Virtuelle Safes: Eine Nutzer-fokussierte Annäherung an Datenverschlüsselung

Virtuelle Safes: Eine Nutzer-fokussierte Annäherung an Datenverschlüsselung Steganos GmbH, 2008 1

Die Festplatte: Schnappschuss unseres Lebens Nahezu jeder hat einen oder nutzt zumindest einen: Die Rede ist vom Personal Computer, kurz PC. Und der wird seinem Namen heutzutage mehr als gerecht, denn ihm werden Unmengen persönlicher Daten anvertraut. Von privater Korrespondenz über Tagebucheinträge bis hin zu Adressen, E-Mail- Verkehr, Haushaltsplänen und Fotobüchern; fleißig wird archiviert, organisiert, kalkuliert und virtualisiert. Der Rechner dient als Ordnungssystem zum Verwalten sämtlicher Dokumente, Downloads und Favoriten; er wird zum Online-Shopping genutzt, zur Recherche von Krankheitssymptomen, Weltpolitik oder Sportergebnissen und mit seiner Hilfe werden Accounts und Profile auf den unterschiedlichsten Webseiten angelegt. So wird jede Festplatte zum unverkennbaren, sehr persönlichen und intimen Porträt ihres Nutzers. Sollte dann der übrigens gar nicht so seltene Fall eintreten, dass der Computer mit sämtlichen privaten unverschlüsselten Daten verloren geht, vergessen oder gar gestohlen wird, überkommt einen plötzlich ein ganz komisches Gefühl: Ein Dritter hat jetzt die Möglichkeit, in unsere Privatsphäre einzudringen. Der Verlust der Hardware wiegt dabei weit weniger schwer; Versicherungsgesellschaften können dies finanziell abfangen. Was jedoch wirklich schlimm ist, ist der Verlust der persönlichen Daten und die Sorge darüber, wem sie in die Hände gefallen sein könnten. Denn Identitätsdiebstahl gehört zu den am schnellsten wachsenden Bereichen krimineller Aktivitäten. Der Verlust persönlicher Daten und Dokumente kann neben ernsthaften finanziellen Auswirkungen aber auch zu anderen ausgesprochen unangenehmen Situationen führen; etwa, wenn Urlaubsfotos vom letzten Jahr plötzlich im Internet auftauchen und jeder sie ansehen kann. Unternehmen drohen empfindliche Strafen, sollten sie nicht in der Lage sein, die ihnen anvertrauten Kundendaten adäquat und ausreichend vor dem Zugriff unberechtigter Dritter zu schützen. Viel weit reichender jedoch als sämtliche Geldbußen können die Auswirkungen auf das Image einer Firma sein, die ein solcher Verlust sensibler Daten nach sich ziehen kann. Und die Situationen, Daten zu verlieren, sind vielfältig, denn nahezu jedes Unternehmen muss heute sensitive Geschäfts- und Kundendaten auf Laptops oder USB-Sticks rund um die Welt transportieren, egal, ob als Mitarbeiter auf Dienstreise, auf dem Weg zu Geschäftspartnern oder im Home-Office. Einzig der Einsatz von Verschlüsselungssoftware garantiert, dass sowohl private als auch geschäftliche Daten, Informationen, Präsentationen, Tabellen und Kontakte immer sicher vor dem Zugriff Dritter geschützt sind egal, wohin man sie mitnimmt. Daten-Verschlüsselung: Wie eine uneinnehmbare Festung Verschlüsselung ist mehr als der Schutz von Daten durch ein Passwort. Verschlüsselung bedeutet, dass der Inhalt so verändert wird, dass er ohne den entsprechenden Schlüssel nicht mehr entzifferbar ist und nur durch einen autorisierten Nutzer, der den richtigen Schlüssel besitzt (entweder in Form eines Passworts oder eines Schlüsselgeräts) wieder entschlüsselt werden kann. Sollten verschlüsselte Daten in die falschen Hände geraten, so sind diese Daten solange geschützt, solange der Verschlüsselungscode, sprich das richtige Passwort, geheim bleibt. Das US-Verteidigungsministerium stuft den so genannten Advanced Encryption Standard (AES) mit 256 Bit-Schlüsseln als so sicher ein, dass es seine so genannten Top Secret -Daten damit schützt. Steganos GmbH, 2008 2

