Risiken & Schwächen: Verschlüsselung in der Zukunft – Was ist wirklich sicher?

Was heute sicher erscheint, ist womöglich bald schon wieder geknackt. Quantencomputer und Co. machen es selbst den besten Algorithmen nicht leicht. Aktuell warnen Kryptologen davor, dass mit RSA einer der Grundpfeiler der verschlüsselten Kommunikation ins Wanken gerät. So sieht die Zukunft aus. [...]

SICHER IN DER CLOUD: PLATTFORMUNABHÄNGIG VERSCHLÜSSELN
Wer Daten in der Cloud speichert, der muss sich darüber im Klaren sein, dass er dem Anbieter diese Informationen anvertraut und damit die Datensicherheit in fremde Hände legt. Aber selbst wenn sich der Cloud-Dienstleister gewissenhaft um Sicherheit kümmert, verschlüsselten Zugriff per HTTPS und Verschlüsselung auf dem Server anbietet, so bleibt ein Unsicherheitsfaktor. Denn es gibt keine Garantie, dass der Anbieter in Zukunft nicht Opfer einer Sicherheitslücke oder eines Einbruchs wird. Die Verschlüsselung der Daten vor dem Ablegen in der Cloud schafft eine zusätzliche Sicherheitsebene. Wichtig ist, dass die verwendete Verschlüsselungs-Software möglichst plattformunabhängig ist, denn die Daten sollen ja zwischen verschiedenen Systemen ausgetauscht werden und sich dort lesen lassen.
Wer zusätzlichen Wert auf die Sicherheit der Daten legt, bekommt mit Boxcryptor eine praktische Lösung zur Verschlüsselung von Dateien. Das Programm nutzt den Algorithmus AES mit 256 Bit und kann mit Dropbox, Microsoft Skydrive und Google Drive umgehen. Die Dateien werden vor dem Hochladen auf einer virtuellen Festplatte verschlüsselt. Boxcryptor steht nicht nur für Windows XP, Vista, 7 und 8 zur Verfügung, sondern auch für Mac OS X, iOS sowie Android und ist mit der Verschlüsselung von Enc FS unter Linux kompatibel. Einem Zugriff auf die Daten von verschiedenen Systemen aus steht also nichts im Weg. Die englischsprachige Freeware ist für die private Nutzung kostenlos, eine Business-Version kostet 69,99 Euro.
Zur Verschlüsselung von wenigen einzelnen Dateien eignet sich das Kommandozeilen-Tool Bcrypt. Die Open-Source-Software nutzt den symmetrischen Blockverschlüsselungs-Algorithmus „Blowfish“ mit einer Schlüssellänge von 443 Bit. Für Windows liegt Bcrypt als EXE-Datei vor und wird in der Eingabeaufforderung verwendet. Es lässt sich auch unter Linux und Mac OS X kompilieren.
EINGEBAUTE UNSICHERHEIT GERÜCHTE UM HINTERTÜREN
Egal, wie sicher ein Verschlüsselungsalgorithmus angelegt ist, eine Hintertür kompromittiert die Sicherheit komplett. Hartnäckig halten sich Gerüchte, dass viele Algorithmen eine fest eingebaute Hintertür haben, damit Entwickler und Behörden bei Bedarf auf Daten zugreifen können, ohne den eigentlichen Schlüssel zu besitzen. Prominentes Beispiel ist der heute obsolete, 1975 veröffentlichte „Data Encryption Standard“ (DES), an dessen Entwicklung auch die National Security Agency (NSA) beteiligt war. Dies allein genügte schon, um die Verschlüsselungsmethode in den Augen einiger Experten verdächtig zu machen, obwohl sich ein Beweis für eine Hintertür im Algorithmus nie finden ließ. Geknackt wurde DES erstmals 1998 von der Electronic Frontier Foundation im Rahmen eines Wettbewerbs mit der ganz traditionellen Brute-Force-Methode.
Wie schwer sich ein bloßer Verdacht widerlegen lässt, mussten auch die Entwickler von PGP feststellen: Um einer Verurteilung wegen der Verletzung von Exportbeschränkungen zu entgehen, widerlegte Phil Zimmermann das Gerücht und verwies darauf, dass der Quellcode von PGP vollständig offengelegt ist. Tatsächlich ist Open Source auch in Zukunft der einzige Garant dafür, dass eine Verschlüsselungsmethode und deren Implementierung in Programmen sicher und frei von Manipulation sind. PGP und dessen Variante GPG, die auf dem gleichen Standard basiert, gelten weiterhin als sehr sicher. GPG ist in Form des Freeware-Tools Gpg4Win. Der Sicherheitsexperte Bruce Schneier charakterisiert PGP als Verschlüsselungsmethode, die militärischen Standards am nächsten kommt. Strafverfolgungsbehörden suchen daher an anderer Stelle nach Schwachstellen: Hoch im Kurs stehen Spionageprogramme, die Passwörter und Schlüssel direkt vom Computer stehlen sollen.
Ohne Hintertür geknackt: Der Electronic Frontier Foundation gelang mit dem eigens entwickelten Superrechner „Deep Crack“, der 1536 dieser Chips enthielt, ein Brute-Force-Angriff in 56 Stunden. Quelle: Electronic Frontier Foundation
* David Wolski ist Redakteur der deutschen PC-Welt.