daily.out

2012-07-28 Jitsi statt Skype?

Vor einiger Zeit fragte mich ein Leser, ob Jitsi eine sichere Alternative zu Skype wäre. Kurzgefaßt wäre meine Antwort heute: Sicher wahrscheinlich, aber keine Alternative.

Alternativ kommunikationslos

Skype verwendet eine ganz eigene Kommunikationsart. Die coolen Kids sagen "proprietäres Protokoll" dazu. Das bedeutet, daß nur Skype mit Skype reden kann. Kein anderer Instant Messenger oder Ton/Video-Chat-Programm kann mit Skype. Wenn Du Skype-Kontakte hast, verlierst Du diese, wenn Du Skype nicht mehr nutzt. Für Skype gibt es daher keine Alternative. Es sei denn, man überzeugt alle seine Skype-Freunde, auch zu etwas anderem zu wechseln.

Aber sicher

Wenn ich mir diese Untersuchung durchlese, der sogar der Quellcode von Skype zur Verfügung gestellt wurde, machte Skype bereits 2005 in der Version 1.3 einen recht sicheren Eindruck. Skype sichert das Programm und seine Kommunikation gegen die üblichen Angriffe (man in the middle, replay, et cetera) mit Standardverfahren aus der Kryptographie ab. Kommunikation zwischen Skype-Benutzern ist immer verschlüsselt, ohne daß man etwas dazu einstellen muß.

Jitsi freute sich am 24.04.2012 über die Aussage von Jacob Appelbaum vom Tor-Projekt, daß er Jitsi gegenüber Skype bevorzugen würde, weil Skype angeblich die Chat-Historie auf den Skype-Servern speichert, was man daran sehen könne, daß diese Historie auf jedem Computer, auf dem man sich bei Skype anmeldet, sichtbar wäre, auch wenn man den Rechner nie zuvor benutzt hat. Das allerdings konnte ich nicht nachvollziehen, denn ich sehe nur die Chat-Historie von solchen Chats, die auch auf dem jeweiligen Computer stattfanden.

Update 2013-03-06

Tatsächlich erfolgt die Skype-Kommunikation offensichtlich Peer-To-Peer, also direkt zwischen den Chat-Partnern, und ohne über irgendwelche Server zu laufen. Um das zu testen, habe ich Skype mit drei Accounts auf Mac OS X, Windows 7 und GNU/Linux getestet. Dabei wurde jeweils nur ein Skype-Programm gestartet, eine Nachricht an die anderen Accounts abgeschickt und dann der Rechner runtergefahren. Anschließend wurde der Rechner mit dem Ziel-Account hochgefahren und Skype gestartet. Die Nachricht wurde erst empfangen, als auch der Sende-Rechner wieder gestartet, online und Skype auch dort wieder gestartet wurde.

Jitsi Verschlüsselung

Im Gegensatz zu Skype muß man bei Jitsi die Kommunikation jeweils per Mausklick auf ein Icon mit Verschlüsselung versehen. Und diese Funktion steht angeblich nur zur Verfügung, wenn auch die Gegenseite Jitsi verwendet. Aus diesem Grund ist Jitsis Kommunikation weniger sicher als die über Skype.

Fazit

Skype bietet bereits out-of-the-box sicherere Kommunikation als ich vermutet hatte. Jitsi ist weder funktional noch sicherheitstechnisch ein Ersatz für Skype. Und daß Microsoft im Jahr 2011 Skype gekauft hat, macht Skype nicht plötzlich schlecht.

Update 2013-08-10: Skype im Licht von PRISM

Microsoft hat irgendwann im Jahr 2012 Änderungen an Skype gemacht, die unter anderem besagen:

We … have made a number of improvements to the technical back-end for Skype, such as the 2012 move to in-house hosting of “supernodes” and the migration of much Skype IM traffic to servers in our data centers.

