3.4 weitere Anmerkungen

Sicherheit

Schwachstellen von Programmen

In den vorherigen Kapiteln wurde in der Regel immer die Sicherheit des Kryptoverfahrens an sich in Augenschein genommen. In der Praxis hat sich aber herausgestellt, daß die Unsicherheit von Krypto-Programmen oft an der fehlerhaften Implementierung von Krypto-Verfahren liegt und nicht am Verfahren selber. Es ist zu empfehlen, nur Programme zu verwenden, die entsprechend getestet worden sind und eine weite Verbreitung haben.

Passwortwahl

Eine weitere Schwachstelle ist der Benutzer selbst, denn ein Programm kann noch so gut verschlüsseln, wenn aber ein Passwort wie "1234" oder der Vorname der Großmutter verwendet wird, kann ein Angreifer die Verschlüsselung durch Raten brechen. Daher sollte ein Passwort immer mehr als 6 Stellen haben und sowohl aus Groß- und Kleinbuchstaben, als auch aus Sonderzeichen und Zahlen bestehen. Selbstverständlich ist, daß ein Passwort nur für eine Anwendung verwendet wird. Der Einwand "Wie soll ich mir denn die ganzen wirren Zeichenfolgen merken?" ist sicherlich berechtigt, hierzu nur ein Tip zur Wahl des Passwortes. Aus dem Satz "Wörtliche Rede ist in der Regel zwischen zwei Anführungszeichen zu setzten" läßt sich z.B. das Passwort: WRiidRz2"zs aus den Anfangsbuchstaben und einigen leichten Abwandlungen zusammenbauen. Das Passwort sieht so recht willkührlich aus, aber der zugrunde liegende Satz ist recht einfach zu merken.

Internet

Weiter sollte jedem bewußt sein, daß die wenigsten Seiten im Internet einen gesicherten Austausch von Daten mit dem Heim-PC unterstützen. So werden z.B. die Passwörter und alle anderen Daten von und zu den Freemail-Anbietern ungeschützt über das Internet versandt. Solche Daten sind dann im Prinzip sehr einfach von Unbefugten mitzulesen.
Die gängigen Internetbrowser zeigen den Sicherheitsstatus der momentanen Verbindung an und warnen vor ungesicherten Übertragungen.
Eine Übersicht über mögliche Risiken ist in einer Aufstellung der TU-Chemnitz "Sicherheit von Internet-Anwendungen" zu lesen.

Verschlüsselte Verbindung

Bisher wurde immer nur von Verschlüsselung von Nachrichten gesprochen. Vielleicht ist es sinnvoll, noch einmal explizit zu erwähnen, daß nicht nur Brief oder elektronische Dokumente verschlüsselt werden können. Häufig werden Krypto-Verfahren auch dazu benutzt, Verbindungen zwischen zwei Computern zu verschlüsseln. Auch GSM-Telefone (auch Handies oder Mobil-Telefon genannt) kommunizieren mit der nächsten Funkstation verschlüsselt.

Kombination von asymmetrischen und symmetrischen Verfahren

Wie im vorherigen Kapitel erwähnt ist der größte Nachteil der asymmetrischen Verfahren die Berechnungsdauer der Ver- und Entschlüsselung. Daher entscheidet man sich in der Praxis oft dazu, eine Kombination beider Verfahren zu nutzen. Gerade wenn eine zeitlich begrenzte, sichere Verbindung zwischen zwei Computern aufgebaut werden soll, z.B. die Verbindung zwischen Home-PC und dem Internetbanking-Rechner einer Bank, bietet es sich an mit einem asymmetrischen Verfahren die Autentifizierung und den Austausch eines zufälligen Session-Keys durchzuführen. Dann wird mit dem nur für dieses Verbindung gültigen Session-Key eine symmetrisch verschlüsselte Verbindung aufgebaut.

Schlüsselverwaltung

Auch unter der Bedingung, daß es keine Probleme gibt einen Schlüssel für ein symmetrisches Verfahren über einen sicheren Kanal auszutauschen, stellt sich ein weiterer Nachteil dieses Verfahrens heraus. So muß mit jeder Partei, mit der verschlüsselt kommuniziert werden soll, ein neuer Schlüssel vereinbart werden. Folgende Abbildung verdeutlich wie die Schlüsselanzahl steigt, wenn mehrere Parteien an einer gesicherten Kommunikation teilnehmen.

Allgemein berechnet sich die Schlüsselzahl s abhängig von der Teilnehmerzahl t mit folgender Formel:

Bei einer asymmetrisch verschlüsselten Kommunikation ist es nur ein öffentlicher Schlüssel pro Partei, der in das System gegeben wird. Die privaten Schlüssel bleiben bei der jeweilen Partei und werden dort geheim gehalten.