Black­Ber­ry — Bes­ter Freund der NSA oder Opfer?

Der Spie­gel hat ges­tern ein neu­es Puz­zle­stück zum Data­ga­te hin­zu­ge­fügt, wir berich­te­ten im Bei­trag Android, Black­Berry, iOS sind von der NSA und dem GCHQ geknackt — Wie geht siche­re Enter­prise Mobi­lity ab jetzt? Beson­ders inter­es­sant und wich­tig ist die Infor­ma­ti­on, dass die NSA Zugriff auf über den Black­Ber­ry Enter­pri­se Ser­ver neh­men kann, wie der Screen­shot zu die­sem Bei­trag doku­men­tiert. Die­ser ist dem aktu­el­len Spie­gel ent­nom­men, der wie­der ein­mal mehr als lesens­wert ist.

Uns hat die­se Infor­ma­ti­on in kei­ner Wei­se über­rascht, regel­mä­ßi­ge Leser des Pre­tio­so Blog wis­sen, dass wir Black­Ber­ry für das unsi­chers­te und am stärks­ten kom­pro­mit­tier­te Smart­pho­ne-Sys­tem hal­ten. In vie­len Bei­trä­gen haben wir vor dem Ein­satz von Black­Ber­ry gewarnt, als Ein­stieg bie­tet sich der Bei­trag Black­Berry — Ist das eine kana­di­sche Fir­ma oder eine US-​Fir­ma? an, der ver­deut­licht, dass die von Black­Ber­ry in den USA ent­wi­ckel­ten Tech­no­lo­gien unein­ge­schränkt der US-Export­kon­trol­le unter­lie­gen und vor die­sem Hin­ter­grund die Ver­schlüs­se­lung als kom­pro­mit­tiert anzu­se­hen ist.

Die­se Fak­ten wer­den auch nicht durch die regel­mä­ßi­gen Nebel­ker­zen von Black­Ber­ry aus der Welt geschafft, die immer wie­der ver­si­chern, dass es kei­ne Back­doors in der Lösung gebe. Hier scheint es sich um ein seman­ti­sches Pro­blem zu han­deln — im Kern ist es egal wie man die von Black­Ber­ry im Rah­men der US-Geset­ze geschul­de­te Offen­le­gung der Ver­schlüs­se­lung nennt.

Wie tief die Ver­stri­ckung von Black­Ber­ry mit der NSA ist, zeigt die Kry­to­gra­phie auf der Basis ellip­ti­scher Kur­ven. Bruce Schnei­er, der welt­weit füh­ren­de Kryp­to­gra­phie-Exper­te hat gera­de erst am Frei­tag aus­drück­lich vor dem Ein­satz die­ser Ver­schlüs­se­lungs­tech­no­lo­gie gewarnt:

Pre­fer con­ven­tio­nal dis­cre­te-log-based sys­tems over ellip­tic-cur­ve sys­tems; the lat­ter have con­stants that the NSA influ­en­ces when they can.

Im Klar­text — Ver­schlüs­se­lung auf der Basis ellip­ti­scher Kur­ven ist durch die NSA kom­pro­mit­tiert, was man unschwer sogar auf Wiki­pe­dia nach­le­sen kann:

Laut NSA sind Imple­men­tie­run­gen mit Patent­pro­ble­men kon­fron­tiert. Vor allem die kana­di­sche Cer­ti­com Inc. besitzt dem­nach mehr als 130 Paten­te, die für ECC oder Public-Key-Kryp­to­gra­phie benö­tigt wer­den. 26 davon wur­den von der NSA lizen­ziert (Anmer­kung KD: Falsch, alle) um ECC-Ver­fah­ren zu Zwe­cken natio­na­ler Sicher­heit zu implementieren.

