Be-Paranoid.net

NSA, Windows und der NSA-Key

Datum

13.01.2007, 13:45

Autor

Simon

Kategorie

Security Allgemein

Keywords

NSA Key

Bild

Laut einem Bericht der Washington Post, der vor vier Tagen erschien, hat Microsoft bestätigt, dass sie mit der NSA zusammenarbeiten. Microsoft soll die NSA bereits vor vier Jahren um ein Gutachten zu Windows XP und 2003 ersucht haben. Jetzt soll die NSA Microsoft bei der Entwicklung von Vista unterstützt haben.

Bruce Schneier rätselt in seinem Blog ob es eine gute Idee ist, dass die NSA an Microsofts Quellcode mitarbeitet. Er meint die NSA hat zwar die Aufgabe andere Organisationen und Staaten auszuspionieren, sie hat aber auch die Aufgabe die Organisationen im eigenen Land zu schützen. Er meint seit 9/11 glaubt er nicht mehr daran, dass die NSA einen Exploit nicht einbauen würde nur um Windows sicherer zu machen.

1999 hat der Mathematiker Andrew Fernandes einen Schlüssel mit dem Namen "_NSAKEY" in der Krypto-API von Windows NT 4 Service Pack 5 entdeckt, er vermutete das der (undokumentierte) Zweitschlüssel für die NSA bereit gehalten wird. Microsoft gab als Erklärung an, das der Name so gewählt wurde weil er den amerikanischen Gesetzen zum Export von Waffen(Kryptologie) entspricht, die von der NSA überwacht wird.

Die Frage ist, ob es überhaupt nötig für die NSA ist, dass sie eine Schwachstelle einbauen. Die Geschichte von Windows hat gezeigt das es für die NSA kein Problem sein sollte in ein Windows System einzudringen. Für mich wirft das auch die Frage nach der Sicherheit von SELinux(Security Enhanced Linux, eine Modifikation von Rechtesystem von Linux die von der NSA entwickelt wurde) neu auf. Ich hatte, als die Frage aufkam ob ich SELinux trauen konnte, größtenteils die Meinung gefunden, dass die NSA hier ihrer Aufgabe nach geht um amerikanische Firmen zu schützen. So habe ich das auch in meinen SELinux-Tutorials empfohlen.

Wie auch immer, mir wird nicht viel übrig bleiben als der NSA in der Sache mit SELinux zu vertrauen, auch wenn ich es nicht gerne mache. Der NSAKey ist zu wenig Indiz um feststellen zu können was wircklich passiert. Das gleiche galt für DES, wobei DES sowieso nicht mehr eingesetzt werden sollte. Als österreichisches/deutsches Unternehmen würde ich mir überlegen ob ich Vista installieren soll und dadurch das Risiko auf Industriespionage auf mich nehme.

Ein NSA Witz:

MS Tech: "The suggestion is that we are working with governments to create a back door so that they can always access BitLocker-encrypted data.
Over my dead body."

NSA: Where do you want the bodies piled up?

Permalink: http://be-paranoid.net/security-allgemein/nsa-windows-und-der-nsa-key/newsat-221-page1.html