkerung gegen die Regierung aufbegehrt und der Zugang zum Internet zensiert oder stark eingeschränkt ist und private Rechner eher die Ausnahme sind. Ohne Browser kommt man im World Wide Web aber nirgendwo hin – und mehr als einen beliebigen Browser braucht man nicht. Die Katzenkryptografie hat noch einen Vorteil: Man kann sie sogar mit einem Smartphone wie Android benutzen, obwohl Verschlüsselung und Schutz der Privatsphäre das Geschäftsmodell der Hersteller aushebeln.

Ein Projekt für Laien

Nadim Kobeissis Idee ist nicht neu: Verschlüsselten Chat gibt es schon seit Anfang der neunziger Jahre. Nur schreckte der technische Aufwand Laien ab: Wer weiß schon, mit welchem Internet-Relay-Chat-Client asymmetrische Kryptografie mit ein paar Mausklicks zu bewältigen ist oder wie man Instant-Messaging-Software dazu bringt, in Echtzeit digitales Plaudern vor Lauschern jedweder Art zu verbergen? Revolutionär ist, Krypto-Chat für den Nutzer einfach gemacht zu haben. Der Nachteil: Man muss das unter Umständen gefährliche Javascript im Browser immer noch erlauben.

Aber Kobeissi hat schon wieder eine Idee, wie er nicht nur Laien, sondern auch Geeks und Nerds glücklich machen könnte: Demnächst will er die Katzenkryptografie auch in „traditionellen“ Chat-Clients wie Jabber implementieren.

taz lesen kann jede:r

Als Genossenschaft gehören wir unseren Leser:innen. Und unser Journalismus ist nicht nur 100 % konzernfrei, sondern auch kostenfrei zugänglich. Texte, die es nicht allen recht machen und Stimmen, die man woanders nicht hört – immer aus Überzeugung und hier auf taz.de ohne Paywall. Unsere Leser:innen müssen nichts bezahlen, wissen aber, dass guter, kritischer Journalismus nicht aus dem Nichts entsteht. Dafür sind wir sehr dankbar. Damit wir auch morgen noch unseren Journalismus machen können, brauchen wir mehr Unterstützung. Unser nächstes Ziel: 40.000 – und mit Ihrer Beteiligung können wir es schaffen. Setzen Sie ein Zeichen für die taz und für die Zukunft unseres Journalismus. Mit nur 5,- Euro sind Sie dabei! Jetzt unterstützen

Mehr zum Thema

10 Kommentare

 / 
  • A
    Auge

    Es ist absolut nicht auszuschließen dass es sich bei diesem Projekt um einen Honichtopf der Amispitzeldienste handelt. Manches weist darauf hin. Macht euch mal schlau.

  • M
    mika

    Auf lwn.net gibt es einen kurzen Artikel zu cryptocat und gegen einen genügend motivierten Angreifer mit überdurchschnittlichen Ressourcen (also z.B. jeder Staat, der auch keine Probleme damit hat, zu foltern) bietet cryptcat nur dann Sicherheit, wenn die Nutzer_in fürchterlich aufpasst, sich den Fingerabdruck des ssl-Zertifikats des cryptocat-Servers auf andere, sichere weise besorgt (z.B. durch ein telefonat mit einem Menschen im nicht-zensierten ausland oder ähnliches), dieses dann auch tatsächlich überprüft und das selbe dann noch mit dem zertifikat des Chatpartners macht.

    Oder, um einen Kommentator bei lwn.net zu zitieren (https://lwn.net/Articles/508580/):

    "It seems that the software is largely encouraging a false sense of security."

     

    Ja, die Software funktioniert gegen rein passive Angreifer. Aber für Menschenrechtsaktivist_innen ist sie nicht ohne eine Schulung und rigoroses Befolgen der beigebrachten Sicherheitsmaßnahmen zu empfehlen.

    Und: Dort, wo man keinen eigenen Client (wie pidgin + OTR) installiert hat, wie z.B. in internetcafés, ist die größte Gefahr, dass der Betreiber_in einen keylogger oder eine Kamera installiert hat und jede Maßnahme, Kommunikation über solch einen Computer zu schützen, muss scheitern. (wenn man nicht per hand verschlüsselt, also z.B. codewörter oder ähnliches benutzt).

