Evaluierung und Zertifizierung - Kryptografie - page 490

gen Unternehmen genutzt wird. Dennoch ist der Anteil der evaluierten Krypto-
Produkte verglichen mit dem gesamten Markt recht klein.
Zu den Kritikpunkten an den Common Criteria gehört, dass die Kriterien
sehr technisch sind. Benutzerfreundlichkeit ist dagegen kein Kriterium, obwohl
dieser Aspekt die Sicherheit eines Computersystems maßgeblich beeinflusst. Viele
Experten bemängeln zudem, dass die Common Criteria zu sehr an einzelnen
Komponenten und zu wenig an Prozessen orientiert sind. Dieser Vorwurf ist aus
Sicht der Kryptografie insofern berechtigt, als eine sichere Komponente noch
kein sicheres Protokoll ausmacht.
Zusätzlich ist die Neutralität des Evaluators ein kritischer Punkt. Dieser hat
ein wirtschaftliches Interesse daran, dass eine Evaluierung erfolgreich verläuft, da
er vom Hersteller für seine Arbeit bezahlt wird. Dabei ist es nicht auszuschließen,
dass ein Evaluator ein Auge zudrückt, um dem zahlenden Kunden einen Gefallen
zu tun. Evaluierungsexperten verweisen jedoch zu Recht auf eine beträchtliche
Zahl begonnener, aber nicht abgeschlossener Evaluierungen. Diese Fehlversuche
belegen, dass ITSEC- und CC-Zertifikate nicht allein aus Gefälligkeit vergeben
werden.

25.3 FIPS 140

FIPS 140 ist der dritte wichtige Evaluierungsstandard im Bereich der Kryptogra-
fie. Der vollständige Name dieses Standards lautet Federal Information Proces-
sing Standards Publication 140 , die korrekte Abkürzung ist FIPS PUB 140 [FIPS-
140]. In der Branche wird jedoch meist die handlichere Bezeichnung FIPS 140
verwendet, was ich im Folgenden auch tun werde. Die aktuelle Version des Stan-
dards hat die Nummer 2 und ist 2001 erschienen. Man spricht daher auch von
FIPS 140-2.
Im Gegensatz zu ITSEC und Common Criteria ist FIPS 140 ausschließlich für
die Anwendung in der Kryptografie vorgesehen. Nichtkryptografische Sicher-
heitsprodukte wie Firewalls oder sichere Datenbanken lassen sich damit also
nicht evaluieren. Dafür lässt sich FIPS 140 sowohl auf Hardware- als auch auf
Softwarelösungen anwenden. Der Evaluationsgegenstand wird in diesem Zusam-
menhang »kryptografisches Modul« genannt.
FIPS 140 ist vor allem in den USA weit verbreitet. Dort ist für Krypto-Lösun-
gen, die von Behörden eingesetzt werden, eine FIPS-140-Evaluierung sogar vor-
geschrieben. Auch in anderen Ländern gibt es Behörden, die FIPS-140-evaluierte
Produkte nutzen, genauso wie viele Privatunternehmen. Der große Vorteil von
FIPS 140 ist sein pragmatischer Ansatz. Der gesamte Standard ist simpler aufge-
baut und verständlicher als ITSEC und Common Criteria. FIPS 140 enthält einen
sehr konkreten Katalog von Anforderungen, die ein kryptografisches Modul
erfüllen muss, um eine bestimmte Sicherheitseinstufung zu erhalten. Dabei gibt es
lediglich vier Sicherheitsstufen, die schlicht mit Stufe 1 bis Stufe 4 (auf Englisch
Level 1 bis Level 4) bezeichnet werden.