Verschlüsseltes Chatten mit Pidgin und OTR unter Windows (für Anfänger)

Watch out for being watched!

Viele Freunde und Bekannte von mir benutzen Instant Messaging, größtenteils ICQ. Ich persönlich bin ja der Meinung, dass Jabber/XMPP die Zukunft ist und benutze es deshalb auch ausschließlich. Wieso Jabber die coolere Lösung als ICQ, AIM, MSN und wie sie alle heißen ist, will ich hier nicht diskutieren. Dies kann z.B. hier nachgelesen werden.

 

Vor kurzem haben Jeck und ich damit begonnen, unserem Bekanntenkreis Jabber und Off-the-Record Messaging (OTR) näher zu bringen und hatten auch ziemlich viel Erfolg damit. Gerade OTR hat einige Leute bei weitem mehr interessiert, als ich es für möglich gehalten hätte. Denn viele, denen das Verschlüsseln ihrer Korrespondenzen bis vor Kurzem noch überflüssig und zu mühsam erschien, sehen ihre Privatsphäre zum ersten Mal bedroht. Wer sich früher noch nicht vorstellen konnte, dass überhaupt jemand ein Interesse daran haben könnte, mitzulesen, bekommt nun fast täglich in der Tagesschau das Gegenteil unter die Nase gerieben.

 

Die meisten unserer Bekannten benutzen Windows und sind nicht gerade Computer-Nerds. Also hieß es für uns, nach einer möglichst einfachen Lösung zu suchen. Und wir meinen, dass wir mit dem Multi-Protokoll-Client Pidgin plus OTR-Plugin etwas gefunden haben, womit die meisten Leute klarkommen sollten.


Dass es technisch durchaus bessere Clients gibt ist uns klar, doch lagen unsere Prioritäten in diesem Fall eben anders. Eine Liste weiterer IM-Clients mit OTR-Unterstützung gibt es am Ende des Artikels.

 

Aufgrund des großen Interesses sah ich Bedarf an einer möglichst einfachen Schritt für Schritt Anleitung für Windows-Benutzer ohne nennenswerte Computer-Nerd-Ambitionen.


Und hier ist sie:

 

1. Besorg Dir die benötigte Software:


Die hier verwendete Software ist freie Software. Und in diesem Fall heißt das nicht auschließlich frei im Sinne von frei wie ein Vogel, sondern auch noch frei wie Freibier.


Pidgin, also das Programm mit dem ab jetzt gechattet wird, kannst Du hier laden. Das Plugin für die Verschlüsselung per OTR gibt es hier. Und zwar ist Win32 installer for pidgin 2.x der Download der Wahl.

 

2. Installiere die herunter geladene Software:


Installiere als erstes Pidgin. Die Installation ist recht unkompliziert. Immer schön lächeln, zustimmen und “weiter” klicken. Am Ende der Installation wird gefragt, ob Pidgin nun gestartet werden soll. Hier kannst Du mit Nein antworten.


Als nächstes ist nun das Plugin an der Reihe. Auch hier ist die Installation nicht komplizierter. Wenn das Plugin installiert ist, kannst Du Pidgin zum ersten Mal starten.

 

3. Füge ein Benutzerkonto hinzu:


Beim ersten Start fragt Dich Pidgin, ob Du nicht ein Benutzerkonto hinzufügen möchtest. Natürlich möchtest Du!


Mit Klick auf den Button Hinzufügen öffnet sich ein Fenster, über welches Du bestehende Konten in Pidgin einrichten und neue erstellen kannst (Bild). Da Pidgin verschiedene Protokolle unterstützt, kannst Du hier auch Deinen alten ICQ (oder sonst was) Account einrichten, auch wenn das nicht sonderlich cool ist.


Einen Jabber-Account hast Du vielleicht auch schon. Wenn Du z.B. über ein Google-Konto (Google Talk an Stelle von XMPP wählen), eine E-Mail-Adresse bei web.de oder GMX verfügst, bist Du schon voll ausgestattet. Weitere Informationen dazu findest Du natürlich auf der allwissenden Müllhalde.
Wir wollen hier aber jetzt ein komplett neues Konto erstellen. Wähle dazu zunächst das Protokoll XMPP (offizieller Name!) im Drop-Down-Menü. Such Dir einen schicken Benutzernamen aus und schreibe ihn in das entsprechende Feld.


In das Domain-Feld gehört der Jabber-Server Deines Vertrauens. Das könnte z.B. jabber.org oder swissjabber.ch sein. Ich persönlich mag jabber.ccc.de, der ist zwar manchmal etwas zickig, dafür aber vertrauenswürdig und sympathisch.


Such Dir noch ein gutes Passwort aus und setze ganz unten ein Häkchen um den Account neu zu erstellen. Weitere Häkchen kannst Du nach Bedarf machen. Sieh Dich einfach ein bisschen im Fenster um, SSL bzw. TLS ist z.B. immer ein Häkchen wert.


Bestätige deine Angaben und wenn Dein gewählter Benutzername nicht schon vergeben war, hast Du es fast geschafft.

