Revision DE, V2.1c MAXA-Crypt-SE Die wirkliche Garantie unter Windows, wenn es um den sicheren Schutz Ihrer Daten geht. - 1 -
Vorwort Der Schutz und die Sicherheit gehört zu den Grundrechten- und Bedürfnissen des Menschen. Daran hat sich in der Geschichte nie etwas geändert. Verändert hat sich allerdings der zugrunde liegende gesellschaftliche Hintergrund durch kulturelle, politische, juristische und technische Anpassung. Die Verletzlichkeit heutiger Datenverarbeitung durch modernste Methoden, hat eine ähnliche Situation wie im Kalten Krieg geschaffen. Ein Wettrüsten mit geeigneten Mitteln von Angriff und Verteidigung. Warum Datensicherheit? Noch nie war es so wichtig wie heute, vertrauliche Informationen und Daten sowohl privat als auch geschäftlich wirksam zu schützen. In Zeiten von globaler Kommunikation und weltweiter Vernetzung ist das Ausspionieren von elektronisch gespeicherten Informationen durch Hacker, Cracker, Mitbewerber, Unbefugte und andere Zielgruppen relativ einfach geworden. Im geschäftlichen Bereich hat sich die Industriespionage längst etabliert und führt zu Schäden in Milliardenhöhe. Gerade der Dienstleistungsbereich, dem der Normalverbraucher nahezu ausgeliefert ist, gibt in Sachen Sicherheit sehr zu denken. Auch im persönlichen Bereich hat diese Entwicklung nicht halt gemacht. Gerade durch Social Engineering nahm die Zahl der Angriffe exzessiv zu. Der Handel mit illegal erworbenen Informationen, der durch unsichere Datenverwaltung möglich wird, hat sich zu einem hoch profitablen Industriezweig entwickelt. Auch die Kombination durch legales Datenmaterial, das mit geeigneten themenorientierten illegal beschafften Daten abgeglichen wird, kann durch Falschinterpretation u. U. Schaden verursachen. Die digitale Technologie ermöglicht im Prinzip jeden Content auf der Basis von Bild und Ton, ja sogar inzwischen Geruch dual aufzubereiten und zu distributieren. Auch die Exekutive in den Industrieländern betreibt extreme Datenbeschaffung, die den ohnehin schon gläsernen Bürger auch noch datentechnisch klonbar macht. - 2 -
Nicht zuletzt die inzwischen von verschiedenen Regierungen eingesetzte bzw. geforderte Onlineüberwachung von PC-Nutzern, schafft nun endlich Orwell`sche Verhältnisse. Bekannte Beispiele hierfür sind: Echelon (weltweit) Carnivore (FBI) EU-Trojan Überwachungskameras Rasterfahndung Unerlaubter Datenabgleich verschiedener Datenpools RFID (Personalausweis, Pass und Preisschilder) Sammelstelle für Punkte wegen Verkehrsverstoßes Ebenso im nichtstaatlichen Bereich werden Daten in enormen Umfang täglich geschaffen und gespeichert. Auf manche hat der Staat leichten oder sogar legalen Zugriff wie: RFID (Preisschilder) Auskunfteien Bonuskarten (Pay Back etc) BankCard oder Kreditkarte mit Maestro-Funktion) Telefon und Internetprovider Gesundheitswesen (Arzt, KK) Anwälte, Steuerberater (z.b. Durchsuchung oder Datenaustausch mit Korrespondenzanwalt) Wie geschieht das? Die Methoden der Attacken haben sich nicht nur verfeinert, sondern deren Effizienz hat sich erheblich gesteigert. Gerade wenn ein Betriebssystem diesen Anwendungen nicht ausreichend Beachtung widmet, so muss eben von Dritter Seite diese Sicherheitslücke geschlossen werden. Auch ist es wichtig, den Benutzer in seinem Sicherheitsbewusstsein zu fördern, um ihn mit allen gebotenen Hilfsmitteln zu unterstützen. Gerade jene Zielgruppe, welche gesetzlich zur Sorgfalt und Geheimhaltung verpflichtet ist, weist die größte Lücke auf. In erster Linie scheint dafür verantwortlich: Mangelndes Sicherheitsbewusstsein Unkenntnis der Rechtslage Passivität der Verantwortlichen - 3 -
