[vialukai]

NSA und GCHQ haben das Sicherheitsschloss des Internets aufgebrochen

Nach Informationen von Edward Snowden ist es Geheimdiensten gelungen, die Verschlüsselung via HTTPS zu umgehen. Mit Milliarden wurden dazu auch Technikfirmen bestochen.


Der US-Geheimdienst NSA und der britische Geheimdienst GCHQ haben sich offenbar Zugang zu Verschlüsselungszertifikaten verschafft, die Internetnutzern eigentlich eine sichere Datenverbindung garantieren sollen. Dies geht aus Dokumenten des Whistleblowers Edward Snowden hervor, aus denen der Guardian und die New York Times zitieren. Demnach können die Geheimdienste Datenübertragungen mitlesen, die via SSL verschlüsselt sind.

Diese Technik wird eingesetzt, um die Kommunikation des Browsers mit Websites zu verschlüsseln. Besteht eine solche sichere Verbindung, zeigt der Browser in der Adresszeile das Kürzel HTTPS an. Ob Bankkonto, der Zugang zu E-Mails oder zum Facebook-Account: Verbindungen via SSL galten bislang als vergleichsweise sicher. Die neuen Dokumente legen nahe, dass die Geheimdienste Wege gefunden haben, diese Verschlüsselung zu knacken.
Anzeige

Das Programm der NSA zum Überwinden der Netzverschlüsselung trägt laut Guardian den Namen Bullrun – nach einer Schlacht im amerikanischen Bürgerkrieg. In einem geheimen Dokument, das der Zeitung vorliegt, wird beschrieben, was Bullrun kann. Der Dienst habe Fähigkeiten, um weitverbreitete Onlineprotokolle wie HTTPS, Voice-over-IP und SSL zu knacken.

Ziel des Programmes sei es, "in kommerzielle Verschlüsselungssysteme Hintertüren einzubauen". Doch gehen die Dienste noch weiter. Offenbar ist es ihnen gelungen, auf das Design von Verschlüsselungstechniken Zugriff zu bekommen. Sie hätten inzwischen Einfluss auf die internationalen Standards, nach denen solche Sicherheitsprogramme entwickelt werden, was die "versteckte Beeinflussung" von Programmentwicklungen erlaube.

Damit haben die Geheimdienste die grundlegende Sicherung zerstört, die Menschen im Netz vor Überwachung, vor allem aber vor Kriminellen schützt.

"Nutzer müssen sich das Netz zurückholen"

Der amerikanische Sicherheitsberater und Kryptograf Bruce Schneier schreibt in einem Kommentar für den Guardian: "Regierung und Industrie haben das Internet verraten und uns auch." Indem die NSA aus dem Internet eine Überwachungsplattform gemacht habe, habe sie einen Gesellschaftsvertrag gebrochen. "This is not the internet the world needs, or the internet its creators envisioned. We need to take it back." Das sei nicht mehr das Internet, das die Welt brauche, oder das seine Erfinder im Sinn gehabt hätten, schreibt Schneier. "Wir müssen es uns zurückholen."

In den Medienberichten heißt es, dass sich die Geheimdienste eine Reihe von Methoden angeeignet haben, um bei ihrer systematischen Spionage die verschlüsselten Verbindungen für weite Teile des Internets zu umgehen. NSA und GCHQ sei es durch Kontakte zu den vermeintlich vertrauenswürdigen Verschlüsselungsanbietern gelungen, Hintertüren in die sicheren Verbindungen einzubauen.

Allein im laufenden Jahr stehen demnach für das Programm Bullrun 254,9 Millionen Dollar bereit. Seit 2011 sollen mehr als 800 Millionen Dollar dafür ausgegeben worden sein, schreibt die Zeitung. Im Vergleich dazu wirkt der Etat für die Spähsoftware Prism winzig, er beträgt 20 Millionen Dollar im Jahr.

Tempora drohte nutzlos zu werden

Bei dem ganzen Projekt war der britische Geheimdienst offenbar ein wichtiger Partner. Der GCHQ betreibt, wie die Welt inzwischen ebenfalls dank Snowden weiß, das Projekt Tempora. Dabei werden die Daten abgefangen, die durch Überseekabel geleitet werden. In einem Dokument des GCHQ aus dem Jahr 2010 wird davor gewarnt, dass diese Quelle für Informationen zu versiegen drohe, da immer mehr Internetfirmen ihre Websites verschlüsselt anbieten würden.

In Großbritannien wurde daher ein eigenes Crackerprojekt gestartet, der Codename ist laut Guardian Edgehill, ebenfalls der Name einer historischen Schlacht. Das ursprüngliche Ziel von Edgehill war es demnach, den gesicherten Datenverkehr von drei großen, nicht namentlich genannten Betreibern zu knacken und den von 30 Virtual Private Networks. Das sind Anbieter, die ihren Kunden garantieren, dass sie über eine sogenannte VPN-Verbindung unbeobachtet surfen. Viele Firmen nutzen VPN, um Mitarbeiter im Außendienst mit den eigenen Servern zu verbinden.

Experten mahnen, dass kein Internet-Nutzer seine Daten mehr in Sicherheit wägen kann. "Verschlüsselung ist die Grundlage für ein vertrauenswürdiges Internet", sagt Schneider, "durch das bewusste Untergraben von Internet-Sicherheit gefährdet die NSA für ihre Ausspähaktionen mit geringen Arbeitsaufwand die Grundstruktur des Internets".

[ Link nur für registrierte Mitglieder sichtbar. Bitte einloggen oder neu registrieren ]

Schon ziemlich erschreckend wenn man mal so darüber nach denkt.
Deshalb möchte ich an dieser Stelle auf eine Demo am kommenden Samstag aufmerksam machen "[ Link nur für registrierte Mitglieder sichtbar. Bitte einloggen oder neu registrieren ]", die in Berlin stattfindet. Im Link findet ihr alle Infos dazu.
Kommt zahlreich, es ist UNSER INTERNET und UNSERE FREIHEIT!

Nachtrag
[ Link nur für registrierte Mitglieder sichtbar. Bitte einloggen oder neu registrieren ] berichtet gerade auch darüber, somit ist der Bericht wohl authentisch.

[kopierpapier]

...selbsterklärend

[spartan-b292]

Man muss den Artikel bzw. die Artikel schon genau lesen, denn im Prinzip hat da niemand eine Möglichkeit gefunden SSL zu brechen.

Was sie tun ist, die Schlüssel zu klauen (hatten wir schon öfter) oder Entwickler von (proprietärer) Verschlüsselungssoftware dazu "bewegen" Fehler oder Hintertüren in die Software einzubauen. Außerdem nimmt die NSA oder allgmein Geheimdienste Einfluss auf Standards für Verschlüsselungsverfahren, deshalb ist es auch gut vorstellbar das sie dafür sorgen das unsichere Methoden in den Standards bleiben.

Was auch vorstellbar ist, dass die NSA mit ihrem neuen Rechenzentrum in der Lage ist 1024 bit RSA zu entschlüsseln, das ist aber auch schon etwas länger klar dass das die nächste Schlüssellänge ist die als unsicher gillt.

[Wiedergänger]

Zitat von spartan-b292

Was auch vorstellbar ist, dass die NSA mit ihrem neuen Rechenzentrum in der Lage ist 1024 bit RSA zu entschlüsseln, das ist aber auch schon etwas länger klar dass das die nächste Schlüssellänge ist die als unsicher gillt.

Also dass sagt mir nichts ^^ Bezieht sich das auf die Komplexität der Verschlüsselung? Und ist die normalerweise denn besser?

@Topic: Ich würde mal vermuten, dass es durchaus ein paar nicht-kommerzielle Dienste gibt, für die sie keinen Schlüssel haben. Aber wie will man sich darauf verlassen können?

[spartan-b292]

Ein RSA Schlüssel enthält u.a "eine große Zahl", Modulus genannt. Wenn man von z.B. 1024 Bit spricht hat der Modulus eine Länge von 1024 Bit. Normalerweise nimmt man heute mindestens 2048 Bit.