Wieder ein neuer Skandal: US-Strafverfolgungsbehörden haben angeblich die „Generalschlüssel“ für SSL von Internetfirmen eingefordert. So berichtet zumindest CNET: „Feds put heat on Web firms for master encryption keys“. Soso, Generalschlüssel für TLS / SSL? Passt in die PRISM-, BND- und-so-weiter-Aufregung. Aber gibt es die wirklich?

Jein. Natürlich kann so ein „Master Key“ (gemeint ist damit wohl der private key eines Server- oder CA-Zertifikats) dazu verwendet werden, um seine Identität zu verschleiern und sich so unbemerkt als man-in-the-middle in fremde Kommunikation einzuklinken, dann auch über SSL (https). Aber SSL kann sicherstellen, dass auch bei einem korrumpierten (=bekannt gewordenen) „Master Key“ die Kommunikation gesichert und abhörsicher erfolgt. Kann, tut es aber oft nicht: weil die Endstellen nicht entsprechend konfiguriert sind. So werden excellente technische Lösungen durch falschen Einsatz ad absurdum geführt. „Wie immer“, möchte man fast sagen: Das größte Sicherheitsrisiko besteht nach wie vor nicht in schlechter Technik, sondern in ihrem schlechten Einsatz. Oder darin, dass die Benutzung zu umständlich ist, wie der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit, Peter Schaar, kürzlich in unserem Blog bemängelte.

Verschlüsselung und sichere Kommunikation sind keine einfachen Themen, deswegen werden wir uns bald in einem ausführlicheren Artikel speziell mit TLS / SSL / https befassen. Bis dahin zur Versachlichung ein paar interessante Quellen zum Thema:

• spannend die Kommentare auf netzpolitik.org zu US-Strafverfolgungsbehörden fordern Master-Keys für SSL von Unternehmen, die gut die Fakten und den boulervardesken Teil der CNET-Meldung beleuchten
• eine genauere Beschreibung des Sachverhalts z. B. bei heise.de: US-Behörden fordern angeblich geheime SSL-Schlüssel von Internet-Dienstleistern
• sehr lehrreich dazu der heise-Security-Artikel Zukunftssicher verschlüsseln mit Perfect Forward Secrecy

Der Verdacht liegt nahe, dass es sich bei dem Master-Key-Aufreger um ein klassisches McGuffin handelt, das von den wirklichen Problemen und Begehrlichkeiten ablenken soll.

Im Übrigen fordere ich, dass twitter künftig https einsetzen möge. Wäre ja noch schöner, wenn jeder meine Tweets mitlesen könnte!