Hilft Verschlüsselung wirklich gegen Polizei etc.?

[Marco01_809]

Richte jetzt mal ein ganzes Rechenzentrum nur auf diese Aufgabe aus

Und dir ist klar dass du mit nur einer weiteren Stelle im Passwort den Aufwand mehr als ver-70-fachst? Wie oft kannst du eine Stelle im Passwort anhängen und wie oft kannst du ein 70 mal so großes Rechenzentrum bauen?

Wie bereits mehrfach hier erwähnt ist nur der Aufwand/Nutzen wichtig.

Nicht wenn der Aufwand die in dieser Galaxie vorhandene Energiemenge übersteigt.

 

[thrawnx]

Glaube du unterschätzt etwas die Rechenkraft die so ein Sunway TaihuLight hat. Wenn man mit einem Heim PC (4 Cores) heutzutage x Millionen Jahre bräuchte um sowas zu knacken, kannst dir ja mal die Mühe machen und ausrechnen wie lange 10.65 Millionen Cores dafür brauchen. Und das ist "nur" ein Super Computer. Da von der gesamten Rechenkraft das Planeten die Rede war...

Ausserdem willst du mir nicht erzählen dass du längere PWs als 16-20 Stellen im täglichen Leben nutzt...

Spoiler

Die ganze Diskussion hier ist Schwachsinn und geht am Topic total vorbei

 

[Anoubis]

Mehr als 16-20 Stellen halte ich nicht für abwägig. Nutze ich bei wichtigen Inhalten, die ich täglich abrufe z. B. selbst.

 

[ghostwriter2]

Dumme Frage, wenn du eine weiße Weste hast wieso machst du dir gedanken was die Polizei alles machen kann oder nicht?
Und mal so ein Gedankengang; was in der Botschaft von einem "Schurkenstaat" passiert ist ja nicht auf deutschem Boden, zählt da auch deutsches Folterrecht?
Schonmal daran gedacht das evtl. der PC anderweitig infiziert wird? Soll ja angeblich bei Virenscanner sog. Whitelists geben auf denen alles (Un)mögliche drauf ist. Dafür gibt es auch wieder Spezialprogramme, aber wenn du "so weit bist" lösche mich aus dem Topic hier, dann will ich nicht mehr mit dir in Verbindung gebracht werden ^^
Und bevor es zu kompliziert wird. Dir ist schon klar das es auch 0815 Software gibt die Mitloggt? Habe jetzt vergessen welcher Hersteller das war, aber z. B. bei Notebooks gibts einen Hersteller, der aus welchem Grund auch immer (war irgendwas im Soundtreiber?) sämtliche Tastatureingaben von Haus aus mitloggt. Da würde dein Passwort ja auch stehen. (News war wohl auch bei CB oder heise drauf).
Wenn der PC in den StandBy modus fährt und sämtliche Daten vom ram auf die Festplatte ausgelagert werden (inkl. deinem TrueCrypt Passwort), weißt du das es beim neustarten unwiederbringlich gelöscht wird? Vielleicht wird der PC ja sogar im StandBy Modus mitgenommen und die können es auslesen?

edit: Und wenn ein ganzes Netzwerk die Daten berechnet sollte es schneller als du Denkst genkackt sein. Wie es mit Keyfiles aussieht weiß ich nicht.
Aber ich bin nur ein unwissender juristischer Laie. Für richtige Beratung was die machen dürfen und so musst du einen experten Fragen! (damit ich keinen Ärger bekomme).

edit2: https://www.heise.de/security/meldung/HP-Notebooks-Audio-Treiber-belauscht-Tastatur-3710250.html
Wer weiß was noch alles auf einem System passiert?

 

[thrawnx]

Mehr als 16-20 Stellen halte ich nicht für abwägig. Nutze ich bei wichtigen Inhalten, die ich täglich abrufe z. B. selbst.

