knowledgr.de

Sicherheit durch die Zweideutigkeit

Neues Wissen!

Die Sicherheit durch die Zweideutigkeit ist ein Pejorativum, das sich auf einen Grundsatz in der Sicherheitstechnik bezieht, die versucht, Geheimhaltung des Designs oder der Durchführung zu verwenden, um Sicherheit zur Verfügung zu stellen. Ein System, das sich auf die Sicherheit durch die Zweideutigkeit verlässt, kann theoretische oder wirkliche Sicherheitsverwundbarkeit haben, aber seine Eigentümer oder Entwerfer glauben dass, wenn die Fehler nicht bekannt sind, dann werden Angreifer sie kaum finden. Ein System kann Sicherheit durch die Zweideutigkeit verwenden, weil eine Verteidigung eingehend misst; während die ganze bekannte Sicherheitsverwundbarkeit durch andere Maßnahmen gelindert würde, macht die öffentliche Enthüllung von Produkten und Versionen im Gebrauch sie frühe Ziele für die kürzlich entdeckte Verwundbarkeit in jenen Produkten und Versionen. Ein erster Schritt eines Angreifers ist gewöhnlich Sammeln von Informationen; dieser Schritt wird durch die Sicherheit durch die Zweideutigkeit verzögert. Die Technik steht im Vergleich mit der Sicherheit durch das Design und offenen Sicherheit, obwohl viele wirkliche Projekte Elemente aller Strategien einschließen.

Die Sicherheit durch die Zweideutigkeit hat Technikannahme als eine Annäherung an das Sichern eines Systems nie erreicht, weil es dem Grundsatz des "Haltens davon einfach" widerspricht. Das Nationale USA-Institut für Standards und Technologie (NIST) empfiehlt spezifisch gegen die Sicherheit durch die Zweideutigkeit in mehr als einem Dokument. Der Bezug von einem, "Sollte Systemsicherheit nicht von der Geheimhaltung der Durchführung oder seiner Bestandteile abhängen."

Hintergrund

Es gibt spärliche formelle Literatur auf dem Problem der Sicherheit durch die Zweideutigkeit. Bücher auf der Sicherheitstechnik werden die Doktrin von Kerckhoffs von 1883 zitieren, wenn sie irgendetwas überhaupt zitieren. Zum Beispiel, in einer Diskussion über die Geheimhaltung und Offenheit im Kernbefehl und der Kontrolle:

: [T] hat er Vorteil abzunehmen die Wahrscheinlichkeit eines zufälligen Krieges wurden betrachtet, die möglichen Vorteile der Geheimhaltung zu überwiegen. Das ist eine moderne Reinkarnation der Doktrin von Kerckhoffs, zuerst vorgebracht im neunzehnten Jahrhundert, dass die Sicherheit eines Systems von seinem Schlüssel abhängen sollte, nicht auf seinem Design, das dunkel bleibt.

Im Feld der gesetzlichen Akademie hat Peter Swire über den Umtausch zwischen dem Begriff geschrieben, dass "die Sicherheit durch die Zweideutigkeit ein Trugbild" und der militärische Begriff ist, dass "lose Lippen Schiffe versenken", sowie wie Konkurrenz die Anreize betrifft bekannt zu geben.

Der Grundsatz der Sicherheit durch die Zweideutigkeit wurde mehr allgemein in der kryptografischen Arbeit in den Tagen akzeptiert, als im Wesentlichen alle gut unterrichteten Kryptographen von nationalen Geheimdiensten wie die Staatssicherheitsagentur angestellt wurden. Jetzt wo Kryptographen häufig an Universitäten arbeiten, wo Forscher viele oder sogar alle ihre Ergebnisse veröffentlichen, und öffentlich die Designs der anderen, oder in der privaten Industrie prüfen, wo Ergebnisse öfter von Patenten und Copyrights kontrolliert werden als durch die Geheimhaltung, hat das Argument etwas von seiner ehemaligen Beliebtheit verloren. Ein Beispiel ist PGP veröffentlicht als Quellcode, und allgemein betrachtet (wenn richtig verwendet) als ein militärischer Rang cryptosystem. Die breite Verfügbarkeit der hohen Qualitätsgeheimschrift störte zur US-Regierung, die scheint, eine Sicherheit durch die Zweideutigkeitsanalyse verwendet zu haben, um seine Opposition gegen solche Arbeit zu unterstützen. Tatsächlich wird solches Denken sehr häufig von Rechtsanwälten und Verwaltern verwendet, um Policen zu rechtfertigen, die entworfen wurden, um hohe Qualitätsgeheimschrift nur auf diejenigen zu kontrollieren oder zu beschränken, die autorisiert sind.

