Die bisherige Diskussion lief auf Grund meines Beitrags mit dem Titel „Victorinox Snake Oil Crypto?„. Dort hatte ich Bruce Schneiers Warnsignal #9 vor schlechter Kryptographie zitiert:
- Warning Sign #9: Cracking contests: Contests are a terrible way to demonstrate security. A product/system/protocol/algorithm that has survived a contest unbroken is not obviously more trustworthy than one that has not been the subject of a contest. The best products/systems/protocols/algorithms available today have not been the subjects of any contests, and probably never will be. Contests generally don’t produce useful data.
Und ich hatte darauf hingewiesen, dass Victorinox schlecht beraten sei, die Sicherheit ihres Produkts durch zweifelhafte Wettbewerbe beweisen zu wollen. Insbesondere, wenn die Angreifer nur wenige Stunden zur Verfügung gestellt bekommen. Die echte Gefahr ist, dass man den Stick verliert (oder er geklaut wird) und der Angreifer beliebig viel Zeit hat an die Daten zu kommen. Ich schrieb damals in den Kommentaren auch, dass ich den Stick für ein eigentlich durchdachtes Produkt halte.
Diese Meinung möchte ich jetzt revidieren. Hier sind meine Indizien:
Victorinox Warning Sign #1: Falsche Testimonials
Steffen Müller, der scheinbar offiziell im Namen von Victorinox in allen möglichen Foren und Blogs kommentiert und auch Hilfestellungen im offiziellen Victorinox-Forum gibt, schrieb hier in den Kommentaren:
- Prof. Tom Wearbou (Security Head Engineer of NSA) wrote: “MKI’s new Schnuffi chipset: This is not only a chapter for itself, it’s also a new chapter in data history. We got some samples about 5 months ago. After 4 months working and almost 1 Million investment in new Hardware the chipset blows the whole device up before we had a real chance to get our hand on the data… This is not a normal chipset… this is a nasty bitch! “
Ich halte diese Behauptung für frei erfunden. Ich bin mir sehr sicher, dass es keinen Prof. Tom Wearbou gibt. Google findet für diesen Namen genau zwei Seiten und beide sind Kommentare zum Victorinox-Chip. Jeder Professor muss irgendwann ein paar wissenschaftliche Veröffentlichungen haben, sonst wird man nirgends auf der Welt Professor. Diese müsste man auch finden, selbst wenn der gute Mann bei einem Geheimniskrämerladen wie der NSA arbeiten sollte. Auch Varianten des Namens führen nicht weiter. Und Google ist sehr gut darin, mir bei Tippfehlern Alternativen vorzuschlagen.
Ich ziehe diese Behauptung natürlich sofort zurück, wenn mir irgendjemand einen Nachweis für diesen Professor bzw. ein solches Schreiben geben kann.
Victorinox Warning Sign #2: MKI Schnuffi Chip
Kryptographie ist schwierig. Siehe WEP. Selbst wenn man Kryptographie richtig versteht kann man sie immernoch falsch implementieren. Ich kann mir nicht wirklich vorstellen, dass eine (zugegebenermaßen gute) Messerschmiede einen tollen neuen Chip entwickelt, den niemand zerlegen kann. Haben sie wohl auch nicht.
Mein aktueller Wissensstand ist, dass die Technologie angeblich von Martin Kuster kommen soll, dem u. a. Parrot’s Consulting in Zug gehört. Parrot’s Consulting soll wiederum zu einer MKI Group (MKI = Martin Kuster International?) der MKI Enterprises gehören. Beide Webserver residieren auf der gleichen IP-Adresse. Das Anmeldefeld auf der Webseite von MKI sieht so aus als würde es nie verwendet. So wird bei der Eingabe das Passwort im Klartext angezeigt und der Anmeldeknopf führt direkt auf eine Fehlerseite. Auf Deutsch, die Webseite der MKI Enterprises, Rancho Bernardo, CA, USA sieht aus wie eine Alibiwebseite einer Firma die es gar nicht gibt. Domaintools behauptet, auf dem Server der Earthlink gehört (webhost.earthlink.net) werden 76.694 Webseiten gehostet.
Victorinox Warning Sign #3: USB Compliance
Der USB-Stick wurde nach meinen Informationen 2009 von NTS (National Technical Systems) auf Konformität mit dem USB-Standard getestet. Das Produkt hat den Text bestanden, kann jedoch nicht USB-IF zertifiziert werden, weil die Einschaltströme außerhalb der USB-Spezifikation liegen. Ich bin mir nicht mal sicher, ob Victorinox das „Certified USB High-Speed“-Logo das sich in den Datenblättern des Sticks befindet, überhaupt verwenden darf. Auf der Webseite des USB Implementation Forums gibt es eine Datenbank der zertifizierten Produkte. Ich kann da weder „Schnuffi“ noch „MKI“ und auch nicht „Victorinox“ finden. Ich habe aber vorsichtshalber mal eine Anfrage an das USB IF geschickt.
Ansprechpartner bei Victorinox für den Test war Martin Kuster. Hersteller des Chips laut Testbericht eine „MKI Electronics Division“, für die mir Google ein „Keine Ergebnisse für „mki electronics division“ gefunden“ ausspuckt. In der USB-Zertifizierung wird übrigens nur die Signalqualität gemessen, nicht die tatsächliche Übertragungsgeschwindigkeit des Gerätes. Ein High-Speed USB-Device muss deshalb noch keine High-Speed Übertragung anbieten.
Victorinox Warning Sign #4: Martin Kuster
Ich habe eine Weile überlegt ob ich diesen Abschnitt aufnehmen soll. Immerhin wird es jetzt etwas persönlich. Aber Martin Kuster behauptet, er habe den Snuffi Chip entwickelt und die Firma die den Chip baut, gehöre auch ihm. Außerdem behauptet auch Martin Kuster, die NSA hätte seinen Chip erfolglos versucht zu hacken.
Martin Kuster verwendet für die Kommunikation anscheinend gerne mal eine E-Mail-Adresse von MSN. Ich habe den Mailheader untersucht, die Mails gehen tatsächlich über hotmail.com. Auch die IP-Adressen im Header gehören alle Microsoft. Insofern finde ich wiederum den Footer in der Mail interessant, in dem steht:
- „For you safety this message and its attachments (if applicable) were scanned for virus on MKI’s main mail server in Atlanta, Georgia / USA. This may delay the mail for a view minutes. „
Ich bin mir nämlich sehr sicher, dass die Mails niemals über einen MKI-Server in Atlanta gegangen sind.
Und das Gesamtpaket mit falschen Testimonials und einem Chip von einer praktisch nicht existenten Firma sieht für meinen Geschmack nach meiner sehr persönlichen privaten Meinung nun einmal sehr komisch aus.
Oder?
Ach ja, wenn jemand einen solchen USB-Stick hat, jedes USB-Teil hat eine Vendor-ID. Ich würde gerne mal wissen, wer da wirklich als Hersteller dahintersteckt. Ich mag da ungern 70 (8 GB) bis 190 Euro (32 GB) zum Fenster rauswerfen.