datenritter blog

Wie die iX Mitte September berichtete und Strafverteidiger Udo Vetter vom law blog heute kritisierte plant die Bundesregierung einen neuen, vermeintlich sicheren und noch vermeintlicher vertrauenswürdigen E-Mail-Dienst. Der "De-Mail" genannte Bundesmaildienst solle sogar digitale Einschreiben ermöglichen, berichtet onlinekosten.de. (Ich bin gespannt, wie das funktionieren soll, wenn der Empfänger z.B. gerade PC-Probleme hat.)

Um den Dienst gibt es bereits Streit, der Provider Strato ist aus dem Projekt ausgestiegen. Grund: die "informationstechnologische Monostruktur" und eine vom BSI verweigerte Zertifizierung.

Hier einige Gründe, warum dieser Dienst grober Unfug ist und scheitern wird:

• Der Dienst ist zentralistisch. Das ist schlecht für die Verfügbarkeit und extrem schlecht für die Sicherheit.
• Der Bundestrojaner.
• Eigentümliche Vorstellungen von Sicherheit der Regierung und bei manchem Mitarbeiter des BSI.
• Juristen werden viel zu sagen haben.
• Wenn Daten verloren gehen, ist der Schaden gigantisch.
• Der Dienst wird zentrales Ziel für Industriespione jeder Nationalität.
• Der Dienst ist ein weiteres Prestigeprojekt der Bundesrepublik. Und wie immer wird er uns Prestige kosten. Und Geld. Und Sicherheit.
• Die Deutschen vertrauen ob zahlreicher Datenskandale der Telekom nicht mehr und werden den Dienst nicht nutzen.
• Die Deutschen vertrauen ihrem Staat nicht mehr und werden den Dienst nicht nutzen.

Letzteres ist das Hauptproblem und Killerargument schlechthin. Denn die Entscheidung darüber, was privat und vertraulich ist, obliegt durch diesen Dienst dem Staat.

Unabhängig von der politischen Meinung muss jedermann klar sein, dass staatliche Organe vollen Zugriff auf die Postfächer haben werden. Man wird "im Vorfeld tätig" werden wollen, um Verbrechen zu verhindern, und vielleicht sogar Urheberrechtsverletzungen und Sozialbetrug verfolgen. (Vielleicht verraten die vielen Liebesbriefchen ja, ob jemand doch nicht allein lebt...?)

Man bedenke: Selbst das heilige Bankgeheimnis deutscher Nationen wurde abgeschafft.

Das bedeutet konkret: Im Gegensatz zu einem privatwirtschaftlichen Provider, der kein solches Interesse hat, wird der Staat freimütig zugreifen und entscheiden, welche Daten er für privat und sensibel hält. Und damit wird er auch entscheiden, ob der Bürger etwas zu verbergen hat. Und an wilden Fantasien und Paranoia mangelt es offensichtlich nicht.

Dadurch ist der Dienst sowohl für geschäftliche, private und Behördenkommunikation unbrauchbar und man kann aus sicherheitstechnischer Sicht nur dringend davon abraten, ihn zu nutzen.

Aber vielleicht kann man damit ja endlich mal große Dateianhänge verschicken...

Das Problem mit den ePässen ist offenbar, dass die Terminals selbstsignierte Daten akzeptieren. (Siehe auch: heise-Meldung.) Das lässt sich leicht ändern, in dem man Signaturen zwingend verlangt.

Doch der Beitrag über den schon erwähnten Hack des elektronischen Personalausweises, erklärt sehr prägnant, warum die Zertifikatsautoritäten einer Publik-Key-Infrastruktur (PKI) selbst ein ernsthaftes Problem sein können. Die Kritik lässt sich auf andere Einsatzfelder der PKI anwenden, zum Beispiel bei SSL-geschützten Webseiten:

Using a Certification Authority (CA) could solve the attack but at the same time
introduces a new set of attack vectors:

1. The CA becomes a single point of failure. It becomes the juicy/high-value target for the attacker.
Single point of failures are not good. Attractive targets are not good.

Das ist die wichtigste Erkenntnis: Die Zertifikatsautorität (CA) ist der "single point of failure" und ein hochwertiges Ziel für einen Angreifer.

Any person with access to the CA key can undetectably fake passports. Direct attacks, virus,
misplacing the key by accident (the UK government is good at this!) or bribery are just a few
ways of getting the CA key.

Ich übersetze mal sinngemäß: Wer auch immer Zugang zum Schlüssel einer CA hat kann unbemerkt Ausweise fälschen. Durch direkte Angriffe, Viren, irrtümliche Preisgabe des Schlüssels oder Bestechung könnte man an den Schlüssel gelangen. Dass gelegentlich USB-Sticks, Festplatten, ja sogar Kameras mit geheimen Daten in Umlauf gelangen, dürfte bekannt sein.

Nun folgen ein Punkt, der zu Diskussionen führt und nicht oberflächlich betrachtet werden darf:

2. The single CA would need to be trusted by all governments. This is not practical as this
means that passports would no longer be a national matter.

Dass es keine multinationale CA geben kann, ist offensichtlich, doch:

3. Multiple CA's would not work either. Any country could use its own CA to create a valid
passport of any other country. (...)

Diese Behauptung ist die am häufigsten kritisierte und gilt vermutlich nur für schlecht aufgesetzte ePass-Terminals. Selbst wenn alle Terminals derart nachlässig sind, wird man dies bald ändern. Doch gilt sie uneingeschränkt für SSL-Zertifikate, z.b. für Webseiten, denn ein Browser kann nicht wissen, welche CAs für meine Bank zuständig sein sollen und welche nicht.

Und für den ePass gilt:

This option also multiplies the number of 'juicy' targets. It makes it also more likely for a CA key to leak.
Revocation lists for certificates only work when a leak/loss is detected. In most cases it will not be detected.

Denn es kommt bei einer Fälschung vielleicht nicht unbedingt darauf an, aus welchem Land der falsche Pass stammt.

Sicher ist:
• Die Pässe sind beschreibbar. Man kann also die Daten einer anderen (z.B. ähnlich aussehenden) Person auf den eigenen Chip schreiben — inklusive der gültigen Signatur.
• Angriffe auf CAs sind außergewöhnlich lohnend.
• Viele CAs sind viele Angriffsmöglichkeiten. Zu viele.
• Rückruflisten helfen nur, wenn die Fälschung überhaupt bemerkt wird. Das ist sehr unwahrscheinlich.

Ich empfehle als Notbehelf für den ePass die Mikrowelle. Sie verhindert wenigstens, dass ein Dritter die eigenen Daten ausliest und verwendet. Für Webseiten gibt es auch weiterhin keine einfache Lösung, außer der händischen Prüfung des Fingerprints.

Die Hacker-Gruppe THC (The Hacker's Choice) zeigt wie man biometrische Reisepässe mit RFID-Chip, die ePässe, klonen und verändern kann.

Auch Deutschland hat ePässe eingeführt.

ePassport emulator:

This emulator applet allows you to create a backup of your own passport chip(s).

Damit sind die Dinger aus sicherheitstechnischer Sicht praktisch wertlos geworden. Möglicherweise sind sie sogar ein größeres Risiko als die alten Pässe.

Das es GPS-Simulatoren geben muss, die plausible aber beliebige GPS-Signale erzeugen, ist logisch, denn ein GPS-Simulator wird für die Entwicklung von GPS-Empfängern und GPS-basierten Geräten dringend benötigt. Ohne ihn gäbe es nur eine Art, ein Gerät, dass zum Beispiel einen Sturz von einer Autobahnbrücke verhindern soll, zu testen: Durch waghalsiges Ausprobieren. Auch Flugbenzin und Raketentreibstoff dürften durch das Kästchen tonnenweise eingespart werden. Doch die Möglichkeit zur Simulation macht das System, das mehr oder weniger ohne Berücksichtigung von Sicherheitsaspekten entwickelt wurde, verwundbar... "wie man Drohnen vom Himmel holt - oder die ... »

Ein wunderbarer Artikel (bzw. ein Rant) über die nicht enden wollende "Hilfsbereitschaft" mancher Webseitenbetreiber, die mittlerweile massiv in Bevormundung ausartet: Stop Being Helpful.

Es ist ein bekanntes Problem, dass Browser Formulareinträge und Passwörter aus Gründen der Benutzerfreundlichkeit speichern können müssen, dies bei wirklich sensiblen Daten, wie der Onlinebanking-PIN, aber nicht immer sollten... "wie "Sicherheitsexperten" das Web ... »

Ich glaube, es war ein π in einer unteren Ecke einer Webseite, auf die Sandra Bullock in "Das Netz" drücken musste, um Zugang zu einem geheimst geheimen Programmteil eines Supermegakontrollnetzwerkes zu erhalten. Der Film stammt aus dem schönen Jahr 1995, als die peinliche Weltfremdheit der Filmemacher und Marketingmenschen nur wenigen auffiel. Das Internet hatte noch nicht jeder "in seinem Computer", und viele Firmen dachten noch, in ihrer Branche bräuchte man keine Webpräsenz. Kurz gesagt: Es war absolut lächerlich.

Und deswegen haben damals viele nicht bemerkt, dass der Film wahrlich kein Meisterstück ist. (Oder wegen Sandra Bullock, das kann natürlich auch sein.)

Heute würden die Menschen die unrealistische Darstellung der Digitalwelt als störend empfinden, weswegen der Film nicht mehr als Lehrfilm taugt. Leider, denn einige Aspekte haben mittlerweile durchaus an Bedeutung gewonnen. "Melderegister: Drücken Sie auf das Pi..." ... »

Elektronische Schließsysteme mögen raffiniert sein, und der technophile Geek von heute achtet natürlich darauf, keine mies oder gar nicht verschlüsselten Funk-Systeme aus dem Elektronikkatalog zu kaufen. Geräte mir Karten müssen idealerweise gegen das Kopieren der Karten geschützt sein, solche mit Zahlenfeldern gegen Öffnung durch Fremde und Vandalismus. Bei Stromausfall darf sich die Tür nicht einfach entriegeln — für den Notausgang braucht es eine spezielle Lösung.

Doch nun brauchen solche Schließsysteme auch eine elektromagnetische Abschirmung. Denn Barry Wels, ein Lockpicker, entwickelt hatte die Idee, den Elektromotor, der den Mechanismus antreibt, einfach mit Hilfe eines Magnetfelds zu drehen.

Das kam jetzt natürlich völlig überraschend: Laut einer Meldung im heise-Newsticker und dem zugehörigen Artikel in der c't 13/08 benutzen viele Webshops Server-Zertifikate mit schwachem Schlüssel.

Bei einer Untersuchung von über 4300 gültigen Zertifikaten, die im Browser keine Warnung erzeugten, fand c't, dass etwa jedes dreißigste einen solchen schwachen Schlüssel nutzt. Darunter fanden sich auch Online-Shops, die zum Beispiel zur Eingabe von Kreditkartennummern auffordern.

(...)

Alle von c't befragten CAs erklärten, man könne bei ihnen schwache Zertifikate kostenlos widerrufen und durch neue ersetzen lassen. Doch offenbar machen von dieser Möglichkeit bislang nur wenige Zertifikatseigner Gebrauch.

Die Shop-Betreiber sind vermutlich nicht gerade Spezialisten, was OpenSSL angeht. Die Frage ist, wo sie ihre Zertifikate her haben, und warum sie nicht gewarnt werden. Möglicherweise weil die entsprechenden Dienstleister nicht besonders pflichtbewusst sind, oder das Problem nicht verstanden haben.

Doch selbst ein Widerruf der schwachen Zertifikate schafft das Problem nicht aus der Welt. Denn die meisten aktuellen Browser überprüfen die Widerrufslisten in ihrer Standardkonfiguration nicht. (...) Das Online Certificate Status Protocol (OCSP) (...) ermöglicht den Test einzelner Zertifikate. Allerdings unterstützen das viele CAs noch nicht.

So ist es.

Unglaublich, aber heute habe ich zum ersten Mal gesehen, dass eine Bankkundin, die sich für Online-Banking entschieden hat, von ihrer Bank den Fingerprint ihres OpenSSL-Serverzertifikates ausgehändigt bekam.

Die Förde-Sparkasse druckte diesen auf ein Blatt, welches mit den Worten "wichtige Information" überreicht wurde. Dabei steht er offenbar einmal als MD5- und einmal als SHA-1-Fingerprint darauf, doch derart genaue Angaben, die den Kunden verwirren konnten, hat man sich geschenkt. Einer der beiden müsse stimmen, schreibt die Bank lapidar, und das sei ihr gestattet.

Die Förde-Sparkasse wechselt ihre Zertifikate sogar jährlich und zeigt den neuen Fingerprint auf der Online-Banking-Webseite "in einem geschützten Dokument" an. Eine Anleitung zur Überprüfung gibt es auch.

Ob die Sparkassen das schon länger, oder erst seit dem Debian-OpenSSL-Debakel machen, weiß ich nicht, auf jeden Fall ist mir aber von anderen Banken nichts vergleichbares bekannt.

Die Überprüfung des Fingerprints schützt vor Man-In-The-Middle-Angriffen und sogar gegen Unterwanderung der ohnehin zweifelhaften Public-Key-Infrastruktur durch Geheimdienste und andere Kriminelle.

Damit und durch die Aushändigung eines TAN-Blockes gleich in der Filiale hat ausgerechnet die früher(?) als träge und unflexibel geltende ehemalige "Beamtenbank" ihre Konkurrenten in puncto Sicherheit und Komfort mit einem Satz überholt.

Liebe Sparkasse, willkommen in der Gegenwart!

