Estland ergreift schärfere Maßnahmen – Smart Ausweiskarten gesperrt
Forscher im Feld der Cryptoanalyse hatten vor ein paar Monaten eine schwerwiegende Sicherheitslücke in Infineon Sicherheitschips entdeckt, die unsichere RSA-Keys erzeugt. Mit derartigen Keys ist das Aufdecken von privaten Keys via des öffentlichen Keys möglich, wenn auch mit erheblichem Rechenaufwand. Diese Infineon Sicherheitschips sind auch in elektronischen Ausweisen verbaut. Daher nahmen die Forscher schon im September dieses Jahres Kontakt unter anderem mit Estlands Regierung auf und informierten sie über die Sicherheitslücke, die 750.000 estnische Ausweiskarten betraf.
Mit fortschreitenden Untersuchungen der fehlerbehafteten Infineon Chips kommen andere Forscher nun zu dem Schluss, dass es doch schlimmer ist, als zunächst befürchtet. Schlimmer heißt eigentlich, den Fehler einfacher und billiger auszunutzen. Als Forscher den Fehler das erste Mal entdeckten und ein Angriffsszenario ausarbeiteten, schätzten sie die Kosten lediglich. Ihrer Schätzung nach hätte ein Angreifer bei einem kommerziellen Cloud-Dienst folgende aufwenden müssen: durchschnittlich 38 US-Dollar und 25 Minuten für das Auseinandernehmen eines unsicheren 1024-Bit-Schlüssels; 20.000 US-Dollar und neun Tage für einen 2048-Bit-Schlüssel. Die Forscher sahen das einfach nicht als lukrativ genug an für Kriminelle, die schnellere und einfachere Möglichkeiten suchen, und stuften die potenzielle Gefahr herab.
Die Sicherheitsforscher Daniel J. Bernstein und Tanja Lange befassten sich aber ebenfalls eingehend mit dem Problem. Sie entwickelten später eine andere Angriffsmöglichkeit, die 25 % effizienter war als der vorherige. Zudem haben andere unabhängige Forscher festgestellt, dass die schwerwiegende Lücke seit 2008 bis Anfang dieses Jahres existiert hat. Dan Cvrcek, Geschäftsführer von Enigma Bridge glaubt inzwischen auch, dass es viel schnellere und kostengünstigere Angriffsmöglichkeiten gibt. Vorstellbar wäre der Einsatz schnellerer Grafikkarten, welche die durchschnittlichen Kosten bei 2048-Bit-Schlüsseln auf 2.000 US-Dollar Energiekosten senken könnten. Cvrcek sieht aber auch Kosten von bis zu 1.000 US-Dollar möglich.
Angreifer mit wirklich ernsthaften Absichten können die Kosten senken durch den Kauf spezieller Computerausrüstung. Solche, die mit GPU, feldprogrammierbaren Gate-Arrays und anwendungsspezifischen IC-Chips ausgestattet wären. Den Vorgang vereinfachen könnten zudem noch bestimmte mathematische Operationen, die bei Faktorisierungsangriffen verwendet werden.
Schwäche in Infineons TPA-Chip zu unsicher für Ausweise
Alle diese Meldungen mussten den estnischen Behörden wohl zu heiß geworden sein. Die Polizei und der Grenzschutz des Landes sperrten sofort ungefähr 760.000 Ausweise, von denen bekannt war, dass sie von dieser Sicherheitslücke betroffen waren. Der Ministerpräsident des Landes, Jüri Ratas ist der Ansicht, dass international agierende kriminelle Cybernetzwerke über vielfältige Möglichkeiten verfügen, diese Situation kostengünstig und effektiv auszunutzen.
Bisher sind aber noch keine Fälle bekannt geworden, bei denen diese Lücke ausgenutzt wurde. Die estnische Regierung empfahl allen Nutzer, die elektronischen Zertifikate der Ausweiskarten dringend zu aktualisieren. Allerdings hapert es laut Berichten noch ein wenig mit der Updatemöglichkeit. Die neuen Zertifikate werden ein viel sicheres kryptografisches Zertifikat haben. Estland verwendet jetzt nur noch Ausweiskarten mit Elliptischer-Kurven-Kryptographie anstelle der anfälligen RSA-Schlüssel.
Siehe auch:
Artikel von arstechnica.com, 06.11.2017: Flaw crippling millions of crypto keys is worse than first disclosed
Artikel von theregister.co.uk, 03.11.2017: Estonia government locks down ID smartcards: Refresh or else
Artikel von silicon.co.uk, 06.11.2017: Estonia Disables Digital ID Cards After Security Scare