• IT-Karriere:
  • Services:

Confide: "Military Grade Encryption" scheitert kläglich

Ein Messenger namens Confide scheint vor allem bei Mitarbeitern des Weißen Hauses beliebt zu sein. Dabei ist das Protokoll alles andere als sicher und der Confide-Server verriet zeitweise die Daten aller Nutzer.

Artikel veröffentlicht am , Hanno Böck
Sich selbst zerstörende Nachrichten und schlechte Verschlüsselung: der Messenger Confide.
Sich selbst zerstörende Nachrichten und schlechte Verschlüsselung: der Messenger Confide. (Bild: Confide)

Die Entwickler des Messengers Confide haben in letzter Zeit etwas Aufmerksamkeit bekommen: Laut zahlreichen Medienberichten nutzen Mitarbeiter des Weißen Hauses den Messenger, um privat zu kommunizieren. Das führte so weit, dass der Pressesprecher des Weißen Hauses, Sean Spicer, die Telefone seiner Mitarbeiter inspizieren ließ, da man vermutete, dass die App genutzt wurde, um Informationen über die Trump-Regierung an die Presse weiterzugeben.

"Military Grade" ist fast immer ein Zeichen für schlechte Verschlüsselung

Stellenmarkt
  1. SIZ GmbH, Bonn
  2. Schaeffler Technologies AG & Co. KG, Herzogenaurach, Nürnberg

Doch wie sicher ist Confide und welche Verschlüsselungsverfahren kommen zum Einsatz? Die Webseite hat dazu wenig zu sagen. Dort heißt es lediglich, die Verschlüsselung sei "Military Grade" und "Battle tested". "Military grade" mag beeindruckend klingen, es gilt aber bei Fachleuten schon lange als Warnsignal für besonders schlechte Verschlüsselungsprodukte. Zur eigentlichen Funktionsweise der Verschlüsselung erfährt man nichts.

Jetzt haben sich zwei Sicherheitsfirmen Confide genauer angesehen. Die Firma Quarkslab weißt auf eine schwerwiegende Schwäche bei der Schlüsselverwaltung hin. Demnach gibt es bei Confide die Möglichkeit, mehrere Schlüssel zu verwenden. Zum Beispiel dann, wenn die App auf mehreren Geräten installiert wird. Ein Kommunikationspartner erhält vom Confide-Server eine Liste an Schlüsseln und verschlüsselt für alle Nutzer. Für den Nutzer gibt es keine Möglichkeit, zu erkennen, wie viele Schlüssel hier verwendet werden. Somit könnte der Confide-Server jederzeit weitere Schlüssel hinzufügen - oder auch den Schlüssel austauschen und einen klassischen Man-in-the-Middle-Angriff durchführen.

Der einzige wirkliche Schutz, den Confide bietet, ist die TLS-Verschlüsselung zwischen dem Server und dem Client und das Vertrauen in den Server. Eine Ende-zu-Ende-Verschlüsselung kommt zwar theoretisch zum Einsatz, der Confide-Server kann diese jedoch jederzeit umgehen.

Server verrät Mailadressen und Telefonnummern

Ein Bericht der Sicherheitsfirma IOActive weist auf einige schwerwiegende Datenschutzprobleme hin. Das wohl gravierendste Problem: Ein Angreifer konnte vom Confide-Server uneingeschränkt Daten von allen Nutzer-Accounts abfragen, darunter die Mailadresse und die Telefonnummer. Dieses Problem wurde nach einem Bericht von IOActive behoben.

Beide Firmen weisen darauf hin, dass die Nachrichten von Confide mit keinerlei Authentifizierung geschützt sind. Sie benutzen eine AES-Verschlüsselung im CBC-Modus. Somit kann der Confide-Server die Inhalte der Nachrichten manipulieren. Die Nutzung von unauthentifizierten Verschlüsselungsmodi führt immer wieder zu Problemen und es ist kaum nachvollziehbar, warum diese immer noch zum Einsatz kommen.

Confide verspricht neben seiner Verschlüsselung auch sich selbst zerstörende Nachrichten und einen Schutz gegen Screenshots. Derartige Versprechen sind generell fragwürdig, da sie sich praktisch immer umgehen lassen - im Zweifel, indem man ein Foto des Bildschirms macht. Quarkslab teilte mit, in einem künftigen Artikel genauer auf die Probleme dieser Funktionen eingehen zu wollen.

Zusammenfassend lässt sich zu Confide wohl sagen: Finger weg. Es handelt sich um die typischen Probleme von handgestrickten Verschlüsselungsprotokollen, kryptographisches Fachwissen hatten die Entwickler scheinbar nicht. Wer einen sicheren, verschlüsselten Messenger sucht, ist weiterhin bei Signal am besten aufgehoben.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Hardware-Angebote
  1. (reduzierte Überstände, Restposten & Co.)

masel99 09. Mär 2017

"military grade" muss vorallem eins sein: robust. Schau dir zum Beispiel mal thermische...


Folgen Sie uns
       


Minikonsolen im Vergleich - Golem retro

Retro-Faktor, Steuerung, Emulationsqualität: Wir haben sieben Minikonsolen miteinander verglichen.

Minikonsolen im Vergleich - Golem retro Video aufrufen
Mr. Robot rezensiert: Domo Arigato, Mr. Robot!
Mr. Robot rezensiert
Domo Arigato, Mr. Robot!

Wie im Achtziger-Klassiker Mr. Roboto von Styx hat auch Elliot in Mr. Robot Geheimnisse. Die Dramaserie um den Hacker ist nicht nur wegen Rami Malek grandios. Sie hat einen ganz eigenen beeindruckenden visuellen Stil und zeigt Hacking, wie es wirklich ist. Wir blicken nach dem Serienfinale zurück.
Eine Rezension von Oliver Nickel und Moritz Tremmel

  1. Openideo-Wettbewerb Die fünf besten Hacker-Symbolbilder sind ausgewählt
  2. Cyberangriffe Attribution ist wie ein Indizienprozess
  3. Double Dragon APT41 soll für Staat und eigenen Geldbeutel hacken

Concept One ausprobiert: Oneplus lässt die Kameras verschwinden
Concept One ausprobiert
Oneplus lässt die Kameras verschwinden

CES 2020 Oneplus hat sein erstes Konzept-Smartphone vorgestellt. Dessen einziger Zweck es ist, die neue ausblendbare Kamera zu zeigen.
Von Tobias Költzsch

  1. Bluetooth LE Audio Neuer Standard spielt parallel auf mehreren Geräten
  2. Streaming Amazon bringt Fire TV ins Auto
  3. Thinkpad X1 Fold im Hands-off Ein Blick auf Lenovos pfiffiges Falt-Tablet

Elektromobilität: Diese E-Autos kommen 2020 auf den Markt
Elektromobilität
Diese E-Autos kommen 2020 auf den Markt

Bei Käufern wird die höhere Umweltprämie, bei den Herstellern werden die strengeren CO2-Grenzwerte die Absatzzahlen von Elektroautos ankurbeln. Interessenten haben 2020 eine noch größere Auswahl, hier ein Überblick über die Neuerscheinungen.
Ein Bericht von Dirk Kunde

  1. Mercedes E-Econic Daimler elektrifiziert den Müllwagen
  2. Umweltprämie für Elektroautos Regierung verzögert Prüfung durch EU-Kommission
  3. Intransparente Preise Verbraucherschützer mahnen Ladenetzbetreiber New Motion ab

    •  /