Wenn man nun davon ausgehen würde, dass seine Daten gut geschützt seien, nur weil man jene sogar verschlüsselt durch das Betriebssystem (z.b. Windows NTFS) auf der Festplatte abgelegt hat, der irrt. In der heutigen Zeit ist es kein Problem, funktechnisch an die elektromagnetischen Wellen zu gelangen, die von einem CRT-Monitor produziert werden. Man kann sich sogar aus kurzer Entfernung aus einem Auto heraus dieser Informationen bemächtigen und in Echtzeit auch darstellen. Häufig wird ein unerlaubter Zugriff erleichtert, weil man den Arbeitsplatz vorübergehend verlässt und den Rechner nicht ausreichend gegen unerwünschten Zugriff sichert. Ein gestohlener oder verloren gegangener Laptop kann, sofern nicht ausreichend gesichert zu einem offenen Buch werden. Auch in der Vernetzung von Rechnern liegt eine große Gefahr für illegalen Datenzugriff. Dabei spielt es keine Rolle um welche Art der Vernetzung es sich letztlich handelt. Jeglicher Datentransfer zwischen Sender und Empfänger kann Schwachstellen nicht ausschließen. Wenn also eine große Gefahr im Umgang mit der Verwaltung von Daten gegeben ist, so bleibt nur die Möglichkeit, die Daten selbst entsprechend zu sichern. Was kann man hier tun? Neben einem angepassten praxisorientiertem Sicherheitsbewusstsein, sich informiert zu halten und sich geeigneter Hilfsmittel wie Sicherheitssoftware (MAXA-Crypt-SE) zu bedienen. - 4 -
MAXA-Crypt-SE Wer sollte MAXA-Crypt-SE einsetzen? Jeder, der erstellte sensible Daten auch ernsthaft schützen zu will. Oder auch der Normalbürger, der sich gelegentlich ins Internet einloggt um die Dateien zu schützen, welche durch Onlineüberwachung den realen Inhalt nicht erkennen lassen. Wer braucht MAXA-Crypt-SE unbedingt? sind. Stellen und Berufe, die zur Geheimhaltung gesetzlich verpflichtet Berufsangehörige nach 203 StGB Apotheken Arztpraxen Berufspsychologen Notare Rechtsanwaltskanzleien Steuerberater Wirtschaftsprüfer Wie den Medien zu entnehmen ist, so wird gerade in diesen so wichtigen Berufsgruppen ein erheblicher Mangel, des in die Praxis umzusetzenden Sicherheitsbewusstseins beklagt. An der Spitze sind hier Ärzte (Selbstcheck für Arztpraxen), dicht gefolgt von Anwaltskanzleien. Beratungsanbieter: Im seelsorglichen Bereich Im psychosozialen Bereich - 5 -
Öffentliche Stellen: egovernment Gewerbliche Einrichtungen: Rechenzentren Vereine Verbände Banken Versicherungsunternehmen Versicherungsagenturen Adressbroker Markt & Meinungsforschungsunternehmen Call-Center Telekommunikationsunternehmen Service-Provider Wie kann MAXA-Crypt-SE hier helfen? MAXA-Crypt-SE konzentriert sich im Wesentlichen auf den eigentlichen Schutz von Informationsinhalten, nämlich die Datei selbst. Kommt eine unbefugte Person absichtlich an elektronische Daten, so können diese immer noch in sich geschützt sein und der Angriff hat nichts gebracht. Sollte jemand zufällig mit Daten konfrontiert werden, so ist auch der Reiz des Entdeckten vorbei, wenn kein verwertbarer Inhalt zur Verfügung steht. MAXA-Crypt SE (Second Edition) ist eine Weiterentwicklung von MAXA-Crypt, das bisher nicht geknackt werden konnte. Mit dieser Applikation zum Verschlüsseln von Daten ist es möglich, eine Datei oder alle Dateien in einem Verzeichnis so zu verändern, dass auf den Inhalt nur mittels des entsprechenden Passwortes oder einer ganzen Phrase Zugriff besteht. Analog gilt dies auch für Emails sowohl online als auch offline. Eine der Besonderheiten dabei ist, dass wir grundsätzlich mit einer Verschlüsselungstiefe von 256 Bit arbeiten, was in der Praxis als absolut sicher einzustufen ist. Es überschreitet teilweise sogar Vorgaben von Militär und Geheimdiensten. - 6 -
Wie machen wir das? Auch wir erfinden das Rad nicht neu (außer dort wo es vielleicht notwendig ist), sondern lassen uns von der Devise leiten: Das BESTE ist des Guten Feind. Ausgehend vom Rijndael Algorithmus haben wie eine erweiterte Lösung entwickelt, die praktisch eine Sicherheitsreferenz darstellt. Was ist Rijndael? Es begann alles mit AES (Advanced Encryption Standard). Im September 1997 gründete das NIST (National Institute of Standards and Technology) den AES und suchte weltweit unter Sicherheitsfirmen und Universitäten nach einem neuen Algorithmus zur Datenverschlüsselung. Ziel war es, den bisherigen Standard DES (Data Encryption Standard) und dessen Erweiterung triple DES zu ersetzen, da diese in Zukunft nicht mehr vollumfänglich den hohen Sicherheitsanforderungen genügen. Zudem ist der triple DES mit großem Rechenaufwand verbunden, was ihn stark verlangsamt und ihn somit für große Datendurchsätze ungeeignet macht. In einer ersten Runde wurden 15 Kandidaten