Generelles Problem

gago

New Member
Ich möchte hier einmal einen Punkt ansprechen, der nichts mit einzelnen Personen zu tun hat, sondern mit Struktur und Verantwortlichkeiten.
Ein VPN-Anbieter – besonders einer, der sich an sicherheitskritische Nutzer richtet – braucht zwei Dinge:
1. eine stabile technische Infrastruktur
2. eine zuverlässige, professionelle Kommunikation

Punkt 1 erfüllt Perfect Privacy weiterhin. Punkt 2 leider nicht mehr.

Und genau hier liegt das eigentliche Problem: Es geht nicht darum, ob ein einzelner Mitarbeiter ‚gut‘ oder ‚schlecht‘ ist. Es geht darum, dass Perfect Privacy offenbar keinen klaren Prozess hat, wer wann welche Informationen kommuniziert, wer Krisen moderiert und wer die Außenwirkung steuert. Wenn ein Unternehmen nur eine Handvoll Personen hat, aber niemand klar für Kommunikation, Moderation oder Krisen-Updates zuständig ist, dann passiert genau das, was wir jetzt sehen: unklare oder widersprüchliche Aussagen emotional aufgeladene Reaktionen fehlende Transparenz keine Führung in kritischen Situationen ausbleibende Informationen bei Serverausfällen oder Störungen Das ist kein „Mitarbeiterproblem“, sondern ein Organisationsproblem.
Ein VPN-Dienst, der von Menschen genutzt wird, die sich im schlimmsten Fall aus lebensgefährlichen Situationen schützen müssen, darf in der Außenkommunikation nicht zusammenbrechen, nur weil ein einzelner Mitarbeiter überlastet ist. Wenn eine Person gleichzeitig Techniker, Support, Krisenmanager und Forenkommunikation übernehmen soll, ist das System unausweichlich instabil.

Deshalb kritisiere ich hier nicht Christian als Mensch – sondern die Tatsache, dass Perfect Privacy ihn in eine Rolle stellt, die niemand alleine erfüllen kann:

-Krisenkommunikation
-Community-Management
-Moderation
-technische Updates
-Support

Dafür bräuchte es Struktur, nicht Improvisation. Die technische Architektur ist solide. Aber die organisatorische Struktur, die darüber liegt, wirkt inzwischen fragil. Und das ist bei einem sicherheitsrelevanten Dienst ein echtes Risiko – nicht wegen der Technik, sondern wegen des fehlenden Rahmens, in dem sie betrieben wird. Das ist kein persönlicher Angriff. Das ist ein funktionaler Hinweis darauf, dass Perfect Privacy dringend professionelle Rollenverteilung und klare Kommunikationsprozesse braucht.
 
Die technische Architektur ist solide
das man 80% ausfall noch solide nennt ist auch etwas hirnrissig.

Ein VPN-Dienst, der von Menschen genutzt wird, die sich im schlimmsten Fall aus lebensgefährlichen Situationen schützen müssen
die nutzen kein vpn dienst, sondern tor.
sollten es zumindest.

Punkt 1 erfüllt Perfect Privacy weiterhin. Punkt 2 leider nicht mehr.
nein, die erfüllen beide punkte nicht mehr.

nochmal, höre auf dich selbst zu belügen!
 
Spectre, du vermischst hier technische Architektur mit Service-Verfügbarkeit und Kommunikation.
Eine ausgefallene Website oder ein Forum sagt nichts über die Sicherheit des VPN-Backbones aus.
Dass Perfect Privacy strukturelle Organisationsprobleme hat, ist genau der Punkt meines Threads –
aber die Architektur der VPN-Server, Zertifikate und Verschlüsselung hat sich dadurch nicht verändert.
 
1. eine stabile technische Infrastruktur
Wollte ins Bett gehen, aber dazu möchte ich (auch wenn ich hier nur Lurke) selbst was sagen.

