Abo
  • Services:

Das BSI schweigt

Infineon hat also einen unverzeihlichen Fehler begangen. Eine eiserne Regel bei der Entwicklung von Verschlüsselungssystemen ist es, nie auf Eigenentwicklungen zu setzen. Kryptografische Algorithmen gelten nur dann als sicher, wenn sie über einen längeren Zeitraum bekannt waren und wenn gleichzeitig viele Wissenschaftler versucht haben, sie zu brechen.

Stellenmarkt
  1. Hays AG, Raum Frankfurt am Main
  2. SEG Automotive Germany GmbH, Stuttgart-Weilimdorf

Doch bei Infineon glaubte man, auf eine solche öffentliche Überprüfung verzichten zu können. Aus den Antworten auf eine Anfrage von uns wird deutlich, dass das entsprechende Verfahren zur Schlüsselerzeugung nie in einer wissenschaftlichen Publikation dokumentiert wurde. Die "gründliche Überprüfung", auf die Infineon verweist, bezieht sich ausschließlich auf verschiedene Zertifizierungen.

Die entsprechenden Infineon-Produkte wurden demnach nach zwei Zertifizierungsstandards überprüft: FIPS 140-2 und Common Criteria EAL 5+. Beide stammen aus den USA, aber insbesondere Common Criteria spielt auch in der Europäischen Union eine wichtige Rolle. So sieht eine europäische Richtlinie für sogenannte qualifizierte Signaturen vor, dass die dafür verwendeten Produkte nach dem Common-Criteria-Standard zertifiziert wurden.

Das BSI führt häufig Zertifizierungen nach Common Criteria durch. EAL 5+ soll ein sehr hohes Level an Sicherheit bieten. Neben einer Prüfung des Codes sollen hierbei auch formale Methoden zum Einsatz kommen, die die Korrektheit prüfen. Dabei wird im Code nicht nur nach Fehlern gesucht, es soll dessen Korrektheit mit einer Art mathematischem Beweis gewährleistet werden.

Wie das alles mit einem selbst entwickelten und offenbar fehlerhaften Schlüsselerzeugungsalgorithmus in Einklang zu bringen ist, ist vorerst nicht nachvollziehbar. Beim BSI gibt man sich zugeknöpft und will offenbar nicht darüber reden. Mehrere Anfragen wurden bisher nicht beantwortet.

Betroffene Yubikey-Nutzer bekommen Ersatzgeräte

Nicht wenige Menschen aus der IT-Sicherheitscommunity sehen Zertifizierungssysteme wie FIPS und Common Criteria ohnehin skeptisch. Denn es ist nicht das erste Mal, dass dabei gravierende Probleme übersehen werden. Vor einigen Jahren etwa gelang es Kryptografen, die Schlüssel taiwanesischer Bürger-Chipkarten zu knacken. Auch da gab es eine Zertifizierung des BSI, allerdings wurden die Chipkarten wohl falsch verwendet. Die Zertifizierung bezog sich auf einen bestimmten Modus, in dem die Karten betrieben werden, dieser wurde aber in der Praxis nicht genutzt.

Geradezu absurd liest sich aus heutiger Sicht ein alter Blogeintrag der Firma Yubico. Deren sogenannte Yubikeys sind kleine USB-Geräte, mit denen man kryptografische Schlüssel speichern und am Schlüsselbund tragen kann. Sie können beispielsweise für verschlüsselte E-Mails genutzt werden.

In dem Blogpost rechtfertigt sich Yubico dafür, bei künftigen Produkten die Details zur Implementierung und den dazugehörigen Quellcode geheimzuhalten. Ein Schritt, der bei vielen Kunden schlecht ankam, denn Yubikeys werden von vielen Entwicklern aus der freien Software-Community genutzt. Yubico verwies darauf, dass die Produkte trotzdem sicher sind - dank ihrer Zertifizierung. Das ging gehörig schief. Denn Yubico setzte auf dieselbe unsichere Infineon-Verschlüsselung wie die estnische Regierung.

