Die NSA-Affäre und der Überwachungsskandal sind nun seit einiger Zeit in den Medien, und neben den politischen Forderungen und dem sozialen Aktivismus gibt es auch wieder und wieder den Versuch, technische Lösungen zu propagieren. So wird die Benutzung von PGP/GPG empfohlen, TrueCrypt propagiert oder die Installation von Threema und Co. nahegelegt, um „sicher“ zu kommunizieren. Doch absolute Sicherheit kann es nicht geben.
Threema erklären zwar in ihren FAQ, welche Verschlüsselungsverfahren sie wie einsetzen, aber obwohl das alles richtig aussieht und sie einen Validator zur Verfügung stellen, ist der Quellcode der eigentlichen Anwendung nicht offen. Man kann also nicht überprüfen, ob ihre Aussagen wahr sind, ob es eventuell Drittschlüssel gibt, oder ob es Fehler in der Implementierung gibt. Womit ich keineswegs suggerieren will, dass Threema unfähig oder gar bösartig seien – aber Implementierungen, die nicht offen sind, sind eben nicht nachprüfbar.
Whisper Systems machen es mit RedPhone für verschlüsselte Telefonie und TextSecure für verschlüsselte SMS besser, indem sie den Quelltext offen legen. TrueCrypt ist zwar Open Source, aber man weiß nicht, wer dahinter steckt, und die Verschlüsselung ist nirgendwo begründet dargestellt. Außerdem werden immer mal wieder sicherheitsrelevante Änderungen vorgenommen, ohne dass die Intention dahinter klar ist. PGP/GPG sind von Beginn an Open Source und durch mehrfache Implementation vertrauenswürdiger. Allen gemein ist aber weiterhin, dass sie vornehmlich in Binärform verteilt und verwendet werden. Damit ist der Vorteil des offenen Quelltextes nur noch akademischer Natur – die Version, die ich herunterlade und ausführe, muss mit dem Quelltext nichts mehr zu tun haben. Und seit klar ist, dass die NSA auch SSL abhören kann, ist auch sicher, dass sie Downloads auch auf dem Weg austauschen könnte – selbst wenn man den Entwickler_innen vertraut, muss die Datei, die man bekommt, keineswegs auch die von den Entwickler_innen bereitgestellte sein.
Open Source ist eine notwendige Bedingung für Sicherheit, aber keine hinreichende. Auf der Oberfläche ist recht klar, dass man der binären Distribution nicht vertrauen kann. Systeme wie Apples App Store oder der Google Play Store können also per se nicht vertrauenswürdig sein – zu viele Beteiligte könnten die angebotenen Anwendungen modifizieren. Aber auch außerhalb der Walled Gardens gewinnt man nicht viel Sicherheit, so lange nicht jeder den Quelltext selbst überprüft und kompiliert. Alleine das Kompilieren erfordert ein so tiefgehendes Wissen, dass selbst gestandene Informatiker_innen damit ihre Probleme haben. Den Quelltext einer komplexen Anwendung zu überprüfen ist illusorisch. Selbst teure professionelle Audits, bei denen mehrere Sicherheitsforscher_innen mit viel Erfahrung über Wochen beschäftigt sind, finden nicht alle Schwachstellen.
Und dann bleibt da noch der Rest des Stacks: Die Programme laufen auf einem Betriebssystem, werden von einem Compiler übersetzt, benutzen vielen Bibliotheken, das ganze läuft auf CPUs, nutzt Festplatten und RAM. All diese Komponenten müssten überprüfbar sein. Doch nicht einmal dem Compiler kann man trauen, wie Ken Thompson in Reflections on Trusting Trust beschreibt, denn ein Compiler benötigt ebenfalls einen Compiler. Und selbst wer ihren Compiler von Hand per Hex-Editor eintippt, muss ihrem Editor und ihrem Prozessor vertrauen – ein Turtles all the way down-Problem. Wer nicht den gesamten Stack aus prüfbaren Bauteilen aufbaut, kann keine absolute Sicherheit haben.
Und deshalb sind technische Ansätze zwar wichtig, aber auf Dauer keine Lösungen. Bestenfalls werden die Angreifer_innen gezwungen, mehr Mittel aufzuwenden. Damit verlagern wir das Problem aber nur in die Zukunft. Gegen Geheimdienste muss politisch vorgegangen werden. Die Demokratie muss jede zu große Ansammlung von Macht bekämpfen – auch in sich selbst.
Es kann keine absolute politische Sicherheit geben. Die Politiker sagen es dir vielleicht und die Gesetze werden abgeschafft, aber was hinter den Türen der Geheimdienste passiert, kann dir niemand sagen. Vielleicht wird sich dort an die Gesetzgebung gehalten, vielleicht aber auch nicht. Dann ist die Debatte vorbei, jeder glaubt das Problem gelöst zu haben. Wir mit deutscher Politik gegen amerikanische Geheimdienste vorgegangen werden soll ist mir auch unklar.
Da ist mir eine technische Lösung, wenn sie auch nicht jahrelang anhält, lieber oder mir ist es lieber, wenn der Mensch sein Verhalten an die jeweilige Situation anpasst.
Gruß, Alex.