Skype-Architektur wurde durch Microsoft tendenziell unsicherer

Der Software-Konzern Microsoft versucht Skype zunehmend auch als Kommunikationsmittel für das geschäftliche Umfeld zu etablieren. Sicherheitsforscher der Fraunhofer-Gesellschaft raten allerdings davon ab, die Software für den Austausch ... mehr... Windows Phone, Skype, Skype for Windows Phone Bildquelle: Skype Windows Phone, Skype, Skype for Windows Phone Windows Phone, Skype, Skype for Windows Phone Skype

Diese Nachricht vollständig anzeigen.

Jetzt einen Kommentar schreiben
 
Also ist der einzige Grund warum man Skype als "unsicher" einschätzt ist weil es Proprietär ist?
Ernsthaft Fraunhofer?

Dazu ist das "Skype for Buissnes" auch nicht Skype sondern Lync
 
@Alexmitter: noch ist es Lync. Ich denke Skype wird bald um die Lync Features ergänzt. Ich verstehe aber auch nicht, warum proprietär = unsicher ist. Das klingt immer, als ob Open Source = sicher.
 
@kelox: Warum sollte Skype um Lync Funktionen ergänzt werden wenn Lync schon um alle Skype Funktionen ergänzt wurde und in Skype for Business umbenannt wurde.
 
@Alexmitter: Ein Grund, warum skype gekauft wurde, war auch, dass die Technik dahinter besser war als die von Lync/Office Communicator (Sprachquali bei wenig bandbreiter war wesentlich schlechter als bei skype). Damals hieß es, dass das Skype Protocol auch für Office Communicator/Lync verwendet werden soll. Ob sie jetzt das Skype Protocol/Codec in Lync einbauen oder Skype um Lync features ergänzt haben nimmt sich glaube ich nicht viel. Konnte das Skype For Business jetzt leider noch noch nicht testen....
 
@kelox: Dann teste es, und stell keine Behauptungen auf
 
@kelox: Es nimmt sich SEHR viel welches Protokoll wo eingebaut wird. Skype for Business basiert auf SIP Protokoll, während Skype auf einem proprietären Protokoll basiert. Im Artikel wird wieder nur Unsinn verbreitet und behauptet Microsoft will Skype in Unternehmen bringen, was Sicherheitstechnisch ein Rückschritt und natürlich auch Quatsch ist.

Bei Skype for Business kann man auch Unternehmensinterne Server nutzen und viele Firmen nutzen es für die Kommunikation untereinander. Seit einiger Zeit lässt sich Skype for Business nun auch mit diversen Office 365 Paketen verknüpfen was den Einsatz auf Kosten der Sicherheit vereinfacht.
 
@kelox: Mit Skype for Business hab ich weit weniger Probleme ein Video Meeting mit schlechter Internetanbindung des gegenübers (China) zu machen als mit Skype. Skype schafft in den meisten Fällen bei uns nicht mal ein Video überhaupt zu starten
 
@kelox: also bei mir heisst es zumindest SkypeForBusiness und nutzt auch das S-Logo. Welche Lync Features sollen da noch kommen?
 
@scar1: Screen sharing - document sharing - recording - whiteboard(hoffentlich kommts wieder) -
 
@-adrian-: äh, reden wir über zwei unterschiedliche Dinge? Also in meinem Skype for Business client habe ich die Optionen zum "desktop präsentieren", "Programme präsentieren", "Powerpointdateien präsentieren", ich kann ein whitepboard zum gmeinsamen kritzeln freigeben, Umfrage erstellen,... und unsere Teammeetings via S4B werden immer recorded.... also eigentlich alles da.
 
@-adrian-: und was davon gibt's noch nicht, außer Whiteboard, daran kann ich mich grad nicht erinnern....?
 
@kelox: Hoffentlich nicht. Mit Skype for Business aka Lync bekommen wir fast ohne Probleme Video Meetings mit China hin welche eine sehr schlechte Internetanbindung haben.
Mit Skype bekomm ich erst kein Video oder selten mal eines.
 
@HellsDelight: Ja, mit china ist das so eine Sache. Könnte gut sein, dass die Skype probieren aktiv zu blocken. Deren Firewall nutzt immerhin deep package inspection.
 
@kelox: Kann sein. Kann aber auch an deren schlechtem Netz im Allgemeinen liegen (oder weil die Firewall allgemein solang zum inspizieren braucht :) ). Als ich letztes Jahr dort war hab ich sie gefragt wie sie arbeiten können wenn ich versuche eine iso runterzuladen und das mehrere Tage dauern soll :)
Allerdings hat auch Lync bzw. Skype for Business seine Probleme aber läuft trotzdem wesentlich besser als Skype. Manchmal ist dann deren Video kurzzeitig immer wieder eingefroren, manchmal meines...
 
@Alexmitter: ich find den Schluss auch etwas daneben - weil niemand von draußen rein schauen kann und weil niemand die Schlüsselgenerierung nachvollziehen kann soll es unsicher sein? Besser würde hier passen "weniger vertrauenswürdig" Allerdings relativiert der letzte Absatz das ja auch und benennt die tatsächlichen Risiken - nämlich den Zugriff durch "berechtigte Dritte".
 
@xploit: Ja, wenn ein Richter sagt eine Behörde soll Zugriff haben, dann hat das einen Grund.
 
@Alexmitter: mit berechtigten Dritten sind aber "Behörden" (siehe Text) gemeint, und das hat nicht immer einen Grund. Und selbst ein Richter hat nicht immer das Recht.
 
@xploit: Ein Richter hat aber die Verantwortung.
 
@xploit: Nein, der Schreiberling nennt Behörden, die AGB nennen es berechtigte Dritte, es geht dabei nicht um Behörden, denn diese Ausnahme müsste nicht in den Geschäftsbedingungen aufgeführt werden.
 
@otzepo: Hmm-ja... aber wenn Behörden in den AGB nicht aufgeführt werden müssen - gehören sie ja doch zu den berechtigten Dritten - und zwar ungenannt? (*Kopfkratzsmilie*)
 
@Alexmitter: ja, sieht man z.B. am Redtube fall, wie viel Verantwortung die heutzutage noch haben. Da wird einfach alles durchgewinkt, was auf den Tisch kommt.
 
@Link: Das sind nicht diese Richter die so etwas entscheiden, dafür sind nur hohe richter zuständig.
 
@xploit: Dieser Zugriff durch berechtigte Dritte ist in Deutschland gesetzlich vorgeschrieben, wenn es um Telekommunikationssysteme geht. Dein Telefon kann auch jederzeit innerhalb weniger Minuten und ohne Dein Wissen durch berechtigte Dritte abgehört werden. Egal ob Mobil oder Festnetz. Wo bleibt also der Artikel, dass man sicherheitsrelevante Daten nicht mehr am Telefon austauschen darf? Oder per Fax?
 
@HeadCrash: Keine Frage, mir geht es um die Terminologie - die Kommunikation ist "weniger vertrauensvoll" klingt irgendwie nachvollziehbarer für mich.
 
@HeadCrash: Abgehört werden? Gesetzlich vorgeschrieben? Festnetz & Mobilfunk? Na den Paragraphen würd ich dann aber mal ganz gerne sehen..
 
@hurt: Siehe z.B. https://de.wikipedia.org/wiki/Telekommunikations-%C3%9Cberwachungsverordnung
 
@Alexmitter: kannst du dich noch an den Skype-Skandal erinnern? Jede URL (oder waren es nur https?), die über Skype verschickt wird, bekommt einen Besucher aus Redmond. Die Kommunikation wird also zu 100% "mitgelesen" und ausgewertet.
Via Skype ist es auch möglich an der Firewall vorbei Daten aus einer Firma rauszuschmuggeln, daher ist es zum Firmeneinsatz nicht geeignet.
 
@otzepo: Ich erinnere mich daran, es ging um SSH geschützte seiten um die Web Vorschau ermöglicht.
Gelesen wird das wohl durch niemand, einfach zu viel Aufwand für Links, keine Panik, niemand hat Angst vor einer Webseiten Vorschau.

Was deine Firewall Theorie betrifft würde mich gerne interessieren wie du dir das vorstellst. Denkst du Skype überträgt Daten per Magie?
 
@Alexmitter: Es gibt keine Webvorschau, erst recht nicht für Links zu Dateien die ich einem Bekannten schicke.

Skype ist auch bei geschlossenen Ports in der Lage im Schneckentempo jede Art von Dateien zu versenden. Dann wird zwar keine schnelle P2P-Verbindung aufgebaut, aber es funktioniert durch die Firewall durch. Teamviewer kann übrigens auch um die Firewall herum alle Funktionen ausführen, nur um ein anderes Beispiel zu nennen.

Außerdem pass mal auf wie du deine Worte wählst, ich nenne dir Fakten und du benimmst dich wie ein Kleinkind.

/edit: Der Bericht von 2013 Punkt 6.5 auf Seite 14 lesen
http://www.esk.fraunhofer.de/content/dam/esk/de/documents/Skype_im-Unternehmen.pdf
 
@otzepo: Welche Firewall haben firmen? Wohl eine Anständige, und da möchte ich mal sehen ob du eine Verbindung aufbauen kannst.

"Außerdem pass mal auf wie du deine Worte wählst, ich nenne dir Fakten und du benimmst dich wie ein Kleinkind."
Ich wähle meine Worte wie es mir angemessen erscheint.
 
@Alexmitter: Skype tunnelt über Port 80 und 443, das hat nichts mit Magie zu tun.
 
@Alexmitter: Also willst du sagen, dass innerhalb von Unternehmen Skype sowieso nicht funktioniert wegen den Firewalls?
 
@XiRoT: Nein, ich sage das Wenn man es blocken möchte, man es auch kann.
 
@Alexmitter: Man kann nicht Skype zum telefonieren oder chatten nutzen und den Datentransfer unterbinden, da Skype in allen Fällen den Datenstrom verschlüsselt und die Firewall keinen Unterschied erkennen kann. Da man Port 80 nicht dicht machen kann, wenn der Browser eingesetzt wird ist es für die Proxy Firewall auch nicht möglich den Verkehr zu blocken, somit kommt Skype und der Teamviewer auch in gesicherten Netzen durch.
 
@Alexmitter: noch mal genauer werdend.
Es ist möglich Tunnel zu blockieren, dann kommen Skype und Teamviewer nicht mehr durch. Dafür braucht man einen transparenten Proxy wie zB Squid mit der Erweiterung UfdbGuard. Wenn man nun einstellt, Tunnel zu blockieren kann man aber auch mit Skype keine Verbindung mehr zum Server herstellen und es im Unternehmensnetzwerk einsetzen.

Wenn eine Firma also Skype verwenden möchte können die Tunnel nicht blockiert werden, da dieses Verhalten für Skype ganz normal ist. Selbst wenn man in der Lage sein sollte (keine Ahnung ob es geht) nur Skype die Tunnelung zu erlauben (Skype nur auf einen Anmeldeserver zugreifen lassen und die Route festlege, diese IP als Ausnahme festlegen) hat man sich mit Skype das System untergraben und dem unkontrollierten Verschicken verschlüsselter Daten ein Scheunentor geöffnet.
 
@otzepo: Wenn ich schon so einen Mist wie "an der Firewall vorbei Daten schmuggeln" lese, läuft es mir kalt den Rücken runter. Eine Firewall war noch nie dazu gedacht, Daten im Unternehmen vor der Übertragung nach außen zu schützen. Bitte erst mal Grundlagen lernen und dann kommentieren.

JEDES Programm kann spielend leicht Daten durch eine Firewall bringen, so z.B. jeder popelige Browser.

Und bei dem "Skandal" ging es darum, dass Smartscreen die SSL-URLs angefunkt und eine HEAD-Anfrage gesendet hat, höchstwahrscheinlich um eine Zertifikatsprüfung durchzuführen. Dass bei einer solchen Anfrage bis auf Infrastrukturdaten keinerlei echte Inhalte von der URL abgerufen werden, hat Heise galant unter den Tisch fallen lassen und stattdessen suggeriert, bei MS würden Menschen die URLs mitlesen.
 
@HeadCrash: Nein, man kann nicht an der Firewall vorbei mit dem Webbrowser unbemerkt Dateien hochladen, das kann man protokollieren und überprüfen. Bei Skype werden die Daten verschlüsselt über Port 80/443 getunnelt, somit kann niemand feststellen ob eine Datei gesendet oder ein Telefongespräch geführt wurde. Da diese Ports für den Browser benötigt werden kann dieses Verhalten nicht unterbunden werden, wenn der Angestellte auch das Internet besuchen darf.
Warum habe ich wohl den Bericht des Jahres 2013 gepostet? Damit man ihn ignoriert und denkt man wüsste mehr über IT als die Forscher des Fraunhofer-Instituts für Eingebettete Systeme und Kommunikationstechnik?
Für dich ist die Brandmauer wohl dafür da, damit keine Flammen von einem auf's andere Haus überschlagen, denn von IT scheint deine Ahnung etwas blass zu sein.
 
@otzepo: Ach so, bei einem Browser, der über SSL kommuniziert, kann man aber unterscheiden, ob Daten übertragen werden oder nicht? Na, jetzt bin ich gespannt, wie das gehen soll, wenn man nicht hobbymäßig Man-in-the-middle-Attacken fährt.
 
@HeadCrash: http://www.linux-magazin.de/Ausgaben/2008/11/Kein-Ausweg

Da wird es in wenigen Sätzen erklärt.
 
@otzepo: was ist da erklärt? Der Artikel spricht von missbräuchlicher Nutzung von OpenSSH und OpenVPN sowie von einigen Messengern und geht darauf ein, warum man hier mit einer Firewall machtlos ist.

