information-security___de

Warum ist AxCrypt sicher?

AxCrypt ist sicher, da es sich nur um akzeptierte Praktiken und Algorithmen handelt und nicht versucht, neue Verschlüsselungsalgorithmen oder-Methoden zu erfinden. Es ist auch Open Source. Jeder kann den Quellcode, Fehler, Auslassungen oder Hintertüren überprüfen. Es wird seit über 15 Jahren verwendet und auf Schwachstellen überprüft und von mehr als 30 Millionen Benutzern ohne bekannte Schwächen ausprobiert.

Wie sicher ist AxCrypt?

Diese Frage zerfällt in effektive Verschlüsselungsschlüssellängen. Die verwendete Schlüssellänge beträgt 128 oder 256 bit – eine erschöpfende Suche wird derzeit in beiden Fällen nicht als Option angesehen und ist in kryptografischer Hinsicht rechnerisch nicht möglich. Das Problem liegt bei den verwendeten Passwörtern – das ist der Schwachpunkt. Sie können mehr darüber Lesen, was Sie bei der Auswahl eines Passworts beachten sollten.

Passwortaspekte

AxCrypt verwendet AES-128 oder AES-256 in der Premium-version – aber wenn Sie dieses Sicherheitsniveau erreichen möchten, müssen Sie ihm 128- oder 256-bits wirklich "zufälliger" Daten geben. Dies ist sehr schwer zu tun, aber der einfachste Weg, dies zu erreichen, ist die Verwendung des in Premium enthaltenen passwortgenerators.

Um tatsächlich 128 oder 256 bit zu erhalten, müssen Sie dieses Passwort in einer Textdatei speichern und diese Textdatei dann sehr geheim halten.Bei Verwendung einer typischen englischen Sprache in einem Passwort entsprechen 128 bits ungefähr 10 "zufälligen" Wörtern, und 256 bits entsprechen somit dem doppelten. Verwenden Sie keine aussagekräftigen Sätze und absolut nicht berühmte oder sogar obskure Zitate!Durch die Einführung von Variationen des Falles sowie nicht alphabetischer Zeichen können Sie die Anzahl der erforderlichen Wörter reduzieren. Es wird nicht empfohlen, weniger als 5 Wörter zu verwenden. Wenn Sie eine völlig zufällige Auswahl von groß-und Kleinbuchstaben und Ziffern verwenden, benötigen Sie 22 Zeichen, um 128-bit-Sicherheit zu erreichen, und somit 44 Zeichen für 256 bit. (Das obige ist eine leichte Vereinfachung des Problems, aber es sollte dienen.)Mit der Zerkleinerungs-oder Wischfunktion von AxCrypt können Sie Dateien auf eine Weise löschen, die es unmöglich macht, den Inhalt mit der Undeletion-software wiederherzustellen. Es gibt jedoch einige Vorbehalte:

• Der name der Datei sowie die Größe können wiederhergestellt werden.

• Wenn die Datei mit einer Anwendung angezeigt oder bearbeitet wurde, die temporäre Kopien des Inhalts erstellt (Z. B. Microsoft Office), stehen diese temporären Kopien möglicherweise weiterhin zum wiederherstellen auf Ihrer Festplatte zur Verfügung.

Im Abschnitt über lokale PC-Sicherheit finden Sie Tipps, wie Sie Ihre Sicherheitsmarge für diese Angelegenheiten erhöhen können.

Lokale PC-Sicherheit

AxCrypt selbst schützt Ihren lokalen PC beispielsweise nicht vor:

Daten der Exposition durch:

• Ihre Anwendungen behalten Klartext im Speicher, der anschließend in der Auslagerungsdatei abgelegt wird.

• Ihre Anwendungen erstellen temporäre Dateien, die nicht richtig gelöscht werden.

• Tiefes Lesen von übergeschriebenen Festplattendaten mit kundenspezifischer Software und Laborgeräten.

Passwort-Exposition aufgrund von:

• Vorzeitige Energiezyklus Ihres Computers und anschließende Kryptoanalyse.

• Tastatur-Schnüffler, entweder in hardware oder software.

Verzicht auf Nutzung:

• Sichere Passwörter, entweder mit AxCrypt oder Ihre Anmeldung.

• Passwortgeschützte Bildschirmschoner.

Kontoschlüsseln

Ein Kontoschlüssel ermöglicht die Implementierung verschiedener neuer Funktionen, Z. B. das öffnen gesicherter Dateien mit eigenen Passwörtern durch andere Teammitglieder. Technisch gesehen besteht ein AxCrypt-Kontoschlüssel aus einem öffentlichen Schlüsselpaar, das aus einem öffentlichen (nicht geheimen) und einem privaten (geheimen) Teil sowie einigen anderen Metadaten besteht.

Der Kontoschlüssel wird immer auch mit Ihrem Passwort gesichert, obwohl ein Teil davon nicht geheim ist und zum sichern von Dateien für Sie und Ihr Team verwendet wird. Für Sie ist der Vorteil, dass Sie das Passwort für alle Dateien in einem einzigen Vorgang ändern können. Für Ihre Teammitglieder besteht der Vorteil darin, dass Sie und Ihr team sich gegenseitig erlauben können, gesicherte Dateien zu öffnen, ohne Passwörter freizugeben, indem Sie einfach die E-Mail-Adresse des anderen Mitglieds angeben.