Wir … haben ein paar Verbesserungen am technischen Back-End für Skype vorgenommen. Beispielsweise haben wir 2012 das Hosting sogenannter "Super-Knoten" ins eigene Haus geholt und einen großen Teil des Verkehrs von Skype Kurznachrichten auf unsere Rechenzentren verlegt.

Super-Knoten sind in einem Peer-to-Peer-Netz wie Skype normale Teilnehmer mit Zusatzaufgaben für die Netzverwaltung, eine Art verteiltes Verzeichnis. Typischerweise werden Rechner mit guter Internet-Anbindung zu Super-Knoten, die beim Finden der richtigen Daten-Versand-Wege beispielsweise wegen wechselnder IPs verwendet werden oder als Proxy für das Zwischenspeichern von Informationen, bevor sie an das Ziel weitergeleitet werden können. Von diesem zusätzlichen Verkehr sollten offenbar die Skype-User entlastet werden, indem Microsofts Server als Super-Knoten dienen.

Seite 2, Punkt 4 dieser Skype-Untersuchung von 2005 besagt:

Messages transmitted through a Skype session are encrypted from Skype-end to Skype-end. No intermediary node, if any exist, has access to the meaning of these messages.

Nachrichten, die von Skype übermittelt werden sind Ende-zu-Ende verschlüsselt. Kein Knoten dazwischen, soweit überhaupt einer dazwischen liegt, kann mit den Nachrichten etwas anfangen.

Falls Skype heute noch genauso verschlüsselt (asymmetrisch und Private Key nur auf dem User-Rechner), dann bedeutet das, daß Microsoft oder wer auch immer die auf den inzwischen über Microsofts eigene Server laufende Kommunikation abgreift, diese nicht entschlüsseln kann.

Es ist jedoch denkbar, daß erstens die Skype-Informationen abgegriffen werden, bevor Skype sie verschlüsselt und abschickt. Außerdem könnten sie zweitens beim Zielrechner ausgelesen werden, nachdem der Empfänger sie entschlüsselt hat. Im Rahmen der Affäre um PRISM, die NSA und Edward Snowden gibt es angeblich Hinweise, die auf so eine Hintertür in Skype hindeuten. Solch ein Zugriff würde keinen Zugang auf Microsofts Server benötigen, denn die denkbare lokale Zusatzfunktion in den Skype-Programmen, wäre mehr als ausreichend. Das würde die Aussagen von Microsoft und Snowden in Einklang bringen, die einerseits sagen, es gäbe keinen direkten Serverzugriff für Staatsdienste und die NSA hätte andererseits jederzeit beliebigen Zugriff.

Die Sicherheitsfrage läßt sich für Skype also reduzieren auf: Vertrauen wir darauf, daß in die Skype-Clients keine Hintertür eingebaut wurde, die Informationen vor der Verschlüsselung beim Sender oder nach der Entschlüsselung beim Empfänger abgreift?

Da Skype schon 2011 vor Microsofts Übernahme an PRISM angeschlossen wurde, sollte man sehr nachdenklich sein. Ein Prisma dient bekanntlich dazu, die Anteile eines Lichstrahl je nach Farbe anders umzulenken. Ich gehe davon aus, daß Skype seine zu verschickenden Informationen (vor ihrer Verschlüsselung) oder empfangenen Informationen (nach ihrer Entschlüsselung) teilweise abhängig vom Inhalt ebenso umleitet für PRISM. Damit wäre Skype eines der am weitesten verbreiteten Trojanischen Pferde.

Grundsätzlich gilt: Kommunikation ohne Ende-zu-Ende-Verschlüsselung kann unterwegs mitgelesen werden. Kommunikation mit dieser Verschlüsselung kann nur an den Enden abgegriffen werden durch eventuell kompromittierte Endprogramme selbst.

Valid XHTML 1.0!

Besucherzähler


Latest Update: 11. September 2015 at 19:49h (german time)
Link: osx.macmark.de/blog/osx_blog_2012-07-a.php