Mal abgesehen davon, dass nichts in dem Artikel meinen Aussagen widerspricht, sondern sogar noch bestätigt wird, dass eine bloße Firewall nicht mal im Ansatz auf den Inhalt schaut (das macht nämlich ein Proxy oder ggf. ein IDS), steht dort auch nichts, was mir erklären würde, wie eine Firewall erkennen oder verhindern sollte, dass ein Browser eine SSL-Verbindung aufbaut und darüber Daten ins Internet schleust.

Warum gibt es wohl DRM-Systeme, die verlorengegangene Daten schützen? ;-)
 
@HeadCrash: Es sind fünf Seiten, auf Seite zwei geht es weiter und da steht wie man dieses auffällige Verhalten aufspüren kann. Der Artikel ist nicht mehr ganz Up to Date, aber er erklärt sehr gut warum diese Programme in Firmen nichts zu suchen haben und zeigt dir ein paar Dinge, damit du nicht mehr denkst "Eine Firewall war noch nie dazu gedacht, Daten im Unternehmen vor der Übertragung nach außen zu schützen."

Mit Skype gibt man dem Angestellten direkt ein Tool in die Hand um diese Untertunnelung durchzuführen, wenn Skype genutzt wird kann man nicht erkennen ob es ein Telefonat oder eine Datenübertragung ist. Sollte Skype im Unternehmen eingesetzt werden ist also der Spion nicht auffindbar, da die Auffälligkeiten ganz normal sind. Da kann man den Angestellten auch gleich noch einen SSH-Klienten installieren, damit er weiter tunneln kann, wenn die Server von Skype mal wieder Mist bauen.
 
@otzepo: Irgendwie redest Du an meinen Aussagen vorbei. Der Artikel beschreibt ganz klar, dass die Firewall eben NICHT das Instrument zum Schutz der Daten ist. Und ich finde es schade, dass ein Artikel, der eigentlich brauchbare Informationen enthält, gleich zu Beginn die Tatsache, dass die meisten Angriffe von innen kommen, als Binsenweisheit bezeichnet. Denn es ist nun mal eine Tatsache, dass es rein mit technischen Mitteln nahezu unmöglich ist, Mitarbeiter daran zu hindern, Daten, auf die sie Zugriff haben, aus dem Unternehmen zu schaffen.

Und nochmal: mit einem Browser kann ich, entsprechende Webseite vorausgesetzt, ebenso Daten aus dem Netz schleusen. Wer Daten schützen will und sich dabei nur auf Firewall und Proxy verlässt, handelt fahrlässig.
 
@HeadCrash: Die Firewall kann kaum automatisch davor schützen, bei der Durchsicht der Protokolle kann aber diese Manipulation erkannt werden. Der Täter kann damit überführt werden, wenn aber alle Skype verwenden ist es nicht mehr möglich. Kommen wir so auf einen grünen Zweig?

edit:
Das gleiche habe ich oben ja schon in meiner ersten Antwort an dich geschrieben. Ich glaube aber ich sehe wo es hakt, die Definition von Firewall wird es sein. Bei IDS, ALF und WAF handelt es sich um Firewalls. Der Proxy bekommt jedes Bit mit, da kann man nicht unbemerkt dran vorbei - spätestens in den Protokollen sieht man, ob auffälliges Verhalten an den Tag gelegt wurde - und genau das erklärt der sieben Jahre alte Artikel, wenn man ihn durchliest.
Zum Beispiel mit pfSense kann man sich selbst sehr preiswert (wenn man alles im Keller hat sogar gratis) eine Leistungsstarke Firewall mit Proxy und allem Schnickschnack zusammenbasteln und testen.

Es gibt auch Firewalls zur automatisierten Blockung von Tunneln, damit habe ich aber keinerlei Erfahrung ob es nicht sehr stört bei der täglichen Arbeit.
https://www.urlfilterdb.com/support/faq/https.html
 
@HeadCrash: Dein Wissen über Firewalls basiert auf einem Stand von vor 10 Jahren. Jedes moderne System kann eine Deep Inspection durchführen und genau erkennen was übertragen wurde.

Bei verschlüsselter Kommunikation werden die entsprechenden Pakete auf dem Gateway entschlüsselt und entsprechend untersucht. Die Firewall dient dabei einfach ausgedrückt als ein transparenter Proxy. Natürlich kann der Endnutzer das feststellen, da die Clients ein Zertifikat von der Firewall bekommen, das ist in einem Unternehmen aber problemlos umsetzbar.