Auch wenn das eher weniger, was mit der VPN Infrastruktur zu tun hat, sieht man, dass es selbst an normalen Sachen, die ein Single Hobby Project dev hinkriegt mangelt.
  • Wieso ist die Website weiterhin auf TLS 1.2 und nicht TLS 1.3? Was spricht dagegen bei ein Sicherheitsservice auch auf dem neusten Stand zu sein?
  • Wie sieht es mit Quantum Support bei OpenVPN aus? Gewisse andere VPNs, wo bei einem auch wohl ein sehr kleines Team hinter steckt haben dies, wie sieht es bei PP aus?
  • Wieso werden simple Sicherheitsverfahren nicht benutzt wie DANE, DNSSEC und Co.?
  • Das mit DANE und Co gilt auch für die Mail, PP war doch mal ein gutes Mail Service, wieso mangelt es da auch an Security Implementationen? Und nicht jeder nutzt PGP, bevor gemeint wird „Ja, nutz einfach PGP.“
  • Wieso wird z. B. die Android-App nicht auf neuste Android Versionen updatet? Dies ist auch nicht viel Arbeit, auch sowas wie Memory Tagging zu supporten.
    • Ich erinnere mich auch ein Blog-Post hier, dass PP unter Android womöglich von ein VPN-Leak betroffen war, hab da nie ein „Statement“ zu gesehen, finde den Post aber leider nicht mehr. Ging um „Base“ die PP benutzt (Strongswan)
Dies sind jetzt Sachen die mir in 11 Minuten im Kopf kam, vielleicht ist da mehr. Habe ich schon in Posts von vor Monaten gesagt, mangelt es an Basic Security Sachen und dass die Infrastruktur bei gewissen Sachen seit Jahren nicht gepflegt werden (Mail und Website). Ich habe auch lange PP verteidigt, auch bei der Windows Beta versucht zu helfen noch mit Fehler suche und Co. Was ich selbst wiederholt sagen muss, es mangelt PP seit Langem an allem. Persönlich sehe ich eine Sache nämlich wie folgt, PP kann noch so gut „No-Log“ proofed sein, aber wenn die Software(s) nicht aktiv/gut gepflegt werden, bringt es auch nichts, da vermutlich einfacher ist eine Person zu befallen als bei PP auf dem Server nach Logs zu suchen auf den Servern. Es wird/wurde ja auch schon verwiesen man sollte App XY nutzen, wie OpenVPN App oder was auch immer, nur es gibt ja Gründe wieso VPNs ihre eigenen Apps haben, genau um stärkeren No-Log Schutz zu haben, um Sachen besser zu machen und was weiß ich alles.
 
Danke für die ausführliche Liste @Barbiehunter
Aber lass mal gucken:
Ob die Website TLS 1.2 oder 1.3 spricht, sagt ungefähr so viel über die Sicherheit des VPN-Backbones aus, wie der Zustand des Gartentors über die Statik eines Betonbunkers.

DANE, DNSSEC, Quantum Marketing bei OpenVPN… das sind nette Extras, aber nichts davon hat auch nur 1 Bit Einfluss darauf, wie der eigentliche Tunnel zwischen Server und Client konstruiert ist.

Und genau das ist der Punkt, den ich in meinem Eingangspost erklärt habe:

Architektur ≠ Kommunikation ≠ Pflege ≠ Website ≠ Support.

PP hat organisatorisch definitiv ein Loch im Boot
(und Christian schaufelt Wasser mit einer Gabel raus),
aber die Rumpfstruktur des Schiffes ist dieselbe wie vorher.

Oder anders gesagt:
Die „Küche brennt“, aber „der Motor läuft“.

Dass PP die Peripherie vernachlässigt (Website, Clients, Blog, Updates) — da bin ich ganz bei dir.
Aber daraus eine kompromittierte Tunnelarchitektur abzuleiten, wäre ungefähr so logisch, wie zu behaupten:

„Meine Autotür klemmt → der Motor hat jetzt bestimmt nur noch 30 PS.“

PP hat ein Organisationsproblem.
PP hat ein Kommunikationsproblem.
PP hat ein Ressourcenproblem.

Aber ein kryptografisches Problem?
Das sehe ich aktuell nicht.

Und genau deshalb ist es sinnvoll, diese Ebenen sauber zu trennen — sonst diskutieren wir alles gleichzeitig und nichts konkret.
 
Es wird/wurde ja auch schon verwiesen man sollte App XY nutzen, wie OpenVPN App oder was auch immer, nur es gibt ja Gründe wieso VPNs ihre eigenen Apps haben, genau um stärkeren No-Log Schutz zu haben, um Sachen besser zu machen und was weiß ich alles.
Na ja, warum soll die original OpenVPN- und SSH-Software unsicherer sein als ein selbstgehäckeltes Produkt?

