Grundsätzlich sollte ein Paßwort länger als sechs Zeichen sein – die Paßwortlänge steht in direktem Zusammenhang mit seiner Zweckmäßigkeit. Man sollte darauf achten, daß innerhalb des Paßwortes mindestens einmal ein Großbuchstabe, ein Kleinbuchstabe, ein Sonderzeichen sowie eine Ziffer vorkommt. Auch das Benutzen von Sinn-machenden Wörtern ist nicht ratsam – mit Hilfe eines Wörterbuches läßt sich solch ein Paßwort wesentlich schneller knacken. Selbiges gilt auch für Namen – selbst bei "Spitznamen" ist Vorsicht geboten, sofern es nicht auszuschließen ist, daß letzterer nirgendwo sonst frei lesbar im eigenen Verzeichnis steht.
Will man unbedingt seine Paßwörter, sofern man mehrere benutzt, auf dem Computer speichern, so empfiehlt es sich, diese zu unterteilen und in mehreren Dateien, die wiederum durch Paßwörter geschützt sind, aufzubewahren. Die sicherste Methode, seine Paßwörter zu verstauen, ist mit Sicherheit nicht mit Hilfe des Computers: ein gewisses Restrisiko ist bei einem Computer immer vorhanden. Wenn es um absolute Sicherheit geht, ist nach wie vor ein versiegelter Umschlag in einem Tresor die beste Lösung. Der Idealfall besteht natürlich darin, überhaupt nirgends seine Paßwörter niederzuschreiben. Mit geschickten Eselsbrücken läßt sich so etwas auch bei einem schlechten Gedächtnis verwirklichen.
Das Paßwort "im<adP?" läßt sich z.B. als die Frage
"Ist Max kleiner als der große Peter?" darstellen, wobei das Wort kleiner für das Kleiner-Zeichen steht und das Wort "große" vor Peter darauf hindeutet, daß der darauf folgende Buchstabe groß zu schreiben ist.
Da der Browser immer einen gewissen, Unsicherheitsfaktor bei der Benutzung des Internets darstellt, sollte man auch als sicherheitsbewußter User mit der Auswahl selbigens beschaeftigen. Ganz allgemein ist zu einem sehr verbreiteten Browser zu raten, da solche Browser mehr im öffentlichen Licht stehen und deshalb auch intensiver auf Sicherheitslücken geprüft werden. Bei sehr verbreiteten Browsern ist die Motivation, Fehler in puncto Sicherheit zu finden von Seiten führender Computerzeitschriften, sowie von einzelnen Computerspezialisten größer. Bei der Versionsnummer des Browsers sollte man sowohl nicht zu alte als auch nicht gerade erst erschienene Programme benutzen. Die neuen Versionen haben zwar den Vorteil, daß inzwischen aufgetretene Sicherheitslücken behoben sind, schließen jedoch nicht aus, daß mit ihnen neue, womöglich noch größere Sicherheitslücken augetreten sind. Hierbei ist besonders vor Beta-Release-Versionen zu warnen, die von den Software-Herstellern schon vorzeitig im Netz zur Verfügung gestellt werden. Software-Hersteller stellen Beta-Release-Versionen ganau aus diesem Zweck ins Netz: Jeder Nutzer solch einer Software dient ihnen als kostenlose Testperson. Die zur Zeit am weitesten verbreiteten Browser kommen von Netscape und Microsoft.
Will man Dateien mit seinen Paßwörtern oder irgendwelche anderen wichtigen Dokumente auf dem Netzwerk-Rechner verwahren, so ist es oftmals mit den vom Betriebssystem gestellten Zugriffs-Schutz-Methoden nicht getan. Bei sehr wichtigen Dateien weare vielmehr eine verschlüsselte Abspeicherung angebracht. Ein Programm, das diese Aufgabe erfüllt, ist PGP – außerdem ist es für die meisten Systeme erhältlich. Bei UNIX-Rechnern gibt es außerdem das crypt-Programm, welches ebenfalls in der Lage ist, Dateien verschlüsselt auf einem Datenträger abzulegen und erst gegen Eingabe eines zuvor vereinbarten Paßwortes wieder zu entschlüsseln. Zum Knacken eines Paßwortes ist sehr viel Rechenaufwand notwendig – beim verschlüsselten Ablegen von Dateien ist also durch wenig Aufwand eine enorm hohe Datensicherheit gewährleistet. Wegen der ständig steigenden Rechnerleistung muß jedoch auch berücksichtigt werden, daß die benutzten Paßwörter immer ein wenig unsicherer werden bzw. immer längere Paßwörter vonnöten sind.
