GSTool: BSI bedroht Sicherheitsforscher
GSTOOL soll Unternehmen bei Sicherheitsfragen unterstützen. (Bild: Screenshot: Golem)

GSTool: BSI bedroht Sicherheitsforscher

Verschiedene Personen berichten dem Bundesamt für Sicherheit in der Informationstechnik (BSI) von einer gravierenden Sicherheitslücke in der Verschlüsselung des von der Behörde bereitgestellten Programms GSTool. Statt Dank erhalten sie juristische Drohungen.

Anzeige

GSTool ist ein vom Bundesamt für Sicherheit in der Informationstechnik (BSI) bereitgestelltes Programm, das Unternehmen bei der Erstellung von Sicherheitskonzepten nach dem sogenannten IT-Grundschutz helfen soll. Dabei bietet GSTool auch die Möglichkeit, Daten zu verschlüsseln. Doch offenbar ist diese Verschlüsselung komplett unsicher.

Jan Schejbal, Mitglied der Piratenpartei, berichtet in seinem Blog, dass er bereits vor zwei Jahren auf die Sicherheitsprobleme gestoßen sei. Demnach verwendet GSTool zur Verschlüsselung einen zu einfachen Zufallszahlengenerator. Die Zahl der möglichen Schlüssel sinkt damit auf 2 hoch 31. Damit lässt sich die Verschlüsselung durch simples Durchprobieren der möglichen Schlüssel (Brute Force) in kurzer Zeit vollständig brechen.

"Und um diese Lücke zu finden, braucht es keine NSA-Experten", kommentiert Jan Schejbal den Vorfall in seinem Blog. "Das hat der chinesische Geheimdienst und jeder andere Wirtschaftsspion sicher auch hinbekommen. Kein schöner Gedanke für deutsche Unternehmen, die sich auf die Sicherheit dieser von einer für die IT-Sicherheit zuständigen Behörde herausgegebenen Software verlassen haben."

Als die Entdecker der Sicherheitslücke das BSI informierten, wurde ihnen mitgeteilt, dass man davon ausgehe, dass das Reverse Engineering von GSTool eine Urheberrechtsverletzung darstelle und dass derartige Vorfälle "sehr strikt verfolgt" würden. Die Autoren wurden gebeten, die Sicherheitslücken nicht zu veröffentlichen.

Das BSI benötigte dann etwa eineinhalb Jahre, um eine korrigierte Version von GSTool bereitzustellen. Die "Korrektur" bestand allerdings darin, die Verschlüsselungsfunktion aus dem Programm komplett zu entfernen. Auch wurden Nutzer von GSTool nicht über die Sicherheitslücke informiert.

Die schlechten Zufallszahlen sind nicht das einzige Problem von GSTool. Das Programm nutzt den Verschlüsselungsmodus ECB (Electronic Code Book), der von allen Verschlüsselungsmodi als unsicherste Wahl überhaupt gilt. Außerdem nutzt GSTool einen vom BSI selbst entwickelten, geheimen Verschlüsselungsalgorithmus namens Chiasmus. Die Verwendung von Geheimalgorithmen gilt unter Kryptographen als "Security by obscurity" und wird von der Fachwelt als absolut inakzeptabel angesehen. Algorithmen müssen nach dem sogenannten Kerckhoffs'schen Prinzip öffentlich dokumentiert und von einer großen Zahl von Fachleuten überprüft worden sein, um als sicher zu gelten.

Offenbar war Jan Schejbal nicht der Einzige, der auf die Probleme in GSTool stieß. Bereits 2009 hatte Felix Schuster von der Ruhr-Universität Bochum das BSI ebenfalls auf mögliche Probleme hingewiesen. Das BSI lehnte aber eine Analyse durch Schuster ab, somit wurden die entsprechenden Informationen nie an die Behörde weitergegeben. Jan Schejbal bittet weitere Personen, die im Zusammenhang mit GSTool Sicherheitslücken entdeckt haben und daher Kontakt mit dem BSI hatten, sich bei ihm zu melden.

Die aktuelle Version von GSTool besitzt nun keine Verschlüsselungsfunktion mehr. Der Chiasmus-Algorithmus wird weiterhin von einem Tool namens Chiasmus für Windows genutzt. Allerdings ist dieses Tool nicht öffentlich zugänglich. Da es sich bei den gefundenen Schwachstellen um Probleme der Implementierung in GSTool handelt, ist Chiasmus für Windows vermutlich nicht betroffen. Eine Analyse des verwendeten Algorithmus durch Kryptographen steht aber weiterhin aus, da Chiasmus immer noch geheim ist.

Jan Schejbal hat bereits vor drei Jahren gravierende Sicherheitsprobleme in der Updatefunktion der sogenannten Ausweis-App entdeckt. Die Ausweis-App wurde anschließend vom BSI zurückgezogen.

Aufgrund der Probleme und der langsamen Reaktionszeit des BSI will Schejbal künftig darauf verzichten, staatliche Behörden im Vorfeld über Sicherheitslücken zu informieren und stattdessen direkt an die Öffentlichkeit gehen. "Alles andere sorgt nur für unnötigen Stress, Verzögerungen und unter-den-Teppich-kehren", so Schejbal.

Wir haben beim BSI um eine Stellungnahme gebeten, diese aber bisher nicht erhalten.


meine_meinung 12. Sep 2013

das mag sein... so oder so, das BSI ist zur Zeit nicht in der Lage die Rolle zu spielen...

a user 12. Sep 2013

wie wär's, wenn du mal erläuterst inwiefern er die kurche im dorf lassen soll? irgendwie...

a user 12. Sep 2013

manipulation großer internetunternehmen urangeschosse in der buneswehr (ist zwar länger...

janspambox 12. Sep 2013

Genau für die Verschlüsselung von Exports ist die Funktion gedacht.

Fanti4ever 12. Sep 2013

Dem BSI sollte bewusst sein, dass das Dekompilieren von Software in Deutschland (auf...

Kommentieren



Anzeige

  1. Entwickler (m/w) Automatisierung Motor- und Fahrzeugprüfstände
    Robert Bosch GmbH, Schwieberdingen
  2. Softwareentwickler für Embedded C++ (m/w)
    Basler AG, Ahrensburg (bei Hamburg)
  3. Projektmanager ERP Solutions (m/w)
    über CONusio GmbH, Aschaffenburg
  4. IT-Spezialist (m/w) Applikationsmanagement
    Medizinischer Dienst der Krankenversicherung in Bayern, München

 

Detailsuche


Folgen Sie uns
       


  1. EU-Datenschutzreform

    Einigung auf Öffnungsklauseln für die Verwaltung

  2. Abzocke

    Unbekannte kopieren deutsche Blogs

  3. Digitale Agenda

    Ein Papier, das alle enttäuscht

  4. WRT-Node

    Bastelplatine mit OpenWRT und WLAN

  5. Spiegelreflexkamera

    Schwarzer Punkt gegen helle Punkte der Nikon D810

  6. Cliffhanger Productions

    Shadowrun Online und die Nano-Drachen

  7. Star Citizen

    52 Millionen US-Dollar für ein Jetpack

  8. Virtualisierung

    Parallels Desktop 10 macht Tempo

  9. Zertifikate

    Google will vor SHA-1 warnen

  10. Mitfahrdienst auf neuen Wegen

    Uber will eigenen Lieferservice aufbauen



Haben wir etwas übersehen?

E-Mail an news@golem.de



Alienware Alpha ausprobiert: Fast lautlose Steam-Machine mit eigenem Windows-UI
Alienware Alpha ausprobiert
Fast lautlose Steam-Machine mit eigenem Windows-UI
  1. Crytek Ryse für PC mit 4K-Videos belegt über 120 GByte
  2. Wirtschaftssimulation Golem Labs entwickelt die Gilde 3
  3. Wargaming Seeschlachten mit World of Warships

Die Paten des Internets: Oliver Samwer - die "Execution-Sau"
Die Paten des Internets
Oliver Samwer - die "Execution-Sau"
  1. Samwer United Internet kauft großen Anteil von Rocket Internet
  2. Oliver Samwer "Sehr viele Unternehmen haben wir zu früh verkauft"
  3. Verivox Tarifvergleichsplattform Toptarif von Konkurrenten gekauft

Sofia: Der fliegende Blick durch den Staub
Sofia
Der fliegende Blick durch den Staub
  1. Audio aus Video Gefilmte Topfpflanze verrät Gespräche
  2. Nahrungsmittel Trinken statt Essen
  3. Bioelektronik Pilze sind die besten Zellschnittstellen

    •  / 
    Zum Artikel