     

    Sich technisch vor Überwachung zu schützen ist nicht ohne ein paar Stunden Einarbeitungszeit getan. Deswegen müssen wir auch politisch gegen Überwachung vorgehen.

  • B
    Burks

    Tippser:

     

     

     

    “bleibt das Ganze allerdings ziemlich vage: sind ja wohl auch nur Vermutungen.”

     

    Übrigens sollte man mal genauer lesen, was crypto.cat selbst schreibt https://project.crypto.cat/about/

    (Warum Annalist “bizarrerweise” schreibt, kann man nur mit verschöwrungstheoretischer Attitude, kombiniert mit Ahnungslosigkeit erklären).

     

    Secure Accessibility

    Current Technologies: Cryptocat can be currently accessed via a web installation using any modern desktop or mobile browser, with the server code being intentionally made easy to install so that other Cryptocat web servers can be deployed by third parties. This method, while the most accessible, is not as secure as the Cryptocat browser extensions (currently available for Google Chrome) since it does not protect agains the theoretical possibility of the user being served maliciously modified code. Our conclusion is that the more local browser extensions/native apps, the better.

     

    Present Limitations: Currently, a local Cryptocat app is only available for Google Chrome. More platforms must be supported in order to increase Cryptocat’s potential for secure accessibility.

     

    Future Progress: We are currently developing a Firefox Cryptocat app, as well as native Cryptocat applications for all modern mobile devices, including iOS, Android and BlackBerry. This proliferation of native Cryptocat apps for both desktops and mobile devices will greatly increase the project’s secure accessibility.

  • H
    hmm

    otr funktioniert beim facebook chat, wenn man als client pidgin benutzt prima. alledings setzt das ja voraus, dass der gespächspartner auch pidgin/otr benutzt. im fb-chat werden die nachichten als encypted gekennzeichnet.

     

    interessant wäre eine facebook app zum verschlüsseln des chats.

  • Q
    Qbit

    Wenn schon vorhanden, dann verlinkt man auch https://crypto.cat - nicht jeder hat HTTPS Everywhere installiert und sich unverschlüsselt zu crypto.cat verbinden will man auch nicht.

  • FG
    Florian G.

    Jabber und Co.? Dafür gibts schon OTR, bzw. FiSH fürs IRC. Wäre interessant gewesen, was er da besser machen will.

  • T
    Tippser
  • T
    Techie

    Für das Jabber (XMPP) Chatprotokoll gibt es aber schon einfach zu benutzende Verschlüsselung mit dem freien Chat-Client Pidgin und dem "Off The Record" (OTR)-Plugin für Pidgin.

     

    Ich verstehe nicht, wieso es die "Katzenkrypografie" zusätzlich auch für Jabber geben soll - mehrere zueinander inkompatible Verschlüsselungen machen es für den Benutzer ja nicht gerade einfacher.

     

    Oder hat das "Katzenkrypografie" genannte Verschlüsselungssystem besondere Stärken gegenüber PGP, OTR und anderen bekannten Systemen? (Natürlich abgesehen davon, dass es im Browser-Chat funktioniert, was natürlich genial für den Einsatz auf öffentlichen Computern ist.)

  • K
    keks

    liebe taz, jabber ist kein client, sondern ein protokoll. und es gibt schon eine wunderbar funktionierende echtzeitverschlüsselung für derartige sachen, die da heisst OffTheRecord messaging (OTR) die mit dem client pidgin z.b. sehr gut funktioniert. ;)

  • HL
    Hauke Laging

    Es ist schön, wenn größere Kreise mit Kryptografie vertraut werden, aber die Darstellung der Realität ist dann doch sehr gewagt. Das ist ein nettes Projekt, aber aus vielerlei Gründen nicht die Rettung der Welt.

     

    Das Hauptargument scheint zu sein: Es ist einfach. "Einfacher geht es wirklich nicht: Man muss nichts installieren, keine komplizierten Befehle eingeben, keine Handbücher lesen."

