Vertrauen im und in den Cyberspace

Vernetzte Computersysteme sind noch nicht sicher genug

Im Auftrag des Computer Science and Telecommunication Board wurde das Committee on Information Systems Trustworthiness, dem Experten von Firmen, Behörden und Universitäten angehören, beauftragt, einen Bericht über die Sicherheit im Cyberspace zu verfassen. Vor kurzem wurde das opulente Werk vom National Research Council veröffentlicht. Kritisiert wird darin die mangelnde Aufmerksamkeit auf Sicherheitsaspekte, und man ruft die Regierung dazu auf, sich mit Forschungsgeldern mehr zu engagieren, denn die Lage sei nicht gut und die Privatwirtschaft nicht willens, mehr dafür aufzuwenden. Erforderlich seien neue Ansätze, um zu verhindern, daß möglicherweise durch Umweltkatastrophen, Angriffe oder Bedienungsfehler ganze Netzwerke zusammenbrechen.

Die ganze Welt, aber insbesondere die USA sind mehr und mehr abhängig von vernetzten Computern zur Steuerung von Kommunikation, Transport, Energiedistribution und Finanzleistungen: "Eine Störung der Dienste kann Leben und Eigentum gefährden; die Zerstörung oder unangemessene Veränderung von Informationen kann die Arbeit von Behörden und Unternehmen unterbrechen; und die Veröffentlichung von geheimen Informationen kann Menschen in Verwirrung stürzen oder Organisationen Schaden zufügen." Neben den Bedrohungen durch Cracker oder Cyberterroristen sind die Computersysteme trotz aller Sicherheitsvorkehrungen auch durch menschliche Irrtümern, Stromausfälle oder Konstruktionsfehler gefährdet. Und gerade weil die Systeme miteinander verbunden sind, kann die Störung des einen Systems, beispielsweise des Telefonsystems, die Leistungsfähigkeit von anderen beeinträchtigen.

Das Internet jedenfalls sei bislang, so der Bericht, keineswegs sicher genug, um wirklich wichtige Systeme von ihm abhängig werden zu lassen. Vornehmlich verbesserungsbedürftig seien die Routing-Protokolle, die Authentifizierung und die Hosts. Aber auch die Versuche, in Computersysteme einzudringen oder die Kommunikation zu belauschen, nehmen ständig zu. Und da es immer mehr Benutzer gebe, die technisch nicht ausgebildet sind, können überdies mehr Menschen Störungen verursachen und zu deren Opfer werden. Die wahrscheinlich zunehmende Internet-Telefonie werde die Unsicherheit noch weiter steigern. Wenn nicht mehr Aufmerksamkeit in die Sicherheit von vernetzten Systemen fließe, werde es bald, so der Bericht, zu einer "Vertrauenskluft" zwischen den Erwartungen der Öffentlichkeit (und der Regierung) und die Möglichkeiten der vernetzten Informationssysteme kommen.

Allerdings sei die weit verbreitete Einstellung, vor allem auf die Funktionalität und nicht auf die Sicherheit von Systemen zu sehen, hinderlich. Meist ist eine größere Sicherheit auch mit einem größeren Zeitaufwand und anderen steigenden indirekten Kosten für den Benutzer verbunden. Daher greife man höchsten auf fertig angebotene Produkte wie Firewalls zurück, um sich selbst davon zu überzeugen, daß man ja genügend für die Sicherheit getan habe.

Man habe zwar, etwa mit der Einrichtung der Commission on Critical Infrastructure Protection (siehe auch den Bericht: Cybercrime, Cyberterrorism, Cyberwarfare ... Averting An Electronic Waterloo) , ein Bewußtsein über die möglichen Gefährdungen der Netzwerke geschaffen, aber die Ergreifung von Sicherheitsmaßnahmen könne nur auf den aktuellen Wissenstand zurückgreifen, und der sei nicht ausreichend. Das Ziel einer absoluten Sicherheitsphilosophie solle man zwar angesichts der Dynamik und der Komplexität der Informationstechnologien und der dabei entstehenden Kosten nicht verfolgen, weil das nicht realistisch sei, vielmehr gehe es darum, aus unsicheren Komponenten eine sicher arbeitendes Gesamtsystem zu entwickeln, das nicht nur wie heute vornehmlich auf Firewalls oder Anti-Viren-Programme basiert. Unterstrichen wird vor allem die Bedeutung der Kryptographie, was der amerikanischen Regierung wohl nicht so gut schmecken wird. Sehr verhalten wird gesagt, daß man mit den von der Regierung gewünschten Key-Recovery-Systemen noch kaum Erfahrung habe.

Wichtig sei, daß die für die Netzwerke zuständigen Menschen den Zustand eines vernetzten Informationssystems (NIS) trotz aller Komplexität erfassen, dieses steuern und Maßnahmen einleiten können, die vorhersehbare und gewünschte Folgen haben. Subsysteme, die integriert werden, müssen vorneweg getestet werden, um Implementierungsfehler zu vermeiden. Das spiele deswegen eine so große Rolle, weil überall in Systemen viele Komponenten integriert werden, die als Massenware übernommen werden, weil sie billiger sind, deren Sicherheit aber im Rahmen eines vernetzten Informationssystems unklar ist.

Auf der Ebene der Betriebssysteme schlägt die Gruppe ein genau beschränkte Zugangsmechanismen vor, so daß jeweils nur der Zugang zu dem freigegeben wird, was ein Benutzer unbedingt benötigt, um eine Aufgabe auszuführen. Massengefertigte Stangenware aber habe den Nachteil, daß sie oft nicht ausreichend auf Sicherheit überprüft worden ist, denn es kommt dabei darauf an, sie aus Wettbewerbsgründen möglichst schnell auf den Markt zu bringen. Die Überprüfung der Sicherheit würde dabei zu Verzögerungen führen. Und weil bislang große Katastrophen ausgeblieben sind, geben sich die meisten mit dem gegenwärtigen Zustand zufrieden. Durch das derzeitige "Klima der Deregulierung" würden die vernetzten Informationssysteme, aber auch die Stromnetze gar noch störungsanfälliger, denn der Kostendruck führe dazu, daß die Reservekapazitäten verkleinert und manche Notsysteme einfach abgeschafft werden. Neue Leistungsmerkmale tragen andererseits zur Komplexität bei, die die Anfälligkeit noch steigere.

Weil die Marktführung weniger Anbieter zu einer riskanten Monokultur führe, sei bei dem Ansatz, sichere Systeme aus unsicheren Komponenten zu bauen, die Vielfalt der Komponenten und fehlertolerante Computer ein ebenfalls wichtiger Ansatz. Insgesamt aber sei nicht zu erwarten, daß die Privatwirtschaft selbst mehr Geld in die Forschung stecke, um vernetzte Computersysteme von Grund auf sicherer zu machen. Daher fordert das Komitee die Regierung dazu auf, die Forschung an den Universitäten und vor allem bei der DARPA stärker zu fördern.