Unsicheres Cryptocat: "Das ist ein Desaster"
Auf der Sigint 2013 musst sich der Cryptocat-Entwickler Nadim Kobeissi Kritik stellen. (Bild: Jörg Thoma/Golem.de)

Unsicheres Cryptocat "Das ist ein Desaster"

Der Gründer und Hauptentwickler von Cryptocat wollte eigentlich die Vorzüge seines Projekts auf der Sigint 2013 vorstellen. Stattdessen musste sich Nadim Kobeissi aber rechtfertigen - für eine gefährliche Sicherheitslücke in seinem Chatsystem.

Anzeige

Es sollte ein gemütlicher Vortrag auf der diesjährigen Hacker-Konferenz Sigint 2013 in Köln über die Vorzüge des verschlüsselten Chatsystems Cryptocat werden. Stattdessen musste Nadim Kobeissi sich für die jüngst bekanntgewordene Sicherheitslücke in Cryptocat rechtfertigen. Ausgerechnet in der Verschlüsselung hatte er einen schweren Fehler eingebaut. Mit Hilfe eines Werkzeugs lassen sich privaten Schlüssel von Cryptocat schnell und einfach berechnen.

Kobeissi gab sich zerknirscht und wehrte sich auch gegen die erhobenen Vorwürfe, wer seine Software nutze, bringen Menschen in Gefahr. Der gebürtige Libanese, der in Kanada lebt und arbeitet, sagte, er habe zu keinem Zeitpunkt Aktivisten in gefährdeten Ländern dazu geraten, seine Software einzusetzen. Tatsächlich verspricht Cryptocat eine einfache Möglichkeit, sicher zu chatten. Und sie soll leicht zu installieren und nutzen sein, für Nutzer, die sich mit Technik nicht auskennen.

Verschlüsselung für alle

Das ist das Hauptanliegen von Cryptocat und seines Initiators Kobeissi. Er habe eine Software entwickeln wollen, bei der sich Nutzer nicht zuerst Gedanken machen müssen wie sie mit PGP verschlüsseln, sondern einfach mit dem Chatten loslegen können. Dass sämtliche vor 2013 für das Chatprogramm erstellten Schlüssel unsicher sind, bezeichnet Kobeissi als "absolutes Desaster" für das nur er selbst verantwortlich sei.

Der Bug sei im Gruppenchat des Chatsystems, das er selbst von Grund auf entwickelt habe, sagte Kobeissi. Er sei ohnehin für etwa 80 Prozent des Programmcodes verantwortlich, bekomme nur wenig Hilfe. Und er selbst sei kein Kryptografieexperte, sagte Kobeissi mehrfach. Er könne dabei Hilfe gebrauchen. Geplant seien außerdem Multi-Party-OTR, Video und Audio über WebRTC und eine bessere Authentifizierung.

Weitermachen

Er habe in den letzten Tagen den Sinn des Projekts überdacht, aber er wolle Cryptocat nicht aufgeben, sagte Kobeissi. Es sind nicht die ersten schweren Fehler, die bekanntwurden, seitdem das Projekt 2011 startete. Beispielsweise war die Auslieferung des Chatprogramms zunächst unsicher, denn die als Browser-Plugin umgesetzte Anwendung war nicht signiert. Lange Zeit fehlte Browsern ein nutzbarer Zufallsgenerator. Er selbst hatte eine weitere schwere Sicherheitslücke in die Benutzeroberfläche einprogrammiert. Das alles gibt Kobeissi in seinem Vortrag unumwunden zu. Und erntet damit Sympathie aus dem Publikum. Der Hacker Felix "FX" Lindner sagt, Cryptocat sei selbst mit kaputter Verschlüsselung allemal besser als Skype. Ein anderer Zuschauer beruhigt Kobeissi: Er könne hier doch sehen, dass alles nicht so schlimm sei. "Dann hast Du darüber aber nicht auf Twitter gelesen!" entgegnete Kobeissi.

Nach dem Vortrag habe er zahlreiche Hilfsangebote bekommen, auch von Entwicklern, die sich mit Kryptografie auskennen, sagte Kobeissi Golem.de. Und er überdenke, wie er das Projekt besser organisieren und mehr Entwickler einbeziehen könne. Gerade bewirbt er sein Projekt auf den Lightning Talks auf der Sigint 2013.


Hu5eL 10. Jul 2013

Weil man immer einen für "private" Projekte zur Hand hat... Logo

Noppen 07. Jul 2013

Was bedeutet "Allheilmittel"?

Atalanttore 06. Jul 2013

Wenn der Programmierer in der IT-Abteilung einer deutschen Behörde arbeiten würde, würde...

Kommentieren



Anzeige

  1. Systems Engineer / Systemingenieur Production IT (m/w)
    Sandvik Holding GmbH, Frankfurt am Main
  2. Partnermanager B2B Cloudportal (m/w)
    über HRM CONSULTING GmbH, Stuttgart
  3. Senior Software Engineer Mobile (m/w)
    MaibornWolff GmbH, München
  4. Leiter Delivery IT Services (m/w)
    über HRM CONSULTING GmbH, München, Frankfurt/Main, Hamburg oder Berlin

 

Detailsuche


Folgen Sie uns
       


  1. Weiche Landung

    Automatik-Fallschirm für Drohnen

  2. Google Apps for Business

    Sprint steigt bei Googles App-Programm ein

  3. Verkehrsbehörde

    Mitfahrdienst Uber in Hamburg gestoppt

  4. Cyberattacke

    Hacker stiehlt Nutzerdaten von Wall Street Journal und Vice

  5. Quartalsbericht

    Facebook mit hohem Gewinn und starkem Nutzerwachstum

  6. Ofcom

    Briten schalten den Pornofilter ab

  7. Erstmal keine Integration

    iOS 8 und OS X Yosemite sollen nicht parallel erscheinen

  8. Privacy

    Unsichtbares Tracking mit Bildern statt Cookies

  9. Oberster Gerichtshof

    Österreichs Provider gegen Internetsperren zu Kino.to

  10. Eigene Cloud

    Owncloud 7 mit Server-to-Server-Sharing



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Luftfahrt: Die Rückkehr der Überschallflieger
Luftfahrt
Die Rückkehr der Überschallflieger
  1. Verkehr FBI sorgt sich um autonome Autos als "tödliche Waffen"
  2. Steampunk High Tech trifft auf Dampfmaschine
  3. Aerovelo Eta Kanadier wollen mit 134-km/h-Fahrrad Weltrekord aufstellen

Destiny angespielt: Schöne Grüße vom Master Chief
Destiny angespielt
Schöne Grüße vom Master Chief
  1. Bungie Drei Betakeys für Destiny
  2. Activison Destiny ungeschnitten "ab 16" und mit US-Tonspur
  3. Bungie Destiny läuft auch auf der Xbox One in 1080p mit 30 fps

Let's Player: "Es gibt Spiele, für die man bezahlt wird"
Let's Player
"Es gibt Spiele, für die man bezahlt wird"
  1. Transocean Handelssimulation mit Ozeanriesen
  2. Dieselstörmers angespielt Diablo plus Diesel
  3. Quo Vadis Computec Media übernimmt Mehrheit an Aruba Events

    •  / 
    Zum Artikel