Erstellt am: 20. 12. 2015 - 18:00 Uhr
Kampagne gegen Verschlüsselung bricht zusammen
Die großangelegte Kampagne von Geheimdiensten und Polizei gegen Verschlüsselung bricht gerade in sich zusammen. Zuletzt hatte nur noch FBI-Direktor James Comey allein auf weiter Flur behördliche Hintertüren für Sicherheitssoftware gefordert, am Donnerstag bekam er sie. Allerdings anders herum als gefordert, denn das FBI ermittelt seitdem gegen Unbekannte, die Firewalls des großen US-Herstellers Juniper systematisch mit solchen Hintertüren versehen hatten.
Juniper hatte am Donnerstag eine Eil-Update für seine Firewallsysteme bekanntgegeben, da diese mit "unautorisiertem Code" verseucht seien, der Angreifer zu Administratorenrechten verhelfen würde. Die Ermittlungen des FBI konnten gleich im eigenen Haus beginnen, zumal das FBI, wie auch das Ministerium für Heimatschutz und der gesamte US-Geheimdienstkomplex zu den wichtigsten Kunden des Netzwerkherstellers Juniper gehören. Mehrere Ex-Direktoren von NSA und CIA forderten die FBI-Spitze auf, die Existenz und die Wichtigkeit sicherer Verschlüsselung endlich zur Kenntnis zu nehmen.
Juniper
Virtual Private Networks knacken
Im Herbst 2014 hatte die Kampagne ihren Höhepunkt erreicht. der Anti-Terror-Koordinator der EU, Gilles de Kerchove hatte mit der britischen Innenministerien Theresa May und dem GCHQ-Direktor Robert Hannigan Apple, Google und Co zur Rücknahme ihrer End-To-End-Verschlüsselung aufgefordert.
Die nun identifizierte und am Donnerstag angeblich geschlossene Sicherheitslücke, die es Angreifern ermöglicht, das gesamte, verschlüsselte "Virtual Private Network" (VPN) von Behörden wie von großen Firmen auszuhebeln, datiert zumindest bis in das Jahr 2012 zurück. Betroffen sind sämtliche "NetScreen"-Firewalls, die unter Junipers Betriebssystem "ScreenOS" ab Version 6.2.0r15 bis zur aktuellen Version 6.3.0r20 laufen.
Noch ist völlig unklar, ob das FBI hier womöglich gegen die NSA ermittelt, Hinweise auf einen solchen Angriff finden sich nämlich im Snowden-Fundus interner NSA-Dokumente zuhauf. Dort wird ein Mechanismus namens FEEDTROUGH beschreiben, eine Art elektronischer Durchreiche, die es ermögliche, dass "Implants" auch nach dem Neustart oder dem Update der Firewallsysteme weiter zur Verfügung stünden, heißt es in dem betreffenden Set von Dokumenten. Damit wird die eigentliche Schadsoftware - die Implants heißen BANANAGLEE und ZESTYLEAK - "persistent" gehalten, also laufend aktualisiert.
Public Domain
Fünf weitere NSA-Implants für Juniper
Im Frühjahr 2015 war die anfangs auch von den Geheimdiensten unterstützte Angstkampagne zu einer veritablen Blamage ausgeartet. Die neuentdeckte Sicherheitslücke FREAK im TLS/SSL-Protokoll ging direkt auf die Vorgaben der NSA von 1995 zurück.
Die entsprechenden Folien der NSA zum sogenannten ANT-Katalog beschränken sich nicht auf diese eine Angriffsweise auf die Produkte von Juniper. Mit SOUFFLETHROUGH, GOURMETTHROUGH, SIERRAMONTANA, SCHOOLMONTANA und STUCCOMONTANA standen bereits 2008 fünf weitere solcher Updatemachanismen alleine für Firewalls oder Router von Juniper zur Verfügung. Die Malware versteckt sich in allen Fällen in einem Speicherchip, der direkt über dem BIOS sitzt, sie wird erst beim Start des Systems geladen, all ihre Aktivitäten spielen sich offenbar nur im RAM-Speicher des Geräts ab.
Derartig gut getarnte "Implants" oder etwas niederwertigere "Beacons" sind für Sicherheitsforscher dementsprechend schwer zu entdecken und noch schwerer aus dem System zu kriegen. Die Routerversionen, so wird in der Beschreibung des ANT-Katalogs betont, würde auch ein Austausch der Flash-Speicherkarte in der Hardware nichts anhaben können.
Public Domain
"Advanced Persistent Threat"
Der in den Netzen der BELGACOM 2013 gefundene "Advanced Persistent Threat" ist nach heutiger Perspektive identisch mit der Spionagesoftware Regin, die dem GCHQ zugerechnet wird.
Unter Sicherheitsforschern hat sich für derartige Schadsoftware, die von staatlich gelenkten Akteuren ausgebracht wird, denn auch der Fachbegriff "Advanced Persistent Threat" eingebürgert. Von der belgischen Telekom BELGACOM angefangen, die vom GCHQ angegriffen worden war, bis zum Angriff auf die Infrastruktur des deutschen Bundestags. der Russland zugeschrieben wird, kommen solch persistente Spionageattacken der physischen Zerstörung von Hardware schon ziemlich nahe. Ein Fix in der Software war im deutschen Bundestag deshalb unmöglich, weil sich die Schadsoftware unterhalb des Systems verbarg und damit auch den Tausch von Festplatten und RAM-Speichern unbeschadet überlebte.
