Contact for English speaking clientsNach Vermutungen des kanadischen Kryptografen Andrew Fernandes, ist das Sicherheitssystem von Windows 9X, NT und 2000 mit Zweitschlüsseln für die National Security Agency (NSA) ausgestattet.
Dieser Zweitschlüssel erlaubt es der amerikanischen Sicherheitsbehörde NSA den Zugriff auf die Komponenten des Crypto-API (API = Application Program Interface) zu nehmen.
Die Komponenten des Crypto-API funktionieren nur, wenn sie sich mit dem passenden, vom Hersteller zertifizierten Schlüssel beim Betriebssystem anmelden. Anwender des jüngsten Service Pack 5 finden mit dem Visual-C++-Editor beim Debugging von Krypto-Komponenten Kommentare, welche die Variablennamen zwei verschiedener Schlüssel nennen. Die verwendete Nomenklatur veranlaßte Fernades zu Spekulationen: »Der erste Schlüssel, genannt ‚_KEY‘, gehört Microsoft, und dient zum sicheren Laden der Dienste. Der zweite, der im Kommentar ‚_NSAKEY‘ heißt, stammt von der NSA. Damit kann die Behörde Dienste des Crypto-API auf dem Rechner eines Benutzers starten, ohne ihn zu fragen«. Fernandes wies darauf hin, daß sich der Zweitschlüssel aufgrund einer Sicherheitslücke einfach entfernen ließe. Damit könnten Firmen außerhalb der USA Crypto-Software mit starker Verschlüsselung einrichten, ohne vorher bei Microsoft oder bei der NSA eine Genehmigung einzuholen. Ein Demoprogramm, das die »NSA-Nummer« beseitigen soll, finden Interessierte auf der Web-Site von Cryptonym.
»Für den Anwender bedeutet dies, daß er sich nicht auf die Sicherheit etwaiger Softwareprodukte verlassen kann, selbst dann nicht, wenn diese durch öffentliche Tests und Dokumentationen für sicher befunden wurden. Denn diese können längst durch manipulierte Versionen der NSA ersetzt worden sein.«
Microsoft dementierte die Aussagen mit den Worten, die Vermutungen seien »ungenau und unbegründet«. Der fragliche Schlüssel gehöre Microsoft, werde von niemand anderem überwacht und sei nicht an die NSA weitergegeben worden. Die Bezeichnung »_NSA-KEY« soll sich auf die NSA als Prüfinstanz für US-Exportkontrollen beziehen, weil dieser Schlüssel die Übereinstimmung der Plattform mit den amerikanischen Ausfuhrbestimmungen garantiere.
Thomas Baumgärtner, Pressesprecher von Microsoft Deutschland, versicherte, es handle sich um einen Back-up-Schlüssel, den der Anwender beim Verlust der Krypto-Codenummer brauche.
Wollen und brauchen Sie einen solchen Schlüssel nicht?!
Sie finden unter www.cryptonym.com Hilfe!
