NSA hat Verschlüsselnungen (SSL...) geknackt
-
http://www.focus.de/digital/internet/snowden-enthuellung-nsa-knackt-die-wichtigsten-verschluesselungen-im-netz_aid_1092595.html
Glaubt ihr die können das wirklich knacken oder nutzen die Backdoors?
-
Die können die Mathe nicht knacken, aber haben sicherlich schwachstellen in das Protokoll eingeschleust. Zum Beispiel die Paddingregel in SSL ist ziemlich sicher eine Schwachstelle.
-
3456789o schrieb:
http://www.focus.de/digital/internet/snowden-enthuellung-nsa-knackt-die-wichtigsten-verschluesselungen-im-netz_aid_1092595.html
Glaubt ihr die können das wirklich knacken oder nutzen die Backdoors?Ach Quatsch.
Die Journaille lebt halt davon, dass sie Sensationen verkauft. Dazu muss man nicht verstehen, über was man schreibt, und schreibt halt, was man selbst gar nicht verstanden hat.
Höchstwahrscheinlich geht's nur darum, dass sich die NSA halt Zertifikate holen kann, um als Man-in-the-Middle zu agieren.
Das ist alles seit sehr vielen Jahren hinreichend bekannt und wäre überhaupt nichts Sensationelles.Ciao, Allesquatsch
-
Also wenn Bruce Schneier in seinem Blog davon schreibt, schenke ich dem mehr glauben als wenn du mit dem Benutzernamen "Allesquatsch" postest.
MfG SideWinder
-
Und wenn Du dir den Blog von Bruce Schneier auch mal durchlesen würdest, würdest du wisse, dass "AllesQuatsch" recht hat. Die NSA hat nicht die Verschlüsselung selbst geknackt, sondern arbeitet mit Backdoors.
-
DonFloppy schrieb:
Und wenn Du dir den Blog von Bruce Schneier auch mal durchlesen würdest, würdest du wisse, dass "AllesQuatsch" recht hat. Die NSA hat nicht die Verschlüsselung selbst geknackt, sondern arbeitet mit Backdoors.
Was auch im Artikel steht.
-
Zeus schrieb:
DonFloppy schrieb:
Und wenn Du dir den Blog von Bruce Schneier auch mal durchlesen würdest, würdest du wisse, dass "AllesQuatsch" recht hat. Die NSA hat nicht die Verschlüsselung selbst geknackt, sondern arbeitet mit Backdoors.
Was auch im Artikel steht.
Das kann gut sein. Ich habe nur den ersten Teil des SPON Artikels gelesen. Wurde mir aber schnell zu dumm.
Nur viele Leute denken dabei sofort, dass die Verschlüsselung selbst geknackt wurde (was ebend nicht stimmt).
Setzt man auf OpenSource, sollte man relativ sicher sein.
-
Zeus schrieb:
Was auch im Artikel steht.
Wobei es - auch in den vorgeblich seriösen - Medien eine Menge Aussagen gibt, die über das hinausgehen, was dann an Details hinterher kommt.
"gängige Verschlüsselungssysteme im Internet knacken" (reuters)
"Sie verschlüsseln Ihre Online-Kommunikation? Britische und US-Geheimdienste dürften nur milde darüber lächeln." (stern)
irgendwo hatte ich auch "Verschlüsselung sinnlos" gelesen, finde es aber nicht mehr.Ich habe auf jeden Fall noch keine seriöse Quelle gefunden, dass wirklich etwas "geknackt" wurde. Wenn es etwas detaillierter wurde, dann lief es immer auf die Kompromittierung der Schlüssel oder unsaubere Implementierungen hinaus. Miese Seeds sind nichts Ungewöhnliches.
Und da sind die Techniken und Implementierungsmängel eigentlich seit langem keine Neuigkeit. Auch die (Verschwörungs-)Theorie, dass Implementierungsfehler durch die NSA motiviert sein könnten, gab es lange vor dem ganzen Whistleblowing.
Ich denke allerdings, dass die meisten Sicherheitsmängel durch menschliches Unvermögen und nicht durch staatliche Planung entstehen. Denn (auch und gerade) bei staatlichen Stellen sitzen auch keine besseren IT-ler, als in Softwarehäusern und Unternehmens-ITs.
