Frusted Computing? : Editorial

„Dem Sicherheits-Chip der Trusted Computing Group begegnen die meisten Menschen mit einem Gefühl: entweder großer Hoffnung, tief sitzendem Misstrauen oder heilloser Verwirrung.“ – so stand es vor fast 20 Jahren in der <kes> 2003# 4 [1]. Bei den Diskussionen zu Beginn des Jahrtausends ging es nicht zuletzt um Kontrolle: Wer übt die „Schlüsselgewalt“ über Trusted-Platform-Modules (TPM) aus? Und würde anhand bestimmter Konfigurationen aus Betriebssystem und obligatorischer Anwendungs- und/oder Sicherheitssoftware womöglich in Bälde in Form sogenannter Remote-Attestations über den Zugang eines Computers zum Internet und/oder zu wichtigen Diensten entschieden?

Diese Befürchtungen haben sich (bislang) nicht bewahrheitet, obwohl TPMs mittlerweile auf quasi jedem PC vorhanden sein dürften und andere Systeme alternative „Vertrauensanker“ in gesicherter Hard- oder Firmware anbieten. (Quasi-) Monopole oder gewünschte Konfigurationen werden eher faktisch und durch Marktmacht durchgesetzt – technisches „Enforcement“ findet man in der Breite nicht.

So richtig transparent scheint „das alles“ aber – allen offenen Standards zum Trotz – auch immer noch nicht zu sein. Oder wissen Sie, wer auf den diversen gesicherten Komponenten Ihrer Systeme (TPM, SE & Co. auf PC, Smartphone, Server, …) welche Daten zu welchem Zweck ablegt? Ob eine Sicherheitssoftware auf geschützten Speicher zugreifen oder nur in
Hauptspeicher und Software verschlüsseln kann? Teilweise haben sich auch Geräte-Hersteller oder -Anbieter exklusiven Zugriff auf die „Trusted Computing“-Komponenten gesichert – was problematisch wird, wenn man damit zukünftig etwa wichtige Daten des EU-Wallets möglichst gut schützen will (vgl. S. 60).

Abseits der fast schon philosophischen Fragen legitimer Kontrolle und den etwaigen Anforderungen mehrseitiger Sicherheit hat die <kes> – auch angesichts jüngst aufgetauchter Sicherheitsprobleme „vertrauenssichernder Systeme“ (vgl. S. 64 und S. 48) – mit der Titelstrecke in diesem Heft (ab S. 44) versucht, den Status quo in Sachen Trusted Computing & Co. etwas zu erhellen. Das vorherrschende Gefühl bei Anwendern scheint angesichts der seit Langem ruhenden Diskussion mittlerweile jedenfalls „Gleichgültigkeit“ geworden zu sein.