nicht angemeldet
WICHTIG: TCPA, Palladium & Co.
Hallo zusammen,
Nachträglich noch ein "Frohes Neues Jahr" ;)
Ich wollte Euch kurz auf eine Website aufmerksam machen, die sich des Themas TCPA, Palladium & Co. angenommen hat.
--> http://www.againsttcpa.com
TCPA ist ein Konsortium von z.Z. ca. 190 Hard- und Software-Unternehmen, das sich zum Ziel gesetzt den PC-Gebrauch sicherer zu machen.
Allerdings wird verschwiegen, dass die vorgesehenen Maßnahmen zur absoluten Kontrolle über _jeden_ PC führen.
Gegründet wurde das Konsortium 1999 von Microsoft, Compaq, HP, Intel und IBM.
Auf der Website findet Ihr eine Liste der TCPA-Member, die zuletzt öffentlich zugänglich war, seit dem ist die Liste beim Konsortium Passwort-geschützt. Dies alleine spricht schon für sich.
Einen kurzen Überblick zu TCPA gibt es unter:
--> http://www.againsttcpa.com/download/AgainstTCPA-Infoblatt_DE.pdf
Mittlerweile haben über 2000 User und über 450 Websites Ihre Meinung zu dem Thema kund getan.
Das Forum enthält bereits über 550 Beiträge:
--> http://www.againsttcpa.com/forum/index.php
Unter
--> http://www.againsttcpa.com/download.html
findet Ihr eine 3-stündige Radiosendungsaufzeichnung des ChaosRadios mit dem ChaosComputerClub, Berlin.
In diesem Interview werden _alle_ möglichen Themen zu TCPA & Co. erörtert.
Diese Aufzeichnung sollte Pflicht für _jeden_ PC-User sein.
Brennt nach Möglichkeit davon eine CD und reicht sie weiter bzw. leiht sie aus.
Ich würde mich freuen, wenn Ihr Euch und andere über TCPA & Co. informieren würdet, da dies ein uns alle betreffendes Thema ist.
Dieses Vorhaben des TCPA-Konsortiums muss gestoppt werden, ansonsten ist auch Freeware, Shareware und OpenSource _tot_.
Ciao
FoSsi aka Papillon
-
use Mosche;
[TCPA]
Gegründet wurde das Konsortium 1999 von Microsoft, Compaq, HP, Intel und IBM.Dieses Vorhaben des TCPA-Konsortiums muss gestoppt werden, ansonsten ist auch [...] OpenSource _tot_.
Eins verstehe ich nicht: IBM hat ja gerade erst viel Geld in "Open-Source" (Linux, Apache, ...) gesteckt. Warum untergraben sie dies mit TCPA?
use Tschoe qw(Matti);
--
Anyone who quotes me in their sig is an idiot. -- Rusty Russell.-
Hallo,
Dieses Vorhaben des TCPA-Konsortiums muss gestoppt werden, ansonsten ist auch [...] OpenSource _tot_.
Diese Aussage ist Unsinn.
Die Bedrohung der firmeninternen Software und damit der firmeninternen Daten bei Öffnung des Unternehmens zum Internet ist ein Fakt. Trotz aller Lästereien gegen Microsoft wird diese Bedrohung auch nicht allein dadurch gemindert, dass man auf Nicht-Microsoft-Systeme setzt. Bei entsprechender Verbreitung und damit "Distributionisierung" sowie X-Window-Erweiterung wird es auch Linux-Viren, Linux-Script-Kiddys, nicht beachete Linux-Sicherheitslöcher, Linux-X-Windows-Abstürze ... geben.
Folgende Möglichkeiten der Absicherung der Firmendaten sind, meiner Meinung nach, vorhanden:
1. Verzicht auf die Internet-Anbindung des Unternehmens.
2. Einsatz eines Systems, welches von vertrauenswürdigen Unternehmen abgesichert wird. Das setzt natürlich das Vertrauen in dieses Unternehmen voraus.
3. Einsatz von Systemen, welche durch Fachleute innerhalb des Unternehmens abgesichet werden.zu 1. - Dass das Illusion ist, wird jeder verstehen.
zu 2. - Eben das ist Trusted Computing Platform Alliance. Vertrauen heißt natürlich auch: Wir wissen, dass das Unternehmen, welches uns absichert, fast alles von uns weiß.
zu 3. - Hier wird mit Sicherheit Open-Source-Software zum Einsatz kommen. Ein Sicherheitsfachmann und Administrator kostet allerdings auch monatlich sein Gehalt.
