Einen kurzen Einstieg in einige grundlegende Begriffe der
Kryptographie - die drei Schutzziele und die symmetrische und
asymmetrische Verschlüsselung - gebe ich in der
einhunderteinunddreißigsten Episode des
Anwendungsentwickler-Podcasts. TL;DR Mit Alice und Bob als Beispiel
zeige ich dir, wie Kryptografie vertrauliche Nachrichten ermöglicht
und welche Rolle sie in deiner IT-Ausbildung spielt. Zu den
behandelten Schutzzielen gehören Vertraulichkeit, Integrität und
Authentizität. Beim symmetrischen Verschlüsseln verwenden beide
Seiten denselben geheimen Schlüssel, der sicher übermittelt werden
muss. Das asymmetrische Verfahren arbeitet mit einem öffentlichen
und einem privaten Schlüssel; dabei erfordert das Rechnen mehr
Aufwand und der private Schlüssel muss geschützt bleiben.
Kapitelmarken [00:00:00] Einstieg in die Kryptografie [00:00:33]
IT-Sicherheit in Ausbildung und Abschlussprüfung [00:02:32] Was
Kryptografie bedeutet [00:03:40] Schutzziele der
Informationssicherheit [00:04:06] Vertraulichkeit am Beispiel von
Alice und Bob [00:05:47] Integrität von Nachrichten [00:06:47]
Authentizität der absendenden Person [00:08:31] Klartext, Chiffrat
und Schlüssel [00:09:53] Symmetrisch verschlüsseln [00:12:04] Den
geheimen Schlüssel sicher übermitteln [00:15:28] Schlüssellängen
und Brute Force [00:17:10] Rechenleistung und Empfehlungen des BSI
[00:19:24] Asymmetrische Verfahren und Schlüsselpaare [00:22:22]
Schlüsselpaare mit PGP erzeugen [00:23:00] Private und öffentliche
Schlüssel [00:25:09] Mit Bobs öffentlichem Schlüssel verschlüsseln
[00:27:33] Rechenaufwand asymmetrischer Verfahren [00:29:52]
Vertraulich in beide Richtungen kommunizieren [00:31:40] Schlüssel
im privaten Alltag handhaben [00:32:44] Client-Server-Kommunikation
und HTTPS [00:35:34] Rückblick auf die behandelten Grundlagen
[00:38:18] Ausblick auf Integrität und Authentizität Inhalt Meist
wird bei der Erklärung von kryptografischen Verfahren der
Nachrichtenaustausch zwischen zwei Personen als Anwendungsfall
verwendet. Person A (meist "Alice" genannt) möchte mit Person B
(meist "Bob" genannt) kommunizieren und dabei gewisse Ziele
erreichen. Nehmen wir einfach an, Alice möchte Bob eine E-Mail
schicken. Kryptographie ist die Wissenschaft der Verschlüsselung
von Informationen. Ein Schlüssel wird zum ver- bzw. entschlüsseln
von Informationen verwendet und kann z.B. ein Passwort sein oder
einfach eine lange Zahl, z.B. eine Kette aus 128 Bit. Um Schlüssel
zu knacken, kann man einfach alle Kombinationsmöglichkeiten
ausprobieren. Das wären bei 64 Bit z.B. ca. 18 Trilliarden. Dieses
Verfahren heißt Brute Force und dauert tendentiell sehr lange. ;-)
Da die Computer aber immer schneller werden (und damit auch
schneller Schlüssel durchprobieren können), sollte die verwendete
Schlüssellänge regelmäßig erhöht werden. Das Bundesamt für
Sicherheit in der Informationstechnik gibt z.B. regelmäßig
Empfehlungen zur Schlüssellänge heraus. Schutzziele der
Informationssicherheit Vertraulichkeit: Der Inhalt der Nachricht
kann nur vom Empfänger gelesen werden und nicht von einem
Angreifer. Üblicherweise muss der Inhalt dafür verschlüsselt
werden. Integrität: Der Inhalt der Nachricht wurde auf dem Weg zum
Empfänger nicht durch einen Angreifer verändert. Hierzu werden
meist Hashverfahren eingesetzt. Authentizität: Die Nachricht stammt
sicher vom angegebenen Absender und nicht von einem Angreifer.
