Die Passphrase

Die Passphrase

Wie Sie oben gesehen haben, ist der private Schlüssel eine der wichtigsten Komponenten im Public-Key Verschlüsselungssystem. Man muss (und darf) ihn zwar nicht mehr auf geheimem Wege mit seinen Korrespondenzpartnern austauschen, aber nach wie vor ist seine Sicherheit der Schlüssel zur Sicherheit des „ganzen“ Systems.

Es ist deswegen eminent wichtig, diesen private Schlüssel sicher abzuspeichern. Dies geschieht auf zweierlei Weise:

Jeder andere Benutzer des Rechners, auf dessen Festplatte dieser Schlüssel gespeichert ist, darf keinen Zugriff auf ihn erhalten - weder zum schreiben noch zum lesen. Es ist deswegen unbedingt zu vermeiden, den Schlüssel in einem öffentlichen Ordner (z.B. c:\Temp oder c:\WINNT) abzulegen. Gpg4win speichert den Schlüssel deswegen im sogenannten „Heimverzeichnis“ („Homedir“) von GnuPG ab. Dies kann sich je nach System an unterschiedlichen Orten befinden; für einen Benutzer mit dem Anmeldenamen „Harry“ könnte es z.B.:
C:\Dokumente und Einstellungen\harry\Anwendungsdaten\gnupg
sein. Der geheime Schlüssel befindet sich dort in eine Datei mit dem Namen secring.gpg.

Dieser Schutz allein ist allerdings nicht ausreichend: Zum einen kann der Administrator des Rechners immer auf alle Dateien zugreifen -- also auch auf Ihren geheimen Schlüssel. Zum anderen könnte der Rechner abhanden kommen oder durch „Malware“ (Viren-, Würmer-, Trojanersoftware) kompromittiert werden.

Ein weiterer Schutz ist deswegen notwendig. Dieser besteht aus einer Passphrase.

Die Passphrase sollte aus einem Satz und nicht nur aus einem Wort bestehen. Sie müssen diese Passphrase wirklich „im Kopf“ haben und niemals aufschreiben müssen.

Trotzdem darf er nicht erraten werden können. Das klingt vielleicht widersprüchlich, ist es aber nicht. Es gibt einige erprobte Tricks, mit deren Hilfe man sich einen völlig individuellen, leicht zu merkenden und nur sehr schwer zu erratende Passphrase ausdenken kann.

Eine gute Passphrase kann so entstehen:

Denken Sie an einen Ihnen gut bekannten Satz, z.B.: Ein blindes Huhn findet auch einmal ein Korn

Aus diesem Satz nehmen Sie zum Beispiel jeden dritten Buchstaben:

nieuf dahn lnr

Diesen Buchstabensalat kann man sich zunächst nicht unbedingt gut merken, aber man kann ihn eigentlich nie vergessen, solange man den ursprünglichen Satz im Kopf hat. Im Laufe der Zeit und je öfter man ihn benutzt, prägt sich so eine Passphrase ins Gedächtnis. Erraten kann ihn niemand.

Denken Sie an ein Ereignis, das sich bereits fest in Ihrem persönlichen Langzeitgedächtnis verankert hat. Vielleicht gibt es einen Satz, mit dem sich Ihr Kind oder Ihr Partner „unvergesslich“ gemacht hat. Oder eine Ferienerinnerung, oder der Titel eines für Sie wichtigen Liedes.

Verwenden Sie kleine und große Buchstaben, Nummern, Sonder- und Leerzeichen durcheinander. Im Prinzip ist alles erlaubt, auch „Ö“, „ß“, „$“ usw.

Aber Vorsicht -- falls Sie Ihren geheimen Schlüssel im Ausland an einem fremden Rechner benutzen wollen, bedenken Sie, dass fremdsprachige Tastaturen diese Sonderzeichen oft nicht haben. Beispielsweise werden Sie kein „ä“ auf einer englischen Tastatur finden.

Machen Sie Rechtschreibfehler, z.B. „feLer“ statt „Fehler“. Natürlich müssen Sie sich diese „feLer“ gut merken können. Oder wechseln Sie mittendrin die Sprache. Aus dem schönen Satz

In München steht ein Hofbräuhaus

könnten man beispielsweise diese Passphrase machen:

inMinschen stet 1h0f breuhome

denken Sie sich einen Satz aus, der möglichst unsinnig ist, den Sie sich aber doch merken können, wie z.B.:

Es blaut so garstig beim Walfang, neben Taschengeld, auch im Winter.

Eine Passphrase in dieser Länge ist ein sicherer Schutz für den geheimen Schlüssel.

Es darf auch kürzer sein, wenn Sie einige Buchstaben groß schreiben, z.B. so:

Es blAut nEBen TaschengeLd auch im WiNter.

Kürzer, aber nicht mehr so leicht merken. Wenn Sie eine noch kürzere Passphrase verwenden, indem Sie hier und da Sonderzeichen benutzen, haben Sie zwar bei der Eingabe weniger zu tippen, aber die Wahrscheinlichkeit, dass Sie Ihre Passphrase vergessen, wird dabei noch größer.

Ein extremes Beispiel für einen möglichst kurzen, aber dennoch sehr sichere Passphrase ist dieses hier:

R!Qw"s,UIb *7\$

In der Praxis haben sich solche Zeichenfolgen allerdings als recht wenig brauchbar herausgestellt, da man einfach zu wenig Anhaltspunkte für die Erinnerung hat.

Eine schlechte Passphrase ist blitzschnell geknackt, wenn er:

schon für einen anderen Zweck benutzt wird; z.B. für einen E-Mail-Account oder Ihr Handy
aus einem Wörterbuch stammt. Cracker lassen in Minutenschnelle komplette Wörterbücher elektronisch über eine Passphrase laufen.
aus einem Geburtsdatum oder einem Namen besteht. Wer sich die Mühe macht, Ihre E-Mail zu entziffern, kann auch ganz leicht an diese Daten herankommen.
ein landläufiges Zitat ist wie „das wird böse enden“ oder „to be or not to be“. Auch mit derartigen gängigen Zitaten testen Cracker routinemäßig und blitzschnell eine Passphrase.
aus nur einem Wort oder aus weniger als 8 Zeichen besteht. Denken Sie sich eine längere Passphrase aus.

Wenn Sie nun Ihre Passphrase zusammenstellen, nehmen Sie auf gar keinen Fall eines der oben angeführten Beispiele. Denn es liegt auf der Hand, dass jemand, der sich ernsthaft darum bemüht, Ihre Passphrase herauszubekommen, zuerst ausprobieren würde, ob Sie nicht eines dieser Beispiele genommen haben, falls er auch diese Informationen gelesen hat.

Seien Sie kreativ. Denken Sie sich jetzt eine Passphrase aus. Unvergesslich und unknackbar.

Lesen Sie dann im Handbuch „Gpg4win für Einsteiger“, Kapitel 4 („Sie erzeugen Ihre Schlüsselpaar“) weiter.

Die Passphrase

Inhalt