Gesichtspunkte

Argumente dafür

Vollkommene oder "ungebrochene" Lösungen stellen Sicherheit zur Verfügung, aber Absolute können schwierig sein vorzuherrschen. Obwohl das Verlassen allein auf die Sicherheit durch die Zweideutigkeit fast immer eine sehr schlechte Designentscheidung ist, heimlich haltend, können einige der Details eines sonst gut konstruierten Systems eine angemessene Taktik als ein Teil einer Verteidigung eingehend Strategie sein.

Zum Beispiel kann die Sicherheit durch die Zweideutigkeit (aber kann zu nicht versichert werden) die Tat als eine vorläufige "Bodenschwelle" für Angreifer, während eine Entschlossenheit gegenüber einem bekannten Sicherheitsproblem durchgeführt wird. Hier ist die Absicht einfach, die kurz-geführte Gefahr der Ausnutzung einer Verwundbarkeit in den Hauptbestandteilen des Systems zu reduzieren.

Die Sicherheit durch die Zweideutigkeit kann auch verwendet werden, um eine Gefahr zu schaffen, die entdecken oder potenzielle Angreifer abschrecken kann. Denken Sie zum Beispiel ein Computernetz, das scheint, eine bekannte Verwundbarkeit auszustellen. Am Sicherheitslay-Out des Ziels Mangel habend, muss der Angreifer in Betracht ziehen, ob man versucht, die Verwundbarkeit auszunutzen, oder nicht. Wenn das System veranlasst wird, diese Verwundbarkeit zu entdecken, wird es anerkennen, dass es unter Beschuss ist und antworten kann, entweder durch die Blockierung des Systems unten, bis richtige Verwalter eine Chance haben zu reagieren, indem sie den Angriff kontrollieren und den Angreifer verfolgen, oder indem sie den Angreifer trennen. Die Essenz dieses Grundsatzes ist, dass, die Zeit oder beteiligte Gefahr erhebend, dem Angreifer die Information bestritten wird, die erforderlich ist, eine feste Risikobelohnungsentscheidung darüber zu treffen, ob man an erster Stelle angreift.

Eine Variante der Verteidigung im vorherigen Paragrafen soll eine doppelte Schicht der Entdeckung der Großtat haben; von denen beide heimlich behalten werden, aber man wird erlaubt, "durchgelassen" zu werden. Die Idee ist, dem Angreifer einen falschen Sinn des Vertrauens zu geben, dass die Zweideutigkeit aufgedeckt und vereitelt worden ist. Ein Beispiel dessen, wo das verwendet würde, ist als ein Teil eines honeypot. In keinem dieser Fälle ist dort jedes wirkliche Vertrauen auf der Zweideutigkeit für die Sicherheit; das ist vielleicht besserer genannter Zweideutigkeitsköder in einer aktiven Sicherheitsverteidigung.

Jedoch kann es behauptet werden, dass ein genug gut durchgeführtes System, das auf der Sicherheit durch die Zweideutigkeit einfach gestützt ist, eine andere Variante auf einem schlüsselbasierten Schema mit den dunklen Details des Systems wird, das als der heimliche Schlüsselwert handelt.

Es gibt eine allgemeine Einigkeit, sogar unter denjenigen, die für die Sicherheit durch die Zweideutigkeit streiten, sollte diese Sicherheit durch die Zweideutigkeit als eine primäre Sicherheitsmaßnahme nie verwendet werden. Es, ist bestenfalls, ein sekundäres Maß; und die Enthüllung der Zweideutigkeit sollte auf keinen Kompromiss hinauslaufen.