Die Codierung über diesen AES mit 256 Bit langem Schlüssel ermöglicht so viele Schlüssel-Kombinationen, wie es Atome im Universum gibt. Eine finanziell erschwingliche Auswahl diverser Produkte machen die AES-Technologie erfreulicherweise seit einiger Zeit auch für normale PC-Nutzer zugänglich. Festplatten-Verschlüsselung Einige Hersteller bekämpfen Datendiebstahl, indem sie komplette Festplatten verschlüsseln. Diese Art der Verschlüsselung schützt alle Dokumente auf einem vorab spezifizierten Laufwerk. Die Daten werden automatisch entschlüsselt, sobald sie von dem Laufwerk heruntergeladen und automatisch wieder verschlüsselt, sobald sie gespeichert werden. Zu den Produkten, die komplette Festplatten- Verschlüsselung anbieten, zählen beispielsweise BitLocker, auch eingebunden in manchen Windows Vista-Versionen, und FileVault, Bestandteil von Apples Mac OS X Betriebssystem. Eine kürzlich erschienene Studie 1 zeigt jedoch die Schwachstellen von Systemen auf, die Festplattenverschlüsselung einsetzen. Die Forscher konnten durch ständiges An- und Ausschalten des Rechners sowie dem Einsatz von Booting-Software, die den Speicher kopiert, bevor dieser überschrieben wird, Schlüssel aus dem Datenspeicher rekonstruieren. Zudem konnten sie zeigen, dass DRAM-Chips/-Karten durch Kühlung so manipuliert werden können, dass der Zeitraum, in dem sie Daten speichern, nachdem der Rechner schon heruntergefahren ist, ganz einfach verlängert werden kann. Und zwar so lange, dass es möglich ist, die Chips in einem anderen Rechner auslesen zu lassen und dort die verbliebenen temporären Dateien inklusive der Schlüssel wieder herzustellen. Computer sind besonders dann angreifbar, wenn der Bildschirm gesperrt ist oder sich der Rechner im Ruhezustand befindet. Der Schlüssel ist dann im Speicher abgelegt und die Rechner in den häufigsten Fällen unbeaufsichtigt. Zudem stellten die Forscher fest, dass BitLocker die Schlüssel in das RAM lädt, sobald die Maschine gestartet wird, was dazu führt, dass der Rechner angreifbar wird noch bevor der Nutzer sich mit seinem Benutzernamen und seinem Passwort authentifiziert hat. Ein weiteres Problem, das Festplattenverschlüsselung mit sich bringt, ist genau das, was auch schon der Name beinhaltet: Die gesamte Festplatte wird verschlüsselt und das beeinträchtigt die Rechenleistung eines Computers erheblich. Jedweder Zugang zur Festplatte muss durch den kompletten Verschlüsselungsprozess laufen inklusive des Lesens und Schreibens sämtlicher temporärer und ausführender Systemdateien. Neben der Frustration beim Anwender, die sich beim Warten auf die Einsatzbereitschaft des Computers aufbaut, hat das erheblichen Einfluss auf die Produktivität eines Unternehmens, sofern in sämtlichen Firmenbereichen Festplattenverschlüsselung eingesetzt wird. Festplattenverschlüsselung unterliegt zwei Annahmen, die überdacht werden sollten: Erstens, dass alle Daten auf dem Computer den gleichen Level an Schutz benötigen und der Nutzer im Gegenzug dafür Rechenleistungseinbußen hinnehmen muss; und zweitens, dass jeder mit legitimierten Zugang zum Computer automatisch auch autorisiert ist, alle auf dem Rechner befindlichen Daten und Dokumente einsehen zu dürfen. Diese Herangehensweise an Verschlüsselung ist hardwarefokussiert anstatt sich an den individuellen Daten oder den Bedürfnissen der Nutzer zu orientieren. 1 Lest We Remember: Cold Boot Attacks on Encryption Keys, by J. Alex Halderman et al, 21.02. 2008. Siehe http://citp.princeton.edu/memory Steganos GmbH, 2008 3

Datei- und Ordner-Verschlüsselung Statt gleich die gesamte Festplatte zu verschlüsseln, zeichnet sich eine dateibasierte Verschlüsselung durch eine viel dezidiertere Herangehensweise aus. Diese Art der Verschlüsselung ermöglicht es dem Nutzer, individuell auszuwählen, welche Dateien und Ordner verschlüsselt werden sollen, so dass keine Zeitverluste bei der Verschlüsselung unwichtiger Daten entstehen. Der Computer kann so mit seiner höchsten Rechenleistung arbeiten; der Verschlüsselungsprozess findet unabhängig von der eigentlichen Erstellung und Aufbereitung der Dateien statt. So ist ein umfassender Schutz für sensible Daten geboten, ohne dass jedes Mal der komplette Festplattenzugriff verschlüsselt werden muss. Eine datei- und ordnerbasierte Verschlüsselung erleichtert die Definition unterschiedlicher Zugangsberechtigungen für unterschiedliche Nutzerkreise. So kann ein Computer von mehreren Leuten genutzt werden, ohne dass alle die gleiche Berechtigung zum Zugang zu den verschiedenen Daten haben. Besonders sinnvoll ist diese Art des Schutzes für Daten in kleineren Unternehmen oder im familiären Umfeld, wo Computer geteilt und somit sensible Information geschützt werden müssen (seien es Gehaltslisten im Unternehmen oder Weihnachtsgeschenklisten zu Hause). Dateibasierte Verschlüsselung hat außerdem den Vorteil, dass sie geräteunabhängig arbeitet, also jeglicher Backup der Daten ebenfalls verschlüsselt abgelegt wird, ohne dass zusätzliche Hard- oder Software benötigt wird. Jede Kopie der Daten, beispielsweise auf einem USB-Stick, ist ebenfalls sicher verschlüsselt und so, sollte der Stick verloren gehen, vor fremdem Zugriff geschützt genau wie das Ursprungsdokument auf dem Rechner. Während festplattenbasierte Verschlüsselung unsichtbar im Hintergrund stattfindet, verlangt die datei- und ordnerbasierte Verschlüsselung sobald der Nutzer an sicherheitsrelevante Daten gelangen will die Eingabe eines Entschlüsselungspassworts. Untersuchungen haben gezeigt, dass, sobald der Nutzer dazu aufgefordert wird, ein Passwort einzugeben, um an bestimmte Daten zu gelangen, er ein Bewusstsein für die Sensibilität dieser Daten bekommt und eher bereit ist, diese Daten auch als schützenswert zu respektieren. Die Fokussierung auf einzelne Datenbereiche oder Ordner bietet darüber hinaus eine erhöhte Kontrolle sowohl über die zu schützenden Informationen als auch über Daten, die weniger sensibel sind. Das heißt, dass es mit dieser Art der Verschlüsselung möglich ist, die optimale Balance zwischen Sicherheit und Rechner-Performance zu finden. Aber diese Art der Verschlüsselung erfordert vom Nutzer auch einen höheren Umfang an manuellen Eingriffen im Verschlüsselungsprozess. Es bietet sich an, Software, die ausschließlich vorher definierte Dateien und Ordner verschlüsselt, zusammen mit anderen Sicherheitswerkzeugen zu nutzen, die ebenfalls das Ziel verfolgen, persönliche Daten und somit die Privatsphäre zu schützen. Dazu zählen beispielsweise Tools, die Arbeitsoder Internetspuren vernichten (temporäre Dateien, Webseiten-Cookies), oder solche, die Webseiten- Favoriten und E-Mails verschlüsseln. Steganos GmbH, 2008 4

Der virtuelle Safe: Eine Nutzer-fokussierte Annäherung an umfassende Verschlüsselung Der virtuelle Safe, Teil des Produkts Steganos Safe, einer Sammlung von diversen Verschlüsselungslösungen, kombiniert das Beste aus Festplatten- sowie datei- und ordnerbasierter Verschlüsselung, ohne eine der beiden Lösungen zu benachteiligen. Er bietet das, was der Nutzer im täglichen Umgang mit seinen Daten benötigt: Einen einfachen Weg, Daten jeglicher Art auf der Basis der jeweiligen Erfordernisse oder Tätigkeiten sicher zu verschlüsseln, ohne die Rechenperformanz durch die Verschlüsselung unwichtiger Daten zu beeinträchtigen. Der virtuelle Safe funktioniert wie ein echtes Bankschließfach: Sobald ein Dokument im Safe abgelegt und dieser geschlossen wird, ist es automatisch vor nicht autorisiertem Zugriff geschützt. Nutzer mit entsprechender Zugangsberechtigung können ihre Dateien innerhalb des Safes jederzeit bearbeiten, also entschlüsseln, wenn diese benötigt werden und wieder verschlüsseln, wenn das Bearbeiten beendet wurde. In dem Moment, in dem der Safe geöffnet wird, kann an jedem sich darin befindlichen Dokument problemlos gearbeitet werden, ohne dass immer wieder nach einer Sicherheitsberechtigung für jedes einzelne Dokument gefragt wird. Temporäre Dateien, aus denen eventuell Rückschlüsse auf Dokumente gezogen werden können, können ebenfalls verschlüsselt werden. Genau wie in einem realen Safe oder Bankschließfach ist es möglich, einen physikalischen Schlüssel zu verwenden, um den virtuellen Safe zu öffnen. Statt sich also ein Passwort zu merken, kann der Nutzer den Code zum Entschlüsseln auch auf einem USB-Stick, einem ActiveSync-fähigen Smart- Phone, einem PDA, einer Memory-Karte, einer Digitalkamera oder sogar auf dem ipod ablegen. Das ermöglicht den Einsatz von wirklich starken Passwörtern, die einen maximalen Schutz bieten, dabei allerdings wegen ihrer Komplexität nur schwer zu merken sind. Denn die stärkste Verschlüsselung ist wertlos, wenn das Passwort zum Schutz der Daten zu schwach und somit einfach zu erraten wäre. Die weiter oben in diesem Dokument beschriebenen Schwächen von Festplatten-Verschlüsselung gelten nicht für den Steganos Safe. Sobald ein Safe oder die komplette Anwendung Steganos Safe manuell oder automatisch geschlossen wird, werden die Passwörter sofort aus dem Arbeitsspeicher gelöscht und überschrieben. Um zu verhindern, dass Passwörter ausgelesen werden können, solange der PC gesperrt ist oder sich im Ruhezustand befinden, ist im Steganos Safe eine Funktion integriert, die den Safe bei Sperrung bzw. im Ruhezustand automatisch schließt. Aber auch der legitime Zugang zu einem Rechner berechtigt noch lange nicht den Zugriff auf den Inhalt einzelner Safes. Wie bereits beschrieben, wird der Nutzer stattdessen aufgefordert, immer ein Passwort einzugeben, sobald er an den Inhalt des Safes gelangen will. So schaltet der Safe eine zusätzliche Ebene zwischen den normalen Einsatz von Benutzernamen und Passwort zum Einloggen auf dem PC und den tatsächlichen Zugang zu einzelnen Dateien, Ordnern