Netzdepesche Ministerium fördert Open Source
Im Sicherheitsbereich bahnt sich eine weitere Runde des Kampfes "Open Source versus Standard Software" an. Führende IT-Experten warnen vor dem Einsatz von Standard-Software in sicherheitskritischen Bereichen. Das Bundeswirtschaftsministerium plant jetzt schon den Umstieg auf Open Source.
"Sicherheit in einer unsicheren Umgebung ist nicht möglich", urteilt der Dresdner Informatik-Professor Andreas Pfitzmann über alle Versuche, das Microsoft-Betriebssystem sicherer zu machen.
Tatsächlich kommt es immer wieder zu Sicherheitsproblemen bei den Produkten großer US-Software-Unternehmen: Lotus gab einen Teil seines 64-Bit-Schlüssels in Lotus Notes an die National Security Agency weiter, Microsoft versteckte einen "NSAkey" unklarer Bestimmung in seiner Krypto-Schnittstelle, der Netscape Browser erlaubt bis heute in seiner europäischen Variante nur den Gebrauch eines 40-Bit-Schlüssels für die SSL-Verschlüsselung.
"Untragbar" ist, so Rüdiger Dierstein, dass Firmen und Behörden diese Standard-Software in sicherheitskritischen Anwendungen einsetzen. Der Leiter des Präsidiumsarbeitskreises "Datenschutz und IT-Sicherheit" der Gesellschaft für Informatik (GI) warnt davor, kryptografische Funktionen, deren Sicherheit nicht nachgewiesen wurde, in sicherheitskritischen Bereichen einzusetzen. Der Grund ist einleuchtend: Allein durch die Beobachtung des Systemverhaltens ist nicht festzustellen, ob nicht doch Hintertüren bestehen und ob das Programm korrekt funktioniert.
Auch GI-Geschäftsführer Jörg Maas kritisiert, dass "nicht einmal für die kryptografischen Funktionen weit verbreiteter Standard-Software wie zum Beispiel den Windows-Betriebssystemen, dem Netscape Browser, Lotus Notes oder auch SAP R/3 dieser Nachweis bisher veröffentlicht" wurde.
Der Arbeitskreis der GI, die mit rund 19.000 Fachleuten aus allen Gebieten der Informatik der größte einschlägige Berufsverband in Deutschland ist, stellte fest, dass man auf Sicherheitsfunktionen von Standard-Software nur dann vertrauen kann, wenn man den dort eingesetzten Mechanismus auch überprüfen kann. Das ist allerdings nur möglich, wenn man den Quellcode der sicherheitsrelevanten Anteile der Software analysieren kann.
Und selbst das genügt noch nicht: Darüber hinaus muss nachgewiesen werden, dass die Integrität der aus dem Quellcode erzeugten und an den Nutzer ausgelieferten Software nicht beeinträchtigt worden ist. Um den Quellcode überprüfen zu können, muss er komplett offen gelegt werden.
Doch bei welchen Produkten ist dies der Fall? Welche Alternativen gibt es? Für den Nutzer wäre eine Liste praktisch, aus der er ersehen könnte, bei welchen Produkten der Quellcode offen liegt. "Eine solche Liste brauchen wir dringend", stimmt Dierstein zu, "aber wir haben sie noch nicht." Alternativen gibt es bislang wenig, die Liste wäre daher recht übersichtlich. Dierstein: "Im Prinzip können sicherheitsbewusste Nutzer bislang nur auf Linux zurückgreifen, da hier der Quellcode jederzeit überprüft werden kann".
Bei den Bundesbehörden gilt derzeit die Faustregel: Alles, was als "Verschlusssache - nur für den Dienstgebrauch" eingestuft ist, kann über den Informationsverbund Berlin-Bonn (IVBB) verschickt werden. Dokumente, die höher eingestuft sind, müssen per Kurier übermittelt werden. Alles andere kann auf ungeschützten Systemen gespeichert werden.
Hubertus Soquat, Referent im Bundeswirtschaftsministerium, empfiehlt grundsätzlich "die Sicherheitsfunktionalitäten der Betriebssysteme wie Zugangskontrolle, Verschlüsselung oder Signierung in sicherheitsempfindlichen Bereichen durch zusätzliche Hardware- oder Softwaremodule zu sichern". Aus diesem Grund hat sich das Bundeswirtschaftsministerium in dem "Kryptoeckwertebeschluss" vom Juni dieses Jahres auch ausdrücklich für am Markt entwickelte offene Standards eingesetzt.
Angesichts der Monopolstellung der Windows-Betriebssysteme auf Rechnern mit Intel-kompatibler Architektur scheint dies jedoch nur ein frommer Wunsch zu sein. Die Standardisierung der US-amerikanischen Systeme ist auf dem Markt deshalb so erfolgreich, da mit ihr auch die Entwicklung und Wartung vereinfacht wird. Der Aufwand für die Software verringert sich daher erst einmal, obgleich für den massenhaften Einsatz auch neue Risiken entstehen.
So warnt der GI-Arbeitskreis davor, dass Fehler und Schwachstellen verbreiteter Standard-Software globale Auswirkungen haben und die Sicherheit weiter Bereiche untergraben können. Im schlimmsten Fall könnten solche Fehler zum weltweiten Ausfall aller IT-Systeme führen, die diese Standard-Software nutzen. Der Jahr-2000-Bug ist nur einer von vielen Fehlergründen.
Unerheblich sei es dabei für den Anwender, ob sich Fehler versehentlich eingeschlichen haben oder ob sie durch bewusste Manipulation eingebracht wurden. Rüdiger Dierstein: "Bei bewusster Manipulation haben herkömmliche Verfahren der Qualitätssicherung kaum eine Chance, solche Fehler zu finden, wenn der Täter hinreichend geschickt vorgeht."
Wie ein Tropfen auf dem heißen Stein scheint daher jetzt die jüngste Aktion des Bundeswirtschaftsministeriums zu sein: Sie fördert die Verschlüsselungs-Software GnuPG , die bislang nur auf Linux einwandfrei läuft. Ziel ist es, GnuPG auch den Anwendern zur Verfügung zu stellen, die mit anderen Betriebssystemen wie Windows, Mac oder OS/2 arbeiten.
Diese Open-Source-Variante der Verschlüsselungssoftware PGP soll mit Hilfe von Fördergeldern in Höhe von 318.000 Mark zudem besser an die üblichen Mail-Programme angebunden werden. Sinnvoll ist die Förderung deshalb, weil die Entwickler von sich aus nicht bereit gewesen wären auf eigene Kosten eine Portierung auf andere Betriebssyteme vorzunehmen.
Referatsleiter Ulrich Sandl erhofft sich von dem "Krypto-Kernprojekt" eine wesentliche Anschubwirkung auf andere Bereiche: Schon im nächsten Jahr wollen Sandl und Soquat dafür sorgen, dass auch bei den öffentlichen Beschaffern mehr auf Open-Source-Produkte geachtet wird. Bislang gilt für Behörden dasselbe Prinzip wie auch sonst überall: Das Windows-Betriebssystem steht bei der Beschaffung unangefochten an Nummer eins.
Zwar wollen die US-Hersteller Microsoft, Intel, IBM, Hewlett Packard und Compaq Spezifikationen für eine sichere Computerplattform entwickeln, bis es aber soweit ist, werden vermutlich noch Jahre vergehen. Für die Europäer reicht dies vielleicht aus, um die sicheren und transparenten Open-Source-Plattformen zu ihrem Standard zu machen.
