Einführung in asymentrische Verschlüsselung am Bespiel OpenPGP/GnuPG.

Präsentation zum Thema: "Einführung in asymentrische Verschlüsselung am Bespiel OpenPGP/GnuPG."—  Präsentation transkript:

1 Einführung in asymentrische Verschlüsselung am Bespiel OpenPGP/GnuPG

2 Gliederung der Einführung ● Geschichte von PGP ● Was ist Verschlüsselung ● Grundlegendes Verfahren ● Algorithmen ● Software ● Anleitungen ● Anmerkungen ● Quellen Nachweis

3 Geschichte von PGP PGP (Pretty Good Privacy) wurde 1991 von Phil Zimmermann zur Verschlüsselung von Daten ersonnen. In den Anfagnsjahren durfte es nicht lizensfrei aus den USA ausgeführt werden. Deswegen veröffentlichter Phil Zimmermann 1995 den Quellcode in dem Buch „PGP Source Code and Internals“, das keinen Exportbeschränkungen unterlag. Aus dem darin Veröffentlichtem Code entwickelten 50 freiwillige PGPi (Pretty Good Privacy international). Ein nutzbares Programm auf Basis der PGP Technologie wurde erst von der „PGP Company“ kostenfrei, ab Version 9 jedoch gegen bezahlung vertrieben. 1997 Wurde PGP von NAI(McAfee) aufgekauft. Da zwischenzeitlich McAfee die Quelle von PGP nicht offen legte, entstand 1998 der OpenPGP-Standart (RFC 2440), dessen erste Realisierung GnuPG war. GnuPG steht unter Gnu-GPL und wurde am Anfang mit Unterstützung des Bundesmisterium des Inneren und dem Bundesmisterium für Arbeit und Wirtschaft mitentwickelt. Das stellt aber kein Sicherheitsrisko da, das sämtliche Quellen von GnuPG offen liegen.

4 Was ist Verschlüsselung „Verschlüsselung nennt man den Vorgang, bei dem ein klar lesbarer Text (Klartext) (oder auch Informationen anderer Art, wie Ton- oder Bildaufzeichnungen) mit Hilfe eines Verschlüsselungsverfahrens (Kryptosystem) in eine „unleserliche“, das heißt nicht einfach interpretierbare Zeichenfolge (Geheimtext) umgewandelt wird. Als entscheidend wichtiger Parameter der Verschlüsselung werden hierbei ein oder auch mehrere Schlüssel verwendet.“ Quelle: http://de.wikipedia.org/wiki/Verschl%C3%BCsselunghttp://de.wikipedia.org/wiki/Verschl%C3%BCsselung Das Verfahren um Klartext in einen Geheimtext zu wandeln basiert auf logischen (oft Mathematischen) Überlegungen, dem sogenanntem Algorithmus. Mittlerweile werden Verfahren bei denen die Lesebarkeit des Geheimtextes nur von der Kenntnis des Algorithmus abhängen nicht mehr als Verschlüsselung bezeichnet (Beispiel base64). Der Schlüssel in einem Verschlüsselungsverfahren dient als Äußerer Einfluss um den Geheimtext zu varieren, und damit unabhängig vom Algorithmus den Geheimtext unleserlich zu halten. Als Beispiel nehmen wir einmal an wir wollen den Satz: „Ich bin verschlüsselt“ dadurch unleserlich machen...

5 in dem wir jeden Buchstaben 4 Stellen weiter im Alphabet verschieben und Sonderzeichen (äüöß) unverändert lassen. Das ergibt dann: „Nhm gns ajwxhmqüxxjqy“. In diesem Beispiel wäre 4 der Schlüssel mit dem der Satz verschlüsselt wurde. Grundlegend wird zwischen 2 Verfahren der Verschlüsselung unterschieden. 1.) Dem Symetrischen Verfahren in dem ein Schlüssel sowohl zur verschlüsseln als auch zum entschlüsseln, wie in unserem Beispiel dient und dem 2.) asymetrischem Verfahren in dem es jeweils einen Schlüssel zum verschlüsseln, dem sogenannten „Public Key“ und einem zum entschlüsseln, dem sogenannten „Private Key“ gibt. PGP verwendet beide Techniken. Populäre Beispiele für symetrische Verfahren sind: AES, DES, Twofisch. Beispiel für asymetrische Verfahren sind: RSA und Elgamal um die verbreitesten zu nennen. Alle diese Algorithmen sind Quelloffen und für jede/n einsehbar. Prinzipiell hängt die Sicherheit eines Krypto-Algorithmus von diesem Selber und dem Verfahren und Länge des Schlüssels. Gelegentlich kommen auch Hash-Verfahren bei der Verschlüsselung zum Einsatz. Die verbreitetsten sind hier: MD5, SHA-1 und SHA-256/384/512

