Propädeutikum Webwissenschaften

Kryptographie - eine Einführung

Zur Sicherheit digitaler Kryptographie

Die Sicherheit der Kryptographie hängt in erster Linie vom verwendeten Schlüssel ab. Dessen Länge, dessen Verwahrung und eventuellen, rechtlichen Beschränkugen. In eier Veröffentlichung der Freien Universität Berlin zum Thema "Kryptographische Verfahren" ist die Zeit für einen erfolgreichen Angriff mittels "Brut Force" unter Verwendung eines Spezialrechners in Abhängigkeit von der Schlüssellänge wie folgt angegeben:

Quelle: http://bit.ly/2CKf77Y (24.2.2018) 

Selbt wenn heute vorhandene Superrechner dies in wesentlich kürzerer Zeit bewältigten, so ist die Sicherheit aktueller kryptografischer Verfahren aus ökonomischem Aspekt zu betrachten. Seriöse Priesangaben für die Nutzung von Supercomputern aus dem Ranking der besten (siehe: https://top500.org 24.2.2018) konnten im Rahmen dieser Recherche nicht ermittelt werden. Es zu vermuten, dass die Rechenleistung für Zecke der Kryptoanalyse mit einem 256 Bit oder längerem Schlüssel enorme Summen veschlingen würde, deren Einsatz nur Fälle höchster Priorität zu rechtfertigen wären. Selbst in diesen Fällen könnte die Zeit zur Entschlüsselung noch immer zu lang sein, um rechzeitig anstehende Entscheidungen zu unterstützen.

So gesehen ist die dargestellte kryptografische Verschlüsselung als ausreichend sicher anzusehen, wenn das Verfahren (die angewandte Software) nicht selbt korrumpiert ist, die Anwendung "sehr guter" Verschlüsselung nicht untersagt wird, die Benutzer nicht aufgefordert werden verwendete Schlüssel oder Teile davon bei Regierungsstellen zu hinterlegen, oder die Verschlüsselung nicht gänzlich verboten wird. Politisch motiverte Diskussionen zu diesem Thema exisiteren seit geraumer Zeit (siehe: http://bit.ly/2HLWLau 24.2.2018) und viele Varainten von Ge- und Verboten wurden in der Vergangenheit bereits realisiert und teils wieder zurückgenommen.

Besondere Beachtung finden korrumpierte Implementierungen (Software) kryptographischer Verfahren. Nachweislich wurde Verschlüsselungssoftware für den allgemeinen Gebrauch angeboten, bzw, auch öffentlich diskutiert, welche "Hintertüren" enthielten. Kenner der Hinterür, konnten oder konnten mit vertretbarem Aufwand, ohne Kenntnis des Schlüssels, selbst sehr gut geschütze Dokumente entschlüsseln. Das französiche Staatssekretariat für Digitales hat sich vor nicht allzu langer Zeit dagegen ausgesprochen (siehe: http://bit.ly/2ozsiob 28.2.2018)

Dieser, und vergleichbare Umstände riefen Vertreter des offenen Quellcodes (Open Source) auf den Plan (siehe: https://opensource.org 24.2.2018)

Ein Artikel der Zeitung Die Zeit gibt einen Überblick um Bestrebungen zur Restritktion der Anwendung kryptografischer Verschlüsselung (siehe: http://bit.ly/2hqETa0 28.2.2018).

Wenn das Vertrauen in die Kryptographie nicht ausreicht, so kann in Kombination mit dieser auch noch Steganographie eingesetz werden.

Ich bin mir immer noch nicht ganz sicher, ob ich Vertrauen in die heutige Verschlüsselungstechnik setzen soll.

Es werden zwar die Zertifikate (Schlüssel) so gesichert, dass man sie nicht mehr knacken kann, aber ich sehe den Schwachpunkt eher dort, wo die Schlüssel beim einzelnen liegen. Ist es nicht doch noch immer genauso leicht einen Schlüssel von jemandem zu erpressen, wie früher den Code der Rosenkreuzer?

Anbei noch ein Artikel aus dem Jahr 2013 zum Thema SSL-Knacken.

Auch hier steht schon, dass vermutet wird, dass die NSA die Mittel hat eine 1024 Bit Verschlüsselung zu knacken.

Die Kryptographie ist den Kapazitäten der Rechenleistungen von Computern (wenn kein Schlüssel vorliegt) meilenweit voraus. Ansonsten würde man eher wenig in den Medien zu lesen haben. Des Staat muss mittels Trojanern ein Gerät infiltrieren und vor der eigentlichen Verschlüsselung die Daten sammeln. Ist ja auch viel kostengünstiger und einfacher, als SuperComputer monatelang auf Hochtouren mit der Entschlüsselung zu beschäftigen. Die Kryptographie schützt zB meine Daten vor fremder, missbräuchlichen Verwendung. Aber auch die Daten/Informationen für Verbrechen.

Aber es drängt sich mir eine Frage auf. Da wir statistisch gesehen in einem der sichersten Länder wohnen, frage ich mich, wieviel "Verbrechen" der Staat glaubt zu verhindern/aufklären zu können, in dem er Handys, Computer usw mit Trojanern infiziert? Mich erinnert das an ein Buch, das ich vor langer Zeit mal gelesen habe. Die Schockstrategie von Naomi Klein. Unter anderen kann man darin Lesen, das es gängige Praxis ist nach einem Terroranschlag, (z.B World Trade Center), laut Klein ein "Schock",  die Sicherheitsmaßnahmen zu verschärfen und der Bürger eher bereit ist, auf gewisse Bürgerrechte zu verzichten, um die Sicherheit zu gewährleisten.

Symmetrische und asymmetrische Verschlüsselung

Bei einer symmetrischen Verschlüsselung erfolgt die Ver- und Entschlüsselung mit dem gleichen, geheimen Schlüssel. Dieser muss von allen beteiligten Personen vertraulich behandelt werden. Da aber eine Weitergabe des Schlüssels nicht ausgeschlossen werden kann, kann kein kompletter Schutz geboten werden.

Bei der asymmetrischen Verschlüsselung ist der Ver- und Entschlüsselungs-Schlüssel nicht ident. Man unterscheidet zwischen einem öffentlichen, sprich „public“ , und einem geheimen, sprich „private“, Schlüssel. Da es sich hierbei um eine nicht umkehrbare Verschlüsselung handelt, kann nicht von dem einen auf den anderen Schlüssel rückgeschlossen werden. Dabei werden zwei unterschiedliche Vorgehensweisen betrachtet:

• Um die Vertraulichkeit und die Datenintegrität zu bieten, darf nur der Verschlüsselungs-Schlüssel veröffentlicht werden, währenddessen muss der Entschlüsselungs-Schlüssel geheim bleiben.

• Möchte man aber die Authentifizierung und Verbindlichkeit schützen, so darf nur der Entschlüsselungs-Schlüssel veröffentlicht werden. Hierbei übernehmen Zertifizierungsstellen den vertrauenswürdigen Verbindungsnachweis zwischen Entschlüsselungs-Schlüssel und dem Absender.

Für Nutzern ist kombinierte Verschlüsseln in bestimmte Umstände richtig zu brauchen von Bedeutung, nämlich Biometrische Idenzifierung oder Form zeichnung. Visual oder Interactive Entschlüsselung wäre interessant. 

Obwohl der Banken und andere Dienstanbietern Geheimhaltung versprechen aber können Sie unsere Daten geheimhalten, gibt es vielleicht Druck/Zwang für Dienstanbieter von Regierung?

Viele Anbieter von verschlüsselten Diensten verfügen selbst nicht mehr über die Schlüssel, sondern belassen diese beim Nutzer. Somit ist der Anbieter selbst nicht mehr erpressbar, die Schlüsselphrasen preiszugeben.

Hier ist die Lösung wiederum nur eine Hintertür einzubauen oder das Endgerät der Nutzer selbst zu kompromittieren.

Wer sich ein wenig mit Kryptographie und deren Anwendungen spielerisch beschäftigen will...

http://scienceblogs.de/klausis-krypto-kolumne/