Eine Beschreibung der Verschlüsselung: Das Wie, Warum und Wann der Kryptographie

Die Liste der Websites, auf denen Ihr Passwort unverschlüsselt gespeichert ist, ist erschütternd. Die Datenverletzung von Ashley Madison im aktuellen Speicher ist ein Paradebeispiel für den Missbrauch sensibler Informationen, bei dem über 300 GB Benutzerdaten im Klartext kompromittiert wurden. Dies ist auch nicht das einzige Beispiel dafür, dass Websites wie Britannica kürzlich der Speicherung von Klartext-Passwörtern beschuldigt wurden.


In diesem Handbuch zur Verschlüsselung wird erläutert, warum vertrauliche Informationen während der Übertragung und Speicherung verschlüsselt werden müssen, damit Sie sich vor schlechten Sicherheitspraktiken schützen können. Wir geben Ihnen eine grundlegende Definition der Verschlüsselung, gehen die verschiedenen Vorgehensweisen durch und bieten auch einige Verwendungsmöglichkeiten dafür.

Wir hoffen, dass Sie am Ende dieses Handbuchs die Notwendigkeit der Verschlüsselung sensibler Daten und der realen Anwendungen dafür verstehen. Obwohl Kryptografie ein dichtes und komplexes Thema ist, haben wir versucht, es für den Zweck dieses Handbuchs so einfach wie möglich zu gestalten.

Was ist Verschlüsselung??

Verschlüsselung ist ein einfaches Konzept. Im Wesentlichen können Sie so eine Information codieren, sodass nur der beabsichtigte Empfänger darauf zugreifen kann. Die Informationen werden mithilfe einer Verschlüsselung wie AES verschlüsselt, und zwischen den Parteien wird ein Schlüssel geteilt, mit dem der Empfänger sie entschlüsseln kann.

Die Chiffre konvertiert Klartext in Chiffretext, wodurch die Informationen unlesbar werden. Um sicherzustellen, dass nur der beabsichtigte Empfänger diese Daten entschlüsseln kann, wird ein Verschlüsselungsschlüssel gemeinsam genutzt, mit dem zwei Computer vereinbaren können, dass die Datenquelle und das Ziel wie beabsichtigt sind. Wir werden im nächsten Abschnitt mehr über Verschlüsselungsschlüssel sprechen.

Kryptographie, der allgemeinere Begriff für die sichere Weitergabe von Informationen, ist nicht neu. Die alten Griechen verwendeten oft Chiffren, um Nachrichten zu verschlüsseln, indem sie normalerweise nur die Buchstaben jedes Wortes neu anordneten oder eine einfache Regel anwendeten. Die Ceaser-Chiffre ist ein gutes Beispiel. Die gleichen Methoden gelten für die digitale Verschlüsselung, die Chiffren sind jedoch komplexer.

In der digitalen Welt wird die Verschlüsselung verwendet, um persönliche Informationen wie Passwörter und Internetverkehr zu sichern, wie in einem späteren Abschnitt erläutert wird. Wenn Sie fast überall ein Online-Konto haben, werden Ihre Informationen wahrscheinlich verschlüsselt. Obwohl Sie nicht aktiv an dem Prozess teilgenommen haben, haben Sie den Vorteil dennoch erhalten.

Die Verschlüsselung schützt vor dem Abfangen und Diebstahl Ihrer Daten. Die verschlüsselten Daten können nur mit dem Verschlüsselungsschlüssel entschlüsselt werden, auf den der Angreifer keinen Zugriff haben sollte. Es gibt zwei Hauptverschlüsselungstypen mit unterschiedlichen Funktionen.

Arten der Verschlüsselung

Es gibt mehr als einen Weg, Klartext zu verschlüsseln: Die Grenze scheint die menschliche Vorstellungskraft zu sein. Schauen wir uns einige der häufigsten Typen an.

Privater Schlüssel / Symmetrische Verschlüsselung

Bei der symmetrischen Verschlüsselung werden die Daten mit demselben Schlüssel verschlüsselt und entschlüsselt. Dies bedeutet, dass der Verschlüsselungsschlüssel zwischen den Parteien geteilt wird, bevor die Daten verschlüsselt oder entschlüsselt werden. Symmetrische Verschlüsselung wäre wie ein Safe, in dem Sie Ihre Daten speichern. Sie und alle anderen, die auf diese Daten zugreifen könnten, benötigen die Kombination, um den Safe zu öffnen.

Symmetrische Verschlüsselung

Diese Verschlüsselung wird hauptsächlich zum Schutz ruhender Daten verwendet. Ein gutes Beispiel hierfür ist der Cloud-Speicher, bei dem die Verschlüsselung erfolgt, während die Daten noch gespeichert sind, und nur dann entschlüsselt wird, wenn ein autorisierter Benutzer darauf zugreift.

Der grundlegende Prozess funktioniert folgendermaßen: Ein Benutzer fordert den Zugriff auf verschlüsselte Daten an. Der Speichercontainer sendet einen Verschlüsselungsschlüssel an den Schlüsselmanager zurück. Der Schlüsselmanager überprüft die Legitimität jeder Partei und stellt dann eine sichere Verbindung zwischen ihnen her.

Nachdem die sichere Verbindung geöffnet wurde, wird der Verschlüsselungsschlüssel von den Parteien gemeinsam genutzt. Danach werden die verschlüsselten Informationen entschlüsselt und als Klartext an die anfragende Partei gesendet.

Bei der symmetrischen Verschlüsselung sind viele Schritte erforderlich, sodass sie am besten für ruhende Daten geeignet ist. Asymmetrische Verschlüsselung ist besser für bewegte Daten, da Benutzer Datenpakete aktiv verschlüsseln können, ohne einen Schlüssel zwischen ihnen zu teilen.

Öffentlicher Schlüssel / Asymmetrische Verschlüsselung

Die asymmetrische Verschlüsselung basiert auf einem öffentlichen / privaten Schlüsselpaar anstelle eines privaten Schlüssels, der von den Parteien gemeinsam genutzt wird. Es beginnt mit der Verschlüsselung Ihrer Daten, die einen öffentlichen Schlüssel verwendet. Wie der Name schon sagt, wird der öffentliche Schlüssel jedem, der ihn benötigt, frei zur Verfügung gestellt.

Asymmetrische Verschlüsselung

Diese Art der Verschlüsselung wird für bewegte Daten verwendet. Ein Beispiel wäre die Verbindung zum Internet über ein virtuelles privates Netzwerk, wie in einem späteren Abschnitt erläutert wird. Ein symmetrischer Sitzungsschlüssel wird zum Verschlüsseln der Daten verwendet, und dann wird ein öffentlicher Schlüssel zum Verschlüsseln des symmetrischen Schlüssels verwendet. Sobald die verschlüsselten Daten empfangen wurden, wird der Schlüssel mit dem privaten Schlüssel entschlüsselt, der dann zum Konvertieren des Chiffretextes verwendet wird.

Zunächst überprüfen Absender und Empfänger die Zertifikate des jeweils anderen. Der Absender fordert den öffentlichen Schlüssel des Empfängers an, der dann freigegeben wird. Ein kurzlebiger symmetrischer Schlüssel, der nur für eine Sitzung verwendet wird, verschlüsselt den Klartext in Chiffretext.

Dann verschlüsselt der öffentliche Schlüssel den symmetrischen Schlüssel.

Die verschlüsselten Daten werden an den Empfänger gesendet. Der symmetrische Schlüssel wird mit dem privaten Schlüssel entschlüsselt, der dem öffentlichen Schlüssel entspricht, der für den Absender freigegeben ist. Nachdem der Empfänger den symmetrischen Schlüssel gesehen hat, kann er den Chiffretext wieder in Klartext konvertieren.

Es gibt immer noch einen symmetrischen Schlüssel, der jedoch nicht zwischen den Parteien geteilt werden muss, bevor die Verschlüsselung erfolgt. Die Daten werden mit einem nicht gemeinsam genutzten symmetrischen Schlüssel verschlüsselt, und dieser Schlüssel wird mit dem öffentlichen / privaten Schlüsselpaar verschlüsselt.

Verschlüsselte Daten speichern

Jede Chiffre weist einen inhärenten Fehler auf. Es soll entschlüsselt werden. Wenn ein Angreifer Zugriff auf den Entschlüsselungsschlüssel hat, werden Ihre Informationen sofort angezeigt. Das Speichern von Passwörtern auf einem Server, auch in verschlüsselter Form, ist nicht sicher. Angenommen, Ihr Passwort und Ihre Verschlüsselungsmethode sind schwach, kann es leicht entschlüsselt werden (lesen Sie unseren Leitfaden zum Erstellen eines sicheren Passworts, um dies zu vermeiden)..

Die Absicht der Verschlüsselung ist die Entschlüsselung durch die beabsichtigte Partei. Aus diesem Grund ist es nicht üblich oder empfehlenswert, verschlüsselte Kennwörter auf einem Server zu speichern. Der Wert der verschlüsselten Daten muss nicht bekannt sein, daher gibt es keinen Grund, die Speicherung dieser Daten zuzulassen. Die Verschlüsselung ist für den Transit gedacht, nicht für die Speicherung.

Hat geschlagen

Eine sicherere Methode besteht darin, einen Kennwort-Hash auf einem Server zu speichern. Hashing ist ein Prozess, bei dem ein Wert mithilfe eines Algorithmus aus Text berechnet werden kann. Hashes sind besser, weil sie nicht rückgängig gemacht werden können. Sie können einen Hash aus einem Kennwort generieren, aber Sie können kein Kennwort aus einem Hash generieren.

Passwort-Hashing

Leider löst dies nicht jedes Problem. Ein Angreifer kann den Hash weiterhin verwenden, um Ihr Passwort brutal zu erzwingen. Wenn es einem Angreifer gelingt, eine Tabelle mit Kennwort-Hashes zu stehlen, kann er mithilfe eines Wörterbuchangriffs diese Kennwörter durch Ausprobieren herausfinden.

Sobald der Angreifer herausgefunden hat, mit welchem ​​Algorithmus die Passwörter gehasht wurden, kann er eine Software verwenden, die mögliche Passwörter unter Verwendung allgemeiner Wörter im Wörterbuch generiert. Die Kandidatenkennwörter werden unter Verwendung des bekannten Algorithmus gehasht und dann mit den Kennwort-Hashes in der Tabelle verglichen.

Wenn eine Übereinstimmung vorliegt, hat der Angreifer Ihr Passwort erfolgreich geknackt.

Es ist noch einfacher, wenn Sie ein allgemeines Passwort verwenden. Nehmen wir an, dass ein Datenverstoß vorliegt und Ihr Passwort-Hash gestohlen wurde. Das Passwort, das Sie aus irgendeinem schrecklichen Grund verwendet haben, lautet “Passwort123”. Der MD5-Hash dieses Kennworts lautet 482C811DA5D5B4BC6D497FFA98491E38. Das wird immer der Hash dieser Textzeichenfolge für diesen Algorithmus sein. Sie können einen Hash nicht zurückentwickeln, aber Sie können diesen Hash verwenden, um das Passwort zu erraten. Dies gilt immer noch als sicherer für die Speicherung von Daten, die nicht offengelegt werden müssen. 482C811DA5D5B4BC6D497FFA98491E38 kann den Algorithmus nicht durchlaufen, um am anderen Ende „password123“ auszuspucken.

Salz es

Unser theoretischer Hacker hat herausgefunden, dass 482C811DA5D5B4BC6D497FFA98491E38 der Hash für “password123” ist. Schlimmer noch, sie haben 50 Übereinstimmungen mit diesem Hash in der Datenbank gefunden, was bedeutet, dass 50 Konten zum Preis von einem kompromittiert werden.

Hier kommt das Salzen ins Spiel. Ein Salz sind Daten, die einem Passwort hinzugefügt werden, bevor es gehasht wird. Es gibt keine feste Regel dafür, was ein Salz sein soll. Wer Ihr Passwort salzt, kann das feststellen. Nehmen wir zum Beispiel an, Sie erstellen ein Konto und die Website, mit der Sie es erstellt haben, salzt Ihr Passwort, bevor Sie es hashen.

Für dieses Konto besteht das Ziel darin, Ihrem Passwort eine Zufallszahl sowie Ihre erste und letzte Initiale hinzuzufügen, basierend auf den Kontoinformationen, die Sie bei Ihrer Anmeldung eingegeben haben. Jetzt wird “password123” beispielsweise zu “password1239jr”.

Durch das Salzen wird das Problem der Brute-Force-Angriffe nicht beseitigt, aber die Wahrscheinlichkeit eines erfolgreichen Angriffs wird erheblich verringert. Selbst Benutzer mit identischen Passwörtern haben nicht das gleiche Hash-Ergebnis, was bedeutet, dass der Angreifer nicht nur den Hashing-Algorithmus, sondern auch die Salting-Methode herausfinden muss.

Verwendet für die Verschlüsselung

Verschlüsselung ist wichtig, und das schon seit Jahrhunderten. Im digitalen Zeitalter könnte dies nicht wahrer sein. Ein einzelnes sensibles Datenelement kann Sie Cyberkriminalität aussetzen, einschließlich Identitätsdiebstahl und Betrug. Es gibt viele Verwendungsmöglichkeiten für die Verschlüsselung, mit denen Sie Ihre Online-Konten, vertraulichen Dateien und den Internetverkehr schützen können.

Sichern Sie Ihre Passwörter

Passwörter sind die wichtigsten Daten, die Sie verschlüsseln möchten, da dies häufig der Schlüssel ist, der unzählige andere Daten über Sie freischaltet. Mit einem Passwort-Manager können Sie für jedes Ihrer Online-Konten ein sicheres, eindeutiges Passwort verwenden, was Ihre Sicherheit exponentiell erhöht.

Dashlane Identity Dashboard

Wie oben im Abschnitt “Hashing” erläutert, kann ein Kennwort-Hash durch einen Brute-Force-Angriff aufgedeckt werden. Diese Angriffe richten sich jedoch nach schwachen Passwörtern, nicht nach starken. Ein ähnlicher Angriff würde, obwohl er in der Lage ist, “Passwort123” herauszufinden, Schwierigkeiten haben, “ZTG $ iS% 8a2zF” als Kandidatenpasswort zu generieren.

Das obige Beispiel wurde mit der Browsererweiterung LastPass generiert. Es kann ein 12-stelliges Passwort generieren, wie in unserem obigen Beispiel, aber auch eine beliebige Kombination von bis zu 99 Zeichen. Es ist auch der beste kostenlose Passwort-Manager auf dem Markt, über den Sie in unserem LastPass-Test lesen können.

Passwortmanager speichern Passwortdaten in einem verschlüsselten Tresor, auf den nur Sie Zugriff haben. Dieser Tresor ist mit einem Hauptkennwort geschützt, das nur Sie kennen. Die besten Passwort-Manager verfügen über Sicherheitsmaßnahmen, um auch Ihr Master-Passwort zu schützen.

Dashlane verwendet beispielsweise ein Null-Wissens-Modell, dh, weder Ihr Hauptkennwort noch eines seiner Hashes werden gespeichert. Ihr Hauptkennwort wird nach dem Salzen mit AES-256 auf Ihrem lokalen Gerät verschlüsselt und durch 200.000 Runden SHA2-Hashing gesendet.

Da Hashing eine Einbahnstraße ist, ist es viel schwieriger, Ihr Hauptkennwort zu knacken. Ein alphanumerisches Hauptkennwort mit mindestens acht Zeichen würde ungefähr 45.000 Jahre dauern, um mithilfe von SHA2-Hashing zu knacken. Wenn Sie den moderneren Argon2-Hashing-Algorithmus verwenden, den Dashlane anbietet, würde dies nur knapp sieben Millionen Jahre dauern.

Dashlane hat auch außerhalb der Sicherheit viel zu bieten, einschließlich eines robusten Funktionsumfangs und einer benutzerfreundlichen Oberfläche. Weitere Informationen finden Sie in unserem Dashlane-Test.

Verstecken Sie Ihren Internetverkehr

Der meiste Internetverkehr ist verschlüsselt. Wenn Sie auf einer Site landen, die über ein SSL-Zertifikat verfügt, stellen Sie über eine verschlüsselte Verbindung eine Verbindung zu dieser Site her. Es wird jedoch von der Außenwelt verschlüsselt, nicht von Ihrem ISP. Darüber hinaus sind bei dieser Form der Verschlüsselung Exploits bekannt, die leicht ausgeführt werden können, wie Sie in unserem Handbuch SSL vs. TLS nachlesen können.

Hier kommt ein virtuelles privates Netzwerk ins Spiel. Neben dem Verbergen Ihrer IP-Adresse und der Anonymisierung Ihres Datenverkehrs verschlüsselt ein VPN auch Ihre Internetverbindung. Dies bedeutet, dass Ihr ISP oder jeder, der Ihren sicheren Tunnel durchbrechen könnte, nicht erkennen kann, was Sie online tun.

ExpressVPN-Geschwindigkeitstest

Dies hat Vorteile für die Sicherheit, z. B. das Ausblenden persönlicher Daten, die Sie über das Internet übertragen, aber auch für die Privatsphäre. Ihr ISP kann nicht ausspionieren, was Sie tun, ob Sie ein paar Filme herunterladen oder auf andere Weise (was Sie mit unserem besten VPN für Torrenting tun sollten)..

Die besten VPN-Anbieter verwenden ebenfalls erstklassige Methoden. ExpressVPN verschlüsselt beispielsweise Ihren Datenverkehr mit AES-256 mit dem OpenVPN-Protokoll. Weitere Informationen zu Protokollen finden Sie in unserem Handbuch zur VPN-Sicherheit und zu ExpressVPN in unserem ExpressVPN-Test.

Wenn Sie diesen Service nicht mögen, ist NordVPN (lesen Sie unseren NordVPN-Test) eine großartige Alternative. Dies ist eine der Top-Optionen in unseren VPN-Bewertungen.

Speichern Ihrer Daten

Wie in unserem Handbuch zum Verschlüsseln Ihrer Daten für den Cloud-Speicher erwähnt, verursacht die verwaltete Verschlüsselung in der Cloud einige Probleme. Insbesondere Dienste, die Ihre Daten auf ihren Servern verschlüsseln, verwalten auch den Verschlüsselungsschlüssel, wodurch Sie anfälliger werden, als Sie sein müssen.

Sync.com Link zur Dateifreigabe

Hier kommt der wissensfreie Cloud-Speicher ins Spiel. Wie bei Kennwortmanagern, die dieses Modell verwenden, wird Ihr verschlüsseltes oder unverschlüsseltes Kennwort nicht auf den Servern des Anbieters gespeichert. In den meisten Fällen verwalten Sie auch den Verschlüsselungsschlüssel. Wenn also eine Regierungsbehörde klopft, kann der Anbieter ihnen lediglich ein Bündel Chiffretext geben.

Nullwissen bedeutet nicht von Natur aus sicherer. Die Sicherheit von Cloud-Speichern ist komplizierter. Die besten wissensfreien Cloud-Dienste sind jedoch eine sichere Sache, zumal sich viele von ihnen einen Platz in unserem Leitfaden für sichere Cloud-Speicher teilen.

Der Gewinner dieser beiden Leitfäden sowie unseres Vergleichs der Cloud-Speicheranbieter ist Sync.com. In unserem Sync.com-Test für sein wissensfreies Modell und die erstklassige AES-256-Verschlüsselung wurde die Sicherheit zu 100 Prozent bewertet.

Es gibt einige andere Anbieter mit hervorragenden Sicherheitsbewertungen, wie z. B. pCloud, wie Sie in unserem pCloud-Test lesen können. Wenn Sie mehr einkaufen möchten, sind die Top-Anbieter in unseren Cloud-Speicher-Bewertungen ein guter Ausgangspunkt.

Abschließende Gedanken

Die Verschlüsselung gehört zur Nutzung des Internets. Ihre sensiblen Daten werden für Bankgeschäfte, den Zugriff auf Krankenakten und sogar für Online-Einkäufe benötigt. Wir hoffen, dass dieser Leitfaden Ihnen ein besseres Verständnis für den Umgang mit Ihren Daten vermittelt, damit Sie eine fundierte Entscheidung darüber treffen können, welche Organisationen Sie verwalten lassen.

Solange es richtig gehandhabt wird, ist die Verschlüsselung eines der besten Dinge für die Cybersicherheit. Passwortmanager, VPNs und sichere Cloud-Speicheranbieter stellen sicher, dass Sie vor schnellem Passwortspeicher, schleichenden ISPs und ungesicherten Daten geschützt sind.

Fühlen Sie sich sicherer in der Verschlüsselung? Lass es uns in den Kommentaren unten wissen und danke wie immer fürs Lesen.

Kim Martin Administrator
Sorry! The Author has not filled his profile.
follow me
    Like this post? Please share to your friends:
    Adblock
    detector
    map