E-Mail Verschlüsselung ist eine kleine Nischenanwendung und wird das auch bleiben. Nutzer sollten trotzdem in ihrem Nutzungsverhalten auf dem aktuellen Stand bleiben. Dazu gehört die Verwendung moderner Schlüsselserver und nicht die alten SKS-Schlüsselserver, die inzwischen im „Zombiestatus“ sind.

Anwender von E-Mail Verschlüsselung mit OpenPGP sind eine kleine Gemeinschaft. Irrigerweise ging ich davon aus, dass in einer so kleinen Gemeinschaft von Experten, Informationen sich schnell verbreiten und Anwender von selbst auf dem aktuellen Stand bleiben. Dem ist scheinbar nicht so. Denn kürzlich erreichte mich eine E-Mail, in der mir entrüstet vorgehalten wurde, ich hätte gar keinen öffentlich auffindbaren GPG-Schlüssel und wäre deshalb als Sicherheitsexperte disqualifiziert.

Mal abgesehen von de Tatsache, dass es gute Gründe geben kann überhaupt kein OpenPGP zu nutzen oder seinen Schlüssel nicht öffentlich irgendwo abzulegen, möchte ich das ich hier zum Anlass nehmen, um nochmal auf eine Entwicklung aus dem Jahr 2019 (!) hinzuweisen, die scheinbar an manchen vorüber gegangen ist. Das kann man niemandem vorwerfen, weil über das Thema nur kurz berichtet wurde und viele HowTos und Wikis nach wie vor einen veralteten Wissensstand wiedergeben. Nachlassende Bedeutung schlägt sich meistens auch in nachlassender Dokumentationsqualität nieder.

Wie dem auch sei: Vor mittlerweile fast 3 Jahren ist die Keyserver-Infrastruktur zusammen gebrochen und damit quasi das Herzkreislaufsystem von OpenPGP ausgefallen. Die SKS-Keyserver (das waren damals fast alle verfügbaren Schlüsselserver) waren irreparabel kaputt und sind mit Signatur-Spam in die Knie gezwungen worden. Nicht betroffen waren lediglich die Hockeypuck-Server wie z. B. der von Ubuntu betriebene Keyserver.

Anstelle aber großflächig auf die Hockeypuck-Infrastruktur zu wechseln, hat man die Chance genutzt und die PGP-Verschlüsselung einer tiefgreifenden Reform unterzogen. Der Ausfall der SKS-Server wurde hier tatsächlich als Chance genutzt, um das durch seine praktischen Umsetzungsprobleme sowieso schon angezählte Web of Trust aufzugeben und neue Keyserver (Hagrid) mit E-Mail-Verifikation aus der Taufe zu heben. Diese unterstützen zwar keine Signaturen mehr, aber sind durch die Verifikation vertrauenswürdiger als die Angaben auf den alten Servern mit ihren vielen Fake-Schlüsseln. Unterm Strich war diese Reform des Keyserver-Systems eher ein Gewinn für die Sicherheit. Zudem hat sich anstelle einer verteilten Infrastruktur ein Quasi-Standard mit keys.openpgpg.org etabliert. Angesichts der geringen Nutzungszahlen benötigt es nun wirklich keine riesige verteilte Infrastruktur mehr.

Viele SKS-Keyserver sind auch nach drei Jahren noch nicht abgeschaltet. Vermutlich, weil die (institutionellen) Betreiber längst vergessen haben, dass sie noch so einen „Zombie“ laufen haben oder die Passwörter zu den Servern mit dem zuständigen Entwickler vor 10 Jahren im brasilianischen Dschungel verloren gegangen sind. E-Mail Verschlüsselung ist schließlich so gut wie irrelevant für eine größere Zielgruppe und niemand hat heute noch ein großes Interesse dafür viel Zeit und Ressourcen bereitzustellen.

Die meisten noch aktiv entwickelten Programme haben die hinterlegten Keyserver aber auf keys.openpgp.org geändert. Verifizieren konnte ich das für Kleopatra, OpenKeychain für Android und GPGTools für macOS. Informationen zu anderen genutzten Programmen gerne in die Kommentare.

