Mitternachtshacking

Die russische Firma Elcomsoft, bekannt geworden durch diverse Key Recovery Programme und die cleveren Hacks in Adobes eBook hat eine Hintertür in der weit verbreiteten Finanzsoftware Quicken von Intuit gefunden. Laut Mitteilung von Elcomsoft und diversen Berichten (und ich glaube denen, die Leben davon) gibt es die Hintertür seit 2003, als Intuit angefangen hat, Dateien mit starker Verschlüsselung zu sichern um gleichzeitig einen Passwort Recovery Service anzubieten.

Da fallen mir doch gleich mehrere Sachen auf:

1. Sichere Verschlüsselung in Kombination mit Password Recovery Service sollte einen stutzig machen. Entweder die Verschlüsselung ist sicher, dann kann aber keiner mehr herankommen, oder eben nicht. Und nur dann ist Password Recovery Service überhaupt realistisch. Wenn die Verschlüsselung tatsächlich mit einem starken, standardisierten Algorithmus erfolgt, z.B. AES-128, muss eine Hintertür vorhanden sein, anders ist ein Password Recovery innerhalb von 10 Minuten wie von Intuit versprochen gar nicht möglich.

2. Password Recovery wird von Intuit seit 2003 angeboten. Vernünftig denkenden Menschen sollte daher auch seit 2003 klar sein, dass die Quicken Software eine Hintertür haben muss. Aber erst jetzt 2007 kommt Elcomsoft mit der nötigen Software zum Ausnutzen der Hintertür. Entweder haben die Jungs aus Russland so lange gebraucht, um die Hintertür zu finden (was ich nicht glaube) oder auch erst vor ein paar Monaten angefangen zu suchen. Warum hat eigentlich sonst niemand seit 2003 darauf hingewiesen?

3. Die Hintertür ist laut Elcomsoft mit einem 512-Bit RSA Schlüssel geschützt. Also bitte, wer ist den so blöd, 2003 noch einen 512-Bit RSA Schlüssel zu verwenden? 512-Bit RSA Schlüssel wurden schon 1999 erfolgreich faktorisiert (d.h. in ihre Primfaktoren zerlegt, woraus sich dann problemlos der zugehörigen private Schlüssel ermitteln lässt). Das mindeste, was man für eine solche Hintertür hätte erwarten können ist ein sicherer Schutz durch ausreichend lange und starke Schlüssel. 1024 Bit hätte ich noch akzeptiert, lieber aber 2048 Bit.

Ich bin ja mal gespannt, wie Intuit darauf reagiert …

Anmerkung: 2001 wurde Dmitry Sklyarov auf der Def Con Hackerkonferenz nach seinem Vortrag über die Schwächen in Adobes eBook Software verhaftet und mit einer Anklage gegen den DMCA belegt. Sklyarov wurde im Dezember 2001 unter der Voraussetzung wieder freigelassen, gegen seinen Arbeitgeber auszusagen. Im Dezember 2002 wurde Elcomsoft von allen Anklagepunkten freigesprochen.