Codierungs-, Kompressions- und Verschlüsselungsverfahren einsetzen

Hinter jeder Datei, jeder Mail und jeder HTTPS-Verbindung stecken drei Arten von Verfahren. Codierung legt fest, wie Zeichen und Zahlen als Bits gespeichert werden, etwa mit UTF-8 oder Base64. Kompression macht Daten kleiner, entweder ohne Verlust wie bei ZIP oder mit Verlust wie bei JPEG. Verschlüsselung und Hashing sorgen dafür, dass Unbefugte nichts lesen oder unbemerkt verändern können. In diesem Modul rechnest du mit Bits und Bytes, probierst die Verfahren mit Werkzeugen wie CyberChef und OpenSSL aus und lernst, für eine Situation das richtige Verfahren zu wählen.

Das sind die Fähigkeiten, die am Ende des Moduls sitzen sollten. Jedes Ziel mit einem Beispiel aus dem Lehrbetrieb.

1. 1

   Zahlen und Zeichen binär, hexadezimal und in UTF-8 darstellen

   Kompetenz A

   Du rechnest zwischen Dezimal-, Binär- und Hexadezimalsystem um und weisst, wie Zeichensätze Buchstaben auf Bytes abbilden. Damit erkennst du auch, warum aus einem 'ü' manchmal 'ü' wird.

   Situation

   Nach dem Import einer Kundenliste ins neue CRM heisst Herr Müller plötzlich 'Müller'.

   Deine Aufgabe

   Finde die Ursache und behebe sie.

   Gutes Ergebnis

   Im Hex-Editor siehst du für 'ü' die Bytes C3 BC, also UTF-8. Das CRM liest die Datei aber als Windows-1252 und zeigt zwei Zeichen an. Lösung: beim Import 'UTF-8' als Zeichensatz wählen oder die Datei mit BOM speichern.

   Bit und ByteBinärHexadezimalASCIIUnicodeUTF-8
2. 2

   Binärdaten mit Base64 transportfähig machen und von Verschlüsselung unterscheiden

   Kompetenz B

   Base64 wandelt beliebige Bytes in druckbare Zeichen um, damit sie in Mails, JSON oder HTTP-Headern übertragen werden können. Du weisst, dass das keinen Schutz bietet, weil jede Person es zurückwandeln kann.

   Situation

   Ein Kollege meint, die Zugangsdaten zur Lieferanten-API seien sicher, weil im Header nur 'Authorization: Basic dXNlcjpwYXNz' steht.

   Deine Aufgabe

   Zeige, ob er recht hat.

   Gutes Ergebnis

   In CyberChef mit 'From Base64' wird daraus in einer Sekunde 'user:pass'. Fazit: Base64 ist Codierung, keine Verschlüsselung. Basic Auth ist nur über HTTPS vertretbar, besser ist ein API-Token mit begrenzter Gültigkeit.

   Base64Codierung vs. VerschlüsselungMIMEData-URIOverhead von ca. 33 %
3. 3

   Verlustfreie Kompression mit RLE, Huffman und ZIP erklären und durchrechnen

   Kompetenz C

   Du verstehst, wie Wiederholungen und ungleiche Häufigkeiten ausgenutzt werden, um Daten ohne Informationsverlust kleiner zu machen. Du kannst eine Lauflängencodierung und einen einfachen Huffman-Baum von Hand erstellen.

   Situation

   Du sollst in der Berufsschule zeigen, warum ein Logfile mit 200 MB als ZIP nur noch 15 MB gross ist, ein ZIP mit JPEG-Fotos aber kaum kleiner wird.

   Deine Aufgabe

   Erkläre es mit einem eigenen Rechenbeispiel.

   Gutes Ergebnis

   Huffman für das Wort 'ANANAS': A erhält den Code 0, N den Code 10, S den Code 11. Statt 48 Bit in ASCII braucht das Wort nur 9 Bit. Logfiles enthalten viele Wiederholungen, JPEGs sind bereits komprimiert und haben kaum noch Redundanz.

   RedundanzLauflängencodierung (RLE)Huffman-CodierungLZ77 / DEFLATEKompressionsrate
4. 4

   Verlustbehaftete Formate für Bild, Audio und Video passend wählen

   Kompetenz C

   Du weisst, dass JPEG, MP3 oder H.264 Details weglassen, die Menschen kaum wahrnehmen, und dass sich die Qualität einstellen lässt. Du wählst je nach Zweck zwischen JPEG, PNG, WebP oder SVG und begründest die Wahl mit Dateigrösse und Qualität.

   Situation

   Die Website einer Bäckerei in St. Gallen lädt auf dem Handy über 8 Sekunden. Die Startseite enthält zwölf Produktfotos als PNG mit je 4 MB und ein Logo als JPEG.

   Deine Aufgabe

   Optimiere die Bilder ohne sichtbaren Qualitätsverlust.

   Gutes Ergebnis

   Produktfotos auf 1600 Pixel Breite skaliert und als WebP mit Qualität 80 gespeichert, je rund 180 KB. Das Logo als SVG, weil es aus Flächen und Text besteht. Die Seite ist von 49 MB auf 2.5 MB geschrumpft.

   verlustbehaftete KompressionJPEG-QualitätsstufeArtefakteWebPVektor vs. Raster
5. 5

   Dateien symmetrisch mit AES verschlüsseln und den Schlüssel sicher übergeben

   Kompetenz D

   Bei symmetrischer Verschlüsselung nutzen Sender und Empfänger denselben Schlüssel. Das ist schnell und eignet sich für grosse Datenmengen. Die Schwierigkeit liegt darin, den Schlüssel auf einem anderen Weg sicher zu übergeben.

   Situation

   Die Personalabteilung muss die Lohnausweise von 25 Mitarbeitenden an das externe Treuhandbüro schicken.

   Deine Aufgabe

   Wähle ein sicheres Vorgehen ohne zusätzliche Software beim Empfänger, abgesehen von 7-Zip.

   Gutes Ergebnis

   Die PDFs werden mit 7-Zip als Archiv mit AES-256 und verschlüsselten Dateinamen gepackt. Das Archiv geht per Mail, die 20-stellige Passphrase per SMS an die Treuhänderin. Im Journal steht, wann und an wen die Passphrase übermittelt wurde.

   symmetrische VerschlüsselungAESSchlüssellängeSchlüsselaustauschPassphrase
6. 6

   Hashfunktionen für Integritätsprüfung und Passwortspeicherung einsetzen

   Kompetenz E

   Ein Hash ist ein Fingerabdruck fester Länge, der sich bei der kleinsten Änderung komplett ändert und nicht zurückgerechnet werden kann. Du prüfst damit Downloads und weisst, warum Passwörter mit Salt und einem langsamen Verfahren wie bcrypt oder Argon2 gespeichert werden.

   Situation

   Du lädst ein ISO-Image von Ubuntu Server herunter, um eine VM aufzusetzen. Gleichzeitig entdeckst du in einer alten Vereins-App, dass Passwörter als MD5 ohne Salt gespeichert sind.

   Deine Aufgabe

   Prüfe das Image und beurteile die Passwortspeicherung.

   Gutes Ergebnis

   Mit 'Get-FileHash -Algorithm SHA256' stimmt der Hash mit der Datei SHA256SUMS auf der Ubuntu-Seite überein. Für die App empfiehlst du Argon2id mit individuellem Salt pro Benutzer. Beim nächsten Login wird jedes Passwort neu gehasht.

   HashfunktionSHA-256KollisionSaltbcrypt / Argon2Prüfsumme
7. 7

   Asymmetrische Verfahren, Signaturen und Zertifikate am Beispiel von TLS erklären

   Kompetenz F

   Bei asymmetrischen Verfahren wie RSA oder elliptischen Kurven gibt es ein Schlüsselpaar: Der öffentliche Schlüssel darf jeder kennen, der private bleibt geheim. Du verstehst, wie digitale Signaturen und Zertifikate Vertrauen schaffen und wie TLS asymmetrische und symmetrische Verfahren kombiniert.

   Situation

   Eine Mitarbeiterin fragt, warum der Browser bei der internen Zeiterfassung 'Verbindung ist nicht sicher' meldet, bei e-banking aber nicht.

   Deine Aufgabe

   Untersuche beide Zertifikate und erkläre den Unterschied.

   Gutes Ergebnis

   Das Zertifikat der Zeiterfassung ist selbst signiert und abgelaufen. Das Bank-Zertifikat ist von einer vertrauenswürdigen CA ausgestellt, passt zum Hostnamen und ist gültig. Vorschlag: Zertifikat über die interne CA oder Let's Encrypt ausstellen und automatisch erneuern lassen.

   SchlüsselpaarRSA / ECCdigitale SignaturZertifikat und CATLS-Handshakehybride Verschlüsselung

Die Kompetenzmatrix zerlegt das Modul in Themenstränge und drei Stufen. Für den Kompetenznachweis solltest du überall mindestens Stufe 2 erreichen. Dein Stand bleibt in diesem Browser gespeichert und färbt Lernweg und Übungen ein.

Jannik ist im 2. Lehrjahr als Informatiker Plattformentwicklung bei der Geomatik Zufferey AG in Sitten, einem Geoinformatikbüro mit 50 Mitarbeitenden. Das Büro liefert Vermessungsdaten an Gemeinden und Bauherren, bisher per USB-Stick und unverschlüsselte Download-Links. Jannik soll den Datenaustausch sauber und sicher neu aufsetzen.

1. Kapitel 1

   Aus Hérémence wird Kauderwelsch

   Eine Gemeinde meldet, dass in der gelieferten CSV-Liste «Hérémence» statt «Hérémence» steht. Jannik öffnet die Datei im Hex-Editor und sieht die Bytes C3 A9, also ein é in UTF-8. Das Zielprogramm der Gemeinde liest die Datei aber als Windows-1252. Er exportiert neu mit BOM und erklärt der Gemeinde, wie sie die Codierung beim Import einstellen kann.

   Ziel 1

2. Kapitel 2

   Das Passwort im Header

   Ein Kollege speichert im Git-Repository ein Skript mit der Zeile «Authorization: Basic …» und meint, das sei verschlüsselt. Jannik decodiert den Wert in CyberChef in wenigen Sekunden zu Benutzername und Passwort im Klartext. Das Passwort wird sofort geändert und künftig aus einem Tresor gelesen. Base64 bleibt dort im Einsatz, wo es hingehört: für ein kleines Planbild, das in eine JSON-Nachricht eingebettet wird.

   Ziel 2

3. Kapitel 3

   Vier Gigabyte auf dem Weg zur Gemeinde

   Eine Koordinatenliste als Textdatei ist 4 GB gross, mit 7-Zip schrumpft sie auf 600 MB, weil sich Zahlenmuster ständig wiederholen. Die Drohnenfotos als JPEG werden dagegen kaum kleiner, weil sie schon komprimiert sind. Für die Vorschaubilder auf der Website wandelt Jannik ein Orthofoto von PNG in WebP mit Qualität 80 um und spart so 85 Prozent. Für die eigentlichen Vermessungsdaten bleibt verlustbehaftete Kompression tabu.

   Ziel 3Ziel 4

4. Kapitel 4

   Der Schlüssel kommt per SMS

   Jannik verschlüsselt das Archiv mit AES-256 und einer Passphrase aus 20 Zeichen, die er der Gemeinde per SMS schickt, nicht im selben Mail. Dazu veröffentlicht er den SHA-256-Hash der Datei. Die Informatik der Gemeinde meldet, der Hash stimme nicht. Es stellt sich heraus, dass ein Proxy den Download bei 2 GB abgebrochen hat, und nach dem erneuten Download passt der Hash.

   Ziel 5Ziel 6

5. Kapitel 5

   Das Zertifikat des Upload-Portals

   Bauherren sollen künftig über ein eigenes Upload-Portal liefern, doch der Browser meldet «Verbindung nicht sicher». Mit openssl s_client sieht Jannik, dass das selbstsignierte Zertifikat seit drei Wochen abgelaufen ist. Er ersetzt es über ACME durch ein öffentlich vertrauenswürdiges Zertifikat mit automatischer Erneuerung. Seinem Berufsbildner erklärt er dabei, wie Browser und Server per Diffie-Hellman einen symmetrischen Sitzungsschlüssel aushandeln und der Server mit seinem privaten Schlüssel seine Identität beweist.

   Ziel 7

1. 1

   Bits, Bytes und Zahlensysteme

   ca. 4 Std.

   Du festigst die Grundlagen: Umrechnen zwischen Zahlensystemen und verstehen, wie Text zu Bytes wird.

   • Zwanzig Zahlen zwischen Dezimal, Binär und Hex umrechnen, zuerst von Hand, dann mit dem Rechner kontrollieren
   • Deinen Namen in ASCII und UTF-8 als Hex aufschreiben und in einem Hex-Editor prüfen
   • Eine CSV-Datei absichtlich in falscher Codierung öffnen und das Problem beheben

   Trainiert Kompetenz A1A2

   Lernziel1

2. 2

   Codierung für den Transport

   ca. 2 Std.

