Kommentare zu folgendem Beitrag: HoRst VPN: beweisbare Anonymität, neuer Anbieter in Planung
Mir schrieb jemand:
Lars, das wird für euch gefährlich.
Post wird nicht klappen
→ Ihr müsst damit rechnen, dass die Briefkästen attackiert werden
→ Ich sende doch kein Bargeld. Ich bin doch nicht bescheurt… Bargeld hat eine Nummer. Diese Nummer kann man nacchverfolgen, wo diese ist/war. Des weiteren kann es Fingerabdrücke enthalten, auch das will ich nicht.Mehr Zahlungsmittel.
Ich habe dir bereits gesagt, dass Bargeld nicht klappen wird und was die Problematik ist. Ihr wollt sicher sein, dann nehmt noch als Zahlungsmittel Monero (notfalls Bitcoins).Und wer von außerhalb der EU ist, für den sind die Sendungskosten zu hoch, um an den VPN zu kommen.
Ihr müsst DDoS erkennen! Sonst zieht ihr so dermaßen Bandbreite, das ihr locker mal das Doppelte und Dreifache bezahlt…
Halte ich für Unsinn. Wie und warum sollte das jemand tun?
Das Problem mit den Fingerabdrücken kann man easy durch Handschuhe und Desinfektionsmittel lösen. Und Bargeld zurückzuverfolgen geht maximal bis zum Geldautomaten, wo man das Geld abgehoben hat. Ich bin mir nicht sicher, ob der Geldautomat bzw. Die Bank wirklich speichert, welche Scheine an wen ausgegeben wurden. Also ich mein, ob sie wirklich die Nummer auf den Geldscheinen einer Abhebung zuordnen können. Also den Betrag und die Stückelung der Auszahlung, dass kann ich mir vorstellen. Aber darüber hinaus…
Ja vielleicht. Aber es gibt sicher auch Möglichkeiten, die Bandbreite für einzelne Verbindungen zu drosseln, ohne das ihr direkt mit den IPs der VPN User hantieren müsst. Das kann @VIP vielleicht erklären ^^
Generell würde ich immer mit dem schlimmsten Rechnen. Ein Service der Anonymität verspricht, wird auch für Dinge genutzt, für die man besser wirklich anonym sein sollte. Ich habe mal für einen begrenzten Personenkreis eine Filesharing Plattform angeboten. Innerhalb von wenigen Wochen lag auf meinen Server Material, für das man direkt in die Hölle kommt.
Gibt es doch schon lange. OVPN
Ihr hatte ja schon selbst darüber berichtet. Vergesst ihr einfach was ihr berichtet?
Was gibt es „schon lange“?
BTW Ich bin gespannt auf das Projekt!
Welche Protokolle wird es denn geben? OpenVPN, Wireguard, SSH Socks Proxy?
Wird man Ports für Programme öffnen können?
Eigene DNS Server?
Für wie lange bleiben die Daten im Ram?
Ab wann kann man denn mit dem Dienst rechnen?
In welchen Ländern wird es z.B. sein?
Also werden keinerlei Festplatten verbaut und alles nur im Ram gespeichert oder sind alle Logs aus?
1 „Gefällt mir“
Wird es Kaskaden/Multi-Hop-Verbindungen geben?
Um Geschwindigkeits-Einbußen zu minimieren, wie würde unter Wireguard die IP-Adressen-Problematik gelöst/verhindert?
Gibt es beim VPN generell die Möglichkeit eine ZeroKnowLedge-Verschlüsselung mit einzubauen?
Habt Ihr Security-Spezies, die Euer System zusätzlich versuchen zu hacken und dafür nicht nur legale Möglichkeiten berücksichtigen/nutzen?
Was soll der Dienst später einmal kosten bzw. gibt es mehrjährige Vergünstigungen?
Könnte es irgendwann sein, dass VPN-Anbieter dazu gezwungen werden eine Hintertür einzubauen?
Wie sichert Ihr ab, dass die Daten unterwegs nicht umgeleitet/verfälscht/abgehört/mitgeschnitten werden können?
Wird nur der gesamte Datenverkehr umgeleitet, oder kann pro Anwendung auch entschieden werden, über welches Land welcher Traffic läuft?
Kann Eurer VPN direkt im Router eingerichtet werden, oder welche Einstellmöglichkeiten über Eure Anwendung wird zu Anfang realisiert?
