Kryptografie/Chiffrier Suits

Aus Foxwiki

Überblick

Hintergrundinformationen

Warum in practicalsettings cipher string B empfohlen wird.

  • Erläuterung der Struktur von Chiffrierzeichenketten in Abschnitt [Architektur] (Architektur) * Definieren PFS in [pfs].
  • Erläuterung der Cipher String A und Cipher String B im Abschnitt Empfohlene Chiffriersuiten
Cipher Strings
Themen
All dies ist wichtig, um zu verstehen, warum bestimmte Entscheidungen für Cipher String A und B getroffen wurden
  • Für die meisten Systemadministratoren ist jedoch die Frage der Kompatibilität eine der dringendsten.
  • Die Freiheit, mit jedem beliebigen Client kompatibel zu sein (auch mit veralteten Betriebssystemen), verringert natürlich die Sicherheit unserer Chiffrierzeichenfolgen.
  • Wir behandeln diese Themen im Abschnitt TODO.
  • Alle diese Abschnitte ermöglichen es einem Systemadministrator, seine oder ihre Bedürfnisse nach starker Verschlüsselung mit Benutzerfreundlichkeit und Kompatibilität in Einklang zu bringen.
Themen
  • PKIs (Abschnitt Public Key Infrastructures),
  • Zertifizierungsstellen und über
  • Härtung einer PKI
  • Die letztgenannten Themen verdienen ein eigenes Buch.
  • Daher kann dieser Leitfaden nur einige aktuelle Themen in diesem Bereich erwähnen.

Chiffriersuiten

Überblick

Begriffe

Chiffriersuite

Eine Chiffriersuite ist eine standardisierte Sammlung, die authentifizierte Verschlüsselungsverfahren bietet

  • Algorithmen für den Schlüsselaustausch
  • Verschlüsselungsalgorithmen (Chiffren) und
  • Algorithmus für Nachrichtenauthentifizierungscodes (MAC)
Komponenten
  1. Schlüsselaustauschprotokoll
  2. Authentifizierung
  3. Chiffre
  4. Nachrichten-Authentifizierungs-Code (MAC)
  5. Authentifizierte Verschlüsselung mit zugehörigen Daten (AEAD)

Zusammensetzung einer typischen Chiffrierzeichenfolge

DHE RSA AES256 SHA256

Nomenklatur

Gängige Benennungsschemata für Chiffrierstrings
  • IANA-Namen (siehe Anhang Links) und
  • die bekannteren OpenSSL-Namen

Hier werden OpenSSL-Namen verwenden, es sei denn, ein bestimmter Dienst verwendet IANA-Namen

Forward Secrecy

Eigenschaft einer Verschlüsselung, die Vertraulichkeit auch dann zu gewährleistet, wenn der Serverschlüssel kompromittiert wurde

siehe Perfect Forward Secrecy

Empfohlene Chiffriersuiten

Systemadministratoren treffen Entscheidungen
  1. Sicherheit der Kommunikation
  2. Hohen Sicherheit der Cipher-Suite bei gleichzeitigem
  3. Ausschluss einiger Benutzer
  4. Unterstützung möglichst vieler Benutzer
Qualys SSL Labs
  • Qualys SSL Labs
  • gibt Administratoren und Sicherheitsingenieuren ein Werkzeug an die Hand
  • Einrichtung testen und die Kompatibilität mit Clients vergleichen können
Achtung
Die hier gewählten Einstellungen sind nur beispielhaft und MÜSSEN angepasst werden!
Chiffriersuiten auszuwählen und überprüfen

Starke Chiffren, weniger Clients

Starken Chiffriersuiten

Zum Zeitpunkt der Erstellung dieses Dokuments empfehlen wir die Verwendung der folgenden Reihe von starken Chiffriersuiten

Umgebung
  • nicht viele verschiedenen Clients
  • Kompatibilität kein großes Problem
Beispiel
  • für eine solche Umgebung wäre die
  • Maschine-zu-Maschine-Kommunikation oder der
  • Einsatz in Unternehmen
  • wo die zu verwendende Software ohne Einschränkungen definiert werden kann
We arrived at this set of cipher suites by selecting
  • TLS 1.2
  • Perfect forward secrecy / ephemeral Diffie Hellman
  • strong MACs (SHA-2) or
  • GCM as Authenticated Encryption scheme
This results in the OpenSSL string
EDH+aRSA+AES256:EECDH+aRSA+AES256:!SSLv3
Configuration A ciphers
ID OpenSSL Name Version KeyEx Auth Cipher MAC
0x009F DHE-RSA-AES256-GCM-SHA384 TLSv1.2 DH RSA AESGCM(256) AEAD
0x006B DHE-RSA-AES256-SHA256 TLSv1.2 DH RSA AES(256) (CBC) SHA256
0xC030 ECDHE-RSA-AES256-GCM-SHA384 TLSv1.2 ECDH RSA AESGCM(256) AEAD
0xC028 ECDHE-RSA-AES256-SHA384 TLSv1.2 ECDH RSA AES(256) (CBC) SHA384
Compatibility

Zum Zeitpunkt der Erstellung dieses Dokuments waren nur Win 7 und Win 8.1 Crypto Stack, OpenSSL >= 1.0.1e, Safari 6 / iOS 6.0.1 und Safari 7 / OS X 10.9 von diesem Cipher String abgedeckt.

Schwächere Chiffren, aber bessere Kompatibilität

In diesem Abschnitt schlagen wir einen etwas schwächeren Satz von Chiffriersuiten vor.

  • Zum Beispiel gibt es bekannte Schwachstellen für die SHA-1-Hash-Funktion, die in diesem Satz enthalten ist.
  • Der Vorteil dieses Satzes von Chiffriersuiten ist nicht nur die bessere Kompatibilität mit einer breiten Palette von Clients, sondern auch die geringere Rechenlast für die Bereitstellungshardware.

Alle Beispiele in dieser Veröffentlichung verwenden Konfiguration B. Wir haben diesen Satz von Cipher Suites durch Auswahl von:

  • TLS 1.2, TLS 1.1, TLS 1.0
  • Erlauben von SHA-1 (siehe die Kommentare zu SHA-1 im Abschnitt [SHA])
OpenSSL-Zeichenkette
EDH+CAMELLIA:EDH+aRSA:EECDH+aRSA+AESGCM:EECDH+aRSA+SHA384:EECDH+aRSA+SHA256:EECDH:+CAMELLIA256:+AES256:+CAMELLIA128:+AES128:+SSLv3:!aNULL:!eNULL:!LOW:!3DES:!MD5:!EXP:!PSK:!SRP:!DSS:!RC4:!SEED:!ECDSA:CAMELLIA256-SHA:AES256-SHA:CAMELLIA128-SHA:AES128-SHA'
Konfiguration B-Chiffren
ID OpenSSL Name Version KeyEx Auth Cipher MAC
0x009F DHE-RSA-AES256-GCM-SHA384 TLSv1.2 DH RSA AESGCM(256) AEAD
0x006B DHE-RSA-AES256-SHA256 TLSv1.2 DH RSA AES(256) SHA256
0xC030 ECDHE-RSA-AES256-GCM-SHA384 TLSv1.2 ECDH RSA AESGCM(256) AEAD
0xC028 ECDHE-RSA-AES256-SHA384 TLSv1.2 ECDH RSA AES(256) SHA384
0x009E DHE-RSA-AES128-GCM-SHA256 TLSv1.2 DH RSA AESGCM(128) AEAD
0x0067 DHE-RSA-AES128-SHA256 TLSv1.2 DH RSA AES(128) SHA256
0xC02F ECDHE-RSA-AES128-GCM-SHA256 TLSv1.2 ECDH RSA AESGCM(128) AEAD
0xC027 ECDHE-RSA-AES128-SHA256 TLSv1.2 ECDH RSA AES(128) SHA256
0x0088 DHE-RSA-CAMELLIA256-SHA SSLv3 DH RSA Camellia(256) SHA1
0x0039 DHE-RSA-AES256-SHA SSLv3 DH RSA AES(256) SHA1
0xC014 ECDHE-RSA-AES256-SHA SSLv3 ECDH RSA AES(256) SHA1
0x0045 DHE-RSA-CAMELLIA128-SHA SSLv3 DH RSA Camellia(128) SHA1
0x0033 DHE-RSA-AES128-SHA SSLv3 DH RSA AES(128) SHA1
0xC013 ECDHE-RSA-AES128-SHA SSLv3 ECDH RSA AES(128) SHA1
0x0084 CAMELLIA256-SHA SSLv3 RSA RSA Camellia(256) SHA1
0x0035 AES256-SHA SSLv3 RSA RSA AES(256) SHA1
0x0041 CAMELLIA128-SHA SSLv3 RSA RSA Camellia(128) SHA1
0x002F AES128-SHA SSLv3 RSA RSA AES(128) SHA1
Kompatibilität
Beachten Sie, dass diese Cipher Suites nicht mit dem Crypto Stack von Windows XP funktionieren (z.B. IE, Outlook),
Erläuterung
Für eine ausführliche Erklärung der gewählten Chiffriersuiten siehe [ChoosingYourOwnCipherSuites].
  • Kurz gesagt, es ist praktisch unmöglich, eine einzige perfekte Chiffrierkette zu finden, und es muss ein Kompromiss zwischen Kompatibilität und Sicherheit gefunden werden.
  • Auf der einen Seite gibt es obligatorische und optionale Chiffren, die in einigen RFCs definiert sind, auf der anderen Seite gibt es Clients und Server, die nur Teilmengen der Spezifikation implementieren.
Die Autoren wollten starke Chiffren, vorwärts gerichtete Geheimhaltung [25] und die bestmögliche Kompatibilität mit den Clients, während sie gleichzeitig einen Chiffrierstring sicherstellen wollten, der auf älteren Installationen (z. B. OpenSSL 0.9.8) verwendet werden kann.
Out of the box

Die von uns empfohlenen Chiffrierzeichenfolgen sind für die Verwendung durch Kopieren und Einfügen gedacht und müssen "out of the box" funktionieren.

  • TLSv1.2 wird gegenüber TLSv1.0 bevorzugt (und bietet dennoch eine brauchbare Chiffrierkette für TLSv1.0-Server).
  • AES256 und CAMELLIA256 gelten derzeit als sehr starke Verschlüsselungen.
  • AES128 und CAMELLIA128 gelten derzeit als starke Verschlüsselungen.
  • DHE oder ECDHE für Vorwärtsgeheimnis
  • RSA, da dies für die meisten heutigen Konfigurationen geeignet ist
  • AES256-SHA als letzter Ausweg: Mit dieser Chiffre am Ende funktionieren sogar Serversysteme mit sehr alten OpenSSL-Versionen (Version 0.9.8 bietet zum Beispiel keine Unterstützung für ECC und TLSv1.1 oder höher).
  • Beachten Sie jedoch, dass diese Cipher-Suite keine Vorwärtsverschlüsselung bietet.
  • Sie soll die gleiche Client-Abdeckung bieten (z.B. Unterstützung der Microsoft Krypto-Bibliotheken) auf älteren Systemen.

Random Number Generators

Random Number Generator

Schlüssellängen

Verschlüsselung:Schlüssellängen

Hinweise

3DES

Wir möchten anmerken, dass 3DES theoretisch 168 Bits Sicherheit bietet, jedoch basierend auf der NIST Special Publication 800-57 [26]. Aufgrund mehrerer Sicherheitsprobleme sollte die effektive Schlüssellänge mit 80 Bit angesetzt werden.

  • Das NIST empfiehlt, 3DES nicht mehr zu verwenden und so bald wie möglich auf AES umzusteigen.

Elliptische Kurven Kryptographie

Jeder weiß, was eine Kurve ist, bis er genug Mathematik studiert hat Mathematik studiert hat, um durch die unzähligen Ausnahmen verwirrt zu werden möglicher Ausnahmen zu verwirren. Die Elliptische-Kurven-Kryptographie (ab jetzt einfach ECC genannt) ist ein Zweig der Kryptographie, der Mitte der 1980er Jahre entstand.