Die NSA lizen­siert kei­ne Tech­no­lo­gie, die ihr nicht offen­ge­legt ist und die sie nicht beein­flus­sen kann. Die NSA macht hier­aus auch kein Geheim­nis, alle Details sind nach­zu­le­sen auf der Web­sei­te der NSA im Bei­trag The Case for Ellip­tic Cur­ve Cryp­to­gra­phy:

As a way of clea­ring the way for the imple­men­ta­ti­on of ellip­tic cur­ves to pro­tect US and allied government infor­ma­ti­on, the Natio­nal Secu­ri­ty Agen­cy purcha­sed from Cer­ti­com a licen­se that covers all of their intel­lec­tu­al pro­per­ty in a restric­ted field of use.

Was hat all dies nun mit Black­Ber­ry zu tun?

Ganz ein­fach! Die Fir­ma Cer­ti­com, die der NSA — wie von der NSA oben selbst beschrie­ben — die kom­plet­te Tech­no­lo­gie der ellip­ti­schen Kur­ven zur Ver­fü­gung stellt, ist ein Black­Ber­ry-Unter­neh­men! Jeder kann dies auf der Web­sei­te nachlesen:

With a wide ran­ge of award-win­ning soft­ware and hard­ware solu­ti­ons, Cer­ti­com, a whol­ly owned sub­si­dia­ry of Rese­arch In Moti­on Limi­ted (RIM) (Nasdaq: RIMM; TSX: RIM), pro­tects bil­li­ons of dol­lars worth of con­tent and mil­li­ons of devices around the world.

Für nicht mit den Details ver­trau­te Leser: Rese­arch in Moti­on (RIM) ist der frü­he­re Fir­men­na­me von Black­Ber­ry, bei Cer­ti­com hat man noch nicht die Ände­rung auf der Web­sei­te nach­voll­zo­gen. Wenn man nun noch berück­sich­tigt, dass Black­Ber­ry 10 ganz zen­tral auf ellip­ti­schen Kur­ven basiert, was Sie auf der Black­Ber­ry Deve­lo­per Sei­te im Bei­trag Ellip­tic Cur­ve Cryp­to­gra­phy nach­le­sen kön­nen, wird das Bild rund.

Ich glau­be, dass die NSA nur weni­ge bes­se­re Freun­de als Black­Ber­ry hat. Des­halb emp­feh­le ich jedem Leser: Fin­ger weg von Black­Ber­ry 10. Denn wie sag­te es Mike Laza­ri­dis ganz ehr­lich als er 2011 von der BBC in die Enge getrie­ben wurde:

This is a natio­nal secu­rity issue, turn that off!

Und genau des­halb gehört Black­Ber­ry in kei­ne sicher­heits­be­wuss­te Fir­ma und noch viel weni­ger in die Hän­de deut­scher Geheim­nis­trä­ger im öffent­li­chen Bereich, was wir hier im Blog auch schon mehr­fach bespro­chen wur­de, zuletzt im Bei­trag Black­Berry 10 für Mer­kel und die Regie­rung? Bes­ser nicht!

Dies­be­züg­lich bin ich aber sehr sicher, dass die her­vor­ra­gen­den Exper­ten im BSI die Infor­ma­tio­nen der letz­ten Wochen sehr sorg­fäl­tig ana­ly­siert haben und unse­re Poli­ti­ker genau des­halb vor Black­Ber­ry schüt­zen wer­den und das siche­re Sim­ko 3 ein­füh­ren, wel­ches mit datomo Mobi­le Iden­ti­ty Manage­ment ein siche­res Manage­ment des ent­hal­te­nen Hard­ware-Kryp­to-Ele­men­tes ermöglicht.

Wenn Sie ande­re Fra­gen zu mobi­ler Sicher­heit haben, fra­gen Sie uns bit­te. Wir bera­ten vie­le Orga­ni­sa­tio­nen und Unter­neh­men zu allen The­men rund um die Mobi­li­ty mit einem star­ken Fokus auf die ver­bun­de­nen Sicher­heits­fra­gen. Wir freu­en uns, wenn wir auch Sie zukünf­tig bera­ten dürfen.