Fast alle Hersteller bieten seit Jahren Lösungen dafür. Als Beispiel sei hier Palo Alto genannt.
https://www.paloaltonetworks.de/

Im Übrigen kann selbst jeder poppelige Asus Router eine Deep Inspection durchführen und erkennt anhand der Pakete welches Programm Daten überträgt und um welche Inhalte es sich handelt. Hier liefert Trendmicro die Erkennungsengine.
https://www.asus.com/de/support/faq/1012070

Port basierte Firewalls waren vor 10+ Jahren aktuell gewesen ist und bieten heutztage nur noch eine begrenzte Sicherheit. Man sollte also Firewall nicht mit einer portbasierter Firewall gleichsetzen. Der Begriff beschreibt ein Gateway zwischen dem internen Netzwerk und dem Internet und da nutzt mal schon lange mehr als nur ein Linux System mit IPtables.
 
@xexex: Okay, dann fassen wir den Begriff Firewall eben so weit, dass er Intrusion Detection, Intrusion Prevention, (Reverse) Proxies und ähnliches beinhaltet, was den Schutz des Netzwerks bzw. des Zugangs dazu betrifft. Dann nehme ich den ersten Teil meiner aussage zurück und entschuldige mich für die unnötige Diskussion.

Das einzige, was aber in Deiner Aussage den Kern meiner Behauptung trifft, dass ein Browser genauso wie Skype Tunnel kann, ist der Teil, dass das Gateway den verschlüsselten Datenstrom inspiziert. Das wäre für mich ein Grund, das Unternehmen zu verlassen! Ich weiß nicht mal, ob es datenschutz- und arbeitsrechtlich zulässig ist, dass ein Arbeitgeber einen sicheren Kommunikationskanal aufbricht. Damit wäre der Schutz eines jeden Onlinebanking hinfällig.

Ich habe bisher zum Glück noch bei keinem Unternehmen gearbeitet, das solche rabiaten Mittel eingesetzt hätte.
 
@xexex: Danke für die Ausführungen, wegen dir habe ich gerade sehr viel gelesen und Lust bekommen die pfSense im Labor um Squid + UfdbGuard zu erweitern. :)
 
@HeadCrash:
"Eine Protokollierung darf ohne Einwilligung erfolgen, wenn sie zu Zwecken der Datenschutzkontrolle, der Datensicherung, zur Sicherung des ordnungsgemäßen Betriebs der Verfahren oder zu Abrechnungszwecken erforderlich ist."
§31 BDSG

"Die Einwilligung ist nur wirksam, wenn sie auf der freien Entscheidung des Betroffenen beruht. Er ist auf den vorgesehenen Zweck der Erhebung, Verarbeitung oder Nutzung sowie, soweit nach den Umständen des Einzelfalles erforderlich oder auf Verlangen, auf die Folgen der Verweigerung der Einwilligung hinzuweisen. Die Einwilligung bedarf der Schriftform, soweit nicht wegen besonderer Umstände eine andere Form angemessen ist. Soll die Einwilligung zusammen mit anderen Erklärungen schriftlich erteilt werden, ist sie besonders hervorzuheben."
§4a (1) BDSG

Der Arbeitgeber sollte sich eine schriftliche Genehmigung geben lassen und als Druckmittel nur die private Internetnutzung und nicht den Job selbst verwenden, denn sonst wird die Vereinbarung unwirksam. Juristisch auf jeden Fall ein schwieriges Thema.
https://www.bfdi.bund.de/bfdi_wiki/index.php/E-Mail_und_Internet_am_Arbeitsplatz

Das Verwenden eines Browsers zum Tunneln sollte durch den fest eingerichteten Firmen-Proxy nicht ohne weiteres möglich sein.
 
@HeadCrash: Natürlich müssen solche Massnahmen schriftlich abgesegnet werden. Otzepo hat es ja bereits aufgeführt.

Es wird aber keineswegs der gesamte Traffic aufgebrochen. Stelle dir das ganze so vor. Die Firewallsysteme identifizieren den Traffic zunächst ohne die Verschlüsselung anzurühren anhand der Protokolle und der Quell und Zieladressen. (Bei Palo Alto App-Id genannt). Eine Verbindung zu einem Online-Banking Server wird so leicht erkannt und standardmäßig durchgelassen, eine verschlüsselte Verbindung zu einer unbekannten oder geblockten Adresse aufgebrochen und deren Inhalt geprüft.
https://www.paloaltonetworks.de/products/technologies/app-id.html

Die Systeme analysieren den Verkehr paketgenau und erlauben eine Aktion orientierte Manipulation. Bei bekannten Diensten wie Facebook lässt sich dabei genau steuern ob etwas gelesen, ob Posts erstellt oder Dateien hochgeladen werden dürfen. Man braucht hier nicht jede einzelne Seite mit Regeln versehen sondern kann mit wenigen Klicks, während der Arbeitszeit das Erstellen von jeglichen Beiträgen in Foren oder Social Media Plattformen deaktivieren.

