Früher war alles schlechter? Was die Sicherheit betagter Software angeht, würden viele diesen Satz wohl unterschreiben. Doch der Mangel an Sicherheit lag oft nicht an den Entwicklern, wie ein Beitrag des X-Window-System-Erfinders Jim Getty erklärt.
Als einen der wesentlichen Gründe für Wayland verweisen die Entwickler immer wieder auf die mangelnde Sicherheit des X-Window-Systems. Die ist tatsächlich da, wie zum Beispiel ein älterer Blogpost von Joanna Rutkowska zeigt. Die Gründe aber liegen nicht unbedingt darin, das Entwickler damals nicht an die Sicherheit dachten. Wie ein aktueller Beitrag von X-Window-Miterfinder Jim Getty nahelegt, trug häufig die US-Regierung eine Mitschuld an fehlender Sicherheit. Die Unternehmen hätten damals oft aus rechtlichen Gründen auf Sicherheitsfunktionen verzichtet.
In seinem Post “Mythologisches über Sicherheit” wirft Getty einen Blick zurück auf die 80er Jahre. Damals arbeitete er am MIT zusammen mit Bob Scheifler am X-Window-System – und teilte sich ein Büro mit Steve Miller. Der wiederum tüfftelte am Kerberos Authentication Service, der heute noch immer für Microsofts Active Directory im Einsatz ist. Sicherheit, so Getty, spielte am MIT auch damals schon eine Rolle. Den X-Window-Entwicklern sei von Anfang an klar gewesen, dass das Übertragen von Keyboard-Eingaben über das Netzwerk im X-Protokoll eine Sicherheitslücke sei.
Krypto unerwünscht
Das Problem: Als die Entwickler am MIT fragten, ob sie Kerberos in das X-Window-System integrieren können, lehnten die Anwälte des Instituts ab. Die Begründung: Mit Kerberos fiele das X-Window-System unter die von der US-Regierung eingeführte Exportkontrolle für starke Kryptografie. Das würde die einfache Distribution der Software verhindern. Alles, was sie tun konnten, war, ein paar Hooks in das X-Protokoll zu bauen, um den Kerberos-Support über ein Quellcode-Patch zu integrieren. Selbst das Einbauen von Funktionen, die auf eine externe Kryptobibliothek verwiesen, sei keine Option gewesen. Als die US-Regierung die Export-Restriktionen schließlich lockerte, war das Patch dank SSH bereits überflüssig geworden.
Getty möchte klarstellen: Es war kein Mangel an Vorstellungskraft der Entwickler, der die Sicherheit der Software beschränkt hat, sondern es waren die Restriktionen aufgrund der Exportkontrollen der Regierung. Sie hätten die Internetsicherheit und das Design der Internetprotokolle von Anfang an beschnitten. Die Entwickler damals hatten die Wahl, ihre Software entweder zu verbreiten oder sich, wie PGP-Erfinder Phil Zimmerman, in einen “juristischen Morast” zu begeben.
Fehler nicht wiederholen
Software sicher zu machen, sei extrem hart, schließt Getty seinen Beitrag. Die von einigen Regierungen angestrebten “offiziellen” Backdoors hält er deswegen für falsch, schließlich hab man sich noch immer nicht von der letzten Runde der Regulierungsbemühungen der Regierung erholt.