Ich habe nie die PP-Software verwendet und in der guten alten Zeit gab es keine PP-Software, da hat jeder sich selber seine Software aussuchen müssen und im Forum haben sich die Kunden gegenseitig bei der Konfiguration unterstützt; PP hat lediglich die Server zur Verfügung gestellt. Aber mit der eigenen Software kamen die Probleme.
 
Na ja, warum soll die original OpenVPN- und SSH-Software unsicherer sein als ein selbstgehäckeltes Produkt?
Geht hauptsächlich um Extra Leak und ähnliches. z. B. Multicast Leak bei Android (maybe iOS auch?), was Maulwurf patched hat. OpenVPN hat das nicht patched, soweit ich das persönlich weiß. Genauso wie die Fälle wie z. B. Tunnelcrack.
PS: Daher auch der Verweis auf den VPN Leak verdacht, wo Strongswan betroffen von war, aber jetzt nicht bekannt gemacht wurde, ob PP davon auch betroffen war oder nicht.
 
Das hat alles nichts mit dem vpn zu tun. Bitte erst mal nachlesen was routing, firewall, dns-config angeht.
Und Quantum haben wir hier schon diskutiert.
Die Quantum-Spezialisten verlieren auch bereits den Glauben, da es bislang nur in zwei Fällen überhaupt brauchbare Algos gibt:
Primfaktor-Zerlegung und Proteinfaltung.
Wenn da nicht bald was kommt, kannst Du quantensichere Verschlüsselung getrost abhaken.
Was hier erwartet wird, ist ein Rundum-sorglos-paket, weil man selbst keine Lust oder Ahnung hat sich d'rum zu kümmern.

Überhaupt ... IOS oder Android - da weiß doch niemand, was da in der Software alles drin steckt.
Benutzt Du das vom Hersteller installierte Android, der kompilierst Du Dein Android vom Quellcode?
Hast Du Zugriff auf alles, was von Deinem Smartphone per 4G/5G nach außen geht?

Darauf würd' ich auch bei keinem anderen Anbieter vertrauen.
Die können Dir versprechen, daß der Himmel rosa ist - im Zweifel bist Du der Dumme, wenn es leaks gibt

Ich benutze die aktuellen openvpn-Pakete und konfiguriere die auch selbst. Und bevor man damit online geht guckt man selbstverständlich mit tcpdump, ob alles durch den Tunnel geht, oder irgendwas dran vorbei.
In meinen Firewall logs sehe ich sofort, ob meine Linux/Windowskiste gesprächig ist und blockiere das dann bei Bedarf.
Da sehe ich auch, was Android über WiFi so alles rauspumpt... Unmengen, die ich blocken muß, kann ich nur sagen.

Davon abgesehen, ist es natürlich keine Werbung, was hier bei PP in der letzten Zeit abläuft.
Es ist nun mal ein kleiner Anbieter, der von den Großen an die Wand gedrückt wird.
Das viele Gemeckere hier hilft mit Sicherheit nicht, die Abonnentenzahl zu erhöhen oder den Service zu verbessern.

Irgendwann sind die Server so gering ausgelastet, daß man direkt eine 1:1 Zuordnung zwischen ein- und ausgehenden Paketen machen kann.
Dann haben zumindest staatliche Stellen ein leichtes Spiel.
 
Ich benutze die aktuellen openvpn-Pakete und konfiguriere die auch selbst. Und bevor man damit online geht guckt man selbstverständlich mit tcpdump, ob alles durch den Tunnel geht, oder irgendwas dran vorbei.
In meinen Firewall logs sehe ich sofort, ob meine Linux/Windowskiste gesprächig ist und blockiere das dann bei Bedarf.
Sehe ich auch so. Das ist zwar ein gewisser Aufwand, aber man weiß dann wenigstens wo man dran ist. Ich habe mit PeerGuardian für Linux (für Windows ist das peerblock.com) gute Erfahrungen gemacht, blockt Pakete, die sich am SSH / Tor Tunnel vorbei mogeln möchten, bzw. Traffic, den man nicht über VPN möchte. Alle IPs blockiert und sukzessive die benötigten freigegeben.