Die Daten selbst können dann ebenso untersucht werden und gegen Muster wie Kreditkarteninformationen abgeglichen werden, die dann ebenso geblockt werden können. (Data Loss Prevention)

Kleinere Systeme bekommt man heutztage schon für unter €1000. Ein Betrag der lächerlich niedrig ist, wenn man bedenkt welchen Schaden ein Mitarbeiter anrichten kann, der bewusst oder unbewusst (Malware) sensible Informationen weitergibt.
Hier eine kleine Übersicht:
http://www.security-insider.de/next-generation-firewalls-fuer-alle-firmengroessen-a-461364/
 
@xexex: Ich weiß, was technisch möglich ist. Deshalb wehre ich mich auch gegen jegliche Inspektion eines geschützten Datenverkehrs. Man schützt den Verkehr ja nicht ohne Grund. Wenn mein Arbeitgeber meine SSL-Verbindungen untersuchen würde, was er nicht tut, würde ich mich nach einem neuen Arbeitgeber umschauen.
 
@Alexmitter: nicht der einzige Grund: http://www.esk.fraunhofer.de/content/dam/esk/de/documents/SkypeImUnternehmen_final.pdf
 
@Alexmitter: Es gibt entweder "sicher" oder "unsicher". Wenn man "sicher" aufgrund der properitären Strukturen nicht eindeutig sagen kann, dann bleibt nur "unsicher". "Vielleicht sicher" fällt auch unter "unsicher". Meine Meinung!
 
Macht Sinn. Ich lasse die Leute auch immer schauen, wenn ich am Bankautomaten meine PIN eingebe. Wenn sie jeder sehen kann ist das auf jeden Fall sicherer!
 
@Shipious: Die PIN ist kein technisches Verfahren, sondern ein Schlüssel. Niemand fordert die Offenlegung von Schlüsseln. Die Offenlegung von technischen Verfahren ist hingegen notwendig, um höchste Sicherheit zu ermöglichen. Denn dann können(!) unabhängige Experten ein Codereview durchführen. Ob das dann auch wirklich gemacht wird, ist eine andere Frage, aber bei geschlossenen Systemen KANN es nicht gemacht werden.
 
@TiKu: So zumindest die Theorie. Die Praxis zeigt leider immer wieder, dass die "Guten" zu faul sind und die "Bösen" durch die Offenlegung einen Vorteil erlangen.

Man kann es leider nicht wirklich verallgemeinern. Unsicherer ist ein geschlossenes System per Definition nicht. Es verlangt nur mehr Vertrauen auf Seiten des Nutzers, da er die Sicherheit nicht überprüfen kann. Auf der anderen Seite kann nur ein Bruchteil (Promillebereich) der Nutzer tatsächlich die Sicherheit überprüfen, so dass ein offengelegtes System ebenso viel Potential für Angreifer wie für Sicherheitsprüfungen bietet. Der Angriff auf geschlossene Systeme ist dagegen aufwendiger.
 
@HeadCrash: Ein geschlossenes System ist aber auch nicht per Definition "sicher". Vertrauen ist gut, Kontrolle ist besser. Wenn die Sicherheit durch die verwendete Technologie nicht überprüft werden kann, bleibt ein Unsicherheitsfaktor und ein solches System ist m.E. als unsicher einzustufen.
 
@heidenf: Ich sage ja auch nicht, dass es sicher ist. Über ein geschlossenes System kann man selbst keine Aussage treffen. Man kann dem Anbieter des Systems vertrauen oder auch nicht. Ob es dann tatsächlich sicher ist, stellt sich letztlich erst heraus, wenn es aufgebrochen wurde.

Sicherheit lässt sich leider nie zu 100% feststellen, denn die Annahme, dass ein System sicher ist, basiert ja immer nur auf dem aktuellen Kenntnisstand desjenigen, der die Sicherheit prüft. Und natürlich der Sorgfalt der Prüfung.

Man muss einfach hinnehmen, dass Sicherheit immer nur relativ betrachtet werden kann und zu einem großen Teil immer auf Vertrauen beruht.
 
@HeadCrash: Ich gebe dir Recht, dass Sicherheit auf Vertrauen beruht.
Jedenfalls solange, wie man nicht selbst vom fach ist und auf Opensource beruhende Technologien selbst untersuchen kann. Allerdings ist es m.E. etwas anderes, ob ich dem Anbieter eines Produktes vertrauen muss oder unabhängigen Experten, Institutionen oder dem CCC, ob ein Produkt sicher ist. Jeder Anbieter wird sein Produkt in den Himmel loben. Bei offenen Systemen kann die Behauptung von Fachleuten überprüft werden, das ist eine ganz andere Qualität. Von daher erachte ich geschlossene Systeme als unsicher. Aber du hast Recht, vollkommen sichere Systeme wird es nicht geben.
 
