• IT-Karriere:
  • Services:

Vergiftete Schlüssel überlasten Keyserver

Fügt man mehrere große Nutzerkennungen an einen Key an, ist der Keyserver überlastet und kann diesen nicht mehr exportieren. Damit kann man einen Schlüssel vergiften und dafür sorgen, dass er von niemandem mehr abgerufen werden kann. Laut dem Fehlerbericht bei SKS hört ein Keyserver bei etwa 30 MByte auf, den Schlüssel zu exportieren. Solche und ähnliche Angriffsversuche haben zuletzt dazu geführt, dass die Schlüsselserver immer häufiger überlastet und für normale Nutzer nicht mehr erreichbar waren.

Stellenmarkt
  1. Dataport, Heide
  2. Universitätsstadt Tübingen, Tübingen

Auf der Mailingliste des SKS-Projekts häufen sich die Problemberichte. Einzelne Betreiber von Schlüsselservern versuchen sich zu behelfen, indem sie Zugriffe auf solche vergifteten Schlüssel blockieren, doch eine Lösung ist das natürlich nicht. Hoffnung auf Abhilfe gibt es kaum, denn die SKS-Software wird nicht aktiv weiterentwickelt. Einige sprechen inzwischen davon, dass das Schlüsselserver-Netzwerk sterben wird.

Verschiedene Alternativen werden diskutiert. Häufiger verwiesen wird auf das Web-Key-Directory-Protokoll, das einen völlig anderen Ansatz hat. Hier werden Schlüssel auf der zu einer E-Mail-Adresse gehörenden Domain mittels HTTPS auf einer definierten URL bereitgestellt. Das funktioniert allerdings nur, wenn man in der Lage ist, dort etwas zu hosten. Bei großen Mailanbietern wie Gmail oder GMX ist so etwas bisher nicht vorgesehen.

Schlüsselserver mit Prüfung von Mailadressen

Denkbar sind auch Keyserver, die nicht jeden Schlüssel akzeptieren, sondern nur solche, deren Besitzer seine Mailadresse validiert hat. Es gibt bereits seit längerer Zeit das von Symantec betriebene PGP Global Directory. Allerdings ist der dahinterstehende Code nicht als freie Software verfügbar und der Service wird von der Community kaum genutzt.

Die Entwickler des Webmail-OpenPGP-Plugins Mailvelope betreiben ebenfalls einen Schlüsselserver, der E-Mail-Adressen validiert. Allerdings funktioniert der Angriff mit vergifteten Schlüsseln hier trotzdem, denn wenn dort ein Schlüssel einmal hochgeladen ist, können zusätzliche Signaturen von beliebigen Nutzern hinzugefügt werden.

Einen experimentellen, in Rust geschriebenen validierenden Schlüsselserver namens Hagrid gibt es außerdem vom Sequoia-Projekt, allerdings betreibt hier bislang niemand eine öffentliche Installation.

Unklar, wie es weitergeht

Daniel Kahn Gillmor von der US-Bürgerrechtsorganisation ACLU hat inzwischen eine Reihe von Vorschlägen formuliert, wie robustere Schlüsselserver gestaltet werden können, ohne dabei auf die Validierung von E-Mail-Adressen zu setzen. Es handelt sich aber nur um grobe Ideen. Eine Implementierung gibt es bisher nicht.

Dass die bisherigen Schlüsselserver auf Basis von SKS keine Zukunft mehr haben, scheint festzustehen. Wie es weitergeht und ob es in Zukunft überhaupt noch PGP-Schlüsselserver gibt, ist allerdings bisher offen.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed
 Verschlüsselung: Ärger für die PGP-Keyserver
  1.  
  2. 1
  3. 2


Anzeige
Spiele-Angebote
  1. (-72%) 8,50€
  2. (-42%) 25,99€
  3. 29,99€
  4. 4,99€

torrbox 08. Apr 2019

Keys über Nextcloud syncen und auf dem jeweiligen Gerät importieren? Den Key bekommt man...

ConiKost 08. Apr 2019

Mein Schlüssel ist schon lange via Record bei mir gelistet. Bringt nur leider in der...

M.P. 08. Apr 2019

Web of trust Keyserver sind eine nette Einrichtung, aber bisher habe ich noch nie einen...


Folgen Sie uns
       


The Outer Worlds - Fazit

Das Rollenspiel The Outer Worlds schickt Spieler an den Rand der Galaxie. Es erscheint am 25. Oktober 2019 und bietet spannende Missionen und Action.

The Outer Worlds - Fazit Video aufrufen
Videoüberwachung: Kameras sind überall, aber nicht überall erlaubt
Videoüberwachung
Kameras sind überall, aber nicht überall erlaubt

Dass Überwachungskameras nicht legal eingesetzt werden, ist keine Seltenheit. Ob aus Nichtwissen oder mit Absicht: Werden Privatsphäre oder Datenschutz verletzt, gehören die Kameras weg. Doch dazu müssen sie erst mal entdeckt, als legal oder illegal ausgemacht und gemeldet werden.
Von Harald Büring

  1. Nach Attentat Datenschutzbeauftragter kritisiert Hintertüren in Messengern
  2. Australien IT-Sicherheitskonferenz Cybercon lädt Sprecher aus
  3. Spionagesoftware Staatsanwaltschaft ermittelt nach Anzeige gegen Finfisher

Echo Dot mit Uhr und Nest Mini im Test: Amazon hängt Google ab
Echo Dot mit Uhr und Nest Mini im Test
Amazon hängt Google ab

Amazon und Google haben ihre kompakten smarten Lautsprecher überarbeitet. Wir haben den Nest Mini mit dem neuen Echo Dot mit Uhr verglichen. Google hat es sichtlich schwer, konkurrenzfähig zu Amazon zu bleiben.
Ein Test von Ingo Pakalski

  1. Digitale Assistenten Amazon verkauft dreimal mehr smarte Lautsprecher als Google
  2. Googles Hardware-Chef Osterloh weist Besuch auf smarte Lautsprecher hin
  3. Telekom Smart Speaker im Test Der smarte Lautsprecher, der mit zwei Zungen spricht

Apex Pro im Test: Tastatur für glückliche Gamer und Vielschreiber
Apex Pro im Test
Tastatur für glückliche Gamer und Vielschreiber

Steelseries bietet seine mechanische Tastatur Apex 7 auch als Pro-Modell mit besonderen Switches an: Zum Einsatz kommen sogenannte Hall-Effekt-Schalter, die ohne mechanische Kontakte auskommen. Besonders praktisch ist der einstellbare Auslösepunkt.
Ein Test von Tobias Költzsch

  1. Bluetooth und Ergonomic Keyboard Microsoft-Tastaturen kommen nach Deutschland
  2. Peripheriegeräte Microsofts neue Tastaturen haben Office- und Emoji-Tasten
  3. G Pro X Gaming Keyboard Logitech lässt E-Sportler auf austauschbare Tasten tippen

    •  /