Publiziert am 20. März 2014 von Dennis Knake unter: ITK-Welt

Computerkriminalität Datensicherheit Hacker IT-Sicherheit Router Sicherheit Spionage

Schwachstelle Router

Seit Jahresbeginn kommen Internet-Router nicht mehr aus den Schlagzeilen. Für große Unruhe sorgte im Februar ein Sicherheitsleck der beliebten Fritz!Box von AVM, die vor allem im Privatkundenumfeld eingesetzt wird. AVM hat das Problem mittlerweile behoben. Aber auch Geräte der Marken Cisco, Netgear und Linksys gerieten in die Kritik. Hier vermuten Sicherheitsexperten allerdings bewusst eingebaute Schwachstellen, um Geheimdiensten Zugriff zu ermöglichen. Im Interview erläutert QSC-Sicherheitsfachmann Christian Ebert mögliche Szenarien und was QSC gegen den Abhörwahn unternimmt.

Christian Ebert leitet den Bereich IT-Security bei QSC.

Herr Ebert, seit den Geheimdienstskandalen im vorigen Jahr schauen Medien und Kunden genauer hin, wenn es um ihre Online-Sicherheit geht. Was hat es mit den jüngst bekannt gewordenen Schwachstellen bei Routern auf sich?

Christian Ebert: Was AVM angeht, so handelte es sich offenbar tatsächlich um unfreiwillige Sicherheitslücken, die das Unternehmen ja auch schnell behoben hat. Das ist ärgerlich, kann aber vorkommen. Bei den Routern von Cisco, Netgear und Linkys bin ich mir da nicht so sicher, ob es hier nur um eine einfache Nachlässigkeit handelt.

Wie kommen Sie zu der Einschätzung?

Christian Ebert: Seit gut zehn Jahren tauchen Diskussionen über diese offenen Ports in den Support-Foren der Hersteller auf. Auf Anfragen haben die Hersteller nie geantwortet. Auffällig ist zudem, dass Modelle von gleich drei Herstellern exakt die gleiche Sicherheitslücke aufweisen. Mir drängt sich da der Verdacht auf, dass diese Hintertür bewusst eingebaut wurde, um Dritten Zugriff zu ermöglichen.

Setzt QSC die betroffenen Endgeräte ein?

Christian Ebert: Nein, hier handelt es sich ausnahmslos um Equipment für den Privatkundenmarkt. Wir setzen im Profiumfeld andere Geräte ein.

Und dort gibt es diese Schwachstellen nicht?

Christian Ebert: Zumindest lassen sich diese nicht so leicht entdecken. Wir überprüfen regelmäßig den gesamten IP-Adressbereich inklusive der Router unserer Kunden auf offene Ports, die nicht offen sein sollten. Im Profiumfeld würde ein offener Port viel schneller auffallen. Im Privatkundenbereich setzt man auf Masse. Da kann man eine Hintertür einbauen, die sich nicht ganz so viel Mühe macht, sich zu verstecken. So ist der Zugriff für Dritte auch einfacher zu bewerkstelligen.

Also keine Backdoors im Carrier-Equipment?

Christian Ebert: Das mag ich nicht ausschließen. Wenn es so etwas gibt, dann sicherlich besser getarnt.

Wie würde so eine Profi-Hintertür aussehen?

Christian Ebert: Nun, das könnte zum Beispiel über einen versteckten Kommandobefehl funktionieren, der vom Hersteller bereits in das Gerät implementiert wurde. Wer den richtigen Befehl kennt, könnte das Gerät theoretisch „aufwecken“. Solche Hintertüren sind fast nicht aufzuspüren.

Was können Sie dann gegen Spionage ausrichten?

Christian Ebert: Gegen Attacken auf Geheimdienstniveau? Leider noch nicht sehr viel. Wir können nur überprüfen, ob der Traffic, den ein Gerät erzeugt, auch der Traffic ist, den es erzeugen soll. Außerdem setzen wir an einigen Stellen bewusst unterschiedliche Systeme ein. Sollten es dann bei den Geräten eine Hintertür geben, kann man davon ausgehen, dass sich die Geräte gegenseitig beim Spionieren blockieren.

Wo es möglich ist, setzen wir zudem auf Open Source. Kommerzielle Systeme sind zur Überwachung immer schlechter geeignet, da man nicht in den Quellcode schauen kann. Das ist wie bei einem Koch, der einen nicht in die Küche schauen läßt. Da weiß ich am Ende nicht, was er mir in die Suppe getan hat.

Wie können sich Kunden besser schützen?

Christian Ebert: Wer sensitive Daten austauscht, sollte diese unbedingt Ende-zu-Ende-verschlüsseln. Vor allem im E-Mail-Verkehr geht man oft noch viel zu unbedarft mit dem Versand auch sensibler Informationen um.

Wie sicher sind denn die Mailserver von QSC?

Christian Ebert: Zunächst einmal setzen wir bei SMTP, POP3 und IMAP auf das TLS-Protokoll zur verschlüsselten Übertragung auf dem Transportweg vom Absender zum Mailserver. Zusätzlich haben wir nun auch noch Perfect Forward Secrecy (PFS) implementiert. Hier wird der Sitzungsschlüssel jedes Mal aufs Neue zwischen Client und Server ausgehandelt.

Welchen Vorteil bietet PFS?

Christian Ebert: Ohne PFS könnte man den mitgeschnittenen, aber bereits verschlüsselten Datenstrom erst mal aufbewahren und abwarten, bis man an die privaten Schlüssel von Sender und Empfänger gelangt ist. Da bei PFS aber mit jeder Datenübertragung auch ein neuer Schlüssel generiert wird, der nur für diese eine Sitzung gültig ist, würde auch das Mitscheiden des Datenstroms nichts bringen. Die Schlüssel zum Decodieren der Daten sind nach Gebrauch hinfällig.

Also alles sicher bei QSC?

Christian Ebert: Wer Ihnen 100-prozentige Sicherheit verspricht, der lügt. Gegen herkömmliche Angreifer sind wir mit unseren Methoden sehr gut gewappnet. Gegen Geheimdienste vorzugehen, ist hingegen eine Herausforderung.

Teaserfoto: (c) angellodeco – Fotolia.com