Verschlüsselung in der IT: Was ist das eigentlich?

Verschlüsselung gehört zu den Standardmaßnahmen für die Verbesserung der IT-Sicherheit. Fast alle aktuellen mobilen Endgeräte, etwa Smartphones, Tablets und Laptops, speichern Daten verschlüsselt ab. Gleiches gilt für die Übertragung sensibler Daten, sei es beim Versenden von E-Mails oder beim Surfen im Internet.

Die Verfahren sind mittlerweile einfach zu handhaben. Häufig bemerkt der Nutzer gar nicht, dass seine Daten mit einem komplexen Kodierungsprozess geschützt werden. Hilfreich ist es dennoch, sich ein wenig mit einigen Grundbegriffen aus der Kryptografie, der Wissenschaft über die Verschlüsselung von Informationen, zu beschäftigen. Hierdurch lässt sich besser einschätzen, worauf es bei der richtigen Verwendung entsprechender Verfahren ankommt.

Was bedeutet Verschlüsselung in der Informatik?

Einfach gesagt handelt es sich dabei um die Chiffrierung von klartextlich lesbaren Informationen und die Möglichkeit der Dechiffrierung durch den rechtmäßigen Nutzer oder Empfänger. In der simpelsten Form wäre es beispielsweise möglich, einen Text durch das Verschieben von Buchstaben um eine festgelegte Anzahl an Stellen im Alphabet unlesbar zu machen. Der Prozess des Verschiebens wäre ein Verschlüsselungsverfahren oder Algorithmus (zugegebenermaßen ist diese Bezeichnung für das Verfahren im Beispiel etwas übertrieben). Die vereinbarte Anzahl der Stellen würde den Schlüssel darstellen.

In der Praxis kommen weitaus komplexere Algorithmen und vielfach längere Schlüssel zur Anwendung. Da es mit heutigen Hochleistungsrechnern allein durch ein Ausprobieren möglich wäre, Chiffrierungsverfahren aufzulösen, gibt es noch zusätzliche Schutzmechanismen wie zum Beispiel Initialisierungsvektoren und Salts, die im Folgenden noch kurz vorgestellt werden.

Welche Verschlüsselungsverfahren gibt es?

Grobe Unterscheidungen der zahlreichen verwendeten Protokolle und Verfahren sind nach Handhabung der Schlüssel und Vorgehensweise beim Verschlüsseln möglich:

- Symmetrische Verfahren: Hierbei wird zur Chiffrierung und Dechiffrierung der identische Schlüssel verwendet. Dies hat den Vorteil, dass sehr lange Schlüssel genutzt werden können und das Verfahren dennoch vergleichsweise schnell bleibt. Nachteilig ist, dass sich solche Verfahren nicht so gut für die Datenübertragung eignen. Der Schlüssel muss nämlich auf eine sichere Weise getauscht werden können. Dies gestaltet sich bei der Kommunikation mit fremden Personen schwierig. Zu den wichtigsten Verfahren, die symmetrisch konzipiert wurden, zählen der Advanced Encryption Standard (AES), der Data Encryption Standard (DES, bzw. 3DES) sowie Twofish.

- Asymmetrische Verfahren: Diese verwenden einen privaten und einen öffentlichen Schlüssel. Informationen können dabei mit einem der beiden Keys chiffriert und danach nur noch mit dem jeweils anderen Key dechiffriert werden. Zur Anwendung kommen dabei sogenannte Einwegfunktionen, denen nicht umkehrbare mathematische Berechnungen zugrunde liegen. Vergleichbar ist dies mit dem Umstand, dass bei sehr großen Zahlen als Produkt einer Berechnung kaum mehr nachvollziehbar ist, aus welchen Faktoren sie einmal gebildet wurden. Nachteilig an asymmetrischen Verfahren ist, dass der notwendige Rechenaufwand sie sehr langsam macht. Bekannt ist insbesondere das RSA-Verfahren (setzt sich aus den Anfangsbuchstaben der Erfinder Rivest, Shamir und Adleman zusammen), zudem das Diffie-Hellman-Verfahren.

- Hybride Verfahren: Für solche Methoden werden die Vorteile beider vorgenannter Verfahren vereint. Zunächst wird mittels aymmetrischer Verschlüsselung eine sichere Verbindung aufgebaut. Über diese erfolgt der Tausch eines längeren Keys, der später für eine symmetrische Verbindung genutzt wird.

- Stromchiffren: Hierbei werden die zu verschlüsselnden Informationen seriell, also der Reihe nach eingelesen, vergleichbar mit einem Strom (englisch: Stream). Dadurch ist der chiffrierte Text genauso lang wie der Klartext. Stromchiffren benötigen keine zusätzlichen Informationen zur Dechiffrierung.

