Krypto vom Staat: VPN Govnet Box soll Abhörsicherheit bringen

Die Govnet-Box basiert "ausschließlich auf Eigenentwicklungen - ohne jegliche Hintertüren zu den Spähprogrammen in- und ausländischer Geheimdienste", verspricht Peter Söll von NCP Engineering aus Nürnberg.

Artikel veröffentlicht am 25. September 2013, 14:41 Uhr, Achim Sawall

VPN Govnet Box (Bild: NCP)

Die Secure VPN Govnet Box der Firma NCP hat die Sicherheitsfreigabe des Bundesamtes für Sicherheit in der Informationstechnik (BSI) erhalten. Das gab das Fraunhofer-Institut für Sichere Informationstechnologie (SIT) am 25. September 2013 bekannt, dass die Hardware zusammen mit NCP entwickelt hat.

Ziel war es, Unternehmen und Behörden einen vertraulichen Kommunikationskanal zur Verfügung zu stellen und so wirksam vor Wirtschaftsspionage zu schützen. Die Govnet-Box verwende "ein hardwarebasiertes Schutzkonzept auf Basis von Trusted Computing", sagte Carsten Rudolph, Abteilungsleiter am Fraunhofer SIT. Mittels kryptographischer Verfahren prüft der TPM den Zustand von Software und Hardware.

Die Govnet-Box basiere "ausschließlich auf Eigenentwicklungen - ohne jegliche Hintertüren zu den Spähprogrammen in- und ausländischer Geheimdienste", so Peter Söll, Geschäftsführer bei NCP Engineering.

Die Box ist vom BSI zugelassen für Verschlusssachen für den Dienstgebrauch (VS-NfD). Die Mitarbeiter des Fraunhofer-Institut haben die Architektur entworfen, die Implementierung mit einem Prototyp unterstützt und NCP auch im weiteren Verlauf sowie bei der Zertifizierung beraten. Alle wichtigen Elemente der VPN-Box seien überprüft worden, darunter Zufallsgeneratoren, Algorithmen und Software-Libraries.

Die Box wird per USB an den Computer angeschlossen und über Ethernet, WLAN oder UMTS mit dem Internet verbunden. Zur Authentisierung steckt der Benutzer seine Smartcard in die Box und gibt auf dem PIN-Pad der Box seine PIN ein. Dann stellt die Box eine verschlüsselte Verbindung zur Gegenstelle auf dem Unternehmensserver her.

Verschiedene Personen berichteten dem BSI von einer gravierenden Sicherheitslücke in der Verschlüsselung des von der Behörde bereitgestellten Programms GSTool.

Jan Schejbal berichtete in seinem Blog, dass GSTool zur Verschlüsselung einen zu einfachen Zufallszahlengenerator verwendet. Die Zahl der möglichen Schlüssel sinkt damit auf 2 hoch 31. Damit lässt sich die Verschlüsselung durch simples Durchprobieren der möglichen Schlüssel (Brute Force) in kurzer Zeit vollständig brechen. In einem Kommentar bei Golem.de hieß es dazu: "Sicherheitstechnologien müssen transparent und offen entwickelt werden, Software muss im Quelltext verfügbar sein. Die Konsequenz aus dem NSA-Skandal kann nicht sein, auf Software von deutschen Behörden zu vertrauen. Auch die Idee von Sicherheitssoftware 'Made in Germany' ist nicht geeignet, Vertrauen wiederherzustellen. Die Lösung heißt: Offenheit, Transparenz und freie Software."