GSTOOL soll Unternehmen bei Sicherheitsfragen unterstützen.
GSTOOL soll Unternehmen bei Sicherheitsfragen unterstützen. (Bild: Screenshot: Golem)

GSTool: BSI bedroht Sicherheitsforscher

Verschiedene Personen berichten dem Bundesamt für Sicherheit in der Informationstechnik (BSI) von einer gravierenden Sicherheitslücke in der Verschlüsselung des von der Behörde bereitgestellten Programms GSTool. Statt Dank erhalten sie juristische Drohungen.

Anzeige

GSTool ist ein vom Bundesamt für Sicherheit in der Informationstechnik (BSI) bereitgestelltes Programm, das Unternehmen bei der Erstellung von Sicherheitskonzepten nach dem sogenannten IT-Grundschutz helfen soll. Dabei bietet GSTool auch die Möglichkeit, Daten zu verschlüsseln. Doch offenbar ist diese Verschlüsselung komplett unsicher.

Jan Schejbal, Mitglied der Piratenpartei, berichtet in seinem Blog, dass er bereits vor zwei Jahren auf die Sicherheitsprobleme gestoßen sei. Demnach verwendet GSTool zur Verschlüsselung einen zu einfachen Zufallszahlengenerator. Die Zahl der möglichen Schlüssel sinkt damit auf 2 hoch 31. Damit lässt sich die Verschlüsselung durch simples Durchprobieren der möglichen Schlüssel (Brute Force) in kurzer Zeit vollständig brechen.

"Und um diese Lücke zu finden, braucht es keine NSA-Experten", kommentiert Jan Schejbal den Vorfall in seinem Blog. "Das hat der chinesische Geheimdienst und jeder andere Wirtschaftsspion sicher auch hinbekommen. Kein schöner Gedanke für deutsche Unternehmen, die sich auf die Sicherheit dieser von einer für die IT-Sicherheit zuständigen Behörde herausgegebenen Software verlassen haben."

Als die Entdecker der Sicherheitslücke das BSI informierten, wurde ihnen mitgeteilt, dass man davon ausgehe, dass das Reverse Engineering von GSTool eine Urheberrechtsverletzung darstelle und dass derartige Vorfälle "sehr strikt verfolgt" würden. Die Autoren wurden gebeten, die Sicherheitslücken nicht zu veröffentlichen.

Das BSI benötigte dann etwa eineinhalb Jahre, um eine korrigierte Version von GSTool bereitzustellen. Die "Korrektur" bestand allerdings darin, die Verschlüsselungsfunktion aus dem Programm komplett zu entfernen. Auch wurden Nutzer von GSTool nicht über die Sicherheitslücke informiert.

Die schlechten Zufallszahlen sind nicht das einzige Problem von GSTool. Das Programm nutzt den Verschlüsselungsmodus ECB (Electronic Code Book), der von allen Verschlüsselungsmodi als unsicherste Wahl überhaupt gilt. Außerdem nutzt GSTool einen vom BSI selbst entwickelten, geheimen Verschlüsselungsalgorithmus namens Chiasmus. Die Verwendung von Geheimalgorithmen gilt unter Kryptographen als "Security by obscurity" und wird von der Fachwelt als absolut inakzeptabel angesehen. Algorithmen müssen nach dem sogenannten Kerckhoffs'schen Prinzip öffentlich dokumentiert und von einer großen Zahl von Fachleuten überprüft worden sein, um als sicher zu gelten.

Offenbar war Jan Schejbal nicht der Einzige, der auf die Probleme in GSTool stieß. Bereits 2009 hatte Felix Schuster von der Ruhr-Universität Bochum das BSI ebenfalls auf mögliche Probleme hingewiesen. Das BSI lehnte aber eine Analyse durch Schuster ab, somit wurden die entsprechenden Informationen nie an die Behörde weitergegeben. Jan Schejbal bittet weitere Personen, die im Zusammenhang mit GSTool Sicherheitslücken entdeckt haben und daher Kontakt mit dem BSI hatten, sich bei ihm zu melden.

Die aktuelle Version von GSTool besitzt nun keine Verschlüsselungsfunktion mehr. Der Chiasmus-Algorithmus wird weiterhin von einem Tool namens Chiasmus für Windows genutzt. Allerdings ist dieses Tool nicht öffentlich zugänglich. Da es sich bei den gefundenen Schwachstellen um Probleme der Implementierung in GSTool handelt, ist Chiasmus für Windows vermutlich nicht betroffen. Eine Analyse des verwendeten Algorithmus durch Kryptographen steht aber weiterhin aus, da Chiasmus immer noch geheim ist.

Jan Schejbal hat bereits vor drei Jahren gravierende Sicherheitsprobleme in der Updatefunktion der sogenannten Ausweis-App entdeckt. Die Ausweis-App wurde anschließend vom BSI zurückgezogen.

Aufgrund der Probleme und der langsamen Reaktionszeit des BSI will Schejbal künftig darauf verzichten, staatliche Behörden im Vorfeld über Sicherheitslücken zu informieren und stattdessen direkt an die Öffentlichkeit gehen. "Alles andere sorgt nur für unnötigen Stress, Verzögerungen und unter-den-Teppich-kehren", so Schejbal.

Wir haben beim BSI um eine Stellungnahme gebeten, diese aber bisher nicht erhalten.


meine_meinung 12. Sep 2013

das mag sein... so oder so, das BSI ist zur Zeit nicht in der Lage die Rolle zu spielen...

a user 12. Sep 2013

wie wär's, wenn du mal erläuterst inwiefern er die kurche im dorf lassen soll? irgendwie...

a user 12. Sep 2013

manipulation großer internetunternehmen urangeschosse in der buneswehr (ist zwar länger...

janspambox 12. Sep 2013

Genau für die Verschlüsselung von Exports ist die Funktion gedacht.

Fanti4ever 12. Sep 2013

Dem BSI sollte bewusst sein, dass das Dekompilieren von Software in Deutschland (auf...

Kommentieren



Anzeige

  1. Java Softwareentwickler (m/w)
    VSA GmbH, München
  2. Mitarbeiter in der Beratung (m/w) Business Analyst / Business Designer
    Daimler AG, Leinfelden-Echterdingen
  3. System Architekt/in Hardware / Software
    Bosch Sensortec GmbH, Reutlingen
  4. Webentwickler (m/w) Backend für mediamarkt.de & saturn.de
    redblue Marketing GmbH, München

 

Detailsuche


Hardware-Angebote
  1. Samsung-UHDTV kaufen und Sommer-Bonus erhalten
    100,00€ bis 1.000,00€ Cashback
  2. Marshall STANMOREBLACK stanmore Bluetooth-Lautsprecher
    285,00€ statt 329,00€
  3. PCGH-Extreme-PC GTX980Ti-Edition
    (Core i7-5820K + Geforce GTX 980 Ti)

 

Weitere Angebote


Folgen Sie uns
       


  1. Quartalsbericht

    Facebook hat fast 1,5 Milliarden Nutzer

  2. Magnetische Induktion

    US-Wissenschaftler verbessern drahtlose Stromübertragung

  3. DDR4-4000

    Gskills neuer Arbeitsspeicher taktet mit 2 GHz

  4. Yager

    Dead-Island-2-Projektgesellschaft ist insolvent

  5. Nokia

    Ozo nimmt 360-Grad-Videos in Echtzeit auf

  6. Nintendo

    Wii U schafft die 10-Millionen-Marke

  7. Allison Road

    Das geistige Erbe von Silent Hill entwickelt ein Deutscher

  8. Windows 10

    Verteilung des Gratis-Upgrades erzwingen

  9. Actionspiel

    EA kündigt Titanfall Online an

  10. Windows 10 im Test

    Unfertiger, aber guter Windows-8.1-Bugfix



Haben wir etwas übersehen?

E-Mail an news@golem.de



Broadwell-C im Test: Intels Spätzünder auf Speed
Broadwell-C im Test
Intels Spätzünder auf Speed
  1. Core i7-5775C im Kurztest Dank Iris Pro Graphics und EDRAM überraschend flott
  2. Prozessor Intels Broadwell bietet die schnellste integrierte Grafik
  3. Prozessor Intels Broadwell Unlocked wird teuer

Kritik an Dieter Nuhr: Wir alle sind der Shitstorm
Kritik an Dieter Nuhr
Wir alle sind der Shitstorm

Visual Studio 2015 erschienen: Ganz viel für Apps und Open Source
Visual Studio 2015 erschienen
Ganz viel für Apps und Open Source
  1. Windows 10 IoT Core angetestet Windows auf dem Raspberry Pi 2

  1. Re: Erzwingen über cmd funktioniert nicht

    Vollpfosten | 05:58

  2. Re: Shuffle shuffle ...

    Moe479 | 05:54

  3. Re: 2 Millionen für einen Stecker?

    das_mav | 05:49

  4. Re: Gibt es schon

    das_mav | 05:48

  5. Re: Qi ? Wlan ?

    das_mav | 05:43


  1. 22:38

  2. 18:20

  3. 17:18

  4. 16:58

  5. 16:04

  6. 15:47

  7. 15:15

  8. 13:05


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel