Quelloffene Verschlüsselung Open Source geht nicht zu Lasten der Sicherheit

Open Source steht für ein Modell der Software-Entwicklung, das neben einer Anwendung auch deren Quelltext veröffentlicht. Bei einer Verschlüsselungssoftware scheint das auf den ersten Blick nachteilig, hat aber tatsächlich einige Vorteile.

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

SEPPmail - Deutschland GmbH

Cohesity GmbH

Beim Thema Open-Source-Verschlüsselung sollten zunächst ein paar Grundlagen geklärt werden, um naheliegende Trugschlüsse zu vermeiden. Der entscheidende Faktor für die Sicherheit einer Verschlüsselung ist der zugrunde liegende Algorithmus – die Rechenvorschrift, mit der ein verschlüsselter Text aus einem Ursprungsdokument erstellt wird und später der Klartext zurückgewonnen wird.

Die erste wichtige Erkenntnis ist hierbei, dass die Stärke der Verschlüsselung nicht davon abhängt, wie geheim der Algorithmus gehalten wird. Im Gegenteil, einige der stärksten bekannten Verschlüsselungsalgorithmen sind vollständig veröffentlicht und für jedermann zugänglich.

Selbst patentierte Algorithmen sind generell nicht geheim, denn das Patent ist ebenfalls eine Art der Veröffentlichung, die aber dem Inhaber die Verwertungsrechte auf eine bestimmte Zeit sichert. Dass Quelltext und Verschlüsselungsalgorithmus bei einer Open-Source-Verschlüsselung für jeden einsehbar sind, beeinträchtigt also nicht ihre Stärke. Was macht eine Verschlüsselung sicher, wenn nicht die Geheimhaltung?

Geheimhaltung an der richtigen Stelle

Im Englischen heißt es: „There is no security by obscurity”. Das bedeutet in der Praxis, eine Verschlüsselung, die sich allein auf Unkenntlichkeit verlässt, ist wenig wirksam. Wenn Sie zum Beispiel an Ihrer Haustür einen Türöffner anbringen, der von außen nicht zu erkennen ist, dann ist Ihr Haus zunächst sicher. Sobald aber jemand den Zugangsmechanismus entdeckt, beispielsweise weil er Sie beobachtet, wie Sie ihn benutzen, kommt er genauso schnell ins Haus wie Sie.

Im Gegensatz dazu ist ein normales Türschloss von außen eindeutig erkennbar, es lässt sich aber ohne Aufwand nur mit dem passenden Schlüssel öffnen. Die Sicherheit hängt also davon ab, wie gut Sie Ihren Schlüssel verwahren, und davon, wie aufwändig das Öffnen ohne passenden Schlüssel ist.

Hieran wird deutlich, dass Geheimhaltung an sich noch keine gute Sicherung bedeutet, aber ein gewisses Geheimnis für die Sicherheit trotzdem notwendig ist. Für die Qualität einer Verschlüsselung ist entscheidend, an welcher Stelle.

Bedeutende Vorteile und Nachteile der Open Source Verschlüsselung

Wesentliche Vorteile der Open Source Verschlüsselung lassen sich gut am praktischen Beispiel der Verschlüsselungssoftware TrueCrypt erläutern. Die beliebte Software wird seit 2014 nicht mehr weiter entwickelt und die letzte Version 1.2 dient nur dem Umstieg auf andere Programme. Da der Quelltext von TrueCrypt aber als Open Source veröffentlicht ist, konnten andere Entwickler auf dem letzten voll funktionalen Stand aufbauen und eigene, verbesserte Programme erstellen.

Auf diese Weise ist zum Beispiel VeraCrypt entstanden. Da die Software auf derselben Code-Basis aufbaut, kann sie mit TrueCrypt verschlüsselte, sogenannte Container lesen und meist auch schreiben. Jüngst wurde ein Step by Step Tutorial zur Verschlüsselung der Daten mit VeraCrypt veröffentlicht.

Eine solche Kompatibilität wäre bei Closed-Source-Produkten, wenn überhaupt, nur mit großem Aufwand möglich. Ein wichtiger Vorteil der Open Source Verschlüsselung ist also, dass Sie sich nicht auf einen bestimmten Anbieter festlegen. Das betrifft auch ein ähnlich gelagertes Problem, das bei einer Aktualisierung Ihres Betriebssystems auftritt.

Da sich in einem solchen Fall im Allgemeinen die Schnittstellen ändern, über die Anwendungsprogramme auf Systemressourcen zugreifen können, müssen diese in der Regel ebenfalls aktualisiert werden. Bei einem Closed Source Programm kann das nur der Hersteller. Eine Open Source Verschlüsselung kann im Prinzip jeder neu kompilieren, es ist höchstens etwas Fachkenntnis notwendig, wenn das nicht auf Anhieb funktioniert.

Eine Eigenschaft von Open-Source-Verschlüsselung, die sowohl vorteilhaft als auch nachteilig sein kann, ist, dass Fehler im öffentlich zugänglichen Code leichter entdeckt werden können. Das erleichtert Black Hats die Suche nach Schwachstellen, erhöht aber auch die Wahrscheinlichkeit, dass White Hats unter den Hackern die Fehler aufdecken und diese umgehend beseitigt werden. Dass so etwas nicht immer wie gewünscht funktioniert, hat zugegebenermaßen der Heartbleed Bug bei OpenSSL gezeigt.

Fazit

Da die wichtigen Verschlüsselungsalgorithmen ohnehin veröffentlicht sind ist eine Open Source Verschlüsselung mindestens so sicher wie eine Closed Source Variante. Vorteile ergeben sich aus der fehlenden Abhängigkeit von einzelnen Anbietern und einer erhöhten Wahrscheinlichkeit, dass Fehler gefunden und schnell beseitigt werden. Im Hinblick darauf ist es vorteilhaft, eine möglichst beliebte Open Source Verschlüsselung einzusetzen, sodass allgemein ein großes Interesse an der Pflege und Weiterentwicklung der Software besteht.

(ID:43880994)