Kryptographie

Wissenschaft der Geheimhaltung von Nachrichten

1. Unverschlüsselter Text (Klartext, Plaintext)

2. Anwendung einer Funktion (Parametrisierung anhand eines Schlüssels (Keys))

3. Verschlüsselter Text (Ciphertext)

• Integrität → mittels einer Signatur

• Vertraulichkeit → mittels Verschlüsselung

• Authentizität → mittels einer Signatur

Sicherheit darf nur von Geheimhaltung des Schlüssels abhängen, nicht von der Geheimhaltung des Algorithmus

Ein eindeutiger Fingerprint eines Dokuments

2 unterschiedliche Originale dürfen nicht oder nur sehr unwahrscheinlich denselben Fingerprint haben

Sind Einwegverfahren, wo eine Umkehrfunktion nicht oder nur schwer anwendbar ist

1. Verschlüsselung eines Dokuments mit neu erstelltem symmetrischem Schlüssel

2. Verschlüsselung des neu erstellen (symmetrischen) Schlüssel mit Public Key des Empfängers

3. Anhängen des verschlüsselten neu erstellen (symmetrischen) Schlüssels an das symmetrisch verschlüsselte Dokument

4. Empfänger entschlüsselt neu erstellen (symmetrischen) Key mit seinem Privat Key und kann mit diesem das verschlüsselte Dokument entschlüsseln

• Komplexität der kryptographischen Verfahren (Protokolle, PKIs, etc.)

• Alterung von Algorithmen/ Schlüssellängen

• Probleme von privaten Schlüsseln -> Verlust und Verwahrung

• Probleme vom Zusammenspiel zwischen privaten und öffentlichen Schlüsseln

  • Integrität/ Authentizität der Schlüssel durch Manipulation des Schlüssels durch einen Angreifer (Man in the Middle)

    → Zertifikate enthalten eine digitale Signatur

  • Schlüssel enthält keine Informationen zum Besitzer → schwere Zuordnung

  • Übergreifende Festlegung für die Verwendung einer PKI (Public Key Infrastructure) erforderlich

• Side Channel Angriffe (Seitenkanal Angriffe)

  • Ausnutzung von der physischen Implementierung eines Kryptosystems in einen Gerät

  • Beobachtung des Gerät, um ggf. Korrelationen zwischen beobachten Daten und verwendeten Schlüsseln zu entdecken

• Physikalische Angriffe mit z.B. Temperatur, Spannung, etc.

• Man in the Middel (z.B. Kartenterminal)

• Social Engineering (Diebstahl, Ausspionierung der PIN)

1: Keine besonderen Sicherheitsmerkmale

2: Gerät enhält PIN-Pad

3: PIN-Pad und Display

4: PIN-Pad, Display und Sicherheitsmodul zur Authentisierung des Geräts

• Zusätzlich sind stets physikalische Schutzmaßnahmen gegen Manipulation erforderlich

Registration Authority (RA):

• Registrierung von neuen Anwendern

• Sperre von Zertifikaten

• Definition von Protokollen für Zertifikatsantrag und -austausch

• Kompromittierung bei fehlender/ fehlerhafter Überprüfung

Certification Authority (CA):

• Ausstellung und Verwaltung von Zertifikaten

  • Endbenutzer-Zertifikate werden durch CA-Zertifikate signiert

Verzeichnisdienst (DIR):

• Zugriff auf öffentliche Zertifikate

• Sperrung von Zertifikaten, wenn Vertraulichkeit eines privaten Schlüssels nicht mehr gegeben ist

• Anwendung muss Sperrstatus eines empfangenen Zertifikats prüfen

Zeitstempeldienste (TSA):

• Ausstellung von signierten Zeitstempeln

  → Dient als Nachweis, dass Daten zu diesem Zeitpunkt existieren

• Ablauf:

  1. Client sendet Hash-Wert des Dokuments an TSA

  2. TSA fügt Zeitstempel ein und signiert diese Kombination

  3. Client fügt diese Information zum Dokument hinzu

Verwendung von PKI Komponenten

-> in Anwendungen wie Mail-Client-Application, XML- oder Web-Service-Client-Application, Virtual Private Network (VPN)

• Entität für die Vertrauensstellung

  → Zuordbarkeit eines Public Keys zu einer Identität

  → Zertifikat ist im Rahmen der PKI öffentlich

• Schalenmodell: Zum Zeitpunkt der Prüfung alle Zertifikate im Pfad gültig

• Kettenmodell: Zum Zeitpunkt der Erstellung der Signatur war jeweils das signierende Zertifikat gültig

• Hybridmodell: Zum Zeitpunkt der Erstellung der zu prüfenden Signatur waren alle Zertifikate im Pfad gültig

= Transportation Layer Security

-> HTTPS -> HTTP over TLS

• Nachfolger von SSL

• Verwendung für die Authentifizierung und Verschlüsselung der Kommunikation

• Vertraulichkeit nur zwischen zwei Komponenten auf Layer 4 möglich

• Cipher Suiten legen kryptographische Methoden für die Kommunikation fest (gemeinsame Cipher Suite)

  -> Kommunikationspartner handeln gemeinsam verwendete Cipher Suite aus

• Bestandteile einer Cipher Suite:

  • Schlüsselaustausch (RSA, DHE, …)

  • Authentifizierung (RSA, DSS, …)

  • Verschlüsselung (3DES, AES, …)

  • Hashfunktion (MD5, SHA)