Praktische Anwendung kryptographischer Prüfsummen
Prüf­sum­men­bil­dung mit Frei­er Soft­ware un­ter MS-Win­dows, Unix/BSD,
GNU/Linux und MacOS X (PDF-Version, noch nicht aktualisiert)

Peter Jockisch, Freiburg i. Br.
peterjockisch.de


Inhaltsverzeichnis




1.1 Einleitung

Com­pu­ter­da­tei­en kön­nen auf vie­le Wei­sen un­be­merkt ma­ni­pu­liert wer­den. Kryp­to­gra­phi­sche Prüf­sum­men, Hash­wer­te, die­nen dem Schut­ze Ih­rer Da­ten: Durch Bil­dung ei­nes elek­tro­ni­schen Fin­ger­ab­drucks ei­ner Da­tei wird ein stets gleich­blei­ben­der Zah­len­wert er­stellt. Weicht die­ser zu ei­nem spä­te­ren Zeit­punkt ab, liegt Be­schä­di­gung oder Ma­ni­pu­la­ti­on vor. Mit ei­nem ein­zi­gen Maus­klick läßt sich so je­der­zeit die Un­ver­sehrt­heit ei­ner Da­tei prü­fen.

Kryp­to­gra­phi­sche Prüf­sum­men bil­den die Grund­la­ge für kryp­to­gra­phi­sche Sig­nie­rung und Ver­schlüs­se­lung, für Netz­sei­ten- und E-Mail-​Zer­ti­fi­ka­te, für die qua­li­fi­zie­rte elek­tro­ni­sche Sig­na­tur, so­wie für das tech­ni­sche Ver­ständ­nis der re­vi­si­ons­si­che­ren E-Mail-​Ar­chi­vie­rung, zu der al­le Voll­kauf­leu­te ge­setz­lich ver­pflich­tet sind.

Die­se Ein­füh­rung stellt zwei freie gra­fi­sche Pro­gram­me für die Prüf­sum­men­bil­dung vor, CyoHash und Jacksum, für die Be­die­nung per Da­tei­ma­na­ger. Kon­so­len­ba­sier­te Pro­gram­me wer­den eben­falls be­schrie­ben, sie sind be­triebs­sy­stem­platt­form­ü­ber­grei­fend er­hält­lich und auf den mei­sten Unix/BSD- und GNU/Linux-​Sy­ste­men be­reits vor­in­stal­liert.

1.2 Funktionsweise
1.2.1 Elektronische Fingerabdrücke

Men­schen sind komp­lexe Le­be­we­sen. Für ih­re schnel­le und un­komp­li­zier­te Iden­ti­fi­zie­rung wer­den oft­mals Fin­ger­ab­drücke er­stellt. Nach dem­sel­ben Prin­zip kön­nen Com­pu­ter­da­tei­en iden­ti­fi­ziert wer­den: durch Er­zeu­gung ei­nes „elek­tro­ni­schen Fin­ger­ab­drucks“, der so ge­nann­ten kryp­to­gra­phi­schen Prüf­sum­me, ei­ner stets gleich­blei­ben­den Zahl. Mit­tels stan­dar­di­sier­ter Ver­fah­ren kann so ei­ne schnel­le In­te­gri­täts- und Echt­heits­kon­trolle von Da­tei­en jed­we­der Art vor­ge­nom­men wer­den.

Mensch­li­che Fin­ger­ab­drücke wer­den mit Stem­pel­kis­sen er­stellt, elek­tro­ni­sche mit ei­nem Prüf­sum­men­pro­gramm.

Draufklicken zum Vergrößern.

Abb.1: Echtheitsnachweis bei Mensch und Computerdatei



1.2.2 Qualitätskriterien

Wir be­trach­ten kryp­to­gra­phi­sche Prüf­sum­men. Sie ba­sie­ren auf Streu­wert- bzw. Hash­funk­ti­o­nen, die zu ei­ner be­lie­bi­gen Da­tei Streu- bzw. Hash­wer­te als Er­geb­nis lie­fern. Die­ser Wert wird auch Hash­code bzw. Hash ge­nannt.

Ei­ne Da­tei, so­wie iden­ti­sche Ko­pien von ihr, weist stets die­sel­be Hash­wert-​Prüf­sum­me auf. Än­dert sich je­doch auch nur ein ein­zi­ges Bit oder Zei­chen durch Be­schä­di­gung oder Ma­ni­pu­la­ti­on, soll­te ein gänz­lich an­de­rer Hash­code ent­ste­hen.

Ein Hash­funk­ti­ons-​Prüf­sum­men­ver­fah­ren soll­te al­so zu un­ter­schied­li­chen Com­pu­ter­da­tei­en im­mer un­ter­schied­li­che Wer­te lie­fern. Die be­rech­ne­te Prüf­sum­me ist, ab­hän­gig vom ver­wen­de­ten Ver­fah­ren, im­mer gleich­lang. Des­halb kann na­tür­lich nur ei­ne be­grenz­te An­zahl von Zah­len dar­ge­stellt wer­den: Es gibt prak­tisch un­end­lich vie­le Com­pu­ter­da­tei­en, so daß mit ei­ner Zahl fester Län­ge un­mög­lich je­der die­ser Da­tei­en ein un­ter­schied­li­cher Wert zu­ge­wie­sen wer­den kann.

Un­ter Si­cher­heits­a­spek­ten stel­len sich ver­schie­de­ne An­griffs­sze­na­ri­en dar, un­ter an­de­rem die Fäl­schung von Do­ku­men­ten. Ein An­grei­fer möch­te von ei­ner ge­ge­be­nen Ori­gi­nal­da­tei, bei­spiels­wei­se ei­ner ge­schäft­li­chen Be­stel­lung, ei­ne ge­fälsch­te Ver­si­on mit ei­ner ma­ni­pu­lier­ten, er­höh­ten Be­stell­men­ge er­stel­len, wel­che die­sel­be Hash­wert-​Prüf­sum­me auf­weist. Nach­dem er die Än­de­run­gen im Do­ku­ment vor­ge­nom­men hat, ver­sucht er an­schlie­ßend durch Aus­pro­bie­ren, viel­leicht mit­tels Ein­fü­gung un­sicht­ba­rer Steu­er­zei­chen, ei­ne Da­tei­ver­si­on zu er­hal­ten, de­ren kryp­to­gra­phi­sche Prüf­sum­me iden­tisch zur der­je­ni­gen der Ori­gi­nal­da­tei ist. Bei solch ei­nem An­griff kom­men na­tür­lich un­ter­stüt­zende Com­pu­ter­pro­gram­me zum Ein­satz.

Ge­lingt es nun tat­säch­lich ei­nem An­grei­fer, in zeit­lich ver­tret­ba­rem Auf­wand ei­ne zwei­te Da­tei zu er­zeu­gen, die die er­wünsch­ten Ma­ni­pu­la­ti­o­nen ent­hält und die die­sel­be kryp­to­gra­phi­sche Prüf­sum­me der Ori­gi­nal­da­tei auf­weist, so ist das be­tref­fen­de Hash­funk­ti­ons-​Ver­fah­ren „ge­bro­chen“. Nach Be­kannt­wer­den solch ei­ner Schwä­che soll­te es kei­ne Ver­wen­dung mehr fin­den. Durch ste­ti­ge For­schungs­ar­beit wer­den Schwä­chen schon län­ge­re Zeit im vo­raus er­kannt.

Draufklicken zum Vergrößern.

Abb.2: Prüfsummenkollision



Gä­be es ei­nen un­end­lich be­rech­nungs­star­ken Com­pu­ter, so könn­te, the­o­re­tisch, mög­li­cher­wei­se je­des Ver­fah­ren durch schlich­tes Aus­pr­obie­ren sämt­li­cher Mög­lich­kei­ten ge­bro­chen wer­den (Brute Force An­griff). Für die Pra­xis wird solch ei­ne Vor­ge­hens­wei­se in der Mehr­zahl al­ler Fäl­le als nicht prak­ti­ka­bel er­ach­tet, da die er­for­der­li­chen Be­rech­nun­gen fast nie in ver­tret­ba­rer Zeit durch­führ­bar sind.

Die mei­sten Hash­funk­ti­o­nen wie­sen bis­her nur ei­ne be­grenz­te Le­bens­dau­er auf und wur­den ir­gend­wann aus Si­cher­heits­grün­den von Nach­fol­ge­ver­fah­ren ab­ge­löst. Be­rech­nungs­stär­ke­re Com­pu­ter­ge­ne­ra­ti­o­nen tra­gen zur Ver­kür­zung der Le­bens­dau­er bei. Ne­ben den rechen­kraft­ba­sier­ten An­grif­fen exi­stie­ren je­doch auch an­ders orien­tier­te, und es kann nie­mals aus­ge­schlos­sen wer­den, daß mit­hil­fe ma­the­ma­ti­scher Kre­a­ti­vi­tät be­reits heu­te prak­ti­kab­le An­grif­fe mög­lich sind.

Im Hin­ter­grund ar­bei­tet und forscht ein rie­si­ges Heer von Ma­the­ma­ti­kern, ins­be­son­de­re für Nach­rich­ten­dien­ste. Nicht al­le wis­sen­schaft­li­chen Er­kennt­nis­se wer­den ver­öf­fent­licht.

1.2.3 Vorherrschende Standards im Westen und in Rußland

Die west­li­che IT-​In­fra­struk­tur ba­sier­te bis 2016 über­wie­gend auf dem SHA-1-​Al­go­rith­mus (Secure Hash Al­go­rithm 1). Die­ser gilt seit 2017 als end­gül­tig ge­brochen, die er­for­der­li­che Re­chen­zeit, um ihn zu kor­rum­pie­ren, ist drastisch ge­sun­ken. Ex­per­ten emp­feh­len mitt­ler­wei­le die SHA-2-​Va­ri­an­ten SHA256, SHA384, oder SHA512. Der emp­foh­le­ne Nach­fol­ge­al­go­rith­mus zu SHA-2, SHA-3[1], steht be­reits seit 2012 of­fi­ziell fest.

In Ruß­land und vie­len wei­te­ren GUS-​Staa­ten war GOST R 34.11-94 be­zie­hungs­wei­se GOST 34.311-95 der bis­he­ri­ge Hash-​Stan­dard in Be­hör­den so­wie in ver­schie­de­nen Wirt­schafts­be­rei­chen. [2] Wie bei SHA-1 wur­den auch bei ihm struk­tu­rel­le Schwä­chen ge­fun­den.

