Längst hat sich die RSA-Konferenz zur weltweit größten Messe für IT-Sicherheit entwickelt. Werin San Francisco die vier Apriltage nicht verbracht hat, sei getröstet: Die RSA sorgt auch in Europa, und zwar in Amsterdam, 15-18 Oktober, für die entsprechende Konferenz - allerdings ohne das bunte Volk kalifornischer Hacker.Eines der zentralen Themen in Kalifornien war die Sicherheit des neuen "Rijndael"-Algorithmus, der als "Advanced Encryption Standard" (AES) den veralteten "DES"-Standard und seine Variante »Triple DES« (3DES) ersetzen soll. Deutliche Zweifel wurden geäußert. So fand Adi Shamir vom Weizman-Institut, der Algorithmus sei zwar brauchbar, weshalb er auch als internationaler Verschlüsselungsstandard gelten kann, doch kritisierte er die aktuelle Beschränkung auf zehn statt auf zwölf Runden bei Transaktionen. Die Beschränkung erhöhe nur die Performance, aber nicht die Sicherheit. Shamir forderte sogar, wenigstens 20 Runden für Hochsicherheitsanforderungen einzusetzen. Als Runde bezeichnet man einen Verschlüsselungsdurchgang. Hierbei verändert der Algorithmus die Ausgangsdaten solange, bis diese bei der Analyse wie eine Zeichen- oder Bit-Ansammlung mit zufälliger Verteilung erscheinen. Die Differenz zwischen der tatsächlichen Zahl der Runden eines Algorithmus und der Zahl an Runden, bei denen der Algorithmus mit kryptoanalytischen Methoden als angreifbar gilt, wird als Maß für den "Sicherheitspuffer" angesehen. Rijandel, der sich bei einem Wettbewerb als Sieger gegenüber vier Konkurrenten durchsetzen konnte, verwendet Schlüssel von 128, 192 und 256 Bit und Blocklängen mit 128, 192 oder 256 Bit. Trotz der Kritik, der andere Teilnehmer nicht folgen wollten, will die IETF (Internet Engineering Task Force) nun prüfen, wie schnell AES in den zentralen Protokollen wie zum Beispiel dem IP-Standard IPSec implementiert werden kann. IPsec wird in unterschiedlichen Umgebungen eingesetzt, vor allem aber in Virtual Private Networks (VPN) und soll fester Bestandteil des kommenden Internet-Protokolls (IPv6) sein. Dieses soll binnen drei Jahren das derzeit verwendete IPv4 ablösen und auch für mobile Netze auf der Basis von UMTS Standard werden. Ferner soll AES den "Secure-Socket-Layer-Standard" (SSlv3) ergänzen. SSL, das in den meisten Browsern verwendet werden kann, sichert den Datenverkehr auf der Applikationsebene (Layer 7) und auf der Transportebene (Layer 3; es schützt E-Mail-Protokolle wie das Instant Message Access Protocol (IMAP4) und das Post Office Protocol (POP3). Nichts desto trotz: Wann der neue Standard, der aus Belgien kommt und deshalb nicht den US- Exportrestriktionen unterliegt, verwendet werden kann, steht dahin. (wl)
12.04.2001
Längst hat sich die RSA-Konferenz zur weltweit größten Messe für IT-Sicherheit entwickelt. Werin San Francisco die vier Apriltage nicht verbracht hat, sei getröstet: Die RSA sorgt auch in Europa, und zwar in Amsterdam, 15-18 Oktober, für die entsprechende Konferenz - allerdings ohne das bunte Volk kalifornischer Hacker.Eines der zentralen Themen in Kalifornien war die Sicherheit des neuen "Rijndael"-Algorithmus, der als "Advanced Encryption Standard" (AES) den veralteten "DES"-Standard und seine Variante »Triple DES« (3DES) ersetzen soll. Deutliche Zweifel wurden geäußert. So fand Adi Shamir vom Weizman-Institut, der Algorithmus sei zwar brauchbar, weshalb er auch als internationaler Verschlüsselungsstandard gelten kann, doch kritisierte er die aktuelle Beschränkung auf zehn statt auf zwölf Runden bei Transaktionen. Die Beschränkung erhöhe nur die Performance, aber nicht die Sicherheit. Shamir forderte sogar, wenigstens 20 Runden für Hochsicherheitsanforderungen einzusetzen. Als Runde bezeichnet man einen Verschlüsselungsdurchgang. Hierbei verändert der Algorithmus die Ausgangsdaten solange, bis diese bei der Analyse wie eine Zeichen- oder Bit-Ansammlung mit zufälliger Verteilung erscheinen. Die Differenz zwischen der tatsächlichen Zahl der Runden eines Algorithmus und der Zahl an Runden, bei denen der Algorithmus mit kryptoanalytischen Methoden als angreifbar gilt, wird als Maß für den "Sicherheitspuffer" angesehen. Rijandel, der sich bei einem Wettbewerb als Sieger gegenüber vier Konkurrenten durchsetzen konnte, verwendet Schlüssel von 128, 192 und 256 Bit und Blocklängen mit 128, 192 oder 256 Bit. Trotz der Kritik, der andere Teilnehmer nicht folgen wollten, will die IETF (Internet Engineering Task Force) nun prüfen, wie schnell AES in den zentralen Protokollen wie zum Beispiel dem IP-Standard IPSec implementiert werden kann. IPsec wird in unterschiedlichen Umgebungen eingesetzt, vor allem aber in Virtual Private Networks (VPN) und soll fester Bestandteil des kommenden Internet-Protokolls (IPv6) sein. Dieses soll binnen drei Jahren das derzeit verwendete IPv4 ablösen und auch für mobile Netze auf der Basis von UMTS Standard werden. Ferner soll AES den "Secure-Socket-Layer-Standard" (SSlv3) ergänzen. SSL, das in den meisten Browsern verwendet werden kann, sichert den Datenverkehr auf der Applikationsebene (Layer 7) und auf der Transportebene (Layer 3; es schützt E-Mail-Protokolle wie das Instant Message Access Protocol (IMAP4) und das Post Office Protocol (POP3). Nichts desto trotz: Wann der neue Standard, der aus Belgien kommt und deshalb nicht den US- Exportrestriktionen unterliegt, verwendet werden kann, steht dahin. (wl)