Yubico wird durch den Vorfall einige Kosten haben. Allen Anwendern der betroffenen Yubikeys bietet die Firma einen Austausch an. Die estnische Regierung kann wohl ihre Personalausweise durch ein Update korrigieren. Die Zertifizierung hilft den betroffenen Firmen nun wenig. Denn eine Haftung für Schäden sieht Common Criteria nicht vor.

 Infineon: BSI zertifiziert unsichere Verschlüsselung
  1.  
  2. 1
  3. 2


Anzeige
Top-Angebote
  1. (heute u. a. Asus ROG Maximus X Code Mainboard 319€, Xiaomi Pocophone F1 64GB Handy 319€)
  2. 89,90€ statt 122,90€
  3. 0,00€

robinx999 20. Okt 2017

In Deutschland ja in Frankreich wurde der TÜV zu Schadensersatz verurteilt http://www...

M.P. 20. Okt 2017

NFL-Spieler versucht den fehlerhaften Chip in seinem Personalausweis unbrauchbar zu...

Lasse Bierstrom 20. Okt 2017

Wer Zertifikat liest und denkt dass ALLES abgesichert ist, darf sich genauso in die Ecke...

nicoledos 19. Okt 2017

Bei derartiger HW ist heute bereits sehr viel SW drin. Aber auch für Software in den...


Folgen Sie uns
       


Lenovo Yoga Book C930 mit E-Ink-Display ausprobiert (Ifa 2018)

Ein Convertible mit E-Ink-Display - das Yoga Book C930 ist ein Hingucker, aber wie bedient es sich? Wir haben es ausprobiert.

Lenovo Yoga Book C930 mit E-Ink-Display ausprobiert (Ifa 2018) Video aufrufen
Echo Link: Amazon hält sich für Sonos
Echo Link
Amazon hält sich für Sonos

Sonos ist offenbar für Amazon ein Vorbild. Anders ist die Existenz des Echo Link und des Echo Link Amp nicht zu erklären. Aber ohne ein Ökosystem wie das von Sonos sind die Produkte völlig unsinnig.
Ein IMHO von Ingo Pakalski

  1. Smarte Echo-Lautsprecher Amazon macht Alexa schlauer
  2. Amazon Alexa Echo-Lautsprecher können bald über Skype telefonieren
  3. Zusatzbox Amazon bringt Alexa mit Echo Auto in jedes Auto

Telefónica: Bündelung von Bandbreiten aus 4G und 5G ist doch möglich
Telefónica
Bündelung von Bandbreiten aus 4G und 5G ist doch möglich

Ob sich die Bandbreiten aus 4G und 5G bündeln lassen, ist in der Branche umstritten. Der Standpunkt der Telefónica, dass dies derzeit nicht verfügbar sei, lässt sich so absolut nicht aufrechterhalten.

  1. Digitale Dividende III Auch Bundesnetzagentur hofft auf Fernsehfrequenzen für 5G
  2. Telefónica 5G-Ausbau würde "uns rund 76 Milliarden Euro kosten"
  3. Bundesnetzagentur Verbraucherzentrale sieht Funklöcher bei 5G vorprogrammiert

Fifa 19 und PES 2019 im Test: Knapper Punktsieg für EA Sports
Fifa 19 und PES 2019 im Test
Knapper Punktsieg für EA Sports

Es ist eher eine Glaubens- als eine echte Qualitätsfrage: Fifa 19 oder PES 2019? Golem.de zieht anhand der Versionen für Playstation 4 den Vergleich - und kommt zu einem schwierigen, aber eindeutigen Urteil.
Ein Test von Olaf Bleich und Benedikt Plass-Fleßenkämper

  1. Fifa 19 angespielt Präzisionsschüsse, Zweikämpfe und mehr Taktik
  2. EA Sports Fifa 18 bekommt kostenloses WM-Update
  3. Bestseller Fifa 18 schlägt Call of Duty in Europa

    •  /