Ende-zu-Ende-Verschlüsselung in modernen Messengern

Das Signal Protocol bildet die kryptografische Grundlage von Signal, WhatsApp und anderen sicheren Messengern. Es kombiniert zwei Algorithmen: X3DH zum Herstellen eines anfänglichen gemeinsamen Geheimnisses, wenn der Empfänger offline ist, und den Double Ratchet zum Ableiten eines neuen Verschlüsselungsschlüssels für jede einzelne Nachricht. Das Ergebnis sind starke Vertraulichkeit und Forward Secrecy, die für den Nutzer transparent sind.

X3DH ermöglicht es zwei Parteien, auch dann ein gemeinsames Geheimnis herzustellen, wenn eine von ihnen offline ist. Dazu werden vier Diffie-Hellman-Berechnungen verwendet, die langfristige Identitätsschlüssel, mittelfristige signierte Prekeys und einmalig verwendbare Prekeys kombinieren. Der Server speichert die Prekeys, die der Empfänger zuvor hochgeladen hat. Der Absender führt X3DH mit diesen Schlüsseln aus, leitet ein gemeinsames Geheimnis ab und sendet eine verschlüsselte erste Nachricht, ohne darauf zu warten, dass der Empfänger online kommt.

Nachdem X3DH das anfängliche gemeinsame Geheimnis hergestellt hat, übernimmt der Double Ratchet die laufende Unterhaltung. Er kombiniert einen Diffie-Hellman-Ratchet, der bei jedem Austausch neuer DH-Schlüssel fortschreitet, mit einem symmetrischen Ratchet, der mit jeder einzelnen Nachricht fortschreitet. Jede Nachricht wird mit einem eindeutigen Schlüssel verschlüsselt, der unmittelbar nach der Verwendung gelöscht wird. Wenn also ein Nachrichtenschlüssel abgefangen wird, sind dadurch keine anderen Nachrichten gefährdet.

Forward Secrecy bedeutet: Wenn ein Angreifer heute verschlüsselten Datenverkehr aufzeichnet und später Ihren langfristigen privaten Schlüssel kompromittiert, kann er die alten Nachrichten trotzdem nicht entschlüsseln. Der Double Ratchet erreicht dies, weil die Schlüssel für einzelne Nachrichten nur kurzlebig sind und sofort gelöscht werden. Nur ein Gerät, das zum Zeitpunkt der Unterhaltung daran beteiligt war, kann vergangene Nachrichten entschlüsseln, und auch das nur, wenn sie nicht lokal gelöscht wurden.

Der Double Ratchet bietet außerdem eine Wiederherstellung nach einer Kompromittierung, die manchmal als Post-Compromise Security bezeichnet wird. Wenn ein Angreifer ein Gerät vorübergehend kompromittiert und seine aktuellen Schlüssel ausliest, erzeugt der nächste DH-Ratchet-Schritt neue Schlüssel, die der Angreifer nicht vorhersagen kann. Zukünftige Nachrichten werden ohne manuellen Eingriff wieder sicher – anders als bei Systemen, bei denen die Kompromittierung eines einzelnen Schlüssels alle nachfolgenden Nachrichten gefährdet.

Im Jahr 2016 schloss WhatsApp die vollständige Einführung der Ende-zu-Ende-Verschlüsselung nach dem Signal Protocol auf allen seinen Plattformen ab. Zu diesem Zeitpunkt waren mehr als eine Milliarde Nutzer abgedeckt. Dies war die größte Einführung von Ende-zu-Ende-Verschlüsselung in der Geschichte. Die Integration wurde in Zusammenarbeit mit Open Whisper Systems entwickelt, der Organisation hinter Signal. Die Implementierung von WhatsApp wurde unabhängig geprüft und als korrekt bestätigt.

