Abgespeckter Messenger mit zweifelhafter Verschlüsselung
Fulda – Sicherheit, Privatsphäre, Kryptografie und Offenheit. Darum geht es den Entwicklern von Cryptocat. Dabei rücken sie nur eine Funktionalität in den Fokus: Die verschlüsselte Kommunikation. Auf weitere Features, die bei der Konkurrenz für hohe Beliebtheitswerte sorgen, wird verzichtet. “Cryptocat ist der Messenger, der bei unseren bisherigen Tests die geringste Funktionalität und Flexibilität bietet”, erklärt Christian Heutger, Geschäftsführer der PSW GROUP GmbH & Co. KG, nach einem umfangreichen Test des Messengers (http://www.psw-group.de/blog/).
Die Verschlüsselungsexperten nahmen aber vor allem die Sicherheit der – nur für iOS und Browser verfügbaren – App unter die Lupe, die auf einem sehr speziellen Konzept basiert: Denn bei Cryptocat ist jeder Chat einmalig. Nutzer können morgen keinen Chat von heute fortsetzen. Der Chatverlauf wird nicht gespeichert und eine Freundesliste existiert auch nicht. Um miteinander kommunizieren zu können, müssen sich die Nutzer im Vorfeld über einen anderen Kanal – persönlich oder elektronisch und idealerweise verschlüsselt – verabreden.
Die Verschlüsselung der Chats geschieht im Hintergrund. Um Kontakte zu verifizieren, wird der digitale Fingerabdruck – jeder Nutzer bekommt seinen eigenen – verglichen. Die Cryptocat-Verschlüsselung selbst basiert auf Off-the-Record-Messaging (OTR): Für jeden Chat werden demnach neue Schlüsselpaare generiert. Das Verfahren ist auch als Perfect Forward Secrecy (PFS) bekannt und wird von Experten empfohlen, um eine Kompromittierung bereits stattgefundener, verschlüsselter Kommunikation im Nachhinein selbst bei Bekanntwerden von Schlüsseln, zu verhindern.
Aus den theoretischen Sicherheitsversprechen von Cryptocat wurden im vergangenen Jahr jedoch desaströse Sicherheitsfehler, die das eigentliche Ziel der Verschlüsselung, Chats auch im Nachhinein nicht entschlüsseln zu können, gänzlich verfehlten. “Insgesamt polarisiert Cryptocat: All jene, die von ihrem Messenger mehr erwarten als Chats, werden an der quelloffenen App keinen Gefallen finden. Damit bleiben nur noch diejenigen, denen Sicherheit das wichtigste Anliegen ist und die es nicht stört, sich vor einem Chat dafür zu verabreden”, so das Fazit von Christian Heutger.
