Security through obscurity/Hintergrund

Hintergrund

Der Ausspruch des Informationstheoretikers Claude Shannon The enemy knows the system („Der Feind kennt das System“) ist ein Ansatzpunkt, von dem heute bei der Erstellung von Sicherheitskonzepten ausgegangen werden sollte

Sicherheit, die ausschließlich auf der Geheimhaltung oder Verschleierung von Verfahren beruht, hat sich oft als ungenügend herausgestellt
Als Ergänzung bestehender Sicherheitskonzepte konnte sich Verschleierung – bis zur Verbreitung automatisierter Test-Umgebungen ("Fuzzing") – jedoch als wirkungsvoll z. B. gegenüber automatisierten Angriffen erweisen

Kryptographie beruht grundsätzlich darauf, dass die Entschlüsselung durch Geheimhaltung von Daten verhindert wird

Der Unterschied besteht darin, ob ein Schlüssel oder auch der verwendete Algorithmus geheim gehalten wird – denn sobald der Algorithmus für viele Dinge verwendet wird, ist er nicht mehr geheim, sondern weit verbreitet. Security by obscurity wäre dann der Versuch, Dinge geheim zu halten, die weite Verbreitung finden

Ein starker Algorithmus, beispielsweise der Advanced Encryption Standard oder das RSA-Kryptosystem, erfordert aus der Sicht der reinen Kryptographie-Sicherheit keine Geheimhaltung des Verfahrens, sondern nur des verwendeten Schlüssels

Die Kryptographie-Sicherheit beschäftigt sich mit der Sicherheit eines Verfahrens

Gleichwohl werden immer wieder Verschlüsselungsalgorithmen geheim gehalten

Schließlich können durch deren Kenntnis die eventuellen Schwachstellen entdeckt werden, so dass sich erst später herausstellt, dass die Verschlüsselung nicht effektiv war
Ein Beispiel ist RC4, welcher sieben Jahre lang geheim gehalten wurde, bis 1994 der Quellcode anonym veröffentlicht wurde – inzwischen gilt RC4 als massiv unsicher

Auf diese Weise führt security by obscurity zu einem Verlust von Sicherheit, da bei diesem Prinzip die vermeintlichen Sicherheitsmethoden nicht auf ihre Wirksamkeit überprüft und die unwirksamen Methoden nicht frühzeitig als solche verworfen werden können

Das sehr weit verbreitete Konzept von Passwörtern ist trotz der offensichtlichen Geheimhaltung ebendieser meist keine security through obscurity

Das Passwort entspricht dem verwendeten Schlüssel, der sowohl bei security through obscurity als auch bei dem Kerckhoffs’schen Prinzip geheim gehalten werden muss, um Unbefugten Zugang bzw. Zugriff zu verwehren
Unabhängig davon ist die Methode zur Überprüfung der Eingabe und dem Abgleich des richtigen Passworts
Diese sollte nach dem Kerckhoffs’schen Prinzip offengelegt werden bzw. wäre eine Geheimhaltung des Prinzips als security through obscurity einzustufen