Bietet Winrar eine sichere Verschlüsselung?

[MichaelH.]

Truecrypt ist ja leider ein relativ großer Aufwand.

Mir wäre es lieber, das ganze mit WinRar zu machen.

Wenn ich bei WinRar ein langes Passwort verwende, habe ich dann eine brauchbare verschlüsselung?

Oder welche guten Alternativen Methoden gibt es den noch um Dateien zu verschlüsseln?

 

[sr-71]

Wenn du 20 Zeichen (incl Sonderzeichen und Klein und Grossschreibung nimmst) sollte das als Passwort reichen, das dauert lange genug, wenn jemand wirklich Interesse hat

 

[Tarnatos]

Das kommt darauf an wie sicher die Dateien letztendlich aufbewahrt werden.

Alle Archivlösungen sind sehr anfällig für BruteForce Attacken, die dank Cuda binnen kurzer Zeit zum Erfolg führen können.

Daher würde ich von Archivlösungen abraten.

 

[DefconDev]

Das kommt darauf an wie sicher die Dateien letztendlich aufbewahrt werden.

Alle Archivlösungen sind sehr anfällig für BruteForce Attacken, die dank Cuda binnen kurzer Zeit zum Erfolg führen können.

Daher würde ich von Archivlösungen abraten.

Kenn mich nicht so aus, aber auch wenn es extrem viele zeichen sind?

 

[sr-71]

http://www.tomshardware.de/Passwort-Knacken-GPGPU-WinRAR-WinZIP,testberichte-240839-6.html

 

[Rob83]

Regierungen haben da ihre Masterkeys, wie bei allen kommerziellen Verschlüsselungsprogrammen.
Frag mal die, die mit Warez + Verschlüsselung erwischt wurden

-> wenn dann 7zip (opensource)

 

[smuper]

Regierungen haben da ihre Masterkeys, wie bei allen kommerziellen Verschlüsselungsprogrammen.
Frag mal die, die mit Warez + Verschlüsselung erwischt wurden

Das kannst du auch sicherlich mit Quellen belegen?

 

[DefconDev]

Netter Artikel.

schon eine GeForce GTX 460 schafft bereits mehr als 500 Millionen Passwörter pro Sekunde. Anders ausgedrückt: Damit könnte man alle möglichen Kombinationen sämtlicher ASCII-Zeichen bei einer Passwortlänge zwischen einem und sieben Zeichen in unter 48 Stunden ausprobieren. Ist das Passwort acht Zeichen lang, dauert der Vorgang ungefähr 168 Tage.

So ist es! Kombiniert man zwei GeForce GTX 570-Karten und aktiviert SLI, dann ist Zip 2.0 als Schutzmechanismus ungefähr so wirkungsvoll wie ein Plastikschloss an einer schweren Eisenkette. Dank eines optimierten Codes lassen sich 1,5 Milliarden Passwörter pro Sekunde ausprobieren. Bei einer Passwortlänge zwischen einem und acht Zeichen unter Verwendung aller ASCII-Zeichen dauert die Suche jetzt nur noch knapp zwei Monate.

Wusste gar nicht das CUDA so viel schneller ist als eine CPU.

Ergänzung (18. November 2012)

Regierungen haben da ihre Masterkeys, wie bei allen kommerziellen Verschlüsselungsprogrammen.
Frag mal die, die mit Warez + Verschlüsselung erwischt wurden

-> wenn dann 7zip (opensource)

Da würde mich interessieren ob das knacken der warez auf privaten Platten überhaupt notwendig ist um jemanden ding fest zu machen der Warez verbreitet hat.

 

[marcol1979]

schon eine GeForce GTX 460 schafft bereits mehr als 500 Millionen Passwörter pro Sekunde

Man kann doch einfach rechnen wie gut ein PW ist, setzen wir mal Groß/Kleinbuchstaben/Zahlen und Umlaute mit ein, also 100 mögliche Zeichen und 20 Zeichenpasswort.
Sind wir mal großzügig und rechnen das ganze mal mit der Millionenfachen Leistung, also 500 Billionen pro Sekunde:

(100^20)/500000000000000/86400/365.25 = 6.33761756 × 10^17 Jahre

Viel Spass beim Bruteforcen

 

[MichaelH.]

Ist den ein TrueCrypt Kontainer überhaupt besser geschützt?

Kann man da nicht mit der gleichen Methode das Passwort knacken?

 

[Sukrim]

Klar, allerdings wird hier etwas Halbwissen verteilt:

1) Bruteforce ist quasi immer möglich (Spezialfälle außen vor gelassen), daher sollte eben das Passwort stark sein.

2) Es gibt Techniken um Bruteforce zu erschweren, alle ordentlichen Implementationen (7zip und TrueCrypt sind ordentlich, WinRar ist Closed Source, daher nicht vertrauenswürdig oder überprüfbar) setzen die auch ein.

3) Die Sicherheit deiner Daten hängt eben von deinem Passwort ab - wobei man da eher nicht versuchen sollte ein möglichst abartiges kurzes zu verwenden ("$%slASD) sondern es klüger sein könnte, ein paar Wörter aneinander zu hängen (KlopapierIstMeinPa$$wort!), idealerweise noch unzusammenhängend.

nVidia Karten sind übrigens mies im Integerrechnen, daher werden da (außer man mietet Karten auf Amazon, die sind von NV) ATI Karten verwendet. Was SLI dabei bewirken soll weiß ich auch nicht, das dürfte eher bremsen, wenn überhaupt.