Es gibt mittlerweile keine Software mehr, die nicht irgendwelche Fehler enthält. Daß solche Bugs im Zusammenhang mit der Nutzung von Netzwerken Sicherheitslücken hervorbringen, liegt nahe. Es ist bekannt, daß JavaScript und ActiveX ein großes Sicherheitsrisiko darstellen, daß jedoch auch Java wegen eines Bugs ebenfalls nicht 100-prozentig sicher ist(vorausgesetzt es gibt überhaupt 100-prozentige Sicherheit), wurde erst seit neuerem bekannt. Um absolut auf Nummer sicher zu gehen, lassen sich all diese Komponenten innerhalb des Browser-Menüs deaktivieren. Eine Sicherheitslücke ganz kurioser Art ist bei Sun-Rechnern aufgetreten: es gibt Sun-Rechner, die ihre eingebauten Boxen auch als Mikrofon benutzen können. Duch spezielle Programme ist es möglich, diese Mikrofone übers Netz anzuzapfen, ohne daß der Benutzer etwas davon bemerkt. Dadurch können nicht nur irgendwelche Selbstgespräche des Benutzers, sondern auch alle Gespräche, die in der Näheren Umgebung des Rechners geführt werden abgehört werden.
Sobald man am Computer eingeloggt ist, sind für andere die User-Daten zugänglich. Mit dem finger-Befehl ist es für sie möglich, zumindest den Namen herauszufinden. In der .plan-Datei können die Informationen, die beim finger-Befehl angezeigt werden, gesetzt werden. In dieser .plan-Datei sollten natürlich keine zu persönlichen Daten reingeschrieben werden – Dies würde einem Zettel an der eigenen Haustür entsprechen, den jeder lesen könnte. Wer darin stehen hat, was für ein tolles Auto er besitzt und zusätzlich noch die Adresse, braucht sich nicht zu wundern, wenn selbiges mal fehlen sollte.
Anonymität ist oftmals auch bei der e-mail-Adresse erwünscht. Es gibt im Internet bestimmte Mail-Adressen, die bei einer entsprechenden Anfrage eine zufällig generierte Adresse zurückschicken. Alle Mails, die man dann über diese Adresse erhält, werden über eine Zwischenstelle geleitet, die dann erst die Zufallsadresse durch die richtige Adresse ersetzt. Dieser Vorgang ist in etwa vergleichbar mit dem Chiffre Verfahren der konventionellen Anzeigenblätter.
Bei ftp-Sitzungen kann man durch schlichte Namensänderung ebenfalls anonym bleiben.
Nicht jeder Browser benutzt eine ausreichend große Schlüssellänge. Die Werte können zwischen 40 Bit im schlechtesten Fall und 128 Bit im so ziemlich besten Fall liegen. Eine Schlüssellänge von 40 Bit ist bei weitem nicht mehr Stand der Technik. Die Prüfung, ob nun ein Browser eine unsichere Schlüssellänge benutzt, kann man ganz einfach auf der Seite
www.c2.net durchführen. Zeigt diese Seite eine Warnung an, so ist ein anderer Browser bzw. die Anwendung eines "Tuning-Programms" zu empfehlen.
