Abo
  • Services:

"Bau keine eigenen Protokolle": Vodafone verletzt mit Secure E-Mail die erste Kryptoregel

Vodafones neuer E-Mail-Dienst Secure E-Mail soll den Austausch verschlüsselter E-Mails kinderleicht machen. Das Unternehmen macht jedoch in seiner Ankündigung kaum Angaben zur Sicherheit der verwendeten Verfahren. Deshalb haben wir nachgefragt - und sind verwirrt.

Artikel von Hanno Böck und veröffentlicht am
Vodafones neuer E-Mail-Dienst Secure-E-Mail verwendet offenbar selbstgebaute Kryptolösungen.
Vodafones neuer E-Mail-Dienst Secure-E-Mail verwendet offenbar selbstgebaute Kryptolösungen. (Bild: Screenshot Golem.de)

Mit Secure E-Mail hat Vodafone einen neuen Dienst vorgestellt, der eine unkomplizierte Ende-zu-Ende-Verschlüsselung von E-Mails ermöglichen soll. Nutzer müssen sich dafür mit einer E-Mail-Adresse und einer Handynummer registrieren und können wahlweise eine App, eine Webmail-Oberfläche oder ein kostenpflichtiges Outlook-Plugin benutzen. Doch der Dienst wirft in puncto Sicherheit viele Fragen auf.

Inhalt:
  1. "Bau keine eigenen Protokolle": Vodafone verletzt mit Secure E-Mail die erste Kryptoregel
  2. Die Antworten von Ftapi werfen Fragen auf

Als Verschlüsselungslösung nutzt Vodafone ein System der Münchner Firma Ftapi, die zu dem deutschen IT-Dienstleister QSC gehört. Dabei wird kein standardisiertes Protokoll wie OpenPGP oder S/MIME eingesetzt, vielmehr setzt Ftapi offenbar auf eine selbsterstellte Verschlüsselungslösung. Das System ist damit inkompatibel zu bestehenden Lösungen, lediglich untereinander können Nutzer damit kommunizieren. Als Grundlage verwenden die Macher offensichtlich die Java-Implementation der offenen Crypto-API Bouncy Castle, wie die Release-Notes des Outlook-Plugins nahelegen. Ftapi vermarktet das System unabhängig von der Kooperation mit Vodafone unter dem Namen Cryptoberg. Wie sicher dieses ist, lässt sich schwer beurteilen, denn Informationen dazu sind auf der Webseite kaum zu finden. Lediglich ein paar Allgemeinplätze und die Auskunft, dass das Protokoll AES und RSA benutzt, gibt es dort.

Wir haben bei Ftapi nach Details zu dem verwendeten Protokoll gefragt. In einem ursprünglichen Statement sagte ein Ftapi-Sprecher, dass AES im CBC-Modus und RSA im ECB-Modus zum Einsatz komme. Diese Aussage wurde von der Mutterfirma QSC und Vodafone mittlerweile teilweise korrigiert: RSA werde nicht gemeinsam mit ECB verwendet. Außerdem erfolge der Datentransfer über HTTPS. Das stellt zumindest auf der Transportebene eine zusätzliche Absicherung dar. Die generierten Schlüssel werden mit dem Passwort der Nutzer verschlüsselt und auf einem Vodafone-Server hinterlegt - bei Bedarf rufen App, Outlook-Plugin oder der Webmailer dann den geheimen Schlüssel ab und entschlüsseln ihn lokal auf dem Gerät der Nutzer.

Die Antworten von Ftapi werfen Fragen auf 
  1. 1
  2. 2
  3.  


Anzeige
Hardware-Angebote
  1. und Assassins Creed Odyssey, Strange Brigade und Star Control Origins kostenlos dazu erhalten
  2. mit Gutschein: HARDWARE50 (nur für Neukunden, Warenwert 104 - 1.000 Euro)
  3. (reduzierte Überstände, Restposten & Co.)

narfomat 08. Dez 2015

das ist so nicht richtig. entscheidend ist, wie warscheinlich es ist, das die person, vor...

Gul2c 07. Dez 2015

Klar sind PGP und S/MIME nicht komplett Ene-zu-Ende, da die Metadaten nicht verschlüsselt...

holminger 05. Dez 2015

Wenn ich daran denke, dass Vodafone aus der Heimat des GCHQ kommt und im Verdacht steht...

huuu 05. Dez 2015

NSA laesst gruessen.. warum sollte mann sich auch steine in weg legen wenn man kiesel...

42bios 05. Dez 2015

+1


Folgen Sie uns
       


Fazit zu Shadow of the Tomb Raider

Wir tauchen mit Lara in der Apokalypse ab und verfassen unser Fazit.

Fazit zu Shadow of the Tomb Raider Video aufrufen
Augmented Reality: Das AR-Fabrikgelände aus dem Smartphone
Augmented Reality
Das AR-Fabrikgelände aus dem Smartphone

Derzeit ist viel von einer Augmented Reality Cloud die Rede. Golem.de hat mit dem Berliner Startup Visualix über den Stand der Technik und künftige Projekte für Unternehmenskunden gesprochen - und darüber, was die Neuerungen für Pokémon Go bedeuten könnten.
Ein Interview von Achim Fehrenbach

  1. Jarvish Motorradhelm bringt Alexa in den Kopf
  2. Patentantrag Apple plant Augmented-Reality in der Windschutzscheibe
  3. Magic Leap Lumin OS Erste Bilder des Betriebssystems für Augmented Reality

Campusnetze: Das teure Versäumnis der Telekom
Campusnetze
Das teure Versäumnis der Telekom

Die Deutsche Telekom muss anderen Konzernen bei 5G-Campusnetzen entgegenkommen. Jahrzehntelang von Funklöchern auf dem Lande geplagt, wollen Siemens und die Automobilindustrie nun selbst Mobilfunknetze aufspannen. Auch der öffentliche Rundfunk will selbst 5G machen.
Eine Analyse von Achim Sawall

  1. Stadtnetzbetreiber 5G-Netz kann auch aus der Box kommen
  2. Achim Berg "In Sachen Gigabit ist Deutschland ein großer weißer Fleck"
  3. Telefónica Bündelung von Bandbreiten aus 4G und 5G ist doch möglich

Probefahrt mit Tesla Model 3: Wie auf Schienen übers Golden Gate
Probefahrt mit Tesla Model 3
Wie auf Schienen übers Golden Gate

Die Produktion des Tesla Model 3 für den europäischen Markt wird gerade vorbereitet. Golem.de hat einen Tag in und um San Francisco getestet, was Käufer von dem Elektroauto erwarten können.
Ein Erfahrungsbericht von Friedhelm Greis

  1. 1.000 Autos pro Tag Tesla baut das hunderttausendste Model 3
  2. Goodwood Festival of Speed Tesla bringt Model 3 erstmals offiziell nach Europa
  3. Elektroauto Produktionsziel des Tesla Model 3 erreicht

    •  /