Security through Obscurity – Eine Ergänzung für die IT-Sicherheit?

Können wir uns besser verteidigen, wenn der Angreifer nicht weiss, wie wir das tun? Wenn es Prinzipien in der Kryptographie oder generell dem Aufbau sicherer Systeme gibt, die omnipräsent sind, dann sind es das Kerckhoffs‘ Prinzip und das Festungsprinzip. Ein neues Paper von Dusko Pavlovic unter dem Titel Gaming Security through obscurity könnte unsere Sicht auf sichere Systeme verändern. Es schlägt Strategien vor, sich vor einem Angreifer durch Verschleierung zu schützen.

Um den Ansatz von Pavlovic zu verstehen, muss man sich die Grundsätze der beiden bestehenden Prinzipien vor Augen halten:

Kerckhoffs‘ Prinzip: Das System darf keine Geheimhaltung erfordern.
Das führt zum Grundsatz, dass der Angreifer jeden Teil eines kryptographischen Systems kennen darf, jedoch nicht den geheimen Schlüssel. Die Annahme ist, dass ein omnipotenter Angreifer in der Lage ist, den Algorithmus zur Verschlüsselung zu erkennen. Außerdem ist es leichter im Fall eines erfolgreichen Angriffs den Schlüssel zu ändern, als den Algorithmus.

Festungsprinzip: Oder „du kommst hier nicht rein!“
Um die zu schützenden Dinge wird eine Grenze (Burgwall oder Firewall oder Netzwerkeinbruchserkennung) gezogen und verteidigt, außerdem werden die möglichen Aktionen im inneren überwacht (Polizei oder netzinterne Regeln). Der Grundsatz hier ist, dass der Verteidiger alle Angriffsvektoren verteidigen muss, während der Angreifer nur einen Vektor erfolgreich nutzen muss.

Pavlovics Paper versucht hier zu zeigen, dass Sicherheit ein Spiel mit unvollständigen Informationen ist und Informationen über die Algorithmen und Strategien des Gegners einen Vorteil bedeuten. Dieser Vorteil kann genutzt werden um die Gewinnchancen zu erhöhen. Das würde bedeuten, dass Security through Obscurity ein allgemein sehr nützliches Prinzip ist, um die Sicherheit eines Systems zu ergänzen. Soweit zu behaupten, dass Security through Obscurity allein funktioniert, geht Pavlovic verständlicherweise nicht.

Security through Obscurity findet bereits Anwendung in der IT-Sicherheit.

Autoren von Schadsoftware (Viren, Trojaner, Würmer) wissen, dass ihre Software durch Antiviren-Firmen disassembliert wird und schützen die Software mittels Verschlüsselung. Auch unterschiedliches Verhalten, wenn die Software in Einzelschritten durchlaufen wird, ist nicht unüblich.

Das Paper ist sehr interessant geschrieben und gibt einen guten Einblick in die allgemeinen Prinzipien von Sicherheit.

Gerade wenn es um IT-Sicherheit geht, lese ich sehr aufmerksam, was Bruce Schneier dazu zu sagen hat. In einem Blogartikel schreibt er: „Sometimes security through obscurity works„.

Schreibe einen Kommentar

Diese Website verwendet Akismet, um Spam zu reduzieren. Erfahre mehr darüber, wie deine Kommentardaten verarbeitet werden.