29. November 2007

Der Hushmail-Fall

Category: Datenschutz,Politik — Christian @ 17:59

Ich habe eine ganze Weile überlegt, was ich darüber schreiben will. Irgendwie beschäftigt und vor allem beunruhigt mich der Fall doch mehr als mir lieb ist. Darum der Eintrag.

Die Vorgeschichte

Hushmail bietet seinen Kunden sichere, verschlüsselten E-Mail, mit dem Slogan „Free Email with Privacy“. Der Nutzer lädt sich dazu ein Java-Applet auf seinen Client, dort wird die Mail verschlüsselt und nur die verschlüsselte Mail landet auf den Mailservern von Hushmail. Der Dienst verwendet starke Verschlüsselung und bewährte Algorithmen und Protokolle wie AES und OpenPGP. Aus diesem Grund wird Hushmail auch von Sicherheitsexperten und Privacy-Anwälten weltweit empfohlen und eingesetzt. Allerdings gibt es eine zweite Variante der Verschlüsselung, weil es einigen Nutzern zu mühsam war, das Java-Applet auf ihren Rechner zu installieren. Dabei erfolgt die Verschlüsselung serverseitig auf den Rechnern von Hushmail.

Der Fall

Wie u.a. The Register und Wired berichtet, wurde Hushmail jetzt per Gericht gezwungen, die Verschlüsselung soweit aufzubrechen, dass Beweisdaten für den illegalen Handel androider Steroide (also Dopingmittel) dem Gericht im Klartext vorliegen. In diesem Fall wurde vermutlich die serverseitige Verschlüsselung so modifiziert, dass die privaten Verschlüsselungskeys einzelner überwachter Nutzer im Klartext abgespeichert werden, so dass eine Entschlüsselung aller Nachrichten und E-Mails trivial möglich ist.

    „The key point, though, is that in the non-Java configuration, private key and passphrase operations are performed on the server-side. This requires that users place a higher level of trust in our servers as a trade off for the better usability they get from not having to install Java and load an applet,“ sagte Brian Smith, CTO von Hushmail gegenüber The Register.

Anders ausgedrückt … wer einem serverseitigen Dienst die Verschlüsselung von Daten anvertraut, ist selbst schuld. Der Server kann kompromittiert worden sein und Hacker können Zugriff auf alle Daten erhalten. Der Server kann per Gerichtsbescheid von Behörden überwacht werden ja es wäre sogar denkbar, dass die Betreiber eines solchen Dienstes selbst nicht ganz koscher sind. Wired stellt konkret die Frage:

    „But can the feds force Hushmail to modify the Java applet sent to a particular user, which could then capture and sends the user’s passphrase to Hushmail, then to the government?“

Die verwendete Java-Architektur lässt das zumindest technisch zu. Hushmail hat zwar den Source Code des Java-Applets veröffentlicht, aber ob das tatsächlich von Hushmail angebotene Applet aus diesem Source Code kompiliert wurde ist schwer festzustellen. Natürlich gibt es Java Decompiler, z.B. den DJ Java Decompiler den ich selbst gern verwende. Allerdings ist der Source Code manchmal nur schwer zu verstehen und Hintertüren können unter Umständen sogar im Zufallszahlengenerator versteckt sein.

Für den Nutzer stellt sich die konkrete Frage, kann man Hushmail in Zukunft noch trauen oder nicht.

Das Fazit

Der staatliche Trend, Nutzer immer weiter ausspähen zu wollen ist ungebrochen. Die folgende Tabelle soll ein paar Ideen geben, wo es gerade hingeht:

Es kann nicht mehr lange dauern, dann wird der Versuch, seine Privatsphäre zu erhalten bereits strafbar. Der Trend ist jedenfalls klar erkennbar. Ausgenommen sind übrigens nur Priester, Strafverteidiger und Abgeordnete. Hat eigentlich mal jemand die Straffälligkeitsquote bei Bundesinnenministern untersucht? Die muss deutlich über dem Bundesdurchschnitt liegen. Mir fallen da spontan Kanther (Spendenaffäre), Schily (Verfassungsbruch, Nebenverdienst) und Schäuble (schwarze Koffer) ein. 20%, das ist eine krasse Quote.