6 Grundlegendes Verfahren PGP arbeitet mit einem Hybrid-Verfahren aus asymetriescher und symetrischer Verschlüsselung das wie folgt Funktioniert. Ein/e Nutzer/in generiert ein asymetrisches Schlüsselpaar, wobei der Private Key mit einer sogenannten Phrase geschützt wird. Diese Phrase ist relevant für die Sicherheit eines Schlüsselpaares (empfehlenswert ist eine mindestens 8 Zeichen lange kombination aus groß und klein geschriebenen Buchstaben und Zahlen). Nun kann der Public Key evtl. über sogenannte Keyserver (Stichwort Web trust) an den Sender einer Naricht zugestellt werden. Dieser kann nun mit dem Public Key Daten verschlüsseln, die nur mit dem Private Key und der Phrase entschlüsselt werden können. Den Kompletten Datensatz asymetrisch zu verschlüsseln währe jedoch zu rechenintensiv, statt dessen wird vom Sender der Daten ein zufälliger symetrischer Schlüssel generiert, dem Session-Key, mit dem dann die Daten verschlüsselt werden. Dieser Schlüssel wird dann über den Public Key des Empfängers wiederum asymetrisch Verschlüsselt und an den Anfang der Nachricht gesetzt....

7 Sobald die Daten gesendet wurde wird der Session-Key von dem/der Sender/in verworfen. Der Empfänger/in kann dann nach erhalt der Nachricht den Session-Key über ihren/seinen Privat Key entschlüsseln und mittels diesem den Geheimtext der Nachricht in Klartext entschlüsseln. Außer dem ver- und entschlüsseln von Daten kann PGP auch eingesetzt werden um die Echtheit einer Nachricht zu bestimmen. Das dafür Verwendete Verfahren heißt Signieren, das im Folgenden erläutert wird. Aus der von dem/der Sender/in verfassten Nachricht wird ein Hash generiert, welcher einen einzigartige (in erster Näherung) Darstellung der zu Sendenden Daten ist. Dieser wird mit dem Private Key des Senders Verschlüselt und zusammen mit der Naricht an den/die Empfänger/in gesendet. Diese/r kann dann über den Public Key des Senders diese Entschlüsseln, und generiert über den selben Algorithmus einen Hash aus der Nachricht. Stimmt dieser mit dem mit der Nachricht versantem überein gilt die Nachricht als echt. Vorsicht! über dieses Verfahren kann nicht sichergestellt werden ob jemand die Nachricht auf dem Weg der Zustellung mitgelesen hat.

8 Veranschaulichung des PGP Verfahrens beim verschlüsseln von Nachrichten Quelle: http://www.dergrossebruder.org/miniwahr/20060930000000.htmlhttp://www.dergrossebruder.org/miniwahr/20060930000000.html

9 Algorithmen Symmetrisch Asymmetrisch Kompression Einweg/Hash TDES DSA, ElGamal ZIP SHA-1 AES ESIGN ZLIB SHA-256/384/512 CAST5 ECDSA BZIP2 RIPEMD160 Blowfish D-H X9.42 MD2 Twofish RSA TIGER/192 IDEA HAVAL Überblick über aktuell gemäß OpenPGP verfügbarer Algorithmen Quelle:http://www.dergrossebruder.org/miniwahr/20060930000000.htmlhttp://www.dergrossebruder.org/miniwahr/20060930000000.html Welches Verfahren für die symetrische Verschlüsselung verwendet werden soll, kann der/die Sender/in einer Nachricht selber entscheiden, jedoch schreibt der OpenPGP Standard vor, das zusätzlich ein TDES Schlüssel verwendet wird (Um die Abwärtz kompatibel zu sein). Zu der Sicherheit der Algorithmen soll folgender Verweis genügen. http://de.wikipedia.org/wiki/Kryptoanalyse

10 Software Die zu OpenPGP zu nennende Software läßt sich in 3 Kategorien einteilen. 1.) Das Programm selbst, 2.) einer Benutzerschnittstelle und 3.) Schnittstellen zum E-Mail Programm. Für Mac OS-X Nutzer/innen empfield sich folgende Anleitung: http://www.web-blog.net/comments/P173_0_1_0/ Verschlüsselungs Programm ● GnuPG -> http://www.gnupg.org/(de)/download/index.htmlhttp://www.gnupg.org/(de)/download/index.html Benutzerschnitstellen ● Ggp4Win -> http://www.gpg4win.org/index-de.html (Windows)http://www.gpg4win.org/index-de.html ● WinPT -> http://wald.intevation.org/projects/winpt (Windows)http://wald.intevation.org/projects/winpt ● Seahorse -> http://seahorse.sf.net/ (Linux / Gnome)http://seahorse.sf.net/ ● Kgpg -> http://devel-home.kde.org/~kgpg/ (Linux / KDE)http://devel-home.kde.org/~kgpg/ E-Mail Programm Plugins ● Enigmail -> http://enigmail.mozdev.org/ (Mozilla Thunderbird)http://enigmail.mozdev.org/ ● GpgOe -> http://wald.intevation.org/projects/gpgoe (Outlook Express)http://wald.intevation.org/projects/gpgoe ● GPGMail -> http://www.sente.ch/software/GPGMail/English.lproj/GPGMail.html (Apple Mail)http://www.sente.ch/software/GPGMail/English.lproj/GPGMail.html

11 Anleitungen Im folgenden ein paar Links zu Anleitungen OpenPGP betreffend. GnuGP - http://www.gnupg.org/(de)/howtos/de/index.htmlhttp://www.gnupg.org/(de)/howtos/de/index.html GnuPG - http://hp.kairaven.de/pgp/gpg/index.htmlhttp://hp.kairaven.de/pgp/gpg/index.html Enigmail - http://www.cccmz.de/wiki/index.php/Thunderbird/Enigmailhttp://www.cccmz.de/wiki/index.php/Thunderbird/Enigmail WinPT - http://www.uni-koeln.de/rrzk/sicherheit/pgp/winpt/http://www.uni-koeln.de/rrzk/sicherheit/pgp/winpt/ GPGMail - http://www.web-blog.net/comments/P171_0_1_0/http://www.web-blog.net/comments/P171_0_1_0/ GPGMail - http://www.wasuvi.com/?page_id=2368 (Englisch)http://www.wasuvi.com/?page_id=2368 GPG4Win - http://www.gpg4win.org/handbuecher/einsteiger.htmlhttp://www.gpg4win.org/handbuecher/einsteiger.html

12 Anmerkungen Web Trust: Ein Problem beim Kommunizieren mittels OpenPGP ist das verteilen der Public Keys. Das heißt, wo bekomme ich den Public Key meines Empfängers? Zu diesem Zwecke wurden Key-Server eingerichtet auf denen jede/r seine Public Key zur Verfügung stellen kann und sollte. Natürlich sollte dabei sicher gestellt sein das mein Empfänger und der Public Key wirklich zusammen passen. Hier kommt die Idee von Web Trust ins Spiel. Die Idee ist das jede/r PGP Nutzer/in jeden neuen Schlüssel mit dem sie/er eine E-Mail erfolgreich gesendet hat, mit seinem eigenen Schlüssel signiert, und damit für die Echtheit des Schlüssel bürgt. S/MIME: OpenPGP ist nicht das einzige Verfahren mit dem Sichere E- Mail kommunikation stattfinden kann. S/MIME stellt ein anderes wenn auch zentralistisches Verfahren da, um mit E-Mails verschlüsselt zu Kommunizieren.

13 Quellen Nachweis ● http://www.dergrossebruder.org/miniwahr/20060930000000.htmlhttp://www.dergrossebruder.org/miniwahr/20060930000000.html ● http://de.wikipedia.org/wiki/Diffie-Hellman-Schl%C3%BCsselaustauschhttp://de.wikipedia.org/wiki/Diffie-Hellman-Schl%C3%BCsselaustausch ● http://de.wikibooks.org/wiki/GnuPGhttp://de.wikibooks.org/wiki/GnuPG ● http://tools.ietf.org/html/rfc2440http://tools.ietf.org/html/rfc2440 ● http://www.heise.de/security/artikel/print/39275http://www.heise.de/security/artikel/print/39275 ● http://www.gnupg.org/(de)/http://www.gnupg.org/(de)/ ● http://de.wikipedia.org/wiki/Verschl%C3%BCsselunghttp://de.wikipedia.org/wiki/Verschl%C3%BCsselung ● http://de.wikipedia.org/wiki/Kryptoanalysehttp://de.wikipedia.org/wiki/Kryptoanalyse