Daraus folgen vier notwendige Handlungen bzw. Schlussfolgerungen:

1. Prüft, ob ihr noch alte Konfigurationsdateien mitschleppt und ändert ggf. manuell die Keyserver
2. Hat eure verwendete Software das als Standard noch nicht umgesetzt, ist sie vermutlich tot und ihr solltet schon aus Gründen der Sicherheit auf eine aktiv gepflegte Alternative umsteigen.
3. Ladet euren öffentlichen Schlüssel auf den neuen Quasi-Standard keys.openpgp.org
4. Werft niemandem vor, er hätte keine Ahnung von Sicherheit, obwohl ihr euer Wissen seit mindestens 3 Jahren nicht auf den aktuellen Stand gebracht habt. In einem sich verändernden Umfeld muss man sich immer aktiv weiterbilden, ansonsten veralten die eigenen Kenntnisse.

Der Artikel Nutzt für OpenPGP nur moderne Schlüsselserver erschien zuerst auf [Mer]Curius

Irgendwie scheint es in der Linux-Community in Mode gekommen zu sein, bei jeder sich bietenden Gelegenheit auf Mozilla einzuprügeln. Meistens steht da nicht viel dahinter und die halb garen „Lösungsvorschläge“ der Community sind selten durchdacht. Aktuelles Beispiel DLTOKEN.

Ausgangspunkt war die Meldung auf der Seite gehacks.net über die Zuweisung eines individuellen Tokens für jeden Download. Die Ironie eines solchen Berichts auf einer Seite, die Partner und Drittanbieter in epischer Anzahl einbindet und sogar bei der Ablehnung im sogenannten „Cookie-Banner“ weiterhin Drittanbieter aufruft, lassen wir mal außen vor.

Es geht bei dem DLTOKEN um die Möglichkeit für Mozilla jeden Download zu kennzeichnen, der dann beim ersten Start des Browsers verknüpft werden kann. Mozilla möchte diese Informationen haben, da sie dadurch herausfinden können, welche Installationen aus welchen Downloads resultierten. Die reine Anzahl der Downloads sagt schließlich wenig über die Zahl der Installationen aus. Ein Problem, das auch viele andere Softwareprojekte bei der Erfolgsmessung haben.

Wünschen Anwender dies nicht, können sie es zusammen mit den restlichen Telemetriedaten nach der Installation deaktivieren. Dadurch werden auch die bereits erhobenen Daten gelöscht. Natürlich wäre es wünschenswert, wenn man die Datenerhebung bereits bei der Installation abwählen könnte und sie vielleicht sogar Opt-in und nicht Opt-out wäre. Im Grunde genommen ist das aber letztlich nichts Neues und Telemetrie schon lange bei Firefox vorhanden.

Die entsprechenden Berichte in der Community sind aber mal wieder bezeichnend realitätsfern und/oder selbstgerecht.

Selbstgerecht, wenn eine Seite wie tarnkappe.info oder BornCity das kritisiert, aber selbst Tracker auf der Seite einbindet, die im Fall ersterer Seite trotz Ablehnung im „Cookie-Banner“ aktiv bleiben oder im Fall der zweiten Seite gar kein Banner haben.

Den realitätsfernen Part erledigen dann viele Kommentatoren ohne eigene Blogs (z. B. hier und hier). Da wird wahlweise Googles Chromium als Alternative empfohlen oder proprietäre Browser wie Vivaldi oder undurchsichtige Chromium-Abkömmlinge wie Brave. Zusätzlich natürlich noch solche Projekte wie das aktuell gehypte LibreWolf (von den zig Vorgängern redet ja schon niemand mehr), die ohne die Mozilla-Entwicklungsarbeit keinen Tag überleben würden. Ein typisches Bild einer Community-Blase, in der gemeinsam gepflegte „Wahrheiten“ schon lange rationale Überlegungen ersetzt haben.

Die schöne Nachricht: Linux-Nutzer, die Firefox über die Paketquellen beziehen, sind gar nicht betroffen. Also mal wieder alles halb so wild. Firefox bleibt trotz solcher Maßnahmen die beste Grundlage für privatsphäreorientierte Anwender, weil viele wichtige Funktionen wie z. B. „Total Cookie Protection“ oder Container in anderen Browsern gar nicht existieren.

Wir können froh sein, dass es Mozilla gibt und sie uns mit Firefox die einzige wirkliche Alternative zum sich stetig ausbreitenden Chromium-Kartell bereitstellen.

Der Artikel Telemetrie bei Firefox – Sturm im Wasserglas erschien zuerst auf [Mer]Curius

Diese Nachricht ist für mich jetzt schon ein heißer Kandidat für die traurigste Nachricht im Linux-Universum für 2022. Die elementary-Gründer haben sich zerstritten, es sprechen die Anwälte und das Projekt ist ganz offenkundig nahe am Stillstand.

Die Distribution elementary und vor allem das von den Entwicklern geschaffene Ökosystem rund um die eigene Pantheon Shell habe nicht nur ich mit viel Hoffnung begleitet. Endlich ein Desktop, der UX in den Mittelpunkt stellt, dabei aber nicht ganz so dogmatisch wie GNOME vorgeht und keine Mobile-first-Strategie fährt, wo es faktisch keine mobile Nutzung gibt.

Jetzt haben sich die beiden Gründer scheinbar komplett zerstritten. Die Hintergründe lassen sich bei Linuxnews nachlesen. Momentan sieht es so aus, als ob das Tischtuch endgültig zerschnitten wäre. Weil elementary immer einen relativ niedrigen Bus-Faktor hatte und sich die meisten elemenetary-Entwicklungen nie wirklich nachhaltig jenseits der Grenzen der eigenen Distribution verankern konnten, ist das möglicherweise das Aus für Pantheon & Co.

Die Entwicklung von elementary OS 7 steht – gemessen an dem was auf GitHub passiert – still, was angesichts des nahenden Release von Ubuntu 22.04 kritisch ist, da man selbst im besten Fall (wieder mal) den Anschluss verliert. Die aktuelle Version elementary OS 6 bekommt noch ein paar kleine Wartungsupdates.

Für Anwender besteht kein akuter Handlungsdruck, da die Ubuntu-Basis noch länger unterstützt wird. Wenn aber kein Wunder passiert und sich das Projekt wieder zusammen rauft, müssen sich die Anwender nach einer Alternative umsehen. Leider bedeutet das in jede Richtung – sei es GNOME oder KDE Plasma – ein massiver Abstieg hinsichtlich der UX.

Damit endet leider auch dieses Experiment, da ein größer angelegter Wechsel mehrerer Geräte auf eine Distribution mit unklarer Perspektive absolut undenkbar ist.

Der Artikel Experiment: Das Ende von elementary OS? erschien zuerst auf [Mer]Curius

Mozilla hat mit Firefox 98.0.2 ein Update außer der Reihe für seinen Desktop-Browser veröffentlicht und behebt damit mehrere Probleme der Vorgängerversion.

Download Mozilla Firefox 98.0.2

Mit dem Update auf Firefox 98.0.2 behebt Mozilla ein Problem, welches verursachen konnte, dass Firefox auf macOS unter bestimmten Umständen nicht mehr auf Eingaben in die Adressleiste reagiert hat.

Ein Problem in Zusammenhang mit dem Sitzungsverlauf wurde behoben, welches verursachen konnte, dass manche iFrames nicht korrekt geladen worden sind.

Behoben wurde auch ein Kompatibilitätsproblem der browser.pkcs11.isModuleInstalled WebExtension-Methode unter macOS und Linux.

Außerdem wurden mehrere potentielle Absturzursachen behoben sowie ein Problem, dass eine Benachrichtigung über die Ausrollung von DNS-over-HTTPS (dies betrifft Firefox in den deutschsprachigen Regionen nicht) unter bestimmten Umständen nach der Anzeige sofort wieder verschwunden ist.

Der Beitrag Mozilla veröffentlicht Firefox 98.0.2 erschien zuerst auf soeren-hentzschel.at.

Mo, 21. März 2022, Lioh Möller

Das Asahi Linux Projekt arbeitet an einer Unterstützung der aktuellen M1 Serie des Herstellers Apple. Die nun vorliegende Alpha Version richtet sich in erster Linie an Entwickler und Power-User.

Aktuell wird eine macOS Version 12.3 oder höher vorausgesetzt, um die Installation durchführen zu können. Dabei wird eine vorhandene Betriebssystempartition verkleinert und Linux parallel dazu installiert. Als Basis dient ein modifiziertes Arch Linux ARM. Während der Installation besteht die Möglichkeit wahlweise ein System mit KDE Plasma Desktopumgebung, eine minimale Arch Linux Arm Installation oder ein UEFI Boot Environment zur späteren Installation anderer unterstützter Distributionen einzurichten.

Trotz der stetigen Weiterentwicklung werden einige Komponenten vom Projekt bisher nicht unterstützt. Dazu zählen beispielsweise Bluetooth, Thunderbolt, eine GPU-Grafikbeschleunigung, mögliche integrierte Webcams sowie eine Touchbar Unterstützung. Eine detaillierte Liste findet sich in der Release-Ankündigung.

Quelle: https://asahilinux.org/2022/03/asahi-linux-alpha-release/