24. Juni 2007

Quicken mit Hintertür

Category: Allgemein,Hacking — Christian @ 19:58

Die russische Firma Elcomsoft, bekannt geworden durch diverse Key Recovery Programme und die cleveren Hacks in Adobes eBook hat eine Hintertür in der weit verbreiteten Finanzsoftware Quicken von Intuit gefunden. Laut Mitteilung von Elcomsoft und diversen Berichten (und ich glaube denen, die Leben davon) gibt es die Hintertür seit 2003, als Intuit angefangen hat, Dateien mit starker Verschlüsselung zu sichern um gleichzeitig einen Passwort Recovery Service anzubieten.

Da fallen mir doch gleich mehrere Sachen auf:

1. Sichere Verschlüsselung in Kombination mit Password Recovery Service sollte einen stutzig machen. Entweder die Verschlüsselung ist sicher, dann kann aber keiner mehr herankommen, oder eben nicht. Und nur dann ist Password Recovery Service überhaupt realistisch. Wenn die Verschlüsselung tatsächlich mit einem starken, standardisierten Algorithmus erfolgt, z.B. AES-128, muss eine Hintertür vorhanden sein, anders ist ein Password Recovery innerhalb von 10 Minuten wie von Intuit versprochen gar nicht möglich.

2. Password Recovery wird von Intuit seit 2003 angeboten. Vernünftig denkenden Menschen sollte daher auch seit 2003 klar sein, dass die Quicken Software eine Hintertür haben muss. Aber erst jetzt 2007 kommt Elcomsoft mit der nötigen Software zum Ausnutzen der Hintertür. Entweder haben die Jungs aus Russland so lange gebraucht, um die Hintertür zu finden (was ich nicht glaube) oder auch erst vor ein paar Monaten angefangen zu suchen. Warum hat eigentlich sonst niemand seit 2003 darauf hingewiesen?

3. Die Hintertür ist laut Elcomsoft mit einem 512-Bit RSA Schlüssel geschützt. Also bitte, wer ist den so blöd, 2003 noch einen 512-Bit RSA Schlüssel zu verwenden? 512-Bit RSA Schlüssel wurden schon 1999 erfolgreich faktorisiert (d.h. in ihre Primfaktoren zerlegt, woraus sich dann problemlos der zugehörigen private Schlüssel ermitteln lässt). Das mindeste, was man für eine solche Hintertür hätte erwarten können ist ein sicherer Schutz durch ausreichend lange und starke Schlüssel. 1024 Bit hätte ich noch akzeptiert, lieber aber 2048 Bit.

Ich bin ja mal gespannt, wie Intuit darauf reagiert …

Anmerkung: 2001 wurde Dmitry Sklyarov auf der Def Con Hackerkonferenz nach seinem Vortrag über die Schwächen in Adobes eBook Software verhaftet und mit einer Anklage gegen den DMCA belegt. Sklyarov wurde im Dezember 2001 unter der Voraussetzung wieder freigelassen, gegen seinen Arbeitgeber auszusagen. Im Dezember 2002 wurde Elcomsoft von allen Anklagepunkten freigesprochen.

3 Comments

  1. Ich hab es ohne Probleme schon geschafft bei Quicken – dem aktuellen – mit nem alten Towitoko Chipdrive-Treiber die Pin-Abfrage zu umgehen.

    Reaktion von der Spasskasse, man darf den alten Treiber nicht benutzen.

    Comment by Hr. Lang — 25. Juni 2007 @ 14:18

  2. Nett, eigentlich sollte sowas ja gerade nicht funktionieren. Was ich mir vorstellen kann ist, daß der Treiber irgendwo die PIN cached und zu einem späteren Zeitpunkt noch zur Verfügung hat, obwohl die längst verworfen worden sein sollte.
    Das Signaturgesetz (SigG) und die zugehörige Verordnung (SigV) verlangen offensichtlich nicht umsonst, daß für eine qualifizierte digitale Signatur (die den Anforderungen des Gesetzgebers entspricht) die PIN-Eingabe direkt am Chipkartenleser erfolgen muß und nicht über die normale Tastatur (und damit über das nicht kontrollierbare Betriebssystem und einen unbekannten Treiber). Bei der PIN-Eingabe an der Supermarktkassen sind wir das ja auch gewohnt und anders geht es einfach nicht.

    Comment by Christian — 26. Juni 2007 @ 02:35

  3. Kommentare gesperrt wegen Spam

    Comment by Christian — 7. Juni 2012 @ 07:19

RSS feed for comments on this post.

Sorry, the comment form is closed at this time.