Während sich weltweit Chefs von Polizeien und Geheimdiensten gegenseitig mit ihren Rufen nach wahlweise Hintertüren oder einem Komplettverbot von Verschlüsselungsstechnologien überbieten, spricht sich NSA-Direktor Mike Rogers für eben jene verteufelte Technologie aus. Das heißt aber nicht, dass der NSA-Direktor jetzt plötzlich zu den Guten gehört.
Ein Freund der Verschlüsselung, …
Wie das amerikanische Online-Magazin The Intercept berichtet, sagte Rogers auf einer Podiumsveranstaltung (Video-Aufzeichung) des Thinktanks Atlantic Council in Washington D.C., dass „Verschlüsselung fundamental für die Zukunft sei“ und jegliche Diskussion darüber Zeitverschwendung sei. Gerade die letzten großen Leaks von persönlichen Daten in den USA hätten die Bedeutung von Verschlüsselung für die Privatsphäre hervorgehoben.
(…) Rogers stressed that the cybersecurity battles the U.S. is destined to fight call for more widespread use of encryption, not less. “What you saw at OPM, you’re going to see a whole lot more of,” he said, referring to the massive hack of the Office of Personnel Management involving the personal data about 20 million people who have gotten background checks
Nun ist generell erstmal Skepsis angesagt, wenn der Chef des wahrscheinlich weltweit größten Überwachungsprogramms von Telekommunikation und Internet zum wiederholten Male eine Technologie lobt. Bedeutsam ist Rogers Aussage aber trotzdem, weil sein Kollege vom FBI, James Comey, aktuell massiv gegen Unternehmen lobbyiert, welche Ende-zu-Ende Verschlüsselung zum Schutz ihrer Kunden implementiert haben.
Schon einer von Rogers Vorgängern im Amt, Michael Hayden, war ein Verfechter von Verschlüsselungssoftware und distanzierte sich gegenüber CNN vom FBI-Direktor: „I disagree with Jim Comey. I actually think end-to-end encryption is good for America.“
… weil es andere Wege gibt
Wie aber auch Jenna McLaughlin bei The Intercept richtigerweise schreibt, liegt diese erstmal überraschende Aussage wohl vor allem daran, dass verschlüsselte Inhalte für die NSA kein großes Problem darstellen. Rogers wirbt demnach für die Nutzung von Verschlüsselung, weil sein Dienst noch andere Wege hat, an seine Informationen zu kommen. Durch das Hacken von Computern, Netzwerken, Hard- und Software umgeht oder knackt der Geheimdienst Verschlüsselungen und gelangt direkt an die gewünschten Inhalte.
Doch es gibt Hoffnung: Alles kann die NSA wohl auch nicht knacken, wie eine Analyse von Snowden-Dokumenten des Spiegels nahelegt. Dort geben eine Reihe von namhaften Autoren eine Übersicht über die bis dato (Dezember 2014) wahrscheinlich (nicht) geknackten Verschlüsselungstechnologien.
Und wer braucht die Inhalte, wenn in vielen Fällen die „nur Metadaten“ reichen?
Stimmt! Aber das ist nicht die ganze Story.
Metadaten werden zum Tracking, zur Vorselektion und zur Aufklärung der sozialen Vernetzung herangezogen.
Daraus lassen sich persons of interest bestimmen. Deren Kommunikation möchte man ab einer gewissen Situation schon dechiffriert haben.
Oder die Systeme selbst, was nützt Verschlüsselung, wenn ein Gerät auf Softwareebene schon infiltriert ist? Oder noch schlimmer, auf Hardwareebene?
HIER müsste man mal dazu aufrufen, um ein neues Bewusstsein in dem Bereich zu schaffen. Da sollten alle Experten dazu aufgerufen sein, neue Konzepte und Sicherheitsmechanismen zu entwickeln, mit denen auch bei solchen Szenarien standardmäßig keine Angriffspunkte entstehen. Wahrscheinlich gibt es das alles schon, vermute ich mal, wird nur keiner verwenden…
Aber ich glaube wir machen es der NSA zu einfach, wenn wir jetzt überall auf Konferenzen rumrennen und (nur) für mehr Verschlüsselung Werbung machen. Wir brauchen auch mehr „Intrasystem-Verschlüsselung“.
