Kryptografische Hintertüren erklärt

Kryptographie ist mit Abstand eines der wichtigsten Themen im Informationszeitalter. Jedes Mal, wenn Sie sich irgendwo einloggen, gibt es einen Algorithmus, der Ihr Passwort gegen einen Hash-Wert verifiziert und bestimmt, ob Sie sich in Ihr Konto authentifizieren können oder nicht. So halten wir Hacker in Schach. Was passiert also, wenn der Algorithmus, der Sie schützen soll, eine Hintertür hat, die es bestimmten Personen ermöglicht, ungehinderten Zugang zu Ihren Konten und persönlichen Aufzeichnungen zu haben?

Am 19. Mai 2015 forderten Apple und Google den U.S. Präsidenten Barack Obama auf, zu überdenken, private Technologiefirmen dazu zu zwingen, Hintertüren in ihre kryptografischen Algorithmen einzubauen. Ich möchte erklären, wie sich dies auf uns als Verbraucher von Technologie und auf die Bilanzen der Unternehmen auswirkt, die uns besagte Technologie zur Verfügung stellen.

Ein bisschen Geschichte: Dual_EC_DRBG

Es wäre Ihnen verziehen, wenn der Begriff „Dual_EC_DRBG“ Ihnen wie ein arcana Geschwätz vorkommt, aber es ist vielleicht ein Begriff, der mit einem der größten Skandale in der Geschichte der Verschlüsselungstechnologie verbunden ist. Unsere Geschichte beginnt in den frühen 2000er Jahren, als die elliptische Kurvenkryptographie begann, in Computersystemen Fuß zu fassen. Bis dahin war die Erzeugung einer Zufallszahl ein Problem wegen ihrer inhärenten Vorhersehbarkeit. Sie sehen, Menschen können sehr effizient Zufallszahlen generieren, da wir alle anders denken. Können Sie erraten, welche Zahl zwischen 1 und 100.000 ich gerade denke? Sie haben eine 1:100.000 Chance, die Antwort richtig zu erraten, wenn Sie einfach zufällig raten. Das gilt nicht für Computer. Sie sind diesbezüglich völlig schrecklich, da sie normalerweise auf andere feste Werte angewiesen sind, um zu ihren „Schlussfolgerungen“ zu gelangen. Da sie nicht „denken“ können, müssen wir den Prozess für sie synthetisieren. Die elliptische Kurvenkryptographie macht den Prozess der Erzeugung einer Zufallszahl viel weniger vorhersehbar als herkömmliche Methoden.

Zurück zur Geschichte. Die National Security Agency (NSA) drängte auf ein Modul namens Dual_EC_DBRG als Möglichkeit zur Erzeugung dieser Zahlen. Es wurde nicht genehmigt.

Aber das endet hier nicht. Im Jahr 2004 schloss die NSA einen 10-Millionen-Dollar-Deal mit den Schöpfern des RSA-Kryptosystems (den Menschen, die zu diesem Zeitpunkt den größten Marktanteil in der Kryptographie hatten), um ihr Lieblingsmodul als Standard für RSA festzulegen. Wir wissen nicht, ob die NSA die Hintertür einbezogen hat, aber Dual_EC_DRBG hatte sicherlich eine. Die Tatsache, dass die NSA so beharrlich war, dieses Modul in die RSA-Kryptographie aufzunehmen, hilft nicht gerade dem Argument gegen Vorwissen.

Schneller Vorlauf bis 2015, und nun haben Sie die US-Regierung sowie andere Regierungen auf der ganzen Welt, die private Unternehmen auffordern, Hintertüren in ihre Verschlüsselungsalgorithmen einzufügen.

Warum Hintertüren für alle anderen schlecht sind

Sie haben vielleicht schon eine Vorstellung davon, warum Hintertüren schlecht sind. Das ist doch selbstverständlich, oder? Die Sache ist, dass es auch andere unsichtbare Konsequenzen hat, wenn Hintertüren in die Verschlüsselung eingeführt werden, abgesehen von der Verletzung der Privatsphäre durch staatliche Stellen.

Zunächst einmal, wenn ein Hacker die Hintertür entdeckt (und genau so begann das bereits erwähnte Dual_EC_DBRG-Desaster), können Sie sich ziemlich sicher sein, dass jeder das ausnutzen kann, um einen Blick auf Dinge zu werfen, die sehr privat für Sie sind.

Der zweite Grund, warum Hintertüren schrecklich sind, lässt sich am besten in Form einer Frage ausdrücken: Wüssten Sie, dass nicht nur die Regierung, sondern jeder Hans Müller einen Blick auf Ihre privaten Daten werfen kann, würden Sie jemals wieder ein Konto irgendwo eröffnen? Die Menschen vertrauen derzeit auf Technologie, weil sie ihr vertrauen. Beseitigen Sie das Vertrauen, und Sie werden sehr wenige Kunden im Unternehmensmarkt sehen. Ja, Verbraucher nutzen weiterhin verschlüsselte und vernetzte Technologien, aber Unternehmen werden massenhaft aussteigen. Viele unserer Lieblingshersteller sind stark auf ihre Geschäftskundenbasis angewiesen.

Das bedeutet also, dass diese Idee nicht nur schlecht für Verbraucher ist, sondern auch schlecht für die Bilanz der Unternehmen, die uns die Dinge bieten, die wir lieben. Deshalb sind Giganten wie Apple und Google so besorgt über diese Richtlinien.

Was denken Sie, sollten wir tun? Ist ein mögliches Gesetz zu diesem Thema überhaupt durchsetzbar? Teilen Sie uns Ihre Meinung in einem Kommentar mit!