Wie sicher ist PGP ?

Internet Internet Sicherheit
1

Hallo,
habe auf meinem rechner eine PGP-Disk angelegt. Ich habe dazu das Freewareprogramm benutzt. Mich würde einmal interessieren, ob PGP wirklich sicher ist und nicht - wie auch immer und vom wem auch immer - geknackt werden kann.
Als „Passwort“ verwende ich ein Satzfragment von mind. 10 Wörtern aus einem Buch. Kann ein leistungsstarker Rechner dies knacken? Gibt es so etwas wie ein Masterpasswort für Notfälle oder eine andere Hintertür , ähnlich wie bei Bios-Passwörten. Besteht zumindest theoretisch die Möglichkeit, dass ich nach einem „Blue-Sreen“ Absturz meinens Win98 selbst mit dem richtigen Pass den Ordner nicht mehr öffnen kann, weil PGP evtl. beschädigt ist und damit die Daten wahrscheinlich futsch sind. Kann man die Freeware PGP auch für für Win XP verwenden?

Welches Programm ist hinsichtlich Sicherheitsniveau mit PGP vergleichbar ?

Vielen Dank für entsprechende Antworten

2

Hallo,

habe auf meinem rechner eine PGP-Disk angelegt. Ich habe dazu
das Freewareprogramm benutzt. Mich würde einmal interessieren,
ob PGP wirklich sicher ist und nicht - wie auch immer und vom
wem auch immer - geknackt werden kann.

Ich gehe mal davon aus, daß Du den RSA-Algorithmus verwendet hast. Der kann natürlich geknackt werden - jedoch (heute) nicht mit vertretbarem Aufwand und in vertretbarer Zeit. Um einen 1024bit-RSA in einem Tag zu knacken, wäre Hardware im Wert von ca 160’000’000 US-$ notwendig, für 2048bit-RSA schon 680’000’000 US-$.

Gibt es so etwas wie ein Masterpasswort für
Notfälle oder eine andere Hintertür , ähnlich wie bei
Bios-Passwörten.

Nein, zumindest nicht in den Versionen, deren Quellcode einsehbar ist (bspw. GnuPG) - wie das bei kommerziellen, Closed Source-Programmen aussieht, kann keiner so genau sagen.

Besteht zumindest theoretisch die
Möglichkeit, dass ich nach einem „Blue-Sreen“ Absturz meinens
Win98 selbst mit dem richtigen Pass den Ordner nicht mehr
öffnen kann, weil PGP evtl. beschädigt ist und damit die Daten
wahrscheinlich futsch sind.

Wenn die DATEN selbst intakt sind, kommst Du da auch ran, wenn das Programm kaputt ist - mit einem funktionierenden Programm eben.

Kann man die Freeware PGP auch für für Win XP verwenden?

Ich empfehle immer http://www.gnupg.org/ - gibt’s für alle verbreiteten Betriebssysteme.

Gruß,

Malte.

3

Hallo,

habe auf meinem rechner eine PGP-Disk angelegt. Ich habe dazu
das Freewareprogramm benutzt. Mich würde einmal interessieren,
ob PGP wirklich sicher ist und nicht - wie auch immer und vom
wem auch immer - geknackt werden kann.

PGP-Disk ist so weit ich weiß nicht Open Source, daß heißt, die Implementierung - und damit die Sicherheit - kann nicht überprüft werden.

PGP selber hat (zumindest) teilweise offenliegende Quellen und gilt in höheren Schlüsselgrößen als unknackbar.

Als „Passwort“ verwende ich ein Satzfragment von mind. 10
Wörtern aus einem Buch. Kann ein leistungsstarker Rechner
dies knacken?

Wie gesagt: PGP-Disk ist AFAIK Closed Source und kann daher nicht wirklich gut beurteilt werden.

Gibt es so etwas wie ein Masterpasswort für
Notfälle oder eine andere Hintertür , ähnlich wie bei
Bios-Passwörten.

