GnuPG: Schlüssel mit gleicher ID erzeugbar
Short-IDs für GnuPG sind beliebig berechenbar. (Bild: gnupg.org)

GnuPG Schlüssel mit gleicher ID erzeugbar

Für 32 Bit lange IDs von GPG-Schlüsseln lassen sich gezielt Kollisionen erzeugen. Die Schlüssel selbst sind jedoch unterschiedlich. Ein schwerwiegendes Sicherheitsproblem besteht somit nicht.

Anzeige

Debian-Entwickler Asheesh Laroia gibt in seinem Blog bekannt, dass es möglich ist, GPG-Schlüssel mit der gleichen Short-ID zu erzeugen. Über die sogenannte Short-ID lassen sich Schlüssel beispielsweise auf Servern finden. Diese Short-IDs sind jedoch nur 32 Bit lang, eine Kollision also vergleichsweise einfach zu erzeugen. Der Entwickler Laroia rät deshalb zu mindestens 64 Bit langen IDs.

Problem bereits bekannt

Selbst mit geringer Rechenleistung ist es einfach, Kollisionen zu erzeugen. So benötigt das von Laroia geschriebene Programm nach eigener Aussage nur etwa drei Stunden auf einem Netbook, um alle möglichen Short-IDs zu durchlaufen und dazugehörige Schlüssel zu erzeugen.

Auf der Mailingliste Full Disclosure wurde dieses Problem mehrfach in diesem Jahr beschrieben. Es wurde auch ein Tool über Full Disclosure veröffentlicht, das GPG-Schlüssel mit einer vorgegebenen Short-ID erzeugen können soll. Darüber hinaus existiert ein Bugreport mit einem Patch für GPG, der dafür sorgt, dass nur noch längere IDs von GPG akzeptiert werden.

Aufmerksamkeit erzeugen

Um Aufmerksamkeit auf die Kollisionen zu ziehen, schlägt Laroia nicht ganz ernst gemeint vor, Schlüssel mit den IDs von PGP-Gründer Phil Zimmermann oder GPG-Maintainer Werner Koch zu erzeugen. Laroia gibt jedoch an: "Wenn ihr mir eine Anfrage schickt, die mit einem Schlüssel unterschrieben ist, werde ich ein 4.096-Bit-RSA-Schlüsselpaar erzeugen, dessen ID genau um 1 größer ist als eure ID."

Das von Laroia beschriebene Problem beeinträchtigt die Sicherheit jedoch eigentlich nicht, da derzeit genutzte Schlüssel eindeutig sind. Das ist auch in der Spezifikation RFC 4480 der Internet Engineering Task Force (IETF) beschrieben, die dem Programm GPG zugrunde liegt. Dort heißt es: "Implementierungen sollten nicht voraussetzen, dass Key-IDs einzigartig sind". Ebenso werden in der Spezifikation bereits mögliche Kollisionen der Schlüssel-Fingerabdrücke beschrieben.


Kommentieren



Anzeige

  1. Mobile Developer (m/w) für iOS / Android / Windows Phone
    GIGATRONIK Stuttgart GmbH, München
  2. Senior Software Engineer (m/w) Healthcare MR
    Siemens AG, Erlangen
  3. Softwareentwickler.NET (m/w)
    VMT GmbH, Bruchsal bei Karlsruhe
  4. Spezialist Client Management (m/w)
    Festo AG & Co. KG, Ostfildern bei Stuttgart

 

Detailsuche


Folgen Sie uns
       


  1. Spiele-API

    DirectX-11 wird parallel zu DirectX-12 weiterentwickelt

  2. Streaming-Box

    Netflix noch im Herbst für Amazons Fire TV

  3. Schnell, aber ungenau

    Roboter springt im Explosionsschritt

  4. Urteil

    Foxconn-Arbeiter wegen iPhone-6-Diebstahl verhaftet

  5. Weniger Consumer-Notebooks

    Toshiba baut 900 Arbeitsplätze in der PC-Sparte ab

  6. XSS

    Cross-Site-Scripting über DNS-Records

  7. Venue 8 7000

    6-mm-Tablet wird mit Dell Cast zum Desktop

  8. HTML5-Videostreaming

    Netflix arbeitet an Linux-Unterstützung

  9. iPhone 6 und iPhone 6 Plus im Test

    Aus klein mach groß und größer

  10. Cloudflare

    TLS-Verbindungen ohne Schlüssel sollen Banken schützen



Haben wir etwas übersehen?

E-Mail an news@golem.de



Netflix-Start in Deutschland: Der Kampf um den Video-on-Demand-Markt
Netflix-Start in Deutschland
Der Kampf um den Video-on-Demand-Markt

Alcatel Onetouch Fire E im Kurztest: Gutes Gehäuse, träges Betriebssystem
Alcatel Onetouch Fire E im Kurztest
Gutes Gehäuse, träges Betriebssystem
  1. Firefox-Nightly Web-IDE von Mozilla zum Testen bereit

Test Destiny: Schicksal voller Widersprüche
Test Destiny
Schicksal voller Widersprüche
  1. Destiny 500 Millionen US-Dollar Umsatz mit "steriler Welt"
  2. Destiny "Größter Unterschied sind sehr pixelige Schatten"
  3. Bungie Kostenloses Upgrade von Old- zu Current-Gen-Konsolen

    •  / 
    Zum Artikel