Die Angriffsmöglichkeit durch alte Zertifikate hat sich bestätigt. Laut einem Artikel bei heise Security bestehen zudem die Möglichkeit, dass die Systeme, die mit schwachen Schlüsseln ausgestattet waren, bereits früher angegriffen bzw. belauscht wurden.

Es ist schon übel, dass der heise-Newsticker vorgestern nur am Rande in WWW, der "Wochenschau von Hal Faber" über die bestehende Angriffsmöglichkeit durch das OpenSSL-Debakel berichtete:

Es gibt Leute, die viel davon verstehen und die erklären können, wie selbst unsere Selbsteintreibungs-Software ELSTER davon betroffen ist, dass Revocation Lists für Zertifikate nicht funktionieren: Skalierender Schlüsselrückruf ist ein ungelöstes Problem.

Die von mir hervorgehobene Formulierung suggeriert, dass das schon das Ende der Gefahrenstange sei. Das ist nicht der Fall, es kann auch Online-Banking-Webseiten oder andere sensible Bereiche treffen. Nach einem Hinweis antwortete mir Jürgen Kuri, er werde die Leute bei heise Security noch einmal darauf hinweisen.

Heute erschien dann die Meldung "Tausende deutsche Server laden zum Einbruch ein". Dort wird berichtet, dass viele ihre SSH-Schlüssel noch nicht ausgetauscht haben, Provider ihre Kunden nicht benachrichtigen:

Kurze Stichproben von heise Security enthüllten Erschreckendes: In den Netzen von Root-Server-Providern verwendeten von 1938 erreichbaren SSH-Servern 114 bekanntermaßen schwache Schlüssel – das sind immerhin rund fünf Prozent.

Das ist schlimm, aber wartet, es kommt schlimmer.

Man hat sich bei heise Security auch die Mühe gemacht, einen interessanten Artikel über die verschiedenen Gefahren zu schreiben — leider steht zu befürchten, dass den schon aufgrund der Länge kaum jemand liest. Das ist schade, denn auf Seite drei steht der erschreckende Sachverhalt, vor dem ich warnte, in einem Absatz zusammengefasst:

Insbesondere für Phishing und Pharming sind Originalzertifikate eines Webservers zusammen mit den passenden privaten Schlüsseln Gold wert. Gelänge es einem Phisher, seine Opfer beispielsweise mittels des sogenannten Pharmings seine Opfern per DNS-Spoofing oder untergeschobene Hosts-Einträge auf seine eigene Seite umzudirigieren, so könnte der Anwender den Angriff nicht mehr erkennen. Sein Browser würde anzeigen, dass das Sicherheitszertifikat des Servers zur eingegebenen URI passt und dass es von einer vertrauenswürdigen CA ausgestellt wurde.

Und tatsächlich: Alexander Klink berichtet auf der Mailingliste full disclosure, er habe eine Bank ausgemacht, deren altes Zertifikat schwach war. Das Zertifikat ist noch etwa 3 Jahre gültig - so lange sind Man-In-The-Middle-Attacken auf diese Bank möglich.

Als wäre das nicht genug, erklärt der Artikel auch noch, dass aufgezeichnete verschlüsselte Verbindungen nun nachträglich entschlüsselt werden könnten. Es ist durchaus davon auszugehen, dass immer dann, wenn sensible Daten abgegriffen werden sollten, auch verschlüsselte Verbindungen auf Vorrat aufgezeichnet wurden, gerade im Bereich Industriespionage dürfte das üblich sein.

Doch der wahre Schrecken lauert auf Seite fünf:

Wer immer sich in den vergangenen 20 Monaten die Mühe gemacht hat, eine Datenbank mit (...) öffentlichen Schlüsseln zu pflegen, konnte vermutlich ungefähr ab Oktober 2006 die erstaunliche Beobachtung machen, dass in dieser Datenbank Kollisionen auftreten, wo eigentlich keine passieren dürften. Aufgrund des Geburtstagsparadoxons genügen schon 500 schwache Schlüssel gleicher Länge, um unter ihnen mit rund 95-prozentiger Wahrscheinlichkeit ein Duplikat zu finden. Vom Entdecken eines solchen Duplikats ist es nur noch ein kleiner Schritt, um über den ungefähren Zeitpunkt und den Kontext der betroffenen Schlüssel auf das Debian-Betriebssystem zurückzuschließen und die in dem Zeitraum vorgenommenen Änderungen am Quellcode der kryptographisch relevanten Programmpakete zu untersuchen.

Das ist DESASTRÖS. Denn es ist mehr als wahrscheinlich, dass Kriminelle, Geheimdienste, vielleicht auch andere Organisationen Schlüssel gesammelt und das Problem bereits vor langer Zeit bemerkt und für Einbrüche und Lauschaktionen genutzt haben.