1.3 Existieren für die Öffentlichkeit gesperrte Technologien?
1.3.1 Veraltete Rechnersysteme

Al­le be­rech­nungs­kraft­be­zo­ge­nen Aus­sa­gen die­ser Ein­füh­rung be­zie­hen sich auf öf­fent­lich ver­füg­ba­re bzw. auf für die All­ge­mein­heit frei­ge­ge­be­ne Com­pu­ter­sy­ste­me und For­schungs­ar­bei­ten. Die Nut­zung der je­weils ak­tu­ell­sten, fort­ge­schrit­ten­sten Com­pu­ter­tech­no­lo­gie bleibt ge­gen­wär­tig ver­mut­lich noch den Nach­rich­ten­dien­sten vor­be­hal­ten, um die­sen stets ei­nen Be­rech­nungs­kraft­vor­sprung zu ge­währ­lei­sten, für ei­ne ef­fek­ti­ve Aus­he­be­lung eta­blier­ter Ver­schlüs­se­lungs­tech­no­lo­gie.

Die auf brei­ter Ebe­ne frei­ge­ge­be­nen Ver­schlüs­se­lungs­ver­fah­ren mög­en für un­te­re Ver­wal­tungs­eb­en­en nicht oh­ne wei­te­res zu brechen sein. Ganz oben in der Hie­rar­chie, das heißt auf Nach­rich­ten­dienst­e­be­ne, dürf­te je­doch ein un­ein­ge­schränk­ter Zu­griff auf mo­dern­ste Com­pu­ter­tech­no­lo­gie vor­han­den sein. Zu­dem wer­den ver­mut­lich sämt­li­che über das Welt­netz trans­fe­rier­te Da­ten ar­chi­viert, für ei­ne au­to­ma­tisch er­fol­gen­de Aus­wer­tung. Un­ter die­sem Aspekt re­la­ti­viert sich die Wi­der­stands­fä­hig­keit von über das In­ter­net ver­sand­ten Da­tei­en, die mit öf­fent­lich stan­dar­di­sier­ter Tech­no­lo­gie ver­schlüs­selt wur­den.

Schon sei­t lan­ger Zeit exi­stie­ren Über­le­gun­gen, daß be­stimm­te zu of­fi­ziel­len Stan­dards er­ho­be­ne Kryp­to­gra­phie-​Al­go­rith­men in­hä­ren­te ma­the­ma­ti­sche Schwä­chen auf­wei­sen könn­ten, die nur den Ex­per­ten der Nach­rich­ten­dien­ste be­kannt sind. Ei­ne mög­li­cher­wei­se vor­han­de­ne Ein­fluß­nah­me der Ge­heim­dien­ste auf die Ge­stal­tung von Si­cher­heits­pro­duk­ten (Soft­ware- und even­tu­ell Hard­ware-​Hin­ter­tü­ren­prob­le­ma­tik, of­fe­ne Fra­gen zu Stan­dards usw.) ist The­ma zahl­rei­cher Ar­ti­kel zur Com­pu­ter­si­cher­heit, bei­spiels­wei­se in „Did NSA Put a Secret Back­door in New En­cryp­tion Stan­dard?“ und in „Der Ver­schlüs­se­lungs­stan­dard AES: Das Da­na­er-​Ge­schenk der US-​Re­gie­rung für die Welt?“ Meh­re­re re­nom­mier­te Fir­men ha­ben be­reits di­rekt oder in­di­rekt be­stä­tigt, bei ih­rer Pro­dukt­ent­wick­lung mit Nach­rich­ten­dien­sten zu­sam­men­zu­ar­bei­ten. Of­fi­ziell be­grün­det wur­de dies un­ter an­de­rem mit der Ab­sicht, die tech­ni­sche Si­cher­heit von Fir­men­pro­duk­ten op­ti­mie­ren zu wol­len. Wie groß der aus­ge­üb­te Druck zur „Zu­sam­men­ar­beit” war, sei da­hin­ge­stellt.

Kor­rum­pier­te Elek­tro­nik, be­kann­te oder un­be­kann­te „fort­schritt­li­che“ Hard­ware­ar­chi­tek­tu­ren mit ab Werk ein­ge­bau­ten „Fern­war­tungs­funk­ti­o­nen“, mög­li­cher­wei­se so­gar mit ei­nem im Pro­zes­sor ein­ge­bau­tem Funk­sy­stem, stel­len, die an­de­re Sei­te des Prob­lems dar.

1.4 Anwendungsbeispiele: Geschäftswelt, Internet, Archivierung

Auf die um­fas­sen­den Vo­raus­set­zun­gen für den ge­setz­lich an­er­kann­ten per­so­nen­ge­bun­de­nen Echt­heits­nach­weis, der fast im­mer an die Nut­zung von pro­pri­e­tä­rer Soft- und Hard­ware ge­kop­pelt ist, wird hier nicht näh­er ein­ge­gan­gen. Ab­schnitt [xxx] ent­hält wei­ter­füh­ren­de In­for­ma­ti­ons­quel­len zur so ge­nann­ten qua­li­fi­zier­ten Sig­na­tur.

Die Er­stel­lung kryp­to­gra­phi­scher Prüf­sum­men gibt nicht nur An­halts­punk­te zur Echt­heit und Un­ver­sehrt­heit von Da­tei­en. Sie er­mög­licht auch Emp­fangs­be­stä­ti­gun­gen so­wie ei­ne schrift­li­che Be­stä­ti­gung über den letz­ten Be­ar­bei­tungs­stand ei­ner Da­tei, wie fol­gen­de Bei­spie­le de­mon­strie­ren

1.4.1 Wahrung der Dateiintegrität

Sie er­stel­len ei­ne Ge­schäfts­bi­lanz und ge­hen an­schlie­ßend in den Ur­laub. Zur Qua­li­täts­kon­trol­le no­tie­ren Sie sich vor der Ab­rei­se die kryp­to­gra­phi­sche Prüf­sum­me der fer­tig­ge­stell­ten Bi­lanz­da­tei. Nach dem Ur­laub bil­den Sie er­neut die Prüf­sum­me und ve­ri­fi­zie­ren so, ob die Da­tei un­ver­sehrt ist oder ob sie be­schä­digt oder ma­ni­pu­liert wur­de.

Un­au­to­ri­sier­te Zu­grif­fe, z. B. auf ei­ne Buch­hal­tungs­da­tei, kön­nen auf die­se Wei­se ent­deckt wer­den. Be­nach­rich­ti­gen Sie in sol­chen Fäl­len die Sy­stem­ad­mi­ni­stra­to­ren und be­ste­hen Sie auf ei­ner Wie­der­her­stel­lung der ur­sprüng­li­chen Da­tei­ver­si­on, die na­tür­lich nur dann er­folg­reich ist, wenn die Da­tei wie­der die no­tier­te Prüf­sum­me auf­weist.

Die Da­tei­da­tums­an­gabe und Ver­si­ons­ver­wal­tungs­sy­ste­me sind kein Er­satz für kryp­to­gra­phi­sche Prüf­sum­men, da sich bei­de di­rekt oder in­di­rekt ma­ni­pu­lie­ren las­sen. Spe­zi­a­li­sier­te Pro­gram­me, wie bei­spiels­wei­se die Free­ware „Da­tei-​Datums-​Än­de­rer“, kön­nen so­wohl das Er­stel­lungs- als auch das Än­de­rungs­da­tum von Da­tei­en än­dern, so­gar ver­zeich­nis­weit.

Die Kon­si­stenz­prü­fung über Prüf­sum­men funk­ti­o­niert meist schnel­ler, ef­fek­ti­ver und si­che­rer. Ein se­pa­ra­tes Prüf­sum­men­pro­gramm soll­te da­her im­mer ver­füg­bar sein.

1.4.2 Anhaltspunkt für den Bearbeitungsstand einer Datei

Beim Ver­las­sen ei­ner Fir­ma möch­ten Sie sich den letz­ten Be­ar­bei­tungs­stand ei­ner Com­pu­ter­da­tei schrift­lich be­stä­ti­gen las­sen, Bei­spiel­text: „Be­stä­ti­gung – Hier­mit wird be­stä­tigt, daß die von [Vor­na­me Na­me] ge­pfleg­te Da­tei [Da­tei­name] in ih­rem letz­ten Be­ar­bei­tungs­stand am [Da­tum] die SHA-​512-​Prüf­sum­me [kon­kre­te Prüf­sum­me] auf­weist.

Hier­für emp­feh­len sich zwei oder drei ver­schie­de­ne kryp­to­gra­phi­sche Prüf­sum­men­ver­fah­ren. Das ist lang­fri­stig mög­li­cher­wei­se si­che­rer, ei­nes der Ver­fah­ren hält viel­leicht län­ger durch in der Zu­kunft. Auf die­se Wei­se bleibt das Fir­men­ge­heim­nis ge­wahrt und Sie kön­nen sich trotz­dem bis zu ei­nem ge­wis­sen Grad ab­si­chern. Soll­te es je­mals Rück­fra­gen ge­ben, ha­ben Sie ei­nen schrift­li­chen An­halts­punkt über Ih­ren letz­ten Be­ar­bei­tungs­stand.

1.4.3 Wappnung gegen Wirtschaftskriminalität, Schutz vor Mobbing

Im Rah­men der all­ge­mei­nen Qua­li­täts­kon­trol­le und immer dann, wenn Kor­rup­ti­on, Lü­gen, In­tri­gen, Mob­bing, Sa­bo­ta­ge und Wirt­schafts­kri­mi­na­li­tät wahr­schein­lich wer­den, emp­fiehlt sich zum ei­ge­nen Schutz der Ge­brauch kryp­to­gra­phi­scher Prüf­sum­men, auch vor Prä­sen­ta­ti­ons­ter­mi­nen (Da­tei­ü­ber­prü­fung). Sig­nie­rungs­soft­ware schei­det oft­mals aus, da sie na­tur­ge­mäß mit Ver­schlüs­se­lungs­funk­ti­o­nen ge­kop­pelt ist und des­halb nicht auf je­dem Ar­beits­platz­rech­ner ge­dul­det wird. Fir­men­ge­heim­nis­se könn­ten ver­schlüs­selt nach au­ßen ge­lan­gen bzw. Schad­soft­ware un­ent­deckt nach in­nen. Ein freies Prüf­sum­men­pro­gramm – nicht zu ver­wech­seln mit Free­ware  [3] – kann je­doch ver­ant­wort­lich auf Fir­men­rech­nern in­stal­liert wer­den, wenn dies der Sy­stem­ad­mi­ni­stra­tor für pas­send er­ach­tet.

