Ralles personal blog

Nicht, dass der Verdacht aufkommt, das Projekt wäre ausgelaufen:

Das Durcharbeiten mehrerer Bücher hat nur etwas Zeit in Anspruch genommen. Besonders empfehlen möchte ich Bruce Schneier, renomierter Verschlüsselungsexperte. Eines seiner Bücher ist Secrets&Lies, das sich mit vielfältigen Angriffen etc. beschäftigt. Kurzresumee von meiner Seite: die aktuellen Verschlüsselungsalgorithmen sind sicher, sogar so sicher, dass sich eigentlich niemand mehr die Mühe macht, diese direkt anzugreifen. Vielmehr sind andere Vektoren deutlich einfacher und erfolgversprechender. Oftmals sind die Algorithmen schlecht oder sogar falsch implementiert, sodass sich die Komplexität deutlich reduziert. Social Engineering ist wohl auch sehr erfolgversprechend, häufige Berichte dazu untermauern diese Lücke. Daneben gibt es eine vielzahl von Seitenbandangriffen, die in vielen Fällen die eigentlich gute Verschlüsselung der Daten aushebeln. Wichtig ist Kerkhoff's Prinzip: obscurity fliegt irgendwann auf, d.h. der Algorithmus kann ruhig und soll sogar offengelegt werden. Nur der Schlüssel muss geheim bleiben, er kann geändert werden wenn er kompromittiert wurde. Mit dem Algorithmus ist das nicht mehr möglich.

Wichtig ist es, sich über alle möglichen Angriffe und Lücken schon beim Design Gedanken zu machen und diese gleich auszuschließen. Das hat mich dazu gebracht, die ursprünglich idealisierten Ziele zu modifizieren. Absolute Sicherheit ist wohl tatsächlich eine Illusion, man kann lediglich den Aufwand für Angreifer so hoch treiben, dass es sich nicht mehr lohnt.
In diesem Zuge werde ich für die Vorgaben neue Definitionen setzen und auch grafisch die Systeme analysieren (die Wände meines Studios sind bereits mit bekritzelten Plakaten gespickt). Gelegentlich werde ich das digital hier einfügen.

Praktisch hat sich auch etwas weiterentwickelt. Mein mobiles Arbeitspferd (Slimbook 13 aka Katana aka Infinity 13) habe ich jetzt auch voll verschlüsselt. Das hatte ich ohnehin entsprechend der vorgehenden Erkenntnisse vor, der Lieferant hat die aktuelle Ubuntu-Lücke mit der Vollverschlüsselung ab Installation zwischenzeitlich auch geschlossen. Das Prinzip ist das selbe, nur die Umsetzung wurde in das Installationsscript integriert. Das bedingt zwar eine bare-metal Installation, geht aber schneller als eine manuelle Umsetzung in mehreren Schritten. Wen es interessiert, die Anleitung dazu findet sich hier: https://www.tuxedocomputers.com/de/Infos/Hilfe-Support/Anleitungen/Verschluesselung-von-TUXEDO-Computers-Systemen-mit-LUKS-LVM.tuxedo. Man beachte, dass das Installer-Script (WebFAI) nur auf Tuxedo-Hardware funktionieren wird; mit den früher dargestellten Schritten lässt sich das aber manuell fast genauso einfach umsetzen.

Die Einrichtung des YubiKey war dann einfach und schnell in wenigen Minuten realisiert. Interessant und praktisch ist, dass kein neues Secret auf dem Key generiert werden muss und trotzdem ein neuer Kurzschlüssel genutzt werden kann. Somit habe ich jetzt zwei Notebooks mit Vollverschlüsselung, die beide mit dem selben Key, aber verschiedenen Kurzschlüsseln entschlüsselt werden können. Das war mir nach dem (zugegeben noch recht oberflächlichen) Studium der Key-Dokumentation noch nicht ganz klar, auch das hier zugrundeliegende Konzept werde ich mal grafisch darstellen.