Kaum eine Woche vergeht, ohne dass Meldungen über neue Viren, heimtückische Würmer oder den Raub von wichtigen Daten für Schlagzeilen sorgen. Automatisch wird in diesem Zusammenhang die Forderung nach mehr Schutz für den einzelnen Anwender und Unternehmensnetze laut, geraten nicht nur auf Sicherheitslösungen spezialisierte Hersteller, sondern auch Anbieter wie Microsoft in die Kritik.
Ihnen wird unter anderem vorgeworfen, fehlerhafte und somit unsichere Software auszuliefern und überdies zu wenig für den Schutz individueller Systeme zu tun. Genau an diesem Punkt wollen einzelne Hersteller und Initiativen nun ansetzen und für Abhilfe sorgen. Dabei liegt das Hauptaugenmerk weniger auf peripheren Sicherheitslösungen wie Firewalls; vielmehr zielen die Vorhaben darauf ab, über eine Verzahnung von Hard- und Software die PCs als Plattform an sich sowie die Kommunikation zwischen verschiedenen Rechnern sicherer zu gestalten.
Sicherheit kontra Big Brother
Die Trusted Computing Platform Alliance (TCPA), zu der neben den Gründungsmitgliedern Compaq, Hewlett-Packard (HP), IBM, Intel und Microsoft inzwischen etwa 200 Unternehmen zählen, trug diesen Gedanken zum ersten Mal im Herbst 1999 an die Öffentlichkeit. Doch erst nachdem Mitte 2002 Informationen über Microsofts unter dem Codenamen Palladium vorgestelltes und mittlerweile in Next Generation Secure Computing Base (NGSCB) umbenanntes Sicherheitskonzept durchsickerten, wurde dieses Thema verstärkt öffentlich diskutiert: Während die Herstellerseite vor allem auf den möglichen Nutzen verwies, befürchteten Kritiker, dass die Anbieter solche Verfahren auch einsetzen könnten, um die Anwender stärker zu überwachen. Außerdem warnten sie, die enge Kopplung von Hard- und Software führe zu einer Einschränkung der freien Produktwahl und diene so der Monopolisierung.
Hartmut Pohl, Professor am Institut für Informationssicherheit (Isis) in Köln, ist ebenfalls gegenüber Ansätzen wie TCPA und NGSCB skeptisch. "Der zugrunde liegende Ansatz ist zwar prima, selbst wenn sich auch damit keine hundertprozentige Sicherheit erreichen lässt." Die gegenseitige Authentifizierung von Hard- und Software, wie sie die TCPA-Spezifikation vorsehe, sei aber "im Prinzip nichts Neues, sondern ein seit Anfang der 70er Jahre aus dem Militärbereich bekanntes Verfahren, um Rechner abzusichern".
Da TCPA eine Funktion beinhalte, die berechtigte Software erkennt und unberechtigte zurückweisen kann, lasse sich verhindern, dass ein Virus oder sonstiger schadensträchtiger Code zur Ausführung kommt. Der Spezialist warnt jedoch vor der Gefahr, dass TCPA- oder NGSCB-Systeme auch eingesetzt werden könnten, um zu kontrollieren, was auf dem Rechner des Anwenders geschieht, selbst wenn die Anbieter dies derzeit bestreiten.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) beobachtet die Entwicklungen um NGSCB ebenfalls. Grundsätzlich begrüße man jede Maßnahme, die zur Erhöhung der Sicherheit beitrage, erklärt BSI-Sprecher Michael Dickopf. "Wir wissen jedoch noch nicht, welche weiteren Auswirkungen NGSCB haben wird, insbesondere, ob durch dieses Verfahren der Einsatz von Open-Source-Software ausgeschlossen wird." Aus datenschutzrechtlicher Sicht wäre es zudem problematisch, wenn damit Benutzerverhalten dokumentiert oder nachverfolgt werde. Das BSI untersuche das Thema und verhandle mit Microsoft, sei aber bisher zu keiner abschließenden Beurteilung gekommen: "Aus unserer Perspektive sind die Fragen noch immer ungeklärt", so Dickopf.
Microsoft sieht sich zu Unrecht im Kreuzfeuer der Kritik. Seine NGSCB-Technik zielt darauf ab, innerhalb des Hauptspeichers von Computern eine abgeschottete Ablaufumgebung, den "Nexus", zu schaffen. Wie Gerold Hübner, Chief Security Officer von Microsoft Deutschland, in seinem White Paper "Die Microsoft Next Generation Secure Computing Base (Palladium)" darlegt, sollen eng mit dem Betriebssystem verzahnte Erweiterungen dabei zusammen mit einem fest auf die Hauptplatine gelöteten Sicherheitsmodul (System Security Component = SSC) dafür sorgen, dass NGSCB-fähige Programme auf diesen Speicherbereich zugreifen und nicht von anderen Anwendungen manipuliert werden können.
Jedem seinen Nexus?
Innerhalb des sicheren Bereichs existieren Nexus Computing Agents (NCAs), die über das Betriebssystem und den Chip berechnet und ständig auf ihre Konsistenz geprüft werden. Der Nexus wird zwar von Microsoft zur Verfügung gestellt, Benutzer oder -gruppen sollen jedoch die Möglichkeit haben, eigene Routinen zur Erzeugung dieser Ablaufumgebung zu entwickeln. Außerdem will der Hersteller die zur Programmierung der NGSCB-Umgebung erforderlichen Schnittstellen offen legen, so dass im Prinzip jeder Programmierer Software schreiben kann, die NGSCB nutzt.
NGSCB wird als Sicherheits-Feature fester Bestandteil des Windows-XP-Nachfolgers "Longhorn" sein, der voraussichtlich 2005 erscheint. Obwohl Longhorn und NGSCB auch auf älteren Rechnern laufen sollen, werden Anwender nicht um die Anschaffung neuer Geräte mit SSC herumkommen, wenn sie die zusätzlichen Sicherheitsfunktionen nutzen wollen. Der Hersteller geht davon aus, dass dies zunächst nur Firmen sein werden, die besondere Ansprüche an die Sicherheit ihrer IT stellen, etwa Banken, Versicherungen oder Behörden.
"Wir haben es hier mit einer neuen Technologie zu tun, und wenn Anwender mit dem entsprechenden Sicherheitsbedürfnis die nutzen wollen, brauchen sie eben auch neue Hardware", rechtfertigt Microsoft-Sprecher Frank Mihm. Die Hürde für die Anschaffung solcher Systeme soll niedrig gehalten werden: Mihm glaubt, dass ein NGSCB-fähiger Rechner nur etwa einen Dollar teurer sein wird als ein vergleichbares System ohne den Sicherheitsmechanismus.
Sicherheitsspezialist Pohl befürchtet jedoch, dass über die Verbreitung solcher Lösungen eine Monopolisierung gefördert und kleinere Anbieter vom Markt verdrängt werden könnten. "Solange ich diese Systeme abschalten kann, ist das wunderbar, aber wer garantiert mir, dass in Zukunft nicht ausschließlich solche Rechner miteinander kommunizieren können, die mit entsprechenden Mechanismen ausgerüstet sind?"
Microsoft tritt dem mit der Behauptung entgegen, dass niemand gezwungen werde, NGSCB einzusetzen, selbst Anwender mit NGSCB-konformen Rechnern müssten nicht zwangsläufig diese Option anschalten. Auch brauche niemand zu befürchten, dass Programme nicht mehr funktionierten. Sämtliche Applikationen, die heute im Einsatz sind, werden weiterhin laufen, beteuert der Hersteller - nur eben ohne die erweiterten Sicherheitsfunktionen, wie NGSCB sie bereitstellen soll.
Grundsätzlich Skepsis angeraten
Dennoch findet Pohl, dass Ansätzen wie TCPA oder NGSCB grundsätzlich mit Skepsis zu begegnen sei: "Ich traue keinem", bringt er seine Haltung auf den Punkt. "Was die Hersteller über die Funktionen ihrer Sicherheitssysteme behaupten, ist eine Sache, was dann tatsächlich implementiert ist, wieder etwas ganz anderes." Kein normaler Benutzer vermöge zu überprüfen, was solche komplexen Sicherheitssysteme tatsächlich tun. Nur die Prüfung durch eine unabhängige Stelle, etwa das BSI, und anhand objektiver, internationaler Bewertungskriterien wie der Common Criteria könne einen Hinweis darauf geben, dass tatsächlich nur solche Funktionen ausgeführt werden, die im Sinne des Anwenders sind.
