Abo
  • Services:

Zufallszahlengenerator: Juniper wegen Hintertüren in Erklärungsnot

Nach wie vor verwenden Juniper-Geräte einen Zufallszahlengenerator, der vermutlich eine Hintertür eingebaut hat. Juniper will diesen zwar entfernen, sieht aber keine akute Gefahr. Dabei gibt es sehr klare Hinweise darauf, dass er böswillig eingebaut wurde.

Artikel veröffentlicht am , Hanno Böck
Wer hört alles mit, wenn Juniper-Geräte Datenverkehr verschlüsseln?
Wer hört alles mit, wenn Juniper-Geräte Datenverkehr verschlüsseln? (Bild: Victorgrigas, Wikimedia Commons/CC-BY-SA 3.0)

Juniper hat sich nach längerem Schweigen nun in einem Blogeintrag zu den Entdeckungen rund um die mutmaßlichen Hintertüren in seinen ScreenOS-Produkten geäußert. Demnach will der Konzern den fragwürdigen Zufallszahlengenerator Dual EC DRBG, der sehr wahrscheinlich ein Produkt der NSA ist und eine Hintertür enthält, aus seinen Produkten entfernen. Aktuell nutzen die ScreenOS-Router jedoch noch Dual EC. Juniper bestreitet, dass dies eine Gefahr darstellt. Neuere Untersuchungen der Juniper-Firmware, die auf der Real-World-Crypto-Konferenz vorgestellt wurden, lassen jedoch kaum einen anderen Schluss zu, als dass dieser Zufallszahlengenerator von jemandem eingebaut wurde, der einen Hintertür-Schlüssel dazu besitzt.

Zwei Hintertüren - oder auch drei

Stellenmarkt
  1. MED-EL Medical Electronics, Innsbruck (Österreich)
  2. ENSO Energieversorgung Sachsen Ost GmbH, Dresden

Zur Erinnerung: Kurz vor Weihnachten hatte Juniper öffentlich bekannt gegeben, dass in seinen ScreenOS-Routern zwei Hintertüren gefunden wurden. Bei der einen handelt es sich um ein fest eingestelltes SSH-Passwort - eine relativ triviale, aber doch gravierende Lücke. Weit ausgefeilter ist die zweite Lücke: Ein Angreifer hatte offenbar die Parameter für den Zufallszahlengenerator Dual EC geändert.

Der Zufallszahlengenerator Dual EC erlaubt es demjenigen, der die Parameter für die darin verwendeten elliptischen Kurven erstellt, gleichzeitig, einen geheimen Wert zu speichern, der es ihm anschließend erlaubt, bei Kenntnis eines kleinen Zufallszahlenstroms die zukünftigen Werte von Dual EC zu berechnen. Das Pikante: Der Angreifer, der die Hintertüre in Junipers Produkten platziert hatte, hat die Parameter für Dual EC lediglich ausgetauscht. Dazu kommt: Durch einen Fehler im Code wurde ein zweiter Zufallszahlengenerator namens ANSI X9.31 deaktiviert. Durch die Verkettung von zwei Zufallszahlengeneratoren wäre die Gesamtkonstruktion ohne diesen Fehler wieder sicher gewesen.

Als Juniper die geänderten Parameter entdeckte, wurden zunächst lediglich die alten Parameter wiederhergestellt. Der Bug, der die Verwendung von ANSI X9.31 verhindert, wurde bislang nicht behoben. Doch ob die ursprünglichen Parameter frei von einer Hintertür sind, ist äußerst fragwürdig. Juniper bestreitet jedoch, dass es hier ein Problem gebe. "Wir sind überzeugt davon, dass die gepatchten Releases, die Dual EC verwenden, sowohl den unautorisierten Zugriff als auch die VPN-Entschlüsselung verhindern", heißt es dazu in Junipers Blogpost.

Änderung an IPSEC macht Juniper-Erklärung unglaubwürdig

Hovav Shacham, Professor an der University of California in San Diego, hat auf der Real-World-Crypto-Konferenz in Stanford vor einigen Tagen weitere Details zu Junipers Verwendung von Dual EC präsentiert. Eine Änderung in IPSEC, die gleichzeitig mit der Einführung von Dual EC in ScreenOS vorgenommen wurde, dürfte Juniper in Erklärungsnöte bringen. Das IKE-Protokoll, das Teil von IPSEC ist, verwendet einen Nonce-Wert, der durch den Zufallszahlengenerator erzeugt wird. Die Länge des Nonce-Wertes ist variabel, die Mehrzahl der IPSEC-Implementierungen verwendet hier 20 Bytes. Juniper änderte diesen Wert auf 32 Byte - und zwar exakt zu dem Zeitpunkt, als der Zufallszahlengenerator Dual EC ursprünglich in ScreenOS eingebaut wurde. Beide Änderungen wurden in der Version 6.2.0r1 vorgenommen.