Jeder kann Ihre E-Mail-Adresse verwenden, damit Sie eine gesicherte Datei mit Ihrer eigenen Passphrase öffnen können, und Sie können jedem mit einer E-Mail-Adresse erlauben, eine von Ihnen gesicherte Datei zu öffnen. All dies wird dadurch aktiviert, dass der öffentliche Teil des Kontoschlüssels auf unserem server verfügbar ist.

Algorithmen

Die kryptologischen Grundelemente sind AES-128 oder AES-256 für die Massenverschlüsselung, PBKDF2 mit HMAC-512 für die schlüsselableitung, 4096-bit-RSA für den Kontoschlüssel und HMAC-512 für die Integritätsprüfung.

Die verwendeten algorithmen werden nach bestem wissen von der US-Regierung und der Internet-community als solche als sicher angesehen. Bitte beachten Sie das Dokumentenpaket und den Quellcode für Details.

Der schlüsselumbruch des Kennworts erfolgt mithilfe der NIST-Spezifikation für den AES-Schlüsselumbruch. Der aus dem Passwort mit PBKDF2-SHA512 abgeleitete Schlüssel wird nur als schlüsselverschlüsselungsschlüssel verwendet.

Als Brute-force-zählermaßnahme wird die schlüsselumhüllung mit mindestens 5 000 Iterationen durchgeführt, wodurch der Arbeitsaufwand um etwa 12 bit erhöht wird. Die tatsächliche Iterationszahl wird dynamisch bestimmt, ein typischer Wert beträgt 25 000 bis 100 000, wobei 14-17 bits effektiver Schlüssellänge Hinzugefügt werden. Je schneller Sie AxCrypt installieren – desto besser die Sicherheit!

AxCrypt verwendet den Advanced Encryption Standard mit 128-bit- oder 256-bit-Schlüsseln im Counter-Modus mit einer 'zufälligen' IV für die Datenverschlüsselung.

Für die integritätsüberprüfung verwendet AxCrypt HMAC-SHA512, dh Hash - Nachrichtenauthentifizierungscode mit SHA-512 mit 512-bit-Ausgabe.

Der verwendete pseudo-Zufallszahlengenerator (PRNG) ist in Erster Linie das Betriebssystem bereitgestellt, in einigen Fällen mit zusätzlicher Entropie.

Es kann jedoch Fehler in unserer Implementierung geben – deshalb ist es Open Source, sodass Sie und unsere Kollegen es überprüfen und sicher aufbewahren können. Dies sollte nicht als geringes Vertrauen in unseren code verstanden werden – jeder, der Ihnen sagt, dass sein Code einwandfrei ist, ist entweder unerfahren oder lügt.

Ist AxCrypt HIPAA-konform?

Es gibt keine HIPAA-konforme software. Nur Organisationen und Verfahren können HIPAA-konform sein.

Die angemessene Verwendung von Verschlüsselung und anderen Technischen Schutzmaßnahmen unterliegt den HIPAA-Sicherheitsstandards 45 CFR 160, 162 und 164. Der entsprechende Abschnitt ist 164.312 Technische Schutzmaßnahmen. Dort werden auch keine Empfehlungen oder Anforderungen bezüglich spezifischer Verschlüsselungstechnologien gemacht, es wird ausdrücklich darauf hingewiesen, dass die Verordnung technologieneutral ist. Es liegt an jeder Organisation, Ihre position und Risiken zu bewerten und dann erforderliche oder adressierbare Spezifikationen zu implementieren.

Obwohl sich der standard in keiner Weise darauf bezieht, außer in Kommentaren, gibt die CMS-internetsicherheitsrichtlinie, die die aktuelle Ansicht von Zentren für Medicare-und Medicaid Services für den eigenen Gebrauch darstellt, für bestimmte Fälle einige minimale technologieniveaus an. AxCrypt erfüllt diese Anforderungen für die übertragung über das Internet - aber Ihre Organisation muss unabhängig prüfen, ob ausreichend ist, um die gleiche Ebene wie die Zentren für Medicare & Medicaid Services zu verwenden.

Die Teile, in denen AxCrypt als Teil eines Technischen Schutzes ausreichen kann (und sollte), sind:

• Zugriffskontrolle/Verschlüsselung und Entschlüsselung-AES-128/AES-256

• Integrität/Authentifizierung HMAC-SHA-512-Übertragung

• Sicherheit/Integrität Kontrollen, Verschlüsselung AES-128/AES-256/HMAC-SHA-512

Der HIPAA-Sicherheitsstandard ermöglicht die Verwendung von Verschlüsselung als Grundlage für die Zugriffskontrolle, dh zum Schutz der Privatsphäre von ruhenden Daten (die auf einer Festplatte gespeichert sind, anstatt beispielsweise das Internet zu durchqueren). AxCrypt wird auch hier die meisten Anforderungen von Organisationen erfüllen.