Technologie
CryptoCult und alle angebotene Produkte nutzen in absoluten Zahlen geprüfte Verschlüsselungsmechanismen. Die Kommunikation erfolgt über das Internet in einer sicheren verschlüsselten Weise. Es gibt also kein Risiko der Abhörung sogar im öffentlichen Wifi- Netzwerk oder Offenlegung einer verwendbaren Information an eine Dritte.
Netzkommunikation
Die sämtliche Kommunikation im Rahmen der CryptoCult-Applikation erfolgt über das Internet. Für Verkehrssteuerung, d.h. für Aufnahme und Beendigung der Anrufe, Signalisierung der Kontaktverfügbarkeit und Sendung von SMS-Nachrichten verwenden wir das Session Initiation Protocol (SIP). Die Verbindung mit SIP Server, der als eine Telefonzentrale vorgestellt werden kann, wird mit TLS Protokoll gesichert.
Sprachanrufe
Sprachanrufe sind anhand SRTP Protokoll gesichert, das Schutz gegen Abhörung, Modifikation oder Wiederverwendung von aufgefangenen Daten anbietet. Die Daten sind mit der Chiffre AES-256 geschützt und zur Authentifizierung ihrer Integrität dient der HMAC-SHA1 Code. Für den Austausch des Hauptschlüssels, von welchem dann nach dem SRTP Standard Schlüssel für die Verschlüsselung selbst und Authentifizierung der Integrität abgeleitet werden, ist das ZRTP-Protokoll verwendet.
Der Hauptvorteil des ZRTP -Protokolls ist, dass keine Geheiminformation von Kommunikationspartnern in voraus geteilt werden muss, die folgend für gemeinsamen Nachweis ihrer Identität, so genannte Authentifizierung, verwendet werden könnte. Der erste Schritt des ZRTP-Protokolls ist der Diffie-Hellman-Schlüsselaustausch, der den Kommunikationspartnern ermöglicht, die Schlüssel über einen unsicheren Kanal sicher auszutauschen.
Zum Schutz gegen einen die Kommunikation aktiv betretenen Angreifer, der sich für den anderen Kommunikationspartner ausgibt, sog. Man-in-the-Middle – Angriff, erfolgt nach dem Schlüsselaustausch eine Authentifizierung, dass die beiden Partner an den gleichen geteilten Schlüssel erlangt haben. Falls zwischen die beiden Kommunikationspartner ein Angreifer schaltet, die Schlüssel, an welche die beiden Partner gelangt haben, würden verschieden sein.
Die Authentifizierung erfolgt mit Hilfe von einem Vier-Buchstaben-Code sog. Short Authentication String, der von dem Schlüssel abgeleitet ist. Diesen Code lesen beide Partner am Anfang des Gespräches untereinander vor und bestätigen damit ihre Übereinstimmung. Falls die Partner in der Vergangenheit schon mal zusammen kommuniziert haben, wird für die Authentifizierung noch eine Information benutzt, welche von dem bei der letzten Verbindung verwendeten Schlüssel abgeleitet ist.
Nach der Beendigung des Anrufes sind die Schlüssel vernichtet, so dass keine Entschlüsselung der aufgefangenen Daten auch in dem Falle möglich ist, wenn einer der Partner später vom Angreifer gezwungen würde, zusammenzuarbeiten.
SMS-Nachrichten
Textnachrichten und Emails sind nach dem OpenPGP-Standard geschützt. Ihre Sicherung beruht auf der asymmetrischen Verschlüsselung, wenn jeder Benutzer ein Paar Schlüssel hat - einen öffentlichen und einen privaten. Der öffentliche Schlüssel, wie sein Name andeutet, ist für die Veröffentlichung bestimmt. Mit seiner Hilfe können andere Benutzer Nachrichten verschlüsseln. Entschlüsselt werden können sie jedoch lediglich von dem Inhaber des privaten Schlüssels.
Die OpenPGP-Implementierung in der CryptoCult Applikation unterstützt asymmetrische RSA Chiffren für Verschlüsselung, Entschlüsselung und Unterzeichnung der Nachrichten, die ElGamal Chiffre für Verschlüsselung und DSA für Unterzeichnung von Nachrichten. Von den asymmetrischen Chiffren, die für die Verschlüsselung des Inhaltes der Nachricht selbst verwendet werden, unterstützt CryptoCult die Chiffre AES in ihren 128, 192 und 256 Bit-Varianten sowie die Chiffre CAST5. Daneben können auch die mit 3DES und TwoFish Chiffren verschlüsselten Nachrichten verschlüsselt und entschlüsselt werden.
Ihren eigenen PGP-Schlüssel (RSA) können Sie sicher direkt in der Applikation generieren, sie müssen sich also nicht auf Produkte der Dritten verlassen. Auch die in anderen Applikationen generierten Schlüssel, wie z.B. GnuPG oder PGP Desktop, können importiert und benutzt werden.
Emails
Emails sind genauso wie Nachrichten nach dem OpenPGP-Standard gesichert. Der in CryptoCult –Applikation integrierte Email-Klient unterstützt Standard-Protokolls für Empfang und Sendung von Emails, d.h. POP3, IMAP und SMTP. Die Verbindung mit dem Email-Server ist standardmäßig mit SSL-Protokoll gesichert und die Applikation unterstützt auch die Aufnahme der sicheren Kommunikation anhand STARTTLS-Protokoll.
Sicherung der Applikationsdaten
Applikationsdaten und die im Tresor gespeicherten Daten sind mit der AES-256- Chiffre verschlüsselt. Der Schlüssel ist vom Benutzerpasswort unter Verwendung von PBKDF2-Funktion mit 4096 Iterationen der Hashfunktion HMAC-SHA-256 und 160-Bit-Salz abgeleitet. Diese Methode der Schlüsselableitung stellt einen erhöhten Schutz gegen Passwortangriffe sicher, die typisch das schwächste Glied der Sicherheit darstellen.