Umstellung fastd -> L2TP

Doofe Frage, was bring die Verschlüsselung?
Rechtlich gesehen?

Ohne richterlichen Beschluss darf eh niemand mithören, mit Beschluss muss der SN Betreiber eh Zugang schaffen.
Pauschal/Technisch ist der Knotenbetreiber ja „abgesichert“ vor 99% der anfallenden anfragen durch das ausleiten über einen „anderen“ Provider/Zugangsanbieter. Der restliche 1% ist nur unter engen Vorraussetzungen nicht „abgesichert“, bzw. Der Knotenbetreiber dann erstmal in der Pflicht nach seinen Möglichkeiten an der Identifizierung mit zu wirken.
Egal ob verschlüsselt oder nicht…

Es geht nicht um die rechtlichen Aspekte, sondern um die Möglichkeiten. Rechtlich gesehen, darf niemand hacken. Wieso sichert ihr also euren Computer ab? (Davon ab, dass der BND sehr wohl ohne richterlichen Beschluss abhören darf)

Rechtlich gesehen darf der BND keine deutschen Bürger abhören, praktisch macht er das aber im Weltraum und da „gilt bekanntlich kein deutsches Recht“. Siehe Weltraumtheorie.

Ja klar, rechtlich gesehen, darf der BND keine deutschen Bürger abhören, aber wenn er ja nicht weiß, dass es Deutsche sind, dann muss er ja erst einmal die Peering-Glasfasern abhören, um die Identität festzustellen.

Davon abgesehen kooperieren Geheimdienste mit ausländischen Geheimdiensten, um den in der Verfassung gewährten Schutz der Privatssphäre zu umgehen. Die Verfassung gilt ja z.B. für den BND nur in Deutschland. In Frankreich darf der BND abhören was er will. Dafür hören die Franzosen dann die deutschen Bürger ab und die beiden Geheimdienste tauschen ihre gewonnenen Erkenntnisse aus. So findet man Terroristen :poop:. Siehe Fourteen eyes.

Also eure tollen unverschlüsselten Knotenverbindungen werden schon mal von fast jedem westlichen Geheimdienst dieser Welt ausgewertet…

Und wer jetzt meint, dass sich doch niemand dafür interessiert, liegt falsch, denn heutzutage wird der Großteil von solch einem Internetverkehr nicht mehr von Menschen ausgewertet, sondern von fast komplett autonom arbeitenden Systemen wie Prism. Wenn z.B. ein Telefonat abgehört wird, wird das automatisch in Text übersetzt und dieser Text mittels soetwas wie dem Grammatical Framework in eine computerparsebare Sprache wie Lojban übersetzt. Diese Daten packt man in eine Datenbank und lässt einen komplexen Clustering-Algorithmus drüberlaufen und wenn der Inhalt des Gesprächs vorher aufgenommenen Telefonaten von Terroristen o.Ä. ähnelt, dann geht da ein Alarm los und ein Mensch guckt sich den Inhalt an und wenn auch er die Meinung des Computers teilt, wird die Person komplett überwacht.

Und wenn ihr jetzt immer noch meint, dass das ja nicht so schlimm ist, weil ihr keine Terroristen seid, dann vergesst nicht, dass die Deutschen schon mal einen Hitler demokratisch gewählt haben und wie sehr der sich darüber freuen würde, wenn er eine Datenbank mit dem Browserverlauf seiner Bürger der letzten 10 Jahre und Mitschnitte ihrer Telefonate hat… Selbst wenn euer Internetverkehr Ende-zu-Ende-verschlüsselt ist, lassen sich die IPs nachvollziehen und zu welcher Webseite sie gehören. Ein NSA-Chef hat mal sinnbildlich gesagt, dass Metadaten mittlerweile wertvoller geworden sind, als eigentliche Gesprächsinhalte.

