daily.out

2012-07-28 Jitsi statt Skype?

Vor einiger Zeit fragte mich ein Leser, ob Jitsi eine sichere Alternative zu Skype wäre. Kurzgefaßt wäre meine Antwort heute: Sicher wahrscheinlich, aber keine Alternative.

Alternativ kommunikationslos

Skype verwendet eine ganz eigene Kommunikationsart. Die coolen Kids sagen "proprietäres Protokoll" dazu. Das bedeutet, daß nur Skype mit Skype reden kann. Kein anderer Instant Messenger oder Ton/Video-Chat-Programm kann mit Skype. Wenn Du Skype-Kontakte hast, verlierst Du diese, wenn Du Skype nicht mehr nutzt. Für Skype gibt es daher keine Alternative. Es sei denn, man überzeugt alle seine Skype-Freunde, auch zu etwas anderem zu wechseln.

Aber sicher

Wenn ich mir diese Untersuchung durchlese, der sogar der Quellcode von Skype zur Verfügung gestellt wurde, machte Skype bereits 2005 in der Version 1.3 einen recht sicheren Eindruck. Skype sichert das Programm und seine Kommunikation gegen die üblichen Angriffe (man in the middle, replay, et cetera) mit Standardverfahren aus der Kryptographie ab. Kommunikation zwischen Skype-Benutzern ist immer verschlüsselt, ohne daß man etwas dazu einstellen muß.

Jitsi freute sich am 24.04.2012 über die Aussage von Jacob Appelbaum vom Tor-Projekt, daß er Jitsi gegenüber Skype bevorzugen würde, weil Skype angeblich die Chat-Historie auf den Skype-Servern speichert, was man daran sehen könne, daß diese Historie auf jedem Computer, auf dem man sich bei Skype anmeldet, sichtbar wäre, auch wenn man den Rechner nie zuvor benutzt hat. Das allerdings konnte ich nicht nachvollziehen, denn ich sehe nur die Chat-Historie von solchen Chats, die auch auf dem jeweiligen Computer stattfanden.

Im Gegensatz zu Skype muß man bei Jitsi die Kommunikation jeweils per Mausklick auf ein Icon mit Verschlüsselung versehen. Und diese Funktion steht angeblich nur zur Verfügung, wenn auch die Gegenseite Jitsi verwendet. Aus diesem Grund ist Jitsis Kommunikation weniger sicher als die über Skype.

Fazit

Skype bietet bereits out-of-the-box sicherere Kommunikation als ich vermutet hatte. Jitsi ist weder funktional noch sicherheitstechnisch ein Ersatz für Skype. Und daß Microsoft im Jahr 2011 Skype gekauft hat, macht Skype nicht plötzlich schlecht.

Update 2013-08-10: Skype im Licht von PRISM

Microsoft hat irgendwann im Jahr 2012 Änderungen an Skype gemacht, die unter anderem besagen:

Super-Knoten sind in einem Peer-to-Peer-Netz wie Skype normale Teilnehmer mit Zusatzaufgaben für die Netzverwaltung, eine Art verteiltes Verzeichnis. Typischerweise werden Rechner mit guter Internet-Anbindung zu Super-Knoten, die beim Finden der richtigen Daten-Versand-Wege beispielsweise wegen wechselnder IPs verwendet werden oder als Proxy für das Zwischenspeichern von Informationen, bevor sie an das Ziel weitergeleitet werden können. Von diesem zusätzlichen Verkehr sollten offenbar die Skype-User entlastet werden, indem Microsofts Server als Super-Knoten dienen.

Seite 2, Punkt 4 dieser Skype-Untersuchung von 2005 besagt:

Falls Skype heute noch genauso verschlüsselt (asymmetrisch und Private Key nur auf dem User-Rechner), dann bedeutet das, daß Microsoft oder wer auch immer die auf den inzwischen über Microsofts eigene Server laufende Kommunikation abgreift, diese nicht entschlüsseln kann.

Es ist jedoch denkbar, daß erstens die Skype-Informationen abgegriffen werden, bevor Skype sie verschlüsselt und abschickt. Außerdem könnten sie zweitens beim Zielrechner ausgelesen werden, nachdem der Empfänger sie entschlüsselt hat. Im Rahmen der Affäre um PRISM, die NSA und Edward Snowden gibt es angeblich Hinweise, die auf so eine Hintertür in Skype hindeuten. Solch ein Zugriff würde keinen Zugang auf Microsofts Server benötigen, denn die denkbare lokale Zusatzfunktion in den Skype-Programmen, wäre mehr als ausreichend. Das würde die Aussagen von Microsoft und Snowden in Einklang bringen, die einerseits sagen, es gäbe keinen direkten Serverzugriff für Staatsdienste und die NSA hätte andererseits jederzeit beliebigen Zugriff.

Die Sicherheitsfrage läßt sich für Skype also reduzieren auf: Vertrauen wir darauf, daß in die Skype-Clients keine Hintertür eingebaut wurde, die Informationen vor der Verschlüsselung beim Sender oder nach der Entschlüsselung beim Empfänger abgreift?

Da Skype schon 2011 vor Microsofts Übernahme an PRISM angeschlossen wurde, sollte man sehr nachdenklich sein. Ein Prisma dient bekanntlich dazu, die Anteile eines Lichstrahl je nach Farbe anders umzulenken. Ich gehe davon aus, daß Skype seine zu verschickenden Informationen (vor ihrer Verschlüsselung) oder empfangenen Informationen (nach ihrer Entschlüsselung) teilweise abhängig vom Inhalt ebenso umleitet für PRISM. Damit wäre Skype eines der am weitesten verbreiteten Trojanischen Pferde.

Grundsätzlich gilt: Kommunikation ohne Ende-zu-Ende-Verschlüsselung kann unterwegs mitgelesen werden. Kommunikation mit dieser Verschlüsselung kann nur an den Enden abgegriffen werden durch eventuell kompromittierte Endprogramme selbst.

---