PC-Wahl: CCC demonstriert erneut einen Angriff und bietet Open-Source-Hilfe
Mit einem demonstrativen Hack macht der CCC auf ein erneutes Sicherheitsproblem der bereits mehrfach nachgebesserten Wahl-Software aufmerksam. Eine Open-Source-Spende soll PC-Wahl jetzt zu einer sicheren Update-Funktion verhelfen.
Dem CCC ist es nach eigenen Angaben gelungen auch das am 13. September bereitgestellte Sicherheits-Update der Wahl-Auswertungssoftware "PC-Wahl" erfolgreich anzugreifen und zu trojanisieren. Wie es scheint, bekommt der Hersteller den Update-Prozess des Programms nicht in den Griff und auch die aktuelle Version weist gravierende Sicherheitsprobleme auf. Die Software wird auch bei der anstehenden Bundestagswahl in einigen Bundesländern eingesetzt, um Wahlergebnisse zwischen verschiedenen Instanzen zu übermitteln. Der CCC hatte darin teilweise eklatante Sicherheitsmängel gefunden, woraufhin der Hersteller nachzubessern versuchte.
Die aktuelle Version unterstützt den Anwender zwar beim Update-Prozess mit einer Anleitung, wie Signaturen zu checken sind. Doch das ist erstens völlig unnötig, denn Software nach dem Stand der Technik erledigt das ausreichend zuverlässig selber. Und zweitens wurde bei der Anleitung der eigentlich entscheidende Schritt vergessen – nämlich die Überprüfung der Vertrauenswürdigkeit der Unterschrift. So gelang es dem CCC, als unsichtbarer Man-in-the-Middle im Netz, ein Update-Paket einzuschleusen, das eine technisch korrekte Unterschrift enthielt. Dass diese Unterschrift nur mit einem Schlüssel erfolgte, den sich die CCC-Aktivisten selbst erstellt hatten, bemerkte ein Anwender, der der Anleitung Folge leistete, nicht.
(Bild: CCC)
Kleiner Insider-Gag am Rande: Der CCC schob in seiner Demo dem Anwender angeblich "Vollbit signierte Installationspakete" unter. Die selbst entwickelte, unsinnige Vollbit-Verschlüsselung propagierte ein legendärer Troll namens Kryptochef über Jahre hinweg unter anderem in den Heise-Foren so massiv, dass sich daraus ein Running Gag entwickelte.
Etablierte Krypto-Bibliotheken
Das Grundproblem von PC-Wahl ist ein altbekanntes: Statt für kryptografische Sicherung dokumentierte, etablierte und getestete Verfahren zu verwenden, bastelt sich der Hersteller seine eigene Lösung. Und er tappt dabei nacheinander systematisch in alle Fallen, die kryptographische Verfahren aufweisen. Greift man hingegen auf Standard-Lösungen zurück, nehmen einem Betriebssystem und Bibliotheken einen Teil dieser Komplexität ab und führen den Entwickler zu einer in der Regel sicheren Umsetzung etwa der Signatur-Prüfung.
In diese Kerbe trifft auch das Angebot des CCC, der jetzt als "Sachspende" eine Open-Source-Bibliothek namens Walruss bereit stellt. Diese setzt eine einfache Signatur-Prüfung mit eigenen RSA-Schlüsseln um. Da der Code unter der "Lesser GPL" für Bibliotheken steht, kann man ihn auch in kommerziellen Closed-Source-Projekten wie PC-Wahl einsetzen. Der CCC will seine Spende jedoch trotzdem als Plädoyer für Open Source nach dem Motto: "Public Money, Public Code!" verstanden wissen.
Empfohlener redaktioneller Inhalt
Mit Ihrer Zustimmmung wird hier ein externes Video (Kaltura Inc.) geladen.
Ich bin damit einverstanden, dass mir externe Inhalte angezeigt werden. Damit können personenbezogene Daten an Drittplattformen (Kaltura Inc.) übermittelt werden. Mehr dazu in unserer Datenschutzerklärung.
(ju)
