Sicherheitsdienste: „PGP ist ein Freund der NSA“

(Bild: Shutterstock/Cousin_Avi)

Die PGP-Verschlüsselung ist keineswegs so sicher wie einige denken, sagt Nicholas Weaver vom International Computer Science Institute. Er kreidet PGP an, besonders geschwätzig zu sein und Metadaten zu offenbaren.

Das Verschlüsselungprogramm Pretty Good Privacy (PGP) soll Zugriff auf zahlreiche Metadaten geben, selbst wenn die Inhalte selbst nicht entschlüsselt werden können. Das sagte Weaver auf der Konferenz Usenix Enigma ebenso schreibt es auch in seinen Blogbeiträgen.

„Die Geheimdienste lieben PGP. Es ist geschwätzig, es gibt dir jede Menge Metadaten an die Hand, deine gesamten Kommunikationsaufzeichnungen. PGP ist ein Freund der NSA“, zitiert Motherboard den Sicherheitsforscher. Die Publikation überprüfte auch im Selbstversuch die von Weaver vorgeschlagenen Schritte, um an solche Daten zu kommen.

Primäres Problem ist Weaver zufolge, dass sich mit PGP verschlüsselten Mails mit einem normalen PGP-Client KeyIDs entnehmen lassen, die auf alle Empfänger hinweisen. Das umfasst üblicherweise auch den Sender selbst, den die meisten Clients automatisch als Mitempfänger der Nachricht deklarieren, damit er sie neuerlich entschlüsseln kann. Von KeyIDs ausgehend ist es oft möglich, den Namen und die E-Mail-Adresse zu ermitteln.

Für eine weiterführende Analyse benötigt man ein Werkzeug wie pgpdump; Geheimdienste dürften ihre eigenen haben. Liegt ihnen eine große Datenmenge vor, wie im Rahmen des Programms XKeyscore, könnten sie beispielsweise nach allen Mails suchen, die eine bestimmte KeyID enthalten, und somit alle von einer Person verfassten und an sie gehenden Nachrichten aufspüren, also ihr ganzes Kommunikationsnetz kartografieren. Im Fall einer gezielten Überwachung sei das ein idealer Start, um nun in Systeme einzudringen und Schlüssel zu stehlen, sagt Weaver.

Zudem enthalten PGP-Nachrichten die üblichen Metadaten jeder E-Mail wie Adresse, Tag und Uhrzeit. Weaver zufolge müsste man zusätzlich zu PGP auch ein frisches E-Mail-Konto und einen Anonymisierungsdienst wie Tor nutzen, um wirklich vor Überwachung geschützt zu sein.

Mit dem Befehl „–throw-keyid“ lässt sich die KeyID des Senders aus einer Nachricht entfernen. Dies verlängert allerdings die Entschlüsselungsdauer, da der Client des Empfängers alle ihm vorliegenden Schlüssel der Reihe nach durchprobieren muss. Oder aber, man lässt sich selbst nicht als Empfänger aufnehmen, kann die Nachricht dann aber später selbst nicht mehr entschlüsseln.

PGP gehört wie Tor zu den Programmen, die durch Edward Snowdens Enthüllungen an Beliebtheit gewonnen haben. Beispielsweise führten die Webmail-Dienste Web.de und GMX im August 2015 Ende-zu-Ende-Verschlüsselung per PGP für E-Mails ein. Das Programm wurde auch ausdrücklich lobend in „Citizen Four“ erwähnt, Laura Poitras‘ Film über Edward Snowden. Weaver bezweckt mit seinem Vortrag offenbar vor allem, ins Bewusstsein zu rücken, dass PGP keine bedingungslose Anonymität verschafft, sondern nur den Text von E-Mails verschlüsselt.

Tags :Quellen:Mit Material von Florian Kalenda, ZDnet.de
  1. Interessant wie viele Fehler man allein in eine Überschrift packen kann. Neben dem offensichtlichen Schreibfehler („Freund“ statt „Freud“) muss es natürlich korrekterweise „Sicherheitsforscher/Sicherheitsexperte“ statt „Sicherheitsdienste“ heißen. Immerhin wurde die Aussage von einer Person getroffen und nicht von mehreren Diensten. Korrekturlesen wäre angebracht ;)

  2. P.Zimmermann hat PGP an eine „Firma“ für mehrere Millionen verkauft, oder er musste es verkaufen.
    Es gibt Gerüchte, es wurde an eine NSA- Tarnfirma verkauft…
    Kurz danach wurde ein zweiter Generalschlüssel eingebaut,
    angeblich für Firmenleitung heißt es, falls ein Mitarbeiter Passwort nicht nennt / nennen kann…
    Ggf. auch ein dritter Generalschlüssel für NSA?

    Und was ist mit TrueCript?
    Oder VeraCript?

Hinterlasse eine Antwort

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *

Advertising