Dem CCC ist es nach eigenen Angaben gelungen auch das am 13. September bereitgestellte Sicherheits-Update der Wahl-Auswertungssoftware "PC-Wahl" erfolgreich anzugreifen und zu trojanisieren. Wie es scheint, bekommt der Hersteller den Update-Prozess des Programms nicht in den Griff und auch die aktuelle Version weist gravierende Sicherheitsprobleme auf. Die Software wird auch bei der anstehenden Bundestagswahl in einigen Bundesländern eingesetzt, um Wahlergebnisse zwischen verschiedenen Instanzen zu übermitteln. Der CCC hatte darin teilweise eklatante Sicherheitsmängel gefunden, woraufhin der Hersteller nachzubessern versuchte.

Der CCC demonstriert den erneuten Angriff auf PC-Wahl. Der unsichtbare Angreifer befindet sich in einer Man-in-the-Middle-Position im Netz und kann so ein selbst erstelltes Update einschleusen.



Die aktuelle Version unterstützt den Anwender zwar beim Update-Prozess mit einer Anleitung, wie Signaturen zu checken sind. Doch das ist erstens völlig unnötig, denn Software nach dem Stand der Technik erledigt das ausreichend zuverlässig selber. Und zweitens wurde bei der Anleitung der eigentlich entscheidende Schritt vergessen – nämlich die Überprüfung der Vertrauenswürdigkeit der Unterschrift. So gelang es dem CCC, als unsichtbarer Man-in-the-Middle im Netz, ein Update-Paket einzuschleusen, das eine technisch korrekte Unterschrift enthielt. Dass diese Unterschrift nur mit einem Schlüssel erfolgte, den sich die CCC-Aktivisten selbst erstellt hatten, bemerkte ein Anwender, der der Anleitung Folge leistete, nicht.

Der CCC schob dem Anwender "Vollbit signierte Installationspakete" unter. (Bild: CCC)

Kleiner Insider-Gag am Rande: Der CCC schob in seiner Demo dem Anwender angeblich "Vollbit signierte Installationspakete" unter. Die selbst entwickelte, unsinnige Vollbit-Verschlüsselung propagierte ein legendärer Troll namens Kryptochef über Jahre hinweg unter anderem in den Heise-Foren so massiv, dass sich daraus ein Running Gag entwickelte.

Etablierte Krypto-Bibliotheken

Das Grundproblem von PC-Wahl ist ein altbekanntes: Statt für kryptografische Sicherung dokumentierte, etablierte und getestete Verfahren zu verwenden, bastelt sich der Hersteller seine eigene Lösung. Und er tappt dabei nacheinander systematisch in alle Fallen, die kryptographische Verfahren aufweisen. Greift man hingegen auf Standard-Lösungen zurück, nehmen einem Betriebssystem und Bibliotheken einen Teil dieser Komplexität ab und führen den Entwickler zu einer in der Regel sicheren Umsetzung etwa der Signatur-Prüfung.

In diese Kerbe trifft auch das Angebot des CCC, der jetzt als "Sachspende" eine Open-Source-Bibliothek namens Walruss bereit stellt. Diese setzt eine einfache Signatur-Prüfung mit eigenen RSA-Schlüsseln um. Da der Code unter der "Lesser GPL" für Bibliotheken steht, kann man ihn auch in kommerziellen Closed-Source-Projekten wie PC-Wahl einsetzen. Der CCC will seine Spende jedoch trotzdem als Plädoyer für Open Source nach dem Motto: "Public Money, Public Code!" verstanden wissen.

Bei Problemen mit der Wiedergabe des Videos aktivieren Sie bitte JavaScript

Linus Neumann vom CCC erklärte er in der #heiseshow das Debakel.

(ju)