Es wird also, aus Unternehmersicht, auf folgenden Kosten-Nutzen-Vertrauens-Vergleich hinaus laufen:
Bezahle und vertraue ich ein/einem Unternehmen, welches meine Daten sichert?
Bezahle und vertraue ich einen/einem Mitarbeiter, der das für mich erledigt?Eins verstehe ich nicht: IBM hat ja gerade erst viel Geld in "Open-Source" (Linux, Apache, ...) gesteckt. Warum untergraben sie dies mit TCPA?
Das tun sie nicht (siehe oben). Sie halten eben zwei mögliche Systeme vor.
Gruß
Axel
-
Moin!
Hallo,
Dieses Vorhaben des TCPA-Konsortiums muss gestoppt werden, ansonsten ist auch [...] OpenSource _tot_.
Diese Aussage ist Unsinn.Das meinst du. Ich denke darüber anders - Grund ist die de facto vorhandene Verzahnung zwischen Open Source Software und Closed Source Software.
Die Bedrohung der firmeninternen Software und damit der firmeninternen Daten bei Öffnung des Unternehmens zum Internet ist ein Fakt.
Stimmt.
Trotz aller Lästereien gegen Microsoft wird diese Bedrohung auch nicht allein dadurch gemindert, dass man auf Nicht-Microsoft-Systeme setzt. Bei entsprechender Verbreitung und damit "Distributionisierung" sowie X-Window-Erweiterung wird es auch Linux-Viren, Linux-Script-Kiddys, nicht beachete Linux-Sicherheitslöcher, Linux-X-Windows-Abstürze ... geben.
Ich möchte nur eingeschränkt zustimmen. Gewisse Szenarien wird es bei Linux von Hause aus nicht geben können, weil die Systemarchitektur dagegen ist. Gewisse andere Szenarien sind aber ebenso vorstellbar. Beispielsweise könnte es einen Mailclient für Linux geben, der genau wie Outlook HTML-Mails versteht und anzeigt und obendrein noch Javascript versteht und außerdem soviele Sicherheitslücken hat, dass man Mail-Würmer verschicken kann, die sich wie "I-Love-You" dann rasant selbst weitermailen.
Die Windows-Sicherheit wird auch zunehmen mit zunehmender Verbreitung von Windows 2000/XP. Auch dort gibt es Benutzer-Accounts, die nicht alles dürfen. Ein Virus wird also nicht mehr die Festplatte löschen können - aber sich selbst unter dem angemeldeten Benutzer in alle Himmelsrichtungen weitermailen wird auch dort gehen.
Folgende Möglichkeiten der Absicherung der Firmendaten sind, meiner Meinung nach, vorhanden:
- Verzicht auf die Internet-Anbindung des Unternehmens.
- Einsatz eines Systems, welches von vertrauenswürdigen Unternehmen abgesichert wird. Das setzt natürlich das Vertrauen in dieses Unternehmen voraus.
- Einsatz von Systemen, welche durch Fachleute innerhalb des Unternehmens abgesichet werden.
4. Einsatz von vernünftigen Firewallsystemen, die den Zugang zum Internet erlauben, aber keinen Datentransfer von innen nach außen. Ja, sowas gibts wirklich.
Außerdem: Banken kriegen es doch auch irgendwie hin, dass die Kundendaten sicher bleiben - schon heute, und schon jetzt vollkommen ohne TCPA.
zu 1. - Dass das Illusion ist, wird jeder verstehen.
Dann nimmt man eben 4.
zu 2. - Eben das ist Trusted Computing Platform Alliance. Vertrauen heißt natürlich auch: Wir wissen, dass das Unternehmen, welches uns absichert, fast alles von uns weiß.
Das ist der Werbespruch, um den Benutzern die sehr bittere Pille schmackhaft zu machen.
Die Realität wird vermutlich anders aussehen. TCPA ist primär erstmal ein Mittel der herstellenden Industrie, um die Computer _für sich_ vertrauenswürdig zu machen. Der Anwender ist ihnen vollkommen egal.
Ein Szenario einer TCPA-Anwendung wäre zum Beispiel, dass man Office-Dokumente damit schützt. So kann sich garantiert kein Macro-Virus mehr verbreiten. Hm, mal überlegen: Jeder Mensch kann Office-Dokumente herstellen. Also kann auch jeder Mensch einen Makrovirus erstellen und verbreiten. Der einzige Schutz dagegen wäre, wenn jedes Dokument eine eindeutige ID erhalten würde, und alle Office-Programme der Welt würden prüfen, ob sie gerade eine als böse bekannte Datei öffnen sollen. Und wie kriegen die ganzen Office-Programme das mit? Indem sie einen zentralen Server befragen. Woher weiß dieser Server, dass eine gewisse Datei böse ist? Weil es ihm jemand gesagt hat. Und wie läuft dieser Vorgang ab? Großes Schweigen...
Man erzeugt sich damit aber einen vollkommen unnötigen Single Point of Failure. Denn es dürfte klar sein, dass das System mißbraucht werden kann - und wird. Einerseits kann durch Interessengruppen jederzeit jede mißliebige Datei auf den Index gesetzt und so nicht mehr geöffnet werden. Sei es Microsoft, die gewisse veröffentlichte Informationen unterdrücken wollen, sei es die amerikanische Regierung, die alle irakischen Office-Dokumente sperrt, seien es Angreifer, die ihrerseits Microsoft-Dokumente sperren wollen, oder unzufriedene, entlassene Mitarbeiter von Firmen, die interne Dokumente melden und so für einen erheblichen Schaden sorgen können.
Ich gebe gerne zu: Solange TCPA und Palladium noch nicht wirklich in der realen Welt gesehen wurden, solange bleiben alle Szenarien, was passieren könnte, natürlich Spekulation. Allerdings kann ich der Argumentation, durch TCPA verliere man als Besitzer der Hardware die Macht über dieselbe, sehr viel abgewinnen. Ich will immer noch selbst entscheiden, was ich mit meiner Software und meinen Dateien machen will.
zu 3. - Hier wird mit Sicherheit Open-Source-Software zum Einsatz kommen. Ein Sicherheitsfachmann und Administrator kostet allerdings auch monatlich sein Gehalt.
Open Source wird künftig mit dem Mangel behaftet sein, mit der TCPA-Welt nur eingeschränkt kompatibel zu sein. Es wird kaum möglich sein, dass man als OpenOffice.org-Nutzer Word-Dateien erstellt und diese einem TCPA-Word-Nutzer zuschicken kann. Es könnte ja ein Virus drin sein.
Open Source, Shareware und Freeware für Windows wird es ebenfalls sehr schwer haben. Diese Software wird notgedrungen unzertifiziert sein, also nicht vertrauenswürdig. Kommerzielle Software hingegen, die ein vertrauenswürdiges System erfordert, wird nicht gemeinsam mit nicht vertrauenswürdiger Software funktionieren wollen (das dürfte z.B. auf Software-DVD-Player zutreffen, die einfach keinerlei Fremdsoftware dulden werden, um Grabbing zu verhindern).
Und wie kriegt ein Softwarehersteller seine Software zertifiziert? Wer ist dafür zuständig? Und wie umfangreich wird der Prüfprozess sein?
Böses Szenario 1: Microsoft zertifiziert Software für Windows. Dazu hat die interessierte Firma den gesamten Quellcode abzuliefern (und damit im Prinzip auch alle ihre Betriebsgeheimnisse). Microsoft-Programmierer werden dann den Code einer wirklich ausführlichen Kontrolle unterziehen, so dass derart zertifizierte Programme wirklich vertrauenswürdig sind. Das dauert aber natürlich ein Jahr. Dumm nur, dass Microsoft gerade "zufällig" ein halbes Jahr vorher ein ähnliches Programm auf den Markt bringt - das notwendige Know-How haben sie ja als Source geliefert bekommen.
Böses Szenario 2: Die Prüfung der Software geschieht durch eine beliebige Stelle, aber ohne Sourcecode, und nur oberflächlich. Geht natürlich schneller und schützt Betriebsgeheimnisse. Dann ist das Zertifikat allerdings wertlos, weil es garantiert gelingen wird, dass schlaue Hacker Programme programmieren, die auf den ersten und zweiten Blick vollkommen "harmlos" (aus Sicht der Interessengruppen, die TCPA installieren wollen) ist, aber mit einer versteckten Funktion wird aus dem simplen Texteditor dann ein DVD-Grabber - TCPA-zertifiziert und lauffähig mit allen Software-DVD-Playern. Ich bin mir eigentlich ziemlich sicher, dass das passieren wird - das DVD-CSS wurde auch als Super-Schutz entwickelt - und ist mit Bekanntwerden von DeCSS dann ziemlich schnell wirkungslos geworden.
Allerdings wird die Luft immer dünner, die Software-Angriffsmöglichkeiten auf ein hardwaremäßig gesichertes System werden schwieriger. Böse Zungen behaupten, Microsoft habe die X-Box mit dem darauf befindlichen gesicherten Betriebssystem nur als Testballon benutzt, um mal in der Praxis zu testen, wie weit sie mit Palladium schon sind. Da man auf der X-Box Linux installieren kann, muß ich sagen: Noch nicht sehr weit. Aber sie kennen jetzt die Angriffsmöglichkeiten - frei Haus geliefert durch Open Source. :)
- Sven Rautenberg
--
"Bei einer Geschichte gibt es immer vier Seiten: Deine Seite, ihre Seite, die Wahrheit und das, was wirklich passiert ist." (Rousseau)-
Hi Sven,
Open Source wird künftig mit dem Mangel behaftet sein, mit der TCPA-Welt nur eingeschränkt kompatibel zu sein. Es wird kaum möglich sein, dass man als OpenOffice.org-Nutzer Word-Dateien erstellt und diese einem TCPA-Word-Nutzer zuschicken kann. Es könnte ja ein Virus drin sein.
das ist bisher aber auch schon der Fall. Und deshalb macht man so etwas einfach nicht. Wenn man Daten versenden will, dann versendet man eben Daten und keine Anwendungen. Also XML und kein WinWord-Format. Irgendwann werden das die Firmen schon noch begreifen.
Es spricht m. E. nicht gegen Open-Source-Anwendungen, sondern gegen das unsinnnigerweise zu mächtige Dateiformat von Word, welches eben Makro-Viren enthalten kann. Könnte man zwischen makrofähigen und nicht makrofähigen Dateiformaten (!) in Word automatisch unterscheiden, dann könnte Word (und zwar jedes Word von jedem Hersteller!) beim Laden einer solchen Datei feststellen, ob es das gefahrlos tun darf oder nicht.
Dann würde sich für den Austausch von Dateien möglicherweise das "abgemagerte" Format durchsetzen (beispielsweise, weil nur dieses den Weg durch die Firewall bzw. den Virenfilter überlebt). Der Anwender müßte dann halt den Unterschied zwischen diesen beiden Formaten begreifen - und sein Mail-Client sollte in der Lage sein, beim Versenden ein Attachment ggf. zu konvertieren (und den Anwender dies bestätigen zu lassen - es könnte ja sein, daß dieses besondere Dokument tatsächlich nur mit Makros 'funktioniert').Der Design-Fehler ist meiner Meinung nach, daß Word in 100% aller Dokumente Makros erlaubt, wobei der Anteil derjenigen Dokumente, welche tatsächlich Makros brauchen, wahrscheinlich ziemlich niedrig ist (allein schon deshalb, weil der typische Word-DAU gar keine Makros schreiben kann!). Und für diese Minderheit von Anwendern, die ihrerseits aber wissend genug wären, mit unterschiedlichen Dateiformaten umzugehen, werden die restlichen 9x% der Virengefahr ausgesetzt.
Das Problem mit den M$-Produkten ist nun mal die politische Zielsetzung der Firma, der Sicherheit weniger wichtig ist als die Bedienbarkeit für die DAUs. Schon jetzt könnte M$-Word ja so funktionieren, daß es beim Öffnen eines Dokuments immer (!) warnt, daß da Makros drin sind (oder das Öffnen in bestimmten Fällen sogar komplett verhindert). Darüber werden sich aber irgendwelche Anwender aufregen und das abstellen wollen.
Womit wir letzten Endes dort angelangt sind, wo das Problem eigentlich liegt: Am mangelnden Problembewußtsein der Anwender. Die wollen nämlich Sicherheit nicht leben, sondern "kaufen" - sie wollen ihren schlampigen Arbeitsstil nicht aufgeben, sie wollen nicht nachdenken müssen, sie wollen nicht für ihre eigenen Handlungen verantwortlich sein.
Und solange sich daran nichts ändern, sehe ich für _kein_ Software-Verfahren der Welt eine Chance, das Viren-Problem in den Griff zu bekommen.Open Source, Shareware und Freeware für Windows wird es ebenfalls sehr schwer haben. Diese Software wird notgedrungen unzertifiziert sein, also nicht vertrauenswürdig.
In meinem obigen Szenario ist es gar nicht mehr die Software, die vertrauenswürdig sein muß - ich halte diesen Ansatz schon für verkehrt.
Viele Grüße
Michael--
T'Pol: I apologize if I acted inappropriately.
V'Lar: Not at all. In fact, your bluntness made me reconsider some of my positions. Much as it has now.-
Moin!
Könnte man zwischen makrofähigen und nicht makrofähigen Dateiformaten (!) in Word automatisch unterscheiden, dann könnte Word (und zwar jedes Word von jedem Hersteller!) beim Laden einer solchen Datei feststellen, ob es das gefahrlos tun darf oder nicht.
RTF - ein schönes, von Word beherrschtes Dateiformat, welches sich für den Dokumentenaustausch sehr gut eignet. Word registriert sich bei seiner Installation sogar automatisch als zuständige Applikation für dieses Format. Man muß es nur noch beim Speichern erzeugen.
Außerdem fallen bei diesem Format so unangenehme Dinge wie "vorherige Zustände des Dokuments sichtbar machen" weg. DOC-Dateien speichern ja unangenehmerweise alte Bearbeitungsstände - deshalb sind die Dateien auch so groß. Und wenn, was ja von mit Word nicht so vertrauten Benutzern gerne gemacht wird, eine Datei für verschiedene Zwecke immer wieder umgearbeitet wird, dann sammeln sich da einige interessante Informationen an. Wenn beispielsweise eine Word-Datei als Vorlage für ein neues Angebot genutzt wird, und man die Tagessätze für den neuen Kunden erhöht und ihm das Angebot dann zumailt, könnte er diese Änderung sehen - er sieht erstens, was er bezahlen soll, und was andere bezahlen, außerdem kriegt er wahrscheinlich auch raus, _wer_ den günstigeren Satz zahlt, und auf diese Weise hätte er dann genügend Munition, um nochmal über den Preis zu verhandeln.
Open Source, Shareware und Freeware für Windows wird es ebenfalls sehr schwer haben. Diese Software wird notgedrungen unzertifiziert sein, also nicht vertrauenswürdig.
In meinem obigen Szenario ist es gar nicht mehr die Software, die vertrauenswürdig sein muß - ich halte diesen Ansatz schon für verkehrt.
Die Idee von TCPA und Palladium ist nicht, dass es dem Anwender besser geht, sondern dass es der Industrie besser geht. Nicht du sollst künftig deinem PC besser vertrauen können, sondern _die_ wollen deinem PC vertrauen können, indem du nur noch das machen kannst, was _die_ erlauben wollen. Oder du bleibst eben von gewissen Dingen ausgesperrt.
- Sven Rautenberg
--
"Bei einer Geschichte gibt es immer vier Seiten: Deine Seite, ihre Seite, die Wahrheit und das, was wirklich passiert ist." (Rousseau)
-
-
HAllo,
Dieses Vorhaben des TCPA-Konsortiums muss gestoppt werden, ansonsten ist auch [...] OpenSource _tot_.
Diese Aussage ist Unsinn.Je nach dem wie die Kosten für eine Zertifizierung sind werden viele Sharewareprogrammierer vom Markt verschwinden. Das betrifft zwar keine grossen OpenSource Projekte, aber auch da wird man sich überlegen woher das Geld kommt.
Die Bedrohung der firmeninternen Software und damit der
[...]
ist zwar alles richtig, aber nicht neu.
Und wenn durch einen Bug in Outlook "I-Love-You" o.ä. ausgeführt wird, ist es eben Outlook der dieses Programm ist. Da nützt keine Zertifizierung.
By
Reinhard
-
-
-
hi
Dieses Vorhaben des TCPA-Konsortiums muss gestoppt werden, ansonsten ist auch Freeware, Shareware und OpenSource _tot_.
wenn TCPA wirklich in voller "Pracht" und als Pflicht auf den Markt kommt, dann ist es das Ende _jeder_ Software-Weiterentwicklung. Nichtmal Microsoft kann es sich leisten, jeden Test-Build TCPA-Zertifizieren zu lassen.
Grüße aus Bleckede
Kai
-
HAllo,
Nichtmal Microsoft kann es sich leisten, jeden Test-Build TCPA-Zertifizieren zu lassen.
Wieso, die kassieren doch :-)
Ansonsten kann man Zertifizierungen
a) teuer
b) nur für einen Rechner
c) Zeitlich begrenzt
und dann dafür
pauschal alle Programme zertifizieren-> Entwicklung wird teuer, ist aber möglich
Shareware und andere Hobbyentwickler beleiben natürlich drausen.
By
Reinhard
-