1.4.4 Dateibezugnahme in Verträgen und Eingangsbestätigungen
1.4.4.1 Verträge und Empfangsbestätigungen

Bei schrift­li­chen Ver­trä­gen und Ein­gangs­be­stä­ti­gun­gen er­leich­tern elek­tro­ni­sche Fin­ger­ab­drücke die Be­zug­nah­me auf Com­pu­ter­da­tei­en. Dateien jedweder Art können eindeutig über ih­ren Hash­wert iden­ti­fi­ziert wer­den z. B. Text­do­ku­men­te, Vi­de­o­fil­me, Ge­sprächs­mit­schnit­te und In­ter­views (all­ge­mein Ton­da­tei­en), Pro­gram­me, CAD- Da­tei­en. Auch er­brach­te Dienst­lei­stun­gen, die ab­schlie­ßend in Form ei­nes Da­ten­trä­gers, z. B. ei­ner ab­zu­lie­fern­den CD-​ROM oder DVD vor­lie­gen, las­sen sich auf die­se Wei­se schrift­lich be­stä­ti­gen.

Auch von Ar­chiv­da­tei­en[4] las­sen sich elek­tro­ni­sche Fin­ger­ab­drücke er­stel­len. Emp­fangs­be­stä­ti­gun­gen bil­den ein brei­tes Ein­satz­ge­biet.

1.4.4.2 Bildlizenzierungen

In bild­ge­stal­ten­den Be­rufs­fel­dern durch­lau­fen Fo­tos bis zur Ver­öf­fent­li­chung vie­le Nach­be­ar­bei­tungs­pha­sen, ei­ne Fest­le­gung auf spe­zi­fi­sche end­gül­ti­ge Da­tei­en ist im Vor­feld mei­stens un­prak­tisch. Re­fe­renz­da­tei­en kön­nen je­doch grund­sätz­li­che kün­stle­ri­sche/bild­ge­stal­te­ri­sche Vor­ga­ben für die Ver­öf­fent­li­chung bzw. lang­fri­sti­ge Ver­wer­tung ver­bind­lich re­geln: Wahl des Bild­aus­schnit­tes, grund­sätz­li­che Kon­trast­ei­gen­schaf­ten, imp­li­zi­tes Ver­bot von (wei­ter­ge­hen­den) „Schön­heits­re­tu­schie­run­gen“ usw. Bild­be­schrei­bun­gen und Mi­ni­a­tur­ab­bil­dun­gen der Ori­gi­na­le wer­den dann samt zu­ge­hö­ri­ger Da­tei­prüf­sum­men im Ver­wer­tungs­ver­trag auf­ge­nom­men. Ver­wen­den Sie hier­bei mög­lichst nur sol­che Datei­for­ma­te, die ent­we­der ganz oh­ne Kom­pri­mie­rung bzw. mit ver­lust­frei­er Kom­pri­mie­rung ar­bei­ten, For­ma­te, die auch Farb­pro­fil­in­for­ma­ti­o­nen spei­chern kön­nen. Be­zug­nah­me auf Re­fe­renz­farb­räu­me setzt na­tür­lich ein or­dent­li­ches Farb­ma­nagement, ei­ne um­fas­sen­de Vor­be­rei­tung des Ge­rä­te­parks vo­raus.

Manch­mal sind ver­bind­lich fer­tig­ge­stal­te­te Bild­da­tei­en mög­lich. Ge­nü­gend Auf­lö­sungs­re­ser­ven für die Grö­ßen­an­pas­sung (Ska­lie­rung) vo­raus­ge­setzt, kön­nen Fo­tos für ei­ne In­ter­net­sei­te in al­len Pa­ra­me­tern exakt fest­ge­legt wer­den. Bei Wahl ei­nes pas­sen­den Stan­dards (z. B. TIFF, JPEG, PNG, GIF) ist ei­ne ho­he Wahr­schein­lich­keit ge­ge­ben, daß die Bil­der auch noch lang­fri­stig von zu­künf­ti­gen Netz­sei­ten­le­se­pro­gram­men an­ge­zeigt wer­den kön­nen.

1.4.5 Telefonisch übermittelter Anhaltspunkt für die Echtheit versandter Dokumente

Dem Emp­fän­ger ei­ner Da­tei oder ei­nes per Brief­post ver­sand­ten Da­ten­trä­gers kann zur Kon­trol­le te­le­fo­nisch die Hash­funk­ti­ons-​Prüf­sum­me mit­ge­teilt wer­den. Das Fäl­schen ei­ner Stim­me ist zwar seit der Ein­füh­rung der Soft­ware „Adobe Voco“[5] we­sent­lich ein­fa­cher ge­wor­den, es bleibt aber im­mer noch auf­wen­dig. Die per­so­nen­ge­bun­de­ne Sig­nie­rung wä­re je­doch kom­for­tab­ler und si­che­rer.

1.4.6 Hashwerte-Veröffentlichung als ersatzweiser Echtheitsnachweis

Man­che Staa­ten er­lau­ben nur ein­ge­schränkt Ver­schlüs­se­lung und Sig­nie­rung (per­so­nen­ge­bun­de­ner elek­tro­ni­scher Echt­heits­nach­weis). Bis zu ei­nem ge­wis­sen Grad kön­nen kryp­to­gra­phi­sche Prüf­sum­men als er­satz­wei­ser Not­be­helf die­nen:

  1. Er­stel­len Sie zu­nächst se­pa­rat die Nach­richt bzw. das Do­ku­ment als Com­pu­ter­da­tei (Text- oder PDF-​Da­tei, Bild, Vi­deo, u. a.). Fü­gen Sie die Da­tei ei­ner E-Mail an und ver­sen­den Sie die Nach­richt.
  2. Ver­öf­fent­li­chen Sie auf ei­ner Netz­sei­te ta­ge­buch­ähn­lich die Hash­codes der ver­sand­ten Do­ku­men­te. Meh­re­re se­ri­ö­se kosten­lo­se (wer­be­fi­nan­zier­te) Web­hoster bie­ten sich da­für an. Auch oh­ne (X)HTML-​Kennt­nis­se las­sen sich In­ter­net­sei­ten er­stel­len, z.船B. mit dem frei­en gra­fi­schen Edi­tor Kom­pozer.
      Al­ter­na­tiv emp­feh­len sich kosten­lo­se Blog­sy­ste­me, die kei­ne tech­ni­schen Ge­stal­tungs­kennt­nis­se vo­raus­set­zen. Ein mög­li­cher kosten­lo­ser Dienst ist Blogger.com, ein wei­te­rer Wordpress.com. Bei­de sind ein­fach und un­komp­li­ziert hand­hab­bar und so­fort be­nutz­bar, Kom­men­tar­funk­ti­o­nen las­sen sich de­ak­ti­viert hal­ten. Ach­ten Sie bei Ih­rer Aus­wahl auf ei­ne SSL-/TLS-​ge­si­cher­te Paß­wort­ü­ber­ga­be beim An­mel­de­vor­gang, Ihr Be­nut­zer­paß­wort soll­te im­mer ver­schlüs­selt über das In­ter­net trans­por­tiert wer­den.
      Aus­führ­li­che Grund­la­gen­in­for­ma­ti­o­nen, auch zu Netz­ta­ge­bü­chern (Blogs), fin­den sich in den Ein­füh­rungs­in­for­ma­ti­o­nen für künf­ti­ge Netz­sei­ten­in­ha­ber.
      Er­stel­len Sie schließ­lich sche­ma­ti­sche Ein­trä­ge, bei­spiels­wei­se in der Form Prüf­sum­men­ver­fah­ren – Da­tei­prüf­sum­me. Mehr In­for­ma­ti­on be­darf es nicht. Bei um­fang­rei­chen täg­li­chen Ein­trä­gen könn­ten Sie op­ti­o­nal noch ei­ne Da­tei­na­mens­ab­kür­zung hin­zu­fü­gen. Aus dem E-Mail­an­hang „An­fra­ge.pdf“ würde dann „A...e.pdf“ oder ein­fach nur „A...e“ wer­den.
  3. Der Emp­fän­ger der Da­tei kann nun ei­nen Hash­wer­te-​Ab­gleich vor­neh­men, in­dem er Ih­re Netz­sei­te bzw. Ih­ren Blog auf­ruft und den zu­ge­hö­ri­gen Hash­code zur sym­bo­lisch an­ge­deu­te­ten Nach­richt liest.
1.4.7 Dokumente mit Hashwerten veröffentlichen

Für die Ver­öf­fent­li­chung von Do­ku­men­ten im In­ter­net oder im In­tra­net (lo­ka­les Fir­men­netz) emp­fiehlt sich die An­ga­be von Hash­wer­ten, even­tu­ell auf ei­ner Un­ter­sei­te, im so ge­nann­ten He­run­ter­la­de- bzw. „Down­load“-​Be­reich. Die Nut­zung ei­nes ge­setz­lich an­er­kann­ten SSL-/TLS-​Zer­ti­fi­ka­tes [6] zur ver­schlüs­sel­ten Über­tra­gung der Prüf­sum­men ver­stärkt die Si­cher­heit. Durch Ab­glei­chen der Hash­wer­te kön­nen sich Nut­zer re­la­tiv si­cher sein, daß von se­ri­ö­sen Quel­len he­run­ter­ge­la­de­ne Do­ku­mente frei von Schad­code (Vi­ren usw.), Ma­ni­pu­la­ti­o­nen und Trans­fer­schä­den sind. Von äu­ße­ren In­stan­zen aus­ge­stell­te Zer­ti­fi­ka­te sind je­doch mög­li­cher­wei­se mit Rest­ri­si­ken ver­bun­den.

1.4.8 Archivierung von Dateien

Bei der Da­tei-​Ar­chi­vie­rung auf CD-ROMs und DVDs emp­fiehlt sich die No­tie­rung des Da­ten­trä­ger-​Hash­codes. Zur Über­prü­fung glei­chen Sie in re­gel­mä­ßi­gen Ab­stän­den den Ist­wert mit dem ur­sprüng­lich no­tier­ten Hash­wert ab. Auf die­se Wei­se kön­nen früh­zei­ti­ge Schä­den er­kannt wer­den. Das re­gel­mä­ßi­ge Um­ko­pie­ren auf neue ar­chi­vie­rungs­spe­zi­a­li­sier­te Da­ten­trä­ger, in re­la­tiv kur­zen Zeit­ab­stän­den, ist mo­men­tan lei­der noch un­um­gäng­lich.

