[Politik und Gesellschaft] CIA-Affäre: Deutsche Ermittler scheitern an Laptop von Verdächtigem

Markus R., ein ehemaliger Mitarbeiter des Bundesnachrichtendienstes (BND), wurde im Juli unter dem Verdacht festgenommen, für die CIA spioniert zu haben. Dabei wurde auch sein Laptop beschlagnahmt. Diesen jedoch konnten die zuständigen Behörden bislang nicht entschlüsseln. Das erklärte Generalbundesanwalt Harald Range vergangene Woche den Obleuten des NSA-Untersuchungsausschusses.

Den Medienberichten zum Thema ist nicht zu entnehmen, mit welcher Software der Laptop gesichert ist; es ist lediglich von einer "offenbar hochprofessionellen Verschlüsselung" die Rede.

Quelle: Spiegel Online

 

[gelöschter Benutzer]

selbst ecryptfs ist eine hochprofessionelle Verschlüsselung, die sie nicht geknackt bekommen.

 

[TBow]

Ach, da geht man einfach zu unseren Freunden aus Übersee, mit denen wir doch sooo eine enge Kooperation haben. Die werdens schon für uns knacken.

 

[SomeChap]

Die werdens schon für uns knacken.

mit ihrem Quantencomputer

 

[tophirsch]

Ts, hochprofessionell...nur weil die überhaupt keine Verschlüsselung verwenden oder was?

 

[alter_Bekannter]

Unsere Dorf und Stadtbullen sind halt wenns darauf ankommt nicht gebildeter als der Rest des Pöbels, wenn ein großer Hacker zum Beispiel dieser "4Chan" auftaucht können die nur betonen wie schlimm es ist wenn hoch professionelle IT Kriminelle unser Interwebz klauen und Babies fressen. Echtes Fachwissen für die Praxis gibts nicht, Gesellschaftskonformität bedeutet "Wissen" beschränkt sich darauf sich durch maximal unrealistische Prüfungszenarien zu mogeln und/oder Vitamin B. Daher auch der "Fachkräftemangel".

Jeder der tatsächlich was kann ist in der gesellschaftlichen Öffentlichkeit so eine Art Monster/Freak. Deswegen muss auch jeder mit Macht der nicht offiziell gerade der "Gute" ist konsequent dämonisiert werden, kompliziertere Realitätsnahe Fakten sind Teufelszeug, damals wie heute. Damit macht man sich beliebt, so funktioniert Politik.

Vergesst nicht die permantete Bedrohung durch Russlands Kinderfressenden, Völkermordenden, Machtbessessenen Gewaltherrscher Putin, der gerade wieder dabei ist die Welt zu erobern. Wir können nur hoffen das uns der gute Obama-man beschützt und Demokratie und Menschenrechte wahrt!

 

[godlike]

Mal ne Zwischenfrage - so als Crypto-Laie. Wenn ich meine Partition gescheit verschlüssele, mit einem herkömmlichen Tool, und dafür ein gutes Passwort benutze (z.B. 6@S+8N*_/Xv*+Z,Cac=[=nQ(\), was hat es dann mit Dorf und Stadtbullen zu tun? Kann man sowas denn so einfach entschlüsseln?

 

[The_Emperor]

...es ist lediglich von einer "offenbar hochprofessionellen Verschlüsselung" die Rede.

Vermutlich nur eine banale AES Verschlüsselung. Die Vergangenheit hat schon gezeigt dass das gute alte AES immer noch genug Potential hat um Behörden erfolgreich das Arbeitsleben zu versauen.

Wenn ich meine Partition gescheit verschlüssele, mit einem herkömmlichen Tool, und dafür ein gutes Passwort benutze ( ... ) Kann man sowas denn so einfach entschlüsseln?

Nöp, braucht nichtmal so komplex sein. Länge ist das Ausschlaggebende. Zum Beispiel wäre eine (mittlerweile veraltete) AES256 Verschlüsselung per Truecrypt mit dem Passwort "1234567890abcdefghijklmnopqrstuvwxyz!#" um ein vielfaches schwerer zu knacken als mit deinem Passwort.

 

[godlike]

um ein vielfaches schwerer zu knacken als mit deinem Passwort.

Heißt im genauen? Wäre meine Verschlüsselung in einer annehmbaren Zeit ohne Supercomputer zu knacken? Ob man jetzt für dein Beispiel 40 Jahre und für meines 25 braucht ist ja irrelevant

 

[NbN]

-Zum Beispiel wäre eine (mittlerweile veraltete) AES256 Verschlüsselung-

Veraltet? Was wäre die richtige Wahl der Nachfolge?

 

[The_Emperor]

Beide Passwörter wären sicher genug um einen herkömmlichen Rechner lange Zeit zu beschäftigen. Eine "sicherere" Verschlüsselung als AES wäre eine Hybrid-Verschlüsselung aus AES und Twofish oder Serpent

 

[NbN]

Eine "sicherere" Verschlüsselung als AES wäre eine Hybrid-Verschlüsselung aus AES und Twofish oder Serpent

Danke @The_Emperor:

 

[godlike]

@The_Emperor: Darauf wollte ich ja hinaus. Denke das der Typ da eine entsprechende Verschlüsselung gewählt hat. Ist ja wohl bei neueren Crypt-Tools ohne großes Fachwissen möglich. (von dem er ja immerhin einiges haben muss sonst hätte er wohl gar nix verschlüsselt). Selbst große Organisationen können sowas ja nicht kurz im Handumdrehen knacken sondern würden scheitern...

