Turaya - Die offene Trusted-Computing-Sicherheitsplattform

Turaya Die offene Trusted-Computing-Sicherheitsplattform NORBERT POHLMANN UND MARKUS LINNEMANN (CC-Lizenz 2.5, s. Anh.) Mit Turaya stellt die Forschungs- und Entwicklungsgemeinschaft des Pro- jekts European Multilaterally Secure Computing Base (EMSCB) die erste vertrauenswürdige, faire und offene Sicherheitsplattform zur Verfügung, die auf Trusted-Computing-Technologie aufbaut. Sie bietet eine derart hohe Si- cherheit, dass durch sie Möglichkeiten für innovative Geschäftsmodelle und kreative Anwendungen geschaffen werden können. Das als manipulationssi- chere Komponente in der Hardware eingesetzte Trusted Platform Module (TPM) ermöglicht die zuverlässige Überprüfung der Integrität und Authenti- zität eines IT-Systems auch aus der Entfernung. Der Open-Source-Ansatz bietet die Möglichkeit, die viel diskutierte Trusted-Computing-Technologie vertrauenswürdig einzusetzen. Schlüsselwörter: EMSCB · Turaya · Trusted Platform Module 1 Einleitung Die Zahl der Angriffe auf Computersysteme durch Viren und Trojanische Pferde nimmt stetig zu. Der Zeitraum für die Ausnutzung von gerade bekannt geworde- nen Schwachstellen in Softwaresystemen liegt derzeit bei 6,4 Tagen (Barnitzke 2005) und sinkt weiter. Des Weiteren nimmt die Komplexität der Angriffe immer weiter zu (Windows IT Pro 2004), während gleichzeitig immer weniger Kenntnisse not- wendig sind, um solche Angriffe durchzuführen. Auch die starke Verbreitung von Bot-Netzen1 stellt eine nicht zu unterschätzende Bedrohung für die Betroffenen dar. 1 Bot-Netze sind Netzwerke, bestehend aus Rechnersystemen, die ohne Wissen der Besitzer unter die Kontrolle von Auÿenstehenden gebracht wurden und beispielsweise Spam-Mails versenden oder Denial-of-Service-Angriffe durchführen. Norbert Pohlmann und Markus Linnemann Angreifer durchbrechen die vorhandenen Sicherheitsmechanismen der Software- und Betriebssysteme und es stehen zur Zeit keine schärferen Sicherheitsmaÿnahmen zur Verfügung, die dieser Problematik entgegenwirken könnten. Auch zusätzliche konventionelle Sicherheitslösungen wie Firewalls oder Intrusion-Detection-Systeme (IDS)2 bieten diesbezüglich oft keinen ausreichenden Schutz. Die statischen Infra- strukturen einzeln stehender Systeme sind in den vergangenen Jahren von hetero- genen und dynamischen Netzen verdrängt worden. Dabei verschwammen die einst klaren Firmen- und Systemgrenzen, die mit herkömmlichen Sicherheitsmechanismen wie z. B. Firewalls abgesichert werden konnten. Was wäre wenn: Sie ein vertrauliches Dokument verschlüsselt an einen Kollegen sendeten, der es auf dem Flurdrucker ausdruckt und vergisst? Für solche Fälle hätten Sie gerne die Möglichkeit gehabt, das Drucken Ihres Dokuments auf fremden Rechnersystemen zu untersagen! Ein Trojanisches Pferd einen keylogger auf Ihrem Rechnersystem installierte und all Ihre Passworteingaben mitläse? Dann wollten Sie, dass Ihre sicherheits- relevanten Daten nicht unter dem Zugriff des Betriebssystems stünden! Ein Schädling die privaten Schlüssel Ihrer Zerti kate ausläse und versendete? Dann würden Sie einen sicheren Zerti katsspeicher herbeisehnen! Sich jemand als externer Mitarbeiter mit dem PDA an Ihrem Firmenserver anmeldete und gar nicht Ihr Mitarbeiter wäre? Dann wünschten Sie, dass Sie das externe Rechnersystem mit hoher Vertrauenswürdigkeit authenti zieren könnten! Sie ein Sicherheitssystem einer Firma einsetzten und herausfänden, dass es eine Hintertür eingebaut hätte? Dann würden Sie beim nächsten Mal auf ein Rechnersystem zurückgreifen, welches eindeutig und offen evaluiert werden könnte! Die dargestellten Szenarien unterstreichen die Motivation zur Realisierung einer vertrauenswürdigen, fairen und offenen Sicherheitsplattform, die im Rahmen dieses Artikels vorgestellt werden soll. 2 Anforderungen und Ziele Daten besitzen einen hohen Wert und sollten daher mit angemessenen Sicherheits- mechanismen geschützt werden. Um auf private und vertrauliche Daten zugreifen zu 2 Intrusion-Detection-Systeme sind Programme, deren Aufgabe darin besteht Einbrüche in Rechnersys- teme zu detektieren. 