VPN-Verschlüsselung

Empfohlene Verschlüsselungseinstellungen

Datenverschlüsselung:

Dies ist der symmetrische Codierungssalgorithmus, mit dem alle deine Daten authentifiziert werden. Dieser symmetrische Code wird mit einem geheimen ephemeren Schlüssel verwendet, der zwischen dir und dem Server ausgetauscht wird. Dieser geheime Schlüssel wird per Handshake-Verschlüsselung ausgetauscht.

Datenauthentifizierung:

Dies ist der Nachrichtenauthentifizierungsalgorithmus, mit dem alle deine Daten authentifiziert werden. Dieser wird nur verwendet, um dich vor aktiven Angriffen zu schützen. Wenn du nicht über aktive Angreifer besorgt bist, kannst du die Datenauthentifizierung deaktivieren.

Handshake-Verschlüsselung

Dies ist die Verschlüsselung, die verwendet wird, um eine sichere Verbindung herzustellen und sich zu vergewissern, dass Sie wirklich über einen Private Internet Access VPN-Server kommunizieren und nicht dazu verleitet werden, sich mit einem Server des Angreifers zu verbinden. Wir verwenden TLS v1.2, um diese Verbindung aufzubauen. Alle unsere Zertifikate verwenden SHA512 für die Unterzeichnung.

Warnungen

Wir zeigen dir in 3 Fällen eine Warnung:

• Sie haben „Keine“ für die Datenverschlüsselung gewählt
• Sie haben „Keine“ für die Datenauthentifizerung gewählt
• Sie haben eine ECC (Elliptic Curve Cryptography) Option gewählt

Warnung vor elliptischen Kurven

Die neuesten Enthüllungen der NSA haben Bedenken geschürt, dass bestimmte oder möglicherweise alle durch US-Normungsgremien gebilligten elliptischen Kurven evtl. Hintertüren haben, durch die die NSA sie leichter entschlüsseln kann. Es gibt keinen Beweis dafür, dass dies für Kurven mit Signatur und Schlüsselaustausch der Fall ist^†, und es gibt Experten, die dies als unwahrscheinlich betrachten. Deshalb geben wir den Benutzern diese Möglichkeit, jedoch mit einer Warnung, wenn Sie eine Einstellung mit elliptischer Kurve auswählen. Wir bieten auch die weniger standardmäßige Kurve secp256k1, die von Bitcoin verwendet wird und (im Gegensatz zu anderen Kurven) von Certicom (einer kanadischen Firma) statt von NIST generiert wurde, und sie scheint weniger Stellen für potentielle Hintertüren zu haben.
^† Es gibt starke Anzeichen dafür, dass ein Zufallszahlengenerator, der ECC verwendet, durch eine Hintertür geknackt wurde, aber nicht weitreichend verwendet wurde.

Glossar

Aktive Angriffe

Bei einem aktiven Angriff gelangt ein Angreifer „zwischen" dich und den VPN-Server, wo der Daten verändern oder in deine VPN-Sitzung injizieren kann. OpenVPN wurde entwickelt, damit du vor aktiven Angreifern geschützt bist, solange du sowohl Datenverschlüsselung als auch Datenauthentifizierung verwendest.

Passive Angriffe

Bei einem passiven Angriff zeichnet ein Angreifer einfach alle über das Netzwerk laufenden Daten auf, ohne sie zu modifizieren oder neue Daten zu injizieren. Ein Beispiel eines passiven Angreifers ist eine Einheit, die durch Rasterfahndung den gesamten Netzwerkverkehr erfasst und speichert, aber ihn nicht behindert oder verändert. Solange du deine Daten verschlüsselt, ist deine OpenVPN-Sitzung vor passiven Angreifern geschützt.

Ephemere Schlüssel

Ephereme Schlüssel sind Verschlüsselungsschlüssel, die zufällig erzeugt werden und nur für eine bestimmte Zeitdauer verwendet werden, wonach sie entsorgt und sicher gelöscht werden. An ephemeral key exchange is the process by which these keys are created and exchanged. Diffie-Hellman is an algorithm used to perform this exchange. Der Grundgedanke der ephemeren Schlüssel ist, dass sie entsorgt werden, wenn sie verwendet wurden, und niemand die damit verschlüsselten Daten entschlüsseln kann, sogar wenn jemand vollen Zugriff auf alle verschlüsselten Daten sowie zum Client und Server erhält.