Lavabit-Schließung: Andeutungen über Behördenforderung
Der Gründer des E-Mail-Dienstes hat zwei Schwachstellen bei Lavabit beschrieben und dadurch angedeutet, was die Regierung von ihm verlangt haben könnte. Offen äußern darf er sich zur Schließung des Dienstes nicht.
Ladar Levison, der Gründer von Lavabit, hat weitere Hinweise darauf gegeben, warum er seinen verschlüsselten E-Mail-Dienst vor zwei Wochen dicht gemacht hat. Gegenüber Ars Technica wies er auf vermeintliche Schwachstellen hin und deutete dadurch an, was US-Behörden im Geheimen von ihm gefordert haben könnten. Offen dazu äußern darf er sich nicht. Seiner Meinung nach könne die sichere Kommunikation bei Lavabit nur mit dem "Master-Key" oder durch das Ändern des Quelltextes untergraben werden. Dass der Staat so etwas von ihm fordern könne, habe er bis vor kurzem für unmöglich gehalten. Inzwischen tue er das nicht mehr.
In dem Artikel wird erläutert, dass Levison seinen Dienst so gestaltet hatte, dass es nicht einmal Mitarbeitern bei Lavabit möglich gewesen wäre, auf die versendeten Nachrichten zuzugreifen. Das habe dann auch für eventuelle Angreifer gegolten, die Zugriff auf die Infrastruktur erlangt hätten. Trotzdem gab es seiner Meinung nach mindestens zwei Möglichkeiten, an die Inhalte zu gelangen. Dazu müssten Behörden aber drastische Schritte einleiten. So hätte man von ihm als Betreiber verlangen können, den Quelltext dahingehend zu ändern, dass die Passwörter zur Entschlüsselung bei der Eingabe abgegriffen werden. Eine zweite Möglichkeit wäre es, die Herausgabe des privaten Schlüssels der sicheren https-Verbindung zu verlangen, über die das Passwort übertragen wurde. Levison habe aber geglaubt, er sei rechtlich vor solchen Schritten geschützt.
Levison erklärte, er habe beides deswegen nur für theoretische Schwachstellen gehalten, weil das Gesetz solch ein Vorgehen verhindere. Nach Gesprächen mit Vertretern der Industrie und Kryptografie-Experten habe er nun aber Grund zur Annahme, dass diese Vermutung nicht mehr stimme. Er sagt aber auch, sein Meinungswechsel hänge "nicht notwendigerweise" mit dem Geschehen um Lavabit zusammen. Dabei widersprach er explizit Jon Callas, einem Mitbegründer von Silent Circle, dem Unternehmen, dass seinen verschlüsselten E-Mail-Dienst kurz nach Lavabit geschlossen hatte. Callas ist, so Ars Technica, überzeugt, die Regierung könne nicht an SSL-Schlüssel gelangen, denn damit könnten sie sich gegenüber Nutzern unerkannt als Betreiber ausgeben. Auch erzwungene Änderungen am Quelltext hält er demnach für nicht möglich.
Ars Technica erinnert an den Fall Hushmail. Auch dieser Dienst bietet verschlüsselte und damit vorgeblich sichere Kommunikation an, hatte aber 2007 mehrere CDs mit den E-Mails eines Nutzers an die Behörden übergeben. Damals hatten Ermittler den Dienst wohl dazu aufgefordert, eine Sicherheitslücke auszunutzen, um an den Inhalt der Nachrichten zu gelangen. Vor wenigen Wochen hatte außerdem CNet unter Berufung auf eine einzige, anonyme Quelle berichtet, dass Regierungsbehörden die Herausgabe von "Master Keys" verlangen. Das würde Levisons Befürchtungen bestätigen. Dem Bericht zufolge weigern sich die Konzerne aber bislang, der Aufforderung zu folgen. (mho)