Anders kann man sich auch nicht erklären, warum der NSA Chef das so offen sagt (bzw sagen darf). Das moderne Verschlüsselungen sicher sind, ist ja zumindest mathematisch sichergestellt. Da wird Kosten/Nutzen Verhältnis ziemlich schlecht für die NSA. Mittlerweile ist wohl 99,99+%. der Verschlüsselten Daten nicht relevant, da lohnt sich wohl auch für die NSA die Entschlüsselung nicht.
Das Problem sind meist nicht schlechte Algos, sondern schlechte Implementierungen.
Da gebe ich dir recht.
Siehe grayfish (NSA), superfish (Lenovo) und Huawei sowie ZTE.
Und damit auch der Spion von nebenan was davon hat gibts Tools wie Hardsploit.
Drüber bei infosecinstitute wurde das Thema schön aufgearbeitet.
Wir müssen schauen das wir starke Verschlüsselung jetzt zum Standard für so ziemlich alles machen, ist die Technik erstmal flächendeckend implementiert wird es auch für den Staat kaum mehr möglich sein das rückgängig zu machen.
Weil es andere Wege gibt erscheint mir als Argument alleine um für Verschlüsselungssoftware aufzutreten etwas zu kurz gegriffen. Demnach könnte er ja auch sagen ihm ist es egal. Würde jetzt eher spekulativ vermuten, dass es entweder aus Publicity Gründen besser ist für Verschlüsselung aufzutreten und dadurch ein wenig zu verschleiern dass die NSA mit der Überwachung ja trotzdem weiter machen wird oder dass die NSA Interesse hat das die Daten nicht für andere AngreiferInnen, (andere Staaten, Wirtschaftsspionage etc.) zu leicht zugänglich sind und die NSA sich dadurch einen Vorteil erhofft.
Danke für deinen Kommentar, Jakob. Ich denke auch, dass er das nicht nur gesagt hat, weil es andere Wege gibt… es gibt sicherlich noch andere Gründe (Publicity mit am meisten). Ich habe mich aber mal darauf beschränkt, eine der Möglichkeiten näher zu erläutern.
Der Hauptgrund ist vielleicht, dass Menschen bei zugezogenen Vorhängen Dinge machen, die sie bei offenen Fenstern nicht machen, was dem Gegenüber die Möglichkeit gibt, mit technischem Gerät durch den Vorhang durch Dinge von Interesse zu sehen, die er bei offenen Fenstern nie zu sehen bekommen würde.
…oder Dinge, also so subversive Dinge wie Meinung zu haben oder zu verbreiten, gleich ganz unterlassen, weil evtl. die Möglichkeit des durch den Vorhangsehens gegeben sein könnte.
Die NSA hat ein Interesse daran, daß die Debatte abebbt, damit nicht noch mehr Motivation entsteht existierende Hintertüren zu finden (Cisco / Juniper / Fortinet Backdoors z.B.) und zu schliessen und bestehende Verfahren noch weiter zu verbessern.
Es ist für die NSA billiger unerkannte Schwächen und Fehler zu exploiten, als harte Crypto zu kracken, brute force = brute expensive (Stromrechnung). Je mehr gegen Verschlüsselung argumentiert und vorgegangen wird, desto stärker wird die Gegenbewegung und desto mehr billige Tricks fallen weg.
Admiral Rogers Argumentation ist daher m.E. ökonomischer Natur. Angewandtes Mechanism Design.
Alle Gründe, die ihr nennt, finde ich sehr interessant und plausibel.
Ich als Laie habe natürlich keine Ahnung, was der wirkliche Grund sein kann, aber ich habe auch vermutet, dass die existierende Verschlüsselung eine Schwäche hat, die es sogar noch leichter macht, auszuspähen. Zusammen mit allen anderen Erklärungen von euch macht das alles natürlich Sinn.
