Frauentechnik

Rainer , Tuesday, 02.11.2010, 04:50 (vor 5552 Tagen)

Elektronischer Personalausweis
„Sicherste Technik, die es gibt“
Der elektronische Personalausweis ist da - und wird heftig kritisiert. Die IT-Beauftragte der Bundesregierung, Cornelia Rogall-Grothe, hält die Diskussion um die Sicherheit des „ePerso“ für überflüssig. Im Interview sagt sie, er sei absolut sicher.
http://www.faz.net/s/Rub4C34FD0B1A7E46B88B0653D6358499FF/Doc~E5B412E277FE94E49AFBC392AA83D531D~ATpl~Ecommon~Scontent....

Wer hat eigentlich eine Juristin zur "Bundes-CIO" gemacht?

Früher, da war ja noch alles gut. Da war die böse Regierung noch die böse Regierung, und man konnte prima dagegen sein, aber immerhin hatte man den Eindruck, daß sie zwar böse, aber wenigstens kompetent war.

Aber diese Zeiten scheinen ganz offensichtlich vorbei zu sein. Das ist natürlich kein Grund, aufzuatmen. Mit Inkompetenz kann man mindestens genausoviel kaputt machen wie mit Bösartigkeit, vielleicht sogar noch mehr.

Jüngstes Beispiel, das diesen Mangel an Fachkompetenz an zentraler Stelle illustriert, sind die Äußerungen von Frau Cornelia Rogall-Grothe, Staatssekretärin im Innenministerium und II-Beauftragte der Bundesregierung, vulgo "Bundes-CIO", zum neuen elektronischen Personalausweis in der FAZ. Die sagt da nämlich zum Beispiel:

"Vor Schadsoftware am PC kann sich jeder wirksam schützen, indem er Virenschutzprogramme benutzt und eine Firewall installiert"

Liebe Frau Rogall-Grothe: wenn solche Programme so prima funktionieren, warum hat sich dann unsere Kanzlerin Schadsoftware aus China auf ihrem Rechner eingefangen? Wenn man nur ein paar Firewalls und Virenscanner braucht, warum dann die große Panik vor Cyberterrorismus? Oder vielleicht erklären Sie uns mal, warum zwar 99% aller Unternehmen und Behörden Firewalls und Virenscanner einsetzen, aber laut CSI Cyber Crime Survey 2009 trotzdem 64% der Unternehmen Infektionen mit Schadsoftware hatten?

Dazu kommen dann so Schoten wie

"Die gesamte Technik ist sicher"

Nein, keine Technik ist "sicher". Diese pauschale Aussage ist schon ganz pauschal falsch. Als CIO sollte man sich mit Risikomanagement auskennen und wissen, daß eine Sicherheitstechnologie die Entrittswahrscheinlichkeit und/oder die Schadenshöhe eines Risikoereignisses reduziert. Reduziert, nicht beseitigt. Wirtschaftlich sinnvoll ist eine technische Sicherheitslösung genau dann, wenn die Kosten unter dem Erwartungswert des Schadensereignisses liegt (das ist die Eintrittswahrscheinlichkeit multipliziert mit Schadenshöhe). Komplementär dazu wird ein Angreifer einen Angriff nicht durchführen, wenn die für den Angriff entstehenden Kosten höher sind als der zu erzielende Gewinn. "Die gesamte Technik ist sicher" erinnert als nicht nur äußerlich an "Die Rente ist sicher" oder "Die Asse ist sicher", es steckt dieselbe, von Sachzusammenhängen ungetrübte Propagandadenkwese dahinter.

Aber es geht weiter in dem Stil. Der nächste Kracher:

"Es gelten dieselben Sorgfaltspflichten, die bereits heute bei Internetanwendungen - etwa beim Online-Banking - zum Tragen kommen. Dazu gehört eine sichere Computerumgebung"

Online-Banking finde ich ein schönes Beispiel. Die Banken sind sich nämlich durchaus darüber im Klaren, daß all die schönen Firewalls und Virenscanner (was nach Frau Rogall-Grothe ja eine sichere Computerumgebung auszumachen scheint) das Risiko vielleicht verringern, aber keineswegs beseitigen. Mit zwei Konsequenzen: erstens übernimmt die Bank die Haftung, falls es trotz Erfüllung aller Sorgfaltspflichten zu Mißbrauch kommt (und ja, es kommt, massenhaft), zweitens beschäftigen die Banken Teams, die sich um solche Fälle kümmern und die das Löschen von Phishing-Seiten, egal wo sie betrieben werden, ungefähr um den Faktor 100 bis 1000 schneller hinbekommen, als das BKA das mit Kinderpornoseiten schafft.

Fast schon niedlich in der Naivität ist der zur Schau gestellte Glaube an Sicherheitsevaluation:

"Emulieren kann man nur, wenn man die Geheimnisse aus dem Chip auslesen könnte. Das können Sie aber nicht, weil die Schlüssel nur in einem sicherheitsevaluierten Chip vorhanden sind"

Bei den "sicherheitsevaluierten Chips" handelt es sich um Smartcard-Security-Chips, derzeit NXP SmartMX. Dieser wurde vom BSI nach Common Criteria zertifiziert, und zwar auf dem Level EAL5+. Ganz abgesehen davon, daß man sich bei CC immer fragen muß, welches Protection Profile gemeint ist, ist EAL5 auch der Level, bei dem Schutz gegen Angreifer mit "moderate attack potential" erreicht werden soll. Insbesondere im Bereich der Chipkarten haben die Pay-TV-Hacker mehrfach gezeigt, wie "high attack potential" in der Praxis aussieht. Zu glauben, bei genau dem einen Chip, den noch niemand aufgemacht hat, würde das fundamental anders aussehen, ist schon ziemlich mutig.

Und einen habe ich noch, bevor ich die Lust verliere, da weiter jede Aussage einzeln auseinanderzupflücken. Da fragt die FAZ nämlich nach "Abstrahlung bei der verwendung privater Schlüssel", also nach side channel attacks. Und die Antwort unserer Bundes-CIO ist doch glatt:

"Wir setzen aber starke Kryptographie ein. Die Sicherheit dieser kryptographischen Verfahren ist mathematisch nachgewiesen und bestätigt. Ein Mitlesen ist also nicht möglich"

[Kommentar: Beim Mitlesen ist man schon innerhalb des Schlüssels]

Da wünscht man sich echt mehr Gesicht zum Palmieren.
http://www.opendylan.org/~andreas/bundes-cio.html

Rainer

--

Kazet heißt nach GULAG jetzt Guantánamo