Cryptography Reference
In-Depth Information
25.4
Fazit und Alternativen
Keine Frage, weder eine ITSEC- noch eine Common-Criteria- noch eine FIPS-
140-Evaluierung ist ein Wundermittel. Da man Sicherheit jedoch prinzipiell nicht
messen kann, wird es wohl nie eine perfekte Lösung geben. Ein ITSEC-, CC- oder
FIPS-140-Zertifikat ist jedoch allemal besser als gar kein objektives Bewertungs-
kriterium für eine kryptografische Lösung und signalisiert immerhin, dass die Ent-
wickler alles Erdenkliche unternommen haben, um sicherheitsrelevante Schwach-
stellen zu vermeiden.
25.4.1
Open Source als Alternative
Wer ein von unabhängigen Experten geprüftes Krypto-Produkt einsetzen will,
aber keine evaluierte Lösung zur Verfügung hat, kann auf eine interessante Alter-
native zurückgreifen: Software mit offenem Quellcode. Der Vorteil hierbei ist
klar: Ein Krypto-Modul, dessen Quellcode öffentlich verfügbar ist, kann von
jedem untersucht werden. Gibt es genug Fachleute, die von dieser Möglichkeit
Gebrauch machen, dann fallen Programmierfehler und absichtlich eingebaute
Schwachstellen früher oder später auf und können behoben werden. Auch sons-
tige Sicherheitsprobleme lassen sich auf diese Weise abstellen.
Open Source
Die bedeutendste Variante von Software mit offenem Quellcode ist Open-Source-
Software. Dabei handelt es sich um Programme, die für alle frei verwendbar sind
und beliebig geändert werden dürfen. Das Betriebssystem Linux und der Browser
Mozilla Firefox, die beide mehrere Krypto-Funktionen bieten, sind die bekanntes-
ten Beispiele dafür. Die wichtigste Open-Source-Software, die ausschließlich der
Kryptografie gewidmet ist, ist das Verschlüsselungs- und Signaturprogramm
GnuPG. Die früheren Versionen von PGP waren zwar nicht Open Source, hatten
jedoch einen offengelegten Quellcode. Bei den genannten Programmen funktio-
nierte das Aufspüren von Schwachstellen durch die Community recht gut. Man
kann daher tatsächlich davon ausgehen, dass etwa GnuPG eine mit einer evalu-
ierten Software vergleichbare Sicherheit bietet.
Ist Open Source (oder zumindest offengelegter Quellcode) somit der Königs-
weg zu sicherer Software? Sicherlich nicht, denn dazu gibt es zu wenig Auswahl.
Lösungen wie PGP oder GnuPG, die über mehrere Versionen hinweg von auf-
merksamen Fachleuten begutachtet und ständig verbessert wurden, sind leider
die Ausnahme. Es gibt eben nur begrenzt viele Menschen, die sich an der Ent-
wicklung von Open-Source-Software beteiligen und vermutlich noch weniger, die
sich die Mühe machen, Quellcode zu analysieren. Dass es für spezielle Anforde-
rungen oft überhaupt keine Open-Source-Lösung gibt, dürfte ohnehin klar sein.
Für einen kommerziellen Hersteller ist die Veröffentlichung des Quellcodes auch
