nicht angemeldet
Moin!
Hallo,
Dieses Vorhaben des TCPA-Konsortiums muss gestoppt werden, ansonsten ist auch [...] OpenSource _tot_.
Diese Aussage ist Unsinn.
Das meinst du. Ich denke darüber anders - Grund ist die de facto vorhandene Verzahnung zwischen Open Source Software und Closed Source Software.
Die Bedrohung der firmeninternen Software und damit der firmeninternen Daten bei Öffnung des Unternehmens zum Internet ist ein Fakt.
Stimmt.
Trotz aller Lästereien gegen Microsoft wird diese Bedrohung auch nicht allein dadurch gemindert, dass man auf Nicht-Microsoft-Systeme setzt. Bei entsprechender Verbreitung und damit "Distributionisierung" sowie X-Window-Erweiterung wird es auch Linux-Viren, Linux-Script-Kiddys, nicht beachete Linux-Sicherheitslöcher, Linux-X-Windows-Abstürze ... geben.
Ich möchte nur eingeschränkt zustimmen. Gewisse Szenarien wird es bei Linux von Hause aus nicht geben können, weil die Systemarchitektur dagegen ist. Gewisse andere Szenarien sind aber ebenso vorstellbar. Beispielsweise könnte es einen Mailclient für Linux geben, der genau wie Outlook HTML-Mails versteht und anzeigt und obendrein noch Javascript versteht und außerdem soviele Sicherheitslücken hat, dass man Mail-Würmer verschicken kann, die sich wie "I-Love-You" dann rasant selbst weitermailen.
Die Windows-Sicherheit wird auch zunehmen mit zunehmender Verbreitung von Windows 2000/XP. Auch dort gibt es Benutzer-Accounts, die nicht alles dürfen. Ein Virus wird also nicht mehr die Festplatte löschen können - aber sich selbst unter dem angemeldeten Benutzer in alle Himmelsrichtungen weitermailen wird auch dort gehen.
Folgende Möglichkeiten der Absicherung der Firmendaten sind, meiner Meinung nach, vorhanden:
- Verzicht auf die Internet-Anbindung des Unternehmens.
- Einsatz eines Systems, welches von vertrauenswürdigen Unternehmen abgesichert wird. Das setzt natürlich das Vertrauen in dieses Unternehmen voraus.
- Einsatz von Systemen, welche durch Fachleute innerhalb des Unternehmens abgesichet werden.
4. Einsatz von vernünftigen Firewallsystemen, die den Zugang zum Internet erlauben, aber keinen Datentransfer von innen nach außen. Ja, sowas gibts wirklich.
Außerdem: Banken kriegen es doch auch irgendwie hin, dass die Kundendaten sicher bleiben - schon heute, und schon jetzt vollkommen ohne TCPA.
zu 1. - Dass das Illusion ist, wird jeder verstehen.
Dann nimmt man eben 4.
zu 2. - Eben das ist Trusted Computing Platform Alliance. Vertrauen heißt natürlich auch: Wir wissen, dass das Unternehmen, welches uns absichert, fast alles von uns weiß.
Das ist der Werbespruch, um den Benutzern die sehr bittere Pille schmackhaft zu machen.
Die Realität wird vermutlich anders aussehen. TCPA ist primär erstmal ein Mittel der herstellenden Industrie, um die Computer _für sich_ vertrauenswürdig zu machen. Der Anwender ist ihnen vollkommen egal.
Ein Szenario einer TCPA-Anwendung wäre zum Beispiel, dass man Office-Dokumente damit schützt. So kann sich garantiert kein Macro-Virus mehr verbreiten. Hm, mal überlegen: Jeder Mensch kann Office-Dokumente herstellen. Also kann auch jeder Mensch einen Makrovirus erstellen und verbreiten. Der einzige Schutz dagegen wäre, wenn jedes Dokument eine eindeutige ID erhalten würde, und alle Office-Programme der Welt würden prüfen, ob sie gerade eine als böse bekannte Datei öffnen sollen. Und wie kriegen die ganzen Office-Programme das mit? Indem sie einen zentralen Server befragen. Woher weiß dieser Server, dass eine gewisse Datei böse ist? Weil es ihm jemand gesagt hat. Und wie läuft dieser Vorgang ab? Großes Schweigen...
Man erzeugt sich damit aber einen vollkommen unnötigen Single Point of Failure. Denn es dürfte klar sein, dass das System mißbraucht werden kann - und wird. Einerseits kann durch Interessengruppen jederzeit jede mißliebige Datei auf den Index gesetzt und so nicht mehr geöffnet werden. Sei es Microsoft, die gewisse veröffentlichte Informationen unterdrücken wollen, sei es die amerikanische Regierung, die alle irakischen Office-Dokumente sperrt, seien es Angreifer, die ihrerseits Microsoft-Dokumente sperren wollen, oder unzufriedene, entlassene Mitarbeiter von Firmen, die interne Dokumente melden und so für einen erheblichen Schaden sorgen können.
Ich gebe gerne zu: Solange TCPA und Palladium noch nicht wirklich in der realen Welt gesehen wurden, solange bleiben alle Szenarien, was passieren könnte, natürlich Spekulation. Allerdings kann ich der Argumentation, durch TCPA verliere man als Besitzer der Hardware die Macht über dieselbe, sehr viel abgewinnen. Ich will immer noch selbst entscheiden, was ich mit meiner Software und meinen Dateien machen will.
zu 3. - Hier wird mit Sicherheit Open-Source-Software zum Einsatz kommen. Ein Sicherheitsfachmann und Administrator kostet allerdings auch monatlich sein Gehalt.
Open Source wird künftig mit dem Mangel behaftet sein, mit der TCPA-Welt nur eingeschränkt kompatibel zu sein. Es wird kaum möglich sein, dass man als OpenOffice.org-Nutzer Word-Dateien erstellt und diese einem TCPA-Word-Nutzer zuschicken kann. Es könnte ja ein Virus drin sein.
Open Source, Shareware und Freeware für Windows wird es ebenfalls sehr schwer haben. Diese Software wird notgedrungen unzertifiziert sein, also nicht vertrauenswürdig. Kommerzielle Software hingegen, die ein vertrauenswürdiges System erfordert, wird nicht gemeinsam mit nicht vertrauenswürdiger Software funktionieren wollen (das dürfte z.B. auf Software-DVD-Player zutreffen, die einfach keinerlei Fremdsoftware dulden werden, um Grabbing zu verhindern).
Und wie kriegt ein Softwarehersteller seine Software zertifiziert? Wer ist dafür zuständig? Und wie umfangreich wird der Prüfprozess sein?
Böses Szenario 1: Microsoft zertifiziert Software für Windows. Dazu hat die interessierte Firma den gesamten Quellcode abzuliefern (und damit im Prinzip auch alle ihre Betriebsgeheimnisse). Microsoft-Programmierer werden dann den Code einer wirklich ausführlichen Kontrolle unterziehen, so dass derart zertifizierte Programme wirklich vertrauenswürdig sind. Das dauert aber natürlich ein Jahr. Dumm nur, dass Microsoft gerade "zufällig" ein halbes Jahr vorher ein ähnliches Programm auf den Markt bringt - das notwendige Know-How haben sie ja als Source geliefert bekommen.
Böses Szenario 2: Die Prüfung der Software geschieht durch eine beliebige Stelle, aber ohne Sourcecode, und nur oberflächlich. Geht natürlich schneller und schützt Betriebsgeheimnisse. Dann ist das Zertifikat allerdings wertlos, weil es garantiert gelingen wird, dass schlaue Hacker Programme programmieren, die auf den ersten und zweiten Blick vollkommen "harmlos" (aus Sicht der Interessengruppen, die TCPA installieren wollen) ist, aber mit einer versteckten Funktion wird aus dem simplen Texteditor dann ein DVD-Grabber - TCPA-zertifiziert und lauffähig mit allen Software-DVD-Playern. Ich bin mir eigentlich ziemlich sicher, dass das passieren wird - das DVD-CSS wurde auch als Super-Schutz entwickelt - und ist mit Bekanntwerden von DeCSS dann ziemlich schnell wirkungslos geworden.
Allerdings wird die Luft immer dünner, die Software-Angriffsmöglichkeiten auf ein hardwaremäßig gesichertes System werden schwieriger. Böse Zungen behaupten, Microsoft habe die X-Box mit dem darauf befindlichen gesicherten Betriebssystem nur als Testballon benutzt, um mal in der Praxis zu testen, wie weit sie mit Palladium schon sind. Da man auf der X-Box Linux installieren kann, muß ich sagen: Noch nicht sehr weit. Aber sie kennen jetzt die Angriffsmöglichkeiten - frei Haus geliefert durch Open Source. :)
- Sven Rautenberg
"Bei einer Geschichte gibt es immer vier Seiten: Deine Seite, ihre Seite, die Wahrheit und das, was wirklich passiert ist." (Rousseau)