IT Security DE

 Zu den wichtigsten Herausforderungen gehören die Schlüsselverteilung und die Schlüsselverwaltung, da sowohl der Sender als auch der Empfänger denselben Schlüssel sicher teilen und verwalten müssen

Bei der asymmetrischen Schlüsselkryptografie, auch als Public-Key-Kryptografie bezeichnet, wird ein Schlüsselpaar verwendet: ein öffentlicher Schlüssel für die Verschlüsselung und ein privater Schlüssel für die Entschlüsselung. Ein bekanntes Beispiel ist der RSA-Algorithmus. 

Weil der öffentliche Schlüssel offen verteilt werden kann, ohne die Sicherheit zu gefährden, während der private Schlüssel geheim gehalten wird. Damit entfällt der Bedarf an sicheren Schlüsselaustauschkanälen.

Zu den üblichen Anwendungen der asymmetrischen Kryptographie gehören:

• Schlüsselverteilung (z. B. Diffie-Hellman-Schlüsselaustausch, RSA)
• Digitale Signaturen für Nachrichtenintegrität und Unleugbarkeit (z. B. RSA, DSA)
• Sichere Kommunikationsprotokolle (z. B. SSL/TLS für sichere Internetverbindungen)
• Verschlüsselung von Daten, wenn ein sicherer Schlüsselaustausch nicht möglich ist. --> weil 2 Schlüssel verwendet werden und der pub key nicht soo tragisch ist wenn er abgefangen wird

In digitalen Signaturen wird eine Hash-Funktion verwendet, um aus einer Nachricht einen Hash-Wert (Digest) fester Größe zu erstellen, der dann signiert wird. Dies bietet mehrere Vorteile:

Effizienz: Anstatt die gesamte Nachricht zu signieren, wird nur der Hash-Wert signiert, was den Prozess schneller und ressourcenschonender macht.

Integrität: Wenn die Nachricht nach dem Hashen verändert wird, ändert sich auch der Hash-Wert. Dadurch kann man erkennen, ob die Nachricht manipuliert wurde.

Sicherheit: Die Kollisionsresistenz bedeutet, dass es sehr unwahrscheinlich ist, zwei verschiedene Nachrichten mit demselben Hash-Wert zu finden. Dadurch wird sichergestellt, dass die signierte Nachricht eindeutig und nicht fälschbar ist.

• Digitale Signatur: Ein verschlüsselter Wert, der mit einem geheimen Schlüssel aus den Daten erstellt wird.
• Geheimer Schlüssel: Nur der Unterzeichner kennt diesen Schlüssel.
• Datenintegrität: Stellt sicher, dass die Daten nicht verändert wurden.
• Authentifizierung: Bestätigt die Identität des Unterzeichners.
• Nichtabstreitbarkeit: Der Unterzeichner kann die Signatur nicht leugnen.

Alice erstellt eine digitale Signatur, indem sie die Nachricht mit ihrem privaten Schlüssel verschlüsselt. Bob überprüft die Signatur, indem er sie mit Alices öffentlichem Schlüssel entschlüsselt, um sicherzustellen, dass die Nachricht von Alice stammt und nicht verändert wurde.

Schlüsselerzeugung:

1. Jeder Benutzer erzeugt ein Schlüsselpaar: einen privaten Schlüssel und einen öffentlichen Schlüssel.
2. Der private Schlüssel wird geheim gehalten, während der öffentliche Schlüssel mit allen geteilt wird.

Eine Nachricht signieren:

1. Um eine Nachricht zu signieren, verschlüsselt der Absender (Alice) die Nachricht (oder einen Hash der Nachricht) mit ihrem privaten Schlüssel. Diese verschlüsselte Nachricht ist die digitale Signatur.
2. Die digitale Signatur wird dann an die Originalnachricht angehängt und an den Empfänger (Bob) gesendet.

Die Signatur überprüfen:

1. Wenn Bob die Nachricht und die digitale Signatur erhält, verwendet er Alices öffentlichen Schlüssel, um die digitale Signatur zu entschlüsseln.
2. Wenn die entschlüsselte Signatur mit der Originalnachricht (oder deren Hash) übereinstimmt, weiß Bob, dass die Nachricht tatsächlich von Alice gesendet wurde und nicht verändert wurde.

RSA stützt sich auf die mathematischen Eigenschaften großer Primzahlen. Es verwendet ein Schlüsselpaar: einen öffentlichen Schlüssel für die Verschlüsselung und einen privaten Schlüssel für die Entschlüsselung, basierend auf dem Produkt zweier großer Primzahlen.

RSA ist eines der am weitesten verbreiteten Kryptosysteme mit öffentlichen Schlüsseln

RSA wird hauptsächlich für den Schlüsseltransport und digitale Signaturen verwendet.

RSA beruht auf der Tatsache, dass es schwer ist, n zu faktorisieren

Derzeit ist ein 1024-Bit-Schlüssel noch nicht faktorisiert (309 Dezimalstellen), aber durch Fortschritte bei der Faktorisierung könnte dies in 10-15 Jahren möglich sein. Daher sollte für langfristige Sicherheit RSA mit einem Schlüssel von 2048 oder mehr Bit verwendet werden.

Unterschied zwischen SHA-3 und SHA-2

Unterschiedliche interne Strukturen:

• SHA-2: Verwendet die Merkle-Damgård-Konstruktion.
• SHA-3: Verwendet die Sponge-Konstruktion.

Permutationsfunktion vs. Kompressionsfunktion:

• SHA-2: Verwendet eine Kompressionsfunktion.
• SHA-3: Verwendet die Keccak-f Permutation.

Widerstand gegen bestimmte Angriffe:

• SHA-3: Bietet stärkere Sicherheitsgarantien gegen bestimmte Angriffe (z.B. Längenverlängerungsangriffe) als SHA-2.

Einfache Zusammenfassung:

• SHA-3: Verwendet eine Sponge-Konstruktion, die Daten durch Keccak aufnimmt und herauspresst.
• SHA-2: Verwendet die Merkle-Damgård-Konstruktion und eine Kompressionsfunktion.

Was passiert mit dem Schwamm bei SHA-3:

1. Absorption: Daten werden in den Schwamm aufgenommen.
2. Mischen: Keccak-f Permutation mischt die Daten.
3. Auspressen: Der Hash-Wert wird aus dem Schwamm herausgepresst.

Kurzfassung:

• SHA-2: Daten werden in Blöcken komprimiert.
• SHA-3: Daten werden aufgesaugt, gemischt und herausgepresst, was zusätzliche Sicherheit bietet.

Keccak Schwamm-Konstruktion (SHA-3) ganz einfach erklärt:

Was ist SHA-3?

• SHA-3 ist eine Methode, um aus beliebigen Daten (wie einem Text) eine eindeutige, feste Länge (den Hash) zu erzeugen.

Wie funktioniert es?

Stell dir einen Schwamm vor:

• Der Schwamm kann Wasser aufsaugen (Absorptionsphase).
• Dann kann man das Wasser aus dem Schwamm herauspressen (Auspressphase).

Absorptionsphase:

1. Eingabe aufteilen:
   • Die Daten (z.B. ein Text) werden in kleine Stücke aufgeteilt.
2. Mischen:
   • Jedes Stück wird in den Schwamm aufgenommen und gut gemischt.

Auspressphase:

1. Auspressen:
   • Nach dem Aufsaugen wird der Schwamm zusammengedrückt, um den Hash-Wert herauszuholen.
2. Nochmals mischen:
   • Auch beim Auspressen wird weiter gemischt, um sicherzustellen, dass der Hash-Wert einzigartig und sicher ist.

Wichtige Teile von Keccak:

• Zustand: Der Schwamm selbst, ein großer Speicherbereich, der die Daten aufnimmt.
• Permutation: Das Mischen im Schwamm, um die Daten gut zu verteilen.
• Rate und Kapazität: Bestimmen, wie viel Daten der Schwamm auf einmal aufnehmen und wie viel er beim Auspressen herausgibt.