2 Turaya  Die offene Trusted-Computing-Sicherheitsplattform können, ist folglich eine Authenti zierung notwendig. Diese kann auf unterschiedli- che Arten durchgeführt werden und reicht vom Passwortschutz bis zur Zwei-Faktor Authenti zierung3 , z. B. mit einer SmartCard. Ein allen gemeinsames Sicherheitspro- blem bei diesen herkömmlichen Verfahren ist die Allmächtigkeit des Betriebssystems. Sobald das Betriebssystem kompromittiert wird, hat der Angreifer die volle Kontrolle über jegliche Aktion und damit auch über sämtliche Daten, zu denen auch Zugangs- daten, Zerti kate und Schlüssel gehören. Durch die Strukturen der am häu gsten ein- gesetzten Betriebssysteme ist eine echte Sicherheit nicht möglich. Dies verdeutlicht allein die Vielzahl an Sicherheits-Patches, die fortlaufend herausgegeben werden, um entdeckte Sicherheitslücken zu schlieÿen. Dies lässt den Schluss zu, dass neue Sicher- heitskonzepte notwendig sind, um eine höhere Sicherheit und Vertrauenswürdigkeit zu erreichen und trotzdem die Arbeitsfähigkeit herkömmlicher Rechnersysteme zu erhalten. Die erste Anforderung an ein vertrauenswürdiges Rechnersystem4 ist somit, dass alle bisherigen Anwendungen weiterhin genutzt werden können und zusätzlich alle sicherheitskritischen Daten geschützt werden, indem diese nicht mehr unter der Kontrolle eines herkömmlichen Betriebssystems stehen. Heutige IT-Anwendungen beschränken sich nicht mehr nur auf reine PC- und Ser- ver-Systeme von Unternehmen. Neue Geschäftsmodelle erfordern die Realisierung innovativer Anwendungen zum Beispiel auch für eingebettete Rechnersysteme. Da- zu zählen mobile Geräte, wie PDAs und Smartphones, aber auch Rechnersysteme im Automobilbereich wie Leistungssteuerungs- und Infotainment-Systeme. Die zu entwickelnde Sicherheitstechnologie muss den Anspruch erfüllen, auf einem breiten Spektrum von Rechnersystemen einsetzbar und von diesen unabhängig zu sein. Verteilte Anwendungen fordern die Vernetzung voneinander entfernter Rechner- systeme. Ein externer Mitarbeiter einer Firma greift etwa mit einem mobilen Gerät auf den gesicherten Firmenserver zu. Ist das System des mobilen Gerätes jedoch kompromittiert, so ist der Server nun ebenfalls in Gefahr. Wenn Zugangsdaten durch kriminelle Handlungen oder auch durch die Unachtsamkeit des externen Mitarbeiters in die falschen Hände geraten sind, dann ist auch der Server nicht mehr als sicher einzustufen. Einem Angreifer ist im oben beschriebenen Fall die Möglichkeit gegeben, von einem fremden Rechnersystem auf den Server zuzugreifen. Um in solchen Sze- narien wirklich eine vertrauenswürdige Verbindung etablieren zu können, muss sich demnach nicht nur der Anwender, sondern auch das Rechnersystem mit all seinen Hard- und Softwarekomponenten und seiner Kon guration authenti zieren und das System muss zusätzlich garantieren können, dass es nicht kompromittiert worden ist. Wünschenswert erscheint also eine Sicherheitsplattform, die die verwendete Soft- und Hardwarekon guration verlässlich für den Benutzer, und gegebenenfalls auch für 3 Zusätzlich zu einem Passwort wird ein Hardwarelement zur Authenti zierung verwendet. Die Zwei Faktoren sind zumeist de niert als Wissen (Bsp. PIN) und Besitz (Bsp. EC-Karte). 4 Ein vertrauenswürdiges Rechnersystem ist ein Computersystem, welches sich immer so verhält, wie sein Benutzer es von ihm erwartet und die Daten Integer und Vertraulich hält. 3 Norbert Pohlmann und Markus Linnemann seine Kommunikationspartner überprüfbar macht. Im Geschäftsverkehr agieren verschiedene Parteien mit unterschiedlichen Interes- sen und Sicherheitsstrategien: Während für Endbenutzer Datenschutzaspekte von Bedeutung sind, stellen für Unternehmen und Behörden die sichere und vertrauliche Behandlung von wichtigen Daten, sowie der Schutz der Urheberrechte und Lizenzen gegen unautorisierte Verbreitung und Nutzung relevante Aspekte dar. Um die ge- forderte Vertrauenswürdigkeit beim Austauschen von Daten zu gewährleisten, ist es notwendig, dass die Daten mit Rechten verknüpft werden können, die auf einem frem- den Rechnersystem durchsetzbar sind. Doch dürfen diese Regeln nicht mit denen des Empfängers kollidieren und trotzdem zur Ausführung gebracht werden. Ein Beispiel hierfür wäre ein Dokument, welches eine andere Person lesen darf, aber nur unter der Einschränkung, dass das Dokument weder gedruckt, noch verschickt werden kann. Zusammengefasst werden folgende Anforderungen an eine Sicherheitsplattform de niert: Überprüfbarkeit der Vertrauenswürdigkeit eines Rechnersystems Durchsetzbarkeit von Rechten auf einem entfernten Rechnersystemen im Sinne multilateraler Sicherheit Hardware- und Softwareunabhängigkeit Nutzbarkeit herkömmlicher Rechnersysteme Hohe Sicherheit und Vertrauenswürdigkeit Um diese Anforderungen in Ziele münden zu lassen, wurde das EMSCB-Kon- sortium5 gebildet, das gefördert durch das Bundesministerium für Wirtschaft und Technologie (BMWi) eine vertrauenswürdige, faire und offene Sicherheitsplattform realisiert (Sadeghi et al. 2004). Die aus diesem Konsortium heraus entstandenen und zukünftigen Sicherheitstechnologien und Ergebnisse werden unter dem Namen Tu- raya geführt. Turaya ist ein Fantasie-Name, der im Gegensatz zum Projektnamen EMSCB eingängig und leicht zu merken ist.