Abo
  • Services:
Anzeige
Sich selbst zerstörende Nachrichten und schlechte Verschlüsselung: der Messenger Confide.
Sich selbst zerstörende Nachrichten und schlechte Verschlüsselung: der Messenger Confide. (Bild: Confide)

Confide: "Military Grade Encryption" scheitert kläglich

Sich selbst zerstörende Nachrichten und schlechte Verschlüsselung: der Messenger Confide.
Sich selbst zerstörende Nachrichten und schlechte Verschlüsselung: der Messenger Confide. (Bild: Confide)

Ein Messenger namens Confide scheint vor allem bei Mitarbeitern des Weißen Hauses beliebt zu sein. Dabei ist das Protokoll alles andere als sicher und der Confide-Server verriet zeitweise die Daten aller Nutzer.

Die Entwickler des Messengers Confide haben in letzter Zeit etwas Aufmerksamkeit bekommen: Laut zahlreichen Medienberichten nutzen Mitarbeiter des Weißen Hauses den Messenger, um privat zu kommunizieren. Das führte so weit, dass der Pressesprecher des Weißen Hauses, Sean Spicer, die Telefone seiner Mitarbeiter inspizieren ließ, da man vermutete, dass die App genutzt wurde, um Informationen über die Trump-Regierung an die Presse weiterzugeben.

Anzeige

"Military Grade" ist fast immer ein Zeichen für schlechte Verschlüsselung

Doch wie sicher ist Confide und welche Verschlüsselungsverfahren kommen zum Einsatz? Die Webseite hat dazu wenig zu sagen. Dort heißt es lediglich, die Verschlüsselung sei "Military Grade" und "Battle tested". "Military grade" mag beeindruckend klingen, es gilt aber bei Fachleuten schon lange als Warnsignal für besonders schlechte Verschlüsselungsprodukte. Zur eigentlichen Funktionsweise der Verschlüsselung erfährt man nichts.

Jetzt haben sich zwei Sicherheitsfirmen Confide genauer angesehen. Die Firma Quarkslab weißt auf eine schwerwiegende Schwäche bei der Schlüsselverwaltung hin. Demnach gibt es bei Confide die Möglichkeit, mehrere Schlüssel zu verwenden. Zum Beispiel dann, wenn die App auf mehreren Geräten installiert wird. Ein Kommunikationspartner erhält vom Confide-Server eine Liste an Schlüsseln und verschlüsselt für alle Nutzer. Für den Nutzer gibt es keine Möglichkeit, zu erkennen, wie viele Schlüssel hier verwendet werden. Somit könnte der Confide-Server jederzeit weitere Schlüssel hinzufügen - oder auch den Schlüssel austauschen und einen klassischen Man-in-the-Middle-Angriff durchführen.

Der einzige wirkliche Schutz, den Confide bietet, ist die TLS-Verschlüsselung zwischen dem Server und dem Client und das Vertrauen in den Server. Eine Ende-zu-Ende-Verschlüsselung kommt zwar theoretisch zum Einsatz, der Confide-Server kann diese jedoch jederzeit umgehen.

Server verrät Mailadressen und Telefonnummern

Ein Bericht der Sicherheitsfirma IOActive weist auf einige schwerwiegende Datenschutzprobleme hin. Das wohl gravierendste Problem: Ein Angreifer konnte vom Confide-Server uneingeschränkt Daten von allen Nutzer-Accounts abfragen, darunter die Mailadresse und die Telefonnummer. Dieses Problem wurde nach einem Bericht von IOActive behoben.

Beide Firmen weisen darauf hin, dass die Nachrichten von Confide mit keinerlei Authentifizierung geschützt sind. Sie benutzen eine AES-Verschlüsselung im CBC-Modus. Somit kann der Confide-Server die Inhalte der Nachrichten manipulieren. Die Nutzung von unauthentifizierten Verschlüsselungsmodi führt immer wieder zu Problemen und es ist kaum nachvollziehbar, warum diese immer noch zum Einsatz kommen.

