Neuer Sicherheitsstandard für PCs

1. Das Projekt EMSCB (European Multilaterally Secure Computing Base, www.emscb.org) hat heute auf der CeBIT die ersten kostenlosen Früchte (Codename: Turaya) seiner Forschungs- und Entwicklungsarbeit vorgestellt: Geräteverschlüsselung mit "Crypt" und Netzwerkabsicherung mit "VPN". Das ist allerdings nur die eher unspektakuläre Spitze des Eisbergs. Ziel ist es, prinzipiell unsichere Systeme plattformübergreifend zu schützen, mit einem quelloffenen und kostenlosen Sicherheitsstandard. Geschehen soll dies über einen Secure Microkernel sowie eine sichere Betriebsschicht, die sich zwischen dem (Legacy) Betriebssystem (Applikationsebene) und dem Hardware-Layer mit Systemkomponenten und einem TPM (Trusted Platform Module). Auf die Hardware-basierte TPM-Basis setzt der Security-Kernel mit dem Trusted Software-Layer und dem Ressource-Management-Layer auf, die wiederum Grundlage für Sichere Applikationen wie Crypt und VPN sein sollen. Hintergrund: Am Security-Kernel kommen nur vertrauenswürdige Prozesse vorbei, möglicherweise unsichere Anfragen arbeitet das System nicht ab.
   Die nächsten Open-Source-Tools sollen sein: FairDRM (Dezember 2006, Digital Rights Management System für den fairen Schutz persönlicher Daten), docman (Ende 2007, policybasiertes Dokumentenschutzsystem) und embsys (Ende 2007, Einsatz der Plattform in eingebetteten Multimedia-Systemen).
   Konkurrenzprodukt zu Microsofts NGSCB?
   Der Name EMSCB sei zufällig gewählt, behauptet das Projektteam. Dennoch darf man EMSCB wohl eine gewisse Konkurrenz zu NGSCB nachsagen. Doch letztlich wird die offene Security-Plattform auch offen für Microsoft-Produkte sein und diese - so die laute Hoffnung - zuverlässig und endgültig absichern. Endgültig? Naja, man wird sehen. Begrüßenswertist der Plan, ein Open-Source-Securitylayer für Desktops und Notebooks anzubieten. Denn das Open Trusted Computing-Projekt (www.opentc.net) eignet sich eher für Server und Netzwerke.
   Dr. Ulrich Sandl, Mitglied des Bundesministeriums für Wirtschaft und Technologie, das das Projekt mit 2,4 Millionen Euro unterstützt: "Trusted Computing kommt mit 60 Millionen TPMs, die Frage ist nur, wie es kommt. Unser Ziel muss sein, quelloffen in die Breite zu gehen und alle Anwender anzusprechen."
   Gegebenenfalls wird Microsoft in 3 bis 4 Jahren mit einem eigenen Secure Microkernel an den Start gehen. Prof. Pohlmann vom Institut für Internet-Sicherheit der FH Gelsenkirchen: "Wir wollen schneller sein. Microsoft ist der Bremser, die warten ab. Wir wollen die heute verfügbaren Sicherheits-Potenziale heute nutzen - und zwar plattformübergreifend über alle Systeme."
   Entwickelt wird die Turaya-Plattform zunächst unter Linux, weil dies nach Aussage des Konsortiums, dem etwa auch die Technische Universität Dresden und die Ruhr-Uni Bochum abgehören, schneller zu Ergebnissen führt. Auf jeden Fall geplant ist jedoch auch, die sicheren Applikationen und die Plattform für Windows Vista kompatibel zu machen - und zwar weitgehend unter der GPL (GNU Public License). Bis dahin müssen User wohl noch das eine oder andere Sicherheitsloch selber stopfen.

Ein umfassendes Whitpaper finden Sie als PDF unter: http://www.prosec.rub.de/Publications/SaStPo2004Web.pdf