SecurID gefährdet?

Datenklau beim Security-Spezialisten RSA

Thomas Cloer war viele Jahre lang verantwortlich für die Nachrichten auf computerwoche.de.
Er sorgt außerdem ziemlich rund um die Uhr bei Twitter dafür, dass niemand Weltbewegendes verpasst, treibt sich auch sonst im Social Web herum (auch wieder bei Facebook) und bloggt auf teezeh.de. Apple-affin, bei Smartphones polymorph-pervers.
Eigentlich geben Firmen ja viel Geld aus, um den externen Zugriff auf ihre System mit "SecureID"-Technik von RSA extra sicher zu machen.

Derzeit stellt sich allerdings die Frage, wie sicher die Zwei-Faktor-Authentifizierung der von EMC übernommenen Firma noch ist. RSA musste nämlich einräumen, dass der Firma im Zuge einer "extrem ausgefuchsten Cyber-Attacke" Daten entwendet wurden, die unter anderem auch die SecurID-Produkte betreffen.

In seinem offenen Brief an die Kundschaft schreibt RSA-Chef Art Coviello, zum jetzigen Zeitpunkt gehe man nicht davon aus, dass die gestohlenen Daten einen direkten Angriff auf SecurID-geschützte Systeme erlaube. Denkbar sei allerdings, dass im Rahmen eines breiter angelegten Angriffs die Effektivität einer aktuellen Zwei-Faktor-Authentifizierung reduziert werde. RSA kommuniziere dies gegenüber den Anwendern und erläutere dabei auch, wie sie die Sicherheit ihrer SecurID-Implementierungen unmittelbar erhöhen könnten.

Details zu dem Datendiebstahl sind nicht bekannt. Die "New York Times" zitiert den Sicherheitsexperten Whitfield Diffie mit der Vermutung, dass RSA ein "Master Key" (eine geheime sehr große Zahl, die als Teil des Verschlüsselungs-Algorithmus verwendet wird) entwendet worden sein könnte.