Sicherheitsforscher Nicholas Weaver vom International Computer Science Institute hat die „Geschwätzigkeit“ des Verschlüsselungprogramms Pretty Good Privacy oder kurz PGP kritisiert. Es ermögliche Massenüberwachungssystemen Zugriff auf zahlreiche Metadaten, auch wenn der verschlüsselte Inhalt nicht dechiffriert werden könne, erklärte er auf der Konferenz Usenix Enigma ebenso wie in Blogbeiträgen.
Primäres Problem ist Weaver zufolge, dass sich mit PGP verschlüsselten Mails mit einem normalen PGP-Client KeyIDs entnehmen lassen, die auf alle Empfänger hinweisen. Das umfasst üblicherweise auch den Sender selbst, den die meisten Clients automatisch als Mitempfänger der Nachricht deklarieren, damit er sie neuerlich entschlüsseln kann. Von KeyIDs ausgehend ist es oft möglich, den Namen und die E-Mail-Adresse zu ermitteln.
Täglich unterschreiben wir Empfangsbestätigungen von Paketen, Mietwagenverträge oder Kreditkartenzahlungen mit elektronischen Unterschriften. Im Geschäftsalltag fühlen sich jedoch insbesondere kleine und mittelständische Unternehmen häufig noch abgeschreckt, elektronische Signaturen einzusetzen. Sofern sie richtig in die passenden Geschäftsprozesse integriert werden, bieten sie aber einen großen Mehrwert und sind verbindlicher als eine Bestätigung per E-Mail.
Für eine weiterführende Analyse benötigt man ein Werkzeug wie pgpdump; Geheimdienste dürften ihre eigenen haben. Liegt ihnen eine große Datenmenge vor, wie im Rahmen des Programms XKeyscore, könnten sie beispielsweise nach allen Mails suchen, die eine bestimmte KeyID enthalten, und somit alle von einer Person verfassten und an sie gehenden Nachrichten aufspüren, also ihr ganzes Kommunikationsnetz kartografieren. Im Fall einer gezielten Überwachung sei das ein idealer Start, um nun in Systeme einzudringen und Schlüssel zu stehlen, sagt Weaver.
Zudem enthalten PGP-Nachrichten die üblichen Metadaten jeder E-Mail wie Adresse, Tag und Uhrzeit. Weaver zufolge müsste man zusätzlich zu PGP auch ein frisches E-Mail-Konto und einen Anonymisierungsdienst wie Tor nutzen, um wirklich vor Überwachung geschützt zu sein.
PGP gehört wie Tor zu den Programmen, die durch Edward Snowdens Enthüllungen an Beliebtheit gewonnen haben. Beispielsweise führten die Webmail-Dienste Web.de und GMX im August 2015 Ende-zu-Ende-Verschlüsselung per PGP für E-Mails ein. Das Programm wurde auch ausdrücklich lobend in „Citizen Four“ erwähnt, Laura Poitras‘ Film über Edward Snowden. Weaver bezweckt mit seinem Vortrag offenbar vor allem, ins Bewusstsein zu rücken, dass PGP keine bedingungslose Anonymität verschafft, sondern nur den Text von E-Mails verschlüsselt.
Tipp: Wissen Sie alles über Edward Snowden und die NSA? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.
Malware SmokeLoader wird weiterhin von Bedrohungsakteuren genutzt, um Payloads über neue C2-Infrastrukturen zu verbreiten.
Bankhaus Metzler und Telekom-Tochter MMS testen, inwieweit Bitcoin-Miner das deutsche Stromnetz stabilisieren könnten.
Mit 1,7 Exaflops ist El Capitan nun der dritte Exascale-Supercomputer weltweit. Deutschland stellt erneut den…
Der deutsche Hyperscaler erweitert sein Server-Portfolio um vier Angebote mit den neuen AMD EPYC 4004…
Beim Online-Gaming kommt es nicht nur auf das eigene Können an. Auch die technischen Voraussetzungen…
Fast jedes zweite Unternehmen bietet keinerlei Schulungen an. In den übrigen Betrieben profitieren oft nur…