Meldungen in Verbindung mit Aktivitäten der National Security Agency reißen, wohl insbesondere durch die Enthüllungen von Edward Snowden, derzeit nicht ab. Nun hat das US-amerikanische Cybersicherheits-Unternehmen RSA Security vor seinen eigenen Produkten gewarnt.Die NSA sei nämlich bei deren Entwicklung beteiligt gewesen und hätte sich höchstwahrscheinlich Hintertüren eingebaut, so das Unternehmen.

Es geht um die Zufallsgeneratoren Dual_EC_DRBG und Data Protection Manager, die als Standardeinstellung in der BSAFE-Software genutzt werden. In einer Mitteilung an Entwickler erklärte das Sicherheitsunternehmen mit einer dringenden Warnung, man sollte auf diese Werkzeuge verzichten und stattdessen einen der anderen Zufallsgeneratoren für Verschlüsselungen verwenden.

Der von der NSA wohl absichtlich manipulierte PRNG (pseudo random number generator) sei so schwach, dass es die Sicherheit von fast allen kryptografischen Systemen beeinflusst, die es benutzen. Eine technische Unterstützung, wie die PRNG-Einstellungen geändert werden können, ist jetzt in der aktuellsten Produkt-Dokumentation auf der Webseite von RSA erhältlich.

Dual_EC_DRBG ist Teil der sogenannten FIPS-Standards, der Hersteller aufgrund von rechtlichen Vorschriften dazu verpflichtet, diese Standards umzusetzen. Das US-Normungsinstitut NIST (National Institute of Standards and Technology) hatte die Verschlüsselungs-Generatoren 2006 zugelassen. Das Sicherheitsunternehmen McAfee bestätigte, das sein Firewall Enterprise Control Center 5.3.1 das Dual_EC_DRBG ebenfalls verwenden würde, aber nur dann, wenn es im Regierungsumfeld eingesetzt wird. Ansonsten würde man den neueren SHA1 PRNG Zufallsgenerator in allen anderen Einstellungen verwenden.

Artikel von arstechnica.com, 19.09.2013: Stop using NSA-influenced code in our products, RSA tells customers