Kryptografie schützt Informationen durch mathematische Verfahren. Sie schafft Vertraulichkeit, prüfbare Integrität, Authentizität und belastbare Nachweise über den Ursprung von Daten. Zur anerkannten Kryptografie zählt NIST unter anderem Verschlüsselungsalgorithmen, Hashfunktionen und Zufallsbitgeneratoren.
Der Schutz entsteht nicht allein durch einen starken Algorithmus. Schlüssel, Zufallsquellen, Implementierung, Aufbewahrung und Wiederherstellung gehören zum selben System.
Verschlüsselung schützt Vertraulichkeit
Verschlüsselung wandelt lesbare Daten in eine Form um, die ohne den passenden Schlüssel nicht sinnvoll gelesen werden kann. Symmetrische Verfahren verwenden denselben geheimen Schlüssel zum Ver- und Entschlüsseln. Asymmetrische Verfahren arbeiten mit einem zusammengehörenden öffentlichen und privaten Schlüssel.
Die beiden Ansätze erfüllen unterschiedliche Aufgaben und werden häufig kombiniert. Eine verschlüsselte Verbindung kann asymmetrische Verfahren für den sicheren Schlüsselaustausch und ein schnelles symmetrisches Verfahren für die eigentlichen Daten verwenden.
FileVault ist ein praktisches Beispiel: Die Festplattenverschlüsselung schützt lokal gespeicherte Daten auf einem gesperrten oder ausgeschalteten Mac. Sie ersetzt weder Zugriffskontrolle im laufenden System noch ein Backup.
Hashfunktionen erzeugen Prüffingerabdrücke
Eine kryptografische Hashfunktion berechnet aus Daten einen Wert fester Länge. Bereits eine kleine Änderung der Eingabe führt zu einem anderen Hashwert. Gute Verfahren sind so konstruiert, dass sich die ursprünglichen Daten aus dem Hash nicht praktikabel zurückrechnen und zwei verschiedene Eingaben nicht gezielt auf denselben Wert bringen lassen.
Hashes helfen dabei, Dateien, Nachrichten oder Artefakte auf Veränderungen zu prüfen. Ein Hash beweist für sich allein jedoch nicht, wer die Daten erstellt hat. Dafür braucht es einen vertrauenswürdigen Vergleichswert, eine Signatur oder einen anderen authentisierten Kanal.
Digitale Signaturen belegen Herkunft und Integrität
Eine digitale Signatur wird mit einem privaten Schlüssel erzeugt und mit dem zugehörigen öffentlichen Schlüssel geprüft. Sie zeigt, dass die signierten Daten seit der Signatur nicht verändert wurden und dass der verwendete private Schlüssel zu ihrer Erzeugung eingesetzt wurde.
Die Aussage reicht nur so weit wie der Schutz und die Zuordnung des Schlüssels. Wird ein privater Schlüssel gestohlen oder falsch einer Person beziehungsweise einem System zugeordnet, bleibt die mathematische Signatur gültig, obwohl das daraus abgeleitete Vertrauen beschädigt ist.
Schlüssel bestimmen den Schutz
Ein kryptografischer Schlüssel steuert Operationen wie Verschlüsselung, Entschlüsselung oder Signaturerzeugung. Seine Länge, Qualität und Geheimhaltung müssen zum verwendeten Verfahren passen.
Schlüssel brauchen einen vollständigen Lebenszyklus: Erzeugung, sichere Ablage, kontrollierte Verwendung, Rotation, Sperrung und gegebenenfalls Wiederherstellung. Ein ungeschützt gespeicherter Schlüssel kann ein starkes Verfahren wirkungslos machen. Ein verlorener Schlüssel kann rechtmässig verschlüsselte Daten dauerhaft unzugänglich machen.
Seed, Entropie und Zufallszahlen
Computer verwenden Zufallswerte unter anderem für Schlüssel, Nonces, Sitzungstoken und kryptografische Protokolle. Ein Random Bit Generator soll Bitfolgen erzeugen, die sich praktisch nicht von unabhängigen, unverzerrten Zufallswerten unterscheiden lassen.
Ein deterministischer Zufallsbitgenerator erzeugt seine Folge mit einem Algorithmus aus einem geheimen Anfangswert, dem Seed. NIST definiert einen Seed als Eingabe eines pseudozufälligen Prozesses. Derselbe Algorithmus erzeugt mit demselben Seed dieselbe Folge.
Für Simulationen und Tests kann diese Reproduzierbarkeit erwünscht sein. In der Kryptografie muss der Seed dagegen ausreichend unvorhersagbar sein. Entropiequellen liefern dafür Zustände aus der physischen Umgebung, Hardware oder dem Betriebssystem. Ein Deterministic Random Bit Generator verdichtet diesen Anfangszustand anschliessend zu einer längeren Folge verwendbarer Zufallsbits.
Ein Seed ist nicht automatisch ein kryptografischer Schlüssel. Beide müssen geheim und unvorhersagbar sein können, erfüllen aber im Verfahren unterschiedliche Rollen.
Kryptografie ist kein Ersatz für Systemschutz
Verschlüsselte Daten können nach dem Entsperren weiterhin kopiert, verändert oder durch Schadsoftware gelesen werden. Eine Signatur verhindert keine unsichere Ausführung, und ein Hash ersetzt keine vertrauenswürdige Quelle.
Kryptografie wirkt deshalb zusammen mit Updates, Zugriffsrechten, Geräteverwaltung, Protokollierung, Backup und dokumentierter Wiederherstellung. Ihre Aufgabe besteht darin, bestimmte Eigenschaften technisch prüfbar zu machen. Sie schützt kein System pauschal vor jeder Form von Missbrauch oder Ausfall.
Merksatz
Kryptografie verbindet mathematische Verfahren mit kontrollierten Schlüsseln und geeigneten Zufallsquellen. Ihre Sicherheit hängt vom gesamten Lebenszyklus ab, nicht nur vom Namen des Algorithmus.