Bei PGP-Disk ist das nicht sicher ausschließvar aus oben genanntem Grund, bei PGP gab es den ADK (mit entsprechenden Fallstricken.

Besteht zumindest theoretisch die
Möglichkeit, dass ich nach einem „Blue-Sreen“ Absturz meinens
Win98 selbst mit dem richtigen Pass den Ordner nicht mehr
öffnen kann, weil PGP evtl. beschädigt ist und damit die Daten
wahrscheinlich futsch sind.

Ja, die Gefahr besteht. Deshalb sollte man gelegentlich die Containerdatei sichern.

Welches Programm ist hinsichtlich Sicherheitsniveau mit PGP
vergleichbar ?

GnuPG für Mailverschlüsselung. Für die Verschlüsselung von Dateien kenne ich micht aktuell unter Windows nicht aus (die FAQ nennt zumindest ein paar Programmme), BestCrypt war zumindest mal für Linux quelloffen, ansonsten nutze ich unter Linux ein verschlüsseltes Loopback-Device, was nach dem derzeitigen Stand als auch in Zukunft unknackbar gilt.

Gruß,

Sebastian

4

Hi,

habe auf meinem rechner eine PGP-Disk angelegt. Ich habe dazu
das Freewareprogramm benutzt. Mich würde einmal interessieren,
ob PGP wirklich sicher ist und nicht - wie auch immer und vom
wem auch immer - geknackt werden kann.

Ich muss mal mit Lutz’ Definition rumwedeln: „Ein System gilt dann als sicher, wenn der Aufwand, es zu kompromitieren groesser ist als der Wert der Informationen, die sich dadurch erlangen lassen.“ Daher koennen wir ziemlich schlecht beurteilen, ob PGP Deinen Sicherheitsbeduerfnissen genuegt, da wir nicht wissen, welchen Wert die Informationenen haben, die Du damit speicherst. Aber mit…

Um einen 1024bit-RSA in einem Tag zu knacken, wäre Hardware im
Wert von ca 160’000’000 US-$ notwendig, für 2048bit-RSA schon
680’000’000 US-$.

… diesen Zahlen kannst Du das vielleicht selbst etwas relativieren: fuer Deine private Kochrezeptesammlung wuerde ich PGP als sicher ansehen, falls Du Deine Plaene zur Vereitelung des naechsten Spaceshuttle-Starts darin aufbewahrst, solltest Du ueber zusaetzliche Masznahmen nachdenken.

Von Malte wuerde mich interessieren, woher er diese Zahlen hat. 160Mio. US$ bzw. 680Mio. US$ halte ich fuer ein ziemliches Schnaeppchen und den Zeitraum von einem Tag auch nicht allzulang. Ich koennte mir Institutionen vorstellen, die sich diese hardware leisten, zumal das nicht die Kosten zur Entschluesselung _eines_ Datensatzes sind, sondern _aller_ Datensaetze: die hardware kann beliebig oft angewendet werden.

Gruss vom Frank.

5

Guten morgen,
zunächst einmal vielen Dank für die bisherigen Infos. Mir ist natürlich klar, dass wenn ich Pläne für einen Terroranschlag mit PGP verschlüssele diese vom CIA entschlüsselt werden könnten, koste es was es wolle.
Meine Zielgruppe ist eher, wenn „Hacker“ oder Unternehmen und/oder andere Fachleute z. B. staatlicher Stellen welche auf Datenrettung spezialisiert (kenne leider im Moment keine solche Firma), die Festplatte analysieren.
Und Tschüß
Thomas

6

Hallo,

zunächst einmal vielen Dank für die bisherigen Infos. Mir ist
natürlich klar, dass wenn ich Pläne für einen Terroranschlag
mit PGP verschlüssele diese vom CIA entschlüsselt werden
könnten, koste es was es wolle.

Mir nicht. Hast Du eine zitierfähige Quelle?

