Bereits zum zweiten Mal hat help.orf.at eine Werbeeinschaltung für die Handysignatur im Rahmen der Sendung „Help” gefahren. Zunächst Paul Urban Blaha mit „Handysignatur: Was sie kann” Ende Jänner und diesen Sonntag Jonathan Scheucher unter dem Titel „‘Handysignatur neu’ soll sicherer werden”.

Beide Beiträge strotzden nur so von faktischen Fehler. Fangen wir mit den low-hanging fruits an.

So wird Reinhard Posch in den beiden Beiträgen als „Berater der Bundesregierung in IT-Fragen”, „Professor für Informatik an der TU Graz”, „IT-Berater”, „Informatiker” und „Berater der Bundesregierung in digitalen Sicherheitsfragen” bezeichnet.
Wenn mensch auch nur kurz eine Suchmaschine anwirft, sollte dort raus kommen, dass O.Univ.Prof. Dr. DI Reinhard Posch u.a. „Chief Information Officer des Bundes” (Beheimatet im Bundeskanzerlamt) ist und die Bürgerkartenfunktion, Bürgerkarte bzw. Handysignatur maßgeblich mitentwickelt und gepuscht hat.
Darüber hinaus ist Hr. Posch laut Vereinsregisterauszug (ZVR: 948166612) auch „Gesamtleiter” (zumindest bis 30.06.2018) der A-SIT, die u.a. Konformitätsbewertungen für Vertrauensdiensteanbieter wie die Umsetzer der Handysignatur in Österreich, die A minus Trust, abgibt.
Wir sehen also, Hr. Posch ist, weit mehr als ein „”IT-Berater”„. Vor allem, wenn es um das Thema „Bürgerkarte” geht.
Und das Triangel Bundeskanzleramt – A-SIT – A minus Trust hat in der Vergangenheit schon mehrmals für Unterhaltung gesorgt.

Was Hr. Urban in dem ersten Machwerk „Handysignatur: Was sie kann” nicht erwähnt ist, dasss die für den „digitalen Stempel” Handysignatur notwendigen privaten Schlüssel – anders als bei der e-card mit Bürgerkartenfunktion – nicht lokal (auf der Karte) sondern beim „Vertrauensdiensteanbieter” A minus Trust hinterlegt werden müssen (eigentlich sollte/darf man die NIE aus der Hand geben). Dem Vertrauensdiensteanbieter, der im August 2015 das halbe österreichische E-Government lahm gelegt hatte, weil er seine root-Zertifikate nicht verlängerte.
Und diese oben erwähnten privaten Zertifikate werden über eine SMS „gesichert”. Falls Ihr es noch nicht mitbekommen habt: eine SMS lässt sich über eine SS7 Attacke ganz leicht abfangen. Karsten Nohl hat diese u.a. 2014 am 31C3 vorgestellt, die Washington Post hat einen aktuellen Text dazu und ein hübsches Video mit einem WhatsApp Hack via SS7 gibt es auch.

Und dass die Handysignatur-App als Einfallstor/Verbreitungsweg für den Staatstrojaner dienen können, weißt der „IT-Berater” Posch in diesem Beitrag ebenfalls unwidersprochen zurück, weil: „Für Anbieter digitaler Dienstleistungen wie der Handysignatur gelten strenge behördliche Auflagen.”
Und die Produkte der Vertrauensdiensteanbieter (wie etwa die Handysignatur App) müssen laut dem „IT-Berater” durch die Rundfunk und Telekom Regulierungs-GmbH (RTR) geprüft werden. Ratet mal, wer die RTR bei technischen Fragestellungen unterstützt? Richtig! Die Bestätigungsstelle der A-SIT, deren Chef Hr. Posch ist, der auch einen Job im Bundeskanzleramt des Staates hat.

Waren es im Beitrag on Hr. Urban Ende Jänner noch „etwa 870.000 Österreicher” (anscheinend keine Frauen), welche die Handysignatur benutzten, so berichtet Hr. Scheucher nun Anfang Juni von bereits „Rund eine Million Österreicherinnen und Österreicher”, welche diese Funktion benutzen. Da dürften sich also anscheinen 120.000 Damen für das Frauen-Volksbegehren eine Handysignatur besorgt haben. Weil laut dem Beitrag von Hr. Scheucher haben 10.000 Nutzerinnen und Nutzer eine Handysignatur für das Nichtraucher-Volksbegehren geholt. *scnr*

Lustig in dem Beitrag von Hr. Scheucher auch die Aussage, dass für den Einsatz der Handysignatur bislang noch ein zweites Gerät (PC, Laptop) benötigt würde. Das ist (technisch) nicht notwendig, auch wenn es keine gute Idee ist, die Anwendung selbst und den „zweiten Faktor” auf dem gleichen Gerät zu haben. Für Banking-Anwendungen wurde das am 32C3 und am 33C3 gezeigt.

„Spannend” ist auch der Hinweis auf die „Handysignatur neu”, für die laut dem Beitrag von Hr. Scheucher ein sogenannter integrierter Sicherheitschip im Handy nötig ist. Diese Lösung soll laut Beitrag die bisher notwendige SMS ablösen. Der „einfache IT-Berater” Posch meint in dem Beitrag: „Ein solcher Chip ist in praktisch jedem Handy voreingebaut, das in den vergangenen fünf Jahren produziert wurde”. Mehr Informationen sind dem Beitrag leider nicht zu entnehmen.

Wenn der Chip so breit ausgerollt ist, würde das allerdings eine auf ARM Technologie basierende Lösung deuten, da alle gängigen Android und Apple Telefone darauf basieren. Fündig wurde ich dann mit Arm TrustZone. Das schaut von der Beschreibung her nach dem aus, was in dem Beitrag beschrieben wird.
Wenn dem so ist, muss die A-Sit/A minus Trust, … so genannte „Trustlets” schreiben, die dann in „Trusted Execution Environment” (TEE) des Handys ausgeführt werden. Das „Project Zero” Security-Team hat im Juli 2017 mal an den gängigen TrustZone TEEs gerüttelt und Sicherheitslücken gefunden, die zum Teil auch jetzt noch (dank der langsamen Adoption von neuen Android-Varianten) ausgenutzt werden können.
Das verspricht noch einiges an „Spaß am Gerät”.
Unter Apple dürfte die „Secure Enclave” auf der ARM TrustZone Technologie basieren.

Ja, da ist noch viel „Rate mal mit Rosenthal” dabei, aber ich hab Anfragen an die A minus Trust und den „IT-Berater” Posch geschickt, um hier mehr Details zu bekommen. Dieser Text wird dann entsprechend ergänzt/korrigiert, falls ich was zurück bekomme.

Tagged as: | Author: Martin Leyrer
[Montag, 20180604, 00:41 | permanent link | 0 Kommentar(e)