Next-Generation Secure Computing Base

Die Next Generation Secure Computing Base (NGSCB) ist eine Sicherheitsinitiative von Microsoft, die im Juni 2002 als Nachfolger von "Palladium" ins Leben gerufen wurde.

Im Januar 2003 war Palladium auf Grund des negativen Images bereits „tarnished“ (korrodiert). Aus Imagegründen wurde deshalb der neue Name gewählt.

Prinzipielle Grundidee

Das Konzept der NGSCB, das erstmals in der nächsten Windows-Version "Longhorn" eingesetzt werden soll, ergibt sich durch einen Kompromiss den Microsoft bereit ist einzugehen: Zum einen soll Windows ein möglichst sicheres Betriebssystem werden, zum anderen soll „alte“ Software weiterhin lauffähig bleiben. Die Lösung bildet der Nexus, ein zweiter Kernel der zum bisherigen Windows „hinzugeladen“ wird. Auch ein Entladen des Nexus im laufenden Betrieb ist vorgesehen. Nach dem Laden des Nexus gibt es laut Microsoft zwei Einschränkungen: Programme dürfen nicht mehr be­liebig auf den kompletten Speicher zugreifen und die CPU nicht mehr in den Real Mode versetzen.

Aufteilung von Windows

Zum jetzigen Zeitpunkt (Januar 2004) sind laut Microsoft einige wichtige Design-Entscheidungen in der NGSB-Entwicklung noch nicht gefallen; somit sind die folgenden Ausführungen nicht als unab­änderlich anzusehen.

In den vorhandenen Dokumenten unterscheidet Microsoft grundsätzlich zwischen der unsicheren Seite mit dem „normalen“ Windows(LeftHandSide) und der sicheren Seite des Nexus(RigthHandSide).

Der Nexus verwaltet auf der gesicherten rechten Seite sichere Anwendungen (Agents) und TSPs (Trusted Service Provider), die ein (sicheres) Pendant zu den Diensten unter Windows darstellen. Dienste und Anwendungen laufen zwar in sicheren Speicher­bereichen ab, bei beiden handelt es sich aber dennoch um „ganz gewöhnliche“ Software. Der Nexus sieht sie einfach als sicher an und geht davon aus, dass alles andere (also auf der LeftHandSide) unsicher ist. Wie dafür gesorgt wird, dass diese "sicheren" Programme auch sicher sind, ist bis jetzt noch unklar. Denkbar wäre ein Zertifizierungssmodell, bei der sichere Anwendungen auf ihre Sicherheit geprüft würden.

Daten von dieser unsicheren linken Seite gelangen über einen speziellen Treiber auf dieser LeftHandSide, dem Nexus-Manager, auf die RigthHandSide. Der Nexus prüft die Daten dann im NAL (Nexus Abstraction Layer), dem Gegenstück zum HAL (Hardware Abstraction Layer). Weichen die Daten von der Erwartungen ab, werden sie bereits hier verworfen. Außerdem muß der Nexus sich selbst und die gesammte RigthHandSide vor direkten Speicherzugriffen (z.B. über Busmaster-fähige Geräte) schützen.

Nötige Hardware

Der Preis für die Abwärtskompatibilität: NGSCB benötigt eine sichere Hardware-Umgebung. Eingabegeräte (momentan ist nur USB vorgesehen), Grafikkarte, Chipsatz, CPU und natürlich ein TPM müssen „sicher“ sein. Das heisst, dass sie sich eindeutig am Rechner authentifizieren müssen. Das können vorhandene Geräte nicht leisten, deswegen wird bereits neue Hardware mit ent­sprechenden neuen Treibern entwickelt, die die geforderte Sicherheit garantieren.

Kritik

Stecken in einem Palladium-PC ungesicherte Komponenten, so verweigern Palladium-Anwendungen möglicherweise die Arbeit. So könnten die Benutzer quasi gezwungen sein bestimmte Komponenten einzusetzen damit bestimmte Programme starten oder auch z.B. um an bestimmte Informationen gelangen zu können.

Trotz gegenteiliger Behauptungen liegt der Verdacht nahe, dass NGSCB nicht für sicherere Programme und geschützte Daten sondern zur sicheren Nutzung von DRM-Systemen entwickelt wurde.

Die nötige neue Hardware lässt vermuten, dass nicht zuletzt die Hardware-Industrie eine gewaltiges Interesse an der Einführung einer solchen Technik hat.

Siehe auch:

• TCG
• TCPA
• TPM
• TCPA/Palladium FAQ von Ross Anderson (deutsche Übersetzung)