Cryptografie-experts waarschuwen voor Microsoft NGSCB

Twee experts op het gebied van beveiliging waarschuwen voor NGSCB, de techniek van Microsoft die voorheen onder de naam Palladium bekend stond. EE Times citeert Whitfield Diffie die vindt dat de aanpak van Microsoft verkeerd is. Ook Ronald Rivest, de oprichter van RSA Security, wordt genoemd als tegenstander - hij wenst meer discussie en debat over NGSCB. De kritiek komt enkele weken voor het bedrijf uit Redmond een toelichting op de plannen zal geven.

Op het moment zijn al enkele details van NGSCB bekend. Het is de bedoeling om een hele infrastructuur op te bouwen die de veiligheid en authenticiteit van informatie moet waarborgen. Om dit te bereiken moet niet alleen de software worden aangepast, maar is