Ciao, Allesquatsch
-
Das Ausnutzen schlechter Implementierungen oder das Einschleusen von Schwachstellen fällt auch unter "Knacken". Das ist sogar die Möglichkeit, um Mathematik (und bei Quantenkryptografie die Physik) zu besiegen. Das ist auch ganz logisch, dies dann "geknackt" zu nennen, denn letztendlich wird die geheime Nachricht von Unbefugten gelesen. Es ist völlig egal, ob sie dafür "geschummelt" haben, indem sie nicht die Verschlüsselung selbst, sondern die Umsetzung angegriffen haben. Das ist nämlich ein ganz legitimes Angriffsverfahren. Ein Verschlüsselungsverfahren besteht nämlich immer aus zwei Teilen, dem Algorithmus und der Umsetzung. Beide müssen sicher sein.
-
SeppJ schrieb:
Das Ausnutzen schlechter Implementierungen oder das Einschleusen von Schwachstellen fällt auch unter "Knacken".
In den Medien war aber von "bekannten Verschlüsselungssystemen" die Rede, was den (vielleicht nicht unerwünschten) Eindruck erweckt, dass hier Verfahren betroffen seien. Ist halt sensationeller als: Die NSA kennt Schwachstellen in verschiedenen Hard- und Softwarekomponenten, um auf scheinbar sicher verschlüsselten Kanälen mitzulesen.
So wird dem unbedarften Zuschauer eine Bedrohung vorgegaukelt, die so gar nicht besteht:
Wenn ich eine verschlüsselte E-Mails versende, schert es mich überhaupt nicht, dass ein Geheimdienst trotz SSL an den Datenstrom kommt. Denn an die Mail käme er auch beim Provider ohne die SSL-Verbindung zu "knacken".
Angst sollte nur haben, wer geglaubt hat, seine E-Mail sei verschlüsselt, weil er den Webmailer mit https oder POP3 abfragt.In der Regel findet die Kompromittierung der SSL-Verbindung aber gezielt statt, weil man ja auch noch z.B. DNS umbiegen muss. Und wirklich unsichtbar sind diese Angriffsmethoden auch nicht.
Lustigerweise werden solche Meldungen der NSA helfen, weil bei der Masse der Eindruck entsteht, dass es ohnehin keine Zweck hätte, digitale Sicherheit zu nutzen.
Ciao, Allesquatsch
-
So einige Verschlüsselungsverfahren sind doch durch unsachgemäßen Gebrauch angreifbar.
WEP benutzte als Verschlüsselung RC4, ein an sich einfaches und "sicheres" Verfahren welches man aber unsachgemäß nutzte. Alleine schon die Tatsache dass man nicht regelmäßig den Schlüssel tauschte, war eine Lücke. Und da der RC4 eine Anfälligkeit aufweist (die ersten Bytes der Zufallsfolge korrelieren mit dem Schlüssel) war die Rezeptur für die Chossen Plaintest Attake gegeben.
Anderes Szenario:
Fiktives Verschlüsselungsprotokoll zwischen A und B. Verschlüsselung = XOR Verschlüsselung mit fixem Schlüssel. A sendet B eine Datei mit lauter 0 Bytes. B bedankt sich hierfür, denn in der verschlüsselte Datei steht periodisch der Schlüssel.Enigma ist auch ein schönes Beispiel für unsachgemäßen Gebrauch.
* Das eingebaute Steckbrett, zur Erhöhung der Sicherheit, führte zu eine Lücke.
* Nachrichten wurden zum Teil verschlüsselt als auch in Klartext gesendet
* Passwörter waren zum Teil sehr einfach "AAA"
* ...
-
@Bitte ein Bit:
Die von dir aufgezählten Verfahren haben aber auch mathematische Fehler. XOR mit festem Schlüssel ist an sich unsicher. Selbst XOR mit Schlüssel < Nachricht ist inhärent unsicher. Enigma ist unsicher by design, Mängel in der Benutzung machten es den Angreifern bloß noch einfacher als es ohnehin gewesen wäre. Die Korrelation zwischen Schlüssel und Anfang der verschlüsselten Nachricht bei RC4 ist eine mathematische Schwäche des Verfahrens.Bei dieser neuen Nachricht geht es aber um Verfahren, die an sich sicher wären, weil ihre Sicherheit mathematisch bewiesen (unter gewissen Annahmen, wie P != NP usw.) ist. XOR und Enigma kannst du gar nicht sicher umsetzen, egal wie sehr man sich anstrengt. Die hier betroffenen Verfahren wären theoretisch sicher, die üblichen Umsetzungen wurden aber absichtlich sabotiert.