für eine weitere Qualifikation zugelassen. Aus diesen wurden fünf Finalisten ausgewählt: MARS IBM (vertreten durch Nevenko Zunic) RC6TM RSA Laboratories (vertreten durch Burt Kaliski) Rijndael Joan Daemen, Vincent Rijmen Serpent Ross Anderson, Eli Biham, Lars Knudsen Twofish B.Schneier,J.Kelsey,D.Whiting D.Wagner,C.Hall,N.Ferguson Nach öffentlicher Prüfung wurde im Oktober 2000 der Rijndael als neuer Standard ausgewählt. Auch nach vielen Kryptographischen Angriffen konnten keine Sicherheitslücken festgestellt werden, jedoch wie bei allen kryptographischen Verfahren kann die Sicherheit nicht mathematisch bewiesen werden. Auch den anderen Mitbewerbern konnten keine Sicherheitslücken nachgewiesen werden, der Algorithmus Rijndael überzeugte jedoch in der Gesamtbewertung. Ausschlaggebend war die optimale Kombination von Flexibilität der Schlüssellänge und Blockgröße, Geschwindigkeit, einfache Implementierbarkeit, Erweiterbarkeit. - 7 -
Nach Berechnungen des NIST braucht ein Rechner, der DES in einer Sekunde knacken könnte (255 Schlüsseltests pro Sekunde), für Rijndael mit 128 Bit Schlüssel 149 Billionen Jahre Rechenzeit. Das Universum ist weniger als 20 Milliarden Jahre alt. Das Verfahren der Datenverschlüsselung nach Rijndael (gesprochen "rheindahl") wurde von den belgischen Kryptoanalytikern Joan Daemen und Vincent Rijmen entwickelt. Inspiriert wurden sie von "SQUARE", einer 128-Bit Blockchiffre die ebenfalls von Joan Daemen und Vincent Rijmen stammt. Rijndael ist eine symmetrische Blockchiffre mit Schlüssellängen von 128-256 Bit, grundsätzlich in Schritten von 32 Bit. Im Weiteren können verschiedene Blockgrößen gewählt werden, ebenfalls im Bereich von 128-256 Bit. Beim Entwurf wurde auf alle bekannten Attacken, wie lineare und differenzielle Kryptoanalyse eingegangen, sodass ein Angriff mit allen herkömmlichen Verfahren nicht effizienter ist als ein Brute-Force- Angriff (Rechnergestützte Attacke im Probierverfahren). Nach den Gesetzen der Naturwissenschaft, ist ein solcher Angriff bei einer Verschlüsselungstiefe von 256 Bit unsinnig, da er in unserem menschlichen Dasein NICHT zeitnah Erfolg haben kann. Produkt-Überblick: MAXA-Crypt-SE enthält neben der reinen Verschlüsselungsfunktion auch die Möglichkeit digitale Daten in JPEG-Bildern oder Wave- Audiodateien zu verstecken, wobei die Trägerdateien unverdächtig bleiben (eine Technik namens Steganografie). Nach der Verschlüsselung ist es eventuell gewünscht, die unverschlüsselten Dateien zu entfernen. Hierzu bietet MAXA-Crypt-SE eine Funktion zum sicheren Löschen von Dateien an, so dass diese nicht mehr wiederhergestellt werden können. Das Modul MAXA-Lock rundet das Produkt ab. Es bietet die Möglichkeit den Rechner bei Abwesenheit durch ein Passwort zu sperren. Bei Zugriffsversuchen kann automatisch ein Webcam-Bild geschossen werden und Alarm über E-Mail, Skype oder SMS geschlagen werden. Die einzelnen Komponenten sind technisch auf höchstem Sicherheitslevel angesiedelt. Teilweise überschreiten einzelne Lösungsformen sogar militärische Anforderungen erheblich. Manche Applikation ist derzeit einzigartig und wird von keinem Mitbewerber angeboten. Menü: Die bedienerfreundliche Oberfläche erfordert nahezu keine Einarbeitungszeit. Die Farbabstimmung des Menüs berücksichtigt die Erkenntnisse der Farbenlehre. - 8 -
Einzelne Komponenten: Verschlüsselung / Entschlüsselung: Die Algorithmen mit einer Verschlüsselungstiefe von 256 Bit sind so ausgelegt, dass sie der Leistung von Großrechnern trotzen, auch wenn diese nicht nur mit simpler Brute Force Methode vorgehen, sondern ebenso, wenn sie sich moderner mathematischer Lösungsformen wie Rainbow Tables bedienen. Zur Gegenmaßnahme solcher Angriffsformen, beschränken sich unsere intelligenten Zusatzroutinen nicht nur auf Salt-Routines (Störmaßnahme gegen solche Angriffe) sondern weitere, eigens entwickelte Features. - 9 -
