2013, Blog

NSA und GCHQ sollen Verschlüsselungen umgehen können

Natürlich können Sie das. Das Prinzip wird unter anderem auch von Trojanern auf lokalen PCs erledigt. Die Daten werden bereits vor der Verschlüsselung abgegriffen, weil das genutzte System bereits übernommen wurde, oder es besteht Zugang am Endpunkt bzw. beim Partner der verschlüsselten Kommunikation, oder durch Zugriff auf die Kommunikationsinfrastruktur (ISP, Lokale Netze). Das unter bestimmten Umständen auch verschlüsselte Kommunikation entschlüsselt werden kann, ist aber auch kein Geheimnis. Das Gesamtpaket muss stimmen (Passwörter, Algorithmus, Vertrauen zum Partner etc., VPN, https, lokale Verschlüsselung). Hier einige Artikel:

http://www.berliner-zeitung.de/spionage-skandal/nsa…

http://www.taz.de/NSA…

http://www.zeit.de/digital/datenschutz/2013…

http://www.propublica.org/article/the-nsa…

http://www.theguardian.com/world/2013/sep/05/nsa…

http://www.nytimes.com/2013/09/06/uss/na…

Um auf SSL-Verschlüsselung zurückzukommen hier eine Meldung aus dem Januar 2013 zur Nokia. Dort wird ganz offen zugegeben SSL-verschlüsselten Inhalt zu entschlüsseln. Der Traffic wird dafür über Proxy-Server geleitet. Auch diese Methode ist jetzt nicht der große Aufmacher. Genutzt wird dafür ein SSL-Proxy. Der SSL-Proxy führt schlicht und einfach einen nomalen „Man in the middle“-Angriff durch. Da schlägt das Herz des Hackers höher. Wenn der Nutzer nun eine verschlüsselte Webseite aufruft, stellt der SSL-Proxy die Verbindung mit dem Ziel her – schickt den entschlüsselten Inhalt dann entweder in eine LogDatei für die Sicherheitsorgane oder zu einem Virenscanner, was normalerweise getan wird, dann sendet er die Daten über eine lokale SSL-gesicherte Verbindung an den Nutzer. Der Nutzer merkt nichts. Der Proxy weiß Alles.

Also nochmal kurz:

Nutzer <–> gesicherte Verbindung zum SSL-Proxy <--> Proxy [mit entschlüsselten Daten] <--> gesicherte Verbindung zum Ziel per SSL.

Proxies werden in vielen Firmen schon seit Jahren eingesetzt und niemand regt sich über diese Möglichkeit auf. Einfach mal lesen. Eine Methode die auch für Geheimdienste in Frage kommt und genutzt wird, wenn Sie Zugriff auf die Kommunikationsinfrastruktur haben. Was sie ja haben 🙂 ! Oder, Jungs?

Tagged , , , ,