Sicherheit in Informationsnetzwerken Protokoll. PGP Versuch 3 am

Transkript

1 Sicherheit in Informationsnetzwerken Protokoll PGP Versuch 3 am Felix Nagel Matthias Rosenthal Dominic Beinenz (Gruppe E2)

2 INHALTSVERZEICHNIS 1. Erstellen Sie sich einen eigenen Schlüssel Verschlüsseln Sie eine Nachricht mit Ihrem Schlüssel und Verschlüsseln Sie eine Nachricht für Ihren Nachbarn Verschlüsseln Sie eine Nachricht. Anschließend verschlüsseln Verschlüsseln und Signieren Sie eine Nachricht für Ihren Signieren Sie eine Nachricht und prüfen diese anschließend Verschlüsseln Sie eine Datei Signieren Sie eine Datei Löschen Sie eine Datei unwiderruflich Versuchen Sie eine Datei zu entschlüsseln, für die Sie privaten Schlüssel besitzen Verändern Sie eine verschlüsselte Nachricht Verändern Sie eine signierte Nachricht Verändern Sie die Signatur einer Nachricht Exportieren Sie einen Schlüssel, verändern diesen und Verschlüsseln Sie eine Datei und speichern diese im Textformat Verändern Sie die Signatur einer Datei... 19

3 17. Signieren Sie eine Datei und verändern nachträglich die Datei Versuchen Sie den privaten Schlüssel des Benutzers Praktikum Finden Sie heraus, wie lange es nach Expertenmeinungen bei verschiedenen Schlüssellängen dauert, is eine Nachricht geknackt ist. (Tip: Google/BSI) Berichte an die HTLV-AG Vergleich der Programme und Empfehlung Steganos Security...24 GnuPG mit GData-Plugin für Outlook...29 CryptoAnywhere (Outlook Plugin)...34 Empfehlung Sicheres Löschen von sensiblen Daten Digital Signieren bedeutet mehr, als eine digitale Unterschrift zu leisten. Erstellen Sie eine kurze Erklärung für die Mitarbeiter, um ihnen zu verdeutlichen, was das ist und welchen Vorteil das bringt

4 1. Erstellen Sie sich einen eigenen Schlüssel. Um einen eigenen Schlüssel anlegen zu können, verwenden wir das Programm PGP. Wir klicken auf File New um den Winzard zu öffnen. Nun werden wir aufgefordert einen Benutzername und eine Adresse anzugeben. Anschließend legen wir den privaten Key fest. Nach kurzer Bearbeitungszeit, welche auch in einer Abarbeitungsliste dokumentiert wird, kommt letztendlich die Bestätigung der erfolgreichen Schlüsselgenerierung. 2. Verschlüsseln Sie eine Nachricht mit Ihrem Schlüssel und entschlüsseln Sie diese anschließend.

5 Nun wollen wir einen Text verschlüsseln. Dafür benutzen wir wieder PGP und geben einen Private-Key an, welcher später wieder zum Entschlüsseln benötigt wird. Mit Hilfe des PGP Symbol in der Taskleiste, welches das Untermenu Decrypt & Verify besitzt, können wir unseren Text wieder darstellen unter Angabe des Private-Keys.. 3. Verschlüsseln Sie eine Nachricht für Ihren Nachbarn. Nun müssen wir darauf achten, dass wir den Public-key der Gruppe, die die Nachricht erhalten soll haben, damit diese mit ihrem Privat-Key sie wieder entschlüsseln kann. Wir verschlüsseln wieder einen beliebigen Text mit Hilfe von PGP und versenden sie dann.

6 4. Verschlüsseln Sie eine Nachricht. Anschließend verschlüsseln Sie die Originalnachricht nochmals und vergleichen die beiden Chiffrate. Hierzu verwenden wir wieder PGP, wobei eben nun die zweite Nachricht doppelt verschlüsselt wird. Es ist zu erkennen, dass bis zu dem ersten MQC in der ersten Zeile der Nachricht die Zeichen übereinstimmen. Dann jedoch beinhalten sie völlig verschiedene Zeichenfolgen. Die Nachricht wurde also tatsächlich nochmals neu überverschlüsselt und besitzt somit eine neue Verschlüsselung.

