Logo von heise online

Suche
Abonnieren

Tägliche Top-News bei WhatsApp, Facebook Messenger, Telegram & Insta

preisvergleich_weiss

Recherche in 1.508.171 Produkten

Monika Ermert 56

IETF-Streit über Verschlüsselung: Darfs ein bisschen weniger sein?

Einbrecher, Schloss, Kette

Nach den Snowden-Enthüllungen hat die Internet Engineering Task Force klar Stellung bezogen gegen das Unwesen allgegenwärtiger Überwachung. Nachdem die Anstrengungen für mehr Verschlüsselung erste Erfolge zeigen, kommt der Gegenschlag.

Bei der Internet Engineeering Task Force (IETF) schwelt ein Streit um die Konsequenzen der fortschreitenden Verschlüsselung der Datenströme im Netz. Die Organisation hatte sich die bessere Absicherung von Privatheit und Datenschutz nach den Enthüllungen von Edward Snowden auf die Fahnen geschrieben und in ihrer Standardisierungsarbeit vorangetrieben. Jetzt fürchten die Verschlüsselungsbefürworter in der IETF ein Einknicken vor den Wünschen einiger Netzbetreiber.

Anzeige

Ob bei der Entwicklung des TCP-Nachfolgers QUIC oder beim neuen TLS-Standard TLS 1.3, überall werden in den Arbeitsgruppen der IETF Vertreter von Netzbetreibern vorstellig. Die Verschlüsselung nicht nur von Paketinhalten, sondern zunehmend auch von Daten aus den Paketheadern würde ihnen die Suche nach Fehlerursachen, das Netzmanagement und dafür notwendige Messungen unmöglich machen.

Während die Netzbetreiber-Fraktion, die von US-amerikanischen Unternehmen dominiert wird, in den betroffenen Arbeitsgruppen bislang noch wenig erfolgreich war, könnte ein abseits der Arbeitsgruppen diskutiertes Dokument ihnen mindestens einen Teilerfolg bescheren. Ein seit 2015 heftig umstrittener RFC-Entwurf soll die widersprüchlichen Interessen "ausbalancieren".

Der Entwurf anerkennt durchaus die Missbrauchsgefahr, die sich aus offenen Datenströmen ergibt. Gleichzeitig halten die Autoren fest: "Um Verschlüsselung effektiv zu implementieren und das Abhören zu verhindern, sollte die Aufgabe Netzwerkmanagement im Standardisierungsprozess berücksichtigt und eine Balance angestrebt werden."

Kathleen Moriarty, eine der Autorinnen und Bereichschefin für Sicherheit sagt es noch drastischer: "Wenn wir uns keine Strategie für den Widerspruch zurecht legen, wird Verschlüsselung, wie wir sie wollen, nicht in die Praxis umgesetzt werden." Die Fälle, in denen Provider etwa STARTTLS-Verschlüsselung verhinderten, um einen Supercookie setzen zu können, seien hinlänglich dokumentiert. Neben allerlei Tricks zum Aushebeln von Verschlüsselung könnten neue Standards auch einfach nicht umgesetzt werden.

Auf Seiten der IETF-Teilnehmer, die für die klare Priorisierung von Vertraulichkeit und Verschlüsselung eintreten, spricht man derweil schon von einer Art Erpressung, der die IETF nicht nachgeben sollte. Viele der im RFC Entwurf "neutral" dokumentierten Mechanismen, auf die die Netzbetreiber verzichten müssten, seien technisch und ethisch fragwürdig. Dazu gehören etwa Deep Packet Inspection für staatlich verordnetes Content Filtering, das Einpflanzen von Supercookies in HTTP-Header oder Fingerprinting, das laut dem Entwurf für die Abwehr von DDoS-Attacken wichtig sei.

Stephane Bortzmeyer, DNS-Experte der französischen Internet-Registry Afnic fürchtet, der geplante RFC könne als Legitimation für Netzwerkmonitoring-Mechanismen herangezogen werden. Er warnt: "Man kann das leicht lesen als 'Verschlüsselung ist lästig, wir sollten es nicht so aggressiv vorantreiben'". Der Privacy-Arbeit der IETF könne das letztlich schaden, fürchtet Bortzmeyer.

Andere Beobachter fragten darüber hinaus, ob die Netzwerkmanagement-Aufgaben nicht doch mit anderen, weniger die Vertraulichkeit einschränkenden Techniken zu erledigen sind. "Natürlich geht das", sagt Hans-Peter Dittler, Experte der Braintec Netzwerk-Consulting GmbH und Mitglied im Vorstand des deutschen Zweigs der Internet Society ISOC, "es wird einfach teurer." Massenüberwachung ein wenig teurer zu machen, war indes ein Ziel der IETF-Verschlüsselungsinitiativen. (Monika Ermert) / (ea)

56 Kommentare

Themen:

Anzeige
  1. QUIC kommt quicker: IETF bringt neues Internet-Transportprotokoll voran

    Netzwerkkabel

    Lange klagten Entwickler über eine Verknöcherung des Internet-Protokollstacks. Doch jetzt treibt die IETF das von Google stammende QUIC voran. Es könnte das etablierte TCP bald als Basis für den Internet-Verkehr ablösen.

  2. IETF 99: Standards im Clinch der Politik

    IETF 99: Standards im Clinch der Politik

    Der Glaube, dass Technologie stets wertfrei ist, hält sich hartnäckig. Doch das 99. Treffen des Standardisierungsgremiums IETF in Prag machte überdeutlich, dass Details in Standards sehr politisch werden können.

  3. IETF: TLS-Middleboxen, Verschlüsselung und die Rauferei um das "richtige" Internet

    TLS und die Rauferei um das "richtige" Internet

    Verschlüsselte Übertragungen machen inzwischen über fünfzig Prozent des IP-Verkehrs aus – Middleboxen knacken aber einen erheblichen Teil davon. Nun gab es einen Streit, ob die klammheimlichen Boxen ihr Werk wenigstens offenlegen sollen.

  4. IETF 99: Mehr Privacy über verschlüsselten DNS-Transport

    IETF 99: Mehr Privacy über verschlüsselten DNS-Transport

    Spätestens seit den Snowden-Enthüllungen weiß man, dass DNS-Anfragen viel über das Nutzerverhalten preisgeben. Jetzt versprechen gleich drei Arbeitsgruppen mehr Privacy und die IETF hat die Qual der Wahl.

  1. IT-Sicherheit und Datenschutz in IoT-Projekten umsetzen

    Der Security Engineering Lifecycle (SEL) ist von der ersten Produktidee bis zum Ende des Produkts mehrfach zu durchlaufen, um das Sicherheitskonzept immer wieder neu gegenüber den sich stetig ändernden Randbedingungen zu prüfen und es gegebenenfalls anzupassen (Abb. 2).

    Ob Medizintechnik, Automobilbranche oder Automatisierung von Wirtschaftsabläufen: De facto sind viele IoT-Daten und -Anwendungen hoch sensitiv und sollten nur für Berechtigte zugänglich sein. Leider ist das in der Realität oft nicht der Fall.

  2. Kryptographie in der IT - Empfehlungen zu Verschlüsselung und Verfahren

    Der Krypto-Wegweiser für Nicht-Kryptologen

    Kryptographie ist ein wichtiger Baustein moderner IT – Sicherheit, Vertraulichkeit und Privatsphäre hängen davon ab. Der folgende Krypto-Wegweiser gibt einen kompakten Überblick zu den aktuell relevanten Verfahren.

  3. WebRTC: Standard für die Web-basierte Echtzeitkommunikation

    WebRTC: Standard für die Web-basierte Echtzeitkommunikation

    Noch ist die erste Standardisierungsphase nicht abgeschlossen, doch schon sorgt WebRTC auf dem Markt für Web-basierte Echtzeitkommunikation für Aufsehen. Zeit für einen Artikel zu Geschichte, Technik und Standards.

  1. Terabyte-große Datencontainer entdeckt: US-Militär überwacht Soziale Netzwerke weltweit

    Terabyte-große Datenkontainer entdeckt: US-Militär überwacht Soziale Netzwerke weltweit

    Bei einem Routine-Scan fielen dem Security-Experten Chris Vickery riesige Daten-Container in die Hände, die das US-Militär zur Überwachung und Manipulation sozialer Netzwerke in der Amazon-Cloud gesammelt hat.

  2. Erste Ausfahrt: Jaguar E-Pace

    Jaguar E-Pace

    SUV plus gehobenes Image gleich Erfolg? Für Jaguar könnte diese Rechnung mit dem neuen E-Pace aufgehen. Eine erste Ausfahrt zeigt jedoch, dass ein klangvoller Name nicht alle Schwächen überdecken kann

  3. Russland plant zweiten Raketenstart vom Weltraumbahnhof Wostotschny

    Russland plant zweiten Raketenstart vom Weltraumbahnhof Wostotschny

    Anderhalb Jahre nach dem ersten Start einer Rakete von dem neuen Weltraumbahnhof im Fernern Osten Russlands soll in Kürze ein weiterer Start folgen.

  4. Verhandlungen über Killerroboter in Genf

    Verhandlungen über Killerroboter in Genf

    Am Sitz der Vereinten Nationen in Genf wurde diese Woche ein Thema diskutiert, das sich für große Teile der Öffentlichkeit nach wie vor wie Science-Fiction anhört: tödliche autonome Waffensysteme oder Killerroboter.

Anzeige