Gruß,

Sebastian

7

Selecting Cryptographic Keysizes
Hi,

Um einen 1024bit-RSA in einem Tag zu knacken, wäre Hardware im
Wert von ca 160’000’000 US-$ notwendig, für 2048bit-RSA schon
680’000’000 US-$.

Von Malte wuerde mich interessieren, woher er diese Zahlen
hat. 160Mio. US$ bzw. 680Mio. US$ halte ich fuer ein
ziemliches Schnaeppchen und den Zeitraum von einem Tag auch
nicht allzulang. Ich koennte mir Institutionen vorstellen,
die sich diese hardware leisten, zumal das nicht die Kosten
zur Entschluesselung _eines_ Datensatzes sind, sondern _aller_
Datensaetze: die hardware kann beliebig oft angewendet werden.

Die Zahlen stammen aus einer Arbeit von Lenstra und Verheul und sind natürlich als geschätzt anzusehen, allerdings haben sich die beiden _wirklich_ Mühe gegeben:

http://www.simovits.com/archive/cryptosizes.pdf

Gruß,

Malte.

8

Mir nicht. Hast Du eine zitierfähige Quelle?

Hi,
habe ich natürlich nicht , bin einfach davon ausgegangen, dass dies möglich sein muß!!

Gruß Thomas

9

Hallo,

Mir nicht. Hast Du eine zitierfähige Quelle?

habe ich natürlich nicht , bin einfach davon ausgegangen, dass
dies möglich sein muß!!

Genauso wie ein Schwerkraft-Umpoler …

Viel Spaß,

Sebastian

10

Hallo,
habe auf meinem rechner eine PGP-Disk angelegt. Ich habe dazu
das Freewareprogramm benutzt. Mich würde einmal interessieren,
ob PGP wirklich sicher ist und nicht - wie auch immer und vom
wem auch immer - geknackt werden kann.

hallo da,
also mit PGP oder FREEPGP oder diesem zeuch hab ich noch nicht selbst gearbeitet. Aber ich kenne/kante BestCrypt ganz gut, welches nach dem gleichen Prinzip wie PGPDisk arbeiten dürfte.

Das schöne an BEstcrypt ist das man auch die Chifrierungsmethode (!?) sich selbst aussuchen kann und somit sich z.b. auch aussergewöhnlich starke verschlüsselungen wählen kann. z.h. Blowfish und Twofish und andere.

Es lassen sich hier sogar in einem Container-File einen weiteren Container verstecken. Warum das? Es gilt wohl situationen wo es von vorteil ist (z.b. bei Pistole am kopf) wenn man einen „offenbar“ leeren Container vorweisen kann. tatsächlich ist dieser aber nicht leer sondern enthält sogar bei belieben echte dateien wie man auch verändern kann. aber die containerdatei enthält eben auch noch den echten container mit den eigentlichen daten. ACHTUNG: Soweit ich das verstanden habe geht hier SICHERHEIT über DATENSICHERHEIT! d.h. zum schutz von leib und leben kann man einen „fake“ container öffnen und harmlosen inhalt präsentieren. verändert man jedoch diesen „fake inhalt“ zerstört man den versteckten container und dessen daten unwiederbringlich. Eine regelmässige Datensicherung des Containerfiles mit auslagern auf Bank oder sonst wie ist also unbedingt erforderlich und sinnvoll!!

Die Containerfiles muss man wie auch bei PGPDisk zunächst Mounten. Dann erst steht der Inhalt einem als Laufwerk mit Buchstabe zur verfügung. Es gibt noch andere Produkte die 100% transparent sind und tatsächlich das gesammte Filesystem verschlüsseln, ähnlich wie auf den Linux boxen die sache mit dem „encrypting loopback device“. BestCrypt kann das aber soweit ich weis bislang noch nicht und es müssen eben stattdessen solche containerfiles angelegt werden. ich glaube bis 4gb größe ?!? na egal.

