Tink: Google stellt einfache Kryptobibliothek vor
In seinem Security-Blog stellt Google die neue Version 1.2.0 seiner Open-Source-Kryptobibliothek Tink vor(öffnet im neuen Fenster) , die nun "die Cloud, iOS und Android" unterstützt. Die Bibliothek von Google soll laut der Ankündigung verhindern, dass Googles Entwickler eigene Kryptobibliotheken selbst implementieren müssen. Hierbei lasse sich nämlich vieles falsch machen. Mit Tink stattet Google seine Entwickler mit einer sprach- und plattformübergreifenden kryptografischen Bibliothek aus, die einfach zu nutzen ist.
Tink nutzt das Unternehmen selbst zum Beispiel in Firebase, der Android-Suche, Admob, Google Pay, Google Assistant und weiteren Projekten. Die Bibliothek bietet diesen sichere, einfach zu verwendende sowie schwierig anzugreifende Krpyto-APIs an. Google möchte eine Community um das Projekt herum aufbauen, daher steht die Bibliothek unter der Apache-2.0-Lizenz auf Github zum Download(öffnet im neuen Fenster) bereit.
Sicherheitsgarantien umsetzen
Als Basis dienen unter anderem Boring SSL und die Java Cryptography Architecture, zugleich soll Tink gegen die im Projekt Wycheproof(öffnet im neuen Fenster) gefundenen Schwächen abgesichert sein. Tink unterstützt eine Schlüsselverwaltung inklusive Key Rotation und hindert den Nutzer zum Beispiel daran, Code zu verwenden, der den mehrmaligen Einsatz einer Nonce zur Folge hätte. Einige potenziell unsichere Verschlüsselungsmodi lassen sich mit Tink daher nicht verwenden. Dafür ist es möglich, neue, sichere Schnittstellen zu implementieren.
Tink soll wie erwähnt besonders einfach sein. Viele kryptografische Operationen lassen sich mit ein paar Zeilen Code umsetzen. Dazu zählen etwa das Verschlüsseln und Signieren von Daten, ein Beispiel in Java liefert der Blogpost. Zusätzlich zu Java steht Tink bisher auch für C++ und Obj-C zum Download bereit. Der Code ist so dokumentiert, dass Security-Forscher schnell bemerken, wenn der Code und die zugedachten Sicherheitsgarantien nicht zusammenpassen. Ebenso isoliert die Bibliothek APIs, die potenziell gefährliche Operationen zulassen.