Short-IDs für GnuPG sind beliebig berechenbar.
Short-IDs für GnuPG sind beliebig berechenbar. (Bild: gnupg.org)

GnuPG Schlüssel mit gleicher ID erzeugbar

Für 32 Bit lange IDs von GPG-Schlüsseln lassen sich gezielt Kollisionen erzeugen. Die Schlüssel selbst sind jedoch unterschiedlich. Ein schwerwiegendes Sicherheitsproblem besteht somit nicht.

Anzeige

Debian-Entwickler Asheesh Laroia gibt in seinem Blog bekannt, dass es möglich ist, GPG-Schlüssel mit der gleichen Short-ID zu erzeugen. Über die sogenannte Short-ID lassen sich Schlüssel beispielsweise auf Servern finden. Diese Short-IDs sind jedoch nur 32 Bit lang, eine Kollision also vergleichsweise einfach zu erzeugen. Der Entwickler Laroia rät deshalb zu mindestens 64 Bit langen IDs.

Problem bereits bekannt

Selbst mit geringer Rechenleistung ist es einfach, Kollisionen zu erzeugen. So benötigt das von Laroia geschriebene Programm nach eigener Aussage nur etwa drei Stunden auf einem Netbook, um alle möglichen Short-IDs zu durchlaufen und dazugehörige Schlüssel zu erzeugen.

Auf der Mailingliste Full Disclosure wurde dieses Problem mehrfach in diesem Jahr beschrieben. Es wurde auch ein Tool über Full Disclosure veröffentlicht, das GPG-Schlüssel mit einer vorgegebenen Short-ID erzeugen können soll. Darüber hinaus existiert ein Bugreport mit einem Patch für GPG, der dafür sorgt, dass nur noch längere IDs von GPG akzeptiert werden.

Aufmerksamkeit erzeugen

Um Aufmerksamkeit auf die Kollisionen zu ziehen, schlägt Laroia nicht ganz ernst gemeint vor, Schlüssel mit den IDs von PGP-Gründer Phil Zimmermann oder GPG-Maintainer Werner Koch zu erzeugen. Laroia gibt jedoch an: "Wenn ihr mir eine Anfrage schickt, die mit einem Schlüssel unterschrieben ist, werde ich ein 4.096-Bit-RSA-Schlüsselpaar erzeugen, dessen ID genau um 1 größer ist als eure ID."

Das von Laroia beschriebene Problem beeinträchtigt die Sicherheit jedoch eigentlich nicht, da derzeit genutzte Schlüssel eindeutig sind. Das ist auch in der Spezifikation RFC 4480 der Internet Engineering Task Force (IETF) beschrieben, die dem Programm GPG zugrunde liegt. Dort heißt es: "Implementierungen sollten nicht voraussetzen, dass Key-IDs einzigartig sind". Ebenso werden in der Spezifikation bereits mögliche Kollisionen der Schlüssel-Fingerabdrücke beschrieben.


Kommentieren



Anzeige

  1. IT-Release Manager (m/w)
    Unitymedia GmbH, Köln
  2. Consultant Finance Processes & Applications (m/w)
    Fresenius Netcare GmbH, Bad Homburg
  3. Anwendungs- / Softwareberater/in Business Intelligence (BI)
    Robert Bosch GmbH, Stuttgart-Feuerbach
  4. IT-Anwendungsbetreuer/in System- und Netzwerktechnik
    Große Kreisstadt Freising, Freising

 

Detailsuche


Blu-ray-Angebote
  1. Coriolanus [Blu-ray]
    3,99€
  2. 4 Blu-rays für 30 EUR
    (u. a. Die Unfassbaren, Escape Plan, RED 2, Braveheart, Fast & Furious 6, Titanic)
  3. VORBESTELLBAR: Fast & Furious 1-7 - Box [Blu-ray]
    49,99€ (Vorbesteller-Preisgarantie) - Release 13.08.

 

Weitere Angebote


Folgen Sie uns
       


  1. UNHRC

    Die UNO hat einen Sonderberichterstatter für Datenschutz

  2. Nordamerika

    Arin aktiviert Wartelistensystem für IPv4-Adressen

  3. Modellreihe CUH-1200

    Neue PS4 nutzt halb so viele Speicherchips

  4. Die Woche im Video

    Apple Music gestartet, Netzneutralität bedroht, NSA geleakt

  5. Internet.org

    Mark Zuckerberg will Daten per Laser auf die Erde übertragen

  6. TLC-Flash

    Samsung plant SSDs mit 2 und 4 TByte

  7. Liske

    Bitkom schließt Vorstandsmitglied im Streit aus

  8. Surfen im Ausland

    Apple SIM in Deutschland erhältlich

  9. Haushaltshilfe

    Rockets Helpling kauft Hassle.com

  10. Zynq Ultra Scale Plus

    Xilinx lässt erste 16-nm-Chips fertigen



Haben wir etwas übersehen?

E-Mail an news@golem.de



Intel Compute Stick im Test: Der mit dem Lüfter streamt
Intel Compute Stick im Test
Der mit dem Lüfter streamt
  1. Management Intel-Präsidentin tritt zurück und Mobile-Chef muss gehen
  2. FPGAs Intel wird Kauf von Altera heute ankündigen
  3. FPGAs Intel will FPGA-Experten Altera doch noch kaufen

Hanson Robotics: Technik, die dir zuzwinkert
Hanson Robotics
Technik, die dir zuzwinkert
  1. VW Tödlicher Arbeitsunfall mit einem Roboter
  2. Biomimetik Gepanzerter Roboter kriecht durch Ritzen wie eine Kakerlake
  3. Darpa Robotics Challenge Hubo ist der beste Roboter für den Katastrophenfall

Batman Arkham Knight im Test: Es ist kompliziert ...
Batman Arkham Knight im Test
Es ist kompliziert ...
  1. Arkham Knight Erster PC-Patch für Batman
  2. Technische Probleme Batman Arkham Knight nicht mehr auf Steam erhältlich

  1. Re: HDMI 2.0 ?

    bestfiction | 22:30

  2. Re: Ich hätt da noch 'ne Idee ...

    wittiko | 22:18

  3. Re: Scheiss Silverlight

    razer | 22:13

  4. Re: Fenster...

    Moe479 | 22:07

  5. und von was lebt er und bezahlt Flüge usw?

    Poison Nuke | 22:06


  1. 14:04

  2. 11:55

  3. 10:37

  4. 09:33

  5. 16:52

  6. 16:29

  7. 16:25

  8. 15:52


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel