|
|
| Startseite | Produkte | Seminare | Support | Sicherheit | Ergonomie | Kontakt |
(von Wolfgang Redtenbacher, <wolfgang@redtenbacher.de>)
Analyse der Aussagekraft einer Studie der TÜViT GmbH, Essen:
Mit der Freigabe von MS-Office XP und Windows XP führte Microsoft eine neue Form des "Kopierschutzes" ein: die Produktaktivierung. Nach der Installation läuft das System nur für 30 Tage, wenn der Benutzer nicht die "Installations-ID" seines Systems per Telefon oder Internet an Microsoft übermittelt und von dort einen Freischaltcode erhält.
Da bei der Produktaktivierung über das Internet die Datenübertragung verschlüsselt erfolgt, waren Datenschützer und Konsumenten besorgt, ob Microsoft im Rahmen dieser Aktion neben der "Installations-ID" ggf. auch andere Informationen von den PCs der Anwender übermittelt bekommt. Immerhin hatte das ZDF-Magazin WISO am 30.07.2001 bei einer durchgeführten Produktaktivierung ein Volumen des Datenverkehrs von 72 KB (= ca. 18 DIN-A4-Seiten) gemessen und fand, daß dieses Volumen für die Übertragung einer 50stelligen Zahl (der "Installations-ID") doch wohl etwas groß geraten sei.
Um die Befürchtungen potentieller Kunden zu zerstreuen, beauftragte Microsoft die TÜViT GmbH, Essen, mit einer Studie zur Vertrauenswürdigkeit der Produktaktivierung. Diese privatwirtschaftlich tätige Prüfstelle hatte schon ein Jahr zuvor eine für Microsoft erfolgreiche Studie erstellt, in der 2 Psychologen im Rahmen einer "Vergleichenden Prüfung von MS-Windows 2000 und Linux als Netzwerkbetriebssysteme" dem Auftraggeber bestätigt hatten, daß das MS-Produkt dem Konkurrenzbetriebssystem in technischer und ergonomischer Hinsicht überlegen und insgesamt sogar kostengünstiger sei.
Auch die zweite TÜViT-Studie war für Microsoft erfolgreich, und der Auftraggeber warb anschließend mit folgendem "Prüfergebnis", das im Dezember 2001 in vielen Zeitschriften und im Internet publiziert wurde:
TÜV-Prüfung: Keine Spionage bei XP-Aktivierung
Die Produktaktivierung von Windows XP und Office XP läuft anonym ab, es werden keine Daten über die installierte Software und nur sehr wenige über die Hardware-Ausstattung des Rechners übertragen - egal, ob sie per Telefon oder übers Internet stattfindet. Zu diesem Ergebnis kommt eine Untersuchung der TÜV Informationstechnik GmbH (www.tuvit.de), die Microsoft in Auftrag gegeben hat. Die Prüfstelle erhielt Einblick in die Quelltexte.
Doch hatte die TÜViT-Untersuchung wirklich bewiesen, was die Presse-Information von Microsoft behauptete? Einige sicherheitsbewußte Unternehmen wollten es genau wissen und beauftragten den Verfasser, der u. a. für die Deutsche Akkreditierungsstelle Technik (DATech) die Fachkompetenz von Prüfstellen in den Bereichen Softwareergonomie und EDV-Sicherheit begutachtet, mit einer Analyse der Aussagekraft der TÜViT-Studie.
Der vollständige Prüfbericht der TÜViT-Untersuchung wird von TÜViT und Microsoft als vertraulich eingestuft und ist nicht öffentlich zugänglich. Erhältlich ist jedoch eine 16-seitige Kurzfassung im Acrobat-5-Format mit dem Titel "Summary der technischen Prüfung der Microsoft Produktaktivierung für Windows XP, Office XP und Visio 2002", die unter der Adresse "http://www.tuvit.de/index.asp?content=000203" abgerufen werden kann.
Zu vier für das Prüfergebnis bedeutsamen Aspekten, über die der "Summary"-Bericht keine eindeutige Aussage macht, richtete der Verfasser ergänzende Fragen per E-Mail an den Projektleiter der Studie, Herrn Dipl.-Phys. Hans Günter Siebert. Herr Siebert antwortete zu den meisten Punkten zwar nur sehr vage und ausweichend, jedoch konnten die noch offenen Fragen schließlich mit Hilfe des verantwortlichen Geschäftsführers der TÜViT GmbH, Herrn Dipl.-Ing. Antonius Sommer, geklärt werden.