Aus dem Kopf, ohne PW Safe und richtige Passwörter, nichts was mit einem Dictionary Attack in wenigen Minuten platt ist? Falls ja, Respekt. 16-20 nutze ich auch, darüber wirds irgendwann zu kompliziert zu merken imo.

 

[Anoubis]

Ja, mit großen und kleinen Buchstaben, Zahlen und Sonderzeichen. Da ich es täglich nutze, fällt mir das Merken nicht schwer.

 

[xexex]

Aus dem Kopf, ohne PW Safe und richtige Passwörter, nichts was mit einem Dictionary Attack in wenigen Minuten platt ist?

Meine Güte! Wenn du sowas wie "ich-brÄuche!ein-111-$icheres+kennwÖrt" nimmst hast du deine Sicherheit, entsprechende Länge und merken kann man sich sowas auch.

Es ist Quatsch immer zu denken ein Kennwort müsste aus 20 verschiedenen Sonderzeichen bestehen. Ein Kennwort sollte lang sein und Sonderzeichen/Zahlen beinhalten, das reicht dann auch schon.

 

[mkbftw]

wegen deinen mikropenisbildern die keiner sehen darf wird das lka nicht kommen. die nsa hat denen bereits dein unglück mitgeteilt.
mal im ernst: wenn du nichts zu verbergen hast wird auch niemand kommen und es macht 0 sinn sich gedanken zu machen.
da du das aber offensichtlich tust müssen die daten ja mindestens raubkopie niveau haben.
es wäre ausserdem naiv zu glauben die kämen nicht dran. die haben programme die kennt ihr nichtmal.
die neueste technik bleibt dem militär und den geheimdiensten vorbehalten so ist das nunmal.
wenns dann mal irgendwann veraltet ist darf auch der normale user dran

 

[chrigu]

also wenn du schon angst vor hausdurchsuchungen hast, solltest du dringendst dein leben überdenken.

doof ist nur, wenn du zwar deine festplatte verschlüsselst aber kein benutzer-passwort dein pc sperrt, oder noch doofer wäre den true-crypt schlüssel unter die tastatur zu kleben oder in der schublade zu stecken... und ja, der staat kann dich bei bestimmten vergehen in haft nehmen, bis du kooperierst. aber du hast ja nur unbedenkliche private sachen auf der platte, also brauchst du auch nicht in beugehaft zu gehen...
und ja, so eine verschlüsselte fesplatte kann auch entschlüsselt werden, je nachdem ob sich der zeitaufwand lohnt (bei sharing braucht es das nicht, bei pädos und bartträger wird radikal gehandelt.)

 

[Snowiron]

Die deutsche Polizei hat ja nicht mal genug Forensiker um zeitnah die normalen PCs auszuwerten. Da wartet man zwischen mehreren Monaten und Jahren auf die Rückgabe der Hardware. Ebenso verwenden die normalen deutschen Polizeibehörden für solche Zwecke am Markt verfügbare Software (gab es irgendwann eine Artikel auf heise.de und hier noch was zu Mobiltelefonen: https://motherboard.vice.com/de/art...-ermittler-beschlagnahmte-smartphones-knacken). Daher hilft aus pragmatischer Sicht Verschlüsselung gegen Polizei, um auf die Frage des Threaderstellers einzugehen. Selbst wenn ein Rechenzentrum ausreichen würde, um innerhalb von ein paar Monaten einen Verschlüsselungskey für einen Rechner zu knacken, wird das die Polizei bestimmt nicht bei verschlüsselten PCs im Rahmen einer normalen Hausdurchuchung machen. Dafür sind die Ressourcen einfach nicht da. Eher greift die Polizei zu anderen Mitteln, um solche Leute dann zu überführen (Verwanzung der Wohnung, Telefonüberwachung, Hausdurchsuchung während der Rechner noch läuft und im laufenden Betrieb via Firewire etc den Verschlüsselungskey aus dem RAM auslesen).

