Vorwurf

Experte: Hintertür hat Google-Hack ermöglicht

25. Jänner 2010 10:32

Bruce Schneier spricht von zentralem Zugriff der US-Regierung auf GMail-Konten

Für einige Aufregung haben in den vergangenen Wochen die Auseinandersetzungen zwischen Google und der chinesischen Regierung gesorgt: Während der Softwarekonzern beklagt - neben zahlreichen anderen US-Unternehmen - Ziel von massiven Cyber-Attacken geworden zu sein, weist die chinesische Regierung jegliche Verwicklung in diese Vorgänge empört von sich.

Angriffe

Ein ebenfalls viel diskutierter Nebenschauplatz ist die Frage, auf welchem Weg die unbekannten HackerInnen ihre Attacke gegen Google und Co. durchgeführt haben, bislang wurde hier vornehmlich eine kritische Sicherheitslücke im Internet Explorer verantwortlich gemacht. Der renommierte Sicherheitsexperte Bruce Schneier bringt in einem aktuellen Kommentar für CNN nun aber einen weiteren Angriffsvektor ins Spiel - einer der eine Reihe von Zusatzfragen aufwirft.

Hintertür

So spricht Schneier von einem zentralen Backdoor in GMail, über das die US-Regierung vollständigen Zugriff auf alle E-Mail-Konten des Services habe, und das nun für den Einbruch auf die Konten von chinesischen Regime-Kritikern genutzt worden sei. Eine entsprechende Hintertür sei auf Druck von öffentlichen Stellen entstanden, und laut Schneier auch keine Seltenheit: Zahlreiche Regierungen - darunter Großbritannien, Kanada und Schweden - würden gerade eifrig an der Legalisierung entsprechender Praxen arbeiten.

Kritik

Gerade der aktuelle Vorfall zeige, wie gefährlich entsprechende Überwachungsmaßnahmen prinzipiell seien, so Schneier, öffnen sie doch Tür und Tor für Missbrauch. Insofern trage die US-Regierung auch eine Mitverantwortung an den Angriffen auf Google und Co. resümiert der Sicherheitsexperte. (red, derStandard.at, 25.01.10)

Link

U.S. enables Chinese hacking of Google

derStandard.at/Web auf Facebook
Kommentar posten
Posting 1 bis 25 von 72
«‹›»
1 2
rapidfans.at
26.01.2010 10:34
interessant

speziell, wo ja google ein 'online' betriebsystem forcieren möchte, bei dem alle daten überhaupt nur mehr bei google (oder halt nsa usw.) gespeichert werden...

Herr Störfischer
26.01.2010 10:01
die Scheunentore

heissen mindestens
http://de.wikipedia.org/wiki/Carnivore
http://de.wikipedia.org/wiki/Echelon

russiaTV
25.01.2010 22:30
google boykottieren!

es gibt genügend alternative suchmaschinen

Jerry Garcia
 
05.02.2010 11:54
Man sollte das ernsthaft überlegen.

Google legt, wie jeder weiß, ein sehr genaues Persönlichkeitsprofil seiner User an. Diese bleiben aber nur so lange anonym, wie sie kein Google Mail oder einen anderen registrierungspflichtigen Dienst nutzen.

Wenn das Google Phone erst mal rauskommt, dann wissen die sogar ständig, wo man ist und wo man war.

Ich glaube, dann wirds wirklich haarig.

motte771
26.01.2010 00:16

Es gibt genug Suchmaschinen, aber keine die so gut ist. Und vor allem gibt es keinen Email Dienst der das leistet was Gmail leistet. Bei sensiblen Daten muss man halt verschlüsseln. (PGP) Man verschickt ja auch nicht eine Postkarte und wundert sich, dass sie ein Postler lesen konnte. Da schickt man ja auch einen Brief.

Hurz
26.01.2010 11:33
PGP nützt ja nichts, wenn

die Regierung problemlos auf die Gmail-Konten zugreifen kann, denn dort liegen die Mails ja in Klartext rum... Sie hat es nicht mehr nötig, die verschlüsselten Mails abzufangen!

motte771
26.01.2010 20:42

ahm ? wie sollen Emails die mit einem asymetrischen Verschlüsselungsverfahren verschlüsselt sind im Klartext am Server liegen. Da müsste ja Google den Private Key haben. Diesen werde ich aber niemanden geben. PGP oder GPG ist eine End-zu-End Verschlüsselung. Sie vertauschen da wohl die von Google standardmäßige SSL/TSL Verschlüsselung. Hier wird natürlich nur der Kommunikationsweg verschlüsselt. Wobei das auch schon viel mehr ist als viele andere Anbieter tun. So können wenigstens die Nachbarn nicht mithören.