Zusammengefasst:

• SHA-3 benutzt einen "Schwamm", um Daten aufzunehmen und dann einen eindeutigen Hash-Wert zu erzeugen.
• Absorbieren: Die Daten werden Stück für Stück in den Schwamm aufgenommen und gemischt.
• Auspressen: Der gemischte Zustand wird zusammengedrückt, um den Hash-Wert zu erzeugen.

Diese Methode sorgt dafür, dass die Daten sicher verarbeitet werden und der erzeugte Hash-Wert eindeutig und schwer zu fälschen ist.

Eine Substitutionschiffre ersetzt jeden Buchstaben einer Nachricht durch einen anderen Buchstaben nach einer festgelegten Tabelle. Zum Beispiel wird "ABBA" zu "kddk" verschlüsselt. Diese Methode hilft, die Grundlagen der Verschlüsselung zu lernen.

Durch den Vergleich der Häufigkeit von Buchstaben im Chiffretext mit bekannten Buchstabenhäufigkeiten in der Klartextsprache kann ein Angreifer auf die verwendete Substitution schließen. Mit dieser Methode kann die Substitutions-Chiffre trotz ihres großen Schlüsselraums geknackt werden. 

Zusammengefasst:

• Es gibt keinen mathematischen Beweis, dass ein Verschlüsselungsverfahren sicher ist.
• Die Sicherheit wird durch den Versuch, die Verschlüsselung zu brechen, und das Scheitern dieses Versuchs überprüft.
• Dieser Prozess heißt Kryptanalyse und hilft, Schwachstellen in Verschlüsselungssystemen zu finden und zu beheben.

Weithin bekannte Chiffren, die seit mehreren Jahren von guten Kryptographen kryptoanalytisch untersucht wurden, sind zuverlässiger.

• Diskret: Verwendung von ganzen Zahlen ohne Dezimalstellen.
• Endlich: Verwendung einer begrenzten Menge von Zahlen

Beispiel Uhr

• Modulo-Berechnung: Hält Zahlen innerhalb eines festgelegten Bereichs und erzeugt zyklische Strukturen.
• Modulare Reduktion: Reduziert große Zahlen auf handhabbare Größen, um Berechnungen effizienter und sicherer zu machen --> rest muss grösser 0 sein und kleiner der Modulo sein
• Multiplizieren der Inverse: Ermöglicht die Umkehrung kryptographischer Operationen und ist entscheidend für die Sicherheit von Verschlüsselungssystemen.

Diese Eigenschaften machen die Modulo-Berechnung zu einem unverzichtbaren Werkzeug in der modernen Kryptographie, da sie die Handhabung großer Zahlen vereinfacht und die Sicherheit und Effizienz kryptographischer Prozesse gewährleistet.

• Die Shift- (oder Caesar-) Chiffre ist anfällig für eine erschöpfende Schlüsselsuche, da der Schlüsselraum nur 26 mögliche Schlüssel umfasst.
• Sie ist auch anfällig für die Buchstabenhäufigkeitsanalyse, bei der die Häufigkeit der Buchstaben im Chiffriertext den Klartext verraten kann. 

Es hat 2 verschieene mathematische Berechnungen, + und *

• Entwickeln Sie niemals einen eigenen kryptografischen Algorithmus, ohne ihn zuvor von erfahrenen Kryptoanalytikern umfassend prüfen zu lassen.
• Vermeiden Sie die Verwendung von unbewiesenen kryptographischen Algorithmen oder Protokollen.
• Große Schlüsselräume garantieren keine Sicherheit, wenn die Chiffre für analytische Angriffe anfällig ist.
• Symmetrische Schlüssellängen sollten sein:
  • 64 Bits: unsicher, außer für extrem kurzfristige Werte.
  • 128 Bit: sicher für mehrere Jahrzehnte, sofern keine Fortschritte im Quantencomputing gemacht werden.
  • 256 Bits: sicher auch gegen mögliche zukünftige Quantenangriffe.

