Die National Security Agency darf wohl guten Gewissens als einer der exotischsten Einrichtungen in der Computerwelt der Neuen Welt bezeichnet werden. Der weltweit größte Arbeitgeber für Mathematiker horcht permanent mit mehreren gigantischen, weltweit installierten Horchposten (darunter zum Beispiel auch im bayerischen Bad Aibling) die wichtigsten Knotenpunkte der großen Telekommunikationsdienste ab und gilt unter Insidern als einer der größten Spionageorganisationen der Welt. (Unter anderem ist die NSA auch illustres Mitglied in der Echelon-Runde, siehe hierzu auch I-File 008.)
Da ist es nur verständlich, wieso verschlüsselte Botschaften dem NSA gar nicht so recht sind. Bei allen gängigen Verschlüsselungsverfahren ist zum Entschlüsseln ein bestimmter Schlüssel notwendig, der, wenn man den Schlüssel selbst nicht kennt, durch simples Ausprobieren gefunden werden muss. Dazu gibt es verschiedene Strategien, die aber letztendlich nicht so wichtig sind. Wichtig ist Länge des Schlüssels; je länger dieser ist, desto komplizierter und vor allem langwieriger ist die Suche nach dem richtigen Gegenstück.
Deshalb hat die US-Regierung schon frühzeitig den US-amerikanischen Verschlüsselungsunternehmen ihre eigenen Regeln per berühmt-berüchtigter Holzhammermethode eingetrichtert: Verschlüsselungssoftware darf nur bis zu einer bestimmten Schlüssellänge aus den USA für die Nutzung durch Nicht-US-Amerikaner exportiert werden. Diese maximale Schlüssellänge liegt derzeit (Stand: Juli 1999) bei 128 Bit bei Exportversionen US-amerikanischen Clientsoftware (z.B. WWW-Browsern), bzw. 40 Bit bei Serversoftware (z.B. WWW-Server).
Die Reglementierung auf Schlüssellängen von 40 Bit hat einen einfachen Grund: Bis zu dieser Schlüssellänge ist die NSA in der Lage, damit verschlüsselte Kommunikation bei Bedarf durch systematisches Ausprobieren der rechnerisch möglichen Schlüssel in annehmbare Zeit zu entschlüsseln. Mit entsprechender Rechenpower von Großrechner und Clusterformationen (System von vernetzten Rechnern) ist eine solche Brute-Force-Attack inzwischen eine Sache von wenigen Stunden geworden, so dass eine 40-Bit-Verschlüsselung gemeinhin als schwache Verschlüsselung bezeichnet wird und als unsicher gilt.
Um den Export von Verschlüsselungssoftware besser reglementieren zu können, haben die USA einen einfachen, sehr wirkungsvollen und bedenklichen Trick angewendet: Verschlüsselungssoftware wurde als Waffenmunition definiert und unterliegt damit strengsten Exportkontrollen, die unter anderem besagen, dass Verschlüsselungssoftware, die Schlüssellängen über 40 Bit unterstützen, nicht in elektronischer Form exportiert werden dürfen, weder per Download, noch per Transfer auf Datenträgern.
Eine Lücke gibt es dennoch: Der Export von "schriftlichen Dokumentationen" unterliegt nicht diesen Exportbeschränkungen. Diesen Umstand haben zum Beispiel die Entwickler der als sicher geltenden Verschlüsselungssoftware PGP genutzt und den Quellcode des kompletten Programms ausgedruckt und als normales Buch veröffentlicht. Dieses durfte ganz offiziell aus den USA ohne größere Hindernisse exportiert werden. Im Ausland wiederum wurde der Quellcode wieder eingescannt und zu einem Programm gebunden, so dass es nun zwei, technisch völlig identische Versionen von PGP gibt: Eine normale und eine internationale (erkenntlich durch den Buchstaben "i" in der Versionsnummer).
Einen anderen, legalen Weg gehen Programme, die vorhandene, dank den US-Exportrichtlinien auf schwache Verschlüsselung getrimmte, Verschlüsselungsprogramme bearbeiten und ihnen die ursprüngliche Verschlüsselungsstärke zurückgeben. Diese Programme verändern aktiv den Programmcode des Verschlüsselungsprogramms und fügen die Teile hinzu, die für die starke Verschlüsselung notwendig sind. Ein Vertreter dieser Gattung ist zum Beispiel das australische Programm "Fortify for Netscape", das in einer einmaligen Aktion einem schon installierten Netscape-Browser wieder die starke Verschlüsselung implantiert.