Was unterscheidet den Verschlüsselungsalgorithmus von MAXA- Crypt SE zu anderen Verfahren? Im Wesentlichen ist es das Anforderungsprofil und dessen Umsetzung. Für uns ist es mit dem alleinigen Vorgang des Verschlüsselns nicht getan. Ein leistungsstarker Formel 1 Motor garantiert keineswegs einen schnellen Rennwagen. Es ist die Summe der einzelnen optimierten Lösungsformen und dessen synchronisierte harmonische Umsetzung der restlichen Komponenten. Was ist nun das geforderte Anforderungsprofil einer professionellen Verschlüsselungsroutine? 01-) Praktische Sicherheit von 100% 02-) Intelligenter Verschlüsselungsalgorithmus 03-) Konstante 256 Bit Verschlüsselungstiefe 04-) Sicherer Konvertierungsmechanismus in beide Richtungen 05-) Keine Format- oder Volumenbeschränkung der zu verschlüsselnden Datei 06-) Verschlüsselung von extrem großen Dateien 07-) Geringer verschlüsselter Overhead 08-) Hoher Größenreduktionsfaktor 09-) Hohe Verarbeitungsgeschwindigkeit 10-) Variable Dateinamen- und Erweiterungsverschlüsselung - 10 -
11-) Weiterverarbeitungsoption in Steganographie 12-) Passphrasen- Generator mit Anti Salt-Funktion 13-) Sicheres Löschen (Shreddern) von Dateien 14-) Virtuelle Tastatur 15-) Verschiedene Verschlüsselungsoptionen bei Email 16-) Encrypted Print Out 17-) Kein Back Door Key in der Verschlüsselung Unsere Umsetzung des Anforderungsprofils: Zu 01) - Sicherheitsstufe: Um die Sicherheit von MAXA-Crypt SE aus einer anderen Position zu beleuchten, hier ein paar Zahlen aus naturwissenschaftlicher Sicht. Zunächst einmal ein kleiner Einblick, in welchen Größenordnungen sich die Dimensionen dieser Zahlen bewegen: Wahrscheinlichkeit, im Lotto den Hauptpreis zu gewinnen 1 zu 2 22 Wahrscheinlichkeit, vom Blitz erschlagen zu werden 1 zu 2 33 Wahrscheinlichkeit, im Lotto den Hauptpreis zu gewinnen und am gleichen Tag vom Blitz erschlagen zu werden Beginn der nächsten Eiszeit Alter des Universums 1 zu 2 55 in 2 14 Jahren 2 34 Jahre Anzahl der Atome im Universum 2 266 Größe des Universums 2 280 cm 3 Zeit, bis die Sonne zur Nova wird 2 30 Jahre Anzahl der möglichen Zustände von 8-Bit-RC4 (256! 256 2 ) 2 1700 Anzahl der möglichen Zustände von 16-Bit-RC4 (65536! 65536 2 ) 2 954068 Quelle: Bruce Schneier 256-Bit-Schlüssel Jetzt wird's etwas phantastisch. Denn zum besseren Verständnis "bauen" wir uns nun einen Planeten (theoretisches Modell), der so groß ist, wie unsere Sonne und gänzlich aus Mikrochips besteht Diese Chips können eine Milliarde Schlüssel pro Sekunde berechnen. Also, die Sonne besteht aus 10 57 Atomen. Für einen 256-Bit-Schlüssel gibt es 10 77 Möglichkeiten. Wir führen also die Rechnung 10 77 / 10 57 / 1.000.000.000 / 3.600 / 24 / 365 durch und erhalten 3.672 Jahre. Immer noch ziemlich lange. Mit "normalen" Mitteln können wir 256-Bit-Schlüssel nicht knacken. Um solch einen Schlüssel in annehmbaren 100 Jahren zu knacken, - 11 -
bräuchten wir schon 10 65 Chips, die jeweils 1 Billion Schlüssel pro Sekunde berechnen können (oder umgekehrt, wie Sie wollen). Und das ist unmöglich. Es ist sehr unwahrscheinlich, dass 256-Bit-Schlüssel je geknackt werden können, da dazu einfach zu viel Energie und zu viele Chips nötig sind. In seinem Buch Applied Cryptography zeigt Bruce Schneier die Einschränkung durch die Thermodynamik auf: Zur Repräsentation eines Bits ist eine bestimmte Energie erforderlich. Der im Buch beschriebene Ansatz besteht darin, die Energie einer Supernova zu sammeln und mit dieser Energie den Schlüsselraum (d. h. die Anzahl der Möglichkeiten eines Schlüssels) zu durchsuchen. Schneier erläutert: Eine typische Supernova gibt etwa 10 51 erg ab. [...] Könnte all diese Energie in eine einzige Berechnungsorgie kanalisiert werden, könnten wir damit einen 219-Bit-Zähler all seine Zustände durchlaufen lassen. Das reicht nicht einmal für einen 256-Bit-Schlüssel, und so resümiert er schließlich: Diese Zahlen haben nichts mit der Gerätetechnik zu tun, es handelt sich um die nach den Gesetzen der Thermodynamik maximal erreichbaren Werte. Und sie lassen sehr deutlich darauf schließen, dass Brute-Force- Angriffe gegen 256-Bit-Schlüssel undurchführbar sind, bis Computer nicht mehr aus Materie bestehen und keine räumliche Ausdehnung besitzen. Zu 02-) (Verschlüsselungsalgorithmus): Siehe Rijndael Zu 03-) Verschlüsselungstiefe: Siehe 256 Bit, Bruce Schneier Zu 04-) Konvertierung: Mit dem von uns entwickeltem SBST Verfahren (Security-Block-Slice- Transfer) ist auch bei einem Stromausfall oder Lock Up des Rechners kein Datenverlust zu erwarten. Dies gilt für die Verschlüsselung als auch für die Entschlüsselung. Eine Verifikationseinrichtung analysiert die Daten und teilt das Ergebnis mit. Sollte ein Fehler auftreten, wird versucht diesen zu erkennen und zu beseitigen. - 12 -
