Gravierende Sicherheitslücken in “MEGA”-Cloud

Ein Team von Kryptograf:innen der ETH Zürich hat den Cloud Service des neuseeländischen Anbieters Mega eingehend getestet. Dabei wurden Sicherheitslücken entdeckt, die es dem Anbieter ermöglichen, Kundendaten zu entschlüsseln und zu manipulieren.

“Mega – The most trusted, best-​protected Cloud Storage”, so bewirbt der neuseeländische Cloud-​Service-Anbieter Mega seine Dienstleistungen. Wie viele Anbieter von Cloud-​Lösungen verspricht auch Mega, dass nicht mal das Unternehmen selbst die gespeicherten Daten der Kunden einsehen oder verändern kann. Dabei geht es nicht in erster Linie darum, ob die Kunden dem Anbieter vertrauen, sondern auch darum, dass grosse IT-​Dienstleister mit Millionen von Kunden und Milliarden an gespeicherten Dateien, wie Mega, zwangsläufig ins Visier von Geheimdiensten, Regierungen oder Personen mit kriminellen Absichten geraten. “Man kann bei keinem grossen Cloudanbieter ausschliessen, dass seine Systeme kompromittiert sind”, sagt Kenneth Paterson. “Ausserdem kommt es auch immer wieder vor, dass Anbieter mit Regierungsorganisationen zusammenarbeiten.” Umso wichtiger ist es, dass einzig die Kunden ihre Cloud-​Daten entschlüsseln können.

Die ETH-​Kryptografieexpert:innen Matilda Backendal, Miro Haller und Prof. Kenneth G. Paterson haben die Verschlüsselung von Mega getestet und sind dabei auf gravierende Sicherheitslücken gestossen. Diese ermöglichen es dem Anbieter – oder Dritten, die sich Zugriff auf die Server von Mega verschaffen – Kundendaten zu entschlüsseln, zu verändern oder gezielt Daten auf dem Speicher der Kunden zu platzieren.

Grundlegende Schwachstelle: Ein Schlüssel für alles

Paterson und sein Team haben den Quellcode der Neuseeländischen Software analysiert und stiessen dabei auf mehrere kritische Sicherheitslücken. Um die Effektivität der Angriffe zu testen, bauten sie die Plattform der Neuseeländer teilweise nach und versuchten, die persönlichen Konten der Forschenden anzugreifen.

Wenn ein User auf sein Mega-​Konto zugreift, kann durch eine Manipulation der Sitzungs-​ID der private RSA-​Schlüssel des Users innerhalb von maximal 512 Login-​Vorgängen gestohlen werden. Dieser Schlüssel wird zum Austauschen von Daten benutzt. Durch eine zusätzliche Manipulation der Mega-​Software auf dem Computer des Opfers, kann das betroffene Benutzerkonto dazu gebracht werden, sich automatisch immer wieder einzuloggen. Damit wird die Dauer bis zur vollständigen Offenlegung des Schlüssels auf wenige Minuten verkürzt.

Da unter anderem die Schlüssel für die Dateiverschlüsslung auf dieselbe Weise geschützt werden, können die Angreifer:innen aufbauend auf dem Wissen aus der ersten Attacke auch sämtliche weiteren Schlüssel offenlegen.

Daten stehlen, manipulieren oder selbst hochladen

Nun haben die Angreifer kompletten Zugriff auf die unverschlüsselten Userdaten und können diese kopieren und manipulieren. Eine zusätzliche Angriffsvariante ermöglicht es sogar, beliebige Daten in das Cloud-​Laufwerk des Opfers hochzuladen. So können die Täter das Opfer betrügen oder erpressen, indem kontroverses, illegales oder kompromittierendes Material in dessen Dateispeicher eingefügt wird. Das Opfer wiederum hat keine Chance, nachzuweisen, dass es das Material nicht selbst hochgeladen hat.

Die Forschenden der ETH haben die gefundenen Schwachstellen gegenüber Mega offengelegt. “Zusätzlich haben wir Mega einen dreistufigen Massnahmenplan vorgelegt, der aufzeigt, wie die Sicherheitslücken behoben werden könnten”, so Paterson. In einer ersten Phase empfahl das Team eine Reihe von Sofortmassnahmen, welche die Benutzer vor den schwerwiegendsten Sicherheitsproblemen schützen. Die zweite Phase sieht umfangreichere Änderungen vor, um Angriffe effizienter abzuwehren, ohne dass kostspielige Änderungen wie die Neuverschlüsselung von Daten vorgenommen werden müssen. Die Dritte Phase umfasst langfristige Ziele für die Neugestaltung der kryptografischen Architektur. “Das Unternehmen hat jedoch andere Massnahmen ergriffen als diejenigen, die wir vorschlugen”, sagt Paterson. Sie vermögen aber den ersten Angriff – also denjenigen auf den RSA-​Key – zu verhindern.

www.hk.ethz.ch