1 Einführung
1.1 Haben Sie etwas zu verbergen?
Haben Sie etwas zu verbergen? Ich gehe mal davon aus, dass der durchschnittliche Leser dieses Buches keine finsteren Absichten hat, sich nicht im Widerstand gegen eine faschistische, sozialistische oder wie auch immer geartete Diktatur befindet, und auch im Bereich der Wirtschaftsspionage kein besonders lohnendes Ziel ist. Warum sollten Sie sich also mit sicherer Verschlüsselung befassen?
Etwas länger darüber nachgedacht, fällt Ihnen vielleicht doch eine ganze Menge an Daten ein, die Sie lieber unter Verschluss halten möchten:
- Haben Sie so etwas wie eine EC- oder Kreditkarte? Die hat eine PIN. Ok, die können Sie sich vielleicht noch so merken.
- Hat Ihr PC ein Passwort? Zumindest deswegen, damit ein Dieb nicht ganz so viel Freude damit hat?
- Nutzen Sie Online-Handel wie eBay? Nutzen Sie PayPal? Auch da haben Sie Passwörter?
- Sind Sie in Online-Communities unterwegs? Facebook? Twitter? Internet-Foren? Sind Sie Gedächtniskünstler, dass Sie sich alle die Passwörter merken können? Oder sind es besonders einfache Passwörter - also nicht besonders sichere? Oder nutzen Sie überall dasselbe Passwort - so dass alle Ihre Accounts offen liegen, sobald auch nur ein Webmaster mal schlampig gearbeitet hat?
- Betreiben Sie etwa selbst Webserver? Möglicherweise Online-Communities und haben damit eine besondere Verantwortung für die Zugangsdaten, die Ihnen von Ihren Nutzern anvertraut wurden?
Bislang ging es nur um Passwörter. Es gibt aber auch jede Menge anderer Daten, die Sie schützen wollen oder müssen:
- Sind Sie Berufsgeheimnisträger? Geistlicher? Arzt? Anwalt? Journalist? Wie schützen Sie die Daten, die Ihnen dabei anvertraut werden?
- Sind Sie im Vorstand eines Vereins, einer Gewerkschaft, einer Partei und haben Sie in diesem Zusammenhang mit Mitgliederdaten zu tun?
- Sind sie Unternehmer oder haben Sie als Angestellter in einem Unternehmen mit Daten zu tun, die ihre Mitbewerber nichts angehen?
Und natürlich gibt es auch viele andere Gelegenheiten, in denen Menschen allen guten Grund haben, dass Dinge vertraulich bleiben:
- Haben Sie gesundheitliche Probleme, die sich besser nicht rumsprechen sollten?
- Arbeiten Sie als Sexarbeiterin und wollen ihre Kundendatenbank geheim halten - oder umgekehrt: Sind Sie Kunde bei Sexarbeiterinnen und wollen nicht, dass deren Kontaktdaten einem ungebetenen Besucher ihres Rechners in die Hände fallen?
- Wollen Sie die Kommunikation zu einer früheren Beziehung nicht vernichten (es könnten ja schöne Erinnerungen daran hängen), aber ihre aktuelle Beziehung soll das doch besser nicht lesen?
- Benutzen Sie zusammen mit neugierigen Kindern (oder auch neugierigen Eltern) denselben Rechner?
- Möchten Sie, dass persönliche Aufzeichnungen wie z.B. Ihr Tagebuch auch wirklich persönlich bleiben?
- Möchten Sie Ihre Vermögensverhältnisse nicht ganz so offenlegen, weil sonst das Ende ihrer Ehe noch viel teurer würde, als es ohnehin schon würde?
- Halten Sie sich vielleicht gar nicht im deutschsprachigen Raum auf, sondern in einem Staat, der doch ein ganz anderes Verständnis von Meinungsfreiheit hat?
Also, noch mal: Haben sie etwas zu verbergen? Wenn ja: Herzlichen Glückwunsch, Sie haben dieses Buch nicht am Bedarf vorbei gekauft. Wenn nein: Sie können hier aufhören zu lesen und dieses Buch verschenken.
1.2 Was ist heute noch sicher?
Da Sie ja noch immer hier lesen, haben Sie also etwas zu verbergen. Mit hoher Wahrscheinlichkeit ist das bereits digitalisiert, also als Datei auf Ihrem Rechner oder Ihrem Smartphone. Damit können Sie jetzt eines der vielen im Netz angebotenen Verschlüsselungstools nutzen, viele davon sind OpenSource, damit können Sie sogar jede Zeile im Quelltext prüfen.
Ist das dann sicher?
Ist es sicherer als unverschlüsselt? Ist es so sicher, dass nicht mal die NSA das knacken könnte? Gibt es Hintertürchen? Und vor allem: Wie wollen Sie das beurteilen?
Bevor es hier weitergeht, erst mal eine Zwischenbemerkung: Dieses Buch richtet sich an Laien, nicht an Krypto-Experten. Es ist Anspruch dieses Buches, dass der Laie in Sachen Kryptographie und auch sonst mit Computer-Kenntnissen eher auf Einsteiger-Niveau hier jeden Satz und jede Code-Zeile versteht. Warum das wichtig ist, klären wir ein wenig später.
