„Sicherheitskonzepte für Desktop-Computer völlig veraltet“

Ivan Krstic, Sicherheitsexperte des „One Laptop per Child„-Projektes, hat am Montag in einer harschen Keynote die gegenwärtige Sicherheit von Desktop-PC-Systemen angeprangert. In seiner Rede kritisierte er die Sicherheitskonzepte für Windows-, Linux- und Macintosh-Rechner gleichermaßen. Sie alle basierten auf der 35 Jahre alten Prämisse, dass die Berechtigungen für eine Software nur von den Berechtigungen des Users abhängen, das heißt jede Software läuft grundsätzlich mit den gleichen Rechten wie die des Benutzers.

„In allen größeren Betriebssystemen, einschließlich Linux, Mac OS und Windows, werden eine Reihe von Programmen mitgeliefert, die die Festplatte formatieren, die den Computer, das Mikrofon oder die Kamera ausspionieren oder gar die komplette Kontrolle über den Computer übernehmen können“, erläutert Krstic seine Vorwürfe. Als Beispiel führt Krstic den Spiele-Klassiker „Minesweeper“ an, der mit praktisch allen Versionen von Microsoft Windows kommt. „Ich übertreibe nicht. Es gibt keinerlei Vorkehrungen dagegen, dass Minesweeper auch bösartige Dinge, wie die, die ich eben erläutertet habe, ausführen könnte. Das ist doch ein klarer Hinweis darauf, dass hier etwas nicht stimmt.“

Krstic erklärt, warum Programme wie Minesweeper die Fähigkeit haben, andere Programme negativ zu beeinflussen: Die Grundlagen hierfür gingen bis ins Jahr 1971 zurück, als die erste Unix-Version von den Informatikern Ken Thompson und Dennis Ritchie freigegeben wurde und das Aufspielen von Code auf einen Computer keine triviale Angelegenheit war. Um damals Programmkode ausführen zu können, musste dieser zuvor mit Hilfe von Lochkarten oder Magnetbändern auf den Computer übertragen werden. „Man trug den Code physikalisch mit sich herum, übergab ihn an den Rechner und ließ ihn laufen. Folglich hatte derjenige, der das Programm gestartet hatte, auch die Verantwortung für alles, was das Programm auf dem Computer anstellte. Heute, 35 Jahre später, benutzen wir immer noch die gleichen fundamentalen Sicherheitskonzepte, bei dem unsere modernen Computer unsicheren Code ausführen, sobald dieser gestartet wird – beispielsweise durch den Besuch einer verseuchten Internet-Seite.“