Argumente dagegen

In der richtigen Geheimschrift geht das Argument gegen die Sicherheit durch die Zweideutigkeit auf mindestens den Grundsatz von Kerckhoffs, gestellt hervor 1883 von Auguste Kerckhoffs zurück. Der Grundsatz meint, dass das Design eines kryptografischen Systems Geheimhaltung nicht verlangen sollte und "Unannehmlichkeit" nicht verursachen sollte, wenn es in die Hände des Feinds fällt. Dieser Grundsatz ist auf mehrere Weisen paraphrasiert worden:

Systementwerfer sollten annehmen, dass das komplette Design eines Sicherheitssystems allen Angreifern mit Ausnahme vom kryptografischen Schlüssel bekannt ist.
die Sicherheit eines kryptografischen Systems wohnt völlig im kryptografischen Schlüssel.
in den 1940er Jahren hat Claude Shannon es stumpf gestellt; "der Feind weiß das System".

Je größer die Zahl von Punkten des Kompromisses in einem System, desto größer die Chance, dass ein Angriff auf einen jener Punkte des Kompromisses besteht oder entwickelt wird. Systeme, die Geheimnisse des Designs oder der Operation einschließen, die auch Punkte des Kompromisses sind, sind weniger sicher als gleichwertige Systeme ohne diese Punkte des Kompromisses, wenn die Anstrengung, die erforderlich ist, um die Verwundbarkeit zu erhalten, die durch das heimliche Design oder die Methode der Operation und die Anstrengung verursacht ist, diese Verwundbarkeit auszunutzen, weniger ist als die Anstrengung, die erforderlich ist, den heimlichen Schlüssel zu erhalten. Das Sicherheitsniveau des Systems wird dann auf die Anstrengung reduziert, die erforderlich ist, die Verwundbarkeit auszunutzen.

Zum Beispiel, wenn jemand einen Ersatzschlüssel unter dem Abtreter versorgt, im Falle dass sie aus dem Haus geschlossen werden, dann verlassen sie sich auf die Sicherheit durch die Zweideutigkeit. Die theoretische Sicherheitsverwundbarkeit ist, dass jeder ins Haus einbrechen konnte, indem er die Tür mit diesem Ersatzschlüssel aufgeschlossen hat. Außerdem, da Einbrecher häufig wahrscheinliche Unterschlupfe wissen, wird der Hauseigentümer größere Gefahr eines Einbruchsdiebstahls erfahren, indem er den Schlüssel auf diese Weise seit der Anstrengung verbergen wird zu finden, dass der Schlüssel wahrscheinlich weniger Anstrengung dem Einbrecher sein wird als das Einbrechen durch ein anderes Mittel, solcher als durch ein Glasfenster. Der Eigentümer hat tatsächlich eine Verwundbarkeit - die Tatsache hinzugefügt, dass der Zugang-Schlüssel unter dem Abtreter - zum System und demjenigen versorgt wird, das sehr leicht ist, zu erraten und auszunutzen.

In der Vergangenheit haben mehrere Algorithmen oder Softwaresysteme mit heimlichen inneren Details, jene inneren Details gesehen öffentlich werden. Zufällige Enthüllung ist mehrere Male zum Beispiel im bemerkenswerten Fall der GSM vertraulichen Ziffer-Dokumentation geschehen, die zur Universität von Bradford wird beiträgt, der es versäumt, die üblichen Vertraulichkeitsvoraussetzungen aufzuerlegen. Außerdem ist Verwundbarkeit entdeckt und in der Software ausgenutzt worden, selbst wenn die inneren Details heimlich geblieben sind. Genommen zusammen weisen diese und anderen Beispiele darauf hin, dass es schwierig oder unwirksam ist, um die Details des System- und Algorithmus-Geheimnisses zu behalten.

Die A5/1 Ziffer für das GSM bewegliche Autotelefon-System ist öffentliche Kenntnisse teilweise durch die Rücktechnik geworden.
Details des RSADSI (RSA Data Security, Inc.) kryptografische Algorithmus-Software wurden wahrscheinlich absichtlich durch die Veröffentlichung der angeblichen RC4 Quelle auf Usenet offenbart.
Die Verwundbarkeit in verschiedenen Versionen von Windows von Microsoft, seinem Verzug-WWW-Browser-Internet Explorer und seinem Postanwendungsmeinungs- und Meinungsschnellzug hat Weltprobleme verursacht, als Computerviren, trojanische Pferde oder Computerwürmer jene Verwundbarkeit ausgenutzt haben. Tatsächlich haben geordnete Regierungsstellen (z.B das US-Handelsministerium) von Zeit zu Zeit Sicherheitswarnungen über den Gebrauch dieser Software ausgegeben.
Router von Cisco Betriebssystemsoftware wurde zum öffentlichen Zugang in einem korporativen Netz zufällig ausgestellt.
Details von Diebold Wahlsystemen, die Maschinensoftware wählen, wurden auf einer öffentlich zugänglichen Website veröffentlicht. (Sieh Bev Harris)

