Google setzt auf längere DKIM-Schlüssel für mehr Sicherheit gegen Phishing

Vielleicht nutzen einige der Leser hier auch die Dienste von PayPal und haben daher auch dort einen Account. Unter anderem bekam ich, wie auch viele andere PayPal-Nutzer nicht selten eMails, in welchen wir etwa unser Konto bestätigen sollten oder die Aufforderung zu anderen ungewöhnlichen Dingen, die immer mit unseren privaten Daten wie das Bankkonto usw. verbunden waren. Meist geht da schon hervor, dass es sich dabei nicht um eine tatsächliche Mail von PayPal handeln kann, doch die Absender-Adresse war wiederum eine Adresse von PayPal. Doch wie ist das möglich? Ganz einfach, die Verschlüsselung zur Sicherstellung, dass eine Mail tatsächlich von der richtigen Domain stammt, war zur kurz und daher knackbar.

So ist das nicht nur bei PayPal der Fall, sondern bei zahlreichen anderen großen Unternehmen war bzw. ist es nach wie vor so, dass die sogenannten DKIM-Schlüssel zu kurz sind. Auch bei Google war das so, wie der Mathematiker Zach Harris jetzt herausfand. Als er eine angebliche eMail von Google bzgl. eines etwas unpassenden Stellenangebots erhielt, war ihm der zu kurze Schlüssel aufgefallen, woraufhin er das gleich direkt ausnutzte. Er schrieb den beiden Gründern von Google Sergej Brin und Larry Page jeweils eine eMail über die Adresse des Anderen. Er bekam zwar keine Antwort, doch kurze Zeit später änderte Google die Schlüssellänge von 512 auf 2048 Bit.

So hat nun Google zwar darauf reagiert, doch andere Unternehmen wie eBay, Twitter, Yahoo, Amazon und Co. nutzen ebenfalls zu kurze Schlüssel, die mit ausreichend Ressourcen knackbar sind, wie Harris gegenüber Wired verriet. Bei Google ist das nun nicht mehr der Fall, doch auch zahlreiche andere Unternehmen wies Harris auf diesen Missstand hin. (via)

[asa]B0099LATZ2[/asa]