18.02.2021, 11:38
Beiden Firmen hatten selber schon kompromittierten Code veröffentlicht. Da war kein technischer Mangel, der irgendwas mit Linux-Sicherheit oder Signaturen zu tun hat. Deshalb tue ich mich jetzt leider etwas schwer, da adäquat zu antworten.
Größere Firmen haben speziell gesicherte Buildsysteme, wo aus dem Quellcode die Referenz des Binärprogramms gebaut wird. Nur dieser Referenzcode wird signiert und nicht, was einzelne Entwickler vielleicht auf ihren Rechnern zum Ausprobieren bauen. Bei Solarwinds wurde dieses Buildsystem gehackt, so dass schon der Originalcode kompromittiert war.
Die Crypto AG hatte Sicherheitssoftware mit Hintertüren verkauft. Auch dort war bereits der Originalcode kompromittiert, hier sogar mit voller Absicht.
-------------
Ein anderes Problem im Zusammenhang mit Signaturen sind die Firmen, die Root-Zertifikate herausgeben. In einer globalisierten Wirtschaft können wir meistens keinen sicheren zweiten Weg herstellen, um die Echtheit eines Zertifikats festzustellen.
Heile Welt: Ich mache ein Programm, signiere es und gebe es meinem Freund. Wir treffen und in einer Kneipe und da überreiche ich einen Zettel mit dem Fingerprint von meiner Signatur.
Realität: Ich kaufe eine Signatur bei einer Firma. Die stützt sich auf bestimmte Sicherheitsfirmen ab, die Root-Zertifikate verwalten und von der Industrie als vertrauenswürdig angenommen werden. Die Computer meiner vielen unbekannten Kunden fragen nun eine dieser bekannten Signaturstellen, ob die Siganatur echt ist oder nicht.
Wenn man sich nun die Liste der Vergabestellen von Root-Signaturen anschaut, wird einem schlecht. Entsprechend können Staaten oder auch manche Konzerne eigentlich alles als echte Signatur bestätigen. Wer also eine Signatur braucht, die auch vor staatlich motivierter Kompromittierung schützt, muss selber eine eigene Signatur und einen sicheren Weg zur Prüfung etablieren, siehe "heile Welt".
Größere Firmen haben speziell gesicherte Buildsysteme, wo aus dem Quellcode die Referenz des Binärprogramms gebaut wird. Nur dieser Referenzcode wird signiert und nicht, was einzelne Entwickler vielleicht auf ihren Rechnern zum Ausprobieren bauen. Bei Solarwinds wurde dieses Buildsystem gehackt, so dass schon der Originalcode kompromittiert war.
Die Crypto AG hatte Sicherheitssoftware mit Hintertüren verkauft. Auch dort war bereits der Originalcode kompromittiert, hier sogar mit voller Absicht.
-------------
Ein anderes Problem im Zusammenhang mit Signaturen sind die Firmen, die Root-Zertifikate herausgeben. In einer globalisierten Wirtschaft können wir meistens keinen sicheren zweiten Weg herstellen, um die Echtheit eines Zertifikats festzustellen.
Heile Welt: Ich mache ein Programm, signiere es und gebe es meinem Freund. Wir treffen und in einer Kneipe und da überreiche ich einen Zettel mit dem Fingerprint von meiner Signatur.
Realität: Ich kaufe eine Signatur bei einer Firma. Die stützt sich auf bestimmte Sicherheitsfirmen ab, die Root-Zertifikate verwalten und von der Industrie als vertrauenswürdig angenommen werden. Die Computer meiner vielen unbekannten Kunden fragen nun eine dieser bekannten Signaturstellen, ob die Siganatur echt ist oder nicht.
Wenn man sich nun die Liste der Vergabestellen von Root-Signaturen anschaut, wird einem schlecht. Entsprechend können Staaten oder auch manche Konzerne eigentlich alles als echte Signatur bestätigen. Wer also eine Signatur braucht, die auch vor staatlich motivierter Kompromittierung schützt, muss selber eine eigene Signatur und einen sicheren Weg zur Prüfung etablieren, siehe "heile Welt".
