Verschlüsselung und Hashing Flashcards
Was ist Hashing?
Hashing ist wie Schreddern (wobei immer die gleiche Schnipsel rauskommen). Ist eine Einwegfunktion, nicht mehr rekonstruierbar. Hashing gibt es mit oder ohne salt. Anwendung: Prufsummen von Files. ¨
Fur Passwort in den 80ern geeignet. Doch heute gibt es ¨ rainbow tables. Terrabyte grosse Look-up tables die Passwort -¿ Hash speichern.
Salt verhindert diese Attacke, da fur jeden m ¨ ¨oglichen Salt eine Tabelle
abgespeichert werden musste. Bis jetzt noch sicher.
Was für Hashing methoden gibt es?
MD5 (gebrochen) • RIPE-MD 160 (gebrochen) • SHA1 (gebrochen) • SHA2/3 224 (vermutlich gebrochen) • RIPE-MD 256+ • SHA2/3 256+ Es ist nur eine Frage der Zeit oder des Aufwandes bis die n¨achsten Verfahren ebenfalls geknackt werden.
Was ist stenographie?
Es wird in einer Tr¨agerinformationen (Bild) nicht wahrnehmbar eine zweite, zu verbergende Information eingebettet. Der Tr¨ager wird
ge¨andert. E.g. Verlustfreie Kompression eines Bildes. Niederwertigstes
Bit wird ge¨andert. Sieht niemand. Datenpaketstrom: Zeitabst¨ande
ver¨andern, f¨allt niemandem auf. Tonmaterial: Man nimmt sehr niederoder sehr hochfrequente T¨one und schreibt es dort rein. Diese Technik kann nicht nur dazu verwendet werden, um Daten zu verschleiern.
(E.g. DSL Bandbreite erh¨ohen und andere Ger¨ate nicht zu st¨oren.)
Was ist signieren?
Falls eine Anderung gemacht worden ist, ver ¨ ¨andert sich der Schlussel ¨
und es kann gezeigt werden, dass es ver¨andert worden ist. Was sind
die Schw¨achen des Verfahrens?
• Wie kommt mein Hash sicher zum Empf¨anger?
• PDF (Ist basically postscript) Postscript-Engine so, ver¨andern,
dass es nicht mehr eindeutig ist.
Wie sollte man Passworte über internet verschicken?
Passwort ja nicht Klartext ubers Internet schicken. Verschl ¨ usselt ist ¨
besser. Doch auch nicht Replay sicher. (Pass the Hash Attacke).
Variante mit 2-Faktorauthentifizierung beschutzt uns vor der Pass ¨
the Hash Attacke. Doch fur einen einfachen Dienst ist eine SMS- ¨
Infrastruktur zu teuer. Alternative: Digest-Authentification. siehe
Bild. Wenn DB geklaut wird, ist es nicht mehr sicher. Ist ein Sicherheitsloch. Yahoo-Fall: Entweder gab es Klartextpassw¨orter oder der
verwendete Hash des ver¨offentlichen Subsets (300’000) war nicht sicher. State-of the art: Wir versenden das Passwort in Klartext aber durch eine verschlusselte Verbindung (https). (Jedoch nur einseitige ¨
Uberpr ¨ ufung). Die andere Seite f ¨ ur den Server wird durch ein SSL- ¨
Zertifikat uberpr ¨ uft. (Gr ¨ unes Schloss in der Bar).
Kann man absoulte Sicherheit erreichen?
Kryptologen nehmen in Kauf, dass ein System knackbar ist (nach
irgend einer Zeit). Informationstechniker suchen absolute Sicherheit.
Warum ist diffie hellmann gut?
PFS (Perfect Forward Secrecy): Wenn sichere Verbindung geknackt,
kann mittels Diffie-Hellmann nichts ausgerichtet werden.