 

[TBow]

Denke das der Typ da eine entsprechende Verschlüsselung gewählt hat.

Ist sogar wahrscheinlich, dass ihm unsere hochverehrten Freunde aus Übersee, mit denen unsere Behörden in einem Bett liegen, den Computer samt vollverschlüsseltem System überlassen haben.

 

[mathmos]

Eine "sicherere" Verschlüsselung als AES wäre eine Hybrid-Verschlüsselung aus AES und Twofish oder Serpent

Eine hybride Verschlüsselung ist doch eine Kombination aus symetrischer und asymetrischer Verschlüsselung. Oder? Wenn ja, dann meinst du vermutlich eine kaskadierende Verschlüsselung (also erst einmal mit AES verschlüsseln und dann noch einmal per Serpent wie es z. b. TrueCrypt anbietet). Bei so etwas sind sich meines Wissens Leute wie Schneier nicht wirklich sicher, ob das sicherer ist, als z. B. nur AES alleine. Oder sind meine Infos schon wieder veraltet?

 

[Pleitgengeier]

Selbst große Organisationen können sowas ja nicht kurz im Handumdrehen knacken sondern würden scheitern...

Weshalb wohl die Truecrypt-Entwickler "überzeugt" wurden, ihr Projekt aufzugeben..
Durch das Audit wurde es gerade richtig bekannt, die Sicherheit wurde bestätigt...

 

[mathmos]

@Pleitgengeier:

Was immer noch zu beweisen wäre. Gerade bei Programmen deren Sourcecode offen zugänglich ist, macht solch eine Überzeugungsarbeit nicht wirklich Sinn meiner Meinung nach, da sich theoretisch immer ein Nachfolger finden lassen kann (was z. B. unter https://truecrypt.ch/ ja versucht wird) und der Sourcecode nicht von heute auf morgen spurlos verschwindet.

 

[The_Emperor]

Eine hybride Verschlüsselung ist doch eine Kombination aus symetrischer und asymetrischer Verschlüsselung. Oder?

Stimmt, kaskadiert ist der richtige Ausdruck. Die Sicherheit bei kaskadierter Verschlüsselung kommt ja nicht direkt durch die Verschlüsselung der Daten, sondern durch die Verschlüsselung der Hashes und Obfusktion wegen doppelter Verschlüsselung zur Geltung. Wenn man zwei Algorithmen kaskadiert müsste man zuerst die Hashes der beiden getrennt knacken. Grundproblem bleibt aber das Gleiche wie bei herkömmlicher Verschlüsslung mit einem einzigen Algorithmus: Hat ein Angreifer einmal den Schlüssel hilft selbst eine dreifach kaskadierte Crypt nichts.

 

[Pleitgengeier]

@Pleitgengeier:

Was immer noch zu beweisen wäre. Gerade bei Programmen deren Sourcecode offen zugänglich ist, macht solch eine Überzeugungsarbeit nicht wirklich Sinn meiner Meinung nach, da sich theoretisch immer ein Nachfolger finden lassen kann (was z. B. unter https://truecrypt.ch/ ja versucht wird) und der Sourcecode nicht von heute auf morgen spurlos verschwindet.

Da hast du recht, allerdings treffen Behörden bei EDV-Themen oft komische Entscheidungen - oder man wollte ein Exempel statuieren, wobei da die Ungewissheit doch eher kontraproduktiv wäre.
Nicht zu vergessen die Rechtslage: In vielen Ländern (v.a. USA) fallen Kryptoprogramme unter das Waffengesetz - vielleicht wurde das TC-Team wegen Waffenschieberei angeklagt

 

[tophirsch]

Ist sogar wahrscheinlich, dass ihm unsere hochverehrten Freunde aus Übersee, mit denen unsere Behörden in einem Bett liegen, den Computer samt vollverschlüsseltem System überlassen haben.

Ich könnte mir vorstellen, dass von der EDV-Abteilung der CIA grundsätzlich nur vollverschlüsselte Systeme ausgegeben werden. Würde für einen Geheimdienst irgendwie Sinn machen, meiner Meinung nach....

Bei so etwas sind sich meines Wissens Leute wie Schneier nicht wirklich sicher, ob das sicherer ist, als z. B. nur AES alleine. Oder sind meine Infos schon wieder veraltet?

Nein, ich glaube auch mal was darüber gelesen zu haben. Genau wie du sagst, kam man da zu dem Fazit, das es unter Umständen nur einen kleinen Sicherheitsgewinn bringt, die verschiedenen Algorithmen zu kaskadieren.
Aber wieso und warum das zu Stande kommt, weiß ich nicht mehr...klang aber zu der Zeit plausibel für mich.