-
Ich ahne nichts gutes... was ist mit AES?
Ist das jetzt auch geknackt worden?Ich werde ab heute nur doch Serpent und Blowfish verwenden.
-
Oder du benutzt gleich SIMON and SPECK
-
Die Veröffentlichungen liefern keine Hinweise darauf, dass es NSA oder GCHQ gelungen wäre, aktuell als stark eingestufte Verschlüsselungsverfahren wie AES mit ausreichend langen Schlüsseln zu kompromittieren. Im Gegenteil: In einem Interview mit dem Guardian bestätigte auch Insider Edward Snowden: "Verschlüsselung funktioniert. Sauber implementierte, starke Verschlüsselung ist eines der wenigen Dinge, auf die man sich noch verlassen kann."
-
Eisflamme schrieb:
Die Veröffentlichungen liefern keine Hinweise darauf, dass es NSA oder GCHQ gelungen wäre, aktuell als stark eingestufte Verschlüsselungsverfahren wie AES mit ausreichend langen Schlüsseln zu kompromittieren. Im Gegenteil: In einem Interview mit dem Guardian bestätigte auch Insider Edward Snowden: "Verschlüsselung funktioniert. Sauber implementierte, starke Verschlüsselung ist eines der wenigen Dinge, auf die man sich noch verlassen kann."
Da fehlt das wichtigste, nämlich der nächste Satz:
Unfortunately, endpoint security is so terrifically weak that NSA can frequently find ways around it.
-
Ihr Vergesst, dass das "Verfahren" nicht nur die Mathematik, sondern auch das protokoll bezeichnet. Selbst ein sauber implementiertes Protokoll (=fehlerlose softwareseite) kann angreifbar gemacht werden, wenn man im Protokoll Lücken versteckt. Und wie gesagt: bei SSL gibt es die Lücke, die ist auch bekannt:Padding.
-
Eisflamme schrieb:
Die Veröffentlichungen liefern keine Hinweise darauf, dass es NSA oder GCHQ gelungen wäre, aktuell als stark eingestufte Verschlüsselungsverfahren wie AES mit ausreichend langen Schlüsseln zu kompromittieren. Im Gegenteil: In einem Interview mit dem Guardian bestätigte auch Insider Edward Snowden: "Verschlüsselung funktioniert. Sauber implementierte, starke Verschlüsselung ist eines der wenigen Dinge, auf die man sich noch verlassen kann."
Das ist schön zu hören. Ich verwende trotzdem lieber Kaskaden, am besten AES-Serpent-Twofish. Maximale Sicherheit. Sollte AES geknacht werden können, bleiben noch die beiden anderen Algorithmen übrig.
-
Die NSA hat nicht RSA oder dergleichen, als sicher geltende Verfahren, geknackt, sondern sie nutzen Schwachstellen in Protokollen und Implementierungen. Wie schon tausende Hacker davor.
Wer seine Daten mit einer sauberen RSA-Implementierung verschlüsselt und den Schlüssel groß genug wählt hat nix von der NSA zu befürchten. Es sein denn man nutzt Windows, OSX, iOS oder Android. Da kann man sich nie sicher sein was die NSA dort für Hintertürchen hat einbauen lassen.
Die Aussage der Presse ist genauso aussagekräftig wie "Arzt hat Krankheit geheilt" und alle sagen "Ja, na endlich."
-
Du hast bei den Betriebssystemen wohl absichtlich alle OpenSource-Systeme außen vorgelassen B4ndit. Die Komplexität von Betriebssystemen erscheint mir aber sehr hoch, ich glaube nicht, dass die NSA keinen Zutritt mehr hat nur weil China sich entscheidet Linux als OS zu verwenden, das ist ein blauäugiger Zugang.
MfG SideWinder
