• IT-Karriere:
  • Services:

Verschlüsselung: Ärger für die PGP-Keyserver

Die Schlüsselserver für PGP sind so ausgelegt, dass sie fast alles ungeprüft akzeptieren. Das führt zu zahlreichen Problemen, zuletzt wurden die Keyserver aufgrund von Angriffen mit vergifteten Schlüsseln immer unzuverlässiger.

Ein Bericht von Hanno Böck veröffentlicht am
PGP-Schlüsselserver speichern alle PGP-Schlüssel - und alles, was dranhängt - für unbegrenzte Zeit.
PGP-Schlüsselserver speichern alle PGP-Schlüssel - und alles, was dranhängt - für unbegrenzte Zeit. (Bild: dontworry/Wikimedia Commons/CC-BY-SA 3.0)

Ein seit jeher wichtiger und oft schlecht verstandener Teil des PGP-Ökosystems sind die Schlüsselserver oder Keyserver. Dort kann jeder seinen öffentlichen PGP-Schlüssel hochladen und ihn damit anderen Nutzern zur Verfügung stellen. Auch kann er die Schlüssel anderer Nutzer signieren und die an einen öffentlichen Schlüssel angehängten Signaturen ebenfalls hochladen. Die Keyserver werden mit einer Software namens SKS betrieben und von zahlreichen Freiwilligen zur Verfügung gestellt. Zuletzt gab es einige Angriffe gegen einzelne Schlüssel auf den Keyservern, die schon lange bekannte Schwachpunkte ausnutzen.

Inhalt:
  1. Verschlüsselung: Ärger für die PGP-Keyserver
  2. Vergiftete Schlüssel überlasten Keyserver

Die Keyserver tauschen dabei untereinander ständig Daten aus. Sprich: Was auf einen Keyserver hochgeladen wird, landet einige Zeit später auch auf anderen Keyservern. Im Normalfall arbeiten die Keyserver so, dass Daten nur hochgeladen werden, aber nie gelöscht. Einen Schlüssel wieder zu entfernen, ist nicht vorgesehen. Ein Schlüssel kann allerdings durch eine angehängte Widerrufssignatur als ungültig markiert werden.

Server prüft hochgeladene Daten nicht

Wichtig zum Verständnis ist dabei, dass die Daten auf den Schlüsselservern nicht geprüft werden - und zwar weder kryptographisch noch inhaltlich. Wenn ein Schlüssel für alice@example.com ausgestellt ist, bedeutet das nicht, dass die Person mit der E-Mail-Adresse alice@example.com diesen Schlüssel erstellt hat. Jeder andere könnte einen solchen Schlüssel erstellen und hochladen.

Ob ein Schlüssel echt ist, muss auf anderem Wege geprüft werden. Die Idee dabei ist ein sogenanntes Web of Trust - jeder Nutzer kann dabei die Schlüssel anderer Nutzer signieren und bestätigt damit indirekt deren Echtheit. Die Schlüsselsignaturen können an andere Schlüssel angehängt und ebenfalls auf die Keyserver hochgeladen werden. Doch auch hier prüfen die Schlüsselserver nicht, ob die Signatur tatsächlich kryptographisch korrekt ist.

Stellenmarkt
  1. SIZ GmbH, Bonn
  2. UnternehmerTUM GmbH, Garching bei München

Dieses Konzept der Schlüsselserver führt zu einer Reihe von Problemen. Da es praktisch nicht vorgesehen ist, Daten wieder zu löschen, stellt sich schon die Frage, ob der Betrieb eines Schlüsselservers datenschutzrechtlich zulässig ist. Einzelne Keyserver wurden deshalb in der Vergangenheit schon abgeschaltet.

Doch das nahezu ungeprüfte Hinzufügen von neuen Daten führt auch zu möglichen Angriffsszenarien. Spekuliert wurde darüber schon häufiger, aber in jüngerer Zeit haben einzelne Personen verstärkt Angriffe praktisch ausprobiert. So ist es etwa möglich, an einen bestehenden Key eine zusätzliche Nutzerkennung anzuhängen, die so groß ist, dass GnuPG damit nicht mehr umgehen kann. Das führt effektiv dazu, dass man den Key nicht mehr vom Schlüsselserver herunterladen und mit GnuPG importieren kann.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed
Vergiftete Schlüssel überlasten Keyserver 
  1. 1
  2. 2
  3.  


Anzeige
Spiele-Angebote
  1. (-35%) 25,99€
  2. (-75%) 4,99€
  3. 4,25€
  4. (-40%) 32,99€

torrbox 08. Apr 2019

Keys über Nextcloud syncen und auf dem jeweiligen Gerät importieren? Den Key bekommt man...

ConiKost 08. Apr 2019

Mein Schlüssel ist schon lange via Record bei mir gelistet. Bringt nur leider in der...

M.P. 08. Apr 2019

Web of trust Keyserver sind eine nette Einrichtung, aber bisher habe ich noch nie einen...


Folgen Sie uns
       


DJI Robomaster S1 - Test

Was fährt da auf dem Flur entlang? Der Robomaster S1 ist ein flinker Roboter, mit dem wir Rennen fahren oder gegen andere Robomaster im Duell antreten können. Das macht einen Riesenspaß und ist auch ein guter Einstieg ins Programmieren.

DJI Robomaster S1 - Test Video aufrufen
Mr. Robot rezensiert: Domo Arigato, Mr. Robot!
Mr. Robot rezensiert
Domo Arigato, Mr. Robot!

Wie im Achtziger-Klassiker Mr. Roboto von Styx hat auch Elliot in Mr. Robot Geheimnisse. Die Dramaserie um den Hacker ist nicht nur wegen Rami Malek grandios. Sie hat einen ganz eigenen beeindruckenden visuellen Stil und zeigt Hacking, wie es wirklich ist. Wir blicken nach dem Serienfinale zurück.
Eine Rezension von Oliver Nickel und Moritz Tremmel

  1. Openideo-Wettbewerb Die fünf besten Hacker-Symbolbilder sind ausgewählt
  2. Cyberangriffe Attribution ist wie ein Indizienprozess
  3. Double Dragon APT41 soll für Staat und eigenen Geldbeutel hacken

Lovot im Hands-on: Knuddeliger geht ein Roboter kaum
Lovot im Hands-on
Knuddeliger geht ein Roboter kaum

CES 2020 Lovot ist ein Kofferwort aus Love und Robot: Der knuffige japanische Roboter soll positive Emotionen auslösen - und tut das auch. Selten haben wir so oft "Ohhhhhhh!" gehört.
Ein Hands on von Tobias Költzsch

  1. Orcam Hear Die Audiobrille für Hörgeschädigte
  2. Viola angeschaut Cherry präsentiert preiswerten mechanischen Switch
  3. Consumer Electronics Show Die Konzept-Messe

Elektromobilität: Diese E-Autos kommen 2020 auf den Markt
Elektromobilität
Diese E-Autos kommen 2020 auf den Markt

Bei Käufern wird die höhere Umweltprämie, bei den Herstellern werden die strengeren CO2-Grenzwerte die Absatzzahlen von Elektroautos ankurbeln. Interessenten haben 2020 eine noch größere Auswahl, hier ein Überblick über die Neuerscheinungen.
Ein Bericht von Dirk Kunde

  1. Mercedes E-Econic Daimler elektrifiziert den Müllwagen
  2. Umweltprämie für Elektroautos Regierung verzögert Prüfung durch EU-Kommission
  3. Intransparente Preise Verbraucherschützer mahnen Ladenetzbetreiber New Motion ab

    •  /