Grund­sätz­li­che In­for­ma­ti­o­nen zu die­sem The­men­komp­lex er­hal­ten Sie im FAQ-​Be­reich der Sei­te Jacksum.net,

1.4.9 Erhöhte Sicherheit bei der Paßwortspeicherung

In der In­for­ma­tik und in der Elek­tro­tech­nik exi­stie­ren zahl­rei­che wei­te­re An­wen­dungs­mög­lich­kei­ten, bei­spiels­wei­se ei­ne Va­ri­an­te der si­cher­heits­er­höh­ten Spei­che­rung von Be­nut­zer­kon­to­da­ten: Ein Klar­text­paß­wort läßt sich auch aus­schließ­lich in Form sei­nes zu­ge­hö­ri­gen Hash­wer­tes spei­chern. Gibt der Nut­zer sein Klar­text­paß­wort er­neut ein, wird der Hash­wert er­neut ge­bil­det und mit dem ge­spei­cher­ten ab­ge­gli­chen. Im Fal­le ei­nes Da­ten­ein­bruchs oder Da­ten­dieb­stahls ge­hen so vor­erst kei­ne Klar­text­paß­wör­ter ver­lo­ren.

Gu­te zeit­ge­mä­ße Streu­wert­funk­ti­o­nen wir­ken wie Ein­weg­funk­ti­o­nen. Sie wei­sen ei­ner Da­tei ei­nen in­di­vi­du­el­len Hash­wert zu. Der um­ge­kehr­te Weg, die Be­rech­nung der Ori­gi­nal­da­tei aus dem Hash­wert, ist je­doch nicht in prak­ti­kab­ler Zeit mög­lich – ge­mäß ge­gen­wär­ti­gem öf­fent­lich be­kann­tem Wis­sens­stand, beim dem die öf­fent­lich ver­füg­ba­ren Ver­fah­ren und Tech­no­lo­gien als Maß­stab zu­grun­de­ge­legt wer­den.

1.4.10 Gesetzlich anerkannte, revisionssichere E-Mail-Archivierung

In man­chen Wirt­schafts­zwei­gen wer­den E-Mails, die zu Ge­schäfts­ab­schlüs­sen/-Auf­trä­gen füh­ren, recht­lich als Han­dels­brie­fe be­trach­tet. Für ih­re Ar­chi­vie­rung rei­chen ein ein­fa­ches Ab­spei­chern oder Aus­drucken nicht mehr aus, statt­des­sen muß re­vi­si­ons­si­cher ar­chi­viert wer­den, auf ei­ne tech­ni­sche Wei­se, die ein nach­träg­li­ches, nicht fest­stell­ba­res un­be­merk­tes Ma­ni­pu­lie­ren der E-Mail-​Da­ten aus­schließt.

Die tech­ni­sche Um­set­zung er­folgt ver­mut­lich bei den mei­sten Pro­gram­men mit Hil­fe von kryp­to­gra­phi­schen Prüf­sum­men. Da­bei wer­den von al­len ein- und aus­ge­hen­den E-Mails elek­tro­ni­sche Fin­ger­ab­drücke er­stellt und in ver­schlüs­sel­ter Form ge­spei­chert. Möch­te z. B. ein Wirt­schafts­prü­fer Ein­blick in ei­ne be­stimm­te E-Mail er­hal­ten, so wird die ge­spei­cher­te E-Mail-​Da­tei in das ent­sprechen­de E-Mail-Ar­chi­vie­rungs­pro­gramm ge­la­den, z. B. von einer CD- ROM. Beim Ein­le­sen wird er­neut die kryp­to­gra­phi­sche Prüf­sum­me der E-Mail- Da­tei ge­bil­det und mit der ur­sprüng­lich ar­chi­vier­ten zu­ge­hö­ri­gen Prüf­sum­me auf Über­ein­stim­mung ver­gli­chen.

Nur ganz be­stimm­te Soft­ware- und/oder Hard­ware­lö­sun­gen von be­stimm­ten Her­stel­lern wer­den im Rah­men der ge­setz­li­chen An­for­de­run­gen recht­lich an­er­kannt. Im Welt­netz sind zahl­rei­che hoch­wer­ti­ge Ein­füh­rungs­ar­ti­kel zu die­sem The­ma er­hält­lich, ver­faßt von spe­zi­a­li­sier­ten Rechts­an­wäl­ten und IT-​Ex­per­ten. Ei­ne klei­ne Aus­wahl:

1.5 Kryptographische Signatur, Netzseiten- und E-Mail-Zertifikate
1.5.1 Kryptographische Signatur und E-Mail-Zertifikate

In der Ver­gan­gen­heit ver­sa­hen Per­so­nen bzw. Äm­ter ih­re Do­ku­men­te mit ei­nem zu­sätz­li­chen Echt­heits­nach­weis, in­dem sie mit Sie­gel­lack bzw. Sie­gel­wachs und Sie­gel­stem­peln komp­lexe Muster auf die Do­ku­men­te auf­tru­gen. Heu­te über­neh­men kryp­to­gra­phi­sche Schlüs­sel bzw. Zer­ti­fi­ka­te die Funk­ti­on des Sie­gel­stem­pels: Für ein Do­ku­ment, z. B. ei­ne E-Mail-​Da­tei, wird mit Hil­fe ei­nes Zer­ti­fi­ka­tes (ei­nes Aus­wei­ses) ein be­glei­ten­der, per­so­nen­ge­bun­de­ner Echt­heits­nach­weis be­rech­net, die so ge­nann­te kryp­to­gra­phi­sche Sig­na­tur. Nach Ein­gang der Nach­richt stellt das E-Mail-​Pro­gramm des Emp­fän­gers (u. a. mit Hil­fe die­ser Sig­na­tur) voll­au­to­ma­tisch fest, ob das Do­ku­ment wirk­lich vom an­ge­ge­be­nen Ver­sen­der (Zer­ti­fi­kats­in­ha­ber/Aus­weis­in­ha­ber) er­stellt wur­de.

E-Mail- und Netz­sei­ten­zer­ti­fi­ka­te ha­ben al­so ei­ne Aus­weis­funk­ti­on, mit der Kor­res­pon­denz­par­tner und In­ter­net­sei­ten ih­re Iden­ti­tät nach­wei­sen kön­nen.

Klas­si­sche Aus­wei­se wer­den von staat­li­chen Be­hör­den aus­ge­stellt. E-Mail- und Netz­sei­ten­zer­ti­fi­ka­te wer­den von so ge­nann­ten Zer­ti­fi­zie­rungs­stel­len aus­ge­stellt (Cer­ti­fi­cation Autho­ri­ties, CAs). Und hier lie­gen die zwei ent­schei­den­den Un­ter­schie­de: Klas­si­sche Aus­wei­se sind un­ter­ei­nan­der al­le gleich­wer­tig und amt­lich an­er­kannt, es gibt nur ei­nen ein­zi­gen Aus­stel­ler, der zu­gleich als Be­glau­bi­gungs­in­sti­tu­ti­on fun­giert: den Staat.

E-Mail und Netz­sei­ten­zer­ti­fi­ka­te hin­ge­gen exi­stie­ren in un­ter­schied­li­chen Gü­te­klas­sen, mit un­ter­schied­li­cher Aus­sa­ge­kraft. Nur Zer­ti­fi­ka­te höch­ster Gü­te­klas­se (Class-3-​E-Mail-​Zer­ti­fi­ka­te bzw. EV-Netz­sei­ten­zer­ti­fi­ka­te), aus­ge­stellt von staat­lich an­er­kann­ten Zer­ti­fi­zie­rungs­stel­len, wer­den recht­lich an­er­kannt.

1.5.2 Netzseitenzertifikate-Branche in der Kritik

Der Ab­ruf von In­ter­net­sei­ten kann in ver­schlüs­sel­ter Form er­fol­gen (https), so daß un­ter dem Ge­setz ste­hen­de Drit­te die In­hal­te der auf­ge­ru­fe­nen Netz­sei­ten so­wie ei­ne even­tu­ell er­folg­te Kor­res­pon­denz (Paß­wort­ü­ber­ga­be, Da­ten­ü­ber­ga­be usw.) nicht mit­le­sen kön­nen. Über dem Ge­setz ste­hen­de In­sti­tu­ti­o­nen (Nach­rich­ten­dien­ste auf höch­ster Ebe­ne) kön­nen ver­mutl­ich al­les mit­le­sen, dies not­falls mit­tels rei­ner Re­chen­kraft ver­wirk­licht (mit für die Öf­fent­lich­keit ge­sperr­ter Com­pu­ter­tech­no­lo­gie). Sieht man von der Mög­lich­keit di­rek­ter oder in­di­rek­ter Hin­ter­tü­ren in Com­pu­ter­sy­ste­men so­wie mög­li­cher in­hä­ren­ter ma­the­ma­ti­scher Schwä­chen in Al­go­rith­men ab, läuft ge­gen­wär­tig letzt­lich al­les auf ei­ne Prim­fak­tor­zer­le­gung hi­naus, was wie­derum ein rei­nes Rechen­kraft­prob­lem dar­stellt. Lesen Sie im Ar­ti­kel „El­lip­ti­sche Kur­ven Ver­schlüs­se­lung” den leicht­ver­ständ­li­chen Ab­schnitt „Was kommt da­nach? Kurz: Wir brau­chen mehr Post Quan­tum Cryp­to.”, um sich mit dem Be­griff „Post-​Quan­tum-​Kryp­to­gra­phie” ver­traut zu ma­chen; Auszug: „[...] Um es noch ein­mal zu be­to­nen: Quan­ten-​Com­pu­ter be­deu­ten das En­de al­ler der­zeit eta­blier­ten Public-​Key-​Ver­fah­ren un­ter an­de­rem für di­gi­ta­le Sig­na­tu­ren und Schlüs­sel­aus­tausch.[...]”

Die ver­schlüs­sel­te Über­tra­gung von In­ter­net­sei­ten er­folgt mit Hil­fe von (Netz­sei­ten)Zer­ti­fi­ka­ten.

Die in­ter­na­ti­o­na­le Netz­sei­ten-​Zer­ti­fi­ka­te­aus­stel­ler-​Branche in ih­rer Ge­samt­heit sieht sich mitt­ler­wei­le schwe­rer Kri­tik aus­ge­setzt. Zum ei­nen, weil es im­mer wie­der vor­kommt, daß ein­zel­ne CAs (Cer­ti­fi­cation Autho­ri­ties) an Un­be­rech­tig­te Zer­ti­fi­ka­te ver­ge­ben, auf­grund man­gel­haf­ter Über­prü­fungs­ver­fah­ren bei der An­trags­stel­lung. Zum an­de­ren auf­grund von er­folg­ten Hacker­ein­brü­chen durch die es Drit­ten zeit­wei­se un­be­merkt ge­lang, sich for­mal an­er­kann­te Zer­ti­fi­ka­te aus­zu­stel­len, für ver­schie­de­ne po­pu­lä­re In­ter­net­sei­ten bzw. für Fir­men. Die Kri­tik läßt sich da­hin­ge­hend zu­sam­men­fas­sen, daß die ge­gen­wär­ti­ge tech­ni­sche Grund­la­ge des Zer­ti­fi­ka­te­sy­stems zu ver­letz­lich ist für sol­che Feh­ler und An­grif­fe, und daß mit ihr nicht ef­fek­tiv und schnell ge­nug Ge­gen­maß­nah­men er­grif­fen wer­den kön­nen. Such­be­grif­fe wie SSL-​GAU, SSL-​De­sa­ster, oder eng­lisch SSL de­bacle füh­ren auf Dis­kus­si­ons­bei­trä­ge und auf wei­ter­füh­ren­de Ar­ti­kel im Welt­netz. Um­fang­rei­che In­for­ma­ti­ons­quel­len: CA/Browser Fo­rum: www.cabforum.org; „The EFF SSL Ob­ser­vatory“: www.eff.org/​observatory.