Hierfür sind meist mehrere Verfahren (Verschlüsselung und
Hashverfahren) nötig. Symmetrische vs. asymmetrische
Verschlüsselung Wird zum Ver- und Entschlüsseln der Nachricht der
gleiche Schlüssel verwendet, spricht man von symmetrischer
Verschlüsselung. Beispiel: Alice verschlüsselt die Mail an Bob mit
einem Kennwort, das auch für das Entschlüsseln benötigt wird.
Vorteil: Wenig rechenintensiv, da Schlüssellänge aufgrund des
geheimen Schlüssels kürzer sein darf (z.B. 128 Bit). Nachteil:
Schlüssel muss auf sicherem Wege zwischen Absender und Empfänger
ausgetauscht werden. Wenn zum Verschlüsseln ein anderer Schlüssel
verwendet wird, als für das Entschlüsseln, spricht man von
asymmetrischer Verschlüsselung. Es werden zwei Schlüssel
("Schlüsselpaar") benötigt, die mathematisch miteinander in
Beziehung stehen, sich also berechnen lassen. Dieses Schlüsselpaar
besteht aus dem privaten Schlüssel, der unbedingt geheimgehalten
werden muss, und dem öffentlichen Schlüssel, der für Jederman
einsehbar sein darf (und auch sollte). Damit alle Schutzziele
erreicht werden können, braucht jeder Teilnehmer (Alice und Bob)
sein eigenes Schlüsselpaar. Beispiel: Alice verschlüsselt die Mail
an Bob mit dessen öffentlichem Schlüssel. Bob kann die Mail dann
nur mit seinem privaten Schlüssel entschlüsseln. Vorteil:
Schlüsselaustausch kann einfach erfolgen, sogar auf "unsicherem"
Weg (z.B. Mail, Internet). Nachteil: Rechenintensives Verfahren mit
Schlüsseln, die z.B. 40x so lang sind wie symmetrische Schlüssel
(4096 Bit). Beispiel für asymmetrische Verschlüsselung Um mit
asymmetrischer Verschlüsselung die Vertraulichkeit zu wahren,
verschlüsselt der Absender mit dem öffentlichen Schlüssel des
Empfängers die Inhalte. Nun kann ausschließlich der Empfänger, der
als einziger das Gegenstück zu seinem öffentlichen Schlüssel -
seinen privaten Schlüssel - besitzt, die Inhalte entschlüsseln.
Auch der Absender kann die von ihm versendeten Inhalte nun nicht
mehr lesen. Links Permalink zu dieser Podcast-Episode RSS-Feed des
Podcasts Kryptographie – Wikipedia Informationssicherheit –
Wikipedia IT-Schutzziele: Vertraulichkeit, Integrität,
Verfügbarkeit Kryptographische Verfahren: Empfehlungen und
Schlüssellängen Zusammenfassung Kryptografie in deiner
IT-Ausbildung Seit der Überarbeitung der IT-Berufe im Jahr 2018
sind IT-Sicherheit und Datenschutz ausdrücklich im
Ausbildungsrahmenplan verankert. Als IT-Azubi brauchst du diese
Grundlagen auch in der Anwendungsentwicklung. Fragen zu
kryptografischen Verfahren kamen bereits zuvor in
Abschlussprüfungen vor. Mit Alice und Bob als Beispiel zeige ich
dir, wie du Nachrichten vertraulich austauschen kannst.
Kryptografie bezeichnet ursprünglich die Wissenschaft davon,
Informationen zu verschlüsseln. Im hier verwendeten erweiterten
Sinn gehören auch Hash-Verfahren und elektronische Signaturen dazu.
Schutzziele beim Austausch von Nachrichten Wenn Alice eine E-Mail
an Bob schickt, spielen folgende Schutzziele eine Rolle:
Vertraulichkeit: Nur die vorgesehene Person darf den Inhalt lesen
können. Alice kann ihre Nachricht dafür so verschlüsseln, dass Bob
sie mit dem passenden Schlüssel wieder lesen kann. Integrität: Der
Inhalt bleibt auf dem Weg zur empfangenden Person unverändert.
