Kryptographie

CurveCP soll Datenpakete verschlüsseln

DNSSEC ist verwundbar, HTTPS zu unsicher und TCPcrypt leicht zu knacken, warnt Kryptographie-Experte Daniel Bernstein. Nur mit richtigen kryptographischen Werkzeugen, der Verschlüsselung und Entschlüsselung beim Anwender könne komplette Sicherheit gewährleistet werden.

Anzeige

Bernstein vertritt die Meinung, TCP-Pakete gleich an den Endpunkten zu verschlüsseln und zu entschlüsseln und stellt dafür auch gleich die geeigneten Werkzeuge vor. Das Konzept basiert auf dem PGP-Modell, bei dem jeder Benutzer einen privaten und öffentlichen Schlüssel erhält, mit dem sämtliche gesendete Pakete verschlüsselt werden sollen. Erst der Empfänger kann anhand des bekannten Schlüssels die Daten wieder entschlüsseln. Nur so sei garantiert, dass die Datenpakete unterwegs nicht von Dritten eingesehen werden können.

Datenpakete sollen jedoch nicht nur beim Absender verschlüsselt werden, sondern auch einzeln verifizierbar sein. Durch die Reduzierung der Paketgröße soll verhindert werden, dass durch einzelne kompromittierte Pakete der gesamte Datenverkehr durch Angreifer unterbrochen werden kann.

Das von ihm vorgeschlagene Verfahren könne aber die Traffic-Analyse nicht verhindern, so Bernstein. Dafür müsse der Anwender weiterhin auf Anonymizer wie Tor zurückgreifen. Diese seien gegen eine Analyse jedoch auch nicht immun.

CurveCP als neues Datenprotokoll

Die verschlüsselten Pakete sollten nicht in TCP-Paketen untergebracht werden, wie es bei SSH und HTTPS geschieht, sondern über das UDP-Protokoll versendet werden. Nicht verifizierbare Pakete sollten dabei sofort verworfen werden, so Bernstein. TCP sei ungeeignet, weil es zu leicht unterbrochen werden könne und zu lange brauche, um eine Verbindung aufzubauen.

Da UDP aber als unzuverlässiges Protokoll gilt, will Bernstein stattdessen ein TCP-Protokoll imitieren. Er schlägt dafür ein neues Protokoll mit dem Namen CurveCP vor, welches er TCP mit kryptographischen Erweiterungen nennt. Der Unterschied zu dem ähnlichen IPSec sei die bessere Verschlüsselung und eine kleinere Zahl an versendeten Paketen.

Public-Keys in URLs

Um HTTP-Daten über CurveCP zu versenden, sollen die öffentlichen Schlüssel in den URLs untergebracht werden. Das neue Zahlenschloss soll aus einer Magic-Number und dem eigentlichen Schlüssel bestehen, etwa http://123987654.webseite.de. Die ersten drei Ziffern bezeichnen die Magic-Number, der Rest enthält den Schlüssel. Um die manuelle Eingabe der Zahlen zu vermeiden, soll die in DNS implementierte Cname-Funktion herhalten. Aus dieser generiert der DNS-Server ein Alias, die bekannte www.webseite.de-Adresse.

Um den Einsatz zu erleichtern, soll eine Weiterleitungssoftware auf UDP 53 auf einkommende CurveCP-Daten lauschen und an den HTTP-Port weiterleiten.

Als Ersatz für das von Bernstein als unsicher eingestufte DNSSEC schlägt er DNScurve vor, welches das auf elliptische Kurven basierende Kryptosystem Curve25519 verwendet, mit dem sowohl Anfragen als auch Antworten verschlüsselt werden sollen. Er selbst hat dieses Verfahren bereits 2008 vorgestellt. Die entsprechende Software ist ebenfalls erhältlich.

Das Bestechende an dem Konzept ist eine minimalistische Lösung, die Bernstein bietet. Weder an den Internetprotokollen noch an den Firewalls oder Servern muss allzu viel geändert werden. Mit wenig Software soll ein verschlüsseltes Internet möglich sein. Allerdings besteht das Problem darin, dass die kryptographischen Werkzeuge nicht in alle Länder der Welt exportiert werden können oder überall genutzt werden dürfen. Ein weiteres Problem ist die Ablage der öffentlichen Schlüssel.

Bleibt noch die Frage, ob die Geschwindigkeit des Datenverkehrs durch die Verschlüsselung beeinträchtigt wird. Laut Bernstein würden die DNS-Server nur 1,15-mal so stark belastet wie zuvor.

Laut Bernstein ist auch die Ver- und Entschlüsselung auf Server und Client kein Problem: Ausgerüstet mit "typischen" CPUs sollen Rechner in der Lage sein, zehn Milliarden neuer Schlüssel in weniger als zehn Minuten zu verarbeiten. Und jede Schlüsselverarbeitung soll von mehreren Datenpaketen verwendet werden können. Die für die Berechnungen verwendete Crypto-Box-API steht unter nacl.cace-project.eu zur Verfügung.


stiba 23. Mai 2011

.. mein Gehrin ist schon vor langer Zeit mutiert! Empfangen von WLAN ist damit kein...

/mecki78 10. Mai 2011

Und was im Artikel steht ist quatsch: "Der Unterschied zu dem ähnlichen IPSec sei die...

/mecki78 10. Mai 2011

Wenn er nicht signiert ist, dann kann ihn der Angreifer einfach durch einen anderen...

Kommentieren



Anzeige

  1. Stabsbereichsleiter (m/w) Informationssicherheit
    gkv informatik, Wuppertal
  2. SW- / Funktionsentwickler (m/w) für Hybrid- und Elektrofahrzeuge
    Robert Bosch GmbH, Schwieberdingen
  3. Manager (m/w) Licensing Adminis­tration
    ICE INTERNATIONAL COPYRIGHT ENTERPRISE, Berlin
  4. Junior-Anwendungsentwickler SAP BW on HANA (m/w)
    Aareal Bank AG, Wiesbaden

 

Detailsuche


Spiele-Angebote
  1. Aktion: Batman: Arkham Knight PS 4 kaufen und 10€ Gutschein auf Seasonpass erhalten
  2. NEU: I Am Alive [Download]
    3,40€
  3. NEU: Spiele für Nintendo 3DS reduziert

 

Weitere Angebote


Folgen Sie uns
       


  1. Zeloslaser Cutter 2.0

    Offener Lasercutter aus Deutschland

  2. Docs.com

    Microsoft eröffnet mit Docs neue Dokument-Sharing-Plattform

  3. Dot

    Smartwatch mit Braille-Anzeige für Blinde

  4. Facettenaugen

    Forscher entwickeln Insektenauge für Drohnen

  5. Xbox One

    Windows 10 für Spieler und ein neues Halo

  6. #Landesverrat

    Justizminister Maas schmeißt Generalbundesanwalt raus

  7. Piranha Bytes' Elex

    Der Held hat einen Namen

  8. Stratolaunch Carrier

    Größtes Flugzeug der Welt soll 2016 erstmals starten

  9. Android-Schwachstelle

    Stagefright-Exploits wohl bald aktiv

  10. Steam VR

    Augmented Reality für die Zukunft, Virtual Reality für jetzt



Haben wir etwas übersehen?

E-Mail an news@golem.de



Oneplus 2 im Hands On: Das Flagship-Killerchen
Oneplus 2 im Hands On
Das Flagship-Killerchen
  1. Oneplus-One-Nachfolger Neues Oneplus Two wird ab 340 Euro kosten
  2. Two-Smartphone Oneplus verspricht vereinfachtes Einladungssystem
  3. Smartphone Oneplus Two soll unter 450 US-Dollar kosten

Microsoft: Die Neuerungen von Windows 10
Microsoft
Die Neuerungen von Windows 10
  1. Windows 10 Microsoft gibt Enterprise-Version frei
  2. Microsoft Über 14 Millionen sind bereits auf Windows 10 gewechselt
  3. Neuer Windows Store Windows 10 erlaubt deutlich weniger Parallelinstallationen

Luftschiff: Zeppeline für die Zukunft
Luftschiff
Zeppeline für die Zukunft
  1. Nemo's Garden Erdbeeren und Basilikum wachsen im Meer
  2. Fairy Lights Holographisches Display aus Laser zum Anfassen
  3. Hoverboard Lexus will zurück in die Zukunft schweben

  1. Re: Cheater wirds erst dann nicht mehr geben...

    HubertHans | 08:25

  2. Re: Nicht nur gefährlich, sondern auch verboten

    Lala Satalin... | 08:24

  3. Re: Komm in die Gegenwart! :-)

    Endwickler | 08:22

  4. Re: 30 Jahre zu spät

    holgerscherer | 08:21

  5. Re: Damit sind Konsolen dann wirklich nur noch...

    david_rieger | 08:17


  1. 07:59

  2. 07:35

  3. 07:23

  4. 07:13

  5. 21:11

  6. 18:59

  7. 18:03

  8. 17:14


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel