© supernam / 123RF.com
Eine Zertifizierung nach Common Criteria verlangt verifiziert echte Zufallszahlen. Für frühe Kernel-Versionen ist das kein Problem. Aktuelle Kernel dagegen erhalten keinen Stempel mehr vom BSI.
Zufallszahlen sind für die Informationssicherheit fundamental. Ohne sie gäbe es keine sicheren Passwörter und keine vertrauliche Kommunikation. Das deutsche Bundesamt für Sicherheit in der Informationstechnik (BSI) überprüft daher regelmäßig die Qualität des Zufallszahlengenerators (Random Number Generator, RNG) im Linux-Kernel und stellt die Ergebnisse in einem fachlich sehr fundierten Bericht [1] der Öffentlichkeit zur Verfügung.
Während frühere Versionen des Linux-RNGs dem Standard NTG.1 [2] entsprachen, erfüllen die Kernel der Version bis 5.17 die stärkere Variante [3] DRG.3. Damit eignet sich Linux bezüglich der Zufallszahlen generell für die meisten sicherheitskritischen Anwendungen. Aktuelle Kernel erfüllen den Untersuchungen nach allerdings diese Standards nicht mehr. Was hat es mit diesem Rückschritt auf sich?
Standardisierung
Die Common Criteria for Information Technology Security Evaluation (kurz: CC) sind ein international anerkanntes Rahmenwerk zur Evaluierung der Sicherheit von IT-Produkten. Nach Common Criteria zertifizierte Systeme entsprechen einem definierten und überprüfbaren Sicherheitsstandard, der durch eine unabhängige Prüfstelle bestätigt wurde. Zufallszahlenlieferanten können im Rahmen solcher Zertifizierungen als sicherheitsrelevante Komponenten bewertet werden.
In Deutschland legt das BSI die AIS-Richtlinien (Application Notes and Interpretations of the Scheme) fest. Für Zufallszahlengeneratoren sind insbesondere AIS 20 (“Funktionale Sicherheit von Zufallszahlengeneratoren”) und AIS 31 (“Anforderungen an die Evaluierung von Zufallszahleng...
[...]
Linux-Magazin Online veröffentlicht alle Print-Artikel, die seit 2001 im Linux-Magazin erschienen sind. Damit steht Ihnen ein hochwertig bestücktes Archiv bis hin zu den Beiträgen der aktuellen Ausgabe online zur Verfügung. Die über 4.000 Artikel sind größtenteils kostenlos zugänglich, nur für Beiträge (als PDF) der jüngsten zehn Linux-Magazine ist eine kleine Gebühr fällig.
