heise online Logo
Anmelden
Menü
  • c't – Magazin für Computertechnik
  • iX – Magazin für professionelle Informationstechnik
  • MIT Technology Review – Das Magazin für Innovation von Heise
  • c't Fotografie - Das Magazin rund ums digitale Bild
  • Mac & i – Nachrichten, Tests, Tipps und Meinungen rund um Apple
  • Make – Kreativ mit Technik
  • Alle Magazine im Browser lesen
IT News
  • Newsticker
  • heise Developer
  • heise Netze
  • heise Open Source
  • heise Security
Online-Magazine
  • heise+
  • Telepolis
  • heise Autos
  • TechStage
  • tipps+tricks
Services
  • Stellenmarkt heise Jobs
  • Weiterbildung
  • heise Download
  • Preisvergleich
  • Whitepaper/Webcasts
  • DSL-Vergleich
  • Netzwerk-Tools
  • Spielen bei Heise
  • Loseblattwerke
  • iMonitor
  • IT-Markt
Heise Medien
  • heise Shop
  • Abo
  • Veranstaltungen
  • Arbeiten bei Heise
  • Mediadaten
  • Presse
Anzeige Go! Schule morgen
Newsletter heise-Bot heise-Bot Push Nachrichten Push Push-Nachrichten
heise Security Logo
  • News
    • Archiv
    • 7-Tage-News
  • Hintergrund
  • heise Security Pro
    • FAQs zu heise Security Pro
  • Events
  • Kontakt
  1. Security
  2. Hintergrund
  3. Best of Backdoor-Fails

Best of Backdoor-Fails

Hintergrund 14.02.2020 06:00 Uhr Jürgen Schmidt
Best of Backdoor-Fails

(Bild: BeeBright / Shutterstock.com)

Hintertüren in Hard- und Software haben fast immer auch Nebenwirkungen - manchmal sogar spektakuläre.

Absichtlich eingebaute Hintertüren, die Dritten Zugriffe zu geheimen Kommunikationsdaten gewähren, haben Konjunktur. Im Zuge der Empörung über die heimlich von BND und CIA zu Spionagezwecken aufgekaufte Crypto AG und die amerikanischen Spionagevorwürfe gegen Huawei gerät leicht in Vergessenheit, dass Hintertüren fast immer auch Nebenwirkungen und Sicherheitsprobleme mit sich bringen, mit denen der Hersteller nicht gerechnet hatte. Deshalb hier eine kleine (und natürlich subjektive) Zusammenstellung meiner "Best of Backdoor-Fails".

RSA und der Zufall

Die Security-Firma RSA hat von der NSA 10 Millionen US-Dollar dafür bekommen, den Zufallszahlengenerator Dual_EC_DRBG in die Kryptobibliothek BSafe einzubauen. (Seit Snowden wissen wir, dass die NSA 250 Millionen US-Dollar *pro Jahr* dafür ausgibt, Hintertüren in Soft- und Hardware zu pflanzen.) Die 10 Mio waren gut investiert. Denn RSA verkaufte über Jahre (wissentlich) seine Kryptobibliothek mit dieser Hintertür, die deren Kunden dann wiederum in ihre Produkte einbauten.

Außerdem sorgte RSA dafür, dass das eigentlich bekanntermaßen kaputte Dual_EC_DRBG in offene Standards von NIST, ANSI und ISO aufgenommen wurde. Das ganze flog durch die von Edward Snowden veröffentlichten, internen NSA-Dokumente auf und heute gilt die früher renommierte Security-Firma RSA zumindest in IT-Security-Kreisen nur noch als Lachnummer.

Chinesische Hacker bei Google, Microsoft und Co

Google musste 2010 zugeben, dass Hacker in den Mail-Dienst Gmail eingebrochen waren. Es ist ziemlich sicher, dass es sich dabei um chinesische Hacker handelte, die mit politischem Auftrag unterwegs waren. Weniger bekannt ist, dass diese Hacker eine sehr spezielle Methode nutzten, um den auch im Google-Netz nicht ohne weiteres möglichen Zugang zu Gmail-Konten zu erlangen: Sie nutzten dazu eine Hintertür, die Google nur für den staatlich legitimierten Zugriff auf E-Mails – so genannte Lawful Interception – unter anderem durch Strafverfolgungsbehörden eingebaut hatte.

Ähnliche Angriffe aus China registrierte auch Microsoft. Den Redmondern fiel dabei auf, dass sich diese Zugriffe auf Konten konzentrierten, für die bereits legitime Abhörbefehle etwa durch das FBI vorlagen. Klar: Jemand, für den sich das FBI interessiert, ist vermutlich auch für den Chinesischen Geheimdienst interessant. Vielleicht handelt es sich ja sogar um einen ins Visier der Ermittlungen geratenen Agenten? Hier war also schon die Tatsache, dass eine Person legal über eine staatlich verordnete Backdoor abgehört wurde, ein kritisches Informationsleck.

Griechenland und die Athen-Affaire

Dass staatlich verordnete Hintertüren missbraucht werden, ist auch keineswegs auf US-Konzerne oder Chinesische Hacker beschränkt. So wurden 2004 bis 2005 die Handys des griechischen Premierministers, seiner Verteidigungs-, Außen- und Justizminister und etwa 100 weiteren Regierungsmitgliedern abgehört. Hacker hatten sich Zugang zur staatlichen Überwachungsschnittstelle des Vodafone-Netzes verschafft. Diese nutzten das von Ericsson entwickelte Interception Management System (IMS) offenbar weidlich aus, um die Griechische Regierung zu belauschen. Recherchen unter anderem von The Intercept deuten auf eine NSA-Operation hin.

Juniper-Gate

Wenn es einen Preis für den größten Backdoor-Fail gäbe, wäre der Netzwerkausrüster Juniper ein heißer Anwärter. 2017 dokumentierten Kryptologen und Sicherheitsforscher minutiös eine Art Krypto-Krimi. Demnach baute Juniper 2008 ins eigene Betriebssyssystem ScreenOS nachträglich eine Hintertür ein, über die man etwa den kompletten verschlüsselten VPN-Verkehr der Geräte mitlesen konnte, wenn man einen internen Parameter namens Q kannte. Das war eine so genannte "Nobody but us" -- kurz NOBUS-Hintertür.

2012 brachen dann unbekannte Hacker ins Netz von Juniper ein. Ihnen gelang es offenbar, den Quellcode von ScreenOS und dort den Parameter Q zu ändern. Sie änderten also an der bereits vorhandenen Hintertür nur das Schloss. Damit konnte also irgendwer anders die verschlüsselten VPN-Daten im Klartext mitlesen und man weiß bis heute nicht, wer das war. Juniper selbst bemerkte die peinliche Enteignung der NOBUS-Backdoor erst drei Jahre später und reagierte im Dezember 2015 mit eiligen Notfall-Updates.

Dein #BestofBackdoors

Wer von anderen Kandidaten für die Best of Backdoor-Fails-Auswahl berichten möchte, kann das in den Kommentaren mit dem Hash-Tag #BestofBackdoors im Titel machen. Vielleicht tragen wir den ein oder anderen Fail noch hier im Artikel nach.

(jk)

Kommentare lesen (176 Beiträge)

Mehr zum Thema

  • Backdoor
  • Geheimdienste
  • NSA
  • RSA
  • Sicherheitslücke

Teile diesen Beitrag

https://heise.de/-4660194 Drucken
Dienste
  • Security Consulter
  • Netzwerkcheck
  • Anti-Virus
  • Emailcheck
  • Krypto-Kampagne
Alerts! alle Alert-Meldungen

WordPress-Plug-in Tatsu Builder

Nvidia GPUs

Aruba ClearPass Policy Manager

Sonicwall

Anzeige
  • Sicher entwickeln im Open-Source-Universum
  • Fujitsu Data & Storage Days 02.06. – 20.07.2022
  • SANS eröffnet Cyber-Ressource Center
  • Kundenservice mit künstlicher Intelligenz
  • Wann lohnt es sich, die IT-Security auszulagern?
  • Weniger Umweltbelastung durch die IT
  • Die richtige Online-Strategie für Unternehmen
  • Klimaschutz durch intelligentes Data-Center-Design
  • Mehr Nachhaltigkeit durch modernes Deployment
  • Gaia-X – die souveräne europäische Cloud
Artikel

Utimaco, der Krypto-Miner und ein Disclosure-Desaster​

Auch Anbieter von Hochsicherheitslösungen sind vor Securityproblemen nicht gefeit. Man sollte sich vorbereiten, bevor man davon erfährt, sagt Jürgen Schmidt.

11 Kommentare
Aufmacher: Kommentar Welt-Passwort-Gedenktag

Kommentar: "Willkommen zum Welt-Passwort-Gedenktag"

Welt-Passwort-Tag: Jürgen Schmidt, Senior Fellow Security bei Heise, hat einen Kommentar aus einer Zukunft ohne Passwörter geschickt.

230 Kommentare
  • Passwortsicherheit – Alles, was Sie wissen müssen
  • Welt-Passwort-Tag: Zugangssicherheit im Fokus

Der Patch-Alptraum: Wenn schnell nicht schnell genug ist

Neben den überbewerteten Zero-Day-Lücken gibt es eine weniger bekannte Bedrohung durch "Beinahe-Zero-Days". Die sind weitverbreitet und brandgefährlich.

95 Kommentare

Neueste Forenbeiträge

  1. Re: sudo apt-get update: Signatur abgelaufen
    Hallo, um das Problem zu lösen, kann man den heise-Server zur zuverlässigen Paketquelle erklären. Bitte so etwas wirklich nur machen, wenn man…

    Forum:  Desinfect

    Joe D. Foster hat keinen Avatar
    von Joe D. Foster; vor 8 Stunden
  2. Re: Nvidia Lüfter aus -> Grafikkarte steigt aus
    Ich wollte noch ein kleines Update schreiben. Die Karte kostet zwar nicht den Gegenwert eines normalen Arbeitsplatzrechners, sondern "nur" ca.

    Forum:  Desinfect

    maal1 hat keinen Avatar
    von maal1; vor 18 Stunden
  3. WeTransfer und gefährliche Ratschläge
    Viele Menschen nutzen gern den kosenlosen Service von WeTransfer, um große Dateien zu übertragen. WeTransfer verschickt dann E-Mails, um…

    Forum:  Diverses

    Paul Lenz hat keinen Avatar
    von Paul Lenz; 11.05.2022 13:57
News und Artikel
  • News
  • 7-Tage-News
  • News-Archiv
  • Hintergrund-Artikel
  • Alert-Meldungen
Service
  • Newsletter
  • Tools
  • Foren
  • RSS
  • mobil
Dienste
  • Security Consulter
  • Netzwerkcheck
  • Anti-Virus
  • Emailcheck
  • Krypto-Kampagne
  • Datenschutz
  • Cookies & Tracking
  • Impressum
  • Kontakt
  • Barriere melden
  • Mediadaten
  • 2842689
  • Content Management by InterRed
  • Hosted by Plus.line
  • Copyright © 2022 Heise Medien