Die Secure VPN Govnet Box der Firma NCP hat die Sicherheitsfreigabe des Bundesamtes für Sicherheit in der Informationstechnik (BSI) erhalten. Das gab das Fraunhofer-Institut für Sichere Informationstechnologie (SIT), dass die Sicherheitslösung zusammen mit NCP entwickelte, gestern bekannt,
Die Govnet-Box soll für Unternehmen und Behörden einen vertraulichen Kommunikationskanal bereitstellen und so wirksam vor Wirtschaftsspionage zu schützen. Die Govnet-Box verwendet nach Angaben von Carsten Rudolph, Abteilungsleiter am Fraunhofer SIT, ein “hardwarebasiertes Schutzkonzept auf Basis von Trusted Computing.
Die Box basiert nach Angaben von NCP-Geschäftsführer Peter Söll “ausschließlich auf Eigenentwicklungen – ohne jegliche Hintertüren zu den Spähprogrammen in- und ausländischer Geheimdienste.”
Sie wird per USB an den Computer angeschlossen und über Ethernet, WLAN oder 3G-Mobilfunk mit dem Internet verbunden. Zur Authentifizierung steckt der Benutzer seine Smartcard in die Box und gibt über das PIN-Pad der Box seine PIN ein. Dann stellt die Box eine verschlüsselte Verbindung zur Gegenstelle her.
Es sind aber auch Zweifel erlaubt, denn das BSI verbreitet schon über Jahre eine komplett unsichere Software zur Verschlüsselung, obwohl verschiedene Personen nach Angaben von Golem dem BSI von einer gravierenden Sicherheitslücke in der Verschlüsselung des von der Behörde bereitgestellten Programms GSTool berichteten.
So schrieb beispielsweise Jan Schejbal in seinem Blog, dass GSTool zur Verschlüsselung einen zu einfachen Zufallszahlengenerator verwendet., wodurch die Zahl der möglichen Schlüssel damit auf 2 hoch 31 zurückgeht.
Damit lässt sich die Verschlüsselung durch einfaches Durchprobieren aller möglichen Schlüssel (Brute Force) in relativ kurzer Zeit vollständig brechen.
Ein Kommentar bei Golem.de brachte es auf den Punkt:
“Sicherheitstechnologien müssen transparent und offen entwickelt werden, Software muss im Quelltext verfügbar sein. Die Konsequenz aus dem NSA-Skandal kann nicht sein, auf Software von deutschen Behörden zu vertrauen. Auch die Idee von Sicherheitssoftware ‘Made in Germany’ ist nicht geeignet, Vertrauen wiederherzustellen. Die Lösung heißt: Offenheit, Transparenz und freie Software.“
