… oder “da könnt ja jeder kumman?!”
Eine Einleitung
Sicherheit?
“Security through Obscurity” oder auf Deutsch “Sicherheit durch Obskurität” ist ein Prinzip aus der IT-Sicherheit. Wenn man diesem Prinzip folgt, versucht man die Sicherheit zu gewährleisten, indem man die Funktionsweise des Systems geheim hält. Die Idee wird weitgehend abgelehnt, da ein sicheres System sicher ist - unabhängig davon, ob offen ist, wie es funktioniert.
Daher empfiehlt auch das National Institute of Standards and Technology, eine der wichtigsten Normungsinstitutionen, das gegenteilige Prinzip - “Sicherheit durch Transparenz” - anzuwenden1.
Das wurde auch flächendeckend im Netzwerkbereich umgesetzt. Open-Source-Software wie der Linux Kernel (UNIX und Linux-Systeme haben auf Servern einen Markteinteil von 90 %2. Alle 500 der Top-Supercomputer verwenden ein Linux-Betriebssystem3, sowie beinahe alle Router, Switche und andere Netzwerkgeräte), die Webserver Apache, Nginx und OpenResty (Marktanteil zusammen knapp 45 %4, weitere 21 % entfallen auf Cloudflare und Google, welche ebenfalls Open-Source-Software einsetzen) folgt diesem Prinzip, da der Quellcode für alle einsehbar ist. WordPress, Joomla, Drupal und Typo3 sind ebenfalls Open-Source. Jedes moderne, als sicher geltendes kryptografisches Verfahren wie AES, RSA oder ECDSA ist nicht darauf angewiesen, dass die Funktionsweise geheim ist. Die Verfahren sind standardisiert, die Standards öffentlich. Unsere moderne Welt ist fast komplett aus offenen Standards und offener Software zusammengebaut.