Der Auftrag an die TÜViT GmbH bezog sich nicht, wie die Presseinformation von Microsoft suggeriert, auf einen Nachweis, daß Microsoft keine Datenspionage betreiben würde. Die exakten zu prüfenden Aussagen von Microsoft sind im "Summary"-Bericht in Abschnitt 1.1 (Ziel der Untersuchung) aufgeführt. Zur umstrittenen Produktaktivierung über das Internet steht dort lediglich, daß außer der Installations-ID, sonstigen "Informationen zur Internet-Aktivierung", Informationen zum Land und den technischen Protokollerfordernissen zur Herstellung einer Internet-Verbindung "keine weiteren Angaben an Microsoft erforderlich" seien (vgl. die Microsoft-Aussagen 3a, 3b und 3c im "Summary"-Bericht).
Die Aussagen lassen jedoch zwei Punkte offen:
Die Übertragung von weiteren Informationen, die auf der Festplatte des Anwenders gespeichert sind, mag zwar nicht erforderlich sein, ist jedoch durch die Microsoft-Aussagen nicht ausgeschlossen.
Daß sich die Rechtsanwälte von Microsoft dieser feinen, aber wichtigen Unterscheidung durchaus bewußt sind, legt der Vergleich des deutschen Prüfauftrags an die TÜViT GmbH mit einem ähnlichen früheren Prüfauftrag von Microsoft an die Unternehmensberatung Deloitte & Touche in Seattle nahe. Im dortigen Auftrag, der allerdings nur zu einer juristisch unverbindlichen Meinungsäußerung ("opinion report)" geführt hatte, lautete die entsprechende Formulierung noch "ist erforderlich oder wird an Microsoft übertragen" ("is required by or transmitted to Microsoft"). In den MS-Aussagen, die der TÜViT-Prüfung zugrunde gelegt wurden, fehlt hingegen der zu überprüfende Zusatz "oder wird an Microsoft übertragen".
Die Mehrzahl der von Microsoft vorgegebenen Aussagen, die die TÜViT GmbH prüfen sollte, befassen sich entweder mit Offensichtlichkeiten ("Wenn der Benutzer das Produkt über Telefon aktiviert, werden ... keine Informationen über das Internet ... übertragen") oder mit Details der Produktaktivierung per Telefon.
Sicherheitskritisch ist jedoch lediglich die Produktaktivierung über das Internet. Denn bei einem Telefongespräch mit dem Microsoft Activation Center in Münster kann naturgemäß keine Datenspionage erfolgen, die dem Benutzer verborgen bleiben würde. (Die "Installations-ID" selbst hätte wohl kaum die Bedenken der Datenschützer und Konsumenten geweckt, denn in einer 50-stelligen Zahl läßt sich nicht all zu viel Information übertragen.)
Verglichen damit geht es bei der Produktaktivierung über das Internet um ein erheblich höheres Datenvolumen (ca. 18 DIN-A4-Seiten, s. o.), von dem Microsoft nur etwa 3,5 KB (d. h. weniger als 5 %) offengelegt hat. Aus diesem Grund beschränken sich die nachfolgenden Ausführungen auf die Produktaktivierung per Internet, die nach einem Bericht des Heise-Verlags von rund 70 % der Benutzer gewählt wird.
Der erste Absatz von Abschnitt 2.1 (Vorgehensweise) des "Summary"-Berichts suggeriert, daß die TÜViT-Prüfer nach nationalen oder internationalen Normen vorgegangen wären. ("Die Prüfungen fanden auf Basis der für solche Prüfungen anzuwendenden Vorgaben gemäß dem Stand der Technik statt, wie er vor allem in Normen, Regeln und Richtlinien festgeschrieben ist.") Beim Nachfragen des Verfassers nach diesen "Normen und Regelwerken" mußte die TÜViT GmbH jedoch - nach anfänglicher Weigerung, die Prüfgrundlagen transparent zu machen - letztlich eingestehen, daß es sich in Wirklichkeit um TÜViT-interne Regelwerke gehandelt hatte, die sich lediglich nach der subjektiven Einschätzung der TÜViT-Prüfer an anerkannten Normen "orientiert" hätten.
Daher ist es wichtig, genauer nachzuvollziehen, was gemäß den TÜViT-internen Regelwerken wirklich geprüft wurde.
