AES-256-GCM und 600.000 PBKDF2-Runden, erklärt

Die Funktionslisten von Foto-Tresor-Apps sind voller Zahlen: AES-256, GCM, 600.000 Runden, PBKDF2. Sie werden präsentiert, als wäre damit alles gesagt, und die meisten Leser überspringen sie verständlicherweise. Dabei lohnen sie zehn Minuten. Wer weiß, was jede davon bewirkt, kann eine konkrete Angabe von einer, die nur beeindruckend klingt, unterscheiden. Diese Seite erklärt jeden Begriff in einfachen Worten. Danach zeigt Abschnitt 8, wovor Verschlüsselung nicht schützt. Dieser zweite Teil ist der, der Entscheidungen verändert.

1. Die Kurzfassung

2. Was AES-256 ist

AES steht für Advanced Encryption Standard. Es ist ein Verschlüsselungsverfahren, das das US-amerikanische National Institute of Standards and Technology 2001 veröffentlicht hat, nach einem öffentlichen Wettbewerb über mehrere Jahre. Es ist nicht geheim und gehört niemandem. Der Aufbau ist öffentlich. Fachleute an Universitäten und in der Industrie untersuchen es seit über zwanzig Jahren und haben keinen praktischen Weg gefunden, das vollständige Verfahren zu brechen.

Die 256 ist die Schlüssellänge in Bit. Alle möglichen Schlüssel dieser Länge auszuprobieren heißt, 2 hoch 256 Möglichkeiten zu durchsuchen. Das ist keine Frage des Wartens auf schnellere Computer. Es liegt weit jenseits dessen, was gewöhnliche Computer je erreichen könnten. Deshalb ist in der Praxis das Verfahren selbst fast nie der Teil, der versagt.

Genau deshalb sagt „wir nutzen AES-256“ weniger aus, als es scheint. Es ist fast das Minimum. Die interessanten Fragen sind, was verschlüsselt wird, wie das Verfahren eingesetzt wird und wie der Schlüssel entsteht.

3. Was GCM hinzufügt

Verschlüsselung allein hält Daten geheim: Ohne Schlüssel lassen sie sich nicht lesen. Für sich genommen garantiert sie aber nicht, dass die Daten unverändert sind. Sie kann Ihnen nicht sagen, ob das, was Sie öffnen, auch das ist, was hineingelegt wurde.

Diese Lücke ist real. Bei einem Verfahren ohne Prüfung kann jemand, der die gespeicherte Datei ändern kann, die verschlüsselten Daten verändern. Beim Öffnen kämen dann andere, falsche Daten heraus, ohne Fehlermeldung. Sie bekommen Daten zurück. Nur nicht die, die hineingegangen sind, und nichts weist Sie darauf hin.

GCM fügt die Prüfung hinzu. Neben den verschlüsselten Daten erzeugt es einen Prüfwert, und dieser Wert wird bei jedem Öffnen kontrolliert. Aus unserem eigenen Sicherheitsdokument:

Das ist das Nützlichste, worauf Sie in einer Funktionsliste achten können, denn hier zeigt sich Genauigkeit. „AES-256“ nennt ein Verfahren. „AES-256-GCM“ nennt ein Verfahren und die Art, es einzusetzen, und genau dort gibt es die Manipulationsprüfung oder eben nicht.

4. Nonces und der klassische Fehler

Jede Verschlüsselung in einem GCM-System verwendet eine Nonce, also eine Zahl, die nur einmal benutzt wird. Sie muss nicht geheim sein. Sie muss für einen bestimmten Schlüssel eindeutig sein.

Wird eine Nonce mit demselben Schlüssel wiederholt, bricht der Schutz von GCM stark ein. Das ist kein seltener Sonderfall. Es ist der häufigste Weg, auf dem echte Systeme mit GCM gebrochen wurden, und er entsteht durch Abkürzungen bei der Umsetzung, nicht durch eine Schwäche von AES.

Es gibt zwei solide Wege, Wiederholungen auszuschließen. Der eine ist eine neue Zufallszahl für jede Verschlüsselung. So macht es Obscura Photo Vault bei einzelnen Dateien: jedes Mal eine neue 96-Bit-Zufallszahl, mit einem 128-Bit-Prüfwert. Der andere ist ein Zähler, der sich nachweislich nie wiederholt. Diesen nutzt unser Format für große Videos. Es kombiniert eine pro Datei gewählte Zufallszahl mit der Nummer des Abschnitts, sodass keine zwei Abschnitte in irgendeiner Datei dieselbe Nonce haben.

Keiner der beiden Wege ist richtiger als der andere. Entscheidend ist, dass die App sich bewusst für einen entschieden hat. Genau so etwas zeigt ein veröffentlichtes Designdokument, eine Funktionsliste dagegen nicht.

5. Ihr Passwort ist das schwache Glied

Ein 256-Bit-Schlüssel enthält 256 Bit Zufall. Ihr Passwort nicht. Selbst eine gute Passphrase hat vielleicht 60 bis 80 Bit, ein typisches Passwort weit weniger. Würde das Passwort direkt als Schlüssel verwendet, wäre die riesige Schlüssellänge bedeutungslos. Ein Angreifer würde Passwörter raten, nicht Schlüssel.

Das Verfahren, das ein Passwort in einen Schlüssel umwandelt, ist die Brücke. PBKDF2 nimmt das Passwort und ein Salt und schickt beides in einer festgelegten Zahl von Durchläufen immer wieder durch eine Mischfunktion, um einen Schlüssel zu erzeugen. Der Sinn der Wiederholung sind die Kosten. Sie erzeugen den Schlüssel einmal pro Entsperren und bemerken die Sekunde, die das dauert, kaum. Ein Angreifer, der Millionen Versuche testet, zahlt diese Kosten bei jedem einzelnen.

Auf diese Zahl sollten Sie achten, und sie wird am häufigsten weggelassen. Eine App kann wahrheitsgemäß sagen, dass sie AES-256 nutzt, und Ihr Passwort trotzdem in einem einzigen Schritt in einen Schlüssel umwandeln. Damit wäre sie genau dem Offline-Rateangriff ausgesetzt, den dieses Verfahren verhindern soll.

6. Warum 600.000

Die Zahl ist nicht zufällig, und sie stammt nicht von uns. Das OWASP Password Storage Cheat Sheet ist die am weitesten verbreitete öffentliche Referenz dafür. Es empfiehlt PBKDF2 mit HMAC-SHA-256 mit mindestens 600.000 Runden. Diese Zahl verwendet Obscura Photo Vault für Tresor-Passwörter.

Dazu gehören zwei ehrliche Einschränkungen.

Die Zahl verändert sich. Empfohlene Rundenzahlen steigen, wenn Hardware schneller wird. Der aktuelle Wert beruht auf Tests mit heutigen Grafikchips. Eine Zahl, die vor einigen Jahren ausreichte, reicht heute nicht mehr, und die heutige wird nicht für immer reichen. Betrachten Sie eine veröffentlichte Rundenzahl als Angabe mit Datum.

Sie vervielfacht Ihr Passwort, sie ersetzt es nicht. Runden machen jeden Versuch deutlich teurer. Sie ändern nicht, wie viele Versuche nötig sind. Ein Passwort aus einer kleinen Auswahl an Möglichkeiten bleibt auch nach 600.000 Runden schwach, denn ein Angreifer muss nur diese kleine Auswahl abarbeiten. Das Verfahren verschafft Zeit im Verhältnis dazu, wie schwer Ihr Passwort ohnehin zu erraten war.

Der praktische Rat für jeden verschlüsselten Tresor ist also langweilig und richtig: Verwenden Sie eine lange Passphrase aus Wörtern, die nichts miteinander zu tun haben, und bewahren Sie sie aufgeschrieben an einem sicheren Ort auf. In einer App, deren Schlüssel wirklich aus Ihrem Passwort entsteht, ist diese Notiz die einzige Kopie, die es gibt. Darum geht es in unserem Ratgeber dazu, was passiert, wenn Sie Ihr Tresor-Passwort vergessen.

7. Salts

Ein Salt besteht aus Zufallsdaten, die mit dem Passwort vermischt werden, bevor daraus ein Schlüssel wird. Es wird neben den verschlüsselten Daten gespeichert. Es ist nicht geheim und muss es auch nicht sein.

Seine Aufgabe ist es, Vorarbeit von Angreifern zu verhindern. Ohne Salts könnte ein Angreifer die Schlüssel für eine Liste gängiger Passwörter einmal berechnen und diese Liste dann gegen alle Nutzer einer App einsetzen. Mit einem eigenen zufälligen Salt pro Tresor muss diese Arbeit für jedes Ziel von vorn erledigt werden. Gemeinsamer Aufwand über mehrere Nutzer hinweg ist dann nicht mehr möglich.

Obscura Photo Vault verwendet ein zufälliges 32-Byte-Salt pro Tresor, gespeichert im Header der jeweiligen Tresordatei.

8. Wovor all das nicht schützt

Alles oben betrifft ruhende Daten: Dateien, die gespeichert sind und gerade nicht benutzt werden. Das ist ein echter, nützlicher Schutz. Er ist aber auch eng begrenzt. Abschnitt 11 unseres Sicherheitsdokuments listet auf, was außerhalb liegt. In einfachen Worten:

• Ein Handy, das kompromittiert ist, während der Tresor geöffnet ist. Um Ihnen ein Foto zu zeigen, muss die App es entschlüsseln. Schlüssel und lesbares Foto liegen also im Arbeitsspeicher. Alles, was in diesem Moment innerhalb der App läuft, kommt an beides heran. Keine Verschlüsselung auf App-Ebene repariert ein kompromittiertes Handy.
• Jeder, der Ihr Passwort kennt. Verschlüsselung kann den Besitzer nicht von jemandem unterscheiden, der beim Eintippen zugesehen hat oder dem es verraten wurde.
• Bildschirmfotos, Bildschirmaufnahmen und Mitlesen über die Schulter. Was auf dem Bildschirm zu sehen ist, wurde bereits entschlüsselt. Das liegt außerhalb dessen, was Verschlüsselung abdeckt.
• Kopien, die Sie anderswo angelegt haben. Das Original, das noch in Ihrer Fotomediathek liegt, die Version, die Sie per Nachricht verschickt haben, das Cloud-Backup von vor dem Verschieben. Eine Kopie zu verschlüsseln ändert nichts an den anderen.
• Die Tatsache, dass die App existiert. Verschlüsselung verbirgt Inhalte. Sie verbirgt nicht, dass es etwas zu verbergen gibt.

Warum das alles auf einer Seite steht, die sonst davon handelt, wie gut die Bausteine sind: Bei einem echten Versagen ist fast nie das Verschlüsselungsverfahren schuld. Meist ist es einer der fünf Punkte oben.

9. Zum Begriff „Militärstandard“

Der Begriff hat keine technische Bedeutung. Meist ist AES gemeint, ein öffentlicher Standard, den jeder nutzen kann und der nicht dem Militär vorbehalten ist. Jedes große Betriebssystem, jeder Browser und jede Messenger-App verwendet ihn.

Das Problem ist nicht, dass der Begriff falsch wäre, sondern dass er nichts verspricht. Er nennt kein Verfahren, keine Art des Einsatzes, keine Schlüssellänge und kein Verfahren, mit dem ein Passwort zum Schlüssel wird. Eine App, die jede Datei verschlüsselt, kann ihn also wahrheitsgemäß verwenden, und ebenso eine, die nur ihre Einstellungen verschlüsselt.

Das ist keine Kritik am Begriff selbst. Ein Eintrag kann ihn verwenden und trotzdem etwas aussagen. Was eine Angabe für jemanden nützlich macht, der sie überprüfen will, ist das, was danach kommt: das Verfahren, der Modus, die Schlüsselableitung, die Rundenzahl und was abgedeckt ist. Ein Eintrag, der beim Schlagwort aufhört, hat nichts versprochen. Einer, der diese Dinge danach benennt, lässt sich überprüfen, egal womit er beginnt.