Zwar zeigt, das URL-Feld beim surfen immer die Adresse der Seite an, auf der man sich gerade befindet, die Garantie, ob sich nun auch wirklich genau das dahinter versteckt, was die Seite vorgibt, hat man jedoch nicht. Ebenso gut könnte es sich um eine perfekte Kopie der Seite mit gefälschter Adresse handeln. So können sich irgendwelche Bösewichte das Vertrauen des Benutzers einheimschen. Allzu großartige Gegenmaßnahmen kann man in diesem Fall nur begrenzt unternehmen. So sollte man nicht bei irgendwelchen Kleinanzeigen-Markten etc. nicht sein eigenes Login-Passwort verwenden, da es sich ja um eine unseriöse Seite handeln könnte, die nun mit diesem Passwort versuchen kann, Daten des Users damit zu klauen.
Auch wenn der User nicht sein eigenes Paßwort benutzt, so kann ein Betreiber einer unseriösen Seite zumindest die Paßwortgewohnheiten aus dem Paßwort durch bloses Ansehen erreichen. Benutzt der User als Kleinanzeigen Passwort z.B. das Wort 7Esel#, so kann sich der Paßwortknacker nach der Formel "Zahl-Wort aus dem Wörterbuch-Sonderzeichen" an dem wichtigeren Paßwort für die privaten Dateien des Users versuchen. Das Paßwort nach dieser Struktur zu kancken würde gerade mal noch dem Problem des Knackens eines Paßwortes der Länge 4 entsprechen was nach heutigem Stand der Technik kein all zu großes Problem mehr darstellt. In Zukunft ist auch nicht auszuschließen, daß solche Paßwörter mit einem KI-System automatisch unterucht werden.
Der beste Schutz bei Problemen solcher Art ist das vermeiden jeglicher Gewohnheiten beim Erstellen von Paßwörtern.
Trojanische Pferde sind mit Sicherheit die eleganteste Methode, Daten zu klauen. Es handelt sich dabei um Programme, die sozusagen eine falsche Identität vortäuschen. Um genauer zu sein, verhalten sich colche Programme sogar genau so, wie ihre gutartigen Pendants, jedoch schnüffeln sie außerdem auf dem Rechner rum. Da diese Programme alle Rechte haben, die der Nutzer auch hat, ist dadurch jedes beliebige Delikt möglich. Solche Programme z.B. bemühen sich gar nicht erst darum, die Verschlüsselung einer Datei zu knacken, sondern schicken sie im noch unverschlüsselten Zustand gleich an die Adresse des Spions. Ein anderes trojanisches Pferd wäre z.B. auch ein vermeintlicher Tastaturtreiber, der in der Lage ist, wirklich jeden Tastendruck direkt von der Tastatur abzufangen, womit jedes auch noch so gute Paßwort schon in seiner Entstehungszeit dem Autor des trojanischen Pferdes bekannt gemacht werden könnte. Es ist also beim Download von Software, deren Herkunft nicht eindeutig auszumachen ist aufzupassen, wobei dies leichter gesagt als getan ist, da ein solcher Autor womöglich auch unter einem gefälschten Markennamen im Netz seine Programme anbietet.
Eigentlich ist es ja egal, ob man nun ein internes oder ein externes Modem besitzt. Betrachtet man die Kaufentscheidung für einen Modem-Typ jedoch unter dem Datenschutz-Aspekt, so muß man sagen, daß externe Modems doch ein wenig sicherer sind: Sofern sie in direkter Nähe des Rechners stehen, kann man sie während eines Wählvorgangs, bei dessen Sinn Zweifel auftauchen, schnell mechanisch abschalten. Bei einem internen Modem erfolgt ein Verbindungsaufbau viel unauffälliger. Versucht z.B. ein Trojaner, das gerade aufgespürte Paßwort zu übertragen, so kann man dies durch Betätigung des Power-Schalters schnell unterbrechen, wohingegen die gleiche Aktion bei einem internen Modem via Mausklick oder Tastatureingabe schon zu spät erfolgen kann. Schließlich sind der Reset-Knopf am Rechner oder das Rausreißen des Telefonkabels noch viel unelegantere Methoden, um eine Verbindung zu unterbrechen.
Was man auf jeden Fall schon jetzt im Hinblick auf die Zukunft sagen kann, ist, daß der Zufallsgenerator, der für das erstellen von Schlüsseln mitverantwortlich ist, eine immer größere Sicherheitslücke werden wird. Alle bis jetzt erzeugten Zufallszahlen sind mehr oder weniger Pseudo-Zufallszahlen. Ist einem Cracker die Methode für die Erstellung solcher Zufallszahlen bekannt, nützt der ganze Schlüssel nichts. Schon jetzt gibt es Hardware-Zufallsgeneratoren, zu denen allerdings leider noch die nötige Software in entsprechender Vielfalt fehlt. In Zukunft wird es jedoch unumgänglich sein, solche Methoden zu benutzen.
Steganographie beruht auf einem alten Prinzip: man stellt einen Tresor eben nicht in die Mitte des Raumes, (obwohl er als sicher gilt), sondern man versteckt ihn hinter einem Bild, so daß die Meisten Diebe gleich gar nicht wissen, wo sich das zu schützende Hab und Gut befindet. Auch beim Schützen des Inhalts wichtiger Nachrichten benutzt man Bilder, um selbige zu tarnen: Anstelle einer Nachricht in irgendeinem Text-Format, verschickt man ein Bild, das auf den ersten Blick gar nicht wie eine Text-Nachricht aussieht. So kann sich dann an einer zuvor definierten Stelle eine Nachricht befinden, die durch verschiedene Farbtöne dargestellt werden kann. Dazu wählt man zwei dem Hintergrund sehr ähnliche Farben, die sich nur durch Nuancen unterscheiden. Sowohl optisch als auch beim ansehen der Farbwerte in einem Text-Editor fällt diese Technik kaum auf.
Zu beachten bei der verbreitetsten Methode der Steganographie ist, daß man nicht ein allgegenwärtiges Bild verwendet, das überall im Netz erhältlich ist. Beim Vergleich mit dem Original fliegt ein Steganographie-Bild sofort auf. Ideal für solche Zwecke eignet sich ein selbst eingescanntes Bild, auf das man natürlich beim Aufbewahren im Computer auch besonderen Wert legen muß. Selbiges gilt auch für Audio-Dateien.
Um die Leistungsfähigkeit der Steganographie zu verdeutlichen, folgen hier noch ein paar typische Beispielwerte: Bei einem Bild mit einer Auflösung von 640 * 480 Pixeln und 256 Farben ergibt sich ein Speicheraufwand von grob 300Kbyte. Verändert man nun für jedes Byte das am wenigsten empfindliche Bit, also genau den Farbwert, der sich am wenigsten ändert, so ist ein maximales Fassungsvermögen von etwa 38Kbyte machbar.
Doch Steganographie gibt es nicht nur bei Bildern: neben dem Verstecken von Botschaften in Bildern gibt es da noch Steganographie mit Text, Audio-Dateien sowie auch Video-Dateien.
Steganographie mit Text ist wohl die unsicherste und waohl auch die skurilste Art der Steganographie. So gibt es mehrere recht originelle Verfahren, um wichtige Texte in unscheinbaren Texten zu verstecken. Auf DOS-Ebene gibt es schon seit langem die Möglichkeit, innerhalb eines "harmlosen Textes" mit Hilfe von verschiedenen Leerzeichen geheime Botschaften zu verstecken. Allerdings setzt dies das Glück voraus, keinen Angreifer zu erwischen, der einen Text-Editor benutzt, der auch Leerzeichen grafisch darstellt
Eine weitere Methode ist das Codieren der Nachricht mit Hilfe von Spaces und Tabs als Repräsentanten von 0 und 1. Diese Space-Tab-Folge wird an das Ende einer unscheinbaren Nachricht angehängt. Diese Methode funktioniert allerdings nur bei kürzeren Nachrichten, da eine all zu große Datei bei recht wenig Text sehr schnell auffällt.
