Google hat Tink 1.2.0 angekündigt. Die selbst entwickelte Open-Source-Kryptobibliothek soll die Sicherheit in verschiedenen hauseigenen Projekten einfacher gewährleisten.
Die neue Version Tink 1.2.0 unterstützt “die Cloud”, I-OS und Android. Die Kryptobibliothek von Google soll laut der Ankündigung von Thai Duong verhindern, dass Googles Entwickler eigene Kryptobibliotheken selbst implementieren müssen. Hierbei ließe sich nämlich Vieles falsch machen. Mit Tink stattet Google seine Entwickler mit einer sprach- und plattformübergreifenden kryptografischen Bibliothek aus.
Tink kommt zum Beispiel in Firebase, der Android-Suche, Admob, Google Pay, Google Assistant und weiteren Projekten zum Einsatz. Die Bibliothek bietet diesen sichere, einfach zu verwendende und schwierig anzugreifende Krpyto-APIs an. Google möchte eine Community um das Projekt herum aufbauen, daher steht die Bibliothek unter der Apache-2.0-Lizenz auf Github zum Download bereit.
Sicherheitsgarantien umsetzen
Als Basis dienen unter anderem Boring SSL und die Java Cryptography Architecture, zugleich sei Tink gegen die im Projekt Wycheproof gefundenen Schwächen abgesichert. Tink unterstützt eine Schlüsselverwaltung inklusive Key Rotation und hindert den Nutzer zum Beispiel daran, Code zu verwenden, der den mehrmaligen Einsatz einer Nonce zur Folge hätte. Einige potenziell unsichere Verschlüsselungsmodi lassen sich mit Tink daher nicht verwenden. Dafür ist es möglich, neue, sichere Interfaces zu implementieren.
Tink soll zugleich besonders einfach sein. Viele kryptografische Operationen lassen sich mit ein paar Zeilen Code umsetzen. Dazu zählen etwa das Verschlüsseln und Signieren von Daten, ein Beispiel in Java liefert der Blogpost. Der Code ist so dokumentiert, dass Security-Forscher schnell bemerken, wenn der Code und die zugedachten Sicherheitsgarantien nicht zusammenpassen. Zugleich isoliert die Bibliothek APIs, die potenziell gefährliche Operationen zulassen.