     

    Dass man nichts installieren muss, stimmt nur eingeschränkt (für richtige Sicherheit muss man das und ist auf Chrome festgelegt). Und was soll der Rest der Äußerung, wenn das für die Alternative (s.u.) schon lange gilt? Hat Herr Schröder sich die mal angesehen?

     

    Ein Chatsystem kann nicht die Basis von IT-Sicherheit im Internetzeitalter sein, die Vorstellung ist ein Witz. Und Inkompetenz ist der größte Feind von Sicherheit, das sagt die Webseite selber:

    "Cryptocat provides strong encryption, but does not replace a strong security culture alone."

    Die Komplexität liegt eben nicht in der Software, sondern in dem Sachverhalt, den die Software bearbeitet. Ein abschreckender Einblick in das Wissen, dessen Vermeidung mehr oder weniger gefährlich ist:

    http://www.hauke-laging.de/sicherheit/openpgp.html

     

    Wer heute verschlüsselt chatten will, nutzt OTR:

    http://de.wikipedia.org/wiki/Off-the-Record_Messaging

     

    Seit Jahren verfügbar, FOSS, unterstützt (mindestens) 20 Chatprogramme und natürlich auch Jabber (XMPP). Das kann man sogar für Facebook verwenden (kein Witz, hab's ausprobiert; auch unverschlüsselt ist der Facebook-Chat mit XMPP-Clients viel besser nutzbar). Die Idee, dass sich nun alle auf einen neuen Dienst stürzen, kann ja wohl nicht so recht ernst gemeint sein. Ich empfehle dafür den IM-Multiprotokoll-Client Pidgin:

    http://www.pidgin.im/

    Die Installation von Pidgin und OTR sind trivial, die Konfiguration ist immer noch einfach.

     

    Entscheidend ist aber, dass sich als Basis eines sicheren digitalen Zusammenlebens jeder einen sicheren Schlüssel zulegt. Das kann sinnvollerweise nur ein OpenPGP- oder X.509-Schlüssel sein. Davon ausgehend kann man dann auch Chat-Schlüssel verifizieren. Umgekehrt ist das nicht praktikabel.

     

    Die taz könnte da natürlich mit gutem Beispiel vorangehen, indem sie nicht nur ihre Webseite über SSL laufen lässt (übrigens: IPv6, Respekt!), sondern für den Kontakt zu ihr auch Kryptografie-fähige E-Mail-Adressen anböte und im Webforum signierte Texte erlaubte. Ich finde es schon komisch, dass hier jeder unter jedem Namen schreiben kann. Ist das vorbildlich? Mit der Markierung (freiwillig) signierter Beiträge könnte die taz ein bisschen Werbung für diese Technik machen.

     

    -----BEGIN PGP SIGNED MESSAGE-----

    Hash: SHA256

     

    Und so könnte die Zukunft (für den taz-Webserver, nicht automatisch für die Leser der Webseite) aussehen.

    -----BEGIN PGP SIGNATURE-----

    Version: GnuPG v2.0.18 (GNU/Linux)

     

    iQFMBAEBCAA2BQJQGZahLxpodHRwOi8vd3d3LmhhdWtlLWxhZ2luZy5kZS9vcGVu

    cGdwL3BvbGljeS5odG1sAAoJEFug+LU6QDJR1QEH/jbj7w6bjmFwZcFTceVCZ9Kr

    0Ghp/N4NWQ11wiABZQSbz5bAEk0xkhPV50a76yr35AicAAKghV41AKLXT9GXXiZA

    F3KAV6vw0v2IcAC+m9l8f5bKkXyKTrXWp0QrOvsMf+ntM2IvOiMsB0UtUc6gnsHW

    nAGquSoEiHcnlTHrjljywOJlqjxoI8+4Z+Dieq6IhW0kNC9hdqxs4+Ze6rAA84r4

    h8liDjbWdjwvY4NwUizttDQW2mAK1p5rt9mNV33Mm/VGp4pLH4izW7zrQ1Xp/gv2

    QlhLH6VP4hIggrVoLW7SfyB9wy00PW9w1xw7jH0E9/Zuxm/sL6w+/HqcGB/7wzs=

    =3Kla

    -----END PGP SIGNATURE-----