Sicherheitsfragen zum Einsatz von Skype

(openPR) Die Peer-to-Peer Software „Skype“ ist ein weit verbreitetes, kostenfreies Tool für VoIP-Telefonie, Chat und Instant Messaging. Die Software hat dabei den Ruf, problemlos in nahezu jeder Firewallumgebung zu funktionieren und für den Endnutzer sehr einfach bedienbar zu sein.

Aschheim, 11. November 2008 - Die derzeit 370 Millionen registrierten Anwender scheinen dies zu bestätigen. Auf der anderen Seite wird immer wieder Kritik an Skype laut. Quelle sind hier vor allem die IT-Abteilungen in Unternehmen, die Sicherheitsbedenken wegen der mit Skype durchtunnelten Firewalls äußern. Aber auch die konsequente Verschleierung des Programmcodes und des Netzwerkverkehrs tragen ihren Anteil zu der Verunsicherung bei.

Skype ist ein proprietäres VoIP System von Skype Technologies S.A., ein in Luxemburg registriertes Unternehmen. Skype wurde 2003 von Niklas Zennström and Janus Friis gegründet, den gleichen Unternehmern, die bereits das Peer-to-Peer Protokoll „FastTrack“ und das darauf basierende Programm „KaZaA“ entwickelt haben.

Der Erfolg von Skype, wie auch vorher bereits der von KaZaA, dürfte wohl vor allem in seiner ausgesprochenen Anwenderfreundlichkeit liegen. Im Gegensatz zu vielen anderen Produkten arbeitet Skype nämlich auch problemlos hinter den meisten NAT-Routern, Firewalls und Proxies.

Nach erfolgreicher Installation und Anmeldung bei Skype stehen dem Nutzer diverse Funktionen zur Verfügung:

1. Chat
2. Video- und Audio Telefonie zu Zielen auch außerhalb des Skype-Netzwerkes („SkypeOut“/“SkypeIn“)
3. Anrufbeantworter
4. Versenden von SMS
5. Senden von PayPal-Zahlungen (PayPal ist ebenfalls ein Teil des eBay-Konzerns)
6. Austausch von Dateien

Dieser Segen an Funktionsvielfalt steht dabei nicht selten in Konflikt mit dem, was durch die Schutzwirkung einer Firewall und anderer Sicherungsmaßnahmen vermieden werden soll: Der völlig ungehinderte und unkontrollierbare Fluss beliebiger Daten über die Unternehmensgrenzen hinweg. Und Skype tut vieles dafür, die „Spaßbremse Admin“ zu umgehen. Für die Installation der Software auf dem lokalen PC braucht man im Normalfall nicht einmal die Privilegien eines Administrators. Die Kommunikation mit der Außenwelt wird dann trickreich durch die Firewall über gängige Ports (http, https) getunnelt. Schließlich arbeitet Skype mit vollständig verschlüsselten proprietären Netzwerkprotokollen und ständig wechselnden Peers, sodass es bereits eine Herausforderung ist, den Netzwerkverkehr von Skype überhaupt zuverlässig zu identifizieren.

Leider bleiben jedoch wichtige Details über die Funktionsweise von Skype im Verborgenen. Der gesamte Programmcode schützt sich außerordentlich trickreich gegen Reverse Engineering. Außerdem wird der Netzwerkverkehr nicht nur verschlüsselt abgewickelt, sondern zusätzlich auch noch durch einen RC4 Stream Cypher verschleiert. Auf diese Weise sind noch nicht einmal die Kommunikationsbestandteile beobachtbar, die beim Einsatz standardisierter kryptographischer Verfahren normalerweise noch im Klartext oder zumindest nachvollziehbar wären (z.B. Handshakes, oder Challenges). Wie aufwändig der Schutz gegen Reverse Engineering oder das „Network Obfuscation Layer“ gestaltet sind, lässt sich der Arbeit von Biondi und Desclaux vom „IT sec Lab“ der EADS (European Aeronautic Defence and Space Company) entnehmen.