Strom/Stream Chiffers: Bit für Bit und idR klei und schnell Beispiele hierfür sind A5/1 für GSM-Telefone (wird nicht mehr benutzt)

Blockchiffren hingegen verschlüsseln immer einen ganzen Block von Bits und werden häufig für Internetanwendungen verwendet.

DES gilt aufgrund seiner geringen Schlüssellänge von 56 Bit als unsicher, was ihn anfällig für Brute-Force-Angriffe macht. Obwohl er viele Jahre lang die beliebteste Blockchiffre und der am besten untersuchte symmetrische Algorithmus war, ist er durch die Fortschritte in der Rechenleistung inzwischen überholt.

Die Anforderungen für alle AES-Kandidaten waren:

Der Algorithmus musste eine Blockchiffre mit einer Blockgröße von 128 Bit sein.

• Er musste drei Schlüssellängen unterstützen: 128, 192 und 256 Bit.
• Er musste im Vergleich zu anderen eingereichten Algorithmen Sicherheit bieten.
• Er musste sowohl in der Software- als auch in der Hardware-Implementierung effizient sein. 

1. Daten im Ruhezustand (Data at Rest)

Daten, die auf einem physischen Medium gespeichert sind (z.B. Festplatten, Datenbanken, USB-Sticks).

Verschlüsselungsmethoden:

• Full Disk Encryption (FDE): Verschlüsselung der gesamten Festplatte.
• File-Level Encryption (FLE): Verschlüsselung einzelner Dateien.
• Datenbankverschlüsselung: Verschlüsselung von Daten innerhalb einer Datenbank.

2. Daten in Bewegung (Data in Transit)

Daten, die aktiv von einem Ort zum anderen übertragen werden, z.B. über das Internet oder ein privates Netzwerk.

Verschlüsselungsmethoden:

• Transport Layer Security (TLS): Verschlüsselung von Daten, die über das Internet übertragen werden.
• Secure Sockets Layer (SSL): Eine ältere Methode der Verschlüsselung, die immer noch verwendet wird.
• Virtual Private Network (VPN) Verschlüsselung: Sichere Übertragung von Daten über ein privates Netzwerk.
• IPsec: Ein Protokoll zur Sicherung von Internet-Protokoll (IP) Kommunikationen.

3. Daten in Benutzung (Data in Use)

Daten, die gerade von Anwendungen verarbeitet werden.

Verschlüsselungsmethoden:

• Speicherverschlüsselung: Verschlüsselung der Daten im Arbeitsspeicher, z.B. durch Intel SGX (Software Guard Extensions).
• Homomorphe Verschlüsselung: Ermöglicht Berechnungen auf verschlüsselten Daten.
• Anwendungsebene Verschlüsselung: Verschlüsselung der Daten auf Anwendungsebene.

zB ein in einem Spital habe ich verschiedene Datensätze die ich nicht sehen darf und diese sind verschlüsselt. Ich kann jedoch die Datensätze trotzdem für verschiedene Berechnungen benutzen zB Blugruppe... --> das Resultat ist jedoch auch verschlüsselt und dazu habe ich ein Schlüssel. Dieser Schlüssel kann aber die Datensätze in der Wolke nicht entschlüsseln.

Hauptvorteile:

Datenschutz: Man kann sensible Daten verarbeiten, ohne sie entschlüsseln zu müssen. Dadurch bleibt die Vertraulichkeit gewahrt zB Privatsphäre der Patienten schützen.

Sicheres Outsourcing: Dritte (z.B. Cloud-Dienste) können Berechnungen auf verschlüsselten Daten durchführen, ohne Zugriff auf die eigentlichen Daten zu haben.

Funktionalität: Unterstützt Berechnungen wie Addition und Multiplikation direkt auf verschlüsselten Daten. zb Man kann komplexe Berechnungen durchführen, wie z.B. Statistiken oder maschinelles Lernen, während die Daten verschlüsselt bleiben.