7 5. Verschlüsseln und Signieren Sie eine Nachricht für Ihren Nachbarn. Ähnlich wie in Aufgabe 2 verschicken wir nun eine Nachricht an eine Nachbargruppe. Mit ihrem Public-Key ist es uns Möglich, eine Verschlüsselung zu erstellen, welche von unserem Gegenüber wiederum mit ihrem Private-Key entschlüsselt werden kann. Die Signatur hierbei gibt die Sicherheit, dass die Nachricht auch vom richtigen Sender stammt. Nun können wir wieder über unser PGP-Symbol in der Windows-Leiste über Decrypt &Sign die Nachricht ebenfalls signieren.

8 Der Empfänger kann somit als einziger, aufgrund es P-Keys diese Nachricht entschlüsseln, was auch funktioniert hat. 6. Signieren Sie eine Nachricht und prüfen diese anschließend. Zuerst haben wir in Outlook wider eine Nachricht erstellt.wie auch schon in Aufgabe 5 beschrieben, wählen wir über die das PGP-Symbol diesmal den Unterpunkt Sign aus, um unsere Nachricht zu signieren.

9 Über Verify können wir diese Nachricht nun prüfen und erhielten folgende Ausgabe:

10 Nun erkennt man, dass die Signatur von PGP bestätigt wurde und somit als glaubwürdig aufgefasst werden kann. 7. Verschlüsseln Sie eine Datei. Bei einer Datei gibt es die Möglichkeit, über das Symbol der Datei mit der rechtem Maustaste über PGP -> Encrypt diese zu verschlüsseln. Wiederum müssen wir natürlich auch wieder die Schlüssel angeben, damit man später wieder die Möglichkeit hat, die Datei zu entschlüsseln. 8. Signieren Sie eine Datei Nun kann man, wie in Aufgabe 7 beschrieben, wieder über das Menu des Symbols Sign die Datei signieren.

11 Ebenfalls wie bei einer Textdatei müssen wir auch hierbei eine Passworteingabe tätigen: Anschließend hat uns PGP eine Datei signierte und die Endung.sig angehängt. Diese kann man wiederum wie in den vorgehenden Aufgaben beschrieben decrypten.

12 9. Löschen Sie eine Datei unwiderruflich Nun wählen wir wieder die Kopie unserer EXE-Datei. In unserem gewohnten Kontextmenü wählen wir nun den Punkt Wipe aus. Jetzt öffnet sich ein Fenster, in dem wir den Vorgang nochmals bestätigen müssen.

13 10. Versuchen Sie eine Datei zu entschlüsseln, für die Sie privaten Schlüssel besitzen. Nun versuchen wir eine Datei zu entschlüsseln, jedoch ohne Besitz des Private- Keys, über den üblichen, wie in den oberen Aufgaben beschriebenem Weg. Dies ist allerdings nicht möglich, da ja auch sonst die Verschlüsselung unnötig bzw. unsicher wäre. Es entsteht folgende Fehlermeldung: 11. Verändern Sie eine verschlüsselte Nachricht Hierzu benutzen wir auch wieder eine verschlüsselte Nachricht aus Outlook. Wir schreiben lediglich in den verschlüsselten Text einige Buchstaben dazwischen.

14 Original: Veränderter Code:

15 Beim Wiederherstellungsversuch der Datei bekommen wir folgende Fehlermeldung, da die Datei nicht mehr entschlüsselt werden kann. 12. Verändern Sie eine signierte Nachricht Wir öffnen also wieder eine von uns vorher signierte Datei und fügen wiederum einige Buchstaben zum Text hinzu, ähnlich wie in der vorhergehenden Aufgabe. Beim Wiederherstellungsversuch, wie in Aufgabe 6 beschrieben, bekommen wir nun allerdings eine Fehlermeldung. Meldung bei unveränderter Datei: Meldung bei veränderter Datei (Bad Signature): 13. Verändern Sie die Signatur einer Nachricht Nun verändern wir die Signatur der Nachricht, welche sich in der untersten Zeile der Nachricht befindet.