und Dokumenten. Zwar können unterschiedliche Nutzer auf demselben Rechner sich den Zugang zu ein und demselben Safe teilen; genauso gut ist es aber eben auch möglich, beliebig viele separate und verschlüsselte Safes auf dem Laufwerk anzulegen, um individuelle Daten zu schützen. Der Schutz der in einem Safe abgelegten Daten durch Verschlüsselung ist nicht auf ein bestimmtes Gerät festgelegt: Backups sind genauso geschützt wie die Ursprungsdaten, ohne das ein spezielles Backup oder zusätzliche Verschlüsselungssoftware nötig wären. Zudem ist im Steganos Safe das Tool Steganos Portable Safe zum sicheren Transport von Daten auf USB-Sticks enthalten. Die notwendige Steganos GmbH, 2008 5

Software zum Entschlüsseln der Daten auf Fremdrechnern wird mit der Steganos Portable Safe-Datei bereits auf dem USB-Stick abgelegt. Sensiblen Umgebungen wie beispielsweise Buchhaltungsabteilungen in kleinen Unternehmen ist es durch das Nutzen des Steganos ApplicationSafe möglich, alle Daten, die von einer bestimmten Anwendung erstellt werden, zum Beispiel der Buchhaltungssoftware, inklusive aller temporären Daten automatisch verschlüsselt abzulegen. Das bietet eine Möglichkeit zwischen Komplett-Festplattenverschlüsselung und Dokumenten-basierter Verschlüsselung und garantiert, dass alle Daten und Dokumente eines bestimmten Typs automatisch verschlüsselt werden. Auch wenn einige Dokumente so vielleicht unnötigerweise verschlüsselt werden sollten, so lässt sich durch die Auswahl der zu verschlüsselnden Daten sicherstellen, dass die potenziell sensiblen Daten im Gegensatz zu trivialen Betriebssystemelementen überwiegen. Zusammenfassung Um seine Privatsphäre angemessen zu schützen, ist Verschlüsselung also unerlässlich. Gerade in Zeiten, in denen so viel Persönliches, Sensibles und Unternehmensrelevantes digital gespeichert und überall hin transportiert wird, wächst auch die Gefahr, dass ein Speichermedium sei es der Laptop oder der USB-Stick in die falschen Hände gerät. Und diese Gefahr darf nicht unterschätzt werden. Der virtuelle Safe bietet einfach zu handhabende, hochsichere Verschlüsselungstechnik, die es Nutzern ohne weitere Vorkenntnisse möglich macht, ihre persönlichen Daten schnell und umkompliziert zu schützen. Steganos bietet seinen Nutzern dafür eine breite Palette an Verschlüsselungssoftware: Angefangen bei der Freeware Steganos Safe One über die Endkunden-Applikation Steganos Safe bis hin zu den Unternehmensprodukten Steganos Safe Professional und Steganos ApplicationSafe. Weitere Informationen zum Steganos Produktportfolio sowie kostenfreie Testversionen finden Sie auf der Webseite www.steganos.com. Über die Steganos GmbH und ihre Produkte Der Schutz von Daten sei es privat oder geschäftlich gehört heute zu den wichtigsten Themen moderner Kommunikation. Seit 1996 bietet die Frankfurter Steganos GmbH hochsichere, benutzerfreundliche Lösungen an, die sowohl statische Daten als auch Onlineverbindungen absichern. Steganos-Produkte werden regelmäßig mit nationalen und internationalen Presse-Awards ausgezeichnet. Steganos GmbH Wildunger Straße 6 60487 Frankfurt Germany Phone: +49 (69) 71 91 82-0 Fax: +49 (69) 71 91 82-11 Steganos GmbH 124 Mt Auburn Street Suite 200 Cambridge, MA 02138 USA Phone: +1 (617) 576-5705 Fax: +1 (617) 547-1431 info@steganos.com www.steganos.com Steganos GmbH, 2008 6