Ande­re inter­es­san­te Beiträge:
datomo MDM — neu­es Major Release 3.24 mit vie­len neu­en Sicher­heits­funk­tio­nen für alle mobi­len Plattformen
Wir haben das neue Major Release datomo MDM 3.24 ver­öf­fent­licht. Und wie immer bringt es zahl­rei­che Neue­run­gen, die­se betref­fen vor allem tie­fer­ge­hen­de Sicher­heits­funk­tio­nen und wei­te­re Opti­mie­run­gen für alle mobi­len Platt­for­men: Sper­ren oder erlau­ben Sie zum Bei­spiel gezielt Anwen­dun­gen auf iOS …
Mobi­li­ty preis­wert: Bil­li­ges Tablet, WLAN oder Pre­paid-SIM und Mobi­le Device Manage­ment (MDM)
Wir sto­ßen immer wie­der auf Miss­ver­ständ­nis­se bei der Umset­zung von mobi­len Sze­na­ri­en. Eines der häu­figs­ten Miss­ver­ständ­nis­se ist, dass sich 24-Monats­ver­trä­ge oder Rah­men­ver­trä­ge mit Mobil­funk­be­trei­bern rech­nen. Das tun sol­che Ver­trä­ge durch­aus — für den Mobil­funk­be­trei­ber! Für den Anwen­der ist dies…
Alles zu Mobi­le Device Manage­ment (MDM) und BYOD — Im Pre­tio­so Blog gibt es 200 Fach­bei­trä­ge zum The­ma
Wie schnell die Zeit ver­geht! Noch kei­ne 18 Mona­te sind ver­gan­gen und dies ist nun der zwei­hun­derts­te Bei­trag zum The­ma Mobi­le Device Manage­ment (MDM) und Bring Your Own Device (BYOD). Das Pre­tio­so Blog hat sich in die­ser kur­zen Zeit zum größ­ten deutsch­spra­chi­gen Infor­ma­ti­ons­an­ge­bot zu den The­men M…
datomo Mobi­le Device Manage­ment 3.10.4 — Neue Fea­tures bei der iOS-Unter­stüt­zung
2013 ist noch kei­ne zwei Mona­te alt und wir ver­öf­fent­li­chen schon das vier­te Update für datomo Mobi­le Device Manage­ment! Im Schnitt lie­fern wir alle zwei Wochen ein neu­es Update, wel­ches den Vor­sprung von datomo MDM kon­ti­nu­ier­lich aus­baut und fort­lau­fend neue Fea­tures in die Lösung inte­griert, viele…
MDM Essen­ti­als — War­um Mobi­le Device Manage­ment für vie­le Anwen­der man­dan­ten­fä­hig sein muss
Die Ent­schei­dung für ein Mobi­le Device Manage­ment-Sys­tem ist schwie­rig. In den Unter­neh­men, die sich mit die­ser Ent­schei­dung beschäf­ti­gen, muss die­se Ent­schei­dung häu­fig von Mit­ar­bei­tern getrof­fen wer­den, die von dem völ­lig neu­en The­ma MDM noch kei­ne oder nur gerin­ge Kennt­nis­se haben. Hier­durch werd…

3 Kommentare

Schreibe einen Kommentar»
  1. […] […]

  2. […] hat, dass die Black­Ber­ry-​Lö­sung kom­pro­mit­tiert ist, wir berich­te­ten im Bei­trag Black­Berry — Bes­ter Freund der NSA oder Opfer? Sicher hät­te es euro­päi­sche Anwen­der auch tief beein­druckt, wenn Sie noch vol­ler Stolz […]

  3. […] ist aller­dings, was Düll über Black­ber­ry schreibt. Zwar kann er durch sei­ne Mit­ar­beit am Sim­ko 3 nicht als neu­tral bezeich­net wer­den. Doch er belegt […]

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert.

I accept that my given data and my IP address is sent to a server in the USA only for the purpose of spam prevention through the Akismet program.More information on Akismet and GDPR.

Geben Sie bitte das Ergebnis ein: * Time limit is exhausted. Please reload CAPTCHA.