Abo
  • Services:
Anzeige
OpenBSD IPSEC-Stack: Erste Prüfungen entkräften Backdoor-Verdacht

OpenBSD IPSEC-Stack

Erste Prüfungen entkräften Backdoor-Verdacht

Nach einer ersten Prüfung des Codes des IPSEC-Stacks in OpenBSD geben die Entwickler Entwarnung: Es gebe keine Hinweise dafür, dass Backdoor-Programme in den Code eingeschleust wurden.

Der Verdacht, dass Entwickler in den Jahren 2000 und 2001 Hintertüren in den IPSEC-Stack von OpenBSD eingeschleust haben, hat sich nicht erhärtet. Bei einer ersten Prüfung wurden lediglich drei Fehler gefunden: Eine bereits bekannte Padding-Oracle-Schwachstelle in den Initialisierungsvektoren von Netzwerktreibern ist - wohl versehentlich - noch nicht beseitigt worden. Zudem gibt es einen Fehler in einem der Hardwaretreiber und einen weiteren im Subsystem zur Zufallszahlenerzeugung.

Anzeige

OpenBSD-Gründer Theo de Raadt hatte eine E-Mail des Softwareentwicklers Gregory Perry veröffentlicht, in der dieser auf mögliche Hintertüren in der IPSEC-Implementierung von OpenBSD hinweist. Demnach haben einige Entwickler im Auftrag der US-Regierung in den Jahren 2000 und 2001 entsprechende Schwachstellen in den Code eingebaut.

Perry war nach eigenen Angaben seinerzeit CTO bei Netsec und arrangierte in diesem Zusammenhang auch Codespenden für das OpenBSD Crypto Framework. Zugleich aber habe er auch das FBI im Rahmen des GSA Technical Support Center beraten, ein Projekt für kryptographisches Reverse Engineering, heißt es in der E-Mail. Er benennt in seiner E-Mail konkrete Entwickler, die für den Einbau der Backdoors verantwortlich gewesen sein sollen.

Zumindest einer der verdächtigten Entwickler wurde inzwischen entlastet. Dieser habe lediglich an der Treiberentwicklung und nicht an dem betroffenen Crypto-Framework gearbeitet. Er bestritt die Vorwürfe gegen ihn in einer E-Mail, wolle aber keine Details zu seiner Arbeit bei Netsec liefern.

Der zweite Programmierer, der von Perry beschuldigt wurde, bleibt jedoch unter Verdacht. Er ist der Architekt und war einer der Hauptentwickler des IPSEC-Stacks. Kurz nachdem er bei Netsec anheuerte, wurde das Konzept der unsicheren Initialisierungsvektoren in der Entwicklung des Stacks übernommen, später jedoch wieder entfernt. Kurze Zeit später entdeckten die Entwickler jedoch eine Padding-Oracle-Schwachstelle, bei der Daten ohne Kenntnisse eines Schlüssels mitgelesen werden können. Auch diese Schwachstelle wurde später beseitigt.

Ob die jetzt erfolgte Prüfung des Codes ausreicht, um sämtliche Fehler zu entdecken, bleibt jedoch ungewiss, denn die Entwickler hatten bislang nur wenig Zeit, den gesamten Code zu durchstöbern.


eye home zur Startseite
Flying Circus 27. Dez 2010

Das hat sich auch keiner wirklich angesehen, nachdem der Maintainer da drin rumgepatcht...

haiku 24. Dez 2010

Entwicklung und Vertrieb von Zeta wurde bereits 2007 eingestellt. Nach mehrereb...

heinz0r2k10 24. Dez 2010

Auf den OpenBSD Kernel Sourcetree. Zugegeben, nicht nur ausschließlich IPSEC code, aber...

mimimi 24. Dez 2010

http://mickey.lucifier.net/b4ckd00r.html

developer 23. Dez 2010

Synonyme für "entkräften": abnutzen, abnützen, angreifen, aufbrauchen, aufreiben...



Anzeige

Stellenmarkt
  1. WAHL GmbH, Unterkirnach
  2. USU AG, Möglingen bei Stuttgart
  3. DLR Deutsches Zentrum für Luft- und Raumfahrt e.V., Oberpfaffenhofen bei München
  4. Der Polizeipräsident in Berlin, Berlin


Anzeige
Blu-ray-Angebote
  1. (u. a. Blade Runner Blu-ray 8,99€, The Equalizer Blu-ray 6,66€)
  2. (u. a. Arrow, Pretty Little Liars, The Big Bang Theory, The 100)
  3. Einzelne Folge für 2,99€ oder ganze Staffel für 19,99€ kaufen (Amazon Video)

Folgen Sie uns
       


  1. Smarter

    Katastrophen-App kann ohne Mobilfunknetz kommunizieren

  2. Statt Docker und Kubernetes

    Facebook braucht Tupperware für seine Container

  3. Windows 10 Version 1709 im Kurztest

    Ein bisschen Kontaktpflege

  4. Powerline Advanced

    Devolo bringt DLAN-Adapter mit zwei Ports und Steckdose

  5. CSE

    Kanadas Geheimdienst verschlüsselt Malware mit RC4

  6. DUHK-Angriff

    Vermurkster Zufallszahlengenerator mit Zertifizierung

  7. Coda

    Office-365-Alternative kommt ohne "Schiffe versenken" aus

  8. Bethesda

    Wolfenstein 2 benötigt leistungsstarke PC-Hardware

  9. Radeon Software 17.10.2

    AMD-Treiber beschleunigt Destiny 2 um 50 Prozent

  10. Cray und Microsoft

    Supercomputer in der Azure-Cloud mieten



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Essential Phone im Test: Das essenzielle Android-Smartphone hat ein Problem
Essential Phone im Test
Das essenzielle Android-Smartphone hat ein Problem
  1. Andy Rubin Drastischer Preisnachlass beim Essential Phone
  2. Teardown Das Essential Phone ist praktisch nicht zu reparieren
  3. Smartphone Essential Phone kommt mit zwei Monaten Verspätung

Pixel 2 und Pixel 2 XL im Test: Google fehlt der Mut
Pixel 2 und Pixel 2 XL im Test
Google fehlt der Mut
  1. Pixel 2 XL Google untersucht Einbrennen des Displays
  2. Pixel Visual Core Googles eigener ISP macht HDR+ schneller
  3. Smartphones Googles Pixel 2 ist in Deutschland besonders teuer

Ubuntu 17.10 im Test: Unity ist tot, lange lebe Unity!
Ubuntu 17.10 im Test
Unity ist tot, lange lebe Unity!
  1. Linux-Desktops Gnome 3.26 räumt die Systemeinstellungen auf
  2. Sudden Strike 4 im Test Zweiter Weltkrieg mit Leertaste
  3. Canonical Ubuntu 17.10 bekommt den Linux-Kernel 4.13

  1. Re: minimum i7 = denuvo?

    quineloe | 13:50

  2. Re: Das Problem waren die Macher selbst

    Potrimpo | 13:49

  3. Also 200 Meter weit kann ich auch Brüllen

    ckerazor | 13:47

  4. Re: Gibt's das nicht schon?

    M.P. | 13:47

  5. Re: Problem = Nutzer

    GProfi | 13:46


  1. 13:13

  2. 13:12

  3. 12:01

  4. 11:36

  5. 11:13

  6. 10:48

  7. 10:45

  8. 10:30


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel