Proton

Protons Verschlüsselung ist Open-Source und zur öffentlichen Überprüfung verfügbar. Da wir offene Standards nutzen, wird die von Proton verwendete Verschlüsselung auch öffentlich im Rahmen des Standardisierungsprozesses der IETF(neues Fenster) diskutiert und debattiert. Deshalb ist es immer wieder überraschend, Artikel zu sehen, die Protons Verschlüsselung offen falsch darstellen. So war es bei einem kürzlich veröffentlichten Blogbeitrag(neues Fenster), der auf Reddit geteilt wurde. Obwohl die meisten Kommentatoren(neues Fenster) ihn als das bezeichnet haben, was er ist, lohnt es sich dennoch, einen genaueren Blick auf Proton Mail im Vergleich zur Tuta-Verschlüsselung zu werfen, um die Unterschiede zu verstehen.

Der Blogbeitrag über Tuta behauptet, dass Proton-Adressbücher nicht verschlüsselt sind. Das sind sie aber: Alle sensiblen Daten über deine Kontakte, die du in dein Adressbuch eingibst, sind Ende-zu-Ende-verschlüsselt. Nur die E-Mail-Adresse/der Anzeigename selbst ist nicht verschlüsselt, damit du beispielsweise eingehende E-Mails filtern kannst, die nicht von deinen Kontakten stammen.

Die Verschlüsselung der E-Mail-Adresse würde auch nicht viel zusätzliche Sicherheit oder Privatsphäre bieten, denn wenn du eine E-Mail sendest, benötigen wir die E-Mail-Adresse, um die E-Mail zuzustellen. Wir könnten sie trotzdem verschlüsseln und behaupten, dass wir sie nicht sehen können, aber das wäre sehr irreführend – und ähnlich finden wir Tutas Behauptung, dass sie das gesamte Adressbuch verschlüsseln, ebenfalls irreführend.

Es gibt auch die falsche Behauptung, dass Proton Calendar-Metadaten nicht verschlüsselt sind. Das ist ebenfalls nicht korrekt: Alle sensiblen Metadaten sind verschlüsselt. Ein Stück unsensibler Metadaten kann nicht Ende-zu-Ende-verschlüsselt werden — nämlich das Datum und die Uhrzeit von Ereignissen. Das ist so, damit wir Erinnerungen (z. B. per E-Mail und Push-Benachrichtigungen) zum richtigen Zeitpunkt über Ereignisse senden können. Jedoch sind die Inhalte der Benachrichtigungen Ende-zu-Ende-verschlüsselt. Wenn du mehr über das Sicherheitsmodell von Calendar erfahren möchtest, kannst du unseren Blogbeitrag darüber lesen.

Die Gefahren proprietärer Verschlüsselung

Der kürzliche Blogbeitrag hat auch Proton Mail angegriffen, weil es offene Kryptografie-Standards, nämlich OpenPGP, verwendet, mit der Behauptung, dass dies irgendwie weniger sicher sei. Zunächst einmal ist OpenPGP ein offener Standard, was bedeutet, dass die E-Mail-Verschlüsselung bei Proton keine abgeschottete Gemeinschaft ist, du kannst verschlüsselte E-Mails an jeden PGP-Nutzer senden. Im Gegensatz dazu sind verschlüsselte „E-Mails“ innerhalb von Tuta, die nicht über ihre abgeschottete Gemeinschaft hinausgehen können, eigentlich gar keine E-Mails: Es handelt sich um verschlüsselte Nachrichten in einem proprietären Format. Und das mag für einige Anwendungsfälle sogar in Ordnung sein, solange man ehrlich darüber ist.

OpenPGP hat auch in den letzten Jahren ein großes Update erhalten, es wird auch standardisiert, um Post-Quanten-Kryptografie zu unterstützen, und es gibt jetzt eine Entwurfsspezifikation(neues Fenster) für die Verschlüsselung von E-Mail-Headern (einschließlich Betreffzeilen) in verschlüsselten E-Mails.

Protons Nutzung offener Standards bedeutet, dass wir zusammen mit Sicherheitsforschern und Kryptografen von Universitäten weltweit, wie der ETH Zürich, die Sicherheit von OpenPGP analysiert haben. Im Gegensatz dazu bedeutet Tutas Verwendung proprietärer Verschlüsselung, dass die Sicherheit ihrer Anwendungen weniger Überprüfungen und akademische Analysen erhalten hat, was zu Schwachstellen führt.

Beispielsweise verwendet Tuta (wie Proton) auch AES, aber sie verwenden nicht immer (und fordern nicht immer) authentifizierte Verschlüsselung. Theoretisch bedeutet dies, dass ihr Server (oder ein Angreifer, der ihren Server kompromittiert) eine Nachricht im Postfach der Tuta-Nutzer ändern könnte, ohne dass die Anwendung (und somit möglicherweise der Nutzer) es bemerkt.

Obwohl dies bereits(neues Fenster) gemeldet(neues Fenster) wurde(neues Fenster), und Tuta versucht hat, es zu beheben (durch Hinzufügen eines Message Authentication Code, oder MAC), akzeptieren ihre Clients immer noch Nachrichten ohne MAC, und so könnte der Server ihn einfach entfernen. Die Schwachstelle ist also nach wie vor vorhanden. Außerdem kann der Server von Tuta einen Man-in-the-Middle-Angriff durchführen, indem er einem Nutzer einen bösartigen öffentlichen Schlüssel zur Verfügung stellt (eine Schwäche, die viele öffentliche/private Verschlüsselungssysteme teilen).

Im Gegensatz dazu hat Proton niemals unauthentifizierte Verschlüsselung verwendet und lehnt externe unauthentifizierte Nachrichten ab (sowohl auf dem Server als auch in den Clients). Darüber hinaus bietet Proton Mail Schutz gegen Manipulationen des öffentlichen Schlüssels, ursprünglich über unsere Adressverifizierungsfunktion, die eine Form des Schlüssel-Pinnings ist, und neuerdings automatisiert über Key Transparency, was solche Angriffe verhindert.

Die obigen Punkte zeigen, dass selbst wenn Daten verschlüsselt sind/waren, sie nicht immer gleich sicher sind. Wir loben Tuta dafür, dass sie versuchen, das zu tun, was Proton macht, die Welt braucht sicherlich mehr Menschen, die an Lösungen arbeiten, die standardmäßig privat sind, aber Integrität ist auch wichtig.

Verwandte Artikel

What is NIS2?
en
We look at how NIS2 will affect your organization, and at how Proton’s services can help it meet its compliance requirements. 
en
  • Privatsphäre-Richtlinien
Find out how a password manager works, what it does, and how Proton Pass keeps your private information secure.
An image of a mortarboard cap, logos for Proton Drive, Mail, VPN, Pass, and Calendar, and a password field on a blog offering student discounts for all Proton products
en
  • Produkt-Updates
  • Neuigkeiten von Proton
As students build their lives online, Proton makes it safe for them to access educational resources, communicate with each other, and share knowledge online safely.
The cover image for a blog introducing the new Pass Family plan. Text saying 'Introducing Pass Family' next to an image of a family sitting together on their laptops
en
  • Produkt-Updates
  • Proton Pass
Pass Family helps you manage the passwords and logins of up to six family members and gives you more time to spend with your family.
Salt Typhoon
en
Chinese hackers have compromised US national security by exploiting government-mandated “backdoors”. The EU should learn from this.
An illustration of a laptop with chains and a padlock on the screen to represent a ransomware attack
en
  • Privatsphäre-Richtlinien
A ransomware attack is a serious threat for an organization. Here's what they are, how to avoid them, and 11 of the most well-known incidents.