IronKey 1GB:
Sicherheit bis zur Selbstzerstörung
Der IronKey hat nicht nur eine eingebaute Verschlüsselung, sondern verfügt auch noch über eine Art Selbstzerstörung.
Sensible Daten auf einem USB-Stick? Kann man machen, allerdings sollte man zumindest das kleine Freeware Programm Truecrypt auf dem Stick installiert haben. Aber selbst dieses sehr mächtige Verschlüsselungsprogramm ist nicht komplett sicher. Wer sagt, dass es nicht irgendwo eine Hintertür gibt? Dazu kommt, dass die Daten, wenn auch verschlüsselt, immer noch da sind. Der IronKey löst das Problem auf eine seine Weise:
Ursprünglich für das US-Militär entwickelt, werden die Daten nicht mittels einer Software, sondern Hardware-basiert verschlüsselt. Das hat den Vorteil, dass man keine weitere Software installieren muss und die Verschlüsselung auch schwerer zu erreichen ist. Damit aber auch wirklich nichts schief gehen kann, hat der Stick einen eingebauten Selbstszerstörungsmechanismus. Sollte das Passwort zu oft eingegeben werden, oder wenn jemand versucht, an die Hardware direkt zu gelangen, werden die Daten auf dem Stick sofort zerstört.
Günstig ist die Sicherheit natürlich nicht. Der 1GB große Stick kostet satte 63 Dollar bei amazon.com.
2 GB kosten 85, 4GB 130 Dollar.
Artikel per Feed
Artikel per E-Mail
Artikel bei Twitter
Facebook-Seite
Foursquare
Flickr-Profil
Nicht sicher. Wenn eine Hintertür unerkannt existieren kann dann in einer hardwarebasierten Lösung. Eine Hintertür im TrueCrypt Quellcode ist sehr unwarscheinlich, die betreffenden Teile zu überprüfen ist für einen Programmierer mit ein wenig Kenntnis recht einfach – entsprechend viele Leute lesen also mit. Wer hätte wohl mehr Interesse an einer Hintertür. Eine Gruppe von Programmierern die ihr Programm kostenlos verbreiten im Quellcode und deren Reputation davon abhängt oder ein Unternehmen welches dank der hardwarebasierten Verschlüsselung die Hintertür verheimlichen kann und im Ernstfall die Zugang an die Regierung verkauft?
Mag ein gutes Produkt sein wenn man der Firma vertraut. Das Argument gegen TrueCrypt (oder die Linux Verschlüsselungsschicht LUKS mit den gleichen Algorithmen) zeugt von Unkenntnis. Bitte entfernen.
Sehe ich nicht so. Nur weil sehr viele Menschen an Wikipedia rum schreiben, muss dort auch nicht immer die beste Information zu finden sein. Auch weil viel mehr Leute an einer Sache arbeiten, kann das dazu führen, dass sich auch jemand findet, der eine Hintertür einbaut. Das die leichter entdeckt werden kann (nicht zwangsläufig) ist eine andere Sache.
Jaja, das OpenSource-Paradigma… Alle denken “Man kanns ja überprüfen”, aber hat das je einer getan? Noch dazu, Wenn ich nun den Code durchsehe und als gut befinde, warum sollte man MIR dann vertrauen?
BTT: Der Artikel kommt mir gerade gelegen, bin gerade Verschlüsselte USB-Sticks am evaluieren… Super Timing, Herr Dahlmann :)
Nachtrag: ich meine Natürlich Paradoxon, nicht Paradigma
Aber bei OpenSource hat man wenigstens selber oder die Allgemeinheit stellvertretend dafür die Chance Sicherheitslücken ausfindig zu machen.
Ja. LUKS im Linuxkernel ist einfach zu überprüfen und der Code wurde eben bereits schon x-mal überprüft u.a von Leute die an ähnlichen Projekten arbeiten wie TrueCrypt oder die Progammierer von der ehemaligen Konkurrenzimplementation Cryptoloop. Durch diesen “Wettbewerb” unter den Entwicklern sind vor einigen Jahren viele Sicherheitslücken in allen diesen Programmen aufgeflogen, die schlichtweg nicht gefunden werden wenn solche sicherheitskritischen Dinge hinter verschlossenen Türen entwickelt werden.
Passend dazu: http://heise.de/security/…11;/artikel/113014/0
Soweit ich weiß ist auch noch ein anderer AES-Chip im Umlauf der nur behauptet er verschlüsselt aber in gut ~5 Minuten zu knacken ist. Ich suche die Quellen.
Wer solchen BlackBox-System wirklich kritische Daten anvertraut handelt leichtsinnig.
Ich vertraue übrigens meiner Softwareverschlüsselung (luks, twofish oder aes) deswegen weil die auf diese Weise geschützten Festplatten schon 2 Besuche beim LKA und BSI hinter sich haben und beidesmal ungecrackt wieder zurück kamen.
@Don Dahlmann: Jegliche Verschlüsselungslösung widerspricht Kerkhoff’s Prinzip, solange sie nicht offengelegt und damit nicht einem Peer Review zu unterziehen ist (was aber nicht verlangt, dass die Lösung Free Software ist). Damit ist sie nicht vertrauenswürdig. Dazu kommt, dass Mikroprozessoren genauso anfällig sind auf Bugs wie Software (nur dass sie sich schwerer beseitigen lassen) und auch in diesem Fall eine Software zur Passwort-Eingabe benötigt wird, bei der man ebenfalls viel falsch machen kann. D.h. selbst bei Verwendung eines als ausreichend sicher angesehenen Algorithmus, was mit Rijndael gegeben ist, kann noch immer die Implementierung verbockt worden sein, z.B. mit einem mangelhaften Zufallszahlengenerator.
Für TrueCrypt gelten die selben Prinzipien, hat es demgegenüber als Open-Source-Lösung natürlich einfacher, sie zu erfüllen. Im Desaster-Fall lässt sich das Problem ausserdem einfacher beheben, da man davor einfach nicht gefeit ist (siehe Debians OpenSSL-Debakel). Das macht TrueCrypt bis zu einem gewissen Grad vertrauenswürdig (und vertrauenswürdiger als etliche andere Lösungen). Das ist alles.
BTW: Verschlüsselte Daten sind immer “da” (auch beim IronKey kommt man mit entsprechendem Aufwand ran). Der Witz an der Verschlüsselung ist, dass es aus sicherheitstechnischer Sicht egal ist, wenn man den verschlüsselten Daten habhaft wird. Dumm wird’s erst, wenn einen die Staatsgewalt zur Eingabe des Passworts zwingen kann. Aber das ist kein kryptographisches Problem mehr…
Quelle: http://kainoa.ch/de/produ…ronkey-personal.html
Es gibt also definitiv eine Backdoor oder ähnliches.