Abhörsicherheit von Skype (Backdoor)

[Athaba]

Hallo,

es gibt mal wieder ein Indiz dafür, dass Skype wohl ein Backdoor hat. In einigen Medien (Google hat wohl erst eine Quelle wo Skype erwähnt wird) wurde berichtet, dass die Telefonleitung, aber auch Skypegesprsäche eines ehemaligen, österreichischen Politikers abgehört wurden.

Ich weiß, die meisten von euch betrachten Skype ohnehin schon lange aus den unterschiedlichsten Gründen als Malware, aber ich wollte es trotzdem nicht unerwähnt lassen.

Zitat von http://www.format.at/articles/1133/525/304740/exklusiv-grosser-lauschangriff-grasser-freunde

Die „Sondereinheit für Observierung“ (SEO) im Innenministerium zeichnete neben Festnetz- und Mobilfunktelefonaten auch Internet-Gespräche via Skype auf.

[Nonpareille]

Dass Skype mit Ermittlungsbehörden kooperiert ist schon lange bekannt. Da brauch es kein Backdoor.
http://www.heise.de/newsticker/meldu...ck-202086.html

[Athaba]

Sie auch ein älterer Fall:
http://www.theregister.co.uk/2008/07...kdoor_rumours/

Dann existiert doch ein Backdoor. Laut Wikipedia streitet das Skype immer ab bzw. gibt dazu kein Kommentar ab. Leider ist die Referenz tot.

[metro]

Skype verkauft die notwendigen Schlüssel (Crypto), um die Gespräche etc. entschlüsseln zu können an zahlungskräftige und 'legitimierte' Interessenten. Seit einigen Jahren.
Hab leider vergessen, woher ich das hatte und finde auch nix mehr.
Vielleicht existiert mittlerweile auch noch ein 'Grau'Markt für Skype...
Sicher ist das aber nicht mehr.

[Azazyel]

Zitat von Athaba

Ich weiß, die meisten von euch betrachten Skype ohnehin schon lange aus den unterschiedlichsten Gründen als Malware, aber ich wollte es trotzdem nicht unerwähnt lassen.

Es gibt eine hervorragende Präsentation über die diversen Verfahren, die Skype so einsetzt, um seine Aktivitäten bzw. die Kommunikation zu verschleiern.
Warum man für wirklich sichere Kommunikation Open Source braucht, müssen wir in diesem Forum zum Glück nicht erörtern.

Skype bietet wohl Strafverfolgungsbehörden die Möglichkeit, Gespräche abzuhören. Ob die Bezeichnung "Malware" deswegen gerechtfertigt ist, sei mal dahingestellt (wieso muss ich jetzt nur an "Raubkopie" denken?).

Alles andere glaube ich erst, wenn ich Belege sehe.

[Athaba]

Malware ist es ja uach aus anderen Gründen. Zum Beispiel, weil man es nicht blocken kann, weil es auf /etc/passwd zugreift, Software ohne Aufforderung installiert und ab und zu auch dazu benutzt werden soll um auf Computer zuzugreifen. All das passiert noch dazu noch schön verschleiert.

Und ein Bundestrojaner bleibt auch ein Trojaner.

[Azazyel]

Zitat von Athaba

Malware ist es ja uach aus anderen Gründen. Zum Beispiel, weil man es nicht blocken kann, weil es auf /etc/passwd zugreift, Software ohne Aufforderung installiert und ab und zu auch dazu benutzt werden soll um auf Computer zuzugreifen. All das passiert noch dazu noch schön verschleiert.

Ersteres ist in der Tat ein großes Problem; für Letzteres vermisse ich einen Beleg.

Wo ist aber das Problem beim Zugriff auf /etc/passwd (wir reden nicht von /etc/shadow)?

Wie sonst findet man das Home-Verzeichnis des aktuellen Users heraus?
Shell-Variablen sind hierbei keine Option, die sind nicht zwangsläufig in der Programm-Umgebung gesetzt.

