Anzeige

E-Mail Security

In letzter Zeit traten gehäuft Probleme bei der Verwendung von PGP und Keyservern auf: Bereits Angriffe mit einfachsten Methoden auf SKS Keyserver führten zu Überlastungen und dazu, dass Schlüssel unbrauchbar wurden. Darauf machen die IT-Sicherheitsexperten der PSW GROUP aufmerksam.

Die E-Mail-Verschlüsselung per PGP ist attraktiv: Kostenfrei und mit wenig Aufwand können Anwender ihren Mail-Verkehr verschlüsseln. Dieses Verfahren hat jedoch deutliche Schwächen, die dazu führen, dass das vermeintliche Gefühl von Sicherheit tatsächlich beeinträchtigt wird. „Mittels eines PGP Key Servers kann jeder Nutzer auf einfache Art ein Schlüsselpaar erstellen. Das allerdings ist das erste Problem: Jeder kann für jeden x-beliebigen anderen Menschen eine Nutzerkennung anlegen, die aus Vor- und Zunamen sowie der E-Mail-Adresse besteht. Eine Identitätsprüfung findet dabei nicht statt“, so Christian Heutger, CTO der PSW GROUP.

Stattdessen verifizieren und bestätigen andere Nutzer die Identität nach dem Ansatz des Web of Trust: Durch eine PGP-Signatur bekunden PGP-Nutzer ihr Vertrauen am öffentlichen Schlüssel. So soll versichert werden, dass dieser Schlüssel zum darin benannten Besitzer gehört. Dabei ist es möglich, in der Signatur den Umfang der Prüfung einfließen zu lassen. Die drei möglichen Grade (“gar nicht”, “nur einfach” oder “sehr genau”) zeigen sich jedoch sehr unpräzise. Der IT-Sicherheitsexperte kritisiert: „Richtige Definitionen existieren nicht für diese Prüfungen. Versteht ein User unter “nur einfach” womöglich das telefonische Vorlesen des Fingerabdrucks, verlangt ein anderer Nutzer für dieselbe Stufe eine Ausweiskopie.“ Eine weitere Schwäche dieses Systems: Keine unabhängige Instanz, sondern andere User prüfen den Schlüssel und damit die Identität. Die komplette Sicherheit des Verschlüsselungsverfahrens beruht auf Vertrauens- oder Misstrauensbekundungen der Nutzer untereinander.

„Es existieren weder inhaltliche noch kryptografische Prüfungen der Daten, die auf den Schlüsselservern landen. Würde etwa ein Schlüssel für Diese E-Mail-Adresse ist vor Spambots geschützt! Zur Anzeige muss JavaScript eingeschaltet sein! ausgestellt werden, muss das nicht bedeuten, dass der Inhaber der E-Mail-Adresse den Schlüssel auch erstellt hat. Jeder könnte diesen Schlüssel erstellen und auf dem Schlüsselserver hochladen“, verdeutlicht Christian Heutger anhand eines Beispiels und macht auf weitere Probleme dieses Konzepts aufmerksam: „Daten wieder zu löschen, ist in der Praxis nicht vorgesehen. So stellen sich bereits datenschutzrechtliche Fragen der Zulässigkeit von Schlüsselservern. Zudem führt das fast ungeprüfte Hochladen neuer Daten zu möglichen Angriffsszenarien. Und die fehlende Validierung der Daten wiederum eröffnet den Weg für Angriffe – etwa durch absichtlich hervorgerufene Daten-Überlastung.“

Schlüssel signieren, erweitern und “vergiften”

Es ist möglich, an einen bestehenden Schlüssel zusätzlich eine Nutzerkennung anzuhängen. Diese kann so groß sein, dass das Kryptografiesystem GnuPG überfordert wird. Der Schlüssel lässt sich dann nicht mehr vom Keyserver herunterladen und mit GnuPG importieren. „Macht man dies im größeren Stil, hängt also mehrere große Nutzerkennungen an einen Schlüssel an, überlastet der Keyserver und ist in der Folge für User nicht mehr erreichbar. Das vergiftet einen Schlüssel und sorgt dafür, dass dieser von niemandem abgerufen werden kann. Als logische Konsequenz lassen sich E-Mails nicht mehr verschlüsseln“, so Heutger. Da bislang keine Lösung für diese Probleme in Sicht ist, rät er auf eine Alternative zu PGP umzusteigen, etwa die E-Mail-Verschlüsselung mittels S/MIME. „Zwar sind E-Mail-Zertifikate nicht kostenfrei, dafür bieten sie durch ein Validierungsverfahren höhere Sicherheit. Die Zertifikate lassen sich nicht von jedem bearbeiten. Die Identität des E-Mail-Adressen-Inhabers wird von einem unabhängigen Dritten überprüft, sodass man sichergehen kann, dass signierte E-Mails tatsächlich von dem genannten Empfänger stammen“, so der IT-Sicherheitsexperte.

Weitere Informationen unter: https://www.psw-group.de/blog/herausforderungen-bei-der-verwendung-von-keyservern/7036

 www.psw-group.de
 


Newsletter Anmeldung

Smarte News aus der IT-Welt

Sie möchten wöchentlich über die aktuellen Fachartikel auf it-daily.net informiert werden? Dann abonnieren Sie jetzt den Newsletter!

Newsletter eBook

Exklusiv für Sie

Als Newsletter-Abonnent erhalten Sie das Booklet „Social Engineering: High Noon“ mit zahlreichen Illustrationen exklusiv und kostenlos als PDF!

 

Weitere Artikel

Datenschutzverletzungen 2020: Über 22 Milliarden offengelegte Datensätze

Das Security Response Team (SRT) von Tenable hat Datensicherheitsverletzungen analysiert und für den Zeitraum von Januar bis Oktober 2020 insgesamt 730 öffentlich bekannt gewordene Vorfälle festgestellt.
Privacy-Shield

Google, Amazon und Co. nach Schrems II – Wie geht es weiter?

Der Europäische Gerichtshof hat das Privacy-Shield Abkommen mit den USA in dem sog. Schrems II Urteil für ungültig erklärt. Auch die Anwendung der EU-Standardvertragsklauseln oder von verbindlichen Unternehmensregeln hält das european data protecion board…
Privacy

Privatsphäre und Daten im Internet schützen: Die besten Tipps

Die Evolution des Internets und der digitalen Welt ist nicht aufzuhalten und das ist gut so. Das Internet 2.0 bietet immer vielfältigere Möglichkeiten und es kann mit Spannung erwartet werden, auf welche tollen Neuerungen wir uns in Zukunft noch freuen…

Anzeige

Newsletter Anmeldung

Smarte News aus der IT-Welt

Sie möchten wöchentlich über die aktuellen Fachartikel auf it-daily.net informiert werden? Dann abonnieren Sie jetzt den Newsletter!

Newsletter eBook

Exklusiv für Sie

Als Newsletter-Abonnent erhalten Sie das Booklet „Social Engineering: High Noon“ mit zahlreichen Illustrationen exklusiv und kostenlos als PDF!