Verschlüsselung in Android-Apps ist fehlerhaft

Es gibt auch im Snowden-Zeitalter sichere Verschlüsselung, die niemand knacken kann. Doch zum einen müssen Entwickler diese sicheren Verfahren einsetzen und andererseits müssen sie auch das Wissen haben, um sie korrekt einzusetzen.

Da kann viel schiefgehen. Ein aktuelles Beispiel: Die so genannte RC4-Verschlüsselung für die “sichere“ Übertragung von Webzugriffen gilt als geknackt. Die von Wissenschaftlern vorgestellte Angriffsmethode ist nicht besonders alltagstauglich. Doch es ist zu vermuten, dass die NSA die Forschungsunterlagen ausgewertet hat und weiter in diese Richtung gegangen ist.

Mit einiger Wahrscheinlichkeit sind viele Geheimdienste in der Lage, RC4-Verbindungen in Echtzeit zu entschlüsseln. Das wissen Kryptoexperten zwar schon seit einiger Zeit und auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt vor dem Einsatz von RC4. Peinlich nur, dass die Webserver des BSI genau dieses unsichere Verfahren als einzige Möglichkeit der Verschlüsselung anbieten.

Auch Sicherheitsexperten scheitern also gelegentlich an der Komplexität eines Themas mit vielen Stolperfallen. Der Einbau von Verschlüsselungsroutinen in Apps oder Websites ist eine tückische Angelegenheit. Ein Team aus Forschern der Carnegie Mellon University und der University of California in Santa Barbara haben genauer hingeschaut.

Sie prüften über 11.700 Android-Apps aus dem Google Play-Store, die irgendeine Form von Kryptografie einsetzen. Das erschreckende Ergebnis: Gut 88 Prozent der Apps waren fehlerhaft. Die Entwickler haben bei über 10.300 Apps mindestens einen Fehler bei der Implementation einer kryptografischen Routine gemacht.

Interessant an den Ergebnissen ist vor allem, dass die meisten Fehler aus Bequemlichkeit geschehen. Ein Beispiel: So setzen Entwickler gerne konstante Schlüssel ein. Das ist weniger Programmieraufwand als die dynamische Erzeugung der Schlüssel, bringt aber keinerlei Sicherheit.

Bildquelle: Bernd Kasper / pixelio.de