Patch gegen gefälschte ID in PGP (Update)

Die Verschlüsselung mit PGP-Tools hat eine Sicherheitslücke für die zahlreichen Einfach-"weiter"-Klicker. Der holländische Student Sieuwert van Otterloo fand heraus, wie man unvorsichtigen PGPlern eine falsche Identität als echt vorgaukeln kann.

Wie Network Associates auf seinen PGP-Seiten erklärt, könnte ein Fälscher seinen öffentlichen Schlüssel auf normalem Wege bei einer Zertifizierungsstelle signieren lassen. Dann fügt er dem Schlüssel eine zweite ID hinzu und markiert diese als seine primäre, wodurch die signierte ID zur Zweitidentität wird. Nun überzeugt er sein Opfer, diesen Schlüssel mit der Doppelidentität in seinen Schlüsselbund zu übernehmen. Da die zweite ID gültig und signiert ist, sieht es in PGP aus, als sei der Nutzer vollwertig und signiert. Durch diesen Fehler in der Ansicht könnte man den Schummler für seinen besten Freund halten und ihm Dinge zusenden, die eigentlich nicht für ihn bestimmt sind.

Sieht man jedoch die importierten Schlüssel genau an, erkennt man die Manipulation. Zudem muss der Fälscher seine wahre Identität preisgeben, da er sonst keinen vertrauenswürdigen Public Key erhält. Von diesem Designfehler in der Nutzerschnittstelle sind alle PGP-Versionen und offenbar auch GnuPG betroffen. Network Associates stufte das Risiko als "nicht lebensbedrohlich" ein, warnt aber, dass durch Fälscher das Vertrauensnetzwerk zerstört würde. Auf der Website der Firma stehen Patches für einige Versionen bereit. Eine genauere Beschreibung des Problems zusammen mit Empfehlungen zur Behandlung findet sich in deutscher Sprache bei der Uni Stuttgart hier und hier. Generell ist der beste Schutz aber eine sorgfältige Prüfung aller importierter Schlüssel, bei der dieser Fehler sofort auffällt. (cgl)