16 Allerdings ist es nun ebenfalls nicht mehr möglich, die Datei wiederherzustellen. Folgende Fehlermeldungen erscheinen. 14. Exportieren Sie einen Schlüssel, verändern diesen und versuchen ihn zu importieren. Nun exportieren wir wieder einen Test-Key aus PGP um ihn anschließend mit einem Editor zu öffnen und zu verändern. Exportieren des Keys:

17 Original-Key: Veränderter-Key:

18 Beim Versuch in PGP über Keys-Import den Schlüssel wieder zu benutzen bzw. zu Importieren bekamen wir folgende Fehlermeldung. 15. Verschlüsseln Sie eine Datei und speichern diese im Textformat und verändern diese. Über PGP verschlüsseln wir, wie in den oberen Aufgaben erwähnt wiederum eine Datei. In unserem Fall ein JPG. Diese schon verschlüsselte Datei öffnen wir nun im Editor und verändern einige Zeilen. Original: Veränderte Datei: Beim Versuch nun die Datei zu entschlüsseln kam wieder folgende Fehlermeldung, da ja, wie auch in den Oberen Aufgaben schon der Verschlüsselungstext verändert wurde.

19 16. Verändern Sie die Signatur einer Datei Dazu verwenden wir wieder unser JPG und versehen diese Datei mit einer Signatur. Jetzt öffnen wir diese wieder im Editor. Und verändern ihren Inhalt.

20 Beim wiederherstellen der Datei entsteht erneut folgende Fehlermeldungen: 17. Signieren Sie eine Datei und verändern nachträglich die Datei Wie schon in den oberen Aufgaben erwähnt, signieren wir nun unser JPG und verändern im Editor den Textinhalt. Danach versuchen wir wieder die Datei über Verify wiederherzustellen:

21 Diesmal bekommen wir eine etwas andere Fehlermeldung als in den obigen Beispielen. Die Datei enthält eine Bad Signature. Somit ist sie ebenfalls nicht mehr Rückkonvertierbar. 18. Versuchen Sie den privaten Schlüssel des Benutzers Praktikum zu knacken, indem Sie versuchen, die Datei geheim.txt zu entschlüsseln. Über Encrypt & Verify, wie schon beschrieben versuchen wir die Datei zu entschlüsseln. Allerdings werden wir aufgefordert nun ein Passwort einzugeben. Wir versuchen es also nun mit verschiedensten Passwörtern und kamen schließlich auf das passende praktikum.

22 Nach einer kurzen Warnung, dass es sich um eine verschlüsselte, nur für den Empfänger zu betrachtende Nachricht handelt, können wir letztendlich die versteckte Botschaft entschlüsseln.

23 19. Finden Sie heraus, wie lange es nach Expertenmeinungen bei verschiedenen Schlüssellängen dauert, is eine Nachricht geknackt ist. (Tip: Google/BSI) Stand: Quelle: Bundesamt für Sicherheit in der Informationstechnik Zeitraum Parameter bis Ende 2007 bis Ende 2008 bis Ende 2009 bis Ende 2010 bis Ende 2012 n 1024 (Mindest w.) 2048 (Empf.) 1280 (Mindest w.) 2048 (Empf.) 1536 (Mindest w.) 2048 (Empf.) 1728 (Mindest w.) 2048 (Empf.) 1976 (Mindest w.) 2048 (Empf.) Damit lässt sich eindeutig sagen dass eine Schlüssellänge von 2048 Bit für die nächsten Jahre ausreichend sein sollte. Vorraussetzung ist natürlich immer ein ausreichend komplexes (sicheres) Passwort. 20. Berichte an die HTLV-AG 20.1 Vergleich der Programme und Empfehlung Wir haben folgende Programme gestestet: Steganos Security Suite PGP GnuPG mit GData-Plugin für Outlook CryptoAnywhere (Outlook Plugin)

24 Steganos Security Die Steganos Security Suite 7 hat eine moderne, aufgeräumte Bedienoberfläche und verfügt über eine deutsche Hilfe. Um s zu verschlüsseln klicken wir auf -Verschlüsselung und werden daraufhin aufgefordert den Text einzutippen:

25 Das ist etwas unpraktisch gelöst da man seinen nicht in seinem gewohntem Programm tippen kann. Nach klicken auf verschlüsselt senden werden wir aufgefordert ein Passwort einzugeben und dieses zu bestätigen:

26 Die Datei wird daraufhin automatisch als Anhang an eine angefügt. Wir halten dies für eher unpraktisch da die mitgeschickte Datei unnötig groß wird und evtl. Empfänger das unbekannte Dateiformat nicht öffnen wollen. Vorteil ist das das man keinen public key des gegenüber haben muss und das der Empfänger kein PGP installiert haben muss. Das Programm ist sehr umfangreich und für reine Verschlüsselung etwas zu umfangreich und obendrein zu langwierig bis eine wirklich verschlüsselt abgeschickt wird. Schnell ist das Programm dagegen wenn es darum geht Anhänge zu verschlüsseln. Dazu muss lediglich ein Rechtsklick auf die jeweilige Datei gemacht werden:

27 Auch zu beachten wäre das Steganos Security Suite 7 ein kommerzielles Programm ist und das bei vielen OpenSource Alternativen, wobei man sagen muss das es alle Arten von Sicherheit (wie zum Beispiel auch Spurenvernichtung im Internet) abdeckt. Das Programm ist wirklich sehr einfach zu bedienen, aber für fortgeschrittene User zu umständlich. PGP Auch PGP ist einfach und intuitiv zu bedienen. Zum einen gibt es das PGPmail Fenster:

28 Mit diesem kann schnell und einfach, per Klick auf das passende Icon, eine verschlüsseln. PGP hat den Vorteil auf einem System zu beruhen das weit verbreitet ist und deshalb mit vielen Programmen kompatibel ist. Auch PGP bietet ein Kontextmenü mit dem auch unerfahrene Anwender sich schnell zurecht finden: Außerdem bietet PGP in ständig vorhandenes Schlosssymbol in der Systray, über die jederzeit schnell auf alle wichtigen Funktionen zugegriffen werden kann:

29 Auch PGP ist ein kommerzielles Produkt und bietet alle wichtigen Verschlüsselungs- und Signierungsfunktionen. Aufgrund seiner hohen Sicherheit und einfachen Bedienbarkeit ist es für jeden nutzbar, egal ob Anfänger oder Profi. GnuPG mit GData-Plugin für Outlook Da es sich nur um ein Plugin handelt muss zuerst GniPG installiert werden. Nach der Installation und dem starten des Programms bietet sich folgende Oberfläche: Sofern man noch keinen Key besitzt (auch Gnu arbeitet mit einem PGP ähnlichem Schlüssel) erzeugt man sich einen neuen:

30 Man wird aufgefordert die eigene Adresse anzugeben und ein Passwort einzugeben. Gegebenenfalls kann man dem Key noch ein Kommentar hinzufügen:

31

32 Nach der Erstellung des Keys sieht man wieder die Übersicht: Man kann natürlich auch bereits vorhandene Keys importieren:

33 Nachdem dies erledigt ist kann man auch das eigentliche Plugin installieren:

34 Auch dieses Plugin unterstützt die direkte Verschlüsselung aus Outlook heraus: Da GNUPG das eigentliche Verschlüsselungsprogramm ist und lediglich das Plugin von GData ist wird eine Bewertung schwierig. Die Bedienoberfläche von GNUPG ist recht unübersichtlich, allerdings ist die getestete Version nicht die aktuelle. Es gibt bereits seit längerem neue Versionen von GNUPG die die angebotenen Funktionen besser anbieten. Hier möchte wir auf GnuPG Basics hinweisen. GnuPG ist die kostenlose Alternative zu PGP. Trotz vielen Verbesserungen kann das kostenlose Programm, auch in der aktuellsten Version, nicht mit dem kostenpflichtigen großen Bruder mithalten. Aufgrund der recht komplizierten und veralteten GUI ist das Programm eher für erfahrene Anwender zu empfehlen. Von der Erweiterung durch das GData Plugin raten wir im jedem Falle ab, die Firma ist nicht gerade für seine Qualitätsprodukte bekannt. CryptoAnywhere (Outlook Plugin) Beim ersten Start fordert das Programm zur Konfiguration auf:

35

36 Da auch CryptoAnywhere auf PGP basiert kann man entweder einen neuen Schlüssel importieren oder einen neuen Erzeugen:

37

38 Man kann Schlüssel bis zu 8192 bits erzeugen, was weit über ausreichend ist. Die aktuelle Empfehlung der BIS beläuft sich auf 2048 bits.