@heidenf: Ich sag ja, so die Theorie. Dass es in der Praxis eben oft nicht der Fall ist, hat sich ganz prominent an Heartbleed gezeigt.
 
@Shipious: Kannst du das etwas ausführlicher darlegen.
 
Skype ist ja auch nicht ohne Grund, seit Jahren, auf dem absteigenden Ast. Mal wieder zu viel Geld für etwas ausgegeben und es dann sterben lassen. The Microsoft Way.
Nicht nur die vorhandenen Kunden vergrault, sondern es auch nicht geschafft neue Kunden ran zu holen, sogar den mobilen Start haben sie verschlafen und das muss man erstmal schaffen, wenn man schon einen vorhandenen Messenger aufkauft und somit schon in der Tasche hat.
 
Radiobericht auf "B5 Aktuell", kurz vor der Übernahme durch Microsoft:
Die NSA sowie die Geheimdienste FBI und CIA bieten jedem eine Belohnung in Höhe von *summehabichvergessen* für jeden Hinweis auf eine Sicherheitslücke und/oder eine mögliche Hintertür zu Skype. Den Geheimdiensten ist Skype ein Dorn im Auge, weil sie aufgrund der Verschlüsselung keinerlei Möglichkeiten haben die über Skype geführten Gespräche mithören zu können!
Zitat/Bericht Ende.
Ca. 4-6 Wochen nach diesem Radio-Bericht wurde Skype von Microsoft aufgekauft...
 
Irgendwie fehlt 90 % im Artikel?

Auszug aus der Frauenhofer Studie, die Nachteile:

©2016 Fraunhofer ESK

Fehlende Standardisierung und fehlende Interoperabilität, es wird ein proprietäres Kommunikationsprotokoll verwendet. Dies zeigt sich besonders an folgenden Stellen:

Es gibt lediglich Schnittstellen zur klassischen Telefonie.

Chat funktioniert nur innerhalb des Skype-Netzwerkes, jeder Partner, mit dem kommuniziert werden soll, benötigt eine Skype-Benutzerkennung.

Schnittstellen zu Verzeichnisdiensten bspw. per LDAP sind nicht vorgesehen.

Die Leistungsmerkmale von Skype reichen nicht an die von Telefonanlagen heran. Merkmale wie Chef-Sekretärfunktion, Rückfrage und Teamfunktionen gibt es nicht.

Skype kann nicht für Notrufe verwendet werden.

Eingeschränkter Support: Bei Problemen mit der Software ist eine Kontaktaufnahme mit dem Hersteller nur per E-Mail möglich, telefonische Anfragen zur Problemlösung können nicht gestellt werden.

Die Sicherheit der Verschlüsselung kann nicht gewährleistet werden, da sie in der Hand von Microsoft liegt und nicht unabhängig überprüft werden kann. Vor allem weil das Schlüsselmaterial nicht vom Nutzer selbst, sondern vom Skype-System (Client oder Server) erzeugt wird, ist seine Vertrauenswürdigkeit stark eingeschränkt.

Dadurch, dass jeder Nutzer seinen Skype-Namen selbst wählen kann und weitere Angaben nicht überprüft werden, ist die Identität der Gegenseite nicht zweifelsfrei feststellbar, wenn der Partner nicht persönlich bekannt ist.

Bei der automatisierten Präsenzsteuerung können die Kontakte das Nutzerverhalten überwachen. Allerdings kann der Erreichbarkeitsstatus auch manuell gesteuert werden.

http://www.esk.fraunhofer.de/content/dam/esk/de/documents/SkypeImUnternehmen_final.pdf
 
@Kribs: Und wieso fehlen bei Dir 100% der in der Studie genannten Vorteile? ;-) Einige der Nachteile treffen auf jeden Consumer-Dienst zur Kommunikation zu (z.B. keine Identitätsprüfung - übrigens eines der Dinge, die sonst immer als super positiv gewertet werden, da man dadurch ja anonym agieren kann), andere beziehen sich auf die Nutzung von Skype als vollständigen Telefonersatz (z.B. keine Notrufe), wozu Skype noch nie gedacht war, auch nicht, als es noch nicht Microsoft gehörte.

Die Studie ist insgesamt nett, mehr aber auch nicht. Mal ganz davon abgesehen, dass MS für Unternehmen ja nicht ohne Grund Skype for Business anbietet, was ein vollkommen anderes Bild abgibt.
 
