Eine ausführliche Telegram Sicherheitsanalyse findet vier kryptografische Schwachstellen – keine unmittelbare Gefahr für die meisten Nutzer.
Ein kleines internationales Informationssicherheits-Forschungsteam hat eine ausführliche Sicherheitsanalyse bei dem weltweit sehr beliebten Telegram-Messenger durchgeführt. Die Kryptologen der ETH Zürich und des Royal Holloway College (Universität von London) konnten mehrere Schwachstellen identifizieren. Eine unmittelbare Gefahr für die meisten der über 570 Millionen Telegram-Nutzer besteht aber nicht.
Dass der weltweit bei über 570 Millionen Nutzern sehr beliebte Messenger Sicherheitslücken haben könnte, wurde schon lange immer wieder vermutet. Beteiligt an dieser Untersuchung der Verschlüsselungsdienste von Telegram waren Professor Kenny Paterson und Dr. Igors Stepanovs von der ETH Zürich und Professor Martin Albrecht und Doktorandin Lenka Mareková von der Universität von London.
Sicherheitsanalyse – vier kryptografische Schwachstellen und eine Erkenntnis
Eines sollte man gleich vorwegsagen. Eine ausführliche kryptografische Sicherheitsanalyse von einem Messenger dieser Größenordnung war mehr als überfällig. Die vier von den Kryptologen gefundenen kryptografischen Schwachstellen machen sehr deutlich, dass das System von Telegram den Sicherheitsstandards anderer und oft genutzter Verschlüsselungsprotokolle wie beispielsweise der Transport Layer Security (TLS) ganz klar unterlegen ist.
Telegram – Ein Verbrechen begehen oder Pizza essen?
Bei der ersten hier beschriebenen Sicherheitslücke geht es darum, dass Angreifer im Netzwerk die Abfolge der Nachrichten manipulieren können, die vom Client an einen der von Telegram weltweit betriebenen Cloud-Server gesendet werden. Die Kryptologen der ETH Zürich stellen fest:
„Wenn also jemand die Reihenfolge der Nachrichten ‚Ich sage ’ja’ zu‘, ‚Pizza!‘, ‚Ich sage ’nein, zu‘, ‚Verbrechen‘ verändern kann, könnte aus dem «Ja» zum Pizza essen plötzlich ein «Ja» zu einem Verbrechen werden.“
Zweite Schwachstelle im Messenger: Jedes bisschen Information ist zu viel
Diese zweite bei der Sicherheitsanalyse gefundene Schwachstelle ist zwar nur theoretischer Natur, erwähnen muss man sie aber trotzdem. Ein Netzwerkangreifer könnte demnach theoretisch herausfinden, welche von zwei Nachrichten von einem Client oder von einem Server verschlüsselt ist.
Der Messenger auf Android, iOS und Desktop – verschlüsselte Nachrichten könnten wieder entschlüsselt werden
Zugegeben klingt das jetzt erst einmal ziemlich dramatisch. Allerdings würde es einen enormen Aufwand für Angreifer bedeuten, diese in der Sicherheitsanalyse gefundene Schwachstelle auszunutzen. Gemäß den Sicherheitsexperten müsste ein Angreifer dafür zuerst Millionen sorgfältig erstellter Nachrichten an sein Ziel senden und dabei winzigste Unterschiede in der Zustelldauer der jeweiligen Antworten ermitteln. Die Wissenschaftler sind sich dennoch sicher, dass man auch diese kryptografische Schwachstelle unbedingt ernst nehmen muss.
„Wäre ein so gearteter Angriff jedoch erfolgreich, hätte dies verheerende Folgen für die Vertraulichkeit der Telegram-Nachrichten und natürlich für deren Nutzerinnen und Nutzer.“
Sicherheit der Telegram-Server keine Selbstverständlichkeit
In der letzten gefundenen Sicherheitslücke geht es um den sehr wichtigen Schlüsselaustausch zwischen User-Client und Telegram-Server. Da von Telegram standardmäßig keine „End-to-End“ Verschlüsselung bereitgestellt wird, ist gerade diese Verbindung für jeden Nutzer der Messenger-Plattform sehr wichtig. Denn bei einem erfolgreichen Angriff, so stellen die Kryptologen fest, könnte sowohl die Vertraulichkeit als auch die Integrität unserer Kommunikation nachhaltig verletzt werden. Allerdings sagen auch hier die Wissenschaftler, dass ein aktives Ausnutzen dieser Sicherheitslücke sehr schwierig wäre:
„Zum Glück ist auch diese Angriffsmethode relativ schwer durchführbar, da der Angreifer dazu in Minuten Milliarden von Nachrichten an einen Telegram-Server schicken müsste.“
Sicherheitsprobleme seitens Telegram mit Updates behoben
Das Forscherteam hat wie sonst auch üblich, den Messenger 90 Tage vor der Veröffentlichung der von ihnen gefundenen Sicherheitslücken informiert. Telegram hat mittlerweile auf die gemeldeten Sicherheitsprobleme reagiert und diese mit regulären Software-Updates behoben. Wie schon zu Anfang erwähnt, besteht laut der Experten keine unmittelbare Gefahr für die meisten der weltweit über 570 Millionen Telegram-Nutzer.
Telegram rollt Security-Fixes nicht mit extra Updates aus
Laut der Forscher offenbart der Vorfall auch ein zweifelhaftes Vorgehen der Telegramentwickler beim Patchen von solchen Problemen. Zitat (übersetzt) aus dem Blogpost:
Wir wurden von den Telegram-Entwicklern darüber informiert, dass sie keine dedizierten Sicherheits- oder Bugfix-Releases durchführen. Einzige Ausnahme sind Hotfixes für ein vorangegangenes fehlerhaftes Update. Das Entwicklerteam teilte uns auch mit, dass sie zum Zeitpunkt des Patchings keine Sicherheitshinweise herausgeben und sich auch nicht auf ein Veröffentlichungsdatum für bestimmte Korrekturen festlegen wollten. Als Konsequenz wurden die Fixes als Teil der regulären Telegram-Updates ausgerollt.
Laut Telegram selbst waren die Sicherheitslücken nicht kritisch. Vielleicht erklärt es auch das Vorgehen bei den genannten Lücken. Telegram dazu hat noch einen Blogpost veröffentlicht, der im Detail auf die aufgedeckten Probleme eingeht.
Tarnkappe.info
