Abo
  • Services:

Infineon: BSI zertifiziert unsichere Verschlüsselung

Infineon-Chips in Personalausweisen, Laptops und Krypto-Hardware sind unsicher. Pikant daran: Die Produkte wurden vom Bundesamt für Sicherheit in der Informationstechnik zertifiziert.

Artikel veröffentlicht am , Hanno Böck/Zeit Online
Was kann man sich von so einem deutschen IT-Sicherheitszertifikat eigentlich versprechen? Offenbar nicht sehr viel.
Was kann man sich von so einem deutschen IT-Sicherheitszertifikat eigentlich versprechen? Offenbar nicht sehr viel. (Bild: Common Criteria Report / BSI)

Estland wird gerne als Vorreiter der Digitalisierung genannt. Eine Chipkarte auf estnischen Personalausweisen kann unter anderem genutzt werden, um viele Behördengänge elektronisch zu erledigen. Auch an Wahlen können die Bürger mit ihrem Ausweis online teilnehmen.

Inhalt:
  1. Infineon: BSI zertifiziert unsichere Verschlüsselung
  2. Das BSI schweigt

Kern des estnischen Personalausweises ist ein Chip, der verschiedene Verschlüsselungsfunktionen implementiert und von der Münchner Firma Infineon stammt. Doch mit diesem Chip gibt es jetzt ein Problem: Forscher aus Tschechien und der Slowakei wollen auf einer Konferenz im November zeigen, wie man seine Verschlüsselung mit vertretbarem Aufwand knacken kann.

Das Sicherheitsproblem ist aber noch größer. Denn dasselbe Verschlüsselungssystem kommt in zahlreichen weiteren Produkten zum Einsatz, darunter in sogenannten TPM-Chips, die in vielen modernen Laptops verbaut sind und für die Windows-Dateisystemverschlüsselung genutzt werden, und in Yubikeys - das sind Hardware-Verschlüsselungsmodule für den USB-Port. Auch die Personalausweise der Slowakei basieren auf der entsprechenden Infineon-Hardware.

Infineon will gründlich geprüft haben

Mitverantwortlich für dieses Desaster ist das Bundesamt für Sicherheit in der Informationstechnik (BSI) - also jene Behörde, die in Deutschland für die Sicherheit der IT-Infrastruktur sorgen soll. Denn bei der Entwicklung der Verschlüsselung hat sich Infineon offenbar auf die Zertifizierung durch das BSI verlassen und die Sicherheit des eigenen Produkts ansonsten nicht weiter geprüft. Oder zumindest nicht gründlich genug.

Stellenmarkt
  1. Robert Bosch GmbH, Stuttgart
  2. CSL Behring GmbH, Marburg, Hattersheim am Main

Im offiziellen Statement von Infineon klingt das anders. Demnach habe man ein Verfahren verwendet, dessen Grundlagen im Jahr 2000 entwickelt wurden und das erst zehn Jahre später nach gründlicher Überprüfung zum Einsatz kam.

Die Verschlüsselung, um die es geht, ist das sogenannte RSA-Verfahren. Die Abkürzung steht für seine Erfinder Rivest, Shamir und Adelman. Mit RSA selbst gibt es kein Problem, es ist einer der gängigsten Verschlüsselungsalgorithmen und kommt an vielen Stellen zum Einsatz. Der Fehler passierte Infineon offenbar bei der Erstellung der RSA-Schlüssel.

Anfängerfehler: eigene Krypto-Lösung erfinden

Um einen RSA-Schlüssel zu erzeugen, benötigt man zwei große, zufällig gewählte Primzahlen. Wichtig ist, dass diese Primzahlen geheim bleiben und durch einen Angreifer nicht erraten werden können. Eine simple und auch sichere Methode ist es, einfach zufällig große Zahlen zu erzeugen und anschließend zu prüfen, ob es sich um Primzahlen handelt. Doch diese Methode hat einen Nachteil: Sie ist nicht besonders schnell. Daran störte Infineon sich offenbar.

Deshalb hat das Unternehmen ein eigenes Verfahren entwickelt. Die genauen Details dazu sind nicht öffentlich, aber nach allem, was bisher bekannt ist, wurden wohl nur sehr spezielle Primzahlen ausgewählt. Damit wird das ganze Verfahren unsicher, da ein Angreifer nur eine eingeschränkte Zahl an Primzahlen durchprobieren muss.

In den meisten Fällen wäre das zwar nicht gerade günstig - die Entdecker schätzen die Kosten auf etwa 20.000 bis 40.000 Dollar pro angegriffenem Schlüssel, wenn man die nötige Rechenleistung bei Amazons Clouddienst AWS kaufen würde. Doch die Auswirkungen wären enorm. Man kann zwar jetzt die betroffenen Schlüssel austauschen, aber alles, was damit in der Vergangenheit verschlüsselt wurde, ist potenziell unsicher und kann von einem entsprechend finanzkräftigen Angreifer geknackt werden. In manchen Fällen muss auch die Hardware getauscht werden. Vom Imageschaden für Infineon, das BSI und den "Verschlüsselungsstandort Nummer eins", den die große Koalition in ihrer Digitalen Agenda heraufbeschworen hatte, ganz zu schweigen.

Das BSI schweigt 
  1. 1
  2. 2
  3.  


Anzeige
Spiele-Angebote
  1. 9,95€
  2. 19,95€
  3. 19,99€
  4. 24,99€

robinx999 20. Okt 2017

In Deutschland ja in Frankreich wurde der TÜV zu Schadensersatz verurteilt http://www...

M.P. 20. Okt 2017

NFL-Spieler versucht den fehlerhaften Chip in seinem Personalausweis unbrauchbar zu...

Lasse Bierstrom 20. Okt 2017

Wer Zertifikat liest und denkt dass ALLES abgesichert ist, darf sich genauso in die Ecke...

nicoledos 19. Okt 2017

Bei derartiger HW ist heute bereits sehr viel SW drin. Aber auch für Software in den...


Folgen Sie uns
       


Smartphone-Kameras im Vergleich

Wir haben die Fotoqualität von sechs aktuellen Top-Smartphones verglichen.

Smartphone-Kameras im Vergleich Video aufrufen
Gaming-Tastaturen im Test: Neue Switches für Gamer und Tipper
Gaming-Tastaturen im Test
Neue Switches für Gamer und Tipper

Corsair und Roccat haben neue Gaming-Tastaturen auf den Markt gebracht, die sich vor allem durch ihre Switches auszeichnen. Im Test zeigt sich, dass Roccats Titan Switch besser zum normalen Tippen geeignet ist, aber nicht an die Geschwindigkeit des Corsair-exklusiven Cherry-Switches herankommt.
Ein Test von Tobias Költzsch

  1. Azio RCK Retrotastatur wechselt zwischen Mac und Windows-Layout
  2. OLKB Planck im Test Winzig, gerade, programmierbar - gut!
  3. Alte gegen neue Model M Wenn die Knickfedern wohlig klackern

Drahtlos-Headsets im Test: Ohne Kabel spielt sich's angenehmer
Drahtlos-Headsets im Test
Ohne Kabel spielt sich's angenehmer

Sie nerven und verdrehen sich in den Rollen unseres Stuhls: Kabel sind gerade bei Headsets eine Plage. Doch gibt es so viele Produkte, die darauf verzichten können. Wir testen das Alienware AW988, das Audeze Mobius, das Hyperx Cloud Flight und das Razer Nari Ultimate - und haben einen Favoriten.
Ein Test von Oliver Nickel

  1. Sieben Bluetooth-Ohrstöpsel im Test Jabra zeigt Apple, was den Airpods fehlt
  2. Ticpods Free Airpods-Konkurrenten mit Touchbedienung kosten 80 Euro
  3. Bluetooth-Ohrstöpsel im Vergleichstest Apples Airpods lassen hören und staunen

IMHO: Valves Ka-Ching mit der Brechstange
IMHO
Valves "Ka-Ching" mit der Brechstange

Es klingelt seit Jahren in den Kassen des Unternehmens von Gabe Newell. Dabei ist die Firma tief verschuldet - und zwar in den Herzen der Gamer.
Ein IMHO von Michael Wieczorek

  1. Artifact im Test Zusammengewürfelt und potenziell teuer
  2. Artifact Erste Kritik an Kosten von Valves Sammelkartenspiel
  3. Virtual Reality Valve arbeitet an VR-Headset und Half-Life-Titel

    •  /