»Lange Schlüssel sind sicherer als kurze.« »RSA und/oder AES sind einfach zu implementieren.« »Für Zufallszahlen reicht es, java.util.Random zu nehmen.« Solche oder ähnliche Aussagen hört man immer mal wieder. Doch was ist da dran? Welche Fehler werden bei der Benutzung und Implementierung von Kryptografie gern gemacht?
Kryptografie vermittelt oft den Eindruck, ein mathematisch abgesichertes Verfahren zu sein. Wenn man den Algorithmus wie im Standard implementiert, kann nichts passieren. In der Praxis zeigt sich, dass kryptografische Produkte leicht kaputt gehen. Wenn das passiert, sind die Schäden extrem. Dabei reichen schon einzelne Bits, die falsch gesetzt sind, oder Spezifika der Architektur. Der Vortrag zeigt einige Fehler bei der Benutzung oder Implementierung von Krypto. Die Beispiele rangieren von einfachen oft gemachten Fehlern bis hin zu exotischen. Es soll euch die Augen öffnen, nicht blind einer Implementierung zu vertrauen. Wie immer gilt: »Use the source, luke.« :-)
Speakers: qbi