Muster-Verschlüsselung: Wie eine gezeichnete Form deine Dateien schützt

Vaultaire serialisiert eine auf einem 5×5-Raster gezeichnete Form und verarbeitet sie mit PBKDF2-HMAC-SHA512, 600.000 Iterationen und einem geräteweiten Salt, das in der iOS Keychain gespeichert ist. Das 256-Bit-Ergebnis ist ein Tresorschlüssel: Er verschlüsselt den Tresorindex und entpackt den separaten zufälligen Hauptschlüssel, den AES-256-GCM für Dateiinhalte und Metadaten verwendet.

Was ist Muster-Verschlüsselung?

Die meisten Tresor-Apps verstecken sich hinter einer PIN oder einem Passwort. Du tippst vier Ziffern ein, und deine Fotos erscheinen. Klingt sicher genug?

Das Problem: Eine vierstellige PIN hat genau 10.000 mögliche Kombinationen. Ein Computer probiert jede einzelne in unter einer Sekunde durch. Sechs Stellen? Eine Million Kombinationen. Für moderne Hardware immer noch trivial. Selbst ein achtstelliges Passwort aus nur Kleinbuchstaben ergibt etwa 200 Milliarden Möglichkeiten. Das klingt viel, bis du erfährst, dass ein handelsüblicher Laptop Milliarden von Passwort-Hashes pro Sekunde testen kann.

Die Musterverschlüsselung verfolgt einen grundlegend anderen Ansatz. Anstatt Zeichen in ein Feld einzugeben, zeichnest du eine geometrische Form über ein Punktraster. Der spezifische Pfad, den du verfolgst – welche Punkte du in welcher Reihenfolge und mit welcher Geometrie berührst – wird zur Eingabe für eine passwortbasierte Schlüsselableitungsfunktion. Das Ergebnis wird nicht nur von der Oberfläche überprüft: Sie muss einen authentifizierten verschlüsselten Index und den darin enthaltenen zufälligen Hauptschlüssel entsperren.

Die Unterscheidung ist wichtig. Wenn du in einigen Apps eine PIN eingibst, prüft die App nur, ob du die richtige Nummer eingegeben hast. Wenn du dies getan hast, wird es geöffnet, auch wenn die Dateien möglicherweise hauptsächlich durch die Zugriffskontrolle geschützt sind. Vaultaire gibt stattdessen das gezeichnete Muster in PBKDF2 ein, um einen 256-Bit-Tresorschlüssel abzuleiten. Dieser Schlüssel muss den Tresorindex authentifizieren und entschlüsseln, bevor er den für die Dateien verwendeten zufälligen Hauptschlüssel entpacken kann. Ein nicht erkanntes Muster wird als leerer Tresor dargestellt, aber die zugrunde liegende AES-GCM-Authentifizierung unterscheidet immer noch einen richtigen Schlüssel von einem falschen.

Wie es funktioniert, Schritt für Schritt

Das passiert vom Moment, in dem dein Finger den Bildschirm berührt, bis deine Dateien für alle anderen unlesbar werden.

Schritt 1: Du zeichnest dein Muster

Vaultaire präsentiert ein 5×5-Punktraster. Du zeichnest einen kontinuierlichen Pfad, der mindestens 6 Punkte mit mindestens 1 Richtungsänderung verbindet. Die App zeichnet genau auf, welche Punkte du besucht hast und in welcher Reihenfolge. Diese Sequenz ist dein Muster.

Im Gegensatz zu den 3×3-Rastern, die üblicherweise für Android-Sperrbildschirme verwendet werden, verwendet Vaultaire ein 5×5-Raster. Dies ist keine kosmetische Entscheidung. Fünfundzwanzig Positionen ermöglichen weitaus mehr Wege, Kreuzungen, Sprünge und Richtungsänderungen als neun Positionen. Der größere theoretische Raum hilft, aber die tatsächliche Sicherheit hängt immer noch von der Unvorhersehbarkeit des von dir gewählten Pfads ab. Ein vertrauter Buchstabe oder eine einfache Form bleibt erratbar, selbst wenn das Raster Milliarden von Alternativen darstellen kann.