Als „Passwort“ verwende ich ein Satzfragment von mind. 10
Wörtern aus einem Buch. Kann ein leistungsstarker Rechner dies knacken?

Also ich bin kein Crypto-Experte, aber ich glaube es ist relativ egal ob du ein Passwort bestehend aus einem Zeichen oder aus hunderten verwendest. Der daraus berechnete HAsh/Schlüssel ist immer gleich lang und ist eben was weis ich. 1024 oder länger. Kann man glaube ich sogar einstellen bei BEstcrypt. ist aber für die meisten einsatzgebiete ausreichend.

ps: natürlich sollte man ein langes und complexes passwort verwenden. gerade dann wenn versucht wird den Container mit „Brute Force“ d.h. passwörter ausprobieren gekackt werden soll. Eine Kombi aus Buchstaben, Zahlen und Sonderzeichen ist Ideal.

Trotz langem Schlüssel und hervorragender Verschlüsselungstechnik ist das Knacken IMMER möglich. Die Frage ist halt immer nur „mit welchem Aufwand und Zeit“ ist es möglich. Wenn der Angreifer also genug CPU Power und Zeit hat um 2-3 Jahre oder länger an einem SChlüssel herum zu probieren dann wird er es bestimmt irgend wann geschafft haben. Die Frage ist eben, wer hat so viel Zeit und energie? Mal von CIA und BND abgesehen weis ich nicht ob BKA und LKA das können und so viel zeit haben. Allerdings kann man davon ausgehen das diese Institutionen ausgezeichnetes Personal (!!!) und feinste TEchnik haben. Aber es gehört schon sehr viel dazu! Nichts ist also unmöglich, aber einfach ist es auch nicht. Isst es den Aufwand wert??!

Gibt es so etwas wie ein Masterpasswort für
Notfälle oder eine andere Hintertür , ähnlich wie bei
Bios-Passwörten.

„theoretisch“ besteht die möglichkeit wohl bei allen Security-Produkten. BEsonders denen aus USA und Co würde ich nicht sonderlich vertrauen. BEstCrypt ist irgendwo aus Schweden/Norway/FInland oder sowas und macht auf Ihrer WEbsite darauf aufmerksam das es KEINE Hintertürchen oder Failsafe mechanismen gibt. Ist der Schlüssel weg oder die Datei futsch, ist auch der Inhalt futsch. SICHERHEIT EBEN! Wie beim Tresor.
Ob man dem nun glauben schenken will?! Muss sich jeder selbst überlegen wem er vertraut. JEdenfalls vertraue ich BEstcrypt mehr als PGPdisk wenn man mich frägt. Meine letzte Firma hatte auch auf BEstcrypt gesetzt und war damit zufrieden.

Besteht zumindest theoretisch die
Möglichkeit, dass ich nach einem „Blue-Sreen“ Absturz meinens
Win98 selbst mit dem richtigen Pass den Ordner nicht mehr
öffnen kann, weil PGP evtl. beschädigt ist und damit die Daten
wahrscheinlich futsch sind.

ALso, das ist nicht unmöglich. Ist mir zwar früher schon zig mal passiert, aber hat damals nie schaden genommen. Trotzdem gilt die Regel: DATENSICHERUNG!!! Um so häuffiger um so wichtiger die Daten!

Es kam auch schonmal vor, dass der Container noch ok war, jedoch das Filesystem im Container nen Schaden hatte. das konnte man aber mit Checkdisk bzw ScanDisk unter Windows beheben.

Kann man die Freeware PGP auch für
für Win XP verwenden?

Welches Programm ist hinsichtlich Sicherheitsniveau mit PGP
vergleichbar

Ich denke BestCrypt kann es was die DAten-/Plattenverschlüsselung angeht auf jeden fall! BestCrypt wird von JETICO hergestellt. http://www.jetico.com/

Vielen Dank für entsprechende Antworten

bis dann!