Kryptographie

Worum geht es eigentlich?

In der IT löst kaum etwas so viel Verunsicherung, Verwirrung und sogar Politikerstellungnahmen aus wie die Kryptographie. Im Folgenden möchten wir einige typische Anwendungsfälle vorstellen und auf grundsätzliche Chancen und Risiken eingehen.

Hauptthemen der Kryptographie sind:

  • durch Verschlüsseln wird verhindert, dass Daten von Unbefugten eingesehen werden können
  • anhand von Prüfsummen (Message Digests) kan man erkennen, ob Daten verändert wurden
  •  mit Signaturen bestätigt eine bestimmte Person die Richtigkeit von Daten

Auf der Seite Hintergrundwissen zur Kryptographie gehen wir detaillierter darauf ein.

Für LeserInnen, die einen eher praktischen Zugang bevorzugen, stellen wir im Folgenden vier gängige kryptographische Anwendungen vor.

Absolute Sicherheit gibt es nicht, erst recht nicht in der IT. Daher gehen wir im Anschluß auf die Grenzen und Schwächen der Kryptographie ein.

Folgt man dem politischen Diskurs, erscheint die Kryptographie hingegen als zu sicher, was Forderungen nach Hintertüren und verpflichtenden Schwachstellen mitsich bringt. Diesem Thema ist der Abschnitt Spannungsfeld zwischen Kryptographie und Kontrolle gewidmet.

Eine Kryptocheckliste bildet den Abschluß.

Wofür kann ich Kryptographie einsetzen?

Wir beschreiben zunächst vier prominente Anwendungen, die auch im universitären Kontext von Interesse sind.

Diskretion im Web – https

Wenn Sie Ihr Passwort im Web eingeben oder private Daten abrufen, sollen diese unbelauscht über's Netz transportiert werden. Das Schlosssymbol im Browser (technisch gesehen das "https"-Protokoll) steht für verschlüsselte und unverfälschte Kommunikation samt Idenitätsprüfung.

Dieses Verfahren ist allgegenwärtig und einfach zu bedienen. Was Sie aber doch darüber wissen sollten, haben wir auf der Seite Diskretion im Web mit https zusammengefasst.

Notebook verloren

Es kann leicht passieren, dass ein Notebook, Smartphone oder Tablet gestohlen wird oder verloren geht. Der materielle Verlust schmerzt, ist aber ersetzbar und auch der Inhalt ist (hoffentlich!) dank Backup leicht wiederherstellbar.
Was aber macht ein/e Dieb oder neugierig/e FinderIn mit den gespeicherten Daten? Auch wenn es keine Staatsgeheimnisse sind, irgendwelche schützenswerte Daten sind bald wo gespeichert. Damit diese nicht in falsche Hände kommen, sollte man die Festplatten- oder Geräteverschlüsselung aktivieren.

E-Mail schützen

Eine E-Mail-Nachricht wandert offen wie eine Postkarte durch's Internet: Bei jedem System, das die Nachricht am Weg zum Ziel passiert, kann sie rein theoretisch von den Betreibern unbefugt gelesen werden. Es gibt auch unbefugtes Schreiben: Wer den Absender fälscht und sich als jemand anderer ausgibt, kann einigen Schaden anrichten.

Maßnahmen dagegen beschreiben wir näher auf der Seite E-Mail verschlüsseln und signieren.

Verschlüsselte Container

Manchmal möchte man Daten gesondert versperren: Entweder als zweite Verteidigungslinie, weil man das Risiko eines Serverfehlers oder eines Passwortverlusts nicht eingehen möchte, oder weil die Daten ungesichert – z.B. über USB-Stick oder unverschlüsselte E-Mail – transportiert werden. Gute Dienste leisten hier verschlüsselte Container.

Weitere Anwendungen

gibt es viele, auf die einzugehen hier den Rahmen sprengen würde. Beispiele dafür sind:

  • Netzzugang mit VPN
  • Signierte PDF-Dokumente (z.B. Zeugnisse mit Amtssignatur)
  • Verschlüsselung im WLAN
  • Hardware-Token und Chipkarten

Grenzen und Schwächen der Kryptographie

Nichts im Leben ist 100%ig sicher und natürlich hat es trotz aller Erfolge auch kryptographische Debakel gegeben. Wichtig ist, daraus die nötigen Lehren zu ziehen und zu einer realistischen Einschätzung kryptographischer Werkzeuge zu gelangen.

Lesson learnt nr. 1: Gegen Fehlbedienung ist die beste Technik machtlos. Wer z.B. Zertifikatswarnungen ignoriert, begeht digitalen Harakiri. Das ist nicht zuletzt eine Frage der Schulung.

Lesson learnt nr. 2: Verlorene oder unzugängliche Schlüssel machen verschlüsselte Information unbrauchbar. Im professionellen Umfeld sollte man diesen Fall einplanen und vorsorgen (z.B. durch Hinterlegungspflicht oder die Speicherung auf einem anders geschützen Medium).

Lesson learnt nr. 3: Kryptographie wirkt nicht, wo sie nicht zum Tragen kommt. Belauscht beispielsweise eine Schadsoftware den PC, bevor die Nachricht verschlüsselt wird, nutzt die beste Kryptographie nichts. Nicht zufällig setzen Behörden und Geheimdienste auf "Bundestrojaner" und Lauschsoftware direkt bei der/beim AnwenderIn.

Lesson learnt nr. 4: Kryptographie wirkt nicht, wo berechtigte BenutzerInnen sie umgehen weil sie mit Bestechnung, Zwang, Gewalt, Drogen usw. beeinflusst werden.

 
https://www.xkcd.com/538/

Lesson learnt nr. 5: Wie jede andere kann auch kryptographische Software kann Fehler aufweisen. Daher sollte man auf vertrauenswürdige Hersteller (woran allerdings erkennt man die?) und rasche Updates achten und verschlüsselte Information nicht mehr als nötig exponieren.

Lesson learnt nr. 6: Algorithmen altern. Ein Verfahren, das heute als sicher gilt, könnte in zehn oder 15 Jahren bereits angreifbar sein. Wenn Geheimhaltung für einen längeren Zeitraum unbedingt erforderlich ist, sind besondere Maßnahmen nötig.

Lesson learnt nr. 7: Verschlüsselung kann insofern ein Sicherheitsproblem sein, als dadurch z.B. Virenscanner gehindert werden, Schadsoftware zu erkennen.

Gibt es den Talebschen schwarzen Schwan? Eine Reihe unwahrscheinlicher, aber möglicher Fälle könnte zum Versagen der Kryptographie führen. Quantencomputer, deren praktischer Einsatz derzeit nicht unmittelbar bevorsteht, könnten beispielsweise mit einem Schlag bestehende Verfahren unbrauchbar machen. Inwieweit hyptothetische Bedrohungen entscheidungsrelevant sind, muss von Fall zu Fall beurteilt werden.

Spannungsfeld zwischen Kryptographie und Kontrolle

Erfolgreicher Einsatz von Kryptographie ist für zumindest drei Gruppen problematisch: den Staat, Spione politischer und wirtschaftlicher Ausrichtung und die IT-Security in der eigenen Organisation (da z.B. ein Virenscanner
keine verschlüsselten Daten scannen kann).

Die in der Tagespolitik gerne aufgestellte Forderung (z.B: von De Maizière im Jänner 2015), in Kryptographie müsse man Hintertüren für Behörden einbauen, ist etwa so zielführend wie zu verlangen, dass die 2 + 2 gesetzlich 3,997 zu lauten habe. Kryptographie ist Mathematik, jeder der nachrechnet wird das Ergebnis korrigieren.

Man könnte auch vorschreiben, dass in die verwendete Software Fehler eingebaut werden, die nur „den Guten“ bekannt sind. Unbefangenen BetrachterInnen fällt es schwer, der Annahme, Terroristen und andere „schwere Jungs“ würden sich sich kaputte Sicherheitsprodukte vorschreiben lassen, einen ein nennenswerten Realitätsbezug beizumessen.

Auch in anderer Hinsicht begibt man sich auf dünnes Eis: Wenig spricht dafür, dass das Wissen über die Schwachstellen tatsächlich vor z.B. organisierter Kriminalität und ausländischen Geheimdiensten geheim gehalten werden kann. Man liefert sich sozumaßen den größten Feinden aus – eine unabschätzbare Gefährdung, die niemand verantworten kann.

Da die Ansprüche der IT-Security erwähnt wurden und zum Thema dazugehören, möchten wir auch darauf noch eingehen. In einer vollständig zentral gemanagten
Unternehmensinfrastruktur ist es tatsächlich machbar, die Kryptographie sozusagen an der Firewall aufbrechen. An der Uni Wien steht das allerdings nicht zur Debatte, da dazu sowohl der politische Wille als auch in dieser Umgebung die technische Machbarkeit fehlen.

Kryptocheckliste

Die folgende Checkliste soll Ihnen helfen, sicherzugehen, dass in Ihrer IT-Umgebung die allgemein üblichen Kryptographischen Sicherheitsvorkehrungen getroffen sind.

Gebrauchsanleitung: Überlegen Sie für jeden Checkpunkt, ob er für Sie relevant ist und wenn ja, ob er erfüllt ist, noch weitere Informationen oder andere Maßnahmen nötig sind. Notieren Sie das Ergebnis dieser Überlegungen und ergreifen Sie dann die notierten Maßnahmen. Wiederholen Sie das Verfahren in angemessenen Intervallen.

CheckpunktErgebnis / Maßnahmen
Sicherheitstipps zu https im Web bekannt
E-Mail-Klienten verwenden TLS oder STARTTLS
Handy verschlüsselt
Tablet verschlüsselt
Notebook-Festplatte verschlüsselt
Passwörter dazu gesichert
Keine vertraulichen Daten in E-Mail (ggf. E-Mail verschlüsselt)
Passwörter dazu gesichert
Besonders gefährdete oder sensible Daten in einem Cryptocontainer gesichert
USB-Sticks und externe Festplatten verschlüsselt
Passwörter dazu gesichert

Fazit

Die Kryptographie stellt eine breite Palette von hervorragenden Werkzeugen bereit. Sie werden verwendet, um Daten in unkontrollierbarer Umgebung
(Internet)  Eignen sich als zweite Verteidigungslinie, um Risiken abzudecken
Einige davon haben wir, ohne es zu merken, im täglichen Einsatz,
andere erfordern für ihren erfolgreichen Einsatz gründliche Vorbereitungen.

KontaktFeedback