Alles sicher, oder was? Philosophiestunde: Security through Obscurity
In unserer Rubrik „Alles sicher, oder was?“ besprechen wir regelmäßig einzelne Bestandteile einer erfolgreichen IT-Sicherheitsarchitektur. Heute wollen wir hierbei etwas philosophisch werden und eine IT-Sicherheitsphilosophie besprechen, welche trotz weitgehender Widerlegung weiterhin in Gesprächen, insbesondere mit IT-Security Laien, immer wieder genannt wird. Die Rede ist von „Security through Obscurity“, oder STO. Warum der Pfad dieser Philosophie oft nur scheinbare Sicherheit bietet, besprechen wir in diesem Blog Post.
Ein sicheres Versteck als Schutz?
Sicherheit durch Obskurität bedeutet das Verstecken von sicherheitsrelevanten Informationen vor möglichen Angreifern. Ein analoges Beispiel für diese Vorgehensweise wäre ein im Wald verstecktes Haus ohne Türschloss. Sobald jemand es findet, ist es schutzlos. In der digitalen Welt bedeutet dies, dass Sicherheitslücken und zum Schutz verwendete Tools, Algorithmen und Prozesse geheim gehalten werden. Es könnte auch ein in Binärcode verstecktes Passwort sein. Nur ein ausgewählter Kreis aus Administrator:innen, Entwickler:innen und anderer Schlüsselfiguren Wissen über die Details der IT-Sicherheit in der Organisation.
Verborgene Informationen können hierbei u.a. Passwörter, Ordnerstrukturen, Ports oder Software-Versionen sein. Aber genau wie beim Haus mit dem versteckten Schlüssel im Vorgarten könnte ein genaues Hinsehen der Angreifer oder ein glücklicher Zufallsfund die gesamte Sicherheitsinfrastruktur zum Einstürzen bringen, insofern man sich ganz und gar auf Security through Obscurity verlässt.
Die Probleme mit Security through Obscurity
Die Geheimhaltung eines Verschlüsselungsalgorithmus aber nicht der Schlüssel widerspricht Kerckhoffs Prinzip, welches besagt, dass für eine sichere Kryptographie die Schlüssel und nicht die Algorithmen geheim sein müssen. Wird ein Algorithmus oft genug genutzt, so ist das sog. „Reverse Engineering“ eine einfache Übung für geübte Kryptographieexpert:innen. So lässt sich jede Verschlüsselung brechen und das Tor zu den Kronjuwelen der Organisation ist offen.
Ein weiteres Problem der Geheimhaltung von wichtigen Sicherheitsdetails ist die Unwissenheit der eigenen Beschäftigten, die im Ernstfall ggf. nicht die notwendigen Kenntnisse haben, um einen Angriff abzuwehren. Das Wissen über die eingesetzten Softwares sowie deren Versionen und Patch-Stand ist nicht nur für Angreifer, sondern auch für die Verteidiger, von essenzieller Bedeutung. Wissen ist Macht und ein Admin ohne Sicht auf die eigene IT-Landschaft ist gleich nur noch halb so viel wert.
Auf sichere Verschlüsselungen stolz sein
Anstatt sich darauf zu verlassen, dass Ihre Algorithmen nicht durch Hacker identifiziert werden, sollten Sie sich auf sichere Algorithmen verlassen, die nicht zu brechen sind – zumindest nicht ohne einige Jahrzehnte Rechenzeit. Ein offener Umgang mit allen Sicherheitsmechanismen gibt Administrator:innen einen guten Überblick über die eigene IT-Sicherheitslandschaft und ein Selbstbewusstsein aufgrund der Nutzung sicherer Produkte, Dienste und Mechanismen. Die bewährte (und allgemein als besser bewertete) Alternative zur Sicherheit durch Obskurität ist klar eine Strategie der maximalen Transparenz in der IT-Sicherheit. Vom hohen Burgturm heraus lässt sich die Festung „IT“ mit guter Übersicht gegen die aus dem Schatten agierenden Angreifer verteidigen.
Verfasser: Tobias Philipsen