Das aktuelle Sicherheitsloch, das seit Donnerstag weltweit für Hektik sorgt, könnte also durchaus von der NSA genutzt worden sein, das wäre für das FBI und die anderen US-Behörden noch die weitaus freundlichste Version. Da diese Angriffsmethoden auf Juniper-Firewalls allerdings schon seit mehr als zwei Jahren in der öffentlichen Verbreitung sind, ist es ebenso wahrscheinlich, dass andere Geheimdienste ein- und dieselbe Sicherheitslücke nützen, um ihre eigenen "Implants" in Umlauf zu bringen und damit etwa in die "Virtual Private Networks" der US-Behörden einzudringen.
Michael Chertoff, Ex-Minister für Heimatschutz
Public Domain
Juniper ist weltweit die Nummer zwei hinter Cisco in Routing und Switching, 50 Prozent seiner Erträge erwirtschaftet die Firma in den USA, der Rest der Umsätze verteilt sich auf Asien und Europa. Interessanterweise listet der ANT-Katalog der NSA hier nur einen vergleichbaren "Implant" für Cisco auf, während für Juniper schon 2008 gleich sechs solcher böser Implantate auf Vorrat waren.
Bereits zwei Tage bevor Juniper dieses außerordentliche Update ankündigte waren gleich mehrere ehemals höchstrangige Führungskräfte des US-Geheimdienstkomplexes an die Öffentlichkeit gegangen.
In der Washington Post, die seit ihrer Übernahme durch Amazon-Chef Jeff Bezos immer mehr zum Zentralorgan der IT-Wirtschaft in den USA wird, werden gleich mehrere ehemalige Spitzen des Geheimdienstkomplexes zitiert, die allesamt in dieselbe Richtung gehen. Er zweifle zwar die Notwendigkeit von Entschlüsselungstechniken für Strafverfolger keineswegs an, sagte der Mitautor des "US Patriot Act" und nachmalige Heimatschutzminister Michel Chertoff. In einer freien Gesellschaft habe man nun einmal "nicht immer die perfekten Möglichkeiten, Menschen auf die Schliche zu kommen, die Böses tun", Versuche, dem aktuellen Trend zu immer mehr Verschlüsselung mit Ausnahmen zu begegnen, seien jedoch fehlgeleitet.
Erinnerungen an "Crypto Wars" 1.0
Public Domain
Der ehemalige CIA-Direktor Michael Hayden, der davor von 1999 bis 2005 auch NSA-Chef war, sagte, dass alleine schon die öffentliche Aufforderung an Firmen, ihre Produkte mit Hintertüren zu versehen, diese Kunden verjagen würde. Sollte das passieren "wären wir mit der schlechsten Option konfrontiert: Es gibt nicht-knackbare Verschlüsselung, nur nicht von Firmen aus den USA". Hayden ist heute Angestellter in Michael Chertoffs millionenschwerer Beratungsfirma "Chertoff Group", die ihre Umsätze zu einem Gutteil aus öffentlichen Geldern lukriert.
Der ehemalige Oberste Geheimdienstkoordinator während der letzten Jahre von George W. Bush, Mike McConnell, der bis 1996 ebenfalls NSA-Direktor war, führte ebenfalls in erster Linie wirtschaftliche Gründe an, die sichere Verschlüsselung absolut notwendig machten. Oberste Priorität müsse sein, die mittlerweile hochgefährliche Wirtschaftsspionage Chinas zu stoppen. Die Kommunikation eines Kriminellen mitzulesen, sei im Vergleich dazu nur von sekundärer Wichtigkeit. Nachdem die Pläne mit dem sogenannten "Clipper Chip" 1995 gescheitert seien, habe man in Folge die ersten 'Crypto Wars' verloren, sagte McConnell : "Seit dieser Zeit hatte die NSA die beste Signalaufklärung in ihrer gesamten, bisherigen Geschichte. Der technische Fortschritt ist nicht aufzuhalten, also lernen wir, damit umzugehen."
Public Domain
McConnell gilt als der geschäftstüchtigste aller bisherigen NSA-Direktoren. 1996 wechselte er von der NSA direkt zur Beratungsfirma Booz-Allen Hamilton, die ihre Umsätze vorwiegend mit dem militärischen Überwachungskomplex erzielt. Als für die Sicherheit des Finanzsektors zuständiger Vizepräsident galt McConnell branchenintern als Umsatzbringer, 2003 wurde Booz Allen mit den Sicherheitsaudits des SWIFT-Finanzsystems beauftragt. Ex-NSA-Direktor McConnells Abteilung überprüfte somit, ob sich der US-Geheimdienstsektor dabei gemäß dem europäischen Datenschutz verhielt. 2007 wechselte McConnell für zwei Jahre in die Position des obersten Koordinators für Geheimdienste, einen Tag nach Amtsantritt Barack Obamas im Jahr 2009 kehrte McConnell wieder zu Booz Allen Hamilton zurück.
Nachrichtensperre, Zwischenbilanz
Seit der Nachricht vom überraschenden Sicherheitsupdate am Donnerstag wurde in Sachen Juniper offenbar eine Nachrichtensperre verhängt. Das FBI "untersucht" bedeutet im Regelfall, dass eine der "üblichen verdächtigen" Sicherheitsfirmen wie Fireye oder Damballa zusammen mit einem Spezialistenteam der NSA den aufgefundenen "Schurken-Code" untersuchen. Die Behauptung von Juniper, dass es bis jetzt keinen nachweislich belegten Versuch gab, die Hintertür in ihren Produkten auszunützen, ist derzeit ebenso unwiderlegbar wie angesichts des frühen Zeitpunktes lächerlich.