Wien (pts009/21.10.2021/09:15) – Ein Grundprinzip von Informationssicherheit ist die Zugangskontrolle. Wir alle sind gewohnt, dass Daten nur Personen und Systeme mit den richtigen Berechtigungen zur Verfügung stehen. Die Diskussion um die Suche nach verbotenen Bilddateien auf Apple Systemen hat die Diskussion um die sogenannten Client-Side Scanning (CSS)-Technologie entfacht. Die Suche nach spezifischen Inhalten an Zugangsbeschränkungen vorbei war immer schon eine reizvolle Abkürzung. Es zeigt sich nun, dass CSS zu ernsthaften Problemen führt, die die Grundlage der Informationssicherheit gefährdet und nicht die erhofften Vorteile bringt. Es entstehen stattdessen zusätzliche Sicherheitslücken.

Durchsuchung von Endgeräten

In letzter Zeit wurden seitens der EU-Kommission und Strafverfolgungsbehörden immer wieder die Umgehung von sicherer Verschlüsselung thematisiert. Mathematisch lässt sich starke Verschlüsselung ohne hinterlegte Nachschlüssel oder absichtliche Schwächung der eingesetzten Technologien nicht durchführen. Man ist daher dazu übergegangen den Zugriff auf die gesuchten Daten entweder auf der Plattform selbst, also auf den Servern der Betreiber, oder direkt auf den Endgeräten zu erzwingen. Anbieter von Messenger Plattformen sind die erste Wahl. Einige versuchen den Zugriff auf Daten von Kundinnen und Kunden durch zusätzliche Verschlüsselung mit Schlüsseln auf dem Client zu schützen. Das verschiebt den Fokus wieder auf die Endgeräte.

Apple hatte vor einigen Monaten angekündigt, dass auf iPhone und iPad Geräten eine Suche nach verbotenen Bildern durch das Betriebssystem durchgeführt wird. Das System bildet Prüfsummen von digitalen Bilddateien und vergleicht sie über einen Algorithmus mit einer Datenbank, die die Merkmale der gesuchten Dateien enthält. Der Algorithmus soll dabei auch leicht veränderte Bilder erkennen können, was durch Experimente von Sicherheitsexperten und -expertinnen bereits widerlegt wurde.

Microsofts PhotoDNA funktioniert auf ähnliche Art und Weise für Online-Dienste, die mit Bildern arbeiten. Der große Kritikpunkt an Apple ist die Verankerung der Suche im Betriebssystem selbst. Damit steht eine Suchfunktion nach Inhalten zur Verfügung, die nach beliebige Daten suchen kann. Die Einschränkung auf die verwendete Bilddatenbank kann per Anweisung an die Software von Apple oder Dritten jederzeit geändert werden. Das betrifft auch allfällige Updates, die ein Ausschalten der Funktion jederzeit widerrufen oder unmöglich machen können.

CSS widerspricht Sicherheitsgrundlagen

Die Effekte des Client-Side Scanning (CSS) für Informationssicherheit und Privatsphäre wurde von renommierten Forscherinnen und Forschern nun in Form einer Publikation (abrufbar unter dem Link https://arxiv.org/pdf/2110.07450.pdf ) bewertet. Betrachtet wurden verwandte Ansätze in der Vergangenheit und die Auswirkungen von Sicherheitslücken auf das Arbeiten mit CSS-fähigen Geräten. Das Ergebnis widerspricht den Versprechungen aller vermeintlich sicheren Filter- und Suchtechnologien. Die Verschiebung der Fähigkeiten für eine Durchsuchung von den Servern einer Plattform zum Client hin, ermöglicht tiefgreifende Attacken. Die Schutzmechanismen am Endgerät werden dadurch effektiv wirkungslos.

Darüber hinaus lassen sich mit der Suchinfrastruktur beliebige Daten finden, da die Suche auf konfigurierbaren Vergleichen basiert. Durch die tiefgreifende Integration in das Betriebssystem kann die Suche ständig angepasst und durchgeführt werden. Damit ist CSS in der Praxis de facto eine flächendeckende Verletzung der Privatsphäre. Eingesetzt auf Firmensystemen sind die Auswirkungen noch viel schlimmer, da Zugriff auf sensitive Daten – unabhängig von der Firmenrichtlinie – gegeben ist. Bei möglichen Schwachstellen in der CSS-Implementation ist dann Wirtschaftsspionage ungebremst möglich. Dazu müssen beispielsweise nur statt Bildern Kontaktdaten gesucht werden. Es ergibt sich dann automatisch ein Graph, der zeigt wer mit wem in Kontakt steht. Das wäre dann die Rasterfahndung per Betriebssystemfeature quer durch alle Branchen der Wirtschaft aller Länder.

Darüber hinaus ist die fehlende Offenlegung der Suchinfrastruktur und der dazugehörigen Algorithmen ein ernstes Problem. Schon jetzt werden Inhalte in Social Media Plattformen automatisierten Filtern unterworfen. Die Kriterien sind nicht publiziert. Berichte von gesperrten Konten ohne Begründung wurden in der Vergangenheit schon kritisiert. Selbst bei einer Beschwerde über Fehlentscheidungen gibt es keinen Einblick in die innere Struktur der Ursache. Überträgt man dieses Verhalten auf CSS, dann überträgt sich dieses Problem auch auf die tägliche Nutzung von Smartphones oder Tablets.

Philosophie der Sicherheit

Die letzten 50 Jahre Erfahrung mit Informationssicherheit haben einen großen Fundus von Erfahrungen und getesteten Konzepten mit sich gebracht. Sichere Kommunikationsprotokolle und sichere Systeme haben ganz klare technische Vorgaben, die zu erfüllen sind. Es ist kein Verhandlungsspielraum vorhanden, wenn es um mathematische Konzepte geht. Fundamentale Bausteine für die Sicherheit sind komplett kontrollierbare Plattformen für die eigene Software und starke Verschlüsselungsalgorithmen ohne absichtlich eingebaute Schwächen oder Hintertüren. Missbräuchliche Verwendung von digitaler Infrastruktur lässt sich durch CSS nicht verhindern. Das Gegenteil ist der Fall, da jegliche Komplexität, die durch Client-Side Scanning (CSS) künstlich eingeführt wird, weitere Sicherheitsrisiken bergen kann.

CSS wurde eingeführt, um die Ende-zu-Ende-Verschlüsselung nicht abzuschaffen und Nachforschungen zu verbotenen Inhalten zu ermöglichen. Diese Quadratur des Kreises ist nicht möglich, da seit Bekanntwerden von Apples Plänen zahlreiche Schwächen im Design gefunden wurden.

Wenn die Digitalisierung ernsthaft betrieben werden soll, dann ist Informationssicherheit nicht verhandelbar. Sowohl Wirtschaft, staatliche Behörden und die Zivilgesellschaft müssen sich auf den Schutz ihrer Daten verlassen können. Es sind in aktuellen Systemen bereits zahlreiche Komponenten eingebaut, die schlecht dokumentiert sind und potentielle Schwachstellen enthalten. CSS ist ein weiterer Baustein, um neue Bedrohungen zu bauen.

Plattform für Security Intelligence

Die jährlich in Wien stattfindende DeepINTEL Security Intelligence Konferenz setzt den Fokus auf die Analyse und strategische Diskussion von Informationssicherheit. Diskutiert werden Methoden der Angreiferinnen und Angreifer, Vorfälle, Verbindungen zwischen Attacken und Ansätze für Aufklärung sowie Nachforschung. Die Planung für eine wirksame Verteidigung digitaler Infrastruktur benötigt eine sehr gute Vorbereitung und Kenntnisse vieler Zusammenhänge. Aktuelle Themen, die zur DeepINTEL diskutiert werden, sind Fähigkeiten von neuer Ransomware, Struktur von Cybercrime Syndikaten, staatlich unterstützte Gruppen und Untersuchungen von aktuellen Angriffen.

Programme und Buchung

Die DeepSec 2021-Konferenztage sind am 18. und 19. November. Die DeepSec-Trainings finden an den zwei vorangehenden Tagen, dem 16. und 17. November, statt. Alle Trainings (bis auf Ausnahmen) und Vorträge sind als Präsenzveranstaltung gedacht, können aber aufgrund von möglichen zukünftigen COVID-19 Maßnahmen teilweise oder komplett virtuell stattfinden. Für registrierte Teilnehmer und Teilnehmerinnen wird es einen Stream der Vorträge geben.

Die DeepINTEL Security Intelligence Konferenz findet am 17. November statt. Da es sich um eine geschlossene Veranstaltung handelt, bitten wir um direkte Anfragen zum Programm. Wir stellen starke Ende-zu-Ende Verschlüsselung bei Kommunikation zur Verfügung: https://deepsec.net/contact.html

Tickets für die DeepSec Konferenz und die Trainings können Sie jederzeit online unter dem Link https://deepsec.net/register.html bestellen. Ermäßigungscodes von Sponsoren stehen Ihnen zur Verfügung. Bei Interesse melden Sie sich bitte unter deepsec@deepsec.net. Bitte beachten Sie, dass wir wegen der Planungssicherheit auf rechtzeitige Ticketbestellungen angewiesen sind.

(Ende)

Aussender: DeepSec GmbH Ansprechpartner: René Pfeiffer Tel.: +43 676 5626390 E-Mail: deepsec@deepsec.net Website: deepsec.net