Zuverläßigkeit von digitalen Signaturen?

05/07/2015 - 10:10 von Mok-Kong Shen | Report spam
Im Thread "Wieviele reelle Verbesserungen in PKI hat es seit mehr als
einem Jahrzehnt gegeben?" von 24.09.2014 hatte ich meine persönliche
Bezweifelung geàußert, ob nicht "die oft behaupteten Sicherheiten von
PKI in der Wirklichkeit eine Illusion ist, welche lediglich der
Profitgewinnung der involvierten kommerziellen Firmen dienlich ist?"
(Über die Problematik von CAs schrieb ich spàter auch in einer meiner
Software http://s13.zetaboards.com/Crypto/topic/7234475/1/.)

Neuerdings las ich in
http://www.theregister.co.uk/2015/0...conn_cert/
folgendes:

Windows trusts Foxconn-signed code because the Chinese goliath's
certificate was issued by VeriSign, which is a trusted certificate
root. Thus, the operating system will happily load and run the
Foxconn-signed Duqu 2.0's 64-bit kernel-level driver without
setting off any alarms. And that would allow the malware to get
complete control over the infected machine.

Kaspersky Lab experts reckon Duqu's masterminds have been able to
snatch copies of the private keys to various code-signing
certificates, using a different one in each attack on an
organization. The Foxconn certificate used in this instance was
most likely stolen.

The Russian security firm said the Foxconn certificate leak
undermines the use of digital certificates as a reliable tool
for validating computer code: the whole point of them is to prove
that software has not been tampered with, and was built by the
vendor signing the executable.

Ich habe ein paar Fragen: (1) Bedeutet der zweite Paragraph oben, daß
VeriSign sehr viele verschiedene private keys zum signieren benutzen
(weshalb macht man es so kompliziert?) und einige davon nun gestohlen
waren? (2) Könnte man nicht die Phrase im dritten Paragraph oben
"for validating computer code" besser durch "for validating ANYTHING"
ersetzen?

M. K. Shen
 

Lesen sie die antworten

#1 Marcel Mueller
05/07/2015 - 11:44 | Warnen spam
On 05.07.15 10.10, Mok-Kong Shen wrote:
[...]
Ich habe ein paar Fragen: (1) Bedeutet der zweite Paragraph oben, daß
VeriSign sehr viele verschiedene private keys zum signieren benutzen
(weshalb macht man es so kompliziert?)



Sie können ja schlecht jedem Kunden /denselben/ Schlüssel geben.

und einige davon nun gestohlen
waren?



Tja, das alte Problem bei Chain of trust. Konvergiert die Anzahl der
Kettenglieder gegen unendlich, konvergiert auch die Wahrscheinlichkeit,
dass sie kompromittiert ist gegen 1. Man greift also nicht die zumindest
meistens recht gut gesicherten Root-CAs an, sondern das schwàchste Glied
der Kette. Und da ist ein Billigfertiger natürlich ein ideales Ziel. Der
wird gar nicht gut genug bezahlt, als dass er signifikant etwas für
Sicherheit tun könnte.

(2) Könnte man nicht die Phrase im dritten Paragraph oben
"for validating computer code" besser durch "for validating ANYTHING"
ersetzen?



Nein. Der bei Foxconn geklaute Schlüssel ist einer, mit dem man Windows
austricksen kann und nicht die Hausbank, wo der gar nirgends passt.

Ähnliche fragen