Abo
  • Services:

Infineon: BSI zertifiziert unsichere Verschlüsselung

Infineon-Chips in Personalausweisen, Laptops und Krypto-Hardware sind unsicher. Pikant daran: Die Produkte wurden vom Bundesamt für Sicherheit in der Informationstechnik zertifiziert.

Artikel veröffentlicht am , Hanno Böck/Zeit Online
Was kann man sich von so einem deutschen IT-Sicherheitszertifikat eigentlich versprechen? Offenbar nicht sehr viel.
Was kann man sich von so einem deutschen IT-Sicherheitszertifikat eigentlich versprechen? Offenbar nicht sehr viel. (Bild: Common Criteria Report / BSI)

Estland wird gerne als Vorreiter der Digitalisierung genannt. Eine Chipkarte auf estnischen Personalausweisen kann unter anderem genutzt werden, um viele Behördengänge elektronisch zu erledigen. Auch an Wahlen können die Bürger mit ihrem Ausweis online teilnehmen.

Inhalt:
  1. Infineon: BSI zertifiziert unsichere Verschlüsselung
  2. Das BSI schweigt

Kern des estnischen Personalausweises ist ein Chip, der verschiedene Verschlüsselungsfunktionen implementiert und von der Münchner Firma Infineon stammt. Doch mit diesem Chip gibt es jetzt ein Problem: Forscher aus Tschechien und der Slowakei wollen auf einer Konferenz im November zeigen, wie man seine Verschlüsselung mit vertretbarem Aufwand knacken kann.

Das Sicherheitsproblem ist aber noch größer. Denn dasselbe Verschlüsselungssystem kommt in zahlreichen weiteren Produkten zum Einsatz, darunter in sogenannten TPM-Chips, die in vielen modernen Laptops verbaut sind und für die Windows-Dateisystemverschlüsselung genutzt werden, und in Yubikeys - das sind Hardware-Verschlüsselungsmodule für den USB-Port. Auch die Personalausweise der Slowakei basieren auf der entsprechenden Infineon-Hardware.

Infineon will gründlich geprüft haben

Mitverantwortlich für dieses Desaster ist das Bundesamt für Sicherheit in der Informationstechnik (BSI) - also jene Behörde, die in Deutschland für die Sicherheit der IT-Infrastruktur sorgen soll. Denn bei der Entwicklung der Verschlüsselung hat sich Infineon offenbar auf die Zertifizierung durch das BSI verlassen und die Sicherheit des eigenen Produkts ansonsten nicht weiter geprüft. Oder zumindest nicht gründlich genug.

Stellenmarkt
  1. Dataport, Hamburg
  2. GK Software SE, Berlin, Köln, Schöneck

Im offiziellen Statement von Infineon klingt das anders. Demnach habe man ein Verfahren verwendet, dessen Grundlagen im Jahr 2000 entwickelt wurden und das erst zehn Jahre später nach gründlicher Überprüfung zum Einsatz kam.

Die Verschlüsselung, um die es geht, ist das sogenannte RSA-Verfahren. Die Abkürzung steht für seine Erfinder Rivest, Shamir und Adelman. Mit RSA selbst gibt es kein Problem, es ist einer der gängigsten Verschlüsselungsalgorithmen und kommt an vielen Stellen zum Einsatz. Der Fehler passierte Infineon offenbar bei der Erstellung der RSA-Schlüssel.

Anfängerfehler: eigene Krypto-Lösung erfinden

Um einen RSA-Schlüssel zu erzeugen, benötigt man zwei große, zufällig gewählte Primzahlen. Wichtig ist, dass diese Primzahlen geheim bleiben und durch einen Angreifer nicht erraten werden können. Eine simple und auch sichere Methode ist es, einfach zufällig große Zahlen zu erzeugen und anschließend zu prüfen, ob es sich um Primzahlen handelt. Doch diese Methode hat einen Nachteil: Sie ist nicht besonders schnell. Daran störte Infineon sich offenbar.

Deshalb hat das Unternehmen ein eigenes Verfahren entwickelt. Die genauen Details dazu sind nicht öffentlich, aber nach allem, was bisher bekannt ist, wurden wohl nur sehr spezielle Primzahlen ausgewählt. Damit wird das ganze Verfahren unsicher, da ein Angreifer nur eine eingeschränkte Zahl an Primzahlen durchprobieren muss.