Eine recht witzige Art der Steganographie stellt ein Programm dar, das einen beliebigen ASCII-Text in englische Wörter umsetzt, die sich zusammengesetzt wie ein schlechtes Gedicht lesen. Obwohl diese Art bei längerem Text bzw. beim Versenden mehrerer Mails natürlich auffliegt, hat dieses Programm scheinbar schon recht gute Dienste erwiesen.
12.2.2 Steganographie mit Video-Dateien
Die momentan sicherste Möglichkeit, Steganographie anzuwenden, stellt die Benutzung von Video-Squenzen dar, auch dirket mit Kamera aufgenommene Daten können während der Übertragen eine zweite, versteckte Bedeutung erhalten. Dabei wird eine Farbe (eine der Farben RGB) pro Bild verschoben – oder eben nicht.
Wie bei Bilddateien ist es auch möglich, Audio-Dateien mit einer versteckten Nachricht zu versehen. Dabei werden die Bits in regelmäßigen Abständen gesetzt, was durch eine leichte Verschiebung der Töne erreicht wird. Allerdings ist zu beachten, daß das menschliche Ohr sehr viel empfindlicher ist im Vergleich zum Auge. Diese Methode hat allerdings den Vorteil, daß die Länge der versteckten Nachricht nicht durch das Bildformat begrenzt ist.
Geht es einer Firma darum, Persönlichkeitsprofile einer Person anzulegen, so wird sie sicherlich auch die Möglichkeit wahrnehmen, die ganzen Online-Kleinanzeigen-Märkte nach Name, Adresse oder Telefonnummer dieser Person zu durchforsten. Persönliche Neigungen sowie Sozialer Stand der Person sind nur zwei von vielen Aspekten, die sich auf diese Weise rückschließen lassen. Diese Möglichkeit kann man bei einigen wenigen Kleinanzeigenmärkten leicht umgehen: sie bieten z.T. sogar kostenlos eine Chiffre-Nummer an, wie man es von konventionellen Kleinanzeigemärkten gewohnt ist. Solch ein Anbieter findet man unter der Adresse www.webmarkt.de . Ein Arbeitgeber, der z.B. Daten von seinen Mitarbeitern sammeln will müßte nun um an solch eine Chiffre-Nummer zu kommen einen so enormen Aufwand aufbringen, daß es sich nicht mehr mit dem daraus ergebenden Nutzen rechnen würde. Schließlich wäre es erforderlich, in den Computer des Kleinanzeigenanbieters einzubrechen, dort die Chiffre-Datei auszulesen und nachzuprüfen, ob der Name des Mitarbeiters darin vorkommt – zumahl die Wahrscheinlichkeit sehr klein ist, daß der Mitarbeiter ausgerechnet in diesem Kleinanzeigenmarkt eine Anonce aufgegeben hat.
Die einfachste Art des Spoofings ist es, sich innerhalb einer Mail als System-Administrator auszugeben. Schon sehr oft ist es passiert, daß auf diese Weise Paßwörter geklaut wurden: es wird einfach ein technischer Defekt vorgetäuscht indem dem User plausibel gemacht wird, daß man unbedingt zu Reperatur-Zwechen sein Paßwort benötigt. Der System-Administrator hat jedoch grundsätzlich nie nach dem Paßwort zu fragen, es gibt keinen technischen Defekt, für dessen Behebung ein System-Administator das Paßwort eines Users benötigen würde.
Viele Leute glauben, daß PGP ein Verschlüsselungsalgorithmus ist, doch dies ist falsch. PGP setzt eine Ebene drüber an: PGP benutzt verschiedene Algorithmen, um eine E-mail, oder aber auch jede andere Datei auf optimale Art und Weise zu verschlüsseln. So wird zum Beispiel eine E-mail zuerst mit IDEA verschlüsselt und lediglich der daraus entstehende Schlüssel mit RAS. PGP führt also selbstständig einen Ganzen Verschlüsselungsablauf durch, so daß der Benutzer ganz bequem nur noch den Start-Befehl erteilen muß. Dieses Plus hat sicher auch dazu beigetragen, daß man PGP nun als quasi-Standard ansehen kann.