ETS-Standard jetzt offiziell eine Schwachstelle

Wenige Tage nach der Preisverleihung erreichte uns die Meldung, dass der unsichere ETS-Standard offiziell als Schwachstelle, als Bug gelistet worden ist. MITRE, ein Ableger des Massachussettes Institute of Technology (MIT), betreibt die offizielle „Schwachstellen-Datenbank“ CVE („Common Vulnerabilities and Exposures“). Dort ist ETS mit der Nummer CVE-2019-9191 aufgeführt, weil es das Verfahren „Perfect Forward Secrecy“ nicht anbietet. Der Sicherheitssoftware-Anbieter Symantec nannte das einen „Designfehler“.

Frank Rosengart ist ein bisschen erleichtert: „Das ist ein wichtiger Schritt in die richtige Richtung. ETS darf sich nicht durchsetzen, weil das nicht nur die Sicherheit, sondern auch das Sicherheitsgefühl von uns allen im Internet zerstört. Freie Netze brauchen eine sichere Verschlüsselung mit höchsten Standards, das sollte unser Anspruch sein.“

Fraglich ist zu Redaktionsschluss dieses Jahrbuches noch, wie das National Institute for Standards and Technology (NIST) nun über die Wahl zwischen den Standards TLS 1.3 (sicher) und ETS (mit unsicherer Hintertür) entscheiden wird. Erst wenn das NIST dem Standard ETS eine Absage erteilt, können wir uns auf die Sicherheit von https wieder verlassen.