Kryptografische Lücken

jerusalem museum

Im Heise-Forum beschweren sich die Nutzer, dass der Artikel „39C3: Diverse Lücken in GnuPG und anderen kryptografischen Werkzeugen“ nur eingeschränkt verständlich sei. Ich pflichte dem bei. Ich habe mir daher die Liste der möglichen Schwachstellen von GPG zunächst übersetzen lassen. Das macht die Sache aber immer noch nicht besser.

1. Multiple Plaintext Attack on Detached PGP Signatures in GnuPG
→ Mehrfach-Klartextangriff auf abgetrennte PGP-Signaturen in GnuPG (vgl. unten)

2. GnuPG Accepts Path Separators and Path Traversals in Literal Data „Filename“ Field
→ GnuPG akzeptiert Pfadtrenner und Pfadmanipulationen im „Dateiname“-Feld der Literal-Daten

3. Cleartext Signature Plaintext Truncated for Hash Calculation
→ Klartext bei Klartextsignaturen wird für die Hash-Berechnung abgeschnitten

4. Encrypted message malleability checks are incorrectly enforced causing plaintext recovery attacks
→ Prüfungen der Verformbarkeit verschlüsselter Nachrichten werden fehlerhaft durchgesetzt und ermöglichen Klartext-Wiederherstellungsangriffe

5. Memory Corruption in ASCII-Armor Parsing
→ Speicherbeschädigung beim Parsen von ASCII-Armor

6. Trusted comment injection (minisign)
→ Injektion vertrauenswürdiger Kommentare (minisign)

7. Cleartext Signature Forgery in the NotDashEscaped header implementation in GnuPG
→ Fälschung von Klartextsignaturen in der NotDashEscaped-Header-Implementierung von GnuPG

8. OpenPGP Cleartext Signature Framework Susceptible to Format Confusion
→ OpenPGP-Klartextsignatur-Framework anfällig für Formatverwechslungen

9. GnuPG Output Fails To Distinguish Signature Verification Success From Message Content
→ GnuPG-Ausgabe unterscheidet nicht zuverlässig zwischen erfolgreicher Signaturprüfung und Nachrichteninhalt

10. Cleartext Signature Forgery in GnuPG
→ Fälschung von Klartextsignaturen in GnuPG

11. Radix64 Line-Truncation Enabling Polyglot Attacks
→ Radix64-Zeilenkürzung ermöglicht Polyglot-Angriffe

12. GnuPG may downgrade digest algorithm to SHA1 during key signature checking
→ GnuPG kann beim Prüfen von Schlüsselsignaturen den Digest-Algorithmus auf SHA-1 herabstufen

13. GnuPG Trust Packet Parsing Enables Adding Arbitrary Subkeys
→ Parsen von GnuPG-Vertrauenspakteten ermöglicht das Hinzufügen beliebiger Unterschlüssel

14. Trusted comment Injection (minisign)
→ Injektion vertrauenswürdiger Kommentare (minisign)

ChatGPT:

Das erste Problem einfach erklärt

Eine digitale Signatur ist wie eine Unterschrift unter einem Brief. Sie soll beweisen:

„Genau dieser Text wurde unterschrieben und nicht verändert.“

Bei diesem Problem in GnuPG kann genau dieses Vertrauen ausgenutzt werden.

Was kann ein Angreifer tun?

Ein Angreifer kann erreichen, dass dein Programm dir gleichzeitig zwei Dinge vermittelt:

Anders gesagt:

Die Unterschrift gehört zu Text A, aber angezeigt wird dir Text B.

Warum ist das gefährlich?

Viele Menschen verlassen sich auf das Ergebnis:

„Signatur gültig“

und nehmen automatisch an, dass dann auch der Inhalt stimmt. Bei dieser Schwachstelle kann man jedoch trotz gültiger Signatur über den angezeigten Inhalt getäuscht werden.

Ein Alltagsbeispiel

Stell dir vor, du bekommst einen unterschriebenen Vertrag:

Du denkst:

„Die Unterschrift ist gültig, also muss der Inhalt stimmen.“

In Wirklichkeit wurde aber nicht das bestätigt, was du gerade siehst.

Warum trifft das auch vorsichtige Nutzer?

Das besonders Gemeine ist: Selbst wenn man alles richtig macht und nur signierten Nachrichten vertraut, kann man in bestimmten Situationen trotzdem in die Irre geführt werden.

Kurz gesagt

Nein. Ich lasse es. Ich brauchte die ganze Nacht mit ChatGPT, nur um zu verstehen, was eigentlich das Problem ist. Also hoffe ich, dass die Ultranerdigen das für mich lösen.

image_pdfimage_print
Dezember 28, 2025 | abgelegt unter Internet and Computer, Privacy 

Kommentare

3 Kommentare zu “Kryptografische Lücken”

  1. nOby am Dezember 29th, 2025 9:14 a.m.

    Die vom CCC haben noch ganz andere Lücken. Um den Text zu verstehen braucht niemand eine Nacht.

  2. admin am Dezember 29th, 2025 3:31 p.m.

    Es geht nicht darum, den Text des Artikels zu verstehen, sondern um die Sicherheitslücken.

  3. bentux am Dezember 30th, 2025 1:19 p.m.

    PGP? Netter Artikel:
    https://www.reddit.com/r/cryptography/comments/1gs1n4z/what_to_use_instead_of_pgp/

    <8*) Der Aluhut meint, Es sieht so aus als währe da nicht alles Eitel Sonnenschein, wenn In den Kommentaren steht: …it all went to shit."

Schreibe einen Kommentar