Schritt 2: Das Muster leitet einen Tresorschlüssel ab

Dein gezeichnetes Muster wird mit der Rastergröße serialisiert und in PBKDF2 (Password-Based Key Derivation Function 2) mit HMAC-SHA512, 600.000 Iterationen und einem zufälligen geräteweiten Salt eingespeist. Das Salt ist ein nicht geheimer Wert, der als WhenUnlockedThisDeviceOnly-Element in der iOS Keychain gespeichert ist. Es macht die lokale Ableitung gerätegebunden; es ist nicht für jeden Tresor einzigartig und fügt einem vom Menschen gewählten Muster keine Entropie hinzu.

Der Schlüsselableitungsprozess ist bewusst teuer. PBKDF2 führt für jedes Kandidatenmuster 600.000 HMAC-SHA512-Iterationen aus, was die Kosten eines Rateangriffs erhöht. Dadurch wird ein Muster mit niedriger Entropie nicht in 256 Bit Sicherheit umgewandelt, und die Angriffszeit hängt von der Hardware des Angreifers ab. Sein Zweck ist enger und messbar: Jeder Rateversuch ist wesentlich teurer als ein einfacher Hash.

Schritt 3: Deine Dateien werden verschlüsselt

Wenn der Tresor zum ersten Mal erstellt wird, generiert Vaultaire einen zufälligen 256-Bit-Hauptschlüssel. Der vom Muster abgeleitete Tresorschlüssel verschlüsselt den Index und umschließt diesen Hauptschlüssel. Er verschlüsselt nicht jede Datei direkt. Der Hauptschlüssel wird mit AES-256-GCM für Dateikopfzeilen, Inhalte, Miniaturansichten und zugehörige Metadaten verwendet. Neue Nonces stellen sicher, dass wiederholter Klartext nicht zu wiederholtem Chiffretext unter demselben Schlüssel führt.

GCM-Modus fügt eine wichtige Schicht hinzu: Authentifizierung. Er verwürfelt nicht nur deine Daten, sondern erzeugt auch einen Tag, der jede Manipulation erkennt. Wird ein einzelnes Bit der verschlüsselten Datei verändert, schlägt die Entschlüsselung fehl. Niemand kann deine Dateien manipulieren, ohne dass du es merkst.

Schritt 4: Der Status des aktiven Schlüssels wird gelöscht

Wenn Vaultaire gesperrt wird, löscht es seinen aktiven Tresor- und Hauptschlüsselstatus und erfordert ein erneutes Entsperren, bevor die Dateien erneut angezeigt werden. Einige Schlüsselkopien können nach dem Sperren im App-Speicher bleiben. Während der Tresor geöffnet ist, sind diese symmetrischen Schlüsselbytes zwangsläufig im App-Prozess vorhanden, damit CryptoKit AES-GCM-Operationen ausführen kann. Vaultaire speichert außerdem Wiederherstellungsinformationen, einschließlich des Muster- und Phrasen-verschlüsselten Wiederherstellungsumschlags, in einer AES-GCM-verschlüsselten Datenbank, die in der iOS Keychain liegt. Das unterscheidet sich wesentlich von der Behauptung, dass das Muster und jede Schlüsselkopie nirgendwo gespeichert sind.

Die Mathematik dahinter (verständlich erklärt)

Du brauchst keinen Informatik-Abschluss, um zu verstehen, warum das funktioniert. Die Sicherheit kommt auf drei Zahlen an: wie viele Muster möglich sind, wie lange jeder Rateversuch dauert und wie viele Versuche ein Angreifer machen kann.

Entropie: Das Maß für Unvorhersagbarkeit

Entropie ist ein anderes Wort für “wie schwer ist das zu erraten”. Ein Münzwurf hat 1 Bit Entropie (zwei Ergebnisse). Eine vierstellige PIN hat etwa 13 Bit Entropie (10.000 Ergebnisse). Ein Muster aus sechs Punkten mit einem Richtungswechsel ist eine von 11.168 möglichen Formen, etwa 13 Bit bei zufälliger Wahl und damit nahe an einer vierstelligen PIN. Menschen wählen nicht zufällig, daher sind echte Muster leichter zu erraten. Längere Muster mit mehreren Richtungswechseln sind schwerer zu erraten.

Die Entropie des Musters legt die Obergrenze für einen Rateangriff fest. PBKDF2 kann keine Entropie erzeugen, die die Geste nicht enthält, aber es kann das Testen jedes einzelnen Kandidaten deutlich teurer machen.

Schlüsselableitung: Rateversuche teuer machen

PBKDF2 nimmt das serialisierte Muster und führt 600.000 HMAC-SHA512-Runden aus. Schätzungen zur Angriffsdauer müssen den gemessenen Aufwand auf der Hardware verwenden, die die Schätzung durchführt: Bei genau 1 ms pro vollständigem Kandidaten würden 1.000.000.000 Kandidaten 1.000.000 s oder etwa 11,6 Tage bei einem Worker benötigen. Je langsamer die Kandidatenkosten gemessen werden, desto länger dauert es; parallele Hardware verkürzt die Zeit. Die 256-Bit-Ausgabelänge ändert nichts an der Größe des Mustersuchraums.

Das geräteweite Salt liegt in der Keychain und ist nicht dazu gedacht, geheim zu bleiben. Keychain und der iOS-Datenschutz können die Extraktion in einem Gerätebeschlagnahmeszenario erschweren, die kryptografische Analyse muss jedoch davon ausgehen, dass ein Prüfer, der die verschlüsselten Dateien beschafft, möglicherweise auch an das Salt gelangt. Das Salt verhindert eine geräteübergreifende Vorberechnung; es ist kein Ersatz für ein starkes Muster.

AES-256: Ein öffentlicher, gut untersuchter Standard

AES-256 ist eine starke, standardisierte Chiffre, von NIST als FIPS 197 veröffentlicht. Die “256” bezieht sich auf die Schlüssellänge in Bit. Ein 256-Bit-Schlüssel hat 2²⁵⁶ mögliche Werte, viel zu viele, um sie per Brute Force durchzuprobieren. Ein Angreifer greift stattdessen das Muster an, und deshalb streckt Vaultaire es mit 600.000 PBKDF2-Iterationen.

Die Sicherheit von AES-256 hängt nicht von der Geheimhaltung des Algorithmus ab. Das gesamte System wird jedoch nicht allein durch den AES-Schlüsselraum geschützt: Die praktische Grenze für Rateangriffe ergibt sich aus der Entropie des Musters, dem PBKDF2-Arbeitsfaktor und dem Schutz rund um das Geräte-Salt und die verschlüsselte Speicherung. AES-256-GCM bietet eine starke authentifizierte Verschlüsselung, sobald der richtige zufällige Hauptschlüssel entsperrt wurde.

Warum niemand durchkommt

Betrachten wir die Hauptmethoden, mit denen jemand versuchen könnte, auf deine verschlüsselten Dateien zuzugreifen, was Vaultaire unternimmt, um die Kosten zu erhöhen, und wo die Grenzen bestehen bleiben.

Brute Force: Jedes Muster durchprobieren

PBKDF2 verlangt für jeden Musterkandidaten 600.000 HMAC-SHA512-Iterationen. Das ist eine sinnvolle Verteidigung, aber kein Versprechen einer festen Anzahl von Jahren: Das Ergebnis hängt von der Musterwahl, der gemessenen Ableitungsgeschwindigkeit, der Parallelität und davon ab, ob der Prüfer das Geräte-Salt wiederhergestellt hat. Längere, weniger vorhersehbare Wege sind wichtig, weil PBKDF2 die Kosten pro Versuch erhöht, anstatt neue Entropie zu erzeugen.

Schmierangriffe: Den Bildschirm ablesen

Auf einem 3×3-Raster können Schmierspuren auf dem Bildschirm die möglichen Muster deutlich eingrenzen. Auf einem 5×5-Raster zeigen die Spuren zwar, welche Punkte berührt wurden, aber nicht die Reihenfolge, Richtung oder Verbindungen. Das größere Raster macht diesen Ansatz deutlich schwerer, aber nicht unmöglich.

Schulter-Surfing: Beim Zeichnen zusehen

Muster, die schnell auf einem kleinen Handybildschirm gezeichnet werden, sind extrem schwer durch Beobachtung zu merken, besonders auf einem 5×5-Raster. Forschung zeigt, dass Beobachter komplexe Muster viel schwerer reproduzieren können als eine abgehörte PIN oder ein gesprochenes Passwort.

Gerätebeschlagnahme: Dein Handy wegnehmen

Wenn jemand dein Telefon nimmt, bleiben die Dateiinhalte und Indizes von Vaultaire AES-GCM-Chiffretext, bis die erforderlichen Schlüssel verfügbar sind. Die App speichert keinen herkömmlichen Passwort-Verifizierungsdatensatz, die Offline-Verifizierung wird dadurch jedoch nicht entfernt. Der Dateiname jedes verschlüsselten Tresorindex enthält einen vom Tresorschlüssel abgeleiteten Locator, und die authentifizierte AES-GCM-Entschlüsselung gelingt oder scheitert auch für einen Kandidatenschlüssel. Geräteschutz und Musterstärke bleiben daher Teil des Bedrohungsmodells.

Ein starkes Muster wählen

Die Verschlüsselung ist nur so stark wie das Muster, das du wählst. So maximierst du deine Sicherheit mit wenig Aufwand.

Was ein Muster stark macht

• Mehr Punkte nutzen. Verbinde mindestens 8 der 25 verfügbaren Punkte. Jeder zusätzliche Punkt vervielfacht die Zahl möglicher Muster.
• Den eigenen Pfad kreuzen. Muster mit Schleifen, übersprungenen Punkten oder unerwarteten Richtungswechseln sind viel schwerer zu reproduzieren.
• Offensichtliche Formen vermeiden. Buchstaben (L, Z, S), einfache geometrische Formen (Quadrate, Dreiecke) und gerade Linien wären das Erste, was ein Angreifer ausprobiert.
• Das gesamte Raster nutzen. Muster, die in einer Ecke oder an einer Kante bleiben, verschwenden die verfügbare Entropie. Breit streuen.

Was du vermeiden solltest

• Muster mit minimaler Länge. Vaultaire erfordert mindestens 6 Punkte und einen Richtungswechsel, aber das Erreichen des Minimums macht einen Weg nicht unvorhersehbar. Nutze mehr vom Raster, wenn du dir das Ergebnis zuverlässig merken kannst.
• Einfache geometrische Formen. Ein L-Form, ein Zickzack oder eine gerade Diagonale sind das Muster-Äquivalent zu “password123”.
• Immer von der gleichen Ecke starten. Forschung zu Android-Sperrmustern zeigt, dass die meisten Leute oben links anfangen. Angreifer wissen das.

Der beste Kompromiss

Ein Muster, das 8–12 Punkte mit mindestens zwei Richtungswechseln verbindet, bietet hervorragende Sicherheit und bleibt trotzdem leicht durch Muskelgedächtnis zu merken. Du musst es dir nicht wie ein Passwort einprägen — deine Hand erinnert sich an die Bewegung, genau wie an deine Unterschrift.

Warum du dich sicher fühlen kannst

Die Musterverschlüsselung in Vaultaire ist nicht nur ein hübsches PIN-Pad. Die Geste wird von einer echten Schlüsselableitungsfunktion verarbeitet und muss authentifizierte verschlüsselte Daten entsperren. Seine Stärke hängt immer noch von der gewählten Geste ab, daher kombiniert Vaultaire das größere Raster mit einem hohen PBKDF2-Arbeitsfaktor, anstatt die 256-Bit-Ausgabelänge als 256 Bit menschlicher geheimer Entropie darzustellen.

Dein Muster und dein lokaler Tresorschlüssel werden nicht an Vaultaire gesendet. Wenn die Sicherung aktiviert ist (Standard), verschlüsselt ein separater, von einem Muster abgeleiteter Sicherungsschlüssel die CloudKit-Datensätze, und ein verschlüsseltes Wiederherstellungsmanifest ermöglicht die Wiederherstellung der Tresor- und Sicherungsschlüssel mit der Wiederherstellungsphrase. Vaultaire verfügt nicht über einen Anbieterschlüssel, der diese Datensätze entschlüsselt, aber die Geräte- und Wiederherstellungsanmeldeinformationen bleiben sicherheitskritische Teile des Designs.

Du zeichnest eine Form. Diese Form schützt deine Dateien. Die Mathematik erledigt den Rest.