Confide verspricht neben seiner Verschlüsselung auch sich selbst zerstörende Nachrichten und einen Schutz gegen Screenshots. Derartige Versprechen sind generell fragwürdig, da sie sich praktisch immer umgehen lassen - im Zweifel, indem man ein Foto des Bildschirms macht. Quarkslab teilte mit, in einem künftigen Artikel genauer auf die Probleme dieser Funktionen eingehen zu wollen.

Zusammenfassend lässt sich zu Confide wohl sagen: Finger weg. Es handelt sich um die typischen Probleme von handgestrickten Verschlüsselungsprotokollen, kryptographisches Fachwissen hatten die Entwickler scheinbar nicht. Wer einen sicheren, verschlüsselten Messenger sucht, ist weiterhin bei Signal am besten aufgehoben.


eye home zur Startseite
masel99 09. Mär 2017

"military grade" muss vorallem eins sein: robust. Schau dir zum Beispiel mal thermische...



Anzeige

Stellenmarkt
  1. ENERTRAG Aktiengesellschaft, Dauerthal, Berlin, Edemissen
  2. DATAGROUP Köln GmbH, Starnberg bei München
  3. Chemische Fabrik Budenheim KG, Budenheim
  4. doctronic gmbH & Co. KG, Bonn


Anzeige
Top-Angebote
  1. 89,90€ (Vergleichspreis ab 129,84€)

Folgen Sie uns
       


  1. VLC, Kodi, Popcorn Time

    Mediaplayer können über Untertitel gehackt werden

  2. Engine

    Unity bekommt 400 Millionen US-Dollar Investorengeld

  3. Neuauflage

    Neues Nokia 3310 soll bei Defekt komplett ersetzt werden

  4. Surface Studio

    Microsofts Grafikerstation kommt nach Deutschland

  5. Polar

    Fitnesstracker A370 mit Tiefschlaf- und Pulsmessung

  6. Schutz

    Amazon rechtfertigt Sperrungen von Marketplace-Händlern

  7. CPU-Architektur

    RISC-V-Patches für Linux erstmals eingereicht

  8. FSP Hydro PTM+

    Wassergekühltes PC-Netzteil liefert 1.400 Watt

  9. Matebook X und E im Hands on

    Huawei kann auch Notebooks

  10. Celsius-Workstations

    Fujitsu bringt sichere Notebooks und kabellose Desktops



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Quantencomputer: Nano-Kühlung für Qubits
Quantencomputer
Nano-Kühlung für Qubits
  1. IBM Q Mehr Qubits von IBM
  2. Quantencomputer Was sind diese Qubits?
  3. Verschlüsselung Kryptographie im Quantenzeitalter

Tado im Langzeittest: Am Ende der Heizperiode
Tado im Langzeittest
Am Ende der Heizperiode
  1. Speedport Smart Telekom bringt Smart-Home-Funktionen auf den Speedport
  2. Tapdo Das Smart Home mit Fingerabdrücken steuern
  3. Mehr Möbel als Gadget Eine Holzfernbedienung für das Smart Home

Blackberry Keyone im Test: Tolles Tastatur-Smartphone hat zu kurze Akkulaufzeit
Blackberry Keyone im Test
Tolles Tastatur-Smartphone hat zu kurze Akkulaufzeit
  1. Blackberry Keyone kommt Mitte Mai
  2. Keyone Blackberrys neues Tastatur-Smartphone kommt später
  3. Blackberry Keyone im Hands on Android-Smartphone mit toller Hardware-Tastatur

  1. Re: Passwort-Manager als Abo!?

    picaschaf | 23:37

  2. Re: Gutes Konzept... schrottiges OS, und dann 4000¤

    unbuntu | 23:28

  3. Re: Warum überhaupt VLC nutzen

    unbuntu | 23:23

  4. Re: Grafikbox so gross wie PC?

    ecv | 23:22

  5. Nachtrag zur Haltbarkeit

    as (Golem.de) | 23:13


  1. 18:58

  2. 18:20

  3. 17:59

  4. 17:44

  5. 17:20

  6. 16:59

  7. 16:30

  8. 15:40


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel