GnuPG: Schlüssel mit gleicher ID erzeugbar
Short-IDs für GnuPG sind beliebig berechenbar. (Bild: gnupg.org)

GnuPG Schlüssel mit gleicher ID erzeugbar

Für 32 Bit lange IDs von GPG-Schlüsseln lassen sich gezielt Kollisionen erzeugen. Die Schlüssel selbst sind jedoch unterschiedlich. Ein schwerwiegendes Sicherheitsproblem besteht somit nicht.

Anzeige

Debian-Entwickler Asheesh Laroia gibt in seinem Blog bekannt, dass es möglich ist, GPG-Schlüssel mit der gleichen Short-ID zu erzeugen. Über die sogenannte Short-ID lassen sich Schlüssel beispielsweise auf Servern finden. Diese Short-IDs sind jedoch nur 32 Bit lang, eine Kollision also vergleichsweise einfach zu erzeugen. Der Entwickler Laroia rät deshalb zu mindestens 64 Bit langen IDs.

Problem bereits bekannt

Selbst mit geringer Rechenleistung ist es einfach, Kollisionen zu erzeugen. So benötigt das von Laroia geschriebene Programm nach eigener Aussage nur etwa drei Stunden auf einem Netbook, um alle möglichen Short-IDs zu durchlaufen und dazugehörige Schlüssel zu erzeugen.

Auf der Mailingliste Full Disclosure wurde dieses Problem mehrfach in diesem Jahr beschrieben. Es wurde auch ein Tool über Full Disclosure veröffentlicht, das GPG-Schlüssel mit einer vorgegebenen Short-ID erzeugen können soll. Darüber hinaus existiert ein Bugreport mit einem Patch für GPG, der dafür sorgt, dass nur noch längere IDs von GPG akzeptiert werden.

Aufmerksamkeit erzeugen

Um Aufmerksamkeit auf die Kollisionen zu ziehen, schlägt Laroia nicht ganz ernst gemeint vor, Schlüssel mit den IDs von PGP-Gründer Phil Zimmermann oder GPG-Maintainer Werner Koch zu erzeugen. Laroia gibt jedoch an: "Wenn ihr mir eine Anfrage schickt, die mit einem Schlüssel unterschrieben ist, werde ich ein 4.096-Bit-RSA-Schlüsselpaar erzeugen, dessen ID genau um 1 größer ist als eure ID."

Das von Laroia beschriebene Problem beeinträchtigt die Sicherheit jedoch eigentlich nicht, da derzeit genutzte Schlüssel eindeutig sind. Das ist auch in der Spezifikation RFC 4480 der Internet Engineering Task Force (IETF) beschrieben, die dem Programm GPG zugrunde liegt. Dort heißt es: "Implementierungen sollten nicht voraussetzen, dass Key-IDs einzigartig sind". Ebenso werden in der Spezifikation bereits mögliche Kollisionen der Schlüssel-Fingerabdrücke beschrieben.


Kommentieren



Anzeige

  1. Planungsingenieurin / Planungsingenieur
    Berliner Verkehrsbetriebe (BVG), Berlin
  2. Service Manager IT-Vertrieb (m/w)
    Daimler AG, Stuttgart
  3. Mitarbeiter in der Beratung (m/w) Prozesse und Methoden Produktdatenmanagement
    Daimler AG, Stuttgart-Untertürkheim
  4. System Engineer - Cloud Computing (m/w) - Schwerpunkt LAMP-Stack
    Syzygy Deutschland GmbH, Bad Homburg bei Frankfurt am Main

 

Detailsuche


Folgen Sie uns
       


  1. Geräuschunterdrückung

    Bose verklagt Beats wegen Patentverletzungen

  2. Google-Konkurrent

    Baidu will teilautonomes Fahrzeug bauen

  3. USA

    Kongress ermöglicht das Entsperren von Smartphones

  4. Urheberrecht

    Spanien besteuert Hyperlinks

  5. NSA-Affäre

    Grüne und Linke stellen Ultimatum für Snowden-Anhörung

  6. Hamburg

    Behörde geht nicht gegen Mitfahrdienst Uber vor

  7. Buchanalyse

    Apple hat E-Book-Startup Booklamp gekauft

  8. Liebessimulation Love Plus

    "Ich hoffe, du wirst für immer schön bleiben"

  9. Translate Community

    Nutzer sollen Google-Übersetzungen verbessern

  10. TWRP

    Custom Recovery für Android Wear vorgestellt



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
IMHO: Share Economy regulieren, nicht verbieten
IMHO
Share Economy regulieren, nicht verbieten
  1. NSA-Affäre Macht euch wichtig!
  2. IMHO Und wir sind selber schuld!
  3. Head Mounted Display Valve zeigt neue Version seiner VR-Brille

Privacy: Unsichtbares Tracking mit Bildern statt Cookies
Privacy
Unsichtbares Tracking mit Bildern statt Cookies
  1. Passenger Name Record Journalist findet seine Kreditkartendaten beim US-Zoll
  2. Android Zurücksetzen löscht Daten nur unvollständig
  3. Privatsphäre Bundesminister verlangt Datenschutz beim vernetzten Auto

PC-Spiele mit 4K, 6K, 8K, 15K: "Spielen mit Downsampling schlägt Full-HD immer"
PC-Spiele mit 4K, 6K, 8K, 15K
"Spielen mit Downsampling schlägt Full-HD immer"
  1. Transformers Ära des Untergangs - gefilmt mit Sensoren im Imax-Format
  2. Intel-Partnerschaft mit Samsung 4K-Monitore sollen unter 400 US-Dollar gedrückt werden
  3. Asus ROG Kleine Gaming-PCs im Konsolendesign mit Desktophardware

    •  / 
    Zum Artikel