Aber sagt mal, ich habe mich gefragt… Im Text von Netzpolitik.org wird leider nicht erwähnt, welche Verschlüsselungstechnologien das sind, die NSA auch nicht knacken kann. Wisst ihr, wo man das nachlesen kann und ob es für Laien einfach ist, auch auf diese Weise zu verschlüsseln oder ob das nur Professionelle/Kundige tun können? Nicht dass ich inzwischen in den letzten zwei, drei Jahren nicht schon alles preisgegeben hätte, was von Interesse wäre, es über mich herauszufinden. :/
Die US-Regierung benötigt die komromisslos beste Verschlüsselung für sich selbst. Es ist daher nachvollziehbar, das die NSA auf diesem Gebiet auch selbst forschend tätig wird.
Was die US-Regierung für sich selbst beansprucht möchte sie dem Rest der Welt jedoch nicht zugestehen. Daher ist die NSA als Gefährder der Jedermann-Kryptologie einzustufen.
Snowden hat uns die Beweise geliefert für das, was einige schon immer befürchtet hatten. Die NSA hat seither ihren Ruf in der Netzgemeinde für alle Zeiten restlos verspielt. Kryptologen und Softwareentwickler sollten laut Alarm schlagen, wenn sie von der NSA zur Kooperation gedrängt werden. Revoke your trust!
Die sind doch clever end zu end Verschlüsselung stört Sie, doch wenn die Daten auf den Wegen vom Endkunde zu Provider verschlüsselt sind kann doch keiner die Daten analysieren und merken wenn die absaugen.
Wenn einer der Endpunkte kompromittiert ist, dann kann die Transport-Verschlüsselung unberührt bleiben. Und wer kann schon von sich behaupten, er hätte einen garantiert sauberen Rechner?
Es macht wirtschaftlich trotzdem Sinn alles zu verschlüsseln, auf dem Endpunkt mitschreiden zu müssen ist riskanter und teurer für den Angreifer.
Deswegen sitzen die ja schon seit Jahren direkt bei den Telcos ;)
Deshalb brauchen wir ja zuverlässig starke Verschlüsselung. Da können sie in Echtzeit wenig machen, müssen also mitschneiden, in eines ihrer RZs transferieren und dort knacken. Das erhöht die cost of p0wnership ungemein!
Wenn dann der Etat der NSA langsamer wächst als das solide verschlüsselte Datenvolumen, dann bricht dieses System auf Dauer wirtschaftlich zusammen. :)
Na, das hört sich doch gut an! :)
Das ist nicht alles aussichtslos verloren. Ich habe in den letzten Monaten gedacht, die kommen doch eh an alles ran, wo sie ranwollen. Was nützt es also, sich zu schützen…
Ich bin froh, dass es nicht ganz umsonst wäre, auf seine Privatsphäre bedacht zu sein.
Ich sollte öfter mal bei Netzpolitik.org vorbeischauen. :)
@Graumütze
> ist riskanter und teurer für den Angreifer
Das ist ein guter Witz, hat aber wenig mit der Realität zu tun.
Ich vermute eher Dir fehlt der Durchblick.
Softwareentwicklung und besonders 0days sind teuer, einmal auf einem falschen System (Honeypot mit ordentlicher Heuristik) installiert ist Deine teure Trojaner-Investition auch schon verbrannt.
Deshalb lauschen die garantiert lieber berührungslos Klartext oder schwache Crypto vor der letzten Meile mit.
Lern mal lieber statistische Grundlagen der Risikobewertung, ob Buchhalter oder Buchmacher, sonst bist Du ganz schnell pleite! :)
Wenn der NSA-Chef das offiziell unterstützt, handelt es sich bei der Beurteilung in der Tat um ein unlösbares logisches Problem. Was hat der Mann ausgeheckt? Er hat.