Verschlüsselung von Daten funktioniert in den meisten Fällen so, dass diese Daten so bearbeitet werden, dass Sie sich nicht mehr lesen lassen. Diese Verarbeitung lässt sich rückgängig machen (man möchte ja wieder an die Daten ran, sonst könnte man sie ja gleich löschen). Um diese Verarbeitung rückgängig zu machen, braucht man "den Schlüssel". Üblicherweise muss man ein Geheimnis kennen, meist ein Passwort. So weit der Regelfall.
Wann ist nun ein Verfahren "unsicher"? Da gibt es grundsätzlich zwei Möglichkeiten:
1.)Das Verfahren oder das Passwort ist zu schwach.
2.)Es ist eine gezielte Schwäche oder Hintertür eingebaut.
Schwache Passwörter und schwache Verfahren
Die eine Möglichkeit ist, dass das Verfahren oder das Passwort schwach ist. Einfacher ist das mit dem schwachen Passwort zu erklären: Nehmen wir die klassische PIN ihrer Kontokarte: Das ist einer vierstellige Zahl, also von 0000 bis 9999, somit zehntausend verschiedene Möglichkeiten. Nehmen wir weiter an, die Prüfung dieser PIN würde eine Sekunde dauern. Um alle 10.000 Möglichkeiten durchzuprobieren bräuchten Sie also 10.000 Sekunden, das sind knapp 3 Stunden. In den allermeisten Fällen müssten Sie auch nicht alle 10.000 mögliche Kombinationen ausprobieren, sondern wären bereits früher am Ziel, im statistischen Mittel nach 5.000 Sekunden.
Beim Geldautomaten wird dieses Problem dadurch gelöst, dass nach der dritten Falscheingabe die Karte eingezogen wird. Da gibt es aber auch eine Bank, mit der man das Problem dann anschließend klären kann. Bei Verschlüsselungssoftware sieht das ein wenig schwieriger aus: Natürlich könnte diese Software nach der dritten Falscheingabe die Daten vernichten; aber dann wären die halt weg, und das ist auch nicht im Sinne der Kundschaft. Zudem würde sich die verschlüsselte Datei beliebig oft kopieren lassen, und bei jeder Kopie hätte man dann drei Versuche - das treibt nur den Aufwand in die Höhe, macht die Daten aber nicht wirklich sicher.
Kurz: Zu einfache Passwörter (oder zu einfache verwendete Geheimnisse) machen die Verschlüsselung unsicher.
Warum ein Verfahren zu schwach sein kann ist schwerer zu verstehen, dazu müssen wir erst mal klären, wie denn solche Verfahren überhaupt arbeiten, und das ist ohne erhebliche mathematische Kenntnisse kaum möglich. Also kratzen wir für den Moment nur mal kurz an der Oberfläche, für dieses Kapitel reicht das völlig aus.
Die meisten Verfahren arbeiten mit einer mathematischen Operation, die in die eine Richtung deutlich einfacher zu berechnen ist als in die andere. Ein Beispiel dafür ist die Faktorisierung: Wenn ich Ihnen die Aufgabe stellen würde, in welche Primfaktoren sich die Zahl 254819 zerlegen lässt, dann würden die meisten von Ihnen vor einem Problem stehen, und selbst diejenigen, die es rechnen können, würden dafür ihre Zeit brauchen. Für die Aufgabe 37*71*97 zückt man mal eben den Taschenrechner (oder das Smartphone mit entsprechender App) und kommt dann auf das Ergebnis 254819.
Die "Sicherheit" dieser Verfahren beruht also nicht darauf, dass man sie nicht knacken kann, sondern darauf, dass es einfach zu lange dauern würde, alle Möglichkeiten durchzuprobieren. Das Problem hier ist der technische Fortschritt: Computer werden immer leistungsfähiger. Verschlüsselungsverfahren, bei denen das Knacken zum Zeitpunkt der Entwicklung Jahrhunderte gedauert hätte, können wenige Jahre später innerhalb von Wochen geknackt werden. Eine besondere Rolle spielen da moderne Gamer-Graphikkarten, die von ihrer Rechenleistung häufig der CPU überlegen sind, und inzwischen zu sehr überschaubaren Preisen erhältlich sind.
Für die Verschlüsselung Ihrer Passwörtern mag dies ein eher unbedeutendes Problem sein: Wenn die Passwörter-Datei in ein paar Jahren lesbar werden sollte, sind die Passwörter hoffentlich schon längst geändert, das gewonnene Wissen also wertlos. Es gibt jedoch durchaus auch Daten, die auch noch in ein paar Jahren geschützt sein sollten.
Gezielte Schwächen und Hintertüren
Ein anderes Problem ist, dass in Verschlüsselungssoftware möglicherweise gezielte Schwächen oder Hintertüren eingebaut wurden. Eine klassische Hintertür wäre ein zusätzliches Passwort, das neben dem vom Benutzer verwendeten Passwort funktioniert. So etwas kann vom Hersteller höchst offiziell eingebaut werden, um für den Fall weiterhelfen zu können, dass der Benutzer sein eigenes Passwort vergisst. Das Problem dabei:...
