Die Idee, unternehmensweit einheitlich Schlüssel und Kryptoparameter zu verwalten, erscheint nützlich. Doch vor dem Nutzen kommt der Eigennutz, so dass sich zwei Industriekonsortien um Sun einerseits und um IBM/HP auf der anderen darum streiten. Und dann ist da noch die TCG.
Systemverwalter, die Kryptographie einsetzen, ärgert die Vielfalt der Formate, mit denen Anwendungen Schlüssel, Sicherheitsbeziehungen, Zertifikate und sonstige Angaben rund um die Verschlüsselung ablegen. Somit erschwert sich der Austausch des Schlüsselmaterials zwischen Applikationen in heterogenen Landschaften. Insofern ist der Vorstoß einer Gruppe von Anbietern, zu denen HP, IBM, Brocade, EMC, LSI, Seagate und Thales gehören, nachvollziehbar, der Normierungsbehörde OASIS den Standard KMIP vorzuschlagen.
Das Key Management Interoperability Protocol (KMIP) soll vom Laptop bis zur Storage-Lösung die Kryptodaten vereinheitlichen und vornehmlich zu einem Key Management Server transferieren. Dazu hat das Konsortium binnen 14 Monaten intensiver Arbeit einen über hundertseitigen Vorschlag (PDF) erarbeitet, erklärt Mark Schiller, Leiter von HPs Security Office: “Über 20 erfahrene Mitarbeiter der mitwirkenden Unternehmen haben an dem Konzept und einem Proof-of-Concept gearbeitet.” Schiller will auf Nachfrage von Linux-Magazin Online jedoch zu diesem Zeitpunkt nicht verraten, ob die Partner diese Referenzimplementation, etwaige Bibliotheken oder Anwendungen auch veröffentlichen wollen. Die OASIS als Standardisierungsgremium haben sie deshalb gewählt, weil so das Ergebnis Entwicklern auch anderer Unternehmen kostenlos zur Verfügung stünde. Die OASIS verfüge darüber hinaus “über eine erhebliche Glaubwürdigkeit in Security-Fragen”, meint Schiller. Die Frage, wieso die Gruppe etwa die IETF nicht in den Prozess einbezogen hat, lässt er unbeantwortet.
Als ob sie die sarkastische Tanenbaum-Binsenweisheit bestätigen wollten, dass das Schöne an Standards sei, dass es so viele davon gäbe, stellte Sun im direkten Anschluss seine eigene Methode vor, um Schlüsselmanagement zu konsolidieren. Natürlich wirbt auch dieses Unternehmen damit, herstellerübergreifend, generisch und Open Source zu sein. Dazu bietet es das Crypto KMS Agent Toolkit unter einer BSD-Lizenz an, das sich allerdings nur mit Sun Studio 12 übersetzen lässt. Darüber hinaus befreie man die Kunden von den Fesseln proprietärer Produkte in diesem äußerst zersplitterten Markt, weiß Jason Schaffer, Bereichsleiter Storage Product Management bei Sun. Mit der Hilfe von EMC-Tochter RSA sowie “zahlreichen Industriepartnern” wolle man den eigenen Standard bei der IEEE 1619.3 Working Group einreichen.
Laut einer Meldung von Channel Web sind beide Konsortien wenig bereit, mit den anderen zusammenzuarbeiten. Sie weisen wechselseitig darauf hin, dass jeder eingeladen sei, am jeweils eigenen Werk mitzuarbeiten.
Um jedoch dem Bild von einem schmerzhaften Zweikampf auf dem Rücken der Anwender vorzubeugen, hat auch die Trusted Computing Group (TCG) noch ein paar Asse im Ärmel: Der Industrieverband, bei dem übrigens Unternehmen beider Konsortien Mitglied sind, brachte kürzlich das Sicherheitssubsystem Opal (PDF) heraus, das sich aus Sicht eines TPM unter anderem um die Fragen des Schlüsselmanagements kümmert. Anwender müssen offenbar noch auf absehbare Zeit ihre Passwörter selbst verwalten.