 

4. Sorge für Verschlüsselung:


Um über Deinen nagelneuen Jabber-Account verschlüsselt kommunizieren zu können, musst Du jetzt nur noch das OTR-Plugin einrichten. Dazu klickst Du in der Menüleiste des Pidgin Fensters Werkzeuge und dann Plugins. Ein neues Fenster öffent sich (Bild).


In diesem Fenster scrollst Du runter, bis Du Off-the-Record-Messaging gefunden hast. Da machst Du ein Häkchen dran.


Jetzt wählst Du das Plugin aus und klickst unten am Fester auf den Button zum Konfigurieren des Plugins. Ein weiteres Fenster öffnet sich (wer hätte es für möglich gehalten?!) (Bild). Geh zunächst sicher, dass die Häkchen zum Einschalten und zum automatischen Einleiten der Verschlüsselung gesetzt sind. Dann wählst Du oben aus dem Drop-Down-Menü einen Account aus und klickst den Button Generate um einen Schlüssel zu erzeugen. Falls Du mehrere Accounts eingerichtet hast, tu Dir keinen Zwang an und generiere Schlüssel für alle. OTR ist nicht nur mit Jabber möglich, generiere also auch Schlüssel für Deine ICQ- oder was weiß ich was für Accounts.


Fertig!


Ab jetzt kannst Du mit jedem, dessen Client OTR unterstützt, verschlüsselt Nachrichten hin- und herschicken und keiner kann mitlesen. Toll, oder?

Wenn Du anderen Deine neue Jabber-ID mitteilen willst, musst Du natürlich noch wissen, wie sie aussieht. Sie setzt sich aus Deinem Benutzernamen und der Domain des Servers getrennt durch ein “@” zusammen. In unserem Beispiel wäre das “beispiel@jabber.ccc.de”.


Sieht aus wie eine E-Mail-Adresse, ist aber keine!

 

Ich werde es zwar wahrscheinlich bereuen, aber egal: Falls Du niemanden zur Hand haben solltest, mit dem Du Dein neues Spielzeug mal ausprobieren kannst, wende Dich vertrauensvoll an mich.


Meine Jabber-ID lautet: pattex@jabber.ccc.de


Da ich selber kein Windows-Benutzer bin, mag es sein, dass diese Anleitung nicht ganz optimal ist. Anmerkungen bitte in die Kommentare.


Weitere IM-Clients mit OTR-Unterstützung


Direkte Unterstützung:

Unterstützung durch ein Plugin:

Source: http://nureinhobby.org/invader/uncategorized/verschlusseltes-chatten-mit...

Zeige Kommentare: ausgeklappt | moderiert

Mal ein Zitat aus dem BKA Abschlussbericht AGNES 2008 (leaked)

 

"Das Gleiche gilt für Internetkommunikationsplattformen wie PALTALK, Yahoo-
Messenger, ICQ oder Microsoft Messenger. Probleme mit dieser Art der Überwachung
gibt es nur bei verschlüsselter Kommunikation. Denn in solchen Fällen kann bei einer
TKÜ nur festgestellt werden, dass kommuniziert wird, der Inhalt der Unterhaltung ist
jedoch nicht zu erkennen."   
- Seite 119

 

Ihr müsst wissen, sie können euren Anschluss überwachen, alles was rein/raus geht. Wenn ihr aber verschlüsselt können sie nur sinnloses Zeug mitschneiden.

Auch beim Anbieter des Dienstes kann im Rahmen der TKÜV gesnifft werden. Dies läuft ebenso jedoch ins leere wenn mit otr verschlüsselt wird.

der link zum Psi–Plugin is defekt (http://www.tfh-berlin.de/%7Es717689/)

https://www.systemli.org/jabber/ - Web-Registrierung | Browserlogin möglich

 

https://imsg.ch/ (Immerda.ch) - Web-Registrierung | Browserlogin möglich

 

http://web.jabber.ccc.de/ - Registrierung vom Clienten aus 

 

Für die bekannte und weit verbreitete Jabber-Serversoftware ejabberd (geschrieben in Erlang) gibt es ein Man-in-the-Middle plugin: http://www.ejabberd.im/mod_otr Deswegen ist es unabdingbar den Schlüssel seines gegenübers zu verifizieren. Also einfach den fingreprint aufschreiben und bein nem Bier vergleichen und gut ist.

 

Andernfalls besteht die Gefahr daß sowohl Du als dein Gesprächspartner jeweils mit dem jabberserver verschlüsselt chatten, der jedoch die Nachrichte klartext jeweils wieder zu gesicht bekommt und so auch mitschneidet. Der relevante Button heißt "Buddy verifizieren" und anschliessend müsstet ihr sowas sehen.

Hier findet Ihr ein Video-Tutorial: https://www.youtube.com/watch?v=FdYSWDbS_Gc

Hi,

gut zu wissen, dass es die Möglichkeit der Verschlüsselung gibt. Doch gibt es das auch für das Passwort, was in Klartext versendet wird?