  • Die Sicherheit des RSA-Algorithmus beruht auf der Annahme, dass die Faktorisierung großer Zahlen nicht möglich ist.
  • Auch die Sicherheit von ECC, DH und DSA basiert auf dem Problem des diskreten Logarithmus (i_wikipedia_Diskreter Logarithmusm_, 2013).
  • Den diskreten Logarithmus einer elliptischen Kurve von ihrem öffentlichen Basispunkt aus zu finden, gilt als undurchführbar.
  • Dies ist bekannt als das Elliptic Curve Discrete Logarithm Problem (ECDLP).
  • ECC und die zugrundeliegenden mathematischen Grundlagen sind nicht leicht zu verstehen - zum Glück gibt es einige gute Einführungen in das Thema. [27] [28] [29].

ECC bietet im Vergleich zu traditionellen asymmetrischen Algorithmen eine viel höhere Sicherheit bei weniger rechenintensiven Operationen (siehe Abschnitt Schlüssellängen).

  • Die Sicherheit von ECC hängt von den elliptischen Kurven und Kurvenpunkten ab, die als Parameter für den jeweiligen Algorithmus gewählt werden.
  • Schon lange vor dem NSA-Leak-Skandal gab es viele Diskussionen über diese Parameter und ihre mögliche Umgehung.
  • Ein Teil der Diskussion betraf empfohlene Kurven und Kurvenpunkte, die von verschiedenen Standardisierungsgremien wie dem National Institute of Standards and Technology (NIST) [30] ausgewählt und später in den meisten gängigen Krypto-Bibliotheken implementiert wurden.
  • Diese Parameter wurden von Kryptographen wiederholt in Frage gestellt (Bernstein & Lange, 2013).

Zum Zeitpunkt der Erstellung dieses Dokuments wird an der Sicherheit verschiedener ECC-Parameter geforscht (SafeCurves: choosing safe curves for elliptic-curve cryptography, 2013).

  • Die meiste Software, die so konfiguriert ist, dass sie sich auf ECC verlässt (sei es ein Client oder ein Server), ist nicht in der Lage, bestimmte Kurven zu fördern oder auf eine schwarze Liste zu setzen.
  • Die Autoren hoffen, dass eine solche Funktionalität bald weit verbreitet sein wird.
  • Die Autoren dieses Papiers geben Konfigurationen und Empfehlungen mit und ohne ECC an - der Leser kann sich für die Einstellungen entscheiden, die er für seine Umgebung am besten geeignet findet.
  • Die Autoren werden diese Entscheidung nicht für den Leser treffen.
Warnung
Man sollte sich mit ECC, verschiedenen Kurven und Parametern vertraut machen, wenn man sich für ECC-Konfigurationen entscheidet.
  • Da es viele Diskussionen über die Sicherheit von ECC gibt, können fehlerhafte Einstellungen die Sicherheit des gesamten Systems gefährden!

SHA-1

In den letzten Jahren wurden mehrere Schwachstellen von SHA-1 aufgezeigt.

  • Insbesondere können Kollisionen bei SHA-1 mit 263 Operationen gefunden werden, und neuere Ergebnisse deuten sogar auf eine geringere Komplexität hin.
  • ECRYPT II und NIST empfehlen daher, SHA-1 nicht für die Erzeugung digitaler Signaturen und für andere Anwendungen zu verwenden, die Kollisionssicherheit erfordern.
  • Die Verwendung von SHA-1 bei der Nachrichtenauthentifizierung, z. B. HMAC, ist nicht unmittelbar gefährdet.

Wir empfehlen die Verwendung von SHA-2, wann immer verfügbar.

  • Da SHA-2 von älteren Versionen von TLS nicht unterstützt wird, kann SHA-1 für die Nachrichtenauthentifizierung verwendet werden, wenn eine höhere Kompatibilität mit einer größeren Anzahl von Clients erforderlich ist.

Unsere Konfigurationen A und B spiegeln dies wider.

  • Während die Konfiguration A kein SHA-1 enthält, ist die Konfiguration B kompatibel mit einer größeren Anzahl von Clients.

Diffie Hellman Key Exchanges

Diffie Hellman Key Exchanges

Public Key Infrastructures

Public Key Infrastructure

TLS and its support mechanisms

TLS

Weblinks

  1. https://bettercrypto.org
Abgerufen von „https://wiki.foxtom.de/index.php?title=Kryptografie/Chiffrier_Suits&oldid=50352“