In den meisten Fällen wäre das zwar nicht gerade günstig - die Entdecker schätzen die Kosten auf etwa 20.000 bis 40.000 Dollar pro angegriffenem Schlüssel, wenn man die nötige Rechenleistung bei Amazons Clouddienst AWS kaufen würde. Doch die Auswirkungen wären enorm. Man kann zwar jetzt die betroffenen Schlüssel austauschen, aber alles, was damit in der Vergangenheit verschlüsselt wurde, ist potenziell unsicher und kann von einem entsprechend finanzkräftigen Angreifer geknackt werden. In manchen Fällen muss auch die Hardware getauscht werden. Vom Imageschaden für Infineon, das BSI und den "Verschlüsselungsstandort Nummer eins", den die große Koalition in ihrer Digitalen Agenda heraufbeschworen hatte, ganz zu schweigen.

Das BSI schweigt 
  1. 1
  2. 2
  3.  


Anzeige
Blu-ray-Angebote
  1. (2 Monate Sky Ticket für nur 4,99€)
  2. 9,99€

robinx999 20. Okt 2017

In Deutschland ja in Frankreich wurde der TÜV zu Schadensersatz verurteilt http://www...

M.P. 20. Okt 2017

NFL-Spieler versucht den fehlerhaften Chip in seinem Personalausweis unbrauchbar zu...

Lasse Bierstrom 20. Okt 2017

Wer Zertifikat liest und denkt dass ALLES abgesichert ist, darf sich genauso in die Ecke...

nicoledos 19. Okt 2017

Bei derartiger HW ist heute bereits sehr viel SW drin. Aber auch für Software in den...


Folgen Sie uns
       


WoW Battle for Azeroth - Ausbruch und Addon (Golem.de Live)

Nach dem Mitternachtsstream beginnt in Battle for Azeroth für uns der Alltag im Addon in Kul Tiras. Dank des Chats gibt es spannende Ablenkungen.

WoW Battle for Azeroth - Ausbruch und Addon (Golem.de Live) Video aufrufen
Computacenter: So gewinnt ein IT-Unternehmen Mitarbeiterinnen
Computacenter
So gewinnt ein IT-Unternehmen Mitarbeiterinnen

Frauen hätten weniger Interesse an IT-Berufen als Männer und daran könne man nichts ändern, wird oft behauptet. Der IT-Dienstleister Computacenter hat andere Erfahrungen gemacht.
Ein Interview von Juliane Gringer

  1. Studitemps Einige Studierende verdienen in der IT unter Mindestlohn
  2. SAP-Berater Der coolste Job nach Tourismusmanager und Bierbrauer
  3. Digital Office Index 2018 Jeder zweite Beschäftigte sitzt am Computer

Flugautos und Taxidrohnen: Der Nahverkehr erobert die dritte Dimension
Flugautos und Taxidrohnen
Der Nahverkehr erobert die dritte Dimension

In Science-Fiction-Filmen gehören sie zur üblichen Ausstattung: kleine Fluggeräte, die einen oder mehrere Passagiere durch die Luft befördern, sei es pilotiert oder autonom. Bald könnte die Vision aber Realität werden: Eine Reihe von Unternehmen entwickelt solche Individualflieger. Eine Übersicht.
Ein Bericht von Werner Pluta

  1. Flughafen Ingenieure bringen Drohne das Vögelhüten bei
  2. Militär US-Verteidigungsministerium finanziert Flugtaxis
  3. Gofly Challenge Boeing zeichnet zehn Fluggeräte für jedermann aus

Gesetzesvorschlag: Regierung fordert Duldung privater Ladesäulen
Gesetzesvorschlag
Regierung fordert Duldung privater Ladesäulen

Die Bundesregierung hat ihren Entwurf zur Förderung privater Ladestationen für Elektroautos vorgelegt. Sowohl Mieter als auch Eigentümer erhalten damit einen gesetzlichen Anspruch. Aber es kann sehr teuer werden.
Ein Bericht von Friedhelm Greis

  1. Elektrogeländewagen Bollinger will Teslas Supercharger-Netzwerk nutzen
  2. Sono Motors Elektroauto Sion für 16.000 Euro schon 7.000 Mal reserviert
  3. Elektromobilität iEV X ist ein Ausziehelektroauto

    •  /