Es hilft nichts, man muß aus dem Bauch heraus entscheiden, wie man sich zu verhalten gedenkt und kann erst später, im Gefängnis oder vorm Kamin, Bilanz ziehen.
Der NSA lobbyierte schon bei der Standardisierung von DES für eine kurze Schlüssellänge.
https://de.wikipedia.org/wiki/Data_Encryption_Standard#Die_Rolle_der_NSA
Diesem Verein ist mit grösster Skepsis zu begegnen, das sind keine Anfänger.
Es gibt sie ja seit über 60 Jahren. Seit wann ist die Technik aber so ausgereift gewesen, dass sie hätten theoretisch „jeden“ Weltbürger ausspähen können? Weißt du das?
Denn das würde ja ein ganz anderes Licht auf sehr Vieles werfen!
Das würde bedeuten, dass kein Verbrechen/Attentat/Terrorakt hätte vonstatten gehen können, ohne dass sie das nicht in irgendeiner Weise gebilligt hätten. Verstehst du, was ich meine? (Theoretisch hätte ich das Konjunktiv hier auch weglassen können, denn ich gehe stark davon aus, dass das in den letzten Jahrzehnten so der Fall war!)
„… weil es andere Wege gibt“
Darum besteht „Hardware Security“ im Kern größtenteils nur aus heißer Luft.
Dass das so bleibt, dafür wird die amerikanische und andere Regierungen sorgen.
Ein Beispiel dafür: Secure Boot -*lach*- von Intel. Die Sicherheit besteht insgesamt nur aus irgendwelchen Zertifikaten. NULL Transparenz.
Ein weiteres: Fehlende Schreibschutzschalter für Firmware-Flashmemory z.B in Mainboards(auch Consumer!), Massenspeicher, Netzwerk etc.. Keine Gesamtlösung, wäre aber wenigstens etwas. Keine offene Firmware – Intels Management Engine(ME) )-:
Dann benutz doch was anderes für kritische Anwendungen. Es gibt inzwischen jede Menge schöne ARM Rechner, nur mal so als Beispiel. Für BSD on ARM hat nicht gleich jeder Wald- und Wiesengeheimdienst gleich einen passenden Exploit bereitliegen.
Trenne „offizielle Realität“ mit Wintel Wanzen, Gmail und Fratzkladde von der „inoffiziellen Realität“ mit BSD auf transparenterer Plattform, eigener Domain in .de, Mailverschlüsselung und TOR hinter einem internen Einweg-NAT. Mobil? Bau dir ein Chromebook um. US Reise? Nimm Dir zum Chromebook eine leere SSD in USB Gehäuse mit und lade Dein Image dort von einem Cafe aus anonym runter.
Geht alles, aber Opsec ist halt mit Arbeit verbunden. Du kannst die Realität ja aber auch ausblenden, weitermachen und mit den anderen Schafen blöken… Ist jedes Menschen freie Entscheidung. Tu was oder lass es.
Hört sich für mich wie Chinesisch an. Gibt es einen Weg, sich das alles anzueignen, oder muss man dafür Informatik studiert haben? :/
„Ist jedes Menschen freie Entscheidung. Tu was oder lass es.“
Ich entgegne mal ganz vorsichtig: Welche freie Entscheidung?*lach* Wie soll die bei dem oben von
gwen dl. https://netzpolitik.org/2016/warum-der-nsa-chef-verschluesselung-unterstuetzt/#comment-2018646
angesprochenen Problem aussehen? Für Firmen, bei denen die US-Regierung/NSA meint, sich dort unbedingt alles ansehen zu müssen -nachzulesen in den NSA-Docs -natürlich nur im nationalen Interesse(-:.
Das die NSA sich in die inbound/outbound-Kommunikation der Firmen/Privatpersonen via QUANTUM direkt reinhängen kann, macht es alles andere als besser.
Von anderen und den eigenen Geheimdiensten, die gar nicht genug Material für den Datensupermarkt bekommen können, ganz zu schweigen.