Falls sich NGSCB durchsetzt, sind Konsequenzen für die allgemeine Softwareentwicklung zu erwarten. Microsoft geht allerdings nicht davon aus, dass es in Zukunft nur noch dazu konforme Anwendungen geben wird. Letztlich müsse jeder Hersteller die Entscheidung fällen, ob ein bestimmtes Programm NGSCB nutzt oder nicht. Was ihre eigenen Produkte betrifft, kann die Gates-Company zum jetzigen Zeitpunkt nicht abschätzen, "ob und welche NGSCB nutzen werden". Mihm hält es für unwahrscheinlich, dass von vornherein alle Anwendungen nur noch auf Basis der Sicherheitstechnologie laufen werden. Es sei langfristig jedoch "durchaus denkbar", dass neue Versionen von Microsoft-Lösungen entsprechend angepasst werden.
Prototypen im Mai
Mihm betont: "NGSCB ist eine Technologie, die noch im Fluss ist, alle Entwicklungen laufen noch." Wenn das Unternehmen auf unüberwindliche Hindernisse stoßen sollte, könnten sich selbst grundlegende Dinge noch ändern. "Davon ist im Moment aber nicht auszugehen", glaubt der Sprecher. Microsoft will auf der Windows Hardware Engineering Conference (Winhec) Anfang Mai in New Orleans erste Prototypen von NGSCB-fähigen Rechnern vorstellen. Erste praxisnahe Anwendungen beabsichtigt das Unternehmen im Oktober 2003 auf seiner Professional Developers Conference (PDC) zu zeigen. Bei dieser Gelegenheit möchte es auch ein geeignetes Software Development Kit (SDK) präsentieren.
Mit seinem NGSCB-Ansatz und der engen Integration mit dem Betriebssystem reicht Microsoft über den Ansatz der TCPA hinaus. Dem Hersteller geht deren Konzept nicht weit genug, doch es werde daran gearbeitet, wieder mit der TCPA "auf eine Linie" zu kommen. Wie Thorsten Stremlau, Thinkvantage Consultant Emea (Europa, Mittlerer Osten und Afrika) bei IBM, beschreibt, lautet das primäre Ziel von TCPA, "Großkunden eine preisgünstige und sichere Smartcard-Alternative zu bieten".
Das geschieht mit Hilfe eines "Trusted Platform Module" (TPM). Dabei handelt es sich um einen Sicherheitschip, der Krypto-Funktionen unterstützt und zum Speichern von digitalen Zertifikaten, privaten und öffentlichen Schlüsseln dient. Das TPM sei "ein passives Stück Hardware", das nichts ohne das Zutun des Anwenders mache. Außerdem lasse sich der Chip jederzeit ausschalten, wenn seine Funktionen nicht gewollt oder benötigt werden.
IBM bietet bereits seit Mitte 2002 für seine "Thinkpad"-Laptops und "Netvista"-PCs die Option, sie mit einem TPM auszuliefern. Laut Stremlau werden die Geräte vor allem von Großkunden in den Bereichen Pharmazie und Banken "sehr stark nachgefragt". Bei der Auslieferung sind deren Sicherheitschips deaktiviert. Um die Security-Funktionen nutzen zu können, muss erst noch eine vom Betriebssystem unabhängige Software, das "Security Subsystem", installiert werden. Erst dann stehen die Verschlüsselungs-Features beim Speichern von Dateien oder dem Versenden von E-Mails zur Verfügung. Nach Angaben von IBM hat der Anwender auch jederzeit die Möglichkeit, die Sicherheitsfunktion wieder abzuschalten.
Stremlau betont, dass eine Überwachung der im Chip gespeicherten Informationen nicht möglich sei, der Anwender allein habe die Kontrolle. Die Chips hätten auch keine eindeutigen Seriennummern, was ebenfalls zur Wahrung der Privatsphäre beitrage. Auch müsse für den Fall einer Hardwaremigration niemand den Verlust seiner Daten befürchten: Es sei möglich, die gespeicherten Schlüssel und Zertifikate in einem Archiv abzulegen und von einer Plattform auf eine andere zu übertragen.
Intel arbeitet unterdessen unter dem Namen "Lagrande" selbst an einer Technik, die eine Abwandlung von TCPA darstellt. Intels President und Chief Operating Officer (COO) Paul Otellini sieht darin "ein Fundament für mehr Sicherheit", weil es eine Umgebung schafft, in der Anwendungen in ihrem eigenen, geschützten Bereich ablaufen können.