Firewall mit Leakschutz kann man selber einrichten.

Und Quantum haben wir hier schon diskutiert.
Die Quantum-Spezialisten verlieren auch bereits den Glauben, da es bislang nur in zwei Fällen überhaupt brauchbare Algos gibt:
Primfaktor-Zerlegung und Proteinfaltung.
Wenn da nicht bald was kommt, kannst Du quantensichere Verschlüsselung getrost abhaken.
Nun, PP bietet dieses Feature nicht an, Mullvad hingegen schon (und DAITA). Ich frage mich, wie das für PP spricht.
 
Die Quantum-Spezialisten verlieren auch bereits den Glauben, da es bislang nur in zwei Fällen überhaupt brauchbare Algos gibt:
Primfaktor-Zerlegung und Proteinfaltung.
Hallo theoth, kannst du hierauf nochmal speziell eingehen; was genau meinst du damit "verlieren bereits den Glauben"?

Ansonsten haben wir heute das hier noch gehabt. Keine Ahnung ob VPS von PP dort gehostet wurden.
 
Wie gesagt, es hängt davon ab, ob man neue Algorithmen für Quantencomputer finden wird, und daß es gelingt mal QC mit eintsprechend vielen bits stabil zu bauen. Mal gesehen, wie so ein Ding aussieht? tiefgekühlt und sperriger als ein Scheunentor.
Mit 1024 bit kann man absolut nichts anfangen. Alle Experten halten es für unwahrscheinlich, daß es in den nächsten 15 Jahren große Durchbrüche gibt. Aber dann könnte auch Mullvad wieder im Regen stehen.

Ansonsten ist das alles nur Werbetrommel für nicht vorhandene Probleme wirbeln.
Man kann natürlich exabyteweise Daten für die potentielle Enstschlüsselung in 15 Jahren speichern, aber ich bezweifle, daß das uns groß beunruhigen sollte.
 
Mal gesehen, wie so ein Ding aussieht? tiefgekühlt und sperriger als ein Scheunentor.
Ich verstehe bis heute - ehrlich gesagt - nicht, wie die Dinger funktionieren (sollen). Superposition ist eine völlig andere Physik, die mir fast wie Magie vorkommt. Fühl mich wie so ein bauer aus dem 16. Jahrhundert, der einen Transistor verstehen will, wenn ich darüber nachdenke.
 
Hallo theoth, kannst du hierauf nochmal speziell eingehen; was genau meinst du damit "verlieren bereits den Glauben"?

Ansonsten haben wir heute das hier noch gehabt. Keine Ahnung ob VPS von PP dort gehostet wurden.
Ich hab leider keinen Link dazu, bin aber vor ein paar Monaten auf einen Beitrag von einer Wissenschaftlerin gestoßen, die dieses Gebiet verläßt, weil sie absolut keine Fortschritte sieht. Die hat genau diese zwei Algos erwähnt und bemängelt, daß es momentan keinerlei Forschung zu weiteren Algos gibt. Für sie war das ein toter Karrierepfad. Ähnliches habe auch an anderer Stelle gelesen, aber nicht in dieser Klarheit.
Mein Interesse kam allerdings von der Investition in Aktien solcher Firmen (IONQ, Rigetti ...)
Hatte beide kurz im Depot, aber die sind extrem volatil. Bin dann mit kleinem Gewinn über stop-loss rausgeflogen.
 
Last edited:
Ansonsten ist das alles nur Werbetrommel für nicht vorhandene Probleme wirbeln.
Man kann natürlich exabyteweise Daten für die potentielle Enstschlüsselung in 15 Jahren speichern, aber ich bezweifle, daß das uns groß beunruhigen sollte.
joaaar, bei KI sagte man auch das dauert alles noch Jahrzehnte ...
tjaaa dann war sie doch von heute auf morgen da, wegen eines kleinen durchbruchs, der neue götter schuf.

lieber schutzfeatures bereits dahaben, als abzuwarten bis es zu spät ist.
wenn du das als werbetrommel siehst, naja ... ich betrachte das als nice to have.

verstehe auch immer nicht ''die eine sagt, deswegen ist das so'', einfach die 100000 anderen experten ignorieren die das gegenteil sagen hahahaha
 
Back
Top