Zu 05-) Formatbeschränkung: MAXA-Crypt SE verschlüsselt jede Art von Dateiformat auf einer Windowskompatiblen Plattform. Zu 06-) Dateigröße: MAXA-Crypt SE ist in der Lage, Dateien der Einzelgröße von über 200.000 (Zweihundert Tausend) Mega Byte erfolgreich zu verschlüsseln. Zu 07 ) Overhead: Ziel jedes professionellen Verschlüsselungsverfahrens sollte es sein, dass die verschlüsselte Datei im Extremfall nur geringfügig größer als die Originaldatei werden darf. Bei MAXA-Crypt SE ist der größtmögliche Overhead eine um 290 Byte erweiterte Endgröße pro Datei. In den meisten Fällen liegt jedoch wegen unserer SSPR Technik, eine Reduktion vor. Zu 08 ) Reduktionsfaktor: Heutzutage ist die Tendenz der steigenden Dateigrößen wegen der hohen Leistungsfähigkeit der eingesetzten Hardware immer noch anhaltend. Wir gehen hier einen anderen Weg. Bevor der Arbeitsgang der Verschlüsselung gestartet wird, prüft das Programm SSPR (Smart-Size-Pre- Reduction) die zu verschlüsselnde Datei in der Größe zu reduzieren. Je nach Struktur der Datei, sind hier Reduktionsfaktoren von bis zu 80% denkbar. Zu 09 ) Geschwindigkeit: Gerade bei größeren Dateien kann es vorkommen, dass je nach Windowsumgebung und deren Hardwarevoraussetzungen finitere zeitliche Herausforderungen auftreten können. Bei manchem Anwender kann hier schon Frust auftreten. Deshalb entwickelten wir BSO (Block-Size-Optimizer). Ausgehend von der Tatsache, dass es unter Windowsanwendern statistisch gesehen einen Durchschnittsrechner gibt, dessen Hardwarevoraussetzungen in eine Gauss`sche Verteilung eingebracht werden kann, ist es, basierend auf diese mathematischen Überlegungen möglich, die Effektiv-Performance des Verschlüsselungsvorgangs zu erhöhen. - 13 -
Die intelligente Optimierung der Blockgrößenanpassung zwischen RAM- Durchsatz und Auslagerungsdatei kann in Einzelfällen beeindruckende Ergebnisse erwarten lassen. 10 ) Dateibezeichnung: Aus unserer Sicht, macht es keinen Sinn, den Dateinamen und/oder Erweiterung statisch zu halten. Der Benutzer alleine soll entscheiden, welche sprachliche Zuordnung er wählt. Selbstverständlich ist dies auch im gemischten Modus möglich. Unsere Entwicklung SDRR (Smart-Description-Recovery-Robot) macht es möglich, ein oder mehrere Dateien beliebig zu bezeichnen und/oder umzubenennen. Dies gilt auch für den Batch Mode. Hier ist es machbar, beliebig verschiedene Dateien in EINE Datei zu verschlüsseln und trotzdem beim Entschlüsseln die originalen Dateinamen wieder korrekt zuzuordnen. 11-) Weiterverarbeitung (Steganografie): Es gibt Umstände, in denen es Sinn macht, eine verschlüsselte Datei in einem Bild zu verstecken. Die automatische Menüführung bietet eine solche Weiterverarbeitung an. Wenn ein entsprechendes Größenverhältnis von verschlüsselter Datei und Bild vorliegt, dann ist es möglich, die Daten ohne Qualitätsverlust völlig unsichtbar in das Bild verschwinden zu lassen. Hier heben wir uns erneut von der Konkurrenz ab, indem wir als mögliche Trägerdatei das populäre JPG/JPEG-Format unterstützen und nicht das schon allein wegen der Dateigröße verdächtige Bitmap-Format. Analog dazu ist es dank unserer Applikation, dem IACG (Intelligent-Audio- Correlation-Generator) möglich, eine oder mehrere beliebige Dateien in einer Sounddatei zu verstecken. Auch hier gilt, kein Qualitätsverlust! Wird eine Datei mit MAXA-Crypt SE verschlüsselt ist u. a. folgendes möglich. Sie rippen eine volle Audio-CD, integrieren bis zu 100 MB an Dateien und brennen wieder eine CD. Ohne Beeinträchtigung der Abspielfunktion oder Audioqualität bzw. sonstiger optischer Erkennungsmöglichkeiten ist eine solche Datenmenge sicher und nicht sichtbar untergebracht. Kritische Stimmen behaupten, dies könnte sich in einem leichten Rauschen äußern. Jenen sei gesagt, dass hier andere Gründe vorliegen können wie: - 14 -
Analoge Erstaufnahme (AAD oder ADD) Digitale Aufnahme mit Nachbearbeitungsfehler (DAD) Digitale Aufnahme mit Geräterauschen (DDD) - 15 -
- 16 -
12-) Pass Phrase / Passwort Generator: Passphrase: Zu den wichtigsten Formalien bei der Umsetzung von Datensicherheit zählt die Erstellung eines Passwortes. Eigentlich ist dies in sich schon falsch. Der Begriff Passwort vermittelt immer den singulären Eindruck. Da hier nicht ein simples Wort zugrunde liegen sollte, sondern die zufällige Zusammensetzung aus alphanumerischen Begriffen und Sonderzeichen, spricht man auch von einer Pass Phrase. In den meisten Fällen hat der Benutzer keinerlei Beziehung zwischen dem erforderlichen Sicherheitslevel der zu erstellenden Phrase und seiner Eingabe. Damit dies nachvollziehbar wird, kontrolliert ein Echtzeitanalysator die Qualität der eingegeben Information. - 17 -
Eine optische Kontrolle mit Sicherheitshinweis, macht sofort deutlich, welcher Sicherheitsgrad gerade gegeben ist. Sinnvoller hingegen ist, die Nutzung von 256-RCG (256-Random-Code- Generator). Diese von uns entwickelte Funktion garantiert die Erstellung einer PassPhrase mit einer Verschlüsselungstiefe von 256 Bit in weniger als einer Sekunde. Die Verschlüsselung unter Nutzung einer solchen Phrase in MAXA-Crypt SE, ist aus unserer Sicht (unter Berücksichtigung der Gesetze der Thermodynamik) nicht knackbar! Dies gilt für alle Angriffsarten. Passwort: Der Passphrasen Generator ist eine exklusive Lösung für MAXA-Crypt. Die damit generierten Phrasen sind nur für einen Rijndael orientierten Algorithmus vorgesehen. Zu 13-) Sicheres Löschen: MAXA-Crypt SE löscht die Originaldateien wahlweise durch überschreiben mit bis zu sieben Zyklen. Folgende Methoden sind einstellbar: 0fach Daten werden (nicht sicher) nur normal gelöscht. Wiederherstellen ist mit Spezialprogrammen möglich. 1fach Daten werden einmal mit ASCII-0 überschrieben 3fach Daten werden abwechselnd mit 0, 255 und wieder mit 0 überschrieben 7vsitr Daten werden mit dem deutschen Standard VSITR sicher gelöscht Sicherheitshinweis: Die Thematik "Sicher Löschen" ist technisch einfach zu verstehen, jedoch gibt es bedingt durch das Betriebssystem einige Tücken. Ein Programm wie MAXA-Crypt SE beispielsweise, welches eine Datei verschlüsselt und anschließend das Original sicher löscht, kann nicht die eventuell angesammelten Datenfragmente auf der Festplatte automatisch mit löschen. Es besteht keine Historie über jeden Zugriff auf Daten. Die sich ansammelnden Datenfragmente entstehen dadurch, weil Dokumente verändert werden und Anwendungen temporäre Dateien während der Benutzung zwischenspeichern. Die temporären Dateien werden in der - 18 -
Regel zwar wieder gelöscht, aber eben nicht sicher gelöscht. Während der weiteren Arbeit am Computer werden nach und nach die wieder als frei verfügbar deklarierten temporären Festplattenbereiche durch andere Daten beschrieben. Dieser Überschreibungsprozess ist nicht kontrollierbar. Journalisierende Dateisysteme wie NTFS eignen sich dafür aber weniger! System- oder Arbeitspartitionen können nur durch regelmäßiges Löschen des freien Speicherplatzes bereinigt werden. Allerdings gibt es auch windowsspezifische Datenbereiche auf der Systempartition, die nicht von allen entsprechenden Tools sicher gelöscht werden. Nachdem MAXA-Crypt SE eine Datei verschlüsselt hat, wird hinter dem Kryptogramm der Clustertipp sicher gelöscht. Ein Clustertipp ist die Differenz zwischen dem belegten Speicherplatz auf dem Datenträger und dem tatsächlichen Dateiumfang. - 19 -
14-) Virtuelles Keyboard: Keylogger in Form von Software als auch Hardware finden immer häufiger Einsatz. Während die Softwarelösung mehr in der Industrie vorkommt (Personalüberwachung), wird der Hardwareeinsatz eher durch Behörden und Geheimdienste praktiziert. Es handelt sich dabei um die lückenlose Aufzeichnung jeder einzelnen gedrückten Taste. Die erzeugte PassPhrase kann noch so sicher sein, solange sie auf diesem Weg unerwünschten Personen unfreiwillig in die Hände fällt. Arbeitet man an einem Computer wo man Zweifel hat (Arbeitsplatz, Internetcafé etc.) so muss man diese mögliche Falle umgehen. Zu diesem Zweck haben wir das Virtuelle Keyboard entwickelt. Mit einem Klick öffnen sie dieses und können nun per Maus auf dem Bildschirm Ihre Eingaben vornehmen. Diese virtuelle Tastatur ist beliebig auf dem Monitor positionierbar und auf Bedarf auch auf doppelte Größe darstellbar. Das Layout des Ländercodes passt sich der von Ihnen gewählten Bedienersprache an. Für die Nutzung unterwegs gibt es auch eine Onlineversion. Weitere Details im Kapitel Emailverschlüsselung. Um z.b. von einem Internetcafé auf diese Seite zu kommen, geben Sie bitte ein: http://online.maxacrypt.org - 20 -
Zu 15- (Emailsicherheit): Die Verschlüsselung von Emails unterstützen wir auf verschiedene Weise. Primär unterscheiden wir zwischen Lokal und Fern sowie Datei- oder Textverschlüsselung. A1-) Lokale Datei: Auf bereits bekannte Weise verschlüsseln Sie Ihre Dateien und hängen diese an Ihre Email. A2-) Lokaler Text: Sie können dies in der Art von A1 tun oder aber automatisch über die Zwischenablage, die den verschlüsselten Text gleich in Ihr Emailprogramm richtig einfügt. Vorteil: Sichtbarer Textbereich in der Mail ist verschlüsselt und kann von Unbefugten nicht gelesen werden. Die Email passiert auch jene Server, die Emailanhang verweigern oder ausfiltern. Arbeitgeber, die Mitarbeitermails inhaltlich kontrollieren, haben keine Chance Auch wenn der Empfänger in einem Internetcafé wäre, so könnte er die Mail auch über einen Entschlüsselungsserver am Bildschirm sichtbar machen. - 21 -
B2-) Fernabwicklung Text: Gehen Sie (z.b. PC im Internetcafé) auf unseren Verschlüsselungsserver, verschlüsseln dort den Text und übertragen diesen über Zwischenablage auf Ihre Webmail oder senden ihn direkt verschlüsselt an eine Emailadresse. Vorteil: Sichtbarer Textbereich in der Mail ist verschlüsselt und kann von Unbefugten nicht gelesen werden. Die Email passiert auch jene Server, die Emailanhang verweigern oder ausfiltern. Arbeitgeber, die Mitarbeitermails inhaltlich kontrollieren, haben keine Chance Auch wenn der Empfänger in einem Internetcafé wäre, so könnte er die Mail auch über einen Entschlüsselungsserver am Bildschirm sichtbar machen. Da die hinterlassenen Daten der Zwischenablage verschlüsselt sind, kann eine andere Person nichts damit anfangen. Abbildung ohne Virtuelle Tastatur - 22 -
16-) Encrypted Printout: Es gibt Situationen, wo es nicht möglich ist, auf elektronischem Wege (z.b. Email) über Distanzen Daten zu versenden. Ebenso steht nicht der Austausch von elektronischen Datenträgern (z.b. Medien wie CD-ROM oder DATA-Stick) zur Verfügung. In diesem Fall bieten wir folgende alternative Lösung an. Sie verschlüsseln Ihre Daten auf bekannte Weise, drucken den Dateiinhalt in einer nicht Proportionalschrift auf Papier aus. Der Empfänger der bedruckten Seite, scannt diese mit einer beliebigen OCR-Software und entschlüsselt diese. Selbst wenn ein Lesefehler vorliegen würde, wäre das kein Problem, da durch den Einsatz unserer ACRR (Automatic-Code-Recovery-Recognition) Funktion eine automatische Wiederherstellung aktiviert wird, welche versucht, das Problem zu beseitigen. 17-) Back Door Key Es ist bekannt, dass mehr und mehr Hersteller diese Funktion integrieren (nicht immer freiwillig). Nicht bei uns! Die Architektur des MAXA-Crypt SE Algorithmus ist gar nicht geeignet für eine solche Integration. Auch würde in diesem Fall die Produktphilosophie ad absurdum geführt werden. - 23 -
MAXA-Lock: Mit eine der größten Gefahren ergibt sich dadurch, dass die Arbeitsstation unbeaufsichtigt ist oder nicht ausgeschaltet wird. Einen Computer nicht auszuschalten ist sinnvoll, denn es kann seine Lebensdauer durchaus erhöhen. Elektrische bzw. elektronische Schaltungen verschleißen sich schneller durch ein- und ausschalten, da die Materialermüdung infolge von Temperaturschwankungen der Aufwärmphase und des Abkühlungs- Prozesses gefördert wird. Nehmen wir daher ein Beispiel aus der Praxis und schauen uns folgende Empfehlung an: 5 BayLDSG schreibt als allgemeine Maßnahme zur Datensicherheit vor, dass der unbefugte Zugang zu Datenträgern, auf denen personenbezogene Daten gespeichert werden, zu verwehren ist. Außerdem ist zu verhindern, dass personenbezogene Daten unbefugt verarbeitet werden oder Unbefugten zur Kenntnis gelangen. - 24 -