1.5.3 Die qualifizierte elektronische Signatur in der BRD

Kryp­to­gra­phi­sche Prüf­sum­men sind Be­stand­teil der tech­ni­schen Grund­la­ge des per­so­nen­ge­bun­de­nen Echt­heits­nach­wei­ses zu Do­ku­men­ten, der so ge­nann­ten qua­li­fi­zier­ten (= ge­setz­lich an­er­kann­ten) elek­tro­ni­schen Sig­na­tur so­wie von zahl­rei­chen Ver­fah­ren der Kryp­to­gra­phie im all­ge­mei­nen, d.h. der Ver­schlüs­se­lung von (Nachrichten)Do­ku­men­ten. Die Kennt­nis um ent­sprech­en­de An­lauf­stel­len und In­for­ma­ti­ons­quel­len ist von Vor­teil.

Auf die Fra­ge, ob ei­nem sich ober­fläch­lich als „Staat” be­zeich­nen­den Ver­wal­tungs­ge­bil­de tat­säch­lich ein Staat zu­grun­de­liegt, oder ober es sich le­dig­lich um ein (Be­sat­zungs­macht)Ver­wal­tungs­kon­strukt han­delt, das durch und durch Fir­ma ist und un­ein­ge­schränkt dem Han­dels­recht bzw. dem ma­ri­ti­men Recht un­ter­liegt, wird hier nicht nä­her ein­ge­gan­gen. Statt­des­sen wer­den un­hin­ter­fragt die gän­gi­gen Be­griff­lich­kei­ten und Be­zeich­nun­gen ver­wen­det („Staat”, „staat­lich an­er­kannt” „ge­setz­lich” „ge­setz­lich an­er­kannt”, „amtlich” usw.), auch auf die Gefahr hin, daß die­sen le­dig­lich ei­ne Ca­mou­flage­struk­tur zu­grun­de­lie­gen könn­te.

1.5.3.1 Leitfaden Elektronische Signatur

Der „Leit­fa­den Elekt­ro­ni­sche Sig­na­tur” von Rolf Schmoldt bie­tet ei­ne um­fas­sende Ein­füh­rung in die ge­setz­lich an­er­kann­te elek­tro­ni­sche Sig­na­tur in Deutsch­land.

1.5.3.2 Signaturgesetzrelevante Begriffsbestimmungen in der BRD

Die Netz­sei­te des „Bun­des­mi­ni­ste­ri­ums der Ju­stiz“ zum „Ge­setz über Rah­men­be­din­gun­gen für elek­tro­ni­sche Sig­na­tu­ren und zur Än­de­rung wei­te­rer Vor­schrif­ten” ent­hält Be­griffs­be­stim­mun­gen.

1.5.3.3 Offizielle Netzseite der BRD zur Elektronischen Signatur

Auszüge aus der offiziellen Netzseite, www.bundesnetzagentur.de„Elektronische Ver­trau­ens­dien­ste”:

Qua­li­fi­zier­te elek­tro­ni­sche Sig­na­tur: Was kann die Sig­na­tur lei­s­ten? („Att­ri­bu­te und Be­schrän­kun­gen”, „Da­ten­schutz”, „Mas­sen­ver­fah­ren, Sam­mel­un­ter­schrif­ten, Ar­chi­ve”, „Rechts­­ver­­bind­­l­i­­che Un­­ter­­schrift”, „Zeit­­stem­­pel”) • Was be­nö­tigt man zur Sig­na­tur? („Die Si­g­na­­tur­­kar­­te”, „Kar­­ten­­le­­ser und Soft­­ware”, „Wie sig­nie­ren und Sig­na­tu­ren prü­fen”) • Auf­­ga­­ben der Bun­des­netz­a­gen­tur / Ver­­öf­­fent­l­i­­chun­­gen („Ver­öf­fent­li­chung der Zer­ti­fi­ka­te ak­kre­di­tier­ter An­bie­ter”, „An­er­ken­nung von Prüf- und Be­stä­ti­gungs­stel­len”, „An­bie­ter­in­for­ma­ti­o­nen, Akkreditierung und Aufsicht”, „Fest­le­gung ge­eig­ne­ter Al­go­rith­men”, „Pro­dukt­in­for­ma­ti­o­nen”) • Hin­wei­se und War­nun­gen („FAQ/​Häu­fi­ge Fra­gen”, „Ge­set­ze und Be­stim­mun­gen”)

Be­wer­tungs­stel­len: Kon­for­mi­täts­be­wer­tungs­stel­len nach eIDAS • An­er­ken­nung von Prüf- und Be­stä­ti­gungs­stel­len

Qua­li­fi­zier­te Ver­trau­ens­dien­ste­an­bie­ter”: Qua­­li­­fi­­zier­­te Ver­­trau­­ens­­dien­s­te­an­­bie­­ter für qua­­li­­fi­­zier­­te Zer­­ti­­fi­­k­a­te für elek­tro­ni­sche Sig­na­tu­ren • Qua­li­fi­zier­te Zer­ti­fi­ka­te für elek­tro­ni­sche Sie­gel • Qua­li­fi­zier­te Zeit­stem­pel • Qua­li­fi­zier­te Zu­stel­lung elek­tro­ni­scher Ein­schrei­ben

Identifizierungsverfahren • Vertrauenliste

1.5.4 Zentrale Informationsquellen zur angewandten Kryptographie

Kryptographie auf internationaler Geschäftsebene: Bert-Jaap Koops’ „Cryp­to­graphy Law Survey“ gibt Aus­kunft über die grund­sätz­li­che Ge­set­zes­la­ge zur Kryp­to­gra­phie in den ein­zel­nen Staa­ten bzw. Ver­wal­tungs­kon­struk­ten der Welt. Je­der Ein­trag ist mit ei­ner um­fas­sen­den wei­ter­füh­ren­den Quel­len­samm­lung ver­se­hen: www.cryptolaw.org.

Einführung in grundlegende Begriffe: Die auf Computer- und IT-Sicherheit spezialisierte Netzeite heise Security bietet einen fünf­tei­li­gen Übersichts- bzw. Ein­füh­rungs­ar­ti­kel zu grund­le­gen­den Be­grif­fen der an­ge­wand­ten Kryp­to­gra­phie: 1. „Kryp­to­gra­phie in der IT - Emp­feh­lun­gen zu Ver­schlüs­se­lung und Ver­fah­ren” • 2. „Hashes und MACs” • 3. „Sym­me­tri­sche Ver­schlüs­se­lung” • 4. „Asy­m­me­tri­sche Ver­schlüs­se­lung” • 5. „El­lip­ti­sche Kur­ven Ver­schlüs­se­lung.

Zur Geschichte der Kryptographie: Wi­ki­pe­dia bie­tet aus­führ­li­che In­for­ma­ti­o­nen zur öf­fent­lich be­kann­ten Ge­schich­te der Kryp­to­gra­phie, un­ter an­de­rem: „Ge­schich­te der Kryp­to­gra­phie”, „Hi­sto­ry of cryp­to­graphy”, „Histoire de la cryp­to­lo­gie”.

1.6 Weitere Anwendungsmöglichkeiten

Prüf­sum­men wer­den auch in der Elek­tro­tech­nik schon seit vie­len Jahr­zehn­ten ein­ge­setzt, un­ter an­de­rem zur Ge­währ­lei­stung ei­ner feh­ler­frei­en Da­ten­ü­ber­tra­gung.

1.7 Mißbrauchsmöglichkeiten
1.7.1 Vollautomatische Identifizierung konsumierter Inhalte

Kryp­to­gra­phi­sche Prüf­sum­men las­sen sich auch für frag­wür­di­ge Zwecke ein­set­zen. Der Me­dien­ab­spie­ler ei­nes Soft­ware­her­stel­lers soll in der Ver­gan­gen­heit un­ge­fragt Hash­codes der ab­ge­spiel­ten Da­tei­en ver­sandt ha­ben.

The­o­re­tisch lie­ße sich über ei­nen voll­au­to­ma­ti­schen Ab­gleich mit Da­ten­bank­ta­bel­len fest­stel­len, ob ge­nutz­te In­hal­te li­zen­ziert wur­den und wel­che po­li­ti­schen Fil­me und Ton­da­tei­en sich ein Nut­zer be­vor­zugt an­schaut. In­di­vi­du­el­le Rech­ner könn­ten durch ei­ne Merk­mal­kom­bi­na­ti­on iden­ti­fi­ziert wer­den, und Prüf­sum­men na­tür­lich auch auf Be­triebs­sy­ste­me­be­ne ver­sandt wer­den. Das­sel­be wä­re auch bei pro­pri­e­tä­ren PDF-​Pro­gram­men mög­lich.

Al­ter­na­tiv sind freie PDF-​Be­trach­ter und freie Me­dien­ab­spie­ler, bei­spiels­wei­se der sehr emp­feh­lens­wer­te VLC-​Me­di­a­player er­hält­lich. Ei­ne um­fas­sen­de, größt­mög­li­che Si­cher­heit setzt je­doch im­mer auch ei­ne freie Be­triebs­sy­stem­ba­sis vo­raus.

In der Com­pu­ter­fo­ren­sik so­wie in un­zäh­li­gen wei­te­ren in­for­ma­ti­ons­tech­ni­schen Be­rei­chen ist die Bil­dung bzw. Ab­fra­ge kryp­to­gra­phi­scher Prüf­sum­men all­ge­gen­wär­tig. Ei­ne durch­aus kon­struk­ti­ve An­wen­dung, ins­be­son­de­re auch un­ter dem Aspekt der Be­weis­si­che­rung bei Com­pu­ter­de­lik­ten, wie z. B. nach Netz­werk­ein­brüchen.

In Dik­ta­tu­ren bzw. in be­setz­ten, fremd­be­stimm­ten Län­dern be­steht die Ge­fahr, daß vor Ort oder aus der Ferne „Fest­plat­ten­durch­su­chun­gen“ vor­ge­nom­men wer­den. Durch Hin­ter­tü­ren von Soft­ware- und Hard­ware-​Her­stel­lern kön­nen rou­ti­ne­mä­ßig kryp­to­gra­phi­sche Prüf­sum­men al­ler vor­han­de­nen Fest­plat­ten­da­tei­en er­stellt wer­den und an­schlie­ßend voll­au­to­ma­tisch mit den Prüf­sum­men in­di­zier­ter und zen­sier­ter In­hal­te, wie z. B. po­li­ti­scher Auf­klä­rungs­fil­me, ab­ge­gli­chen wer­den. Auf die­se Wei­se kann schnell und ef­fek­tiv über­prüft wer­den, ob Bür­ger da­zu ten­die­ren, ei­ne ei­ge­ne Mei­nung zu pfle­gen, und ob sie po­li­ti­sche In­hal­te kon­su­mie­ren, die im Wi­der­spruch zu of­fi­ziell ver­kün­de­ten Dog­men ste­hen. Frei­den­ker las­sen sich so leicht aus­fin­dig machen.

Bei ei­nem au­to­ma­ti­sier­ten re­gel­mä­ßi­gem Ver­sand sämt­li­cher Prüf­sum­men der vom Nutzer neu­er­stell­ten so­wie ge­än­der­ten Da­tei­en könn­te auch im nach­hi­nein fest­ge­stellt wer­den, in wel­chem Netz­werk bzw. auf wel­chem Rech­ner ein Do­ku­ment erst­ma­lig er­stellt wur­de.

Die Da­ten­men­ge ist win­zig und, wenn sie zu­sätz­lich ver­schlüs­selt wird, prak­tisch un­ent­zif­fer­bar. Das Än­dern des Da­tei­na­mens än­dert nicht die Prüf­sum­me. Auch an­de­re Merk­ma­le, wie z. B. Hard­ware- und Soft­ware­kon­fi­gu­ra­ti­o­nen (ein­schließ­lich nicht­li­zen­zier­ter Pro­gram­me), las­sen sich ana­ly­sie­ren und voll­au­to­ma­tisch „mel­den“.

Rechts­an­walt Udo Vet­ter er­wähnt in ei­nem Vor­trag vom 23.06.2010 ei­ne von der Po­li­zei ver­wen­de­te Soft­ware für die Fest­plat­ten­durch­su­chung, bei der auch schon ein Fehl­a­larm aus­ge­löst wor­den sein soll. [7]

Es kann nicht aus­ge­schlos­sen wer­den, daß Rech­ner von Re­gime­kri­ti­kern aus der Fer­ne ge­zielt lahm­ge­legt wer­den. Bei­spiels­wei­se reicht be­reits die Fern­in­stal­la­ti­on ei­nes ein­zi­gen per­ma­nent ab Rech­ner­start ar­bei­ten­den Pro­zes­ses, der die ge­sam­te Re­chen­kraft ver­braucht, ein Pro­zeß, der sich mög­li­cher­wei­se über ps -e noch er­ken­nen, je­doch nicht mehr ter­mi­nie­ren läßt (siehe auch pstree). Die In­stal­la­ti­on von funk­ti­o­na­len Pro­gramm­feh­lern stellt ei­ne wei­te­re Mög­lich­keit dar, um die Rech­ner von An­ders­den­ken­den teil­wei­se oder voll­stän­dig lahm­zu­le­gen.

Sa­bo­ta­ge­maß­nah­men könn­ten auch au­to­ma­ti­siert er­fol­gen, wenn Sta­ti­stik­aus­wer­tun­gen im Hin­ter­grund er­ge­ben, daß ein ho­hes Maß an po­li­ti­schen Auf­klä­rungs­fil­men kon­su­miert wird und die „Ge­fahr” der Ver­tei­lung oder des Pub­li­zie­rens kri­tisch-​hin­ter­fra­gen­der Ar­ti­kel be­steht.

1.7.2 Softwareaktivierung und Rechneridentifikation über elektronische Fingerabdrücke

Die Free Soft­ware Foundation (FSF) führt in ei­nem Ar­ti­kel zur Pri­vat­sphäre Com­pu­ter­merk­ma­le auf, über die sich ein Rech­ner ein­deu­tig iden­ti­fi­zie­ren und wie­der­er­ken­nen läßt. Sol­che Kenn­da­ten wer­den höchst­wahr­schein­lich in ei­nem Hash zu­sam­men­ge­faßt und in ei­ner Da­ten­bank ar­chi­viert. Bei man­chen pro­pri­e­tä­ren Pro­duk­ten ist die Soft­ware­ak­ti­vie­rung (Pro­dukt­ak­ti­vie­rung) an die er­mit­tel­te Hard­ware­kon­fi­gu­ra­ti­on ge­kop­pelt. Der Ver­such, die ge­kauf­te Soft­ware gleich­zei­tig auf ei­nem zwei­ten Rech­ner zu in­stal­lie­ren schei­tert dann oft­mals.

1.8 Signierung und Verschlüsselung von Dateien
1.8.1 Realexistierender Schutz mit öffentlich zugelassenen Verschlüsselungsverfahren

Es kann nicht aus­ge­schlos­sen wer­den, daß of­fi­ziell emp­foh­le­ne, zu Stan­dards er­ho­be­ne Kryp­to­gra­phie-​Al­go­rith­men in­hä­ren­te ma­the­ma­ti­sche Schwä­chen auf­wei­sen, um Nach­rich­ten­dien­sten die Ent­schlüs­se­lung zu er­leich­tern. Ver­mut­lich wird wirk­lich fort­ge­schrit­te­ne Com­pu­ter­tech­no­lo­gie der Öf­fent­lich­keit vor­ent­hal­ten bzw. all­ge­mein ge­sperrt ge­hal­ten, um Ge­heim­dien­sten ei­nen Be­rech­nungs­kraft­vor­sprung zu ga­ran­tie­ren. Un­ter die­sem Aspekt und an­ge­sichts der höchst­wahr­schein­lich vor­han­de­nen Ein­fluß­nah­me auf die Fir­men­pro­dukt­ge­stal­tung (Soft­ware- und Hard­ware-Hin­ter­tü­ren­prob­le­ma­tik) ist die Ef­fek­ti­vi­tät der re­al­e­xi­stie­ren­den Ver­schlüs­se­lungs­pra­xis frag­wür­dig; auch dann, wenn durch­gän­gig of­fe­ne, freie IT-​Infra­struk­tur zum Ein­satz kommt.

Kon­se­quent an­ge­wand­te Sig­nie­rung und Ver­schlüs­selung weh­ren je­doch zu­min­dest ei­nen Teil des in­fra­ge­kom­men­den Per­so­nen­krei­ses mög­li­cher Ge­schäfts­an­grei­fer ab und ver­hin­dern ei­nen di­rek­ten Da­ten­zu­griff bei Dieb­stahl und Ver­lust von Da­ten­trä­gern.

Die Komp­lexi­täts­re­du­zierung auf Pro­gramm- und Betriebssystemebene ist ein wei­te­rer zen­tra­ler Faktor. Da­rü­ber­hi­naus kön­nen al­te und sehr al­te Rech­ner, auf de­nen noch ver­al­te­te pro­pri­e­tä­re Be­triebs­sy­ste­me und Pro­gram­me in­stal­liert sind, mit lau­fend ak­tu­a­li­sier­ten spe­zi­a­li­sier­ten leicht­ge­wich­ti­gen frei­en Be­triebs­sy­stem-​Di­stri­bu­ti­o­nen mo­der­ni­siert und si­cher­heits­op­ti­miert wer­den.


2 Freie Prüfsummenprogramme

Aus der gro­ßen Men­ge frei­er gra­fi­scher Prüf­sum­men­pro­gram­me he­ben sich Cyo­Hash und Jacksum her­vor. Jacksum, ver­öf­fent­licht un­ter ei­ner OSI-​zer­ti­fi­zier­ten Freie-​Soft­ware-​Li­zenz, der GPL, ge­listet im FSF-​Ver­zeich­nis und ba­sie­rend auf Ja­va, läuft auf vie­len Be­triebs­sy­stem­platt­for­men (Programmeigenschaften ). Es eig­net sich da­mit auch für he­te­ro­ge­ne IT-​In­fra­struk­tu­ren von Fir­men­netz­wer­ken. Zahl­rei­che in­ter­na­ti­o­nal gän­gi­ge Prüf­sum­men­ver­fah­ren wer­den be­rück­sich­tigt, die Da­tei­ma­na­ger­in­te­gra­ti­on ge­währ­lei­stet ei­ne kom­for­tab­le Be­die­nung.

Jacksum-​Da­tei­ma­na­ger­ver­si­o­nen sind er­hält­lich für GNOME, KDE, ROX und Thu­nar (Unix/BSD, GNU/Linux) so­wie für den Win­dows-​Ex­plo­rer von MS-​Win­dows [7] und den Finder von Apple Mac­intosh. Vom Pro­gramm­au­tor Jo­hann Löffl­mann wird ei­ne Netz­sei­te mit aus­führ­li­chen In­for­ma­ti­o­nen ge­pflegt, Jacksum.net. Vor­schlä­ge zur Pro­gramm­er­wei­te­rung kön­nen ein­ge­reicht wer­den, der Aus­tausch un­ter den Nut­zern wird eben­falls ge­för­dert. 

Cyo­Hash, ei­ne Er­wei­te­rung für den MS-​Win­dows Da­tei­ma­na­ger Ex­plo­rer, bie­tet nur ei­nen Bruch­teil der Al­go­rith­men, un­ter­stützt je­doch eben­falls die zeit­ge­mä­ßen SHA2-​Al­go­rith­men und funk­ti­o­niert auch oh­ne Ja­va.

Un­ter den vie­len platt­form­ü­ber­grei­fen­den Text­mo­dus-​Pro­gram­men für BSD/Unix, GNU/Linux und MS-​Win­dows zeich­net sich sha1sum bzw. shasum aus, das die zeit­ge­mä­ßen SHA-2- und SHA-3-​Al­go­rith­men un­ter­stützt.

RHash, ei­ne eben­falls Kon­so­len­ba­sier­te An­wen­dung, un­ter­stützt die Bil­dung des im ost­eu­ro­pä­i­schen Raum nach wie vor ver­brei­te­ten GOST-​Hashes.

Eine ver­glei­chen­de Über­sicht zu zahl­rei­chen freien und pro­pri­e­tä­ren Prüf­sum­men­pro­gram­men fin­det man im WP-​Ar­ti­kel „Com­pari­son of file ve­ri­fi­cation soft­ware“. Grund­le­gen­de Be­grif­fe und zen­tra­le Ver­wei­se zu frei­er Soft­ware wer­den im Ar­ti­kel „Ein­füh­rung in Freie Soft­ware und Be­triebs­sy­ste­me“ auf­ge­führt.