Sicherheitsbedenken beim Einsatz von Skype
Verschleierung

Die Skype-Software und der genaue Ablauf der Kommunikation sind bisher eine beinahe vollständige Blackbox. Zumindest das „Network Obfuscation Layer“ arbeitet mit proprietären Protokollen. Dabei hat sich gerade beim Einsatz von kryptographischen Verfahren immer wieder bestätigt, dass die nicht-Offenlegung eines Mechanimus kein Garant für dessen Sicherheit ist (Kerckhoffs’ Prinzip). Dies wurde zuletzt durch die MIFARE-Attacke, die sogar die Dienstausweise der Bundeswehr betrifft, wieder einmal eindrucksvoll bewiesen. Skype hat jedoch, um Bedenken zu zerstreuen, 2005 eine Sicherheitsanalyse bei dem bekannten Kryptoanalytiker Tom Berson (Anagram Laboratories) in Auftrag gegeben, der Skype eine fehlerfreie Implementierung der verwendeten kryptographischen Verfahren und den ausschließlichen Einsatz von Standardprotokollen attestierte. Zumindest, was den Zweck des Einsatzes von RC4 betrifft, sind die Aussagen in der Analyse von Berson und der Arbeit von Biondi und Desclaux jedoch widersprüchlich, da nach Biondi und Desclaux der Einsatz von RC4 lediglich zur Verschleierung dient, nicht aber zur Geheimhaltung.

Ebenfalls im Jahr 2005 wurde im Skype-Client ein Heap-Overflow entdeckt, der sowohl zu einem DoS-Angriff als auch zur Ausführung beliebigen Programmcodes im Kontext des Anwenders genutzt werden kann.

Prinzipiell kann natürlich die Geheimhaltung des Programmcodes allein nicht die Annahme rechtfertigen, dass hier Schwachstellen oder gar absichtliche implementierte Hintertüren verborgen werden sollen. Durch den massiven Einsatz von Techniken zur Verschleierung der internen Programmabläufe sowie der Netzwerkkommunikation über die eigentliche Verschlüsselung hinaus (gerade bei einer kostenlosen Software!), werden jedoch Zweifel genährt, ob es nicht doch etwas zu verbergen gibt.

Durchtunnelung der FW

Wie bereits ausgeführt, kommuniziert Skype durch Firewalls hindurch, indem es z.B. über Standardports wie http oder https verschlüsselten Verkehr leitetet. Die bidirektionale Kommunikation wird dadurch gewährleistet, dass der Skype-Client fortlaufend Anfragen an den ihm aktuell zugeordneten Super Node schickt und dieser wiederum Nachrichten für den Skype-Client als Antwortpakete auf dessen Anfragen deklariert und damit durch die Firewall hindurchschleust.

Diese Technik an sich ist jedoch keine Erfindung von Skype und wird auch von diversen anderen Tools verwendet. Sobald ein Firewall Administrator irgendeine Verbindung von einem Client ins Internet zulässt, kann diese auch zum Tunneln von Verbindungen missbraucht werden. Beispiele hierfür sind DNStunnel , Verwendung von putty für SSH oder SSL Tunnel oder Ping Tunnel. Das bedeutet: Das Durchtunneln einer Firewall ist ein ganz allgemeines Sicherheitsproblem und hat mit Skype originär nichts zu tun. Skype verhält sich hier insofern sogar noch fair, als dass über den aufgebauten Tunnel tatsächlich nur die Instant Messaging und VoIP Funktionen realisiert werden. Andererseits ist die Verärgerung der Firewall Administratoren durchaus verständlich, da ja tatsächlich Daten direkt an Virenscannern oder DLP (Data Leakage Prevention, Maßnahmen gegen den Abfluss vertraulicher Daten aus Unternehmen) Tools vorbeigeschleust werden. Die beschriebene Problematik lässt zudem noch Restzweifel zu, dass sich vielleicht doch eine Backdoor im Skype-Client befindet, die zum nicht autorisierten Zugriff auf Unternehmensdaten geeignet ist.