Das Gesetz von Linus, dass viele Augen alle Programmfehler seicht machen, deutet auch verbesserte Sicherheit für Algorithmen und Protokolle an, deren Details veröffentlicht werden. Mehr Menschen können die Details solcher Algorithmen nachprüfen, Fehler identifizieren, und die Fehler eher befestigen. Befürworter dieses Gesichtspunkts erwarten, dass die Frequenz und Strenge von Sicherheitskompromissen für den offenen weniger streng sein werden als für die heimliche oder Eigentumssoftware.

Maschinenbediener und Entwickler/Verkäufer von Systemen, die sich auf die Sicherheit durch die Zweideutigkeit verlassen, können die Tatsache behalten, dass ihr System Geheimnis gebrochen wird zu vermeiden, Vertrauen zu ihrem Dienst oder Produkt und so seiner Marktfähigkeit zu zerstören, und sich das auf den betrügerischen falschen Bild der Sicherheit ihrer Produkte belaufen kann. Beispiele sind von mindestens den 1960er Jahren Gesellschaften bekannt gewesen, die Ausgabe von üblen Lagen oder Flecken verzögern, um ihren korporativen Prioritäten aber nicht Kundensorgen oder Gefahren anzupassen. Die Anwendung des Gesetzes ist in dieser Beziehung teilweise weniger als kräftig gewesen, weil Verkäufer fast allgemein Begriffe des Gebrauches als ein Teil auferlegen, Verträge zu lizenzieren, um ihre anscheinend vorhandenen Verpflichtungen laut Statuten und Gewohnheitsrechts abzustreiten, die Fitness für den Gebrauch oder die ähnlichen Qualitätsstandards verlangen.

Offene Quellrückschläge

Software, die als offene Quelle einmal absichtlich veröffentlicht wird, hat eine Sicherheitskatastrophe gegen Ende der 1980er Jahre erfahren; zum Beispiel, der Wurm von Morris der 1988-Ausbreitung durch einige verdunkeln - obwohl weit sichtbar, zu denjenigen, die - Verwundbarkeit geschaut haben. Ein gegen die Sicherheit der offenen Quelle manchmal verwendetes Argument ist, dass Entwickler dazu neigen, vom Durchführen tiefer Rezensionen weniger begeistert zu sein, wie sie über das Beitragen neuen Codes sind. Solche Arbeit wird manchmal als weniger interessant und weniger geschätzt von Gleichen besonders gesehen, wenn eine Analyse, jedoch fleißig und zeitraubend, viel von Interesse nicht auftaucht. Verbunden mit der Tatsache, dass offene Quelle durch eine Kultur davon beherrscht wird, als Freiwilliger zu dienen, geht das Argument, Sicherheit erhält manchmal weniger gründliche Behandlung, als es in einer Umgebung könnte, in der Sicherheitsrezensionen ein Teil von jemandes Arbeitsbeschreibung waren.

Andererseits gerade, weil es nicht einen unmittelbaren finanziellen Anreiz gibt, ein Produkt zu flicken, bedeutet nicht, dass es nicht jeden Ansporn gibt, ein Produkt zu flicken. Weiter, wenn der Fleck so dem Benutzer bedeutend ist, den Quellcode habend, kann der Benutzer das Problem selbst technisch flicken. Diese Argumente sind hart sich zu erweisen. Jedoch zeigt Forschung an, dass Software der offenen Quelle wirklich eine höhere Fehler-Entdeckung, schnellere Fehler-Entdeckung und schnellere Umdrehung ringsherum auf Flecken hat. Zum Beispiel berichtet eine Studie, dass Quellcode von Linux 0.17 Programmfehler pro 1000 Linien des Codes während nichtopen Source kommerzielle Software allgemein Hunderte 20-30 Programmfehler pro 1000 Linien hat.