- Blockchiffren: Dabei bildet der Rechner Blöcke einer definierten Länge und verschlüsselt deren Inhalte gemeinsam. Gerade bei komplexeren Algorithmen ist es üblich, dass die Verarbeitung in mehreren Runden durchgeführt wird und dabei auch eine Mischung der Reihenfolge unterhalb der Blöcke erfolgt. Da die Blöcke eine einheitliche Länge haben müssen, kann es sein, dass der letzte Block mit Zufallsinformationen aufgefüllt werden muss. Zudem muss die Blockgröße bekannt sein. Dieses Verfahren ist aufwändiger aber auch sicherer. Etliche etablierte Algorithmen, wie AES, Twofish, Serpent und 3DES verwenden es.

Sicherheit durch Verschlüsselung in der Praxis

Ein wichtiges Anwendungsgebiet ist die Verschlüsselung von Datenträgern und Laufwerken in PCs, Laptops und Smartphones. Microsoft verwendet beispielsweise für sein Betriebssystem die Software BitLocker, die zumeist auf dem symmetrischen Verfahren AES basiert. Smartphones mit Android nutzen oft das im Linux-Kernel implementierte DM-Crypt. Dieses unterstützt verschiedene Algorithmen, im Falle von Android ist es häufig ebenfalls AES.

Auch die Sicherheit bei der Übertragung von E-Mails wird in der Regel durch Verschlüsselung realisiert. Dafür können verschiedene Protokolle genutzt werden. Sehr häufig basieren diese auf TLS (Transport Layer Security) mit hybrider Verschlüsselung. Der Schlüsseltausch wird mit dem Diffie-Hellman-Algorithmus abgesichert. Danach erfolgt eine Verschlüsselung mit AES.

Inzwischen ist es nicht nur bei sensiblen Transaktionen wie dem Online-Banking üblich, Internetverbindungen abzusichern. Häufig erfolgt dies mit dem HTTPS-Protokoll. HTTPS basiert auf dem bereits beschriebenen TLS, welches aufgrund seiner hybriden Architektur ideal für diesen Anwendungszweck ist.

Die Sicherheit von Verbindungen zu Servern, etwa in der Cloud oder im Firmenumfeld, wird mit Verschlüsselungsverfahren gewährleistet. Bekannt ist hier das Protokoll SSH (Secure Shell), welches beispielsweise bei SFTP zur Anwendung kommt. Auch Administrationsaufgaben entfernter Rechner (remote Verbindungen) werden häufig mittels SSH abgesichert.

Gleiches gilt für Virtual Private Networks (VPN-Verbindungen). Dabei werden Verbindungen einzelner Rechner oder deren Einbindung in ein entferntes Netzwerk mit einer verschlüsselten Ende-zu-Ende-Verbindung realisiert. Dort kommt zum Beispiel das Protokoll TLS zur Anwendung.

Ein paar ergänzende Begriffe aus der Kryptografie

Salt: Hierbei handelt es sich um einen Zufallstext, der an den Klartext angehängt wird, um eine Mustererkennung und Rückschlüsse aufgrund der Länge zu erschweren. Dies sorgt insbesondere bei der Verarbeitung von Passwörtern für mehr Sicherheit.

Initialisierungsvektor: Dies ist eine Folge von Zufallswerten, die bei der Blockverschlüsselung auf einen Block angewendet werden und die Sicherheit des Verfahrens erhöhen. Hierdurch soll vermieden werden, dass verwendete Schlüssel sich durch die Analyse chiffrierter Teile eines Textes anhand bekannter Klartextpassagen errechnen lassen.

Padding: Beschreibt notwendige Fülldaten, um beispielsweise die zu verschlüsselnden Informationen auf die Länge eines Blockes zu bringen. Die Information über das Padding ist entsprechend natürlich bei der Dechiffrierung notwendig.

Zertifikate / Public Key Infrastructure (PKI): Bei einem Zertifikat handelt es sich eigentlich nur um einen komplexen Schlüssel. Da es aber bei asymmetrischen Verfahren essenziell ist, dass die Verbindung zum richtigen Kommunikationspartner aufgebaut wird, ist eine Autorisierung notwendig. Diese ist bei Zertifikaten, die von einer PKI ausgegeben wurden, anhand darin enthaltener Informationen möglich. Dabei kann die Echtheit anhand von Signaturen der Certificate Authority (CA) verifiziert werden. Hierfür kommen ebenfalls ein öffentlicher und ein privater Schlüssel zur Anwendung.

Verschlüsselung als entscheidender Baustein für IT-Sicherheit

Mobile Geräte können durch Verlust oder Diebstahl abhandenkommen. Der Weg, den Daten durch das Internet nehmen, ist selbst für Spezialisten kaum nachzuvollziehen. Daher sollte eine sichere Verschlüsselung von Endgeräten und Übertragungswegen selbstverständlich sein. Die verwendeten Schlüssel müssen gut geschützt werden. Bei asymmetrischer Verschlüsselung ist es zudem entscheidend, dass eine Autorisierung des Kommunikationspartners erfolgt. Bei der richtigen Handhabung sind die meisten der etablierten Verfahren als sicher anzusehen.