Authentische Schlüssel
Was bedeutet in diesem Kontext «öffentlich»? Idealerweise bedeutet dies, dass jeder Mitarbeiter, jeder Computer und jedes Smartphone auf der Welt die gleiche Vorstellung davon hat, wie dieser eine Schlüssel des KMU XY aussieht, also aus exakt welchen Einsen und Nullen der Schlüssel besteht. Man spricht hier von einer konsistenten Sicht auf öffentliche Schlüssel. In der Realität ist diese Konsistenz aber leider nicht gegeben. Immer wieder werden Angriffe bekannt, in denen es Angreifern gelingt, einen falschen Schlüssel als den offiziellen Schlüssel zu verkaufen.
Solche Fälschungen haben zur Konsequenz, dass die vermeintlich sichere Verbindung zum Server des KMU in diesem Fall nicht mit dem tatsächlichen Schlüssel des KMU abgesichert ist, sondern mit dem fälschlicherweise eingeschobenen Schlüssel des Angreifers. Das bedeutet nichts anderes, als dass damit der gesamte Datenverkehr für den KMU-Server unverständlich und somit nutzlos ist. Schliesslich wurde nicht der korrekte Schlüssel des KMU benutzt, sondern der Schlüssel des Angreifers. Die verschlüsselten Daten sind für das KMU also nur eine Aneinanderreihung scheinbar zufälliger Einsen und Nullen. Noch viel schlimmer ist aber: Der Datenverkehr ist für den Angreifer leicht zu entschlüsseln. Denn genau dieser ist im Besitz des privaten Schlüssels, der ja für die Entschlüsselung notwendig ist.
Dieses Problem tritt heute leider tagtäglich auf und macht jede Form der Verschlüsselung völlig nutzlos. Zwar gibt es Ansätze, derartige Man-in-the-Middle-Angriffe zu verhindern, aber diese Ansätze sind noch längst nicht ausgereift und haben jeweils mit eigenen Problemen zu kämpfen. Man könnte ein ganzes Buch mit derartigen Problemen füllen, egal, ob es dabei um E-Mail-Signaturen geht, um Blockchain-Einträge oder um SSL-Server-Zertifikate. Allen gemeinsam bleibt: Die Authentisierung der richtigen Schlüssel ist essenziell für jedes Business im Kontext von Industrie 4.0.
Was ist der Kern des Problems? Öffentliche Schlüssel sind eine höchst innovative Idee, die in den 1970er-Jahren die Welt der Kryptografie nicht nur bereichert, sondern tatsächlich revolutioniert haben. Als Stichwort sei hier vor allem das Verschlüsselungsverfahren RSA (1977) genannt. Leider ist es in der heutigen vernetzten Welt extrem schwierig, dafür zu sorgen, dass diese öffentlichen Schlüssel authentisch sind und korrekt an alle beteiligten Parteien verteilt werden. Wird mit gefälschten Schlüsseln verschlüsselt oder signiert, gelangen sensible Daten in falsche Hände, oder es wird bösartige Software fälschlicherweise ausgeführt. Solange es also für die Verbreitung von öffentlichen Schlüsseln keine flächendeckenden, authentischen Verfahren gibt, ist die Verschlüsselung zum KMU (und auch innerhalb des KMU) nutzlos und darum die Online-Geschäfte nicht sicher.
Problematik Internet of Things
Ein zweiter Grund für einen gesteigerten Bedarf an Authentisierung ist der rasant wachsende Markt der vernetzten Geräte, die mit Milliarden ihrer Artgenossen das Internet of Things bewohnen. In diese Klasse fallen vernetzte Autos, Toaster, Glühbirnen, Kühlschränke, Herzschrittmacher, Babywindeln, aber eben auch vernetzte Sensoren, Produktionssteuerungsanlagen, Detektionssysteme und andere sicherheitskritische Komponenten in Schweizer Atomkraftwerken, bei den Schweizer Bahnen und Spitälern. Authentisierung wird benötigt, um sicherzugehen, dass mein Auto nur dann vom Autopiloten gesteuert wird, wenn mein Smartphone dies verlangt (und nicht der Laptop eines Angreifers); dass mein Herzschrittmacher nur ein vom Kardiologen freigegebenes Software-Update installiert (und nicht eine bösartige Software meines Nachbarn) – und dass Steueranlagen in Atomkraftwerken nur auf Befehl der Befugten sicherheitskritische Änderungen ausführen.
Preisdruck und das Ziel einer frühen Markteinführung führen leider häufig dazu, dass die Milliarden vernetzter Geräte ohne Einsatz von Sicherheitsüberlegungen entwickelt werden. Umso wichtiger ist es, die Geräte nicht ohne Einsatz des Verstandes im eigenen Unternehmensumfeld einzusetzen. Konkret bedeutet dies, dass sich ein jeder Internetbenutzer die Frage stellen sollte, ob das private WLAN mit ausreichender Sicherheit geschützt ist, ob der nächste Toaster wirklich mit dem Kühlschrank kommunizieren muss und ob nicht mal wieder ein Passwortwechsel für das E-Mail-Konto fällig wäre. In professionellen Bereichen sind die Fragen ähnlich: Stehen ungeprüfte IoT-Geräte in einem vom Firmen-Hauptnetz abgeschotteten Netz? Ist die Zonierung gemäss den steigenden Anforderungen an die Wartbarkeit von IoT noch immer zeitgemäss? Haben die Geräte der Mitarbeiter im Kontext von Bring-Your-Own-Device (BYOD) wirklich nur gerechtfertigte Zugänge?