Ich verlinke zwar nicht gerne auf den Focus als Quelle, aber den dortigen Fall sehe ich gerne als Beispiel: http://www.focus.de/panorama/welt/v...n-festplatten-des-maskenmanns_aid_705621.html

 

[DEFCON2]

Glaube du unterschätzt etwas die Rechenkraft die so ein Sunway TaihuLight hat. Wenn man mit einem Heim PC (4 Cores) heutzutage x Millionen Jahre bräuchte um sowas zu knacken, kannst dir ja mal die Mühe machen und ausrechnen wie lange 10.65 Millionen Cores dafür brauchen.

Es wird aber keine Rechenzeit für so einen unwichtigen Müll auf so teuren Systemen vergeudet. Die wird in erster Linie für so gemeinnützige Dinge wie das Simulieren von Atomtests benötigt...

Praktisch betrachtet ist die diskutierte Verschlüsselungslösung sicher, während die kläglich Endpoint Security den damit verbundenen Aufwand ad absurdum führt. In Zeiten wo Geheimdienste spionierende Routerfirmware verteilen und über hardwarenahe Systeme wie die Intel Management Engine beliebigen Code ausführen könnten ist die kryptographische Sicherheit von AES dein kleinstes Problem.

 

[Fellor]

Die gängigen Verschlüsselungsalgorithmen sind (aktuell) sicher, aber theoretisch knackbar. Je höher die Schlüssellänge, desto höher der Aufwand um diese zu knacken, und somit auch die potentielle Sicherheit.
Nicht zwingend sicher sind Programme die eine Verschlüsselungslösung implementieren. Manche haben bekannte Sicherheitslücken (z.B. TrueCrypt), andere gelten als sicher. Diese Sicherheit setzt oft aber auch ein sicheres Passwort voraus.
Dies bedeutet aber nicht, dass diese auch tatsächlich sicher sind. Sicherheitslücken können bewusst verschwiegen werden um von diesen Gebrauch zu machen. Gerade die NSA ist ja bekannt dafür. Bei Zitis gab' es, meines Wissens, auch ein hin und her ob man Sicherheitslücken "einkaufen" wird um Verschlüsselungen auszuhebeln.

In diesem Sinne

 

[_killy_]

Alle bisherigen Verschlüsselungsverfahren wurden mit der Zeit "unsicher", da entweder:

1) Zero-Day Lücken ausgenutzt wurden
2) mehr Rechenpower zur Verfügung steht

Die Frage der Sicherheit ist somit nur Temporär. Du kannst dir selbst als Privatperson von Amazon Rechnenpower mieten und musst nur nach Aufwand zahlen.

 

[ghostwriter2]

Sicherheitslücken bei TrueCrypt? Ist mir entgangen. Dachte nachdem die Entwicklung eingestellt wurde gab es zwar Zweifel aber es wurde nichts gefunden.

Was Fellor sagt denke ich auch, wollte es nur nicht posten... Mit einer "benötigten Medizinischen Behandlung" (Tabletten evtl. nicht nachweisbare Folter) oder extremen Bewusstseinszustand bekommt man es auch so heraus.

Noch ein Gedankengang: Wir (die Ermittler/Geheimdienst/wer interesse hat) haben die Möglichkeiten, TrueCrypt zu knacken... Aber der Kinderschänder kommt lebenslang in den Knast, egal ob wir die Platte Entschlüsseln oder nicht. WIESO sollten wir also zugeben das TrueCrypt unsicher ist? Lasst doch alle in falscher Sicherheit wägen ^^

 

[Exterior]

Glaube du unterschätzt etwas die Rechenkraft die so ein Sunway TaihuLight hat. Wenn man mit einem Heim PC (4 Cores) heutzutage x Millionen Jahre bräuchte um sowas zu knacken, kannst dir ja mal die Mühe machen und ausrechnen wie lange 10.65 Millionen Cores dafür brauchen. Und das ist "nur" ein Super Computer. Da von der gesamten Rechenkraft das Planeten die Rede war...