Jerry Garcia
 
05.02.2010 11:58
Das ist richtig,

aber die Mails sind vom CIA trotzdem leicht zu knacken. Laut Gesetz darf in den USA kein Verschlüsselungsprogramm verkauft und benutzt werden, das eine bestimmte Schlüsselstärke überschreitet.

TurnhamGreen
26.01.2010 13:40

naja, man muss die mails schon lokal ver- und entschlüsseln, copy&paste ausm editor oder mail client + imap.

stef hagner
27.01.2010 10:11

stef@chromeos:~$ gpg -e sensibledaten.txt

oder wie darf ich mir das lokal vorstellen ;)

A. E. Neumann
26.01.2010 13:17

Aha. Bei Google liegen die verschlüsselten Mails im Klartext. Wie geht das genau, wenn Sie ihre Mail am lokalen Client verschlüsseln, sie versenden und der Empfänger sie am lokalen Client entschlüsselt? Ich bin gespannt auf Ihre Ausführungen...

Hans der Wedler
26.01.2010 20:48
Die Mails

liegen in Klartext vor. Wenn du ein Backdoor in allen großen MailAnwendungen hast, dann ist es egal ob es mit einem internen Algo verschlüsselt wird.

Oder können sie von einem andern PC mit ihren Passwort nicht auf ihren Gmail/Hotmail/.. einloggen ?

Und verschickt werden sie nicht in Klartext, aber angezeigt sehr wohl. Das heißt das Backdoor wird das wohl auch schaffen.

A. E. Neumann
27.01.2010 09:32

Was für ein "Backdoor? Und welche "MailAnwendung" meinen Sie? Wenn ich in GMail oder einem anderen Webmailer ein verschlüsseltes Mail versenden will, dann verwende ich GPG4win oder FireGPG, welches mir den Mailbody verschlüsselt in das Webmail Fensterchen reinschupfen. Mit welcher "Backdoor" der "MailAnwendung" kann der Betreiber das Mail jetzt im Klartext lesen? Ich bin gespannt. Erleuchten Sie mich.

No_lD
26.01.2010 10:27
PGP?

...ist ja die henne für das aktuelle gmail ei!
Wollen Sie den teufel mit dem beelzebub austreiben?!

sowas nennt man gemeinhin "gefährliches halbwissen".

Wenn, dann empfehlen Sie bitte GnuPG, nicht das kommerzielle PGP. Ruedi Weiss hat schon 2002 sehr eindrucksvoll in der theorie bewiesen, dass PGP nicht sicher ist, da hier auch die Möglichkeit einer backdoor besteht (und mehr, aber googlens halt bitte selbst nach).

A. E. Neumann
26.01.2010 13:17

Was genau macht das kommerzielle PGP "schlechter"?

No_lD
26.01.2010 19:14
das ist nicht der punkt...

schlechter macht es (eigentlich) nichts, es ist als kommerzielle Lösung halt nicht vertrauenswürdig - sprich: niemand kennt den Algorithmus dahinter, was bei OpenSource Algos, die z.b. GnuPG nutzt, generell nicht so ist.
PGP - "gesicherte" Daten sind also per se nicht sicher.

A. E. Neumann
27.01.2010 09:50

Aha. Sind Sie sicher, dass niemand den Algorithmus dahinter kennt? PGP verwendete RSA und jetzt DH/DSS. Aber woher weiß ich das, wenn es doch geheim ist? Von Wikipedia! Und damit auch Klarheit darüber herrscht, was wirklich in den Programmen drinnen ist, veröffentlicht PGP die Sourcecodes ihrer Produkte: http://www.pgp.com/developer... index.html

Was macht PGP "gesicherte" Daten nun unsicherer als GPG gesicherte? Ich denke nichts.

Vor allem, weil Sie *nicht* wissen, ob die NSA über eine mathematische Abkürzung zu elGamal oder den anderen, patenfreien Algorithmen verfügt. Bekannt ist nur, dass die NSA sehr gute Mathematiker beschäftigt. Alles andere ist Spekulation.

No_lD
27.01.2010 11:13
naja

2002 war das noch nicht so.
Woher wollen Sie also wissen, gemäss dem Fall Sie haben Daten mit einer entsprechend alten Version von PGP verschlüsselt, dass da kein MasterKey existiert?
PGP gab offenbar irgendwann nach und setzte die GPL ein.
Seit 2002, nach beiwohnung einer vorlesung mit dem thema, hab ich mich aber schnurz für PGP interessiert :)

Der Link zum dokument zur vorlesung, damit Sie wissen, was ich meine:

http://www.sane.nl/events/sa... rKeybit.ps

Der Autor:
http://www.cryptolabs.org/ruedi/

A. E. Neumann
27.01.2010 13:22

Sie lesen nicht sehr genau. PGP steht nicht unter der GPL oder einer anderen OSS Lizenz. Der Code ist lediglich offengelegt. Und es stimmt, wenn man etwas verschlüsselt, wird es irgendwann knackbar sein. Weil es eben Fortschritte in der Mathematik und in der Rechnertechnik gibt. Da kann PGP nichts dafür, das ist der Lauf der Dinge.

