Vuvuzela will auch Chat-Metadaten schützen

Nicht erst seit den Snowden-Enthüllungen suchen viele Anwender nach Möglichkeiten, sicher und abhörfrei im Internet zu kommunizieren. Sehr viel versprechend ist etwa Signal von Open Whisper Systems, das eine verschlüsselte Kommunikation unter Android und Windows ermöglicht. Letztere ist derzeit allerdings nur über ein Beta-Programm mit begrenzter Teilnehmerzahl verfügbar.

Einen Schritt weiter wollen David Lazar und sein Team mit Vuvuzela gehen: Die Chat-Software soll nicht nur die eigentlichen Inhalte verschlüsseln, das machen mittlerweile viele Lösungen, sondern auch die dabei entstehenden Metadaten. Diese enthalten Informationen darüber, wer mit wem, von wo aus und wann kommuniziert. Diese Daten sind ebenfalls sehr sensibel und werden nach Aussage des früheren NSA-Directors Michael Hayden sogar dazu benutzt, Menschen zu töten („We kill people based on metadata.“).

Lazar und andere Mitarbeiter des MIT Computer Science and Artificial Intelligence Laboratory (CSAIL) haben ein Whitepaper (PDF) veröffentlicht, in dem sie Vuvuzela näher beschreiben. Nach ihren Angaben kann das System bei einer Million aktiven Nutzern 68.000 Nachrichten pro Sekunde durchschleusen – allerdings bei einer Verzögerung von 37 Sekunden. Chatten in Echtzeit dürfte damit also nicht möglich sein.

Vuvuzela soll so gut sein, dass selbst wenn nur zwei Nutzer das System nutzen, ein Angreifer nicht herausfinden kann, ob diese beiden Personen miteinander kommunizieren. Die Chat-Software schleust alle Nachrichten über mehrere Server. Jede einzelne Nachricht erhält eine Dead-Drop-Nummer (toter Briefkasten). Wenn ein Server zwei Nachrichten mit derselben Dead-Drop-Nummer empfängt, tauscht er diese aus und sendet sie wieder zurück über die anderen Server. Künstlich erzeugter Traffic soll verhindern, dass Personen identifiziert werden können, selbst wenn ein oder mehrere Server kompromittiert werden.

Bislang existiert nur ein Prototyp mit der Versionsnummer 0.1 von Vuvuzela, der in der Programmiersprache Go geschrieben wurde. Wann – und ob jemals – eine leicht einzusetzende Version erscheint, ist nicht bekannt.