Ok, hoffentlich verrechne ich mich jetzt nicht ganz grob. Der von dir erwähnte Sunway TaihuLight hat eine maximale Leistung von ca. 125 Petaflops, also 125 * 10^15 Operationen pro Sekunde. Ich gehe mal ganz naiv davon aus, dass er somit auch maximal 125 Brd. Passwörter pro Sekunde berechnen könnte.

Eines meiner VeraCrypt-Passwörter hat 27 Zeichen mit Zahlen, Buchstaben, Groß- und Kleinschreibung, Umlauten und Sonderzeichen (ja, ich kann mir das merken und jederzeit auswendig aufsagen, es folgt praktisch keinem sinnvollen Muster, ist nicht anfällig für Wörterbücher usw.) - macht ca. 96 Variationen.

96 ^ 27 = 3,32*10^53 Varianten.
(96^27)/(125*(10^15)) = 2,657*10^36 Sekunden
--> Das ganze würde also grob überschlagen ca. 2.650.000.000.000.000.000.000.000.000.000.000.000 Jahre dauern. Sportlich....

Aber die Zukunft ist nahe, nehmen wir also einfach mal den Aurora, der 2018 kommen soll und einen Peak von geschätzten 450 Petaflops hat und aus Spaß an der Freude vertausendfachen wir diese Leistung mal und gehen davon aus, dass wir 5 dieser Schätzchen im NSA-Keller stehen haben:

(96^27)/((450000*(10^15))*5) = 1,47*10^32 Sekunden
Na das ist ja mal was, dauert nur noch 147.000.000.000.000.000.000.000.000.000.000 Jahre.

So, entweder ich habe mich hier irgendwo total vertan (was gut sein kann, dann verbessert mich bitte) oder auch ein Supercomputer hätte mit reinem Bruteforce an starken Passwörtern ganz schön zu knabbern.

Und allen, die hier abwinken und etwas von der bösen NSA erzählen, die möchte ich bitten: Liefert wenn dann bitte konkrete Beispiele, dass die NSA erfolgreich AES oder Serpent (was ohnehin die weit bessere Wahl wäre) oder dergleichen knacken konnte. Ansonsten ist das alles nur Schall und Rauch, wenn ihr sagt "huiuiui, die NSA und ihre Rechenzentren".

Wie bereits gesagt wurde, wäre die aktuell einzige sinnvolle Angriffsfläche das Programm an sich (VeraCrypt) und da gibt es aktuell keinen Grund zur Sorge.

 

[Marco01_809]

Glaube du unterschätzt etwas die Rechenkraft die so ein Sunway TaihuLight hat.

Manche Menschen können sich eben nicht vorstellen wie schnell Potenzen wachsen...

Ich sage es nochmal, mit nur einer weiteren Stelle im Passwort hast du den Aufwand um das 52- bis 96-fache erhöht (je nachdem welche Zeichen man alle verwendet).
Um deine Rechenleistung um die gleiche Menge zu steigern, musst du 52 bis 96 mal so viele Prozessorkerne haben.

Sagen wir du verlängerst dein Passwort um 4 Stellen um es sicherer zu machen. Dann braucht der Angreifer schon 52^4=7.311.616 bis 96^4=84.934.656 mal so viele Prozessorkerne wie vorher um das Passwort in der gleichen Zeit zu knacken. Zum Vergleich: Ein Sunway TaihuLight hat aber nur etwa 2,5 Millionen mal so viele Prozessorkerne wie ein einfacher Heim-PC.
Folglich: Wenn du an ein Passwort, an dem sich ein Heim-PC die Zähne ausbeißt, nur 4 Stellen anhängst, ist es sogar für den schnellsten Supercomputer der Welt nicht mehr zu schaffen.

Da ist dann auch schnell der Punkt erreicht an dem es so viele Prozessoren auf der Erde gar nicht mehr gibt...

@Exterior Man braucht laut kurzem googlen etwa 3300 Integer-Operationen auf x86 um einen SHA256-Hash zu berechnen. Du hast allerdings mit Floating-Point-Operationen gerechnet.

Außerdem ist nicht beachtet worden, dass VeraCrypt das Passwort nicht nur einmal mit SHA256 hasht, sondern 200.000 mal. Das soll eben gerade Bruteforce-Angriffe erschweren.
Man braucht also mindestens noch 200.000x so lange wie du ausgerechnet hast.

 

[Exterior]

@Marco01_809

Klar, das war ja auch nur ein "Rechenbeispiel", dass es, selbst wenn man den absoluten - wenngleich völlig unrealistischen - Bestfall annehmen würde, immer noch unfassbar lang dauern würde. Dass man nicht mit jeder Operation einen Hash errechnen kann, ist klar. Aber ich bin einfach mal von der Peak-Leistung als Maximum ausgegangen, denn mehr Passwörter als Rechenoperationen wird das Gerät logischer Weise nicht schaffen, auch wenn das natürlich quatsch ist.
Ich hatte kurz überlegt, ob ich danach suche, wie viele Operationen man benötigt, um einen Hash zu berechnen, aber bin zu dem Schluss gekommen, dass es zur Veranschaulichung auch genügt, wenn ich die Annahme "eine Operation = ein Passwort" festsetze, auch wenn es sich dabei um Float-Operationen handelt und diese Annahme an sich natürlich falsch wäre.

Leider habe ich auf die Schnelle nichts zur Integer-Leistung der Supercomputer gefunden, allerdings wird die sicherlich niedriger ausfallen, als die Float-Leistung, vermute ich mal.

Im Grunde ging es ja auch nur um eine kleine Veranschaulichung, um das Argument "Supercomputer haben so viel Leistung" ein wenig zu entkräften, immerhin ist die letzte Annahme (5x Aurora-Peakleistung mal 1000) nach aktuellem Stand völlig utopisch und immer noch weit davon entfernt, per BruteForce ein ordentliches Passwort schnell knacken zu können.

Und @thrawnx, selbst wenn jeder einzelne Mensch einen Sunway TaihuLight bei sich im Keller stehen hätte und man diese Rechenkraft kombinieren würde, würde es unter den von mir getroffenen (nicht ganz korrekten, aber dennoch einigermaßen anschaulichen) Rahmenbedingungen immer noch eher zum verglühen unserer Galaxie kommen, als dass damit alle Kombinationen meines Passworts durchprobiert werden. Das mit der Rechenpower des Planeten kommt also durchaus hin. Exponentielles Wachstum ist ne fiese Sache, kann dir jeder Bakteriologe bestätigen.

 

[chrigu]

naja...
wenn jemand unbedingt ein passwort knacken will, braucht der intelligente häcker kein bruteforce und jahrelanges rechenzentrum-benutzen.
er schaut, welche sicherheitslücken er brauchen kann. und davon gibt es mehr als nur eine, die noch undokumentiert ist

 

[Hirtec]

Exterior und Marco01_809 haben es schön beschrieben, Supercomputer brauchen "unbeschreiblich" viel Zeit um per Brute-Force Passwörter zu knacken.

Um noch einmal zur Rechtssprechung zu kommen. In einem ordentlichen Rechtsstaat wie Deutschland (ich will jetzt hier nichts anderes hören) muss man dir eine Straftat nachweisen (Unschuldsvermutung) und du bist als Angeklagter nicht verpflichtet, dich selbst zu belasten. Du hast ein Aussageverweigerungsrecht, von dem ich persönlich -falls ich jemals angeklagt werden würde- jederzeit Gebrauch machen würde.

Klappe halten und gut ist...

 

[IceDragon2]

TrueCrypt ist nicht mehr aktuell. Es gibt mit VeraCrypt einen kompatiblen Nachfolger.
https://www.veracrypt.fr/en/Home.html