Dazu muss man wissen: Für einen erfolgreichen Angriff auf Dual EC benötigt ein Angreifer, der den geheimen Schlüssel besitzt, einige ungefilterte Zufallsbytes. 20 Bytes reichen hier nicht, 32 Bytes sind jedoch ausreichend. Sprich: Genau zu dem Zeitpunkt, als Juniper Dual EC in ScreenOS eingebaut hat, wurde auch eine Änderung im IPSEC-Protokoll vorgenommen, die die Ausnutzung der Dual-EC-Schwäche erst ermöglicht.

Es deutet viel darauf hin, dass es sich bei den Hintertüren in Junipers Geräten um drei unterschiedliche Akteure handelte. 2008 wurde Dual EC in den ScreenOS-Code eingefügt. Durch eine Änderung am Nonce-Wert von IKE und einen Bug wurde die Ausnutzung überhaupt erst möglich. 2012 wurden die Parameter von Dual EC geändert, nach der Entdeckung vor Weihnachten wurden diese auf den ursprünglichen Wert zurückgestellt. 2014 wurde das davon komplett unabhängige Default-Passwort im SSH-Code eingefügt.

Junipers Erklärung, dass der Zufallszahlengenerator Dual EC keine Gefahr darstelle, erscheint vor diesen Hintergründen kaum glaubwürdig. Von Junipers Pressestelle erhielten wir einen Verweis auf den Blogeintrag, weitere Fragen zu dem Vorfall wollte Juniper nicht beantworten. Juniper plant nun, den Zufallszahlengenerator Dual EC und auch ANSI X9.31 komplett zu entfernen und durch einen völlig anderen Zufallszahlengenerator zu ersetzen. Doch wann diese Änderung vorgenommen wird, dazu gibt es bislang von Juniper keine Angaben. Besitzern von Junipers ScreenOS-Produkten kann man zur Zeit wohl nur empfehlen, diese Geräte nicht mehr zu nutzen.



Anzeige
Hardware-Angebote
  1. ab 349€
  2. bei Alternate kaufen
  3. bei Alternate.de

DetlevCM 12. Jan 2016

Meine ehemalige Uni hatte vorher Exchange - also mindestens etwas Kompetenz in Sachen...

Wurly 12. Jan 2016

Man kann Volkswagen aber mit den Worten "dem Autohersteller" ... einleiten.

spiderbit 11. Jan 2016

ja statt das problem einfach zu fixen wird ein neuer ein gebaut wo noch niemand die...

Wallbreaker 11. Jan 2016

Klingt mir zu sehr verallgemeinert. Wenn die richtigen und vor allem unabhängigen Leute...


Folgen Sie uns
       


HP Z2 Mini Workstation - Test

Die Z2 Mini Workstation G3 kann uns im Test überzeugen - und das nicht als sehr schnelle Maschine, sondern als gut durchdachtes Gesamtkonzept.

HP Z2 Mini Workstation - Test Video aufrufen
Thermalright ARO-M14 ausprobiert: Der den Ryzen kühlt
Thermalright ARO-M14 ausprobiert
Der den Ryzen kühlt

Mit dem ARO-M14 bringt Thermalright eine Ryzen-Version des populären HR-02 Macho Rev B. Der in zwei Farben erhältliche CPU-Kühler leistet viel und ist leise, zudem hat Thermalright die Montage etwas verbessert.
Ein Hands on von Marc Sauter


    Digitalfotografie: Inkonsistentes Rauschen verrät den Fälscher
    Digitalfotografie
    Inkonsistentes Rauschen verrät den Fälscher

    War der Anhänger wirklich so groß wie der Ring? Versucht da gerade einer, die Versicherung zu betuppen? Wenn Omas Erbstück geklaut wurde, muss die Versicherung wohl dem Digitalfoto des Geschädigten glauben. Oder sie engagiert einen Bildforensiker, der das Foto darauf untersucht, ob es bearbeitet wurde.
    Ein Bericht von Werner Pluta

    1. iOS und Android Google lanciert drei experimentelle Foto-Apps
    2. Aufstecksucher für TL2 Entwarnung bei Leica

    NUC8i7HVK (Hades Canyon) im Test: Intels Monster-Mini mit Radeon-Grafikeinheit
    NUC8i7HVK (Hades Canyon) im Test
    Intels Monster-Mini mit Radeon-Grafikeinheit

    Unter dem leuchtenden Schädel steckt der bisher schnellste NUC: Der buchgroße Hades Canyon kombiniert einen Intel-Quadcore mit AMDs Vega-GPU und strotzt förmlich vor Anschlüssen. Obendrein ist er recht leise und eignet sich für VR - selten hat uns ein System so gut gefallen.
    Ein Test von Marc Sauter und Sebastian Grüner

    1. Crimson Canyon Intel plant weiteren Mini-PC mit Radeon-Grafik
    2. NUC7CJYS und NUC7PJYH Intel bringt Atom-betriebene Mini-PCs
    3. NUC8 Intels Mini-PC hat mächtig viel Leistung

      •  /