Selbst bei verschlüsselten Inhalten verriet das Signal Protocol dem Server ursprünglich, wer wem Nachrichten sendete. Sealed Sender ist eine Erweiterung, die die Identität des Absenders innerhalb des Nachrichtenumschlags verschlüsselt. Der Server kennt dadurch nur den Empfänger, nicht den Absender. Das reduziert die Metadaten, die dem Server oder jemandem zur Verfügung stehen, der per Gerichtsbeschluss Serveraufzeichnungen anfordert. Der Empfänger entschlüsselt den äußeren Umschlag, um zu erfahren, wer die Nachricht gesendet hat.

Verschwindende Nachrichten fügen einen Timer hinzu, nach dessen Ablauf Nachrichten sowohl von den Geräten des Senders als auch des Empfängers gelöscht werden. Zusammen mit den ephemeren Schlüsseln des Double Ratchet bedeutet dies, dass selbst eine spätere forensische Untersuchung eines beschlagnahmten Geräts möglicherweise keinen wiederherstellbaren Klartext findet. Signals Funktion Note to Self und die Standardwerte für verschwindende Nachrichten fördern die minimale Datenspeicherung als Datenschutzpraxis.

Apple verwendet Ende-zu-Ende-Verschlüsselung in iMessage, wenn beide Parteien iMessage aktiviert haben, und fällt auf SMS zurück, wenn dies bei einer Partei nicht der Fall ist. iMessage speichert verschlüsselte Nachrichtenschlüssel im iCloud Keychain. Dadurch ist der Zugriff von mehreren Geräten aus möglich, gleichzeitig kann Apple technisch auf Nachrichten zugreifen, wenn das Unternehmen dazu verpflichtet wird und das iCloud-Backup aktiviert ist. Im Gegensatz zu Signal verwendet iMessage nicht den Double Ratchet und bietet daher nicht dieselben Garantien für Vorwärtssicherheit.

In einer Unterhaltung zwischen zwei Parteien ist der Double Ratchet effizient. In einer Gruppe mit N Mitgliedern muss jede Nachricht entweder separat für jedes Mitglied verschlüsselt oder ein gemeinsamer Gruppenschlüssel verwaltet werden. Die sichere Verwaltung von Gruppenschlüsseln ist komplex: Wenn ein Mitglied die Gruppe verlässt, müssen alle verbleibenden Mitglieder ihre Schlüssel aktualisieren. Dies wird als Post-Compromise Security für Gruppen bezeichnet. Das Messaging Layer Security Protocol (MLS/RFC 9420) begegnet diesem Problem mit Schlüsselaktualisierungen von logarithmischer Komplexität.

Signal ist vollständig quelloffen, erhebt nur minimale Metadaten und verwendet durchgängig das Signal Protocol. WhatsApp verwendet für Nachrichten das Signal Protocol, gehört jedoch zu Meta und erhebt umfangreiche Metadaten. Telegram verwendet das benutzerdefinierte MTProto-Protokoll nur in Secret Chats; reguläre Chats sind nicht Ende-zu-Ende-verschlüsselt und werden auf Telegram-Servern gespeichert. Für maximalen Datenschutz wird Signal mit verschwindenden Nachrichten empfohlen.

Welche Eigenschaft des Double Ratchet stellt sicher, dass das Abgreifen des Schlüssels einer Nachricht keine anderen Nachrichten offenlegt?

Das Signal Protocol kombiniert X3DH für die Offline-Schlüsselvereinbarung mit dem Double Ratchet zur Ableitung eines eigenen Schlüssels für jede Nachricht. Vorwärtssicherheit schützt vergangene Nachrichten; Wiederherstellung nach einem Einbruch schützt zukünftige Nachrichten nach einer Kompromittierung. WhatsApp hat dies 2016 in großem Maßstab eingeführt. Gruppennachrichten erfordern komplexere Protokolle zur Schlüsselverwaltung, etwa MLS. Der Schutz von Metadaten erfordert zusätzliche Techniken wie sealed sender.