Hans-Jürgen Werner, Sprecher beim TCPA-Gründungsmitglied Intel, weist in diesem Zusammenhang darauf hin, dass Lagrande nicht auf ein spezielles Betriebssystem abzielt, sondern lediglich Sicherheitsfunktionen bereitstelle, die unterschiedliche Betriebssysteme nutzen können. So soll es unter anderem in der Lage sein, die Kommunikation zwischen Tastatur, Bildschirm und Rechner zu verschlüsseln, um sie vor Missbrauch zu schützen. Intel plant, die Sicherheitstechnologie "in etwa zwei Jahren" freizugeben.
Ob die vorgestellten Ansätze geeignet sind, um tatsächlich die Sicherheit von PCs zu erhöhen, darf bezweifelt werden. Sicherheitsfachmann Pohl sieht grundsätzlich ein Risiko, das in solchen Konzepten beziehungsweise deren konkreter Umsetzung steckt. "Es ist davon auszugehen, dass wie alle Lösungen auch diese Sicherheitssysteme Fehler enthalten. Sie sind vielleicht schwerer zu finden, aber es ist denkbar, dass Kriminelle auch hier Schlupflöcher entdecken, die sie ausnutzen."
Verwirrung und Misstrauen
Wie groß das Misstrauen der Anwender gegenüber den Herstellerinitiativen ist, belegt auch eine Online-Umfrage der COMPUTERWOCHE. Dabei gaben rund 89 Prozent der Antwortenden an, dass sie TCPA oder NGSCB/Palladium nicht für geeignet halten, um die Sicherheit von Rechnern zu erhöhen. IBM-Mann Stremlau führt dieses Misstrauen auf "sehr viele Missverständnisse um TCPA" zurück, die sehr schwer auszuräumen seien. Zu oft würden TCPA, NGSCB/Palladium und das Digital-Rights-Management (DRM) "in einen Topf geworfen, obwohl sie nichts miteinander zu tun haben".
Wie groß die Verwirrung ist, belegt seiner Ansicht nach der Umstand, dass der Chaos Computer Club (CCC) auf der CeBIT 2003 Stremlau als Stellvertreter der TCPA einen Katalog mit vier Forderungen übergab, die jedoch "aufgrund von falschen Annahmen gestellt waren". Lediglich ein Verlangen, nämlich Transparenz über die Zertifizierungsmechanismen zu schaffen, sei berechtigt: Wie Stremlau erklärt, betrifft dies die Herausgabe des Algorithmus, mit dem die Berechnung der Zufallszahlen und somit der Schlüssel erfolgt. Das sei momentan noch nicht Bestandteil von TCPA, die Herstellervereinigung will dies jedoch in Betracht ziehen.
NGSCB aus Analysten-Sicht
Die Spezialisten von Gartner Dataquest sind von NGSCB bereits überzeugt. Analyst Martin Reynolds bezeichnet das Verfahren in der im vergangenen November erschienenen Technologie-Analyse "Palladium Security''s Brave New World" als eine "vom Ansatz her fundamental sichere Technologie, die geeignet ist, das Versprechen einer wirklich sicheren Umgebung innerhalb von PCs zu erfüllen". Andere Betriebssysteme könnten mit NGSCB-Agenten kommunizieren und so auf gesicherte Operationen zugreifen. Er glaubt, dass NGSCB zudem leicht unter Linux, Unix oder jedem anderen Betriebssystem zu implementieren sei, sofern Microsoft die Technik offenlege. Das hält Reynolds für wahrscheinlich, denn das Unternehmen würde sich so eine weitaus lukrativere Einnahmequelle erschließen als mit einer Begrenzung auf Windows-Plattformen. Gartner geht davon aus, dass im Jahr 2008 etwa 80 Prozent aller ausgelieferten PCs NGSCB-tauglich sein werden. Daher lautet die Empfehlung der Analysten an IT-Abteilungen, das Verfahren zu evaluieren. PC-Hersteller sollten sich hinter NGSCB stellen.
Abb: Die NGSCB-Architektur
Der Nexus stellt eine sichere Ablaufumgebung für speziell angepasste Programme dar, die diese vor Manipulationen schützen soll. Quelle: Gartner