Wie in den Abschnitten 2.1 und 2.2 des "Summary"-Berichts näher ausgeführt, haben die TÜViT-Prüfer ein 5-tägiges "Audit" (22.-26.10.2001) bei Microsoft in Redmond durchgeführt.
Hier wurden den Prüfern vertrauliche Spezifikationen zur Produktaktivierung vorgelegt, und sie durften Interviews mit MS-Entwicklern führen. Sie erhielten Einblick in die Konfigurationskontrollsysteme von Microsoft, konnten anhand eines von Microsoft aufgebauten Testsystems eine Produktaktivierung mehrfach "durchführen" und erhielten Einblick in die erzeugten Datenbankeinträge des Testsystems. Es erfolgte jedoch nur eine Inspektion derjenigen Datenbanktabellen des Testsystems, die in den MS-Unterlagen als relevant spezifiert waren.
Die bei der Produktaktivierung tatsächlich über das Internet übertragenen Daten wurden mitprotokolliert, und es wurde festgestellt, daß die verschlüsselt übertragene Datenmenge "wesentlich größer" als die gemäß den zur Verfügung gestellten Unterlagen zu erwartenden "Nutzdaten" war. Auf eine Entschlüsselung des Übertragungsprotokolls wurde jedoch verzichtet. Statt dessen wurde mit Hilfe eines von Microsoft zur Verfügung gestellten Programms der Inhalt der vorbereiteten Registrierungsangaben inspiziert und die gegenüber dieser Inspektion festgestellte "wesentlich größere" Datenmenge der Übertragung ohne weitere Prüfung als "Erfordernisse der Internetprotokolle" erklärt (vgl. die letzten beiden Absätze von Abschnitt 2.2.3 des "Summary"-Berichts).
Theoretisch war den Prüfern auch eine unbeschränkte Einsichtnahme in den Quellcode von Windows XP und MS-Office XP zugestanden worden. In der Praxis beschränkte sich der Blick in den Quellcode jedoch auf diejenigen Teile, die von Microsoft vorher als für die Produktaktivierung relevant ausgewählt worden waren (vgl. erster Absatz von Abschnitt 2.2.4 des "Summary"-Berichts).
Was hatte die TÜViT-Prüfung somit gezeigt?
Sie hatte bewiesen, daß ein einzelner Mitarbeiter von Microsoft nicht in der Lage ist, Datenspionage zu betreiben, ohne daß dies von anderen Mitarbeitern bemerkt werden würde. Außerdem hatte sie belegt, daß mit an Sicherheit grenzender Wahrscheinlichkeit auch keine versehentliche Übertragung von persönlichen Daten durch eventuelle Programmierfehler bei der Produktaktivierung stattfindet.
Wer daher der Firma Microsoft grundsätzlich Vertrauen schenkt und nur Befürchtungen hinsichtlich einzelner "schwarzer Schafe" unter den Programmierern in Redmond gehegt hat, wird mit der TÜViT-Prüfung zufriedengestellt sein.
Doch waren das tatsächlich die Befürchtungen der Datenschützer und Konsumenten gewesen, die Microsoft mit der TÜViT-Studie ausräumen wollte?
Ein Blick in die Leserbriefe (oder Internet-Foren) von Computerzeitschriften zeigt ein ganz anderes Bild: Die Skepsis des überwiegenden Teils derjenigen, die durch die MS-Produktaktivierung beunruhigt waren, richtete sich gegen die Firma Microsoft selbst (d. h. gegen die Firmenleitung) und nicht gegen einzelne Programmierer oder gar gegen einzelne Mitarbeiter in den Microsoft Activation Centers.
Diese skeptischen PC-Nutzer (und wohl auch die meisten Redakteure von Computerzeitschriften) nahmen an, daß durch die TÜViT-Prüfung die Ehrlichkeit und Vertrauenswürdigkeit von Microsoft bei der Produktaktivierung nachgewiesen worden wäre. Dies war jedoch keineswegs der Fall: Vielmehr hatte das Prüfvorgehen der TÜViT GmbH die zu untersuchende und im Rahmen der Prüfung zu bestätigende Vertrauenswürdigkeit vorausgesetzt!
Somit weist die TÜViT-Prüfung zumindest 4 fachliche Mängel auf, von denen jeder einzelne die Prüfaussage völlig zunichte machen kann:
In der elektronischen Kommunikation mit dem Projektleiter der TÜViT-Studie sowie im direkten Gespräch mit dem verantwortlichen TÜViT-Geschäftsführer zeigte sich, daß bei der TÜViT GmbH die Überzeugung vorherrscht, eine Sicherheitsprüfung müsse von der Ehrlichkeit der geprüften Firma/Institution ausgehen und könne diesen Aspekt nicht mit technischen Mitteln garantieren.