Dies bedeutet, dass beim Verlassen des PCs die Arbeitsstation zu sperren ist. Hier sehen wir bereits ein eklatantes Sicherheitsrisiko, wenn dies unberücksichtigt bleibt. Dass die vielen bekannte Bildschirmschoner-Lösung nicht mehr zeitgemäß ist, ist inzwischen hinlänglich bekannt, weil sie für einen Hacker zu leicht zu umgehen ist. Es muss daher eine externe Lösungsform dafür einspringen. Unser Haus ist seit vielen Jahren im Software-Sicherheitsbereich erfolgreich aktiv. Lösungsapplikationen wie MAXA-Crypt gelten selbst heute noch als unknackbar. Für den breiten Anwendungsbereich haben wir uns jedoch auf weitere Schwerpunkte konzentriert wie: Automatische Zugangskontrolle Soft Lock Intuitive Bedienerführung Internet Integration Screen Saver Emulation Info Screen Multi Media Unterstützung Skype Einbindung Multilingual (Deutsch, Englisch & Spanisch) Resultat ist eine Desktop-Sicherheits-Software genannt MAXA-Lock, welche weltweit erstmalig Multi Media Möglichkeiten sowie Skype- Funktionen mit einbezieht. Was ist MAXA-Lock? MAXA-Lock ist eine Softwareanwendung unter Windows, die dem Anwender hilft, seine Sicherheitsbelange besser umsetzen zu können, indem er bei Verlassen des Computers diesen zuverlässig schützt ohne ihn herunterfahren zu müssen. Was macht MAXA-Lock konzeptionell? Eine Anwendung, die den PC-Bildschirm temporär verdeckt und die Eingabegeräte wie Tastatur oder Maus etc. in ihrer Funktion kontrolliert und auch limitiert um so Unbefugten die Sicht und physikalischen Zugriff auf den Windowsrechner zu unterbinden. - 25 -
Selbstverständlich wurde dabei auch der externe gewollte wie auch unerwünschte Fremdzugriff berücksichtigt. Greift man z. B. auf den Rechner im Fernsteuerbetrieb (z.b. vom Internetcafé) zu, so gelten dieselben Optionen. Verlässt man den Computer ohne den Schutz aktiviert zu haben (weil man es vergessen hat z. B.), so sorgt ein Security Sensor Timer nach einer voreinstellbaren Zeit für die Aktivierung. Wer viel oder lange am PC arbeitet braucht auch eine Pause. Ungeachtet einer körperlichen Entspannung ist auch eine mentale wichtig, welche den Geist relaxiert und die Aufmerksamkeit reaktiviert. Durch eine Hilfestellung für die Augen haben wir eine optische Unterstützung auf der Basis eines Fraktals integriert. Die Darstellungen dieser geometrischen Figuren basieren auf komplizierten Berechnungen deren Ziel die Generierung harmonischer Zustände ist. Diese geometrischen Gebilde mit dynamischer Abfolge münden in eine Infinität von Ausgewogenheit. Die Komposition aus Form, Farbe und Zeit synchronisiert die Entspannungsphase des Betrachters. Durch Tastendruck oder Mausnutzung wechselt das Fraktal auf den Sicherheitsschirm des Desktops zurück. Der integrierte Anti Icon Mode ermöglicht die temporäre Ausblendung von Desktop Icons. Sitzen Sie beispielsweise im Flugzeug, so kann der Nachbar nicht sehen, welche Applikationen auf diesem PC installiert sind. Ist aus gegebenem Anlass ein schnelles herunterfahren des Rechners erforderlich, so kann dies durch einen Knopfdruck im MAXA-Tray-Symbol geschehen. - 26 -
Was macht MAXA-Lock bei einem Angriff? Durch die Eingabe einer falschen Passphrase, aktiviert sich ein Alarmmechanismus, der in unterschiedlichen Warnebenen agiert. Bestimmte Warnmaßnahmen können, sofern sie sinnvoll sind auch kombiniert werden. Mail Modus: Jede Eingabe von Tastenfolgen wird aufgezeichnet und per Email an eine vorgegebene Emailadresse verschickt. Sind mehrere Rechner gesperrt, so kann man durch den aufgezeichneten PC-Namen eine Zuordnung vornehmen. Bild Mail Modus: Jede Eingabe von Tastenfolgen wird aufgezeichnet und per Email an eine vorgegebene Emailadresse verschickt. Haben Sie eine Web oder IP- Cam angeschlossen, wird das geschossene Bild mit übertragen. Sind mehrere Rechner gesperrt, so kann man durch den aufgezeichneten PC- Namen eine Zuordnung vornehmen. - 27 -