Interview Wie sicher heutige Verschlüsselungsverfahren sind
Unter dem Stichwort Cryptoleaks haben Medien eine jahrzehntelange Abhörpraxis durch Geheimdienste aufgedeckt.
Manche nennen es den Geheimdienst-Coup des 20. Jahrhunderts: Medienberichten zufolge haben der US-Auslandsgeheimdienst CIA und der Bundesnachrichtendienst (BND) jahrzehntelang Regierungen ausspioniert, in dem sie über eine Firma namens „Crypto AG“ manipulierte Verschlüsselungsgeräte an die Länder verkauft haben. Prof. Dr. Gregor Leander vom Lehrstuhl für Kryptographie der RUB erklärt, wie diese Maschinen eingesetzt wurden und wie sicher heutige Verschlüsselungsmethoden sind.
Laut Berichten der Washington Post und des ZDF haben die Geheimdienste CIA und BND durch Manipulationen von Verschlüsselungsgeräten in der Vergangenheit flächendeckend verschlüsselte diplomatische Kommunikation mitlesen können. Werden solche Geräte heutzutage auch noch eingesetzt?
Bei den Gerätschaften des Unternehmens Crypto AG, das im Mittelpunkt der sogenannten Cryptoleaks steht, handelte es sich zumindest anfangs um Rotormaschinen. Diese elektromagnetischen Geräte fungierten als kryptografische Schreibmaschinen und wurden zur Chiffrierung von Nachrichten genutzt. Doch genau wie herkömmliche Schreibmaschinen sind diese Geräte heutzutage nicht mehr im Einsatz. Kryptografische Schreibmaschinen waren eine Weiterentwicklung der Enigma, die von den Deutschen im Zweiten Weltkrieg genutzt wurde. Enigma war nicht sicher, sie konnte von den Alliierten geknackt werden. Doch mechanische Verschlüsselungsmaschinen können sicher sein, und es gibt einige, die auch mit heutigem Wissen nur mit relativ großem Aufwand gebrochen werden könnten.
Welche Methoden zur Verschlüsselung werden heute genutzt?
Heutzutage nutzen wir keine Schreibmaschinen mehr, sondern Computer. Mit dieser Weiterentwicklung sind maschinelle Verschlüsslungstechniken zu Algorithmen geworden. Wozu einst Hardware gebraucht wurde, ist jetzt immer häufiger Software im Einsatz. Bei der gängigen Verschlüsselungssoftware kommen meist symmetrische und asymmetrische Schlüsselverfahren zum Einsatz.
Man kann Hintertüren in komplexeren Geräten einfacher verstecken.
Ganz vereinfacht erklärt: Bei ersterem ist nur ein gemeinsamer Schlüssel zwischen Sender und Empfänger in Gebrauch, um Inhalte der Nachrichten dechiffrieren zu können. Für das asymmetrische Verfahren, auch Public-Key-Verschlüsselung genannt, braucht es dazu ein Schlüsselpaar, bestehend aus einem Private Key, dem geheimen Schlüssel, und einem Public Key, dem öffentlichen Schlüssel.
Wären Manipulationen wie im Falle Cryptoleaks bei den heutigen Standards überhaupt möglich?
Hierbei muss man zwischen Manipulationen in kryptografischen Algorithmen und in Geräten unterscheiden. Das Manipulieren der heutigen Verschlüsselungsstandards ist schwierig und die Gefahr, entdeckt zu werden, ist groß. Versuche hat es jedoch gegeben. So hat die National Security Agency der USA, NSA, den Zufallsgenerator Dual-EC absichtlich mit einer Schwachstelle ausgestattet, die von Wissenschaftlern aufgedeckt worden ist. Einige Geheimdienste verfügen neben den technischen Ressourcen auch über den nötigen Einfluss auf die Standardisierungsgremien.
Das Manipulieren von Geräten dagegen ist deutlich einfacher, da man Hintertüren in komplexeren Geräten einfacher verstecken kann. Genau darum dreht sich die aktuelle Diskussion mit den Vorbehalten, die es gegenüber den Geräten von Huawei gibt.
Ein Forschungsschwerpunkt des Exzellenzclusters „Cyber Security in the Age of Large-Scale Adversaries“ Casa ist es, grundlegende kryptografische Lösungen gegen solche Angriffsmöglichkeiten zu entwickeln. Wie wollen Sie das erreichen?
Wir arbeiten in Casa insbesondere an genau diesen Fragestellungen: Wie kann man sicherstellen, dass es keine Hintertüren gibt – und Geräte so testen, dass sie entdeckt werden? Wie kann man kryptografische Algorithmen gegen solche Angriffe schützen? Dafür arbeiten Forscher aus verschiedenen Bereichen der IT-Sicherheit in einem interdisziplinären Ansatz zusammen, zum Beispiel aus der Kryptografie, der eingebetteten Sicherheit auf der Hardware-Ebene und der sicheren Systeme auf der Software-Ebene. Die aktuellen Erkenntnisse aus den Cryptoleaks zeigen nochmals die Relevanz dieser Fragestellungen und welch hohe praktische und politische Bedeutung sie umfassen.
