Abo
  • Services:
Anzeige
Sich selbst zerstörende Nachrichten und schlechte Verschlüsselung: der Messenger Confide.
Sich selbst zerstörende Nachrichten und schlechte Verschlüsselung: der Messenger Confide. (Bild: Confide)

Confide: "Military Grade Encryption" scheitert kläglich

Sich selbst zerstörende Nachrichten und schlechte Verschlüsselung: der Messenger Confide.
Sich selbst zerstörende Nachrichten und schlechte Verschlüsselung: der Messenger Confide. (Bild: Confide)

Ein Messenger namens Confide scheint vor allem bei Mitarbeitern des Weißen Hauses beliebt zu sein. Dabei ist das Protokoll alles andere als sicher und der Confide-Server verriet zeitweise die Daten aller Nutzer.

Die Entwickler des Messengers Confide haben in letzter Zeit etwas Aufmerksamkeit bekommen: Laut zahlreichen Medienberichten nutzen Mitarbeiter des Weißen Hauses den Messenger, um privat zu kommunizieren. Das führte so weit, dass der Pressesprecher des Weißen Hauses, Sean Spicer, die Telefone seiner Mitarbeiter inspizieren ließ, da man vermutete, dass die App genutzt wurde, um Informationen über die Trump-Regierung an die Presse weiterzugeben.

Anzeige

"Military Grade" ist fast immer ein Zeichen für schlechte Verschlüsselung

Doch wie sicher ist Confide und welche Verschlüsselungsverfahren kommen zum Einsatz? Die Webseite hat dazu wenig zu sagen. Dort heißt es lediglich, die Verschlüsselung sei "Military Grade" und "Battle tested". "Military grade" mag beeindruckend klingen, es gilt aber bei Fachleuten schon lange als Warnsignal für besonders schlechte Verschlüsselungsprodukte. Zur eigentlichen Funktionsweise der Verschlüsselung erfährt man nichts.

Jetzt haben sich zwei Sicherheitsfirmen Confide genauer angesehen. Die Firma Quarkslab weißt auf eine schwerwiegende Schwäche bei der Schlüsselverwaltung hin. Demnach gibt es bei Confide die Möglichkeit, mehrere Schlüssel zu verwenden. Zum Beispiel dann, wenn die App auf mehreren Geräten installiert wird. Ein Kommunikationspartner erhält vom Confide-Server eine Liste an Schlüsseln und verschlüsselt für alle Nutzer. Für den Nutzer gibt es keine Möglichkeit, zu erkennen, wie viele Schlüssel hier verwendet werden. Somit könnte der Confide-Server jederzeit weitere Schlüssel hinzufügen - oder auch den Schlüssel austauschen und einen klassischen Man-in-the-Middle-Angriff durchführen.

Der einzige wirkliche Schutz, den Confide bietet, ist die TLS-Verschlüsselung zwischen dem Server und dem Client und das Vertrauen in den Server. Eine Ende-zu-Ende-Verschlüsselung kommt zwar theoretisch zum Einsatz, der Confide-Server kann diese jedoch jederzeit umgehen.

Server verrät Mailadressen und Telefonnummern

Ein Bericht der Sicherheitsfirma IOActive weist auf einige schwerwiegende Datenschutzprobleme hin. Das wohl gravierendste Problem: Ein Angreifer konnte vom Confide-Server uneingeschränkt Daten von allen Nutzer-Accounts abfragen, darunter die Mailadresse und die Telefonnummer. Dieses Problem wurde nach einem Bericht von IOActive behoben.

Beide Firmen weisen darauf hin, dass die Nachrichten von Confide mit keinerlei Authentifizierung geschützt sind. Sie benutzen eine AES-Verschlüsselung im CBC-Modus. Somit kann der Confide-Server die Inhalte der Nachrichten manipulieren. Die Nutzung von unauthentifizierten Verschlüsselungsmodi führt immer wieder zu Problemen und es ist kaum nachvollziehbar, warum diese immer noch zum Einsatz kommen.

Confide verspricht neben seiner Verschlüsselung auch sich selbst zerstörende Nachrichten und einen Schutz gegen Screenshots. Derartige Versprechen sind generell fragwürdig, da sie sich praktisch immer umgehen lassen - im Zweifel, indem man ein Foto des Bildschirms macht. Quarkslab teilte mit, in einem künftigen Artikel genauer auf die Probleme dieser Funktionen eingehen zu wollen.

Zusammenfassend lässt sich zu Confide wohl sagen: Finger weg. Es handelt sich um die typischen Probleme von handgestrickten Verschlüsselungsprotokollen, kryptographisches Fachwissen hatten die Entwickler scheinbar nicht. Wer einen sicheren, verschlüsselten Messenger sucht, ist weiterhin bei Signal am besten aufgehoben.


eye home zur Startseite
masel99 09. Mär 2017

"military grade" muss vorallem eins sein: robust. Schau dir zum Beispiel mal thermische...



Anzeige

Stellenmarkt
  1. BASF SE, Ludwigshafen
  2. Provadis Partner für Bildung & Beratung GmbH, Frankfurt am Main
  3. Baden-Württembergischer Genossenschaftsverband e.V., Stuttgart
  4. Haufe Group, Freiburg


Anzeige
Blu-ray-Angebote
  1. (u. a. Hobbit Trilogie Blu-ray 43,89€ und Batman Dark Knight Trilogy Blu-ray 17,99€)
  2. (u. a. Logan Blu-ray 9,97€, Deadpool Blu-ray 8,97€, Fifty Shades of Grey Blu-ray 11,97€)

Folgen Sie uns
       


  1. Signal Foundation

    Whatsapp-Gründer investiert 50 Millionen US-Dollar in Signal

  2. Astronomie

    Amateur beobachtet erstmals die Geburt einer Supernova

  3. Internet der Dinge

    Bosch will die totale Vernetzung

  4. Bad News

    Browsergame soll Mechanismen von Fake News erklären

  5. Facebook

    Denn sie wissen nicht, worin sie einwilligen

  6. Opensignal

    Deutschland soll auch beim LTE-Ausbau abgehängt sein

  7. IBM Spectrum NAS

    NAS-Software ist klein gehalten und leicht installierbar

  8. Ryzen V1000 und Epyc 3000

    AMD bringt Zen-Architektur für den Embedded-Markt

  9. Dragon Ball FighterZ im Test

    Kame-hame-ha!

  10. Für 4G und 5G

    Ericsson und Swisscom demonstrieren Network Slicing



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Sam's Journey im Test: Ein Kaufgrund für den C64
Sam's Journey im Test
Ein Kaufgrund für den C64
  1. THEC64 Mini C64-Emulator erscheint am 29. März in Deutschland
  2. Sam's Journey Neues Kaufspiel für C64 veröffentlicht

Star Trek Discovery: Die verflixte 13. Folge
Star Trek Discovery
Die verflixte 13. Folge
  1. Star Trek Bridge Crew Sternenflotte verlässt Holodeck

Materialforschung: Stanen - ein neues Wundermaterial?
Materialforschung
Stanen - ein neues Wundermaterial?
  1. Colorfab 3D-gedruckte Objekte erhalten neue Farbgestaltung
  2. Umwelt China baut 100-Meter-Turm für die Luftreinigung
  3. Crayfis Smartphones sollen kosmische Strahlung erfassen

  1. Re: Einfach folgende News-Vertreiber blocken

    Dino13 | 23:52

  2. Re: So ein Blödsinn

    koriwi | 23:51

  3. Re: mal wieder nur im Westen

    applebenny | 23:47

  4. Re: Selbst im Iran besseres Netz

    SanderK | 23:46

  5. Re: Netzabdeckung Norwegen

    RaZZE | 23:38


  1. 21:26

  2. 19:00

  3. 17:48

  4. 16:29

  5. 16:01

  6. 15:30

  7. 15:15

  8. 15:00


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel