Angeblich Backdoor zur Weitergabe von Hashes in BitTorrent Sync

In der beliebten Filesharing-App BitTorrent Sync wurde laut einer Untersuchung der Hackito-Ergo-Sum-Hacker angeblich eine Backdoor gefunden, über die Hashes weitergegeben werden. BitTorrent Sync wurde bereits rund 10 Millionen Mal heruntergeladen und soll 16 Mal schneller sein als seine Mitbewerber. Laut den Sicherheitsforschern von Hackito wurde diese Hintertür erst auf Anfrage der NSA nach dem ersten Release eingebaut.

Foto: Hackito Ergo Sum

„Dies könnte auf einen NSL zurückzuführen sein (National Security Letters sind Briefe, die von der US-Regierung an Unternehmen verschickt werden, um sie dazu zu bringen, Schlüssel herauszugeben oder Schwachstellen einzubringen, um ursprünglich sichere Systeme zu kompromittieren), der an BitTorrent Inc. bzw. seine Entwickler verschickt wurde“, so Hackito.

Von besonderer Bedeutung war dabei die Entdeckung einer „vermutlichen Weitergabe aller Hashes an getsync.com und Zugriff auf alle geteilten Daten durch BitTorrent Inc.“ und die „Weitergabe von privaten Netzwerkadressen von Kunden, die Aufschluss darüber geben, wo und was angegriffen werden soll“.

Während der Tests wurden zudem mehrere „vermutliche“ Schwachstellen gefunden. BitTorrent ließ über einen Mitarbeiter verlauten, dass abgesehen von einigen Abstürzen bei den Hackito-Tests nichts Schlechtes gefunden werden konnte. „Schon die Formulierung „vermutliche Weitergabe aller Hashes an getsync.com und Zugriff auf alle geteilten Daten durch BitTorrent Inc.“ hört sich an wie „Ich habe Microsoft heute fast gehackt“, schlussfolgerte der BitTorrent-Mitarbeiter mit dem Benutzernamen kos13.

Wenige Stunden danach folgte eine ausführlichere Antwort in einem Eintrag im BitTorrent-Forum. „Wir haben uns die Behauptungen von Hackito näher angesehen und sind nach umfassender Prüfung zu dem Schluss gekommen, dass für uns kein Grund zur Sorge besteht“, so K. Lissounov, Geschäftsführer von BitTorrent Sync.

BitTorrent ließ verlauten, dass es sich bei den Ordner-Hashes nicht um den Ordnerschlüssel handelt, welcher geheim ist, und dass sie nicht dafür verwendet werden können, um Zugriff auf einen Ordner zu erlangen, da sie nur dem Zweck dienen, „andere Peers mit dem gleichen Ordner zu finden.“ Darüber hinaus können Hashes (160 Bit) „nicht erraten werden“, da es „kryptografisch unmöglich ist, den Hash eines bestimmten Ordners zu erraten.“

Die „weitergegebenen“ Hashes scheinen an den Server für die Peer-Ermittlung zu gehen. Dieser macht es möglich, dass „Peers andere Peers finden“ und gehört nicht zum System für den Ordneraustausch. „Eine Kompromittierung der öffentlichen Infrastruktur hat keinerlei Auswirkungen auf die Sicherheit von Sync“, auch wenn Sync aufgrund seiner Client-seitigen Implementierung auf die öffentliche Infrastruktur angewiesen ist.

Die kryptografischen Verfahren von BitTorrent Sync wurden zudem von einem unabhängigen Sicherheitsanbieter geprüft.

rn