@HeadCrash:

1. ich nenne die Quelle

2. Poste >NUR< einen >Auszug< der auf die im Artikel thematisierten negativen Eigenschaften eingeht.

3.ich versuche nicht anderen vorzumachen, das die Positiven eigenschaften für Unternehmen die negativen ausgleichen!
 
@Kribs: Das versucht niemand. Allerdings ist es eine bewusste Färbung, nur eine Seite der Aussage der Studie zu nennen. Die Studie selbst kommt bereits zu Beginn zum Schluss, dass ein Einsatz selbst von Skype in Unternehmen dann nicht problematisch ist, wenn man sich der möglichen Risiken bewusst ist und der Nutzen die Risiken übersteigt.

Wenigstens bleibt das Fraunhofer Institut sachlich ;-)
 
@HeadCrash: Zitat HeadCrash:
"Die Studie ist insgesamt nett, mehr aber auch nicht. Mal ganz davon abgesehen, dass MS für Unternehmen ja nicht ohne Grund Skype for Business anbietet, was ein vollkommen anderes Bild abgibt."

>>>Das Gegenteil ist der Fall, sämtliche Vorbehalte gelten >>uneingeschränkt<< auch für Skype for Business! Du verdrehst weithin die Aussagen der Studien um Skype bzw. Microsoft in ein besseres Licht zu rücken!<<<

Kurzstudie: „Skype for Business“ – Eine Einschätzung

Zitat Seite 10 letzter Satz:

"Die Skype-for-Business-Nutzer sollten darauf achten, dass bei Verbindungen zu Skype Nutzern die Vorsichtsmaßnahmen bezüglich der Kommunikation über Skype beachtet werden, Näheres dazu in der Skype-Studie von Fraunhofer ESK mit dem Titel „Einsatz von Skype im Unternehmen Chancen und Risken“"

Zitat Seite 11 letzter Satz:

"Bei der Kommunikation mit Skype-Nutzern über eine Federation sind die in der Skype-Studie von Fraunhofer ESK beschriebenen Vorsichtsmaßnahmen anzuwenden. Dies bedeutet, dass vor allem sicherheitsrelevante und geschäftskritische Inhalte vermieden werden sollen."

http://www.esk.fraunhofer.de/content/dam/esk/de/documents/SkypeForBusiness_final.pdf
 
@Kribs: Du verdrehst gerne Dinge, oder? Deine Zitate drehen sich ausnahmslos um die Kommunikation mit Skype-Nutzern. Ich spreche von Skype for Business. Man kommuniziert seltenst von Skype for Business zu Skype oder umgekehrt.
 
"Parallel bekommt Microsoft so aber auch eine direkte Kontrolle über das Routing, was aus Sicht der Sicherheit der Kommunikation nicht positiv ist. "

Bedeutet dass unbekannte supernodes sicherer sein sollen als bekannte (auf dessen Produkt ich setze)? Das würde ich gerade andersrum sehen, ich nutze skype -> ich vertraue ms...damit ist es besser wenn MS die Vermittlung übernimmt als irgendwelche dritte denen ich u.U. nicht vertraue (bzw ich nicht mal wüsste wie ich da vertrauen haben könnte
 
der tag, an dem die übernahme von skype durch ms bekannt gegeben wurde, war der tag an dem ich skype von allen meinen geräten verbannt habe...leider werde ich, wenn ich auf solche artikel wie diesen hier hinweise immer nur belächelt...und dabei werden auch hier mal wieder die größten ärgernisse verschwiegen...wer danach sucht, die stehen sogar fast alle in der agb...
 
@Rulf: Was ärgert dich denn am meisten?
 
@heidenf: der unbeschränkte zugang der staatlichen behörden...da nützt auch die angekündigte eingebaute verschlüsselung nix, wenn die schlüssel dann in der cloud liegen...skype ist mit der übernahme durch ms zum trojaner mit praktisch unbegrenzten rechten/möglichkeiten geworden...
 
@Rulf: Ok, das ist durchaus ein gerechtfertigtes Argument. Ich sehe es ähnlich, aber da meine Skype Gespräche nur privater Natur sind und keine "schützenswerten" Inhalte beinhalten ist es mir zwar nicht egal, aber ich nehme es aufgrund mangelnder ernsthafter Alternativen hin.
Kommentar abgeben Netiquette beachten!

Video-Empfehlungen

WinFuture Mobil

WinFuture.mbo QR-Code Auch Unterwegs bestens informiert!
Nachrichten und Kommentare auf
dem Smartphone lesen.

Folgt uns auf Twitter

WinFuture bei Twitter

Interessante Artikel & Testberichte

WinFuture wird gehostet von Artfiles