10. Häufige Fragen

Was bedeutet AES-256-GCM?

AES ist ein veröffentlichtes Verschlüsselungsverfahren. AES-256 ist die Variante mit einem 256-Bit-Schlüssel. GCM ist eine Art, es einzusetzen, bei der zusätzlich geprüft wird, ob die Daten manipuliert wurden. Diese Prüfung ist im Alltag der wichtigste Teil. Eine veränderte Datei lässt sich nicht öffnen, statt unbemerkt falsche Daten zu liefern.

Was ist der Unterschied zwischen AES-256 und AES-256-GCM?

Die zweite Bezeichnung nennt nicht nur das Verfahren, sondern auch, wie es eingesetzt wird. GCM fügt eine Manipulationsprüfung hinzu. Veränderte Daten werden also beim Öffnen erkannt, statt stillschweigend falsch zurückzukommen.

Warum nutzen Foto-Tresor-Apps 600.000 PBKDF2-Runden?

Ein Passwort ist kurz und erratbar. Ein Schlüssel ist das nicht. Deshalb muss das Passwort mit einem absichtlich langsamen Verfahren in einen Schlüssel umgewandelt werden. Jede Runde macht jeden Rateversuch eines Angreifers aufwendiger. 600.000 Runden empfiehlt das OWASP Password Storage Cheat Sheet für dieses Verfahren, PBKDF2 mit HMAC-SHA-256.

Ist AES-256-Verschlüsselung sicher?

AES-256 ist ein öffentlicher Standard. Fachleute untersuchen ihn seit über zwanzig Jahren und haben keinen praktischen Weg gefunden, das vollständige Verfahren zu brechen. In echten Apps ist das Verfahren selten die Schwachstelle. Ein Fehler beim Einsatz, ein erratbares Passwort oder jemand, der an das entsperrte Handy kommt, sind wahrscheinlichere Probleme.

Ist AES-256 besser als AES-128?

Der größere Schlüssel bietet mehr Reserve. Beide gelten mit heutigen Methoden und heutiger Hardware als sicher gegen das Durchprobieren aller Schlüssel. In der Praxis entscheidet die Wahl zwischen beiden kaum darüber, ob eine App standhält.

Was bedeutet „Verschlüsselung nach Militärstandard“?

Technisch bedeutet es nichts. Meist ist AES gemeint, ein öffentlicher Standard, den jeder nutzen kann und der nicht dem Militär vorbehalten ist. Weil die Formulierung kein Verfahren, keinen Modus und keine Schlüssellänge nennt, kann eine App sie verwenden, die alles verschlüsselt, und ebenso eine, die fast nichts verschlüsselt.

Können Quantencomputer AES-256 knacken?

Die bekannte Quanten-Abkürzung, der Grover-Algorithmus, halbiert die Stärke eines solchen Schlüssels ungefähr. Bei einem 256-Bit-Schlüssel bleibt dann immer noch eine sehr große Reserve. Das ist ein Grund, warum 256-Bit-Schlüssel als vernünftige Wahl auf lange Sicht gelten. Die Art von Verschlüsselung, mit der im Internet Schlüssel ausgetauscht werden, hat ein viel größeres Quantenproblem als AES.

Dauert das Entsperren mit 600.000 Runden lange?

Auf einem aktuellen iPhone dauert es etwa eine Sekunde, einmal pro Entsperren. Genau dieses Ungleichgewicht ist der Sinn: einmal kaum spürbar, millionenfach lähmend.

Kann ich bei mehr Runden ein schwächeres Passwort verwenden?

Nein, und das ist das häufigste Missverständnis. Mehr Runden machen jeden Rateversuch teurer. Sie verringern nicht, wie viele Versuche ein schwaches Passwort braucht. Ein kurzes Passwort bleibt schwach.