De siste versjonene av Pretty Good Privacy (PGP) har blitt rammet av en feil, som åpner for at uvedkommende fritt kan lese den krypterte posten.
Feilen ligger i den nye funksjonen som har blitt lagt til i PGP. I de siste versjonene finnes det støtte for nøkkeldeponering, en såkalt key escrow, som innebærer at en tredje part har tilgang til krypteringsnøklene. Denne finnes for at politiet skal kunne åpne kryptert e-post, ved mistanke om lovbrudd.
Finnes i versjon 4 og 6 av PGP
Nøkkeldeponeringen finnes i versjon 5 og 6 av programmet, og problemet oppstår når et nytt par med en offentlig og en privat nøkkel skapes. Da legges det til ytterligere krypteringsnøkler, såkalte ADK, additional depcryption keys.
Når senderen krypterer en beskjed til en annen, krypterer programmet beskjeden gjennom å bruke både den offentlige og ADK. Men programmet krever ikke at de ekstra nøklene finnes i den signerte delen av PGP-sertifikatet, noe som innebærer at noen kan ta PGP-sertifikatet og legge egne ADK-nøkler dit, og deretter videresende beskjeden uten avsenderens tillatelse.
Annonse
Nøkkeldeponering lager trøbbel
– Når man legger til nøkkeldeponering i et system blir det straks mer komplisert og vanskeligere å bygge et sikkert system. Da er det flere ting som må falle sammen og det blir enklere å gjøre feil. Dette er et eksempel på det, sier sikkerhetsguruen Bruce Schneier i Counterpane Internet Security, til IDG News.
Network Associates som utvikler PDP kan gjøre en oppdatering av programmet, men sikkerhetshullet forsvinner ikke før alle man også sender kryptert post til også har oppdatert sine program, skriver Computer Sweden. Dette er imidlertid svært vanskelig å kontrollere.
Schneier advarte om at denne type problemer kunne oppstå allerede i 1997, etter at den amerikanske regjering krevde at alle som levere sikkerhetsløsninger, skulle deponere sine nøkler hos en tredje part.
Annonse