Dieses Verständnis von "Sicherheit", das die TÜViT GmbH der Studie zugrunde legte, widerspricht jedoch den Forschungsergebnissen der letzten Jahrzehnte im Sicherheitsbereich. Entwicklungen wie "digitale Signatur", "elektronisches Geld" u. v. m. beruhen ja gerade auf Verfahren, die völlig unabhängig von der Ehrlichkeit und Vertrauenswürdigkeit der an einer Transaktion beteiligten Personen oder Firmen mit hauptsächlich technischen Mitteln sicherstellen, daß die jeweilige "Prüfaussage" (z. B. die Nicht-Abstreitbarkeit einer Bestellung) garantiert werden kann.
Es wäre durchaus möglich gewesen, die TÜViT-Prüfung so zu gestalten, daß sie völlig unabhängig von der Vertrauenswürdigkeit des geprüften Unternehmens einen zuverlässigen Nachweis für die Prüfaussage hätte erbringen können.
Ein mögliches Prüfvorgehen, das diese Sicherheit bieten würde, könnte z. B. wie folgt aussehen (und würde kaum mehr kosten als das von der TÜViT GmbH gewählte Verfahren):
Ein solches Vorgehen würde der Prüfstelle ermöglichen, eine zuverlässige Aussage über die Produktaktivierung zu machen, ohne dazu dem Auftraggeber der Studie Vorschußvertrauen geben zu müssen. Die Maßnahmen der Prüfstelle hätten für sich genommen bereits die "Spionagefreiheit" des Produktaktivierungs-Vorgangs sichergestellt.
Die Schwachstellen der TÜViT-Prüfung sind für sich genommen keine Indizien dafür, daß im Rahmen der Produktaktivierung eine Datenspionage erfolgt. Bei einer Sicherheitsprüfung im Sinne einer "Vermeidung von Datenspionage und -manipulation" soll jedoch die Prüfung gerade nachweisen, daß die geprüfte Institution keinen "Datenklau" betreibt und somit vertrauenswürdig ist. Sie darf daher die nachzuweisende Vertrauenswürdigkeit nicht bereits im Vorfeld stillschweigend unterstellen.
Insofern hat sich die TÜViT GmbH ungeeigneter Prüfmethoden für den Nachweis der Aussage "Die Microsoft Produktaktivierung ist einfach, schnell und vertrauenswürdig" bedient. Darüber hinaus läßt das Verhalten der Prüfstelle im Umfeld dieser Studie Zweifel an der für Prüfstellen erforderlichen Unabhängigkeit aufkommen. So hat z. B. die TÜViT GmbH das Prüfergebnis nicht nur dem Auftraggeber mitgeteilt und auf der eigenen Website publiziert, sondern auch ein Werbeschreiben für die Vertrauenswürdigkeit der Produktaktivierung an den TÜViT-Adreßbestand verschickt. Dies weist entweder auf ein eigenes wirtschaftliches Interesse am Prüfergebnis oder auf eine bezahlte Werbeaktion für den Auftraggeber der Prüfung hin. Denn es ist wohl zweifelhaft, ob bei einem für Microsoft negativen Prüfergebnis ebenfalls ein entsprechender Serienbrief an den TÜViT-Adreßbestand gesandt worden wäre.
Für die TÜViT GmbH läßt sich somit insgesamt festhalten, daß sie bei dieser Studie gegen die folgenden zwei Güteerfordernisse für Prüfstellen verstoßen hat, die in internationalen Normen festgelegt sind:
Was den Auftraggeber der Studie und die Vertrauenswürdigkeit der Produktaktivierung betrifft, so besteht aufgrund der fachlichen Mängel der TÜViT-Prüfung leider weiterhin die unklare Situation aus der Zeit vor der TÜViT-Studie. Sofern Microsoft die Befürchtungen der Datenschützer und Konsumenten wirksam ausräumen möchte, müßte daher eine Prüfung beauftragt werden, die den "Stand der Technik" im Sicherheitsbereich nicht nur für sich beansprucht, sondern auch tatsächlich konsequent umsetzt.
(Stand: 09.04.2002)
| Nach oben | Nach oben |