Quellen-TKÜ: Schlampige Software voller Anfängerfehler
Blick auf die Trojanersoftware auf dem Rechner von Dirk Engling vom CCC (Bild: Odd Andersen/AFP/Getty Images)

Quellen-TKÜ

Schlampige Software voller Anfängerfehler

Was taugt der Trojaner eigentlich, den vor allem Landesbehörden zur Quellen-TKÜ eingesetzt haben? Softwareentwickler finden, er war mangelhaft und viel zu teuer.

Anzeige

Vor drei, vier Jahren, als der damals noch sogenannte Bundestrojaner in der Öffentlichkeit debattiert wurde, war die Angst vor ihm groß. Niemand wusste, was er wirklich kann, wie gut er ist, ob man sich davor schützen kann. Nun ist ein solcher Trojaner bekannt. Und es sieht so aus, als sei die Angst vor ihm eher unbegründet gewesen. Bei Experten zumindest führt die Software eher zu Gelächter.

Der Chaos Computer Club schrieb in seiner Analyse des von mehreren Bundesländern eingesetzten Trojaners von "Anfängerfehlern" und urteilte: "Wir sind hocherfreut, dass sich für die moralisch fragwürdige Tätigkeit der Programmierung der Computerwanze kein fähiger Experte gewinnen ließ und die Aufgabe am Ende bei studentischen Hilfskräften mit noch nicht entwickeltem festen Moralfundament hängenblieb."

Die Hacker sind nicht allein mit ihrer Einschätzung. Das würde ein ambitionierter Informatikstudent im zweiten Semester besser hinbekommen, ist die einhellige Meinung jener, die sich mit Trojanern und Verschlüsselung befassen.

Nicht, dass die Software nicht funktioniert hätte. Das tat sie offensichtlich. Die Qualität der Programmierung aber ist offensichtlich nicht sehr hoch.

Da ist beispielsweise die von der Spähsoftware benutzte Verschlüsselung, beziehungsweise der Versuch, eine Verschlüsselung zu nutzen. Das verwendete Verfahren namens AES ist zwar an sich sicher, wurde hier aber so eingesetzt, dass die Entwickler es auch gleich hätten lassen können.

AES benutzt einen festen Schlüssel, der beiden Seiten bekannt ist. Das an sich gilt heutzutage schon als Problem. Wird nämlich eine Seite geknackt, ist die andere schutzlos. Daher nutzen aktuelle Verfahren Schlüssel, die einen privaten und einen öffentlichen Teil haben. Sie tauschen nur den öffentlichen Teil. Den privaten Teil kennt die Gegenseite nicht. Ein Einbruch bei einer Seite öffnet damit nicht automatisch beide Türen.

Noch dazu wurde dieser eine vorhandene AES-Schlüssel fest in das Programm installiert, also nicht bei jeder Sitzung neu erzeugt - was das Knacken enorm erschweren würde. Der fest installierte und immer gleiche Schlüssel aber führt dazu, dass ein Angreifer mit dem Programm reden und schauen kann, wie es antwortet. Dabei sieht er, dass bei gleicher "Frage" immer die gleiche "Antwort" erfolgt - da die Verschlüsselung immer gleich ist. Das genügt, um durch Ausprobieren die Verschlüsselung knacken zu können. Feste Schlüssel halten nur Anfänger auf, so die Einschätzung von Kryptographie-Experten.

Eine Aussage aus dem Bundeskriminalamt deutet darauf hin, dass auch der anders gebaute und neuere Trojaner des BKA auf solche festen Schlüssel setzt. Zumindest sagte ein hochrangiger BKA-Mitarbeiter, die Authentifizierung zwischen Trojaner und Steuerserver funktioniere über einen Schlüssel. Sicher sei das, weil dieser Schlüssel "nicht bekannt ist". Allerdings gilt in der Kryptographie das Konzept security by obscurity - also Sicherheit durch Verschleierung - als unsicher. Besser sind offene Verfahren, wie eben öffentliche Teilschlüssel.

Virenscanner hätten ihn finden können 

dehacker 17. Okt 2011

Ist das ein Hin und Her-geplänkel. Was Ihr alle nicht kapiert, ist das der Trojaner nur...

Anonymer Nutzer 14. Okt 2011

... dann wird es ganz finster bezüglich der Freiheit dieser Gesellschaft. Wo soll das...

7hyrael 14. Okt 2011

ne riesensauerei wird es tatsächlich bleiben. und genauso konsequenzlos für vermutlich...

Shadow27374 13. Okt 2011

Mag sein, dass die meisten nur nachplappern. Aber eine Aussage des CCC ist in meinen...

DeepSec 13. Okt 2011

Ich halte es für ein völlig zulässig Aussage, denn der Durchschnittsstudent im 2...

Kommentieren


Proteus News und Aktuelles / 15. Okt 2011

griechische Mythologie auf Landesebene: unsere Trojaner

Phrixos-IT SEO Hard- Software PC-Probleme Internet / 13. Okt 2011

Warum aufregen über die Qualität der Staatstrojaner Software?



Anzeige

  1. Produktmanager für digitales Entertainment / Product Owner (m/w)
    Media-Saturn Deutschland GmbH, Ingolstadt
  2. Systemadministrator (m/w) Windows
    KDO Personaldienste, Oldenburg
  3. Inhouse Spezialist SAP (m/w)
    ROTA YOKOGAWA GmbH & Co. KG, Wehr am Rhein
  4. Software-Entwickler/in für IT-Lösungen im Bereich Vernetztes Fahrzeug / Telematiksysteme
    ESG Elektroniksystem- und Logistik-GmbH, München

 

Detailsuche


Folgen Sie uns
       


  1. iPad Air 2 im Test

    Toll, aber kein Muss

  2. Nocomentator

    Filterkiste blendet Sportkommentare aus

  3. Gameworks

    Nvidia rollt den Rasen aus

  4. Rolling-Release

    Opensuse Factory und Tumbleweed werden zusammengeführt

  5. Project Ara

    Google will nicht nur das Smartphone neu erfinden

  6. Wildstar

    NC Soft entlässt Mitarbeiter

  7. Mozilla

    Einfache Web-Apps auf dem Smartphone erstellen

  8. Civ Beyond Earth Benchmark

    Schneller, ohne Mikroruckler und geringere Latenz mit Mantle

  9. Allview X2 Soul mini

    Sehr dünnes Smartphone im Alu-Gehäuse für 200 Euro

  10. Toybox Turbos

    Codemasters veranstaltet Rennen auf dem Frühstückstisch



Haben wir etwas übersehen?

E-Mail an news@golem.de



Spacelift: Der Fahrstuhl zu den Sternen
Spacelift
Der Fahrstuhl zu den Sternen
  1. Raumfahrt Mondrover Andy liefert Bilder für Oculus Rift
  2. Geheimmission im All Militärdrohne X-37B nach Langzeiteinsatz gelandet
  3. Raumfahrt Indische Sonde Mangalyaan erreicht den Mars

3D-Druck ausprobiert: Internetausdrucker 4.0
3D-Druck ausprobiert
Internetausdrucker 4.0
  1. Niedriger Schmelzpunkt 3D-Drucken mit metallischer Tinte
  2. Deltadrucker Magna Japanisches Unternehmen zeigt Riesen-3D-Drucker
  3. 3D-Technologie US-Armee will Sprengköpfe drucken

Qubes OS angeschaut: Abschottung bringt mehr Sicherheit
Qubes OS angeschaut
Abschottung bringt mehr Sicherheit

    •  / 
    Zum Artikel