Wenn die Knotenverbindungen zu den Supernodes verschlüsselt sind, dann lässt sich immerhin nicht nachvollziehen, wo denn jetzt der Surfer sitzt. Dafür braucht man dann schon Echelon (Es gibt Echelon-Foliensatelliten so groß wie Fußballfelder mit denen man auch z.B. WLANs am Boden hören kann) und das ist zu teuer, um „normale“ Bürger abzuhören. Mit OWE (Opportunistic Wireless Encryption) ist auch das nicht mehr möglich. Unsere Schwachpunkte sind noch, dass die Routingprotokolle keine Sicherheitsmechanismen besitzen, um ein Orten durch aktive Maßnahmen zu verhindern, aber das kommt noch…

Also… Wieso wollt ihr euer Netzwerk komplett offen haben, sodass jeder mitlesen kann, wenn es auch anders geht? Nur weil es dann schneller ist? Mit WireGuard wird sowieso mehr Durchsatz durch die Knoten rauschen, als der Internetanschluss hergibt…

Es gibt meines Wissens nach keine Freifunk-Community, die IPv6 NATet. Ohne security extensions sieht man sogar deine MAC-Adresse in deiner globalen IPv6-Adresse. Und selbst mit security extensions lässt sich deine MAC-Adresse aus deiner link-local-IPv6-Adresse im Freifunknetz ableiten.

Interessantes derailing. Ich habe Interesse diese Diskussion in einem anderen Thread fortzusetzen, müsste aber erst mal zur Arbeit. Ich füge meine Gedanken dann später ein.

Ja, ich könnte hier auch nur die drei bis sieben vorangegangenen L2TP-Diskussionen verlinken.

Eigentlich ist zum Thema wirklich alles gesagt, nur noch nicht von jedeR/M.

Daher ist Derailing das einzig Interessante was hier noch bleibt.

Ich klinke mich an der Stelle aus der Diskussion um L2TP in Essen aus, aber hoffe, dass ihr zu einem sinvollen Ergebnis kommt. Freifunk Essen kann machen, was sie wollen.

Mir wäre eigentlich ganz lieb, wenn es aus einer dieser Diskussionen einen Spin-Off gäbe, der dazu führt dass entweder (z.B. als GSoC)

  • jemand Wireguard um einen TAP-mode erweitert
  • oder eine Methode baut, GretapOverWireguard als Package für Gluon + Doku zum Serverbau erweitert.

(Und ja, ich kenne den Einwand, dass man dann plötzlich auf dem Supernode auf der Bridge ganz viele Interfaces hat und jemand fürchtet, dass es da Limits gibt… Aber das ändert nichts daran, dass das eine oder andere für kleine L2-Domains und/oder Domains mit vielen Supernodes mit jeweils wenigen Dutzend Tunneln trotzdem sinnvoll wäre.)

Aber solang es kein „Wireguard für Batman-Gluon“ gibt, ist L2TP zumindest in den vielen Communities die favorisierte Lösung, die ohne gangbare (bezahlbare/akzeptierte!) Alternativen dasteht.

2 „Gefällt mir“

Ich habe angefangen einen TAP-Mode für WireGuard zu schreiben. Der funktioniert auch soweit, aber da sind noch ein paar kleine Bugs drin, was die Paketlängen angeht, das Netlink-Interface muss umgeschrieben werden und ein 3-way-handshake sollte implementiert werden, damit der Umstieg von fastd einfacher fällt, man keinen Broker braucht und Knoten keine Uhrzeit brauchen, um sich nach einem Reboot zu authentifizieren. GitHub - CodeFetch/TunnelBridge: Encrypted layer 2 VPN kernel module
In diesem Fall reicht auch ein einzelnes Interface aus, da mein Patch die MAC-Adressen trackt und den Peers ähnlich wie fastd zuordnet.

Einen GRETAP over WireGuard-Ansatz habe ich auch noch auf einem Rechner rumliegen. Da musste ich aber feststellen, dass der Overhead nicht zu unterschätzen ist, dass man das ip-full package braucht und dass der Broker, um die GRE-Verbindungen über das WireGuard aufzubauen nicht schön ist. Letztendlich ist der zusätzliche IP-Header durch GRETAP auch unnötig.

Ich hoffe, dass ich bald aus der Niedersachsenförderung Unterstützung für die Entwicklung kriege, damit ich das ordentlich in WireGuard einpflegen kann und das irgendwann nicht mehr selbst maintainen muss.

6 „Gefällt mir“