Aktualisierungen gibt es im Changelog, als RSS-Feed
oder im [matrix] Raum #prhdb-changes:nitro.chat

Privacy-Handbuch

Die im folgenden vorgestellten Tools zur Datenverschlüsselung arbeiten in der Regel mit symetrischer Verschlüsselung (Ausnahme: GnuPG verwendet hybride Verschlüsselung).

  1. Bei der Initialisierung wird eine kleine Menge von zufälligen Zufalls­zahlen generiert, die als Schlüssel für die symmetrische Verschlüsselung mit AES256-XTS o.ä. dient.
  2. Dieser Schlüssel aus zufäligen Zufallszahlen wird mit einer Pass&hsy;phrase verschlüsselt und im Header der verschlüsselten Daten gespeichert.
  3. Beim Zugriff auf die Daten wird zuerst der Schlüssel aus Zufalls­zahlen mit dem Pass­phrase entschlüsselt und danach für den Zugriff auf die Daten genutzt.

Es ist nach derzeitigem Stand der zivilen Kryptoanalyse unmöglich, aktuelle Verschlüsselungen wie AES-XTS oder Twofisch oder... mit mathe­matischen Methoden zu knacken, wenn zufällige Zufalls­zahlen als Schlüssel verwendet werden und es keine groben Programmierfehler gibt.

Alle bekannten Angriffe auf moderne Daten­verschlüsselungen konzentrieren sich daher darauf, die Pass­phrase zu erraten, um damit Zugriff auf den Schlüssel für die symmetrische Verschlüsselung zu bekommen und somit die geschützten Daten lesen zu können.

Die Stärke und Länge der Passphrase ist somit der entscheidende Faktor für die Sicherheit der Daten­verschlüsselung und gleichzeitig auch oft das schwächste Glied in der Kette. Eine Pass­phrase, welche die gleiche Stärke gegen Brute-Force Angriffe wie AES128 hätte, müsste beispiels­weise beim Diceware Verfahren aus mindestens 12 zufällig generierten Wörtern bestehen:

stuff plastic young air easy husband exact install web stick hurt embody

Das ist schon etwas kompliziert zu merken und in der täglichen Benutzung ganz schön umständlich. In der Regel werden die meisten Anwender eine einfachere Passphrasen wählen und damit wird die Passphrase zum schwächsten Punkt der Verschlüsselung.

Wie findet man eine ausreichend starke Passphrase?

Ein 6-stelliges Passwort zu knacken, kostet 0,10 €. Eine 8-stellige Kombination hat man mit 300 € wahrscheinlich und mit 600 € sicher geknackt. Um eine 15-stellige Kombination aus zufälligen Groß- und Klein­buch­staben, Zahlen und Sonder­zeichen oder eine Diceware Pass­phrase aus 6 Wörtern mit 50% Wahrschein­lichkeit zu knacken, würde auch die NSA viele Jahre benötigen.

Für eine gute Passphrase sollte man mindestens 12 zufällige Zeichen verwenden (kein Wort aus einem Wörter­buch, Groß- und Klein­buch­staben, Zahlen und Sonder­zeichen) oder eine Diceware Passphrase mit 5 Wörtern. Eine brauchbare Passphrase hat eine Entropie von minimal 65 Bit.

Es gibt mehrere Möglichkeiten, um starke Passwörter zu generieren:

Herausgabe von Passwörtern an Strafverfolgungs­behörden

Zur Herausgabe von Schlüsseln an Strafverfolgungsbehörden im Fall einer Beschlag­nahme des Daten­trägers gibt es immer wieder Missverständnisse.

In Deutschland gelten folgende gesetzlichen Reglungen für den Zugriff auf Datenträger:

In Großbritannien ist es anders. Gemäß dem seit 2007 geltendem RIPA-Gesetz können Nutzer von Verschlüsselung unter Strafandrohung zur Herausgabe der Schlüssel gezwungen werden. Dieses Gesetz ist nicht auf schwere Verbrechen beschränkt, wie man bei Heise lesen kann.

Bei Einreise in die USA sind die Grenzbehörden berechtigt, elektronische Geräte (Laptops und Smartphones) zu durchsuchen. Die Herausgabe von Passwörtern kann nur mit Durch­suchungs­beschluss erzwungen werden, aber die Behörden können das Gerät zur weiteren Untersuchung einziehen, wenn man das Passwort nicht heraus geben will.

Die EFF.org rät, mit einer leeren, unverschlüsselten Festplatte in die USA einzureisen und ein datenloses Handy zu nutzen: Defending Privacy at the U.S. Border: A Guide for Travelers (PDF).

Polizeiliche Festnahme (Polizei-Sprech: "Zugriff")

Den Polizeibehörden ist bekannt, dass es starke Verschlüsselung für Festplatten gibt, die im ausgeschalteten Zustand nicht geknackt werden kann. Deshalb sind die Fest­nahme Spezialisten des SEK u.ä. darin geschult, beim "Zugriff" die Computer im eingeschalteten Zustand zu über­nehmen und ein Backup der unverschlüsselten Daten anzufertigen.
Lizenz: Public Domain