Abo
  • Services:

Unsicheres Cryptocat: "Das ist ein Desaster"

Der Gründer und Hauptentwickler von Cryptocat wollte eigentlich die Vorzüge seines Projekts auf der Sigint 2013 vorstellen. Stattdessen musste sich Nadim Kobeissi aber rechtfertigen - für eine gefährliche Sicherheitslücke in seinem Chatsystem.

Artikel veröffentlicht am ,
Auf der Sigint 2013 musst sich der Cryptocat-Entwickler Nadim Kobeissi Kritik stellen.
Auf der Sigint 2013 musst sich der Cryptocat-Entwickler Nadim Kobeissi Kritik stellen. (Bild: Jörg Thoma/Golem.de)

Es sollte ein gemütlicher Vortrag auf der diesjährigen Hacker-Konferenz Sigint 2013 in Köln über die Vorzüge des verschlüsselten Chatsystems Cryptocat werden. Stattdessen musste Nadim Kobeissi sich für die jüngst bekanntgewordene Sicherheitslücke in Cryptocat rechtfertigen. Ausgerechnet in der Verschlüsselung hatte er einen schweren Fehler eingebaut. Mit Hilfe eines Werkzeugs lassen sich privaten Schlüssel von Cryptocat schnell und einfach berechnen.

Stellenmarkt
  1. Axians Infoma GmbH, Ulm
  2. CGM Mobile GmbH, Koblenz

Kobeissi gab sich zerknirscht und wehrte sich auch gegen die erhobenen Vorwürfe, wer seine Software nutze, bringen Menschen in Gefahr. Der gebürtige Libanese, der in Kanada lebt und arbeitet, sagte, er habe zu keinem Zeitpunkt Aktivisten in gefährdeten Ländern dazu geraten, seine Software einzusetzen. Tatsächlich verspricht Cryptocat eine einfache Möglichkeit, sicher zu chatten. Und sie soll leicht zu installieren und nutzen sein, für Nutzer, die sich mit Technik nicht auskennen.

Verschlüsselung für alle

Das ist das Hauptanliegen von Cryptocat und seines Initiators Kobeissi. Er habe eine Software entwickeln wollen, bei der sich Nutzer nicht zuerst Gedanken machen müssen wie sie mit PGP verschlüsseln, sondern einfach mit dem Chatten loslegen können. Dass sämtliche vor 2013 für das Chatprogramm erstellten Schlüssel unsicher sind, bezeichnet Kobeissi als "absolutes Desaster" für das nur er selbst verantwortlich sei.

Der Bug sei im Gruppenchat des Chatsystems, das er selbst von Grund auf entwickelt habe, sagte Kobeissi. Er sei ohnehin für etwa 80 Prozent des Programmcodes verantwortlich, bekomme nur wenig Hilfe. Und er selbst sei kein Kryptografieexperte, sagte Kobeissi mehrfach. Er könne dabei Hilfe gebrauchen. Geplant seien außerdem Multi-Party-OTR, Video und Audio über WebRTC und eine bessere Authentifizierung.

Weitermachen

Er habe in den letzten Tagen den Sinn des Projekts überdacht, aber er wolle Cryptocat nicht aufgeben, sagte Kobeissi. Es sind nicht die ersten schweren Fehler, die bekanntwurden, seitdem das Projekt 2011 startete. Beispielsweise war die Auslieferung des Chatprogramms zunächst unsicher, denn die als Browser-Plugin umgesetzte Anwendung war nicht signiert. Lange Zeit fehlte Browsern ein nutzbarer Zufallsgenerator. Er selbst hatte eine weitere schwere Sicherheitslücke in die Benutzeroberfläche einprogrammiert. Das alles gibt Kobeissi in seinem Vortrag unumwunden zu. Und erntet damit Sympathie aus dem Publikum. Der Hacker Felix "FX" Lindner sagt, Cryptocat sei selbst mit kaputter Verschlüsselung allemal besser als Skype. Ein anderer Zuschauer beruhigt Kobeissi: Er könne hier doch sehen, dass alles nicht so schlimm sei. "Dann hast Du darüber aber nicht auf Twitter gelesen!" entgegnete Kobeissi.

Nach dem Vortrag habe er zahlreiche Hilfsangebote bekommen, auch von Entwicklern, die sich mit Kryptografie auskennen, sagte Kobeissi Golem.de. Und er überdenke, wie er das Projekt besser organisieren und mehr Entwickler einbeziehen könne. Gerade bewirbt er sein Projekt auf den Lightning Talks auf der Sigint 2013.



Anzeige
Hardware-Angebote
  1. 39,99€ statt 59,99€
  2. 88,94€ + Versand
  3. 168,89€ inkl. Versand (Bestpreis!)

Hu5eL 10. Jul 2013

Weil man immer einen für "private" Projekte zur Hand hat... Logo

Noppen 07. Jul 2013

Was bedeutet "Allheilmittel"?

Atalanttore 06. Jul 2013

Wenn der Programmierer in der IT-Abteilung einer deutschen Behörde arbeiten würde, würde...


Folgen Sie uns
       


Fünf smarte Lautsprecher von 200 bis 400 Euro im Vergleich

Link 300 und Link 500 von JBL, Onkyos P3, Panasonics GA10 sowie Apples Homepod treten in unserem Klangvergleich gegeneinander an. Die beiden JBL-Lautsprecher lassen die Konkurrenz blass aussehen, selbst der gar nicht schlecht klingende Homepod hat dann das Nachsehen.

Fünf smarte Lautsprecher von 200 bis 400 Euro im Vergleich Video aufrufen
VR-Rundschau: Retten rockende Jedi-Ritter die virtuelle Realität?
VR-Rundschau
Retten rockende Jedi-Ritter die virtuelle Realität?

Der mediale Hype um VR ist zwar abgeflaut, spannende Inhalte dafür gibt es aber weiterhin - und das nicht nur im Games-Bereich. Mit dabei: das beliebteste Spiel bei Steam, Jedi-Ritter auf Speed und ägyptische Grabkammern.
Ein Test von Achim Fehrenbach

  1. Oculus Core 2.0 Windows 10 wird Minimalanforderung für Oculus Rift
  2. Virtual Reality BBC überträgt Fußball-WM in der virtuellen VIP-Loge
  3. VR-Brillen Google experimentiert mit Lichtfeldfotografie

Bargeldloses Zahlen: Warum Apple Pay sich hier noch nicht auszahlt
Bargeldloses Zahlen
Warum Apple Pay sich hier noch nicht auszahlt

Während Google Pay jüngst hierzulande gestartet ist, lässt Apple Pay auf sich warten. Kein Wunder: Der deutsche Markt ist schwierig - und die Banken sind in einer guten Verhandlungsposition.
Eine Analyse von Andreas Maisch

  1. Bargeldloses Zahlen Apple und Goldman Sachs planen Apple-Kreditkarte

Nasa-Teleskop: Überambitioniert, überteuert und in dieser Form überflüssig
Nasa-Teleskop
Überambitioniert, überteuert und in dieser Form überflüssig

Seit 1996 entwickelt die Nasa einen Nachfolger für das Hubble-Weltraumteleskop. Die Kosten dafür stiegen seit dem von 500 Millionen auf über 10 Milliarden US-Dollar. Bei Tests fiel das Prestigeprojekt zuletzt durch lockere Schrauben auf. Wie konnte es dazu kommen?
Von Frank Wunderlich-Pfeiffer

  1. Nasa Forscher entdecken Asteroiden, bevor er die Erde erreicht
  2. Nasa 2020 soll ein Helikopter zum Mars fliegen
  3. Raumfahrt Nasa startet neue Beobachtungssonde Tess

    •  /