Wird es Anwendungs-Profile geben, die dem Nutzer vereinfacht Voreinstellungen abnehmen, ala Sicherheit, Geschwindigkeit, P2P/Torrents, TOR-Netzwerk mit/ohne TOR, auch per Kaskaden?
Was ist mit der Überprüfung unsicherer System-Einstellungen?
Sind Fakeshop-Listen usw. gleich über Euren DNS-Server selbst aktualisierend integrierbar?
Was wäre mit Neuro-Routing, wie z.B. bei Perfect-Privacy?
Traffic-Verschleierung wg. Big-Firewall von China?
Probe-Abo?
Wie werden die Server angebunden bzw. wie viele wird es in welchen Ländern geben?
Wird es für Kaskaden auch Vorschläge geben, oder ginge dies dann auch individuell?
Gibt es die Option einer festen IP?
Ich hoffe, Heinz meldet sich bald. Aber noch steht gar nichts, liebe Leute. Fragen zu den Details kann ich noch gar nicht beantworten, sorry.
Weil man weiß, dass dort Geldbriefe landen? Die letzten Jahre verschwinden immer mehr Geburtstagskarten mit Geld drin, wenn als Standardbrief verschickt wurden. Einen Briefkasten zu knacken ist noch viel einfacher für viele Anwender, sodass man einfach auf den Postboten lauern kann und kurz danach sind die Briefe weg.
Dann hebt man eben einen 100 Euro Schein ab und geht damit einkaufen. Bekommt man 90 Euro in „nicht personalisierten“ Scheinen zurück.
Warum keine Privacy Coins akzeptiert werden, verstehe ich allerdings auch nicht. Dann könnte man sich den ganzen Postweg sparen und mit entsprechenden Dienstleistern kann man das Geld auch schnell „tauschen“, sodass man keinen Kursschwankungen unterliegt.
Ja, den Einsatz des Monero halte ich auch für sinnvoll. Bitcoin und andere Kryptowährungen mit einer transparenten Blockchain hingegen nicht.
1 „Gefällt mir“
Welche Protokolle?
Angedacht ist Wireguard als „Basis“ in Verbindung mit Nebula als Overlay-Netzwerk.
Wird man Ports für Programme öffnen können?
Vermutlich ja, noch nicht final entschieden.
Eigener DNS Server?
Ja, als Proxy, vermutlich Pi-Hole.
Daten im RAM?
Solange die Verbindung zum Clienten besteht.
Ab wann?
Gute Frage, wissen wir noch nicht, aber asap ist Wunsch.
In welchen Ländern?
Die Verwaltung vermutlich in DL, Diensterbringung Off-Shore. Doku mehrsprachig, offen für die gesammte Welt.
Also werden keinerlei Festplatten?
Image Speicherung auf HD, ebenfalls eigene Verwaltungsdaten. Logs gibt es keine (was sollte auch anonym geloggt werden, auch keine IPs und Ports).
Wir werden mit den nächsten Episoden alle diese Fragen ansprechen …
Hmm das sagen ja viele aber bei den meisten VPN als auch vielen Mail Anbietern kann man per Cash zahlen, ebenso machen manche Anbieter mehrere unter Firmen.
A Ist der Unbekannte VPN / Mail Anbieter
B bietet Cash an
C macht den serioesen Auftritt fur 3. Anbieter Payments
Das Cash wandert sowieso zu A
Noch dazu wenn alles RAM based ist, bis auf den Netzwerk Login ist es sowieso safe.
VPN X speichert die Netzwerklogins aber der Rest ist RAM based da gibt es keine Beweise die verwertbar sind, RAM ist fluechtiger Speicher.
Wird es Kaskaden/Multi-Hop-Verbindungen geben?
Ja
Um Geschwindigkeits-Einbußen zu minimieren, wie würde unter Wireguard die IP-Adressen-Problematik gelöst/verhindert?
Indem die „statischen IPs“ konkret gelöscht werden, machen übrigens praktisch alle WG-Server so.
Gibt es beim VPN generell die Möglichkeit eine ZeroKnowLedge-Verschlüsselung?
Grad der Privatsphäre und erzielbare Anonymität:
Die bei HoRst benutzte Infrastruktur ist sowohl multifacetual als auch überlappend voll-ständig anonym abgesichert:
o Digitaler Grundschutz vor kommerziellen & staatlichen Repressionen, Bedro-hungen und Strafermittlungen wie EU [e]Evidence und Co.,
o vollständig anonymer HoRst-Account, keine Bestands- und/oder Kundendaten,
o eigene Zertifikatsinfrastruktur,
o Verwendung von Nebula als VPN-Mesh mit hocheffizienter Perforationskapa-zität von Firewalls und Zensor Resistenz,
o UND-Logik,
o Warrant Canary,
o moderne PQ142-Kryptografie,
o Geo-Hiding von HoRst-Nodes,
o Zugang zu anonymen bulletproof und bi-Gate-fähigen Offshore Web-Spaces und E-Mail Postfächern,
o öffentliche remote Attestation von HoRst-Nodes,
o Open Source Modell von HoRst,
o Operatives offshore Betreibermodell zur Optimierung regulativer und fiskalischer Konditionen,
o Redundanz, Autarkie und Abschottung von HoRst-Nodes,
o ICT-RipCord als digitalisierte Reißleine in Form eines Totmannschalters im Internet,
o präventive Verschlüsselung, Privacy-by-Design sowie FIDO2 als starke Authentifizierungslösung der Backoffice HoRst-Infrastruktur,
o keine eigene Kryptografie, nur öffentlich nachvollziebare Primitives,
o und Vieles mehr …
Habt Ihr Security-Spezies, die Euer System zusätzlich versuchen zu hacken
Noch nicht, aber wir werden gerantiert angegriffen werden …
Was soll der Dienst später einmal kosten bzw. gibt es mehrjährige Vergünstigungen?
Noch nicht festgelegt, feste Monatspauschale.
Könnte es irgendwann sein, dass VPN-Anbieter dazu gezwungen werden eine Hintertür einzubauen?
Open Source Modell, mit Code Verifikation und Beglaubigung.
Wie sichert Ihr ab, dass die Daten unterwegs nicht umgeleitet/verfälscht/abgehört/mitgeschnitten werden können?
Durch kryptografische Verfahren. Umleitung und kopieren geht durch den ISP immer, aber sinnlos. Verfälschen setzt die erfolgreiche „Klartxt“ Analyse voraus.
Wird nur der gesamte Datenverkehr umgeleitet, oder kann pro Anwendung auch entschieden werden, über welches Land welcher Traffic läuft?
Klingt nach split-tunnel, das wird gehen.
VPN direkt im Router?
ja.
Anwendungs-Profile?
erst einmal nicht. via Community?
Was ist mit der Überprüfung unsicherer System-Einstellungen?
Nein, das ist wohl eher eine Beratungsleistung.
Sind Fakeshop-Listen usw. gleich über Euren DNS-Server selbst aktualisierend integrierbar?
Noch keine Entscheidung, aber Pi-Hole ist da schon recht weit mit User-specific Profilen.
Was wäre mit Neuro-Routing, wie z.B. bei Perfect-Privacy?
erstmal nicht.
Traffic-Verschleierung wg. Big-Firewall von China?
Ist definitiv ein Thema, per HTTPS Verschleierung und Nebula Leuchttürmen …
Probe-Abo?
Ja
Wie werden die Server angebunden bzw. wie viele wird es in welchen Ländern geben?
Noch offen bzw. wird sich entwickeln. Sicher nicht alles zum Tag Null.
Wird es für Kaskaden auch Vorschläge geben, oder ginge dies dann auch individuell?
Noch nicht definiert. Ist definitiv ein Wachstumsziel.
nein
Dann soll er halt per DHL-Paket bezahlen…da brauchts keinen Briefkasten!!! 
Ein großer Denkfehler bei dieser Aussage: Die Nummer ist zwar eindeutig, aber der Mensch als lebendiger Nummern- Mixer, wird die Spur soweit verschleiern, dass eine persönliche Zuordnung, welcher Schein von wem gekommen ist, totaler Humbug ist!
Wichtig ist es zu wissen, welche Daten HoRst speichert bzw. über seine Kunden kennt, denn nur diese können überhaupt weitergegeben oder verraten werden. Konkret sind das:
– die temporäre IP-Adresse und Portnummer des Zuganges für den Account
– die zu dem erzeugten anonymen Nummernkonto gehörenden Credentials
– ein 32-Bit Protection Token der Form DUQM-HFW1-MMXQ-2UZ0 als Transportsicherung.
Habe mit der Aussage so meine Probleme.
Denn wenn die Speicherung der temporären IP und des Ports clientseitig gemeint ist, stellen sich mir zwei Fragen?
- Wieso etwas temporäres (Intervall unbekannt) speichern?
- Wieso überhaupt diese IP speichern, wenn die Identifikation / Authentifikation schon mit dem Auslesen der Credentials erfolgt ist?
- Protection Token ist klar!
Jup, here we are.
Lars und ich werden unregelmäßig weiteren Stoff liefern und Ihr habt die Möglichkeit, Vorschläge, Kritik und Euch selbst unterzubringen. Noch ist nichts in Stein gehauen, ist ein „Working Project“.
temporäre IP-Adresse und Portnummer:
nur während der VPN Client Session. Anders unmöglich. Speicherung meint konket: Halten im RAM, aber nicht auf einem Massenspeicher oder DB!!!
Wieso überhaupt diese IP speichern:
Wohin sollte denn der HoRst VPN Server die verschlüsselten Session Daten schicken, wenn diese Info nicht bekannt wäre?
Nachdem ich gerade mal ein bisschen Zeit habe, dachte ich, ich nehme mir mal das Thema Zahlungen vor und auch das hier verteilte Halbwissen und die dazugehörigen Verschwörungstheorien mit Bezug auf den geplanten (legalen) VPN-Dienst.
Bargeld: Bargeld ist grundsätzlich kaum zurück zu verfolgen, solange man nicht gezwungen ist, dieses zu waschen. Ein Versand von Scheinen ist nach wie vor recht sicher. Das praktizieren regelmäßig auch halblegale Anbieter von Waren. Die verschwundenen Geldgeschenke sind übrigens auf Briefe mit Glückwunschkarten zurückzuführen. Das lässt sich per Hand erspüren. Das wäre in diesem Fall also eher das kleinere Problem. Die „Attacke auf Briefkästen“ würde voraussetzen, dass jemand weiß, dass da etwas zu holen ist. Eher unwahrscheinlich, zudem eine Straftat die sofort die Strafverfolgungsbehörden auf den Plan ruft.
Was das Thema Fingerabdrücke auf Geldscheinen betrifft, ist das Rückverfolgen ein MEM. Ein Schein geht durch viel zu viele Hände und ein Fingerabdruck auf einem Geldschein kaum was wert. Zumal ein VPN nicht illegal ist. Selbst bei einer Hausdurchsuchung würden sich nur ungeöffnete Briefe ansatzweise einem Account zuordnen lassen. Und wenn schon, selbst wenn der Geldschein einem Automaten zuzuordnen wäre, würde das nur aussagen, dass jemand Geld abgehoben hat. Das heißt noch nicht, dass das Geld auch von demjenigen verschickt wurde. Einmal beim Metzger oder Bäcker oder Supermarkt… schon ist das Geld nicht mehr zurück verfolgbar.
Und was die Nummer des Scheins betrifft: Dabei muss man sich veranschaulichen, dass es allein in Deutschland über 68.000 Geldautomaten gibt, bezogen auf rund 82 Mio. Bundesbürger. Legt man die Gewohnheit des Geldabhebens zu Grunde (Quelle Statista), stellt man fest, dass es pro Geldautomat durchschnittlich rund 85 Abhebungen pro Tag gibt. Das sind also rund 5,7 Mio. pro Tag bzw. rund 2 Mrd. Abhebungen pro Jahr und dabei werden durchschnittlich 248 Euro abgehoben (Quelle Statista). Einen einzelnen Geldschein nachzuvollziehen, ist also faktisch unmöglich und niemand würde das versuchen, da damit auch keinerlei Beweiskraft einhergehen würde.
Trotzdem bleibt das Thema Versand von Bargeld natürlich fraglich, da tatsächlich nicht alle Briefe auch das gewünschte Ziel erreichen und die Geschwindigkeit auch nicht ganz problemlos ist. Zudem schwingt da immer eine gewisse Unsicherheit mit, auch hinsichtlich des Handlings. Nehmen wir an, an einem Tag kommen 1.000 Briefe an, die alle geöffnet werden wollen und dem richtigen User zugeordnet. Der Aufwand ist also enorm, die Fehlerquote auch. Man wird um zusätzliche Alternativen nicht herumkommen.
Kryptowährung: Tja, zum einen ist das Handling für einen durchschnittlichen User immer noch nicht ganz so einfach, zum anderen haben wir hier hohe Kursschwankungen. Kursrisiken abzudecken kostet Geld, das Geld über Händler wieder in Realgeld zurückzutauschen, kostet zusätzlich Gebühren. Zudem wird auch hier die Nachverfolgbarkeit immer besser, hierzu erschienen schon vor 4 Jahren entsprechende Artikel in der Presse (und nicht nur in der Fachpresse). Mit Sicherheit eine Möglichkeit, aber nur neben anderen Methoden.
Damit haben wir Bargeld und Crypto durch. Bleibt uns ein Mix aus Digitaler Welt und althergebrachtem Bargeld. Namentlich Guthabenkarten.
Guthabenkarten: Und das wird tatsächlich interessant. Wenn man sich eine Amazon (reines Beispiel, Paysafecard usw. gehen genauso gut) Guthabenkarte in einem beliebigen Shop besorgt (z.B. Tankstelle), ist die Anonymität hoch. Gleichzeitig ist diese Karte werthaltig, da das dahinterstehende Unternehmen eine ausreichend hohe Liquidität hat. Kursrisiken entstehen weder auf Anbieter- noch auf User-Seite.
Nochmal, der VPN-Dienst ist nicht illegal. Insofern könnte man Lizenzen sogar über Amazon verkaufen. Solange man (als User) Amazon nur mit Guthabenkarten aus Shops füttert und keine echten Waren ordert, kann man sich sogar hinter Accounts mit falschen Daten verstecken. Selbst ein Auskunftsersuchen an Amazon brächte dann keine nachverfolgbaren / verwertbaren Daten zu Tage. Maximal lässt sich dann der Kauf der Karte auf einen Shop zurückverfolgen, aber dafür ist bereits ein hoher Aufwand notwendig. Wurde hier mit Bargeld bezahlt, ist die Spur zu Ende.
Problematisch würde das erst, wenn das Bargeld abgeschafft wird. Dann dürfte eine Rückverfolgung tatsächlich leichter werden und „follow the money“ könnte ein deutlich höheres Problem werden. Denn über Zeitstempel lässt sich dann erkennen, wann genau bezahlt wurde und die Aufbewahrungspflicht von Dokumenten sorgt auf Jahre hinaus dafür, dass man eine Zahlung auf ein Bankkonto zurückverfolgen kann. Aber bis dahin gehen noch ein paar Jahre ins Land und es bleibt genügend Zeit, sich neue Mittel und Wege zu suchen und ob dann ausreichend Personal bereit steht, um tatsächlich jeden User zu verfolgen, darf immer noch bezweifelt werden. Auch bei diesem Szenario darf man nicht außeracht lassen, dass der Account und der Dienst immer noch nicht illegal sind. Insofern sind das ungelegte Eier über die man sich jetzt noch keine Gedanken machen muss.
Insgesamt muss man also vor allem darüber nachdenken, welche Kapazitäten es benötigen würde, um einzelne User zu verfolgen, die sich „nur“ Urheberrechtsverletzungen durch Download zu Schulden haben kommen lassen. Realistisch betrachtet würde man hier ausschließlich Uploader verfolgen, der Kampf gegen Downloader würde dagegen viel zu viele Kapazitäten binden, gleichzeitig unverhältnismäßig hohe Kosten verursachen und schlussendlich die Quellen nicht zum Versiegen bringen.
Faktisch würde es bei einem komplett anonymisierten Dienst schon schwer den richtigen Account zu ermitteln und von dort auf einen User zurückzuschließen. Wahrscheinlicher wäre es, dass die Behörden versuchen würden, den VPN Anbieter zu erledigen, aber noch wahrscheinlicher wäre es, dass man die jeweiligen Plattformen ins Visier nimmt. Als Beispiel darf hier Share-Online dienen. Dort ist es m.W. bis heute nicht zu Abmahnungen gegenüber Nutzern (auch nicht gegenüber Uploadern) gekommen. Soweit es auf diesen Plattformen Auszahlungen gegeben hat, wäre darüber dann allerdings tatsächlich eine leichtere Rückverfolgbarkeit gegeben.
Solange es also zwischen dem Account / eingehende IP und der abgehenden IP-Adresse auf Seiten des VPN-Anbieters keine Datenspeicherung gibt, die einen Rückschluss auf den Account zulässt, ist zumindest der User relativ sicher - Geldfluss hin oder her.
1 „Gefällt mir“