Abo
  • Services:

BeA: Noch mehr Sicherheitslücken im Anwaltspostfach

Das besondere elektronische Anwaltspostfach hat mehr als nur eine Sicherheitslücke. Die Probleme reichen von einer falschen Ende-zu-Ende-Verschlüsselung über Cross Site Scripting bis hin zu ROBOT und veralteten Java-Libraries. Dabei hat die Firma SEC Consult einen Sicherheitsaudit durchgeführt.

Artikel von Hanno Böck veröffentlicht am
Wie es genau mit dem Anwaltspostfach weitergeht, ist im Moment nicht abzusehen.
Wie es genau mit dem Anwaltspostfach weitergeht, ist im Moment nicht abzusehen. (Bild: Martin Wolf / Golem.de (Montage))

Das besondere elektronische Anwaltspostfach (BeA) bleibt vorerst offline, und das wohl mindestens bis Ende Januar. Das hat die Bundesrechtsanwaltskammer ihren Mitgliedern in einem Schreiben mitgeteilt. Hintergrund ist, dass die Software aufgrund eines integrierten Zertifikats samt privatem Schlüssel eine gravierende Sicherheitslücke aufwies. Golem.de hatte vor Weihnachten darüber berichtet und war auch an der Aufdeckung der Details beteiligt.

Inhalt:
  1. BeA: Noch mehr Sicherheitslücken im Anwaltspostfach
  2. Verwundbar für simple Cross-Site-Scripting-Lücke
  3. Hat SEC Consult all das übersehen?

Doch die Probleme mit dem Zertifikat sind längst nicht die einzige Baustelle beim Anwaltspostfach. Einiges war schon vorher bekannt, anderes hatten Markus Drenger und Felix Rohrbach vom Chaos Computer Club Darmstadt auf dem 34C3 in einem Vortrag erläutert.

Eine Ende-zu-Ende-Verschlüsselung, die keine ist

"Die sichere Übermittlung der Nachrichten wird beim BeA durch eine sogenannte Ende-zu-Ende-Verschlüsselung gewährleistet", heißt es auf den Webseiten der Bundesrechtsanwaltskammer. Weiter wird behauptet, "auch die BRAK als Betreiber des BeA oder der Systemadministrator der Kanzlei können die Nachrichten nicht lesen." Doch das Anwaltspostfach hat eine Funktion, die die gesamte Sicherheit der Ende-zu-Ende-Verschlüsselung wieder aushebelt.

Das Anwaltspostfach sieht nämlich eine "Umschlüsselung" der Nachrichten auf dem Server vor. Die Idee dabei: Ein Nutzer des Postfachs kann definieren, dass Nachrichten an ihn auch von einer anderen berechtigten Person gelesen werden können.

Stellenmarkt
  1. Wirecard Technologies GmbH, Aschheim bei München
  2. NÜRNBERGER Versicherung, Nürnberg

Damit das funktioniert, muss der Server natürlich Zugriff auf den privaten Schlüssel des Empfängers haben. Dieser befindet sich in einem sogenannten Hardware Security Module (HSM). Hier noch von einer Ende-zu-Ende-Verschlüsselung zu sprechen, ist eine sehr kreative Auslegung des Begriffs.

Diese Konstruktion war auch bisher kein Geheimnis. Auf der übrigens nur unverschlüsselt über HTTP erreichbaren Webseite der Rechtsanwaltskammer zum BeA wird mit einigen Klimmzügen versucht, zu begründen, warum das Ganze trotzdem sicher sein soll. Da ausschließlich das HSM Zugriff auf die Schlüssel hat und die Nachricht auch niemals vollständig entschlüsselt wird - zur Umschlüsselung muss nur der asymmetrische Teil einer Hybridverschlüsselung durchgeführt werden -, sah man in dieser Konstruktion offenbar kein Problem.

Webinterfaces vertragen sich nicht mit einer sicheren Ende-zu-Ende-Verschlüsselung

Doch die Ende-zu-Ende-Verschlüsselung hat ein noch viel fundamentaleres Problem: Die Nutzer der BeA-Anwendung kommunizieren mit dieser generell über ein Webinterface. Die lokale Software ist nur dazu da, die Kommunikation mit der Chipkarte durchzuführen.

