Please enable JavaScript.
Coggle requires JavaScript to display documents.
Passwörter & Verschlüsselungen (Digitale Identität (um sich im…
Passwörter & Verschlüsselungen
Physische Identität
reale Person
Name
Adresse
Fingerabdruck
Aussehen
Persönlichkeit
Digitale Identität
virtuelle Person
User im Internet
E-Mailadresse
Passwort
Kontonummer
TAN
um sich im Internet zu bewegen benötigt man eine digitale Identität
Identitätsnachweise (Authentifizierung) => Nachweise, das zwei Identitäten übereinstimmen
Methoden:
Namen & Passwort (unsicher, kann erraten/ abgehört werden, beruht auf Wissen des Passwortes => höhere Sicherheit durch Besitz oder körperliches Merkmal)
Starke Authentifizierung beruht auf mehreren Merkmalen
Zwei-Faktor-Authentifizierung: beruht auf 2 Merkmalen (ich besitze etwas und ich weiß etwas)
Login mit Passwort: Anmeldung bei neuem Dienst, Eingabe des Passwortes, Speicherung des Passwortes auf Server des Dienstes
Login: Eingabe von Nutzername & Passwort auf Webseite, Übertragung Daten an Server, Server kontrolliert Übereinstimmung der eingegebenen Daten mit den gespeicherten
Möglichkeit für Angreifer:
schwaches & damit einfach zu knackendes Passwort
nicht gesicherte Übertragung kann abgehört werden
Erbeuten von Passwörtern bei Angriff auf den Server
Passwörter sollten vom Server verschlüsselt abgespeichert werden
Hash-Verfahren: heute (SHA2,SHA3) = nicht umkehrbar, aus verschlüsseltem Passwort lässt sich das Passwort nicht rekonstruieren
schwaches Passwort
geringe Komplexität
kann aus Nutzerkontext hergeleitet werden
wiederverwendete Passwörter
Gründe
Bequemlichkeit
fehlendes Sicherheitsbewusstsein
schwer zu merken
Passwörter zu einfach, wenn <8 Zeichen, nur Buchstaben/ Zahlen, in Wörterbuch auffindbar)
Social Hacking
Passwort kann aus Nutzerkontext hergeleitet werden
sicheres Passwort
min. 8 Zeichen lang
Zahlen+ Buchstaben+Sonderzeichen
nicht in Wörterbuch auffindbar
keine persönlichen Details enthalten
nicht wiederverwendet werden
Angriffsmöglichkeiten auf Passwörter
raten
social Hacking
systematisches durchprobieren
abhören
Brute-Force-Angriff
Angreifer hat Liste mit Nutzernamen & zugehörigen gehashten Passwörter
probiert alle Zeichenkombinationen durch
Verschlüsselung (Kryptographie) = bewährtes Mittel um Nachrichten vor unberechtigten Lesern zu schützen
Prinzip: Klartext wird in Geheimtext verschlüsselt, Geheimtext kann dann verschickt/ abgespeichert werden
für Umwandlung von Geheimtext in Klartext muss dieser entschlüsselt werden (Verschlüsselungsverfahren & Schlüssel)
Kryptographie = Wissenschaft der Verschlüsselung
Kryptoanalyse = untersucht Stärken verschiedener Verschlüsselungsmethoden
klassische Verschlüsselungsverfahren
Verschiebechriffre
einfache Verschiebung
Alphabets wird um eine bestimmte Anzahl von Buchstaben verschoben
einfach zu knacken
Schlüssel: Anzahl Stellen um die Buchstaben verschoben ist
Vignére Verschlüsselung
Auswahl eines Schlüsselwortes
Buchstaben des Schlüsselwortes geben an um wie viele Positionen verschoben werden soll
nicht sonderlich sicher
Enigma
Verschlüsselungsmaschine im 2. Weltkrieg
Schlüssel: Stellung Walzen/Rotoren & Verkabelung
Kerckhoffsche Prinzip: Sicherheit der Verschlüsselung darf nur vom Schlüssel,
aber nicht von der verwendeten Verschlüsselungsmethode abhängen! (auch
wenn Angreifer Methode kennt, darf er nicht in der Lage zu sein, den Text zu
decodieren)
bekannte Verfahren können standardisiert werden & von allen identisch komplementiert werden => Sicherheit liegt in den Schlüsseln
moderne Verschlüsselungsverfahren
DES (Data Encryption Standard)
sehr effizient zu implementieren
nicht mehr sicher
AES (Advanced Encryption Standard)
ähnliche Eigenschaften wie DES
standardisiert
Problem
Verteilung der Schlüssel: Verteilung der Schlüssel! (Verschlüsselung der Nachricht ->
Empfänger muss vorher Schlüssel erhalten, Schlüssel muss als Klartext
verschickt werden -> keine Sicherheit mehr, da diese nur vom Schlüssel
abhängt)
Klassischer Ansatz
symmetrische Verschlüsselung => Sender & Empfänger benutzen den gleichen Schlüssel (z.B. Vignére, Engima, DES)
Asymmetrischer Ansatz
Sender & Empfänger benutzen unterschiedliche Schlüssel, einen zum Verschlüsseln & einen zum Entschlüsseln
Schlüsselpaar
Vertraulichkeit
Integrität
Public Key
asymmetrische Verschlüsselung bei der der Schlüssel zum Verschlüsseln öffentlich sein kann, auch wenn Angreifer öffentlichen Schlüssel kennt kann er den Text nicht knacken (RSA, PGP, GPG)
RSA: funktioniert auf Basis von Primfaktorzerlegung => Schlüsselpaar
Authentisierung von Nachrichten indem Nachricht durch eigenen privaten Schlüssel verschlüsselt wird
Integrität
Zurechenbarkeit
=> Verschlüsselung mit privatem Schlüsel & Entschlüsselung mit öffentlichem Schlüssel
Diffie-Hellman-Schlüsselaustausch: jede Seite erstellt temporär ein
Schlüsselpaar, öffentliche Schlüssel wird dem Partner geschickt, aus dem
eigenen privaten & dem öffentlichen Schlüssel leiten beide Partner den selben
gemeinsamen Schlüssel ab => Angreifer sehen beide öffentlichen Schlüssel
können daraus den geheimen Schlüssel nicht rekonstruieren
Schlüssel werden in Form von Zertifikaten weitergegeben
Informationen des Zertifikates
Zertifizierungsstelle
Antragsteller
Schlüssel
Verschlüsselungsalgorithmus
Gültigkeitsdauer