39 Danach wird man aufgefordert ein paar mal auf die freie Fläche klicken damit der Generator einige random Werte hat:

40 Nach einiger Zeit kommt die Meldung das das auf RSA (gleicher Algorithmus wie PGP) basierende Schlüsselpaar fertig generiert wurde. Die Bedienoberfläche des Programms ist leider sehr unübersichtlich und daher für unerfahrene User nicht zu empfehlen:

41 Das Verschlüsseln einer mail hingegen ist sehr einfach und schnell erledigt: Einfach auf das Symbol klicken und danach wie gewohnt auf Senden. Dann öffnet sich folgendes Fenster:

42 Hier wählen Sie den public Key des Empfängers aus, ganz wie bei PGP. Daraufhin wird die Nachricht verschlüsselt und versand. Das Produkt bietet nur englische Hilfe an und ist für kommerzielle Anwendung nicht kostenfrei. Es kann nur s verschlüsseln und ist damit leider sehr beschränkt in seiner Anwendung. Positiv ist die wirklich einfach zu Nutzende Einbindung in Outlook die der des GData Plugins ähnelt. Empfehlung: Wenn die Lösung Geld kosten darf würden wir aufgrund der etwas einfacheren Bedienung PGP empfehlen. Ansonsten wäre wohl GnuPG die Wahl, da es die gleichen Funktionen bietet. Beide sind sicher und intuitiv zu bedienen und bieten alle wichtigen Funktionen in Sachen Datensicherheit. Außerdem nutzen beide

43 einen weltweiten Standard in Sachen Verschlüsselung der stetig weiterentwickelt wird und somit immer state-of-the-art ist Sicheres Löschen von sensiblen Daten Alle Programme bis auf CryptoAnywhere bieten sicher Datenvernichtung an. Sie beruhen alle auf ausreichend sicheren Algorithmen, allerdings würden wir eine Formatierung die nicht auf Betriebssystemebene stattfindet vorziehen. Schon eine einfache Defragmentierung einige Zeit vor der sicheren Löschung könnte Datenteile an einen anderen Ort der Platte kopieren und so Teile der sensiblen Daten von der Löschung ausnehmen. Aus diesem Grund empfehlen wir eine Boot Cd wie BartsPe oder Sidux mit einem geeigneten Programm wie TrueCypt um die Festplatte komplett zu verschlüsseln und dann zu löschen. So kann sichergestellt werden das wirklich die gesamte Festplatte mit allen temporären Dateien und Sicherungen gelöscht wird und wirklich keinerlei Daten mehr vorhanden sind. Noch einfacher und besser, weil sicherer wären natürlich einschlägige Administratortools wie minipe die Profi-Datenvernichtungsprogramme beinhalten. 21. Digital Signieren bedeutet mehr, als eine digitale Unterschrift zu leisten. Erstellen Sie eine kurze Erklärung für die Mitarbeiter, um ihnen zu verdeutlichen, was das ist und welchen Vorteil das bringt. Hierzu muss man sich nur einmal vor Augen führen das viele Veträge mittlerweile per abgeschlossen werden. Viele Anwender wissen aber nicht das der Absender einer sehr leicht zu fälschen ist. Ob eine wirklich von ihrer Bank kommt machen viele User an der Domain fest (zum Beispiel sparkasseoberhessen.de). Jeder mit rudimentären Kenntnissen in Sachen HTML und PHP kann dies Fälschen (Stichwort Phishing). Da wie oben beschrieben viele Geschäfte über das Internet abgewickelt werden, aber gerade bei diesem Medium eine Sicherstellung der Identität nicht gegeben ist, ist es wichtig Möglichkeiten zu haben die diese sicherstellt. Die verbreiteste Möglichkeit ist hier das digitale Singnieren. Dabei wird mit Hilfe von Kryptographie (Verschlüsselung) sichergestellt das die , der Text, die Datei auch wirklich von der Person stammt von der die Daten angeblich kamen. Man kann die digitale Signatur mit einer Unterschrift vergleichen. Dazu kann, muss die Datei aber nicht verschlüsselt sein.

44 Das System funktioniert ähnlich wie das der Verschlüsselung, nur das es hier andersherum angewandt wird. Der Absender der Daten signiert dieselben mit seinem privaten Schlüssel. Der Empfänger kann dann mit dem öffentlichen Schlüssel die Signatur wieder entschlüsseln und anhand der korrekten Signatur feststellen dass die Daten von der richtigen Person sind. Eine weitere wichtige Funktion der digitalen Signatur ist dass anhand einer vollständigen, korrekten Signatur nicht nur festgemacht werden kann, ob die Daten von der richtigen Person kommen, sondern auch dass sie nicht von einem Dritten verändert wurden.