211service.com
Die Umgehung der Verschlüsselung macht die Hände der NSA online frei
Eine Reihe von Lecks in diesem Sommer hat ergeben, dass die National Security Agency neuartige Interpretationen des US-Rechts verwendet, um massenhaft Daten von den größten Internetunternehmen der Welt zu sammeln. Jetzt deuten neue Berichte über die technischen Fähigkeiten der NSA darauf hin, dass die Agentur die meisten Online-Kommunikationen tatsächlich lesen kann, ohne sich direkt an die Diensteanbieter wenden zu müssen.
Der New York Times , unter Berufung auf durchgesickerte Dokumente des ehemaligen NSA-Auftragnehmers Edward Snowden, Berichte dass die NSA einen Großteil der online verwendeten Verschlüsselung umgangen oder geknackt hat. Solche Fähigkeiten könnten sehr wirkungsvoll mit dem Zugang kombiniert werden, den die Behörde bekanntermaßen auf den Verkehr hat, der von Internetdienstanbietern und großen internationalen Telekommunikationskabeln getragen wird.
Dies deutet darauf hin, dass sie beispielsweise nicht mehr zu Google gehen müssen; sie können Daten von AT&T entschlüsseln oder ihre eigene Infrastruktur nutzen, zum Beispiel auf den Seekabeln, sagt Dan Auerbach, Stabstechnologe bei der Electronic Frontier Foundation .
Die Nutzung ihrer Überwachungsfunktionen durch die NSA ist durch das US-Gesetz eingeschränkt, das die Überwachung von US-Bürgern verbietet. Durch Lecks Anfang dieses Sommers wurde jedoch bekannt, dass die Behörde bisher unbekannte rechtliche Auslegungen verwendet hat, um das Sammeln von Massendaten von US-Kommunikationsunternehmen für eine spätere Analyse zu rechtfertigen (siehe NSA Surveillance Reflects a Broader Interpretation of the Patriot Act). Gegner der Taktik sagen, dass die Massensammlung das Risiko eines versehentlichen oder anderweitigen Missbrauchs von Überwachungsbefugnissen birgt.
Der Mal berichten und einer vom Wächter die auf denselben Dokumenten basieren, lassen viele Einzelheiten zu den Fähigkeiten der NSA aus, beschreiben jedoch Methoden, die in zwei große Kategorien fallen: gezielte Bemühungen, die die von einem bestimmten Unternehmen verwendete Verschlüsselung umgehen, und Methoden, die die zugrunde liegenden kryptografischen Systeme vieler Unternehmen angreifen können.
In der ersten Kategorie soll die NSA eine Datenbank mit Verschlüsselungsschlüsseln unterhalten, die von vielen Online-Anbietern zum Schutz von Daten verwendet werden, sodass alle Daten dieser Dienste leicht entschlüsselt werden können. Die Schlüssel werden Berichten zufolge durch gerichtliche Verfügungen erlangt, durch Gewinnung der freiwilligen Zusammenarbeit der Unternehmen oder durch Hackerangriffe auf Unternehmen, um deren Schlüssel zu stehlen. Angriffe auf bestimmte Unternehmen sind offenbar auch möglich, weil die NSA die Verschlüsselungschips einiger Diensteanbieter kompromittiert hat. Dies geschah, so der Bericht, indem sie Sicherheitslücken entdeckte oder sogar Hersteller überredete, Hintertüren zu installieren.
Die Stärke und der Umfang der zweiten Kategorie von Angriffen, die darauf abzielen, kryptografische Algorithmen zu untergraben, sind weniger klar. Der Mal sagt, die NSA habe Fortschritte bei Techniken gemacht, die es praktisch machen könnten, die allgemein als sicher angesehene Verschlüsselung rückgängig zu machen, teilweise durch Beeinflussung des Designs kryptografischer Standards, um eine geheime Hintertür zu schaffen. Ein Hauptaugenmerk dieser Angriffe lag auf SSL, der Technologie, die verwendet wird, um sichere Verbindungen zu Online-Diensten wie Banking zu erzwingen.
Kryptographie-Experten haben Mühe, die Nachricht zu verdauen, dass Standards, die sie für sicher hielten, möglicherweise von der NSA eingeführte Sicherheitslücken aufweisen. Ohne Einzelheiten über die Art und Effizienz solcher Angriffe ist es jedoch unwahrscheinlich, dass SSL aufgegeben wird.
Es gibt Technologien, die es Unternehmen ermöglichen könnten, die Fähigkeit der NSA, die Verschlüsselung zu umgehen, einzuschränken, indem sie sich ihren Verschlüsselungsschlüssel besorgen, der zum Sichern von Daten verwendet wird. Eine Technik namens Perfect Forward Secrecy würde die Behörde daran hindern, einen Verschlüsselungsschlüssel zu verwenden, der einem Unternehmen entnommen oder mathematisch geknackt wurde, um alle zukünftigen und vergangenen Kommunikationen zu entschlüsseln. Anstatt einen immer wieder verwendeten Schlüssel zu verwenden, erstellt Perfect Forward Secrecy temporäre Schlüssel, die nur für eine bestimmte sichere Kommunikationssitzung zwischen einem Benutzer und einem Anbieter verwendet werden.
Google hat die Methode 2011 übernommen, und Auerbach sagt, mein grobes Verständnis ist, dass es der einzige große Dienstanbieter ist, der sie verwendet. Die EFF versucht seit Monaten, andere Internetunternehmen zum Nachziehen zu bewegen, ohne Erfolg.
Auerbach hofft, dass die Nachrichten in dieser Woche Internetunternehmen veranlassen werden, die Implementierung von Perfect Forward Secrecy stärker zu forcieren. Viele Unternehmen haben ihre Sicherheits- und Datenschutzpraktiken bereits im Lichte der NSA-Enthüllungen überprüft, sagt er, und es ist unwahrscheinlich, dass diese Behörde die einzige ist, die versucht, die Verschlüsselung zu umgehen. Wir sprechen nicht nur von der US-Regierung, sondern auch von anderen Geheimdiensten.
Joseph Lorenzo Hall, leitender Mitarbeiter Technologe bei der Zentrum für Demokratie & Technologie , eine gemeinnützige Washingtoner Non-Profit-Organisation, sagt, dass technische Lösungen wie Perfect Forward Secrecy die NSA dazu veranlassen könnten, Internetdienstanbieter zu zwingen, einen Umweg zu installieren. Selbst wenn man eine gute technische Lösung erfinden sollte, könnte man in die Lage versetzt werden, Kompromisse einzugehen, sagt er. Durch die Schaffung solcher Hintertüren würde die NSA tatsächlich die nationale Sicherheit der USA untergraben, indem sie Wege schaffte, die andere Akteure ausnutzen könnten.