Ändert ein:e Angreifer:in beispielsweise einen Rechnungsbetrag, ist
dieses Schutzziel verletzt. Hash-Verfahren werden als Verfahren
genannt, um solche Änderungen zu erkennen. Authentizität: Eine
Nachricht stammt von der angegebenen absendenden Person. Dafür
kommen unter anderem kryptografische Verfahren und Hash-Verfahren
zum Einsatz. Die technischen Details zu Hash-Verfahren und
elektronischen Signaturen bleiben für eine weitere Folge
vorgesehen. Vom Klartext zum Chiffrat Ein Algorithmus verarbeitet
den lesbaren Inhalt zusammen mit einem Schlüssel zu einem Chiffrat.
Mit dem passenden Schlüssel lässt sich daraus der ursprüngliche
Text wiederherstellen. Für deine Prüfung solltest du verstehen, wie
symmetrische und asymmetrische Verfahren funktionieren und welche
Schlüssel dabei erforderlich sind. Symmetrisch verschlüsseln Beim
symmetrischen Verfahren verwendest du zum Verschlüsseln und
Entschlüsseln denselben geheimen Schlüssel. Ein Beispiel ist ein
kennwortgeschütztes ZIP-Archiv: Das beim Erstellen festgelegte
Kennwort brauchst du später auch zum Entpacken. Alice könnte ihre
Nachricht in eine Textdatei schreiben, diese in einem
verschlüsselten ZIP-Archiv ablegen und das Archiv an Bob schicken.
Sobald Bob das Kennwort kennt, kann er den Inhalt lesen. Beide
können den gemeinsamen Schlüssel anschließend für Nachrichten in
beide Richtungen verwenden. Das Verfahren benötigt wenig
Rechenaufwand. Als Beispiel für einen technischen Schlüssel wird
eine Bitfolge mit 128 Bit genannt. Den geheimen Schlüssel sicher
übermitteln Damit Bob die Nachricht entschlüsseln kann, muss Alice
ihm den Schlüssel über einen sicheren Weg zukommen lassen. Dafür
braucht sie einen gesonderten Kanal. Aus meiner Praxis kenne ich
verschlüsselte ZIP-Anhänge, deren Kennwort kurz darauf in einer
zweiten E-Mail ankommt. Wer Zugriff auf das betroffene E-Mail-Konto
oder den Mailserver hat, kann beide Nachrichten lesen und damit den
Anhang entschlüsseln. Ein Telefonat ist ein möglicher zweiter Weg.
Beim Diktieren komplexer Kennwörter können Fehler entstehen;
außerdem muss die andere Person erreichbar sein. Auch Mithören oder
Abhören bleibt ein Risiko. Für alltägliche private Dateien wird ein
verschlüsseltes ZIP-Archiv mit einem Kennwort genannt, das
beispielsweise telefonisch oder per SMS übermittelt wird.
Schlüssellängen und Brute Force Technisch bestehen Schlüssel aus
Bitfolgen. Bei einem Brute-Force-Angriff werden mögliche Schlüssel
systematisch ausprobiert, bis einer passt. Mit 128 Bit gibt es
bereits sehr viele Kombinationen, wodurch vollständiges
Durchprobieren viel Rechenzeit erfordert. Die verfügbare
Rechenleistung beeinflusst, welche Schlüssellängen als sicher
gelten. Auch mögliche Auswirkungen von Quantencomputern werden
angesprochen. Das Bundesamt für Sicherheit in der
Informationstechnik, kurz BSI, veröffentlicht regelmäßig
Empfehlungen zu geeigneten Schlüssellängen. Die genannten Zahlen
dienen als Größenbeispiele im behandelten Kontext. Asymmetrisch
verschlüsseln Ein kryptografisches Programm erzeugt ein
Schlüsselpaar, dessen beide Teile mathematisch zusammenhängen. Als
Beispiel wird PGP genannt, ausgeschrieben "Pretty Good Privacy".
Für deine Ausbildung brauchst du das Prinzip; die Schlüssel von
Hand mathematisch herzuleiten gehört laut den Ausführungen zum
Ausbildungswissen,...
Kommentare (0)
Melde dich an, um einen Kommentar zu schreiben.