Die Internet Security-Spezialisten der PSW GROUP sind Medienberichten entgegengetreten, wonach NSA und FBI über Master- oder Generalschlüssel SSL-gesicherte Kommunikation ausspähen könnten. [...]
Unterschiedliche Medien hatten in den vergangenen Tagen berichtet, dass die US-Sicherheitsbehörden Internet-Unternehmen angeblich dazu drängen, entsprechende Schlüssel herauszugeben. PSW-Geschäftsführer Christian Heutger zweifelt an dieser Darstellung: „Zunächst einmal ist festzustellen, dass es so etwas wie Generalschlüssel, mit denen sich die SSL-gesicherte Kommunikation jeglicher Nutzer entschlüsseln ließe, gar nicht gibt.“
Anstatt dessen wäre aber denkbar, dass SSL-Zertifizierungsstellen eigene Root-Schlüssel oder Zwischenzertifikate an Behörden herausgeben, um darüber Man-in-the-Middle Attacken auf den geschützten Datenaustausch zu ermöglichen. „Das Prinzip gleicht dem Verfahren, welches Firewall-Filter nutzen. Sie lesen den HTTPS-Verkehr mit, indem sie die Kommunikation des Benutzers terminieren und eine weitere verschlüsselte Verbindung bis zum angefragten Server als Stellvertreter aufbauen“, so Christian Heutger.
Facebook, Microsoft und Co. könnten den Sicherheitsbehörden jedoch einen solchen Root-Schlüssel überhaupt nicht aushändigen, da es sich bei den Unternehmen nicht um autorisierte SSL-Zertifizierungsstellen handelt. Und würde eine solche dahingehend mit der NSA oder dem FBI kooperieren, drohe ihr das Aus. Ihre SSL-Zertifikate wären kompromittiert und würden von den gängigen Webbrowsern nicht mehr unterstützt. „Wir halten es daher für absolut unwahrscheinlich, dass eine solche Zusammenarbeit stattfindet. Wer trotzdem Zweifel hat, sollte bei der Wahl des SSL-Zertifikats eine Zertifizierungsstelle ohne jeglichen Einfluss der USA wählen. Hier bietet sich unter anderem SwissSign an“, empfiehlt der Internet Security-Experte.
Internet-Diensteanbietern rät er außerdem dazu, auf die SSL-Funktion Perfect Forward Secrecy (PFS) zurückzugreifen. Sie realisiere eine zukunftssichere Verschlüsselung, in dem sie verhindert, dass bereits abgeschlossene aber verschlüsselt aufgezeichnete Kommunikation durch nachträgliches Bekanntwerden des geheimen Schlüssels kompromittiert wird. Google ist einer der wenigen großen Anbieter, die das Verfahren bereits konsequent einsetzen. „Heute aufzeichnen, morgen knacken – mit Perfect Forward Secrecy können NSA und Co. dieser Devise nicht mehr folgen“, betont Christian Heutger. (pi)
Be the first to comment