Wie sonst kriegt man das Mapping von numerischer User-ID zum User-Namen? Jeder Datei-Dialog benötigt doch zwangsläufig diese Information.

Zitat von Athaba

Und ein Bundestrojaner bleibt auch ein Trojaner.

Nicht alles, was hinkt, ist ein Vergleich.

Die Funktionalität von Closed Source lässt sich prinzipiell schwer nachweisen, aber wer etwas unterstellt, sollte auch den Beweis liefern.
Ferner wird im Gegensatz zu deinem Beispiel niemand Skype hinterrücks auf deinem Rechner installieren - du hast jederzeit die Wahl, ob du die Software nutzen willst oder nicht.
Ich nutze Skype auch nicht, aber wir wollen doch sachlich bleiben.

[Athaba]

Zitat von Azazyel

Ersteres ist in der Tat ein großes Problem; für Letzteres vermisse ich einen Beleg.

Den Beleg dafür, dass es Sachen verschleiert hast du mit der Presentation doch quasi geliefert. Außerdem wird das nirgends erläutert.

Wo ist aber das Problem beim Zugriff auf /etc/passwd (wir reden nicht von /etc/shadow)?

Wie sonst findet man das Home-Verzeichnis des aktuellen Users heraus?
Shell-Variablen sind hierbei keine Option, die sind nicht zwangsläufig in der Programm-Umgebung gesetzt.

Ich bin zwar bereits etwas müde, aber wovon gehen wir hier aus? Wie wird Skype eigentlich standardmäßig gestartet. Hat das wirklich eine Binary, die ganz ohne Shell auskommt?

Wie sonst kriegt man das Mapping von numerischer User-ID zum User-Namen? Jeder Datei-Dialog benötigt doch zwangsläufig diese Information.

Im Grunde hast du ja recht, aber ich habe mal wo gelesen, dass Skype diese Informationen gar nicht nutzt (habe gerade nachgesehen in der Wikipedia steht es auch, aber ohne Referenz :-/).

rotzdem verhält sich Skype in vielerlei Hinsicht "ungestüm", wie sonst nur Malware. Ja, ich weiß schon, damit keine Reverse Engineering betreibt, aber das ist doch sehr extrem und es ist einfach Unsinn wenn sich ein Administrator solche Gedanken wegen einem "normalen" Programm machen muss (siehe).

Nicht alles, was hinkt, ist ein Vergleich.

Das mit dem (Bundes)trojaner bezog sich auf folgendes:

Zitat von Azazyel

Skype bietet wohl Strafverfolgungsbehörden die Möglichkeit, Gespräche abzuhören. Ob die Bezeichnung "Malware" deswegen gerechtfertigt ist, sei mal dahingestellt.

Entweder es existiert eine Verschlüsselung vom einem Ende zum Anderen oder nicht. Wenn nicht, obwohl etwas anders behauptet wird spielt das Unternehmen falsche Tatsachen vor und macht Skype damit zu Malware, egal - und darauf bezog sich der Vergleich - ob sie vom Staat oder sonst jemanden benutzt wird.

Die Funktionalität von Closed Source lässt sich prinzipiell schwer nachweisen, aber wer etwas unterstellt, sollte auch den Beweis liefern.
Ferner wird im Gegensatz zu deinem Beispiel niemand Skype hinterrücks auf deinem Rechner installieren - du hast jederzeit die Wahl, ob du die Software nutzen willst oder nicht.

Das sind genau die selben Gegebenheiten wie bei einem Trojaner. Die können auch echte Funktionalität haben oder nenne es Spyware, denn spionieren tut die Software laut den Berichten ja und ich glaube kaum, dass diejenigen die ausspioniert wurden das wollten. Es gab auch schon Malware mit EULA, die sagt was sie macht. Trotzdem bleibt sie Malware.