2.1 Cyohash

Cy­o­hash ist ei­ne freie Da­tei­ma­na­ger­er­wei­te­rung für den MS-​Win­dows-​Ex­plo­rer. La­den Sie sich Cy­o­hash ent­weder über die of­fi­ziel­le Pro­jekt­sei­te, oder über ein re­nom­mier­tes Pro­gram­me­ver­zeich­nis he­run­ter.

2.1.1 Prüfsummenbildung

Zei­gen Sie mit dem Maus­pfeil auf die ent­spre­chen­de Da­tei und klicken auf die rech­te Maus­ta­ste. Im er­schei­nen­den Me­nü drücken Sie auf „Cy­o­hash“ und wäh­len ei­nen Prüf­sum­men-​Al­go­rith­mus, z.B. SHA-256.

Es er­­scheint ein Fen­­ster, das den Da­­tei­­n­a­men mit­­samt dem Ver­­zeich­­nis­­pfad so­wie dem Prüf­sum­men­ver­fah­ren und der kryp­­to­­gra­­phi­­schen Prüf­­sum­­me an­­zeigt, bzw. es er­scheint ei­ne Ta­bel­le, in der die­se Da­ten auf­ge­führt sind. Für je­de ge­bil­de­te Prüf­sum­me er­scheint ein ei­ge­ner Ein­trag.

[Illustration wird noch folgen]

Sie ha­­ben nun die Mög­­lich­­keit, die er­­mit­­tel­­te Prüf­­sum­­me mit ei­­nem Soll­­wert ab­­zu­­glei­­chen. Hier­zu klicken Sie dop­pelt auf den je­wei­li­gen Ta­bel­len­ein­trag, um das zu­ge­hö­ri­ge Fen­ster zu öf­fnen.

Ein An­wen­dungs­bei­spiel: Im Welt­netz an­ge­bo­te­ne Pro­gramm­da­tei­en wer­den fast im­mer zu­sam­men mit ih­ren Prüf­sum­men ver­öf­fent­licht. Nach dem He­run­ter­la­den solch ei­ner aus­füh­ren­den Da­tei, vor­zugs­wei­se von der of­fi­ziel­len Pro­gramm­pro­jekt­sei­te, kopieren Sie die dort ver­öf­fent­lich­te zu­ge­hö­ri­ge kryp­to­gra­phi­sche Prüf­sum­me, fü­gen diese an­schlie­ßend in die un­ten im Pro­gramm­fen­ster er­schei­nen­de Ein­ga­be­zei­le („Validate:“) ein und drücken auf „OK“. Stim­men die Wer­te über­ein, färbt sich die Ein­ga­be­zei­le grün, an­dern­falls rot.

2.1.2 Prüfsummen zu mehreren Dateien bilden

Zei­gen Sie ent­we­der auf ei­nen Ta­bel­len­ein­trag oder auf ei­ne lee­re Ta­bel­len­zei­le und be­tä­ti­gen Sie die rech­te Mausta­ste, um sich wei­te­re Funk­ti­o­nen an­zei­gen zu las­sen.

Sie kön­nen die Prü­fsum­men zu meh­re­ren Da­tei­en gleich­zei­tig bil­den. Wäh­len Sie die Funk­ti­on „Hash File(s)...”. Es öf­fnet sich ein Fen­ster, in dem Sie das ge­wünsch­te Prüf­sum­men­ver­fah­ren wäh­len. An­schlie­ßend drücken Sie auf „Browse...”, wo­rauf­hin sich ein Win­dows-​Ver­zeich­nis­fen­ster öff­net. Wäh­len Sie im ent­sprechen­den Ver­zeich­nis die Da­tei­en aus, hal­ten Sie die STRG-​Taste ge­drückt und drücken die Maustaste, um die ein­zel­nen Da­tei­en mar­kie­ren. Zum Schluß klicken Sie auf „Öff­nen”. Das Win­dows-​Ver­zeich­nis-​Fenster ver­schwin­det da­rauf­hin, im Vor­der­grund er­scheint das Cyo­Hash-​Fen­ster, in dem Sie mit „OK” Ih­re Da­tei-​Aus­wahl be­stä­ti­gen. Im Ta­bel­len­fen­ster wer­den an­schlie­ßend sämt­li­che Prüf­sum­men an­ge­zeigt.

2.2 Jacksum

Jack­sum kann über den Da­tei­manager oder als Kom­man­do­zei­len­pro­gramm auf­ge­ru­fen wer­den. Die Da­tei­manager­ver­si­on setzt kei­ne in­stal­lier­te Kom­man­do­zei­len­ver­si­on vo­raus, sie ar­bei­tet un­ab­hän­gig.

Im fol­gen­den wird die An­wen­dung un­ter GNOME, KDE und MS-Win­dows Ex­plo­rer be­schrie­ben. Auf die In­stal­la­ti­on und Be­nut­zung un­ter ROX, Thu­nar und wei­te­ren so­wie un­ter Apple's Fin­der wird in der of­fi­ziel­len In­stal­la­ti­ons­rub­rik so­wie im of­fi­ziel­len Fra­gen- und Ant­wor­ten-​Be­reich der Jack­sum-​Netz­prä­senz ein­ge­gan­gen.

2.2.1 Installation von Java und Jacksum

2.2.1.1 Installation von Java
In Unix- und unix­ar­ti­gen Be­triebs­sy­stem-Di­stri­bu­ti­o­nen ist Ja­va mei­stens schon ent­hal­ten, in der frei­en Va­ri­an­te OpenJDK. Als MS-​Win­dows-​Be­nut­zer ru­fen Sie ei­ne Such­ma­schi­nen­sei­te auf, zum Bei­spiel Google, und tip­pen „Ja­va“ oder „JRE“ ein, das ist die Kurz­be­zeich­nung für „Ja­va Run­time En­viron­ment“ (Ja­va-​Lauf­zeit­um­ge­bung). Die­ser Schritt ent­fällt, wenn be­reits ei­ne Ja­va-​Lauf­zeit­um­ge­bung vor­han­den ist.

Bei­spiel für ei­ne Ja­va-​In­stal­la­ti­on un­ter MS-​Win­dows:


  1. Ge­hen Sie auf google.de und ge­ben „Ja­va“ ein
  2. An er­ster Stel­le er­schei­nen die Ein­trä­ge des of­fi­ziel­len Ja­va-​Her­stel­lers, da­run­ter „Wie in­stal­lie­re ich Ja­va?” (Sep­tem­ber 2017), für ver­schie­de­ne Be­triebs­sy­stem­platt­for­men. Fol­gen Sie den dor­ti­gen An­wei­sun­gen bzw. al­ter­na­tiv:
  3. Ge­hen Sie zu­rück im (Google-)Me­nü und wäh­len in der Er­geb­nis­li­ste: „Ja­va Run­time En­viron­ment”, um zur of­fi­ziel­len He­run­ter­la­de­sei­te zu ge­lan­gen.

Soll­te vom Ja­va-​Her­stel­ler ei­ne Vor­aus­wahl für die (Mit)In­stal­la­ti­on ei­ner Yahoo-Tool­bar an­ge­bo­ten wer­den, so de­ak­ti­vie­ren Sie das Häk­chen durch drauf­klicken, so daß das An­kreuz­feld leer bleibt (Google-​Su­che für die­se The­ma­tik: Ja­va In­stal­la­ti­on Yahoo Tool­bar). Sol­che Tool­bars kön­nen je­der­zeit auch nach­träg­lich ent­fernt wer­den. Google-​Ar­ti­kel­su­che: Tool­bars de­in­stal­lie­ren.

2.2.1.2 Installation und Anwendung von Jacksum unter MS-Windows

In­stal­la­ti­on und An­wen­dung von Jack­sum wer­den aus­führ­lich in der In­stal­la­ti­ons­rub­rik der of­fi­ziel­len Pro­gramm­sei­te be­schrie­ben so­wie in den dem Jack­sum-​Down­load bei­ge­füg­ten liesmich- bzw. readme.txt-​Da­tei­en.

Wäh­len Sie auf der of­fi­ziel­len Netz­prä­senz, jacksum.net, die Rub­rik „Down­load”. Dort la­den Sie sich, im Be­reich „In­te­gra­ti­on in den Da­tei­brow­ser (op­ti­o­nal)”, die „[...]-​win­dows-​ex­plo­rer-​in­te­gra­ti­on-[...]”-​Datei (Da­tei­na­me va­ri­iert mit der Pro­gramm­ver­si­ons­num­mer) he­run­ter, ei­ne ZIP-​Da­tei. Öf­fnen Sie die­se, di­rekt per Dop­pel­klick oder über Rechts­maus­klick. Öf­fnen Sie den ent­kom­pri­mier­ten Or­dner, le­sen Sie die Da­tei liesmich.txt bzw. star­ten Sie die In­stal­la­ti­on durch Dop­pel­klicken auf die ausführbare Datei „Jack­sum Win­dows Ex­plo­rer In­te­gra­ti­on.exe”. Ein Fen­ster er­scheint mit der Auf­for­derung, al­le Da­tei­en zu ex­tra­hie­ren

[Illustration wird noch folgen]

Ge­hen Sie nun in den voll­stän­dig ex­tra­hier­ten Ord­ner, dort se­hen Sie die .exe-​In­stal­la­ti­ons­da­tei, sym­bo­li­siert durch ei­nen grü­nen Kreis

[Illustration wird noch folgen]

Durch Dop­pel­klicken star­ten Sie die Pro­gramm­in­stal­la­ti­on. Von da an kön­nen Sie über Rechts­klick → „Sen­den an” → [Ver­fah­ren, z.B.: „Jack­sum - 3) Al­le Al­go­rith­men”] kryp­to­gra­phi­sche Prüf­sum­men bil­den. Die Prüf­sum­me(n) er­schei­nen in ei­nem se­pa­ra­ten Text­fen­ster.

[Illustration wird noch folgen]
2.2.2 Anwendung unter KDE Konqueror und KDE Dolphin

Öff­nen Sie den Da­tei­manager. Klicken Sie zum Wäh­len der Da­tei auf die rech­te Maus­taste → „Ak­ti­on“ → „Jack­sum“ → [ge­wünsch­te Funk­ti­on wäh­len].

2.2.3 GNOME Nautilus

Öff­nen Sie den Da­tei­manager. Klicken Sie zum Wäh­len der Da­tei auf die rech­te Maus­taste → „Skrip­te“ → „Jack­sum“ → [ge­wünsch­te Funk­ti­on wäh­len].

Die An­wen­dungs­mög­lich­keiten von Jack­sum sind zahl­reich. Über die Kom­man­do­zei­len­ver­si­on ent­fal­tet sich das gan­ze Po­ten­ti­al die­ser vor­züg­li­chen Soft­ware, ein­schließ­lich der In­ter­ak­ti­on mit an­de­ren Pro­gram­men. Die Be­reit­stel­lung ei­ner of­fe­nen Pro­gramm­schnitt­stel­le (API) för­dert die brei­te Ak­zep­tanz.

2.3 Konsolenbasierte Prüfsummenbildung

Im Text­mo­dus (Kon­so­len­an­wen­dung) las­sen sich kryp­to­gra­phi­sche Prüf­sum­men un­ter je­dem Be­triebs­sy­stem bil­den, prak­tisch al­le Her­stel­ler von pro­pri­e­tä­ren und von frei­en Be­triebs­sy­ste­men bie­ten stan­dard­mä­ßig ent­sprechen­de Pro­gram­me an.

Seit der Ein­füh­rung von Micro­soft’s Win­dows PowerShell kön­nen MS-​Win­dows-​Nut­zer ne­ben den klas­si­schen MS-​DOS-​Be­feh­len (er­wei­tert in cmd.exe) stan­dard­mä­ßig auch grund­le­gen­de Da­tei­o­pe­ra­ti­ons­be­feh­le der BSD/Unix-​Welt nut­zen (Ge­gen­ü­ber­stel­lung). Die GNU core Utils er­mög­li­chen es da­rü­ber­hi­naus, auch wei­te­re Unix-​Stan­dard­pro­gram­me un­ter MS-​Win­dows zu nut­zen (List of Unix commands).

2.3.1 Bordeigene SHA-Algorithmen unter Unix/BSD- und GNU/Linux-Systemen

SHA-​Al­go­rith­men sind stan­dard­mä­ßig auf zahl­rei­chen Unix- und unix­ar­ti­gen Sy­ste­men vor­in­stal­liert, ins­be­son­de­re das weit­ver­brei­te­te, platt­form­un­ab­hän­gi­ge, auch für MS-​Win­dows er­hält­li­che shasum, das ne­ben SHA-2- auch SHA-3-​​Al­­go­­rith­­men un­­ter­­stützt

Öff­nen Sie ei­ne Be­fehls­zei­len­um­ge­bung (Shell), schrei­ben Sie „sha“ und drücken Sie dann die Ta­bu­la­tor­taste für die Be­fehls­zei­len­er­gän­zung, um sich al­le vor­han­de­nen SHA-​Ver­fah­ren an­zei­gen zu las­sen:

> sha
> sha1sum sha224sum sha256sum sha384sum sha512sum shasum
> sha

Ge­hen Sie in das ent­sprechen­de Ver­zeich­nis, wäh­len Sie ein Ver­fah­ren, fü­gen Sie den Na­men der ge­wünsch­ten Da­tei an und drücken Sie die Ein­ga­be­taste. Im fol­gen­den Bei­spiel wird die SHA256-​Prüf­sum­me der Da­tei test.html ge­bil­det:

> sha256sum test.html
> e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855 test.html
>

Der SHA256-​Prüf­sum­men­wert und der Na­me der zu­ge­hö­ri­gen Da­tei wer­den an­ge­zeigt. Imp­le­men­tie­rung und Be­fehls­be­zeich­nun­gen kön­nen va­ri­ie­ren. Prak­tisch al­le Unix- bzw. unix­ar­ti­gen Sy­ste­me und Di­stri­bu­ti­o­nen ver­fü­gen über ent­sprechen­de Vor­in­stal­la­ti­o­nen. Es gibt dut­zend­fach freie Pro­gram­me zur Bil­dung kryp­to­gra­phi­scher Prüf­summ­en, so­wohl gra­fi­sche wie auch text­ba­sier­te, u.a. bei source­forge.net (WP-Artikel).

2.3.2 Textmodusprogramme für die professionelle Computernutzung

Die Nut­zung der Be­fehls­zei­len­um­ge­bung er­mög­licht ein hoch­ef­fek­ti­ves Ar­bei­ten am Com­pu­ter. Man­che An­wen­dun­gen wer­den aus­schließ­lich für den heut­zu­ta­ge meist emu­lier­ten Text­mo­dus ge­schrie­ben, an­de­re bie­ten zu­sätz­lich zur gra­fi­schen auch ei­ne text­ba­sier­te Pro­gramm­schnitt­stel­le.

Text­ba­sier­te Pro­gram­me er­mög­li­chen die ef­fek­tiv­ste Nut­zung von Com­pu­tern. Ei­nen her­vor­ra­gen­den Über­blick bie­tet An­dre­as Poi­sel’s www.automatisch.cc.

Li­nux​-Di­stri­bu­ti­o­nen ent­hal­ten ne­ben den gra­fi­schen „Desk­top­um­ge­bun­gen” und An­wen­dungs­pro­gram­men stan­dard­mä­ßig auch „Text­mo­dus-Soft­ware” Pro­gram­me mit „zei­chen­o­ri­en­tier­ter Be­nut­zer­schnitt­stel­le”, im Eng­li­schen auch „Text-based user in­ter­face” ge­nannt, sind äu­ßerst lei­stungs­fä­hig und ge­hö­ren zu den be­vor­zug­ten Werk­zeu­gen vie­ler An­wen­der, Ad­mi­ni­stra­to­ren, IT-Pro­fis und Wis­sen­schaft­ler.

Netz­sei­ten und emp­foh­le­ne Ar­ti­kel zu Text­mo­dus-Pro­gram­men: „automatisch.cc :: freie Text­mode-Soft­ware”„Web­sei­ten zum The­ma Text­mode” • WP-Ar­ti­kel: „Con­sole app­li­ca­tion”„Text-based (compu­ting)”„Shell (com­pu­ting)”„Kom­man­do­zei­le” • Ei­ne her­vor­ra­gen­de Ein­füh­rung: Floss Ma­nu­al „In­tro­duc­tion to the Com­mand Line” • WP-Artikel: „GNU Screen”„Ter­mi­nal (Com­pu­ter)”.


Endnoten

[1] „Hash-Verfahren SHA-3 als offizieller Standard verabschiedet“, 06. August 2015, heise Security. [zurück]

[2] 02. Februar 2014, Aus­zug der Kurz­in­for­ma­ti­o­nen zu den von RHash un­ter­stütz­ten Ver­fah­ren, „Hash Functions”, Auszug: „GOST is a hash function defined in Russian national standard GOST R 34.11-94. It has two widely used versions with testparameters and CryptoPro ones. It’s relatively slow, but it is used for digital signature in Russian State banks and enterprises. Hash is a hexadecimal string of length 64.“ [zurück]

[3] Der Be­griff „Free­ware“ ist nicht ein­deu­tig de­fi­niert. Er kann sich auf „Freie Soft­ware“ (Pro­gramm­text/Quell­code ist ver­füg­bar, darf mo­di­fi­ziert und ver­brei­tet wer­den) be­zie­hen oder auch nicht. Ten­den­tiell vor­herr­schend be­zeich­net er kosten­los ver­teil­te Soft­ware, de­ren Pro­gramm­text je­doch un­ver­öf­fent­licht bleibt. (zurück)

[4] „Pack­pro­gram­me“ die­nen der Er­stel­lung von Ar­chiv­da­tei­en bzw. Da­tei­ar­chi­ven, kurz „Ar­chiv“ ge­nannt. Sie bie­ten ins­be­son­de­re die Mög­lich­keit, meh­re­re Ein­zel­da­tei­en so­wie ver­schach­tel­te (das heißt Un­ter­ord­ner ent­hal­ten­de) Da­tei­ord­ner zu ei­ner ein­zi­gen Da­tei zu­sam­men­zu­fas­sen. Da­durch kön­nen bei­spiels­wei­se gan­ze Welt­netz­sei­ten und um­fang­rei­che per­sön­li­che Zu­sam­men­stel­lun­gen von Do­ku­men­ten kom­for­ta­bel als ein­zel­ne Da­tei ei­nem E-Brief bei­ge­fügt wer­den, oder auf ei­nen Da­ten­trä­ger ge­brannt wer­den. WP-​Artikel „Pack­pro­gramm“, Pack­pro­gramm­emp­feh­lung „7zip“, Freie Da­ten­komp­res­si­ons­pro­gram­me: Ka­te­go­rie:Freie Da­ten­komp­res­si­ons­soft­ware. [zurück]

[5] Hin­­sicht­­lich der Au­­then­­ti­­zi­­tät ge­­sproche­­ner Spra­­che sei je­dem na­­he­­ge­­legt, im WP-​​Ar­­ti­­kel „Ado­be Vo­co“ die Ab­­schnit­­te „Funk­­ti­­ons­­wei­­se“ und „Kri­tik“ zu le­­sen. [zurück]

[6] Zer­ti­fi­ka­te sind Aus­wei­se für das In­ter­net (Netz­wer­ke all­ge­mein), mei­stens E-Mail- oder Netz­sei­ten­zer­ti­fi­ka­te. Mit ih­nen läßt sich die Da­ten­ü­ber­tra­gung auch ver­schlüs­seln („https://[...]“), wo­durch ein Mit­le­sen für un­ter dem Ge­setz ste­hen­de Men­schen und Or­ga­ni­sa­ti­o­nen re­la­tiv un­mög­lich ist (WP-​Ar­ti­kel: „Di­gi­ta­les Zer­ti­fi­kat“). [zurück]

[7] „Netz­woche Bie­le­feld – Udo Vet­ter – Das über­wach­te Netz“, Ein­stiegs­punkt in der 18. Mi­nu­te, Di­rekt­ver­weis: http://www.youtube.com/watch?v=2eZrWjhQ06w#t=17m59s. Der ge­sam­te Vor­trag ist äu­ßerst auf­schluß­reich hin­sicht­lich der „Qua­li­tät“ der BRD-​„rechts­staat­li­chen“ Er­mitt­lun­gen im In­ter­net- und im IT-​Be­reich. Netz­prä­senz von Udo Vet­ter: www.​lawblog.de. Das Men­schen­rech­te­por­tal Wi­ki­mannia.org pflegt im Per­so­nen-​Por­tal ei­nen Kurz­por­trai­tar­ti­kel zu Udo Vet­ter, mit Netz­ver­wei­sen. [zurück]












Urheberrecht 2008–2018 bei Peter Jockisch, Netzwart@peterjockisch.de
Alle aufgeführten Markennamen, Handelsmarken und Werktitel sind das Eigentum ihrer jeweiligen Besitzer
Rechtliche Hinweise •  Impressum •  Datenschutzerklärung •  Biographische Notizen