   Du lernst Base64 und verwandte Codierungen kennen und übst, Codierung klar von Verschlüsselung abzugrenzen.

   • Ein kleines Bild in CyberChef nach Base64 codieren und als Data-URI in eine HTML-Seite einbauen
   • Mit Python 'base64.b64encode' und 'b64decode' eigene Texte umwandeln
   • Einen Basic-Auth-Header aus einem Beispiel-Request dekodieren

   Trainiert Kompetenz B1B2

   Lernziel2

3. 3

   Kompression verstehen

   ca. 5 Std.

   Du rechnest verlustfreie Verfahren von Hand durch und vergleichst verlustbehaftete Formate mit echten Dateien.

   • Ein Schwarz-Weiss-Pixelbild mit RLE codieren und die Ersparnis berechnen
   • Einen Huffman-Baum für einen kurzen Satz aufbauen und die Bitlänge vergleichen
   • Dasselbe Foto als PNG, JPEG (Qualität 95, 80, 50) und WebP speichern und Grösse sowie Artefakte vergleichen

   Trainiert Kompetenz C1C2

   Lernziel34

4. 4

   Klassische und symmetrische Verschlüsselung

   ca. 4 Std.

   Vom Caesar-Verfahren bis AES: Du verstehst, warum alte Verfahren gebrochen sind und wie moderne funktionieren.

   • Einen Caesar-Text mit Häufigkeitsanalyse knacken
   • Eine Datei mit 7-Zip und mit 'openssl enc -aes-256-cbc -pbkdf2' verschlüsseln und wieder entschlüsseln
   • Notieren, wie du den Schlüssel in drei verschiedenen Situationen sicher übergeben würdest

   Trainiert Kompetenz D1D2

   Lernziel5

5. 5

   Hashing und Integrität

   ca. 3 Std.

   Du erzeugst Hashes, prüfst Downloads und verstehst, warum Passwörter speziell behandelt werden.

   • Mit 'Get-FileHash' oder 'sha256sum' Hashes von zwei fast identischen Dateien vergleichen
   • Ein Python-Skript schreiben, das ein Passwort mit bcrypt hasht und prüft
   • Recherchieren, warum MD5 und SHA-1 für Signaturen nicht mehr verwendet werden

   Trainiert Kompetenz E1E2

   Lernziel6

6. 6

   Asymmetrische Kryptografie und TLS

   ca. 5 Std.

   Du erzeugst Schlüsselpaare, signierst Daten und schaust dir echte TLS-Zertifikate genau an.

   • Mit Kleopatra ein Schlüsselpaar erzeugen, eine Datei signieren und die Signatur prüfen lassen
   • Im Browser die Zertifikatskette von drei Schweizer Websites ansehen und Aussteller, Gültigkeit und Hostnamen notieren
   • Den Ablauf eines TLS-Verbindungsaufbaus als einfache Skizze darstellen

   Trainiert Kompetenz E2F1F2

   Lernziel76

Codierung

Umwandlung von Daten in eine andere Darstellung nach einer öffentlichen Regel, ohne Geheimnis.

UTF-8

Verbreitete Unicode-Codierung, die Zeichen mit 1 bis 4 Bytes darstellt und zu ASCII kompatibel ist.

Base64

Codierung, die beliebige Bytes in 64 druckbare Zeichen umwandelt, z.B. für Mail-Anhänge.

Huffman-Codierung

Verlustfreies Verfahren, das häufigen Zeichen kurze und seltenen Zeichen lange Bitfolgen zuordnet.

AES

Advanced Encryption Standard, das heute übliche symmetrische Verschlüsselungsverfahren.

RSA

Asymmetrisches Verfahren mit öffentlichem und privatem Schlüssel, eingesetzt für Signaturen und Schlüsselaustausch.

Hashfunktion

Einwegfunktion, die aus beliebigen Daten einen Wert fester Länge berechnet.

Zertifikat

Von einer Zertifizierungsstelle signierte Bestätigung, dass ein öffentlicher Schlüssel zu einer bestimmten Domain oder Person gehört.

TLS

Transport Layer Security, Protokoll für verschlüsselte und authentifizierte Verbindungen, z.B. bei HTTPS.

Passende Module