Und ich weiß natürlich nicht, ob es einen Masterkey gibt. Allerdings bin ich auch kein Mathematiker oder Kryptologe. So wie bei vielen anderen Bereichen muss ich mich hier auf Experten verlassen. Auch bei GPG, denn ich kann den Code nicht prüfen. Für mich sind demnach beide Produkte gleichwertig. Mit einem Unterschied: Bei PGP kriege ich Support.

No_lD
27.01.2010 13:52

ich habe geschrieben:
"PGP gab offenbar irgendwann nach und setzte die GPL ein"

Auf der homepage, unter dem von ihnen geposteten link sind alle eingesetzten GPL modifikationen veröffentlicht, wie es sich gehört. Und sie behaupten, PGP setzt die GPL nicht ein? AHA, wer liest hier nicht genau?

Dass sie kein Kryptologe sind weiss ich schon seit ihrem ersten posting in der sache ;)
Und "Experten" gibt es viele, auch welche, die keine sind, letztere in der Überzahl. Die einzigen Experten auf die ich mich in Sachen Kryptosoftware verlasse, sind mitglieder vom CCC.

Der wahre Unterschied ist aber: Bei PGP zahlen sie für den Support.
Fazit: Sie wollen sicher sein?
Nutzen sie nur signierte GPL Softwarepakete!

A. E. Neumann
27.01.2010 16:28

"Although PGP® software itself is not subject to the GNU General Public License (GPL), PGP Corporation utilizes certain code subject to the GPL. PGP Corporation made a small number of modifications to some of the GPL code it uses."

Das heisst: PGP "setzt" die GPL nicht für ihre eigenen Produkte ein. PGP hat fremde Produkte modifiziert, die unter der GPL stehen und muss in Folge den Code ebenfalls freigeben. Das ist ein Unterschied. Sie dürfen den Code der PGP Produkte nicht ohne Lizenz verwenden. Im Gegensatz zu den GPL Produkten, die von PGP erweitert wurden.

Und ja, ich zahle für Support von PGP. Aber bei GPG gibts gar keinen Support. Ich zwar herungoogeln, aber auch Zeit ist Geld. Naja. Bei Studenten vielleicht nicht.

Bastian Balthasar Bux
26.01.2010 14:27

weil man sich immer noch nicht sicher sein kann, dass da kein regierungs-backdoor drin steckt. Eine zeitlang war das sogar recht wahrscheinlich (da sind irgendwann code-zeilen aufgetaucht, die hätten darauf hinweisen sollen, waren aber zu dem zeitpunkt "nur" auskommentiert vorhanden, AFAIR).

bei gpg hingegen können sie sich die original sourcen, die von einer breiten öffentlichkeit reviewed werden können, runterladen und ihre eigene version draus builden.

A. E. Neumann
27.01.2010 09:51

http://www.pgp.com/developer... index.html
Noch Fragen?

Bastian Balthasar Bux
27.01.2010 11:25

ja. Woher wissen Sie, dass die Binaries genau aus diesem Sourcecode gebildet werden?
Das Buildsystem wird ja AFAIK nicht mehr veröffentlicht, oder? Damit wird es für die meisten wohl relativ schwierig, das ganze selber zu kompilieren, und selbst für Programmierer bedeutet es einen Mehraufwand, den ich mit GPG ganz einfach vermeiden kann.

A. E. Neumann
27.01.2010 13:04

Jaja. Das reicht alles nicht. Weil nicht sein kann was nicht sein darf.

Kommentar posten
Posting 1 bis 25 von 72
«‹›»
1 2

Die Kommentare von Usern und Userinnen geben nicht notwendigerweise die Meinung der Redaktion wieder. Die Redaktion behält sich vor, Kommentare, welche straf- oder zivilrechtliche Normen verletzen, den guten Sitten widersprechen oder sonst dem Ansehen des Mediums zuwiderlaufen (siehe ausführliche Forenregeln), zu entfernen. Der/Die Benutzer/in kann diesfalls keine Ansprüche stellen. Weiters behält sich die derStandard.at GmbH vor, Schadenersatzansprüche geltend zu machen und strafrechtlich relevante Tatbestände zur Anzeige zu bringen.

© derStandard.at GmbH 2012 - Impressum

Alle Rechte vorbehalten. Nutzung ausschließlich für den privaten Eigenbedarf.
Eine Weiterverwendung und Reproduktion über den persönlichen Gebrauch hinaus ist nicht gestattet.