Nitrokey Storage erhält gute Ergebnisse durch externes Sicherheitsaudit

„Nitrokey funktioniert korrekt und sicher”

„Nitrokey funktioniert korrekt und sicher” - Dies ist eine der finalen Ergebnisse einer intensiven Sicherheitsprüfung, die von Sicherheitsexperten der Auditierungsfirma Cure53 durchgeführt wurde. Ein Team von Experten in Software- und Hardwaresicherheit unter Leitung von Dr.-Ing. Mario Heiderich analysierte über eine Dauer von elf Tagen die Hardware und Firmware des Nitrokey Storage sowie die der Nitrokey App. Das Sicherheitsaudit wurde großzügigerweise durch den Open Technology Fund gefördert, dem wir an dieser Stelle herzlich danken. Der finale Bericht kann hier heruntergeladen werden (Firmware, Hardware).

Aktualisierung, 24.6.2016: Anders als im Bericht beschrieben, verhindert an aktiviertes Sicherheitsbit jede Firmwareaktualisierung. Daher ist das Sicherheitsbit standardmäßig deaktiviert und kann durch den Benutzer aktiviert werden. Hinweis: Dies verhindert alle zukünftigen Firmwareaktualisierungen und kann nicht rückgängig gemacht werden! Sobald wir sicher sind, dass keine Firmwareaktualisierungen nötig sein werden, werden wir prüfen das Bit standardmäßig zu aktivieren.

„Nitrokey hat viel Potential”

Cure53 führte eine detaillierte Überprüfung des Nitrokey Storage durch und bestätigt: „Nitrokey stellt unter den Ansätzen, die nach mehr Benutzer-Privatsphäre, Datenschutz und Manipulationssicherheit streben, eine interessante Idee dar. Im Gegensatz zu ausschließlichen Softwareprodukten, ist der Nitrokey in der Lage korrekt und sicher zu funktionieren, selbst wenn der angeschlossene Computer mit Schadsoftware infiziert ist oder ähnliche Probleme hat.”

Wann wird Nitrokey Storage erhältlich sein?

Die guten Auditergebnisse von Cure53 sind ein motivierendes Feedback für unser ganzes Team und stellen einen wichtigen Meilenstein im Entwicklungsprozess dar. Von nun an wird sich die Entwicklung auf nicht-Sicherheits-relevante Bereiche fokussieren, wie z.B. die Stabilität der USB-Schnittstelle, Benutzerfreundlichkeit der App und auf die Entwicklung eines neuen Gehäuses. Nach wie vor benötigen wir Deine Unterstützung um unsere tolle Nitrokey-Community zu vergrößern und somit den Nitrokey Storage veröffentlichen zu können.

Dich könnte auch interessieren wann wird Nitrokey Storage erhältlich sein?

2.10.2015

Comments

Submitted by Anonymous on 24. Oktober 2015 - 3:18

When will i be able to buy one online?

Submitted by Jan Suhr on 26. Oktober 2015 - 20:12

See https://www.nitrokey.com/news/2015/when-will-nitrokey-storage-be-available

Submitted by Jan Suhr on 20. November 2016 - 7:43

The devices can be purchased in our online shop.

Submitted by Goran on 19. November 2016 - 10:01

Hello, can you please clarify the situation with the 3 critical (and perhaps also the 2 high) vulnerabilities listed in the Cure53 pentest report dated 8.2015? Have these been addressed already and if yes - in which models/versions? If not - what is the plan and how is the risk associated to these be managed? Thanks

Submitted by Jan Suhr on 20. November 2016 - 7:42

Most issues contain a note at the end such as: "Note: This issue was fixed by the Nitrokey maintainers, the fix was verified by Cure53." Please check.

Submitted by Goran on 23. November 2016 - 10:17

Yes, I checked, it is indeed the case. Thanks for a quick reply and it is good and reassuring to see that Nitrokey has managed to fix these issues. Regards

Submitted by Pedro on 14. Dezember 2016 - 0:26

Hi, the report says that the vulnerabilities were fixed but it doesn't specify how. Can you specify how each vulnerability was fixed?

Submitted by Jan Suhr on 16. Dezember 2016 - 21:19

This would be a report of its own which we can't do just now. But you should be able to find related fixes in our source code repository. If you have specific questions to a particular issue, you can ask here.

Submitted by Daniel Querzola on 5. Dezember 2019 - 13:44
Hello, for an opensource project I would expect the full report to be published. Kind regards
Submitted by Jan Suhr on 5. Dezember 2019 - 13:54
Yes, it's published in this article read "The final report can be downloaded here (firmware, hardware)" above.
Submitted by Daniel Querzola on 5. Dezember 2019 - 13:57
Who can read is clearly in the frontpart ;) Spaß beiseite, jokes aside, thank you very much!
Submitted by Anonymous on 13. Oktober 2026 - 16:56
Dear Jan, Have the below issues from the report been fixed and have software development processes and diligence improved since? (unused code, duplicate implementations, planned removals not happening). In other words, would a new Cure53 audit have the same paragraph below again? If not, this would increase my trust in your products. Many thanks for clarifying in advance. "The test identified several parts of the code that are unused, several duplicate implementations of the same feature, as well as interfaces that were planned to be removed entirely yet still reside in the inspected sources, with full or partial presence."
Submitted by meissner on 20. Oktober 2026 - 12:58
Hey, as you might know this is a 10+years old report and Nitrokey has for all these product successors nowadays - so these products are in maintenance mode, which means: we will (and have before) fix critical security issues, but unreachable/unused code does not qualify as such. The current generation Nitrokeys are all successors and he are confident that the code quality has massively improved since.
Submitted by Anonymous on 25. Oktober 2026 - 12:12
Ok, that's reassuring to know. Many thanks for your answer!

Add new comment

Fill in the blank.