• IT-Karriere:
  • Services:

Infineon: BSI zertifiziert unsichere Verschlüsselung

Infineon-Chips in Personalausweisen, Laptops und Krypto-Hardware sind unsicher. Pikant daran: Die Produkte wurden vom Bundesamt für Sicherheit in der Informationstechnik zertifiziert.

Artikel veröffentlicht am , Hanno Böck/Zeit Online
Was kann man sich von so einem deutschen IT-Sicherheitszertifikat eigentlich versprechen? Offenbar nicht sehr viel.
Was kann man sich von so einem deutschen IT-Sicherheitszertifikat eigentlich versprechen? Offenbar nicht sehr viel. (Bild: Common Criteria Report / BSI)

Estland wird gerne als Vorreiter der Digitalisierung genannt. Eine Chipkarte auf estnischen Personalausweisen kann unter anderem genutzt werden, um viele Behördengänge elektronisch zu erledigen. Auch an Wahlen können die Bürger mit ihrem Ausweis online teilnehmen.

Inhalt:
  1. Infineon: BSI zertifiziert unsichere Verschlüsselung
  2. Das BSI schweigt

Kern des estnischen Personalausweises ist ein Chip, der verschiedene Verschlüsselungsfunktionen implementiert und von der Münchner Firma Infineon stammt. Doch mit diesem Chip gibt es jetzt ein Problem: Forscher aus Tschechien und der Slowakei wollen auf einer Konferenz im November zeigen, wie man seine Verschlüsselung mit vertretbarem Aufwand knacken kann.

Das Sicherheitsproblem ist aber noch größer. Denn dasselbe Verschlüsselungssystem kommt in zahlreichen weiteren Produkten zum Einsatz, darunter in sogenannten TPM-Chips, die in vielen modernen Laptops verbaut sind und für die Windows-Dateisystemverschlüsselung genutzt werden, und in Yubikeys - das sind Hardware-Verschlüsselungsmodule für den USB-Port. Auch die Personalausweise der Slowakei basieren auf der entsprechenden Infineon-Hardware.

Infineon will gründlich geprüft haben

Mitverantwortlich für dieses Desaster ist das Bundesamt für Sicherheit in der Informationstechnik (BSI) - also jene Behörde, die in Deutschland für die Sicherheit der IT-Infrastruktur sorgen soll. Denn bei der Entwicklung der Verschlüsselung hat sich Infineon offenbar auf die Zertifizierung durch das BSI verlassen und die Sicherheit des eigenen Produkts ansonsten nicht weiter geprüft. Oder zumindest nicht gründlich genug.

Stellenmarkt
  1. über duerenhoff GmbH, Münster
  2. Bundeskriminalamt, Wiesbaden

Im offiziellen Statement von Infineon klingt das anders. Demnach habe man ein Verfahren verwendet, dessen Grundlagen im Jahr 2000 entwickelt wurden und das erst zehn Jahre später nach gründlicher Überprüfung zum Einsatz kam.

Die Verschlüsselung, um die es geht, ist das sogenannte RSA-Verfahren. Die Abkürzung steht für seine Erfinder Rivest, Shamir und Adelman. Mit RSA selbst gibt es kein Problem, es ist einer der gängigsten Verschlüsselungsalgorithmen und kommt an vielen Stellen zum Einsatz. Der Fehler passierte Infineon offenbar bei der Erstellung der RSA-Schlüssel.

Anfängerfehler: eigene Krypto-Lösung erfinden

Um einen RSA-Schlüssel zu erzeugen, benötigt man zwei große, zufällig gewählte Primzahlen. Wichtig ist, dass diese Primzahlen geheim bleiben und durch einen Angreifer nicht erraten werden können. Eine simple und auch sichere Methode ist es, einfach zufällig große Zahlen zu erzeugen und anschließend zu prüfen, ob es sich um Primzahlen handelt. Doch diese Methode hat einen Nachteil: Sie ist nicht besonders schnell. Daran störte Infineon sich offenbar.

Deshalb hat das Unternehmen ein eigenes Verfahren entwickelt. Die genauen Details dazu sind nicht öffentlich, aber nach allem, was bisher bekannt ist, wurden wohl nur sehr spezielle Primzahlen ausgewählt. Damit wird das ganze Verfahren unsicher, da ein Angreifer nur eine eingeschränkte Zahl an Primzahlen durchprobieren muss.

In den meisten Fällen wäre das zwar nicht gerade günstig - die Entdecker schätzen die Kosten auf etwa 20.000 bis 40.000 Dollar pro angegriffenem Schlüssel, wenn man die nötige Rechenleistung bei Amazons Clouddienst AWS kaufen würde. Doch die Auswirkungen wären enorm. Man kann zwar jetzt die betroffenen Schlüssel austauschen, aber alles, was damit in der Vergangenheit verschlüsselt wurde, ist potenziell unsicher und kann von einem entsprechend finanzkräftigen Angreifer geknackt werden. In manchen Fällen muss auch die Hardware getauscht werden. Vom Imageschaden für Infineon, das BSI und den "Verschlüsselungsstandort Nummer eins", den die große Koalition in ihrer Digitalen Agenda heraufbeschworen hatte, ganz zu schweigen.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed
Das BSI schweigt 
  1. 1
  2. 2
  3.  


Anzeige
Hardware-Angebote
  1. (reduzierte Überstände, Restposten & Co.)

robinx999 20. Okt 2017

In Deutschland ja in Frankreich wurde der TÜV zu Schadensersatz verurteilt http://www...

M.P. 20. Okt 2017

NFL-Spieler versucht den fehlerhaften Chip in seinem Personalausweis unbrauchbar zu...

Lasse Bierstrom 20. Okt 2017

Wer Zertifikat liest und denkt dass ALLES abgesichert ist, darf sich genauso in die Ecke...

nicoledos 19. Okt 2017

Bei derartiger HW ist heute bereits sehr viel SW drin. Aber auch für Software in den...


Folgen Sie uns
       


Tesla baut Gigafactory in Brandenburg - Bericht

Wald weg, Wasser weg, Tesla da? Wir haben Grünheide besucht.

Tesla baut Gigafactory in Brandenburg - Bericht Video aufrufen
DSGVO: Nicht weniger als Staatsversagen
DSGVO
Nicht weniger als Staatsversagen

Unterfinanziert und wirkungslos - so zeigen sich die europäischen Datenschutzbehörden nach zwei Jahren DSGVO gegenüber Konzernen wie Google und Facebook.
Eine Analyse von Christiane Schulzki-Haddouti

  1. DSGVO Proton vergisst Git-Zugang auf Datenschutzwebseite
  2. DSGVO Iren sollen Facebook an EU-Datenschützer abgeben
  3. Datenschutz Rechtsanwaltskanzlei zählt 160.000 DSGVO-Verstöße

Energieversorgung: Wasserstoff-Fabrik auf hoher See
Energieversorgung
Wasserstoff-Fabrik auf hoher See

Um überschüssigen Strom sinnvoll zu nutzen, sollen in der Nähe von Offshore-Windparks sogenannte Elektrolyseure installiert werden. Der dort produzierte Wasserstoff wird in bestehende Erdgaspipelines eingespeist.
Ein Bericht von Wolfgang Kempkens

  1. Industriestrategie EU plant Allianz für sauberen Wasserstoff
  2. Energie Dieses Blatt soll es wenden
  3. Energiewende Grüner Wasserstoff aus der Zinnschmelze

Big Blue Button: Wie CCC-Urgesteine gegen Teams und Zoom kämpfen
Big Blue Button
Wie CCC-Urgesteine gegen Teams und Zoom kämpfen

Ein Verein aus dem Umfeld des CCC zeigt in Berlin, wie sich Schulen mit Open Source digitalisieren lassen. Schüler, Eltern und Lehrer sind begeistert.
Ein Bericht von Friedhelm Greis

  1. Mint-Allianz Wir bleiben schlau! Wir bleiben unwissend!
  2. Programmieren lernen Informatik-Apps für Kinder sind oft zu komplex

    •  /