Sicherheit durch die Minderheit

Eine Variante der grundlegenden Annäherung soll sich auf die Eigenschaften verlassen (einschließlich beliebiger Verwundbarkeit könnte da sein) eines Produktes, das nicht weit angenommen wird, so die Bekanntheit jener Verwundbarkeit senkend (sollen sie, bekannt werden), gegen zufällige oder sogar automatisierte Angriffe. Diese Annäherung hat eine Vielfalt von Namen, "Minderheit", die das allgemeinste ist. Andere sind "Seltenheit", "Unbeliebtheit", "Knappheit", und "fehlen von Interesse".

Auf diese Variante wird meistens in Erklärungen dessen gestoßen, warum die Zahl bekannter Verwundbarkeitsgroßtaten für Produkte mit dem größten Marktanteil dazu neigt, höher zu sein, als eine geradlinige Beziehung zum Marktanteil andeuten würde, aber auch ein Faktor in der Produktwahl für einige große Organisationen ist.

Die Sicherheit durch die Minderheit kann für Organisationen nützlich sein, die ins Visier genommenen Angriffen nicht unterworfen sein werden, den Gebrauch eines Produktes im langen Schwanz vorschlagend. Jedoch eine neue Verwundbarkeit auf einem Markt findend, ist Hauptprodukt wahrscheinlich härter als für dunkle Produkte, weil die niedrige hängende Fruchtverwundbarkeit mit größerer Wahrscheinlichkeit bereits aufgetaucht sein wird, der darauf hinweisen kann, dass diese Produkte für Organisationen besser sind, die annehmen, viele ins Visier genommene Angriffe zu erhalten. Das Problem ist weiter durch die Tatsache verwirrt, dass die neue Verwundbarkeit in Minderheitsprodukten alle bekannten Benutzer davon (vielleicht leicht identifiziert) Produkt veranlasst, Ziele zu werden. Mit dem Markt Hauptprodukte bleibt die Wahrscheinlichkeit, mit einer neuen Verwundbarkeit zufällig ins Visier genommen zu werden, größer.

Der Ganze wird damit nah verbunden, und hängt gewissermaßen, die weit verwendete Begriff-Sicherheit durch die Ungleichheit ab - die breite Reihe des "langen Schwanzes" Minderheitsprodukte ist klar verschiedener als ein Markführer in jedem Produkttyp, so wird ein zufälliger Angriff mit geringerer Wahrscheinlichkeit erfolgreich sein.

Das Argument für die Sicherheit durch die Minderheit läuft einem Grundsatz zuwider, der in der Natur in Drehbüchern der Raubfisch-Beute beobachtet ist. Dort ist der Begriff "Sicherheit in Zahlen", oder "Sicherheit der Herde" beobachtete Grundsätze, die gegen die "Sicherheit durch die Minderheit" Strategie argumentieren würden.

Historische Zeichen

Dort kollidieren Geschichten über den Ursprung dieses Begriffes. Anhänger von Incompatible Timesharing System (ITS) von MIT sagen, dass es entgegen Benutzern von Multics unten der Saal ins Leben gerufen wurde, für wen Sicherheit viel mehr ein Problem war als auf SEINEM. Innerhalb SEINER Kultur hat sich der Begriff, selbstspöttisch, zum schlechten Einschluss der Dokumentation und der Zweideutigkeit von vielen Befehlen, und zur Einstellung bezogen, die als ein Tourist ausgerechnet hat, wie man Schwierigkeiten macht, war er allgemein über den Drang hinweggekommen, es zu machen, weil er einen Teil der Gemeinschaft gefühlt hat.

Ein Beispiel der absichtlichen Sicherheit durch die Zweideutigkeit auf SEINEM ist bemerkt worden: Der Befehl zu erlauben, das Laufen SEINES Systems (altmode altmode Kontroll-R) zu flicken, hat als gehallt. Das Schreiben des Alt Alt Kontroll-D hat eine Fahne gesetzt, die verhindern würde, das System zu flicken, selbst wenn der Benutzer es später in Ordnung brächte.

Siehe auch

Codieren Sie morphing
Der Grundsatz von Kerckhoffs
Bedürfnis, zu wissen
Verfinsterter Code
Gewagte Sicherheit
Sichern Sie durch das Design
AACS Verschlüsselungsschlüsselmeinungsverschiedenheit

Siehe auch:
Index von Geheimschrift-Artikeln
Sicherheitstechnik

Mörder / Schnuppe-Film Impressum & Datenschutz