Datenschutz & Sicherheit
TeleGuard: Sicherheitsexperten entschlüsseln Messenger-Nachrichten | heise online
Sicherheitsforschern von Trail of Bits ist ein erfolgreicher Machine-in-the-Middle-Angriff (MITM) auf den verschlüsselten Messenger TeleGuard gelungen. Damit könnten Dritte auf verschlüsselte Nachrichten zwischen Nutzern zugreifen. Anfang April berichtete 404 Media über die Lücke, Trail of Bits bestätigte heise online den erfolgreichen Exploit auf Nachfrage. Laut eigenen Angaben von Swisscows hat der Messenger 15 Millionen Nutzer.
Weiterlesen nach der Anzeige
Eine Demonstration von Trail of Bits zeigt, wie ein Angreifer aus mitgeschnittenen Daten private RSA-Schlüssel extrahiert. Diese Schlüssel seien zwar selbst verschlüsselt, allerdings könnten Angreifer das Passwort auf Basis der TeleGuard-Nutzer-ID rekonstruieren. Im Video ist zu sehen, wie die MITM-Software übertragene Nachrichten so im Klartext ausgibt.
Der Swisscows-CEO bestätigte ein „technisch mögliches, aber künstlich konstruiertes Szenario“. Trail of Bits spricht wiederum selbst von einer „falschen Darstellung“ des Exploits durch Swisscows: „Das Kernproblem ist, dass der Server von Teleguard über alle benötigten Informationen verfügt, um den privaten Schlüssel jedes Nutzers zu entschlüsseln und jede Nachricht zu lesen“, sagte Dan Guido, Mitgründer und CEO von Trail of Bits, heise online. Eine detaillierte Übersicht der Vorwürfe finden Sie bei heise+.
Viele heise-investigativ-Recherchen sind nur möglich dank anonymer Informationen von Hinweisgebern.
Wenn Sie Kenntnis von einem Missstand haben, von dem die Öffentlichkeit erfahren sollte, können Sie uns Hinweise und Material zukommen lassen. Nutzen Sie dafür bitte unseren anonymen und sicheren Briefkasten.
404 Media hatte zuletzt mehrmals Lücken in vermeintlich sicherer Kommunikation aufgezeigt: Die Plattform berichtete darüber, wie das FBI Nutzer von E-Mail-Postfächern beim Schweizer Anbieter Proton identifizieren und verschlüsselte Nachrichten des Messengers Signal über das iPhone-Betriebssystem wiederherstellen konnte. Dabei handelte es sich allerdings nicht um Lücken in der eingesetzten Verschlüsselung selbst.
(dzi)