Ein Webinterface verträgt sich aber überhaupt nicht mit einer Ende-zu-Ende-Verschlüsselung, da der Server jederzeit anderen Javascript-Code schicken kann, der die Verschlüsselung aushebelt oder Nachrichten unverschlüsselt an Dritte weiterleitet.

Es ist offensichtlich, dass bei der Konstruktion von BeA grundlegende Missverständnisse über den Sinn und Zweck einer Ende-zu-Ende-Verschlüsselung vorlagen. Die Idee einer Ende-zu-Ende-Verschlüsselung ist, dass man dem Betreiber der Serverinfrastruktur nicht vertrauen muss. Beim BeA hat dieser aber gleich mehrere Möglichkeiten, die Sicherheit des Systems zu kompromittieren und Nachrichten mitzulesen.

Verwundbar für simple Cross-Site-Scripting-Lücke 
  1. 1
  2. 2
  3. 3
  4.  


Anzeige
Blu-ray-Angebote
  1. (u. a. 3 Blu-rays für 15€, 2 Neuheiten für 15€)

intnotnull12 06. Jan 2018

Genau so schauts aus. Auf eine perverse Art hat Atos nämlich alles richtig gemacht und...

Sharra 05. Jan 2018

Davon abgesehen, dass De-Mail eigentlich ein Flopp sondergleichen ist, funktioniert es...

tingelchen 05. Jan 2018

Finde auch, der Name passt perfekt :D

tingelchen 05. Jan 2018

Die Audits an den Zertifizierungsstellen sind oft der letzte Mist. Mich würde es nicht...

Anonymer Nutzer 05. Jan 2018

Die BRAK ist die eigene, berufsständische Organisation der deutschen Anwaltschaft. Bea...


Folgen Sie uns
       


Amazons Echo Plus (2018) - Test

Der neue Echo Plus von Amazon liefert einen deutlich besseren Klang als alle bisherigen Echo-Lautsprecher. Praktisch ist außerdem der eingebaute Smart-Home-Hub. Der integrierte Temperatursensor muss aber noch bessser in Alexa integriert werden. Der neue Echo Plus ist zusammen mit einer Hue-Lampe von Philips für 150 Euro zu haben.

Amazons Echo Plus (2018) - Test Video aufrufen
Battlefield 5 im Test: Klasse Kämpfe unter Freunden
Battlefield 5 im Test
Klasse Kämpfe unter Freunden

Umgebungen und Szenario erinnern an frühere Serienteile, das Sammeln von Ausrüstung motiviert langfristig, viele Gebiete sind zerstörbar: Battlefield 5 setzt auf Multiplayermatches für erfahrene Squads. Wer lange genug kämpft, findet schon vor der Erweiterung Firestorm ein bisschen Battle Royale.

  1. Dice Raytracing-Systemanforderungen für Battlefield 5 erschienen
  2. Dice Zusatzinhalte für Battlefield 5 vorgestellt
  3. Battle Royale Battlefield 5 schickt 64 Spieler in Feuerring

Wet Dreams Don't Dry im Test: Leisure Suit Larry im Land der Hipster
Wet Dreams Don't Dry im Test
Leisure Suit Larry im Land der Hipster

Der Möchtegernfrauenheld Larry Laffer kommt zurück aus der Gruft: In einem neuen Adventure namens Wet Dreams Don't Dry reist er direkt aus den 80ern ins Jahr 2018 - und landet in der Welt von Smartphone und Tinder.
Ein Test von Peter Steinlechner

  1. Life is Strange 2 im Test Interaktiver Road-Movie-Mystery-Thriller
  2. Adventure Leisure Suit Larry landet im 21. Jahrhundert

15 Jahre Extreme Edition: Als Intel noch AMD zuvorkommen musste
15 Jahre Extreme Edition
Als Intel noch AMD zuvorkommen musste

Seit 2003 verkauft Intel seine CPU-Topmodelle für Spieler und Enthusiasten als Extreme Edition. Wir blicken zurück auf 15 Jahre voller zweckentfremdeter Xeon-Chips, Mainboards mit Totenschädeln und extremer Prozessoren, die mit Phasenkühlung demonstriert wurden.
Von Marc Sauter

  1. Quartalszahlen Intel legt 19-Milliarden-USD-Rekord vor
  2. Ryan Shrout US-Journalist wird Chief Performance Strategist bei Intel
  3. Iris GPU Intel baut neuen und schnelleren Grafiktreiber unter Linux

    •  /