 

[pravum]

Warum kaufen wenn es so gute Open-Source Packer gibt:

Peazip

http://peazip.sourceforge.net/

Umfangreiche Funktionen, Verschlüsselungs-Chiffren wie Twofish 256, Blowfish 448, Serpent 256 und AES 256 werden unterstützt.
Kann folgende Archiv Arten erstellen:
7Z*, ARC*, BZ2, GZ, PAQ, PEA*, QUAD/BALZ, TAR, UPX, WIM, XZ, ZIP*

(*) diese Archiv Arten bieten die Möglichkeit der Verschlüsselung

FreeArc

http://freearc.org/

Verschlüsselungs-Chiffren wie Twofish, Serpent und AES werden unterstützt. Und bietet die Möglichkeit des Kaskadieren der Algorithmen.

 

[Daaron]

Na ja, egal wie gut die Verschlüsselung ist, gegen Brute Force hilft nur, dass das Programm möglichst langsam ist. RICHTIG langsam.... oder dass es "zu" macht, wenn X Versuche unternommen wurden. Bei nem Archiv ist das natürlich keine Option. Im Prinzip ist eine Verkettung von möglichst langsamen Verschlüsselungen der beste Weg.

 

[pravum]

Zum Thema Brute Force eine gute Erklärung:

Zusammenhang von Brute-Force-Attacken und Passwortlängen

http://www.1pw.de/brute-force.html

Ein gutes Beispiel von Brute Force Schutz bietet Acebit Passwort Depot. Falscheingaben führen zu einer immer größeren Eingabeverzögerung, hier wird die Form der Attacke bereits kompensiert.

 

[Daaron]

Ja, solche Ansätze wie bei Acebit sind super.... bringt nur eben nichts im Hinblick auf ein Kompressionsformat. Du verteilst ja nicht das gesamte Programm, sondern nur die nackten Daten. Gerade wenn du mit einem offenen Standard wie 7zip oder bzip2 arbeitest weißt du nicht einmal im Ansatz, was dein Gegenüber mit der Datei anstellen wird (außer: öffnen).

 

[pravum]

Stimmt, bei den genannten Kompressionsarchiv funktioniert es nicht.

edit:

Sophos Free Encryption

http://www.sophos.com/en-us/products/free-tools/sophos-free-encryption.aspx

bietet bei erstellten selbst-extrahierenden Archiven den Bruteforce Schutz (Eingabe Verzögerung) an, ohne das die Installation notwendig ist.

 

[Daaron]

Absolut cool. Jetzt das Ganze noch crossplattform *G*

 

[AlexandeKappner]

@Michael:
Wenns wirklich nur ein Packer sein soll, schliess ich mich der Empfehlung von 7-zip an, open source und relativ schnell. Aber als TrueCrypt-Fan wuerd ich dir raten, TC doch eine Chance zu geben. Was genau ist dir denn daran zu kompliziert?

Ein gutes Beispiel von Brute Force Schutz bietet Acebit Passwort Depot. Falscheingaben führen zu einer immer größeren Eingabeverzögerung, hier wird die Form der Attacke bereits kompensiert.

So etwas wuerde in der Praxis nicht funktionieren: Niemand macht eine Bruteforce-Attacke auf irgendein Archiv, selbstextrahierend oder nicht, mit der 'offiziellen' Entschluesselungsroutine, man will ja in moeglichst kurzer Zeit moeglichst viele PWs durchprobieren. Und sobald man einen bruteforce-tauglichen Extraktor hat, behindert einen diese solche kuenstliche Eingabeverzoegerung nicht mehr. Normalerweise wehrt sich eine Dateiverschluesslung gegen Bruteforce, indem es das Ueberpruefungen des Passworts durch iterierte Hashfunktionen absichtlich verlangsamt und damit den ersten Zugriffsversuch absichtlich ausbremst, aber das bewirkt natuerlich nur eine konstante Verzoegerung pro Versuch.

MfG
Alexander

 

[pravum]

Ein gutes Beispiel von Brute Force Schutz bietet Acebit Passwort Depot. Falscheingaben führen zu einer immer größeren Eingabeverzögerung, hier wird die Form der Attacke bereits kompensiert.

Obiges bezog sich Ausschließlich auf die Absicherung der Passwortdatenbank, dort ist es ein effektiver Schutz.
Eine Absicherung mit PBKDF2-SHA256 das garniert mit 1000 Runden dürfte einen gutes Schutz erzeugen.
Wie schon beschrieben, es gibt ausreichend Alternativen, die hinsichtlich Verschlüsselung alles bieten.
Und wie schrieb Bruce Schneier, eine saubere Implementation der jeweiligen Verschlüsselungsalgorithmen in das Tool ist Voraussetzung für die Sicherheit. Unsaubere Programmierungen öffnen Möglichkeiten für Angriffe.

Elcomsoft bietet übrigens da etwas spezielles für Archive:

http://www.elcomsoft.com/arpr.html

Exploits all known vulnerabilities and implementation flaws in the various compression algorithms for faster recovery

Hier eine Umfangreiche Crypt-Freeware :

http://www.softpedia.com/get/Security/Encrypting/DisCryptor-Personal.shtml