»Cryptography is about communication in the presence of adversaries.«
Ron Rivest, 1990
»Transparenz. Das ist das Höchste, was man sich in einer technologisch hoch entwickelten Gesellschaft erhoffen kann. … sonst wird man einfach nur manipuliert ...«
Daniel Suarez inDarknet, 2011
»The best that can be expected is that the degree of security be great enough to delay solutions by the enemy for such a length of time that when the solution is finally reached, the information thus obtained has lost all its value.«
William Friedman inMilitary Cryptanalysis, 1936
»Immer wenn man etwas konkret formuliert, wird man angreifbar, aber wenn man nicht konkret wird, ist es nicht nachvollziehbar.«
Unbekannt
Als Herr Schmeh mich fragte, ob ich das Vorwort zu seinem Kryptografie-Buch schreibe, war meine erste Reaktion: »Warum ich und warum ein weiteres Buch über Kryptologie?«
Auf beide Fragen hatte Herr Schmeh eine einleuchtende Antwort:
Ich sollte das Vorwort schreiben, da er jemand suchte, der intensive theoretische, praktische und berufliche Erfahrung auf diesem Gebiet habe und diese Erfahrungen pointiert in das Vorwort einfließen ließe (ich war bei SAP CISO und Entwicklungsleiter der Sicherheitskomponenten des Systems R/3, bei der Deutschen Bank Leiter IT-Sicherheit und Chef des »Cryptography Competence Center« und bin unabhängiger Consultant für Risikomanagement, also für eine angemessene und effiziente Allokation der Ressourcen. Außerdem habe ich einen Lehrauftrag zu IT-Sicherheit und Kryptologie und leite seit über 15 Jahren ein Open-Source-Projekt, das das bisher erfolgreichste Lernprogramm zu Kryptologie erstellt).
Sein Buch hat aufgrund mehrerer Eigenschaften ein Alleinstellungsmerkmal: Aktualität, Umfang/Vollständigkeit, Betonung der Anwendungssicht, Behandlung auch der umliegenden Felder (Geschichte, Gesellschaft, Politik, Wirtschaftsspionage, …) und – aufgrund seiner journalistischen Erfahrung – die gewohnt leicht verständliche Beschreibung auch komplexer Zusammenhänge.
Kryptografie ist eine in mehrfacher Hinsicht spannende Angelegenheit:
FürHistoriker, weil sie schon immer Teil des strategischen und taktischen Arsenals der Mächtigen war.
FürMathematiker und Informatiker, weil sich in der Zahlentheorie und der mathematischen Kryptologie ständig neue Forschungsergebnisse ergeben (z. B. die Möglichkeiten für die Cloud durch homomorphe Verschlüsselung, generische Analysemethoden wie SAT-Solver, die Berechnung von GröbnerBasen, sehr große Gitterreduktionen, erweiterte Grenzen bei neuen und alten Verschlüsselungsverfahren wie das Zerlegen eines gegebenen 232-stelligen Produktes in seine beiden Primzahl-Faktoren durch Kleinjung etc. im Jahre 2009 oder das Knacken eines Pairing-basierten 923-Bit-Verschlüsselungssystem durch Fujitsu etc. in 2012). Und das zukünftige Quanten-Computing sorgt dafür, dass weiter intensiv an neuen Verfahren geforscht wird (z. B. haben Sicherheitsforscher um Bernstein/Lange im Zuge des europäischen Forschungsprojektes PQCRYPTO Mitte 2015 konkrete Ansätze empfohlen).
FürPraktiker und Sicherheitsverantwortliche, weil es stets neue Entwicklungen gibt: Auf der Angreiferseite werden etablierte Protokolle, die man für sicher hielt, kreativ missbraucht oder mit Man-in-the-Middle-Attacken umgangen. Vor allem aber bieten normale Produkte den Angreifern jede Menge Einfallstüren: Es ist unglaublich, wie viele Fehler beim Schlüsselmanagement und in den Implementierungen gemacht werden – und das nicht nur bei »einfachen« Produkten wie Routern (die Sicherheitsfirma SEC Consult untersuchte die öffentlich zugängliche Firmware von mehr als 4000 Geräten und gab im Nov. 2015 die Schätzung ab, dass bei 9 Prozent aller SSLEndpunkte im Netz die privaten Schlüssel bekannt sind), sondern auch bei sogenannten Marktführern wie Symantec und PeopleSoft, die beispielsweise Schlüssel fest in produktiven Executables ablegten (ist inzwischen behoben). Auch auf der Seite »der Guten« kommen neue Techniken zum Einsatz: Nutzen von virtualisierbarer Hardware oder auch Open-Source-Lösungen wie OpenXPKI, das weit über die Grundfunktionalität einer PKI hinausgeht und zusätzlich die Anpassung an eigene Geschäftsprozesse über eine Workflow-Engine ermöglicht, eine Abstraktionsebene für die praxisnahe Anbindung beliebiger Datenquellen bietet, Zertifikats-Renewal-Software (CertNanny) über Automatisierungs-APIs wie SCEP andockt, externe CAs wie SwissSign anbindet, Tracking-Systeme wie RT integriert und CA-Rollover nahezu automatisiert. OpenXPKI ist ein sehr »konservativ« (im positiven Sinne) geführtes Open-Source-Projekt, das erst nach zehnjähriger Projektlaufzeit und über fünf Jahren produktiven Einsatzes im Oktober 2015 die Version 1.0 releaste (www.openxpki.org).
FürIT-Manager
