Das IoT braucht upgrade-fähige Sicherheit

Anbieter zum Thema

MicroConsult Academy GmbH

emlix GmbH

RTI Real-Time Innovations

Verschlüsselung versus Rechenleistung

Betrachten wir ein paar Beispiele, wie sich Sicherheitsstufen über die Zeit entwickelt haben, beginnend mit symmetrischen Verschlüsselungs-Algorithmen. Im Jahre 1977 wurde der Algorithmus des Datenverschlüsselungs-Standards (DES) als genormte symmetrische Chiffre festgesetzt.

DES verwendet eine Schlüsselgröße von 56 Bit, so dass der Standard infolge von Steigerungen der zur Verfügung stehenden Rechenleistung gegenüber Brute-Force-Angriffe anfällig ist. Im Jahre 1997 wurde gezeigt, dass man 56 Stunden braucht, um mithilfe von Brute-Force den Algorithmus zu brechen.

Nachdem DES eindeutig gebrochen war, wurde Dreifach-(Triple-) DES als genormte symmetrische Sicherheits-Chiffre eingerichtet, wobei grundsätzlich DES dreimal ablief, mit jeweils verschiedenen Schlüsseln.

Hinsichtlich der Sicherheitsstufe von DES wurde spekuliert, dass, wenn Regierungsbehörden die Chiffre bereits im Jahre 1977 brechen konnten, DES niemals nationalstaatlichen Angriffen widerstehen konnte.

Jedoch konnte DES seit den frühen 2000-er Jahren wegen der weitverbreiteten Verfügbarkeit von Rechenleistung noch nicht einmal Schutz gegen Bastler mit PCs bieten.

Seit 2001 wurde DES durch den Advanced Encryption Standard (AES) ersetzt. Doch selbst AES garantiert keine absolute Sicherheit. Auch wenn der Algorithmus nicht zu entschlüsseln war, konnte oft die Implementierung gehackt werden.

Man denke beispielsweise an DPA-Angriffe (Differential Power Analysis), bei denen der Stromverbrauch der elektromagnetischen Strahlung der Schaltung, welche die Verschlüsselung vornimmt, zum Erhalt der kryptographischen Schlüssel eingesetzt wird.

Im Speziellen umfasst DPA die Erfassung einer großen Zahl von Stromverbrauchsspuren, gefolgt von einer Analyse zur Enttarnung des Schlüssels. DPA wurde 1998 eingeführt, und seitdem verkauften Unternehmen wie die Cryptographic Research Inc. (jetzt Rambus) Werkzeuge für DPA-Angriffe, allerdings zu einem Preis, der diese Tools für Bastler und die meisten Forscher unerschwinglich macht.

Heute kann man die Hardware-Tools zur Durchführung von fortschrittlichen DPA-Angriffen für weniger als 300 US-Dollar kaufen, und fortschrittliche Post-Processing-Algorithmen stehen online kostenlos zur Verfügung. Dadurch wanderte die Fähigkeit zu DPA-Angriffen von Nationalstaaten und reichen Gegnern zu nahezu jedem Hacker.

(ID:44733595)