Der freie Terminal-Client PuTTY trug seit Version 0.68 – veröffentlicht im Jahr 2017 – einen Programmierfehler mit sich herum, der Angreifern die Rekonstruktion privater SSH-Schlüssel des Typs NIST P-521 ermöglicht. Dafür müssen sie jedoch entweder ihr Opfer auf einen präparierten SSH-Server locken oder vom betroffenen Schlüssel signierte Git-Commits abfangen. Bei NIST P-521 handelt es sich um ein Verfahren der Kryptografie auf elliptischen Kurven (Elliptic Curve Cryptography, ECC).
Seit 7 Jahren, soso. Und auch noch mit elliptischen Kurven, die doch besonders sicher sein sollen.
In einem (äußerst sehenswerten!) Interview bei Tucker Carlson Network sagte Pavel Durov, Gründer der Social-Media-Plattform Telegram, kürzlich, er betrachte absolut jedes technische Gerät, mit dem er in Berührung kommt, als kompromittiert. Und nun, wenn man sich die abenteuerliche Flut von Lücken und Fehlern ansieht, die täglich in unüberschaubarer Zahl auf uns einprasseln, wird er damit wohl leider recht haben.