Skype-Sicherheits-Lücke ermöglicht Abgreifen von IP-Adressen und Identifikation von Filesharing-Nutzern

Im November dieses Jahres werden Wissenschaftler aus den USA, Deutschland und Frankeich auf der Internet Measurement Conference in Berlin eine Studie vorstellen, die verschiedene Sicherheitsproblematiken in Voice-over-IP-Messengern (VoIP), wie Skype oder Google Talk betreffen. Als größter Anbieter steht insbesondere Skype im Brennpunkt des Geschehens.

für einen erfolgreichen Verbindungsaufbau ist zwangsläufig der gegenseitige Austausch der IP-Adressen der Kommunikations-Teilnehmer erforderlich. Die Wissenschaftlicher stellten fest, dass die IP noch 72 Stunden nach dem Anruf gespeichert und übermittelt wird, auch dann, wenn der Empfänger den ankommenden Anruf nicht angenommen hat. Die Skype-Protokoll-Verschlüsselung stellte scheinbar kein Hindernis dar. Darüber hinaus kommt verschärfend hinzu, dass selbst bei einer vorgenommenen Sicherheitseinstellung, die Anrufe automatisch abweisen soll, trotzdem die IP-Adressen übertragen werden. Das heißt, das Nutzer auf der Black-Liste bzw. alle Nutzer, die nicht auf der White-Liste stehen, trotz Sicherheitseinstellungen nach wie vor IP-Adressen abgreifen können.

Die Studie gibt einen Ausblick, was mit den gesammelten IP-Adressen gemacht werden kann. Bei wiederholt getätigten Versuchen eine bestimmte Person über Skype zu erreichen, könnte der Angreifer versuchen den Skype-Namen zu recherchieren und - zumindest annäherungsweise - einen Aufenthaltsort zu bestimmen. Geschieht dies über einen längeren Zeitraum können so Bewegungsprofile erstellt werden, welche wiederum Stalkern oder Erpressern die Möglichkeit geben die Zielperson zu schädigen. Wie leicht eine Verknüpfung der Daten geschehen kann, zeigt die Studie ebenfalls auf. Von 100.000 zufällig ausgewählten Skype-Accounts untersuchten die Wissenschaftler deren BitTorrent-Aktivitäten. Ein BitTorrent-Crawler ermöglichte das erfassen von 50.000 Dateien, die wiederum rund 15.000 Übereinstimmungen mit den Skype-IP-Daten aufzeigten. Schließlich gelang zumindest von 400 Skype-Nutzern eine exakte Identifikation. Von fast allen Accounts waren personenbezogene Daten, wie Namen, Wohnort und das Herkunftsland öffentlich zugänglich.

Die Studie selbst wurde Ende 2010 durchgeführt. Erschwerend kommt hinzu, dass Skype bereits über diese Problematik informiert wurde, allerdings trotz Kenntnis der Sachlage keine Gegenmaßnahmen einleitete. Es erscheint nach Meinung der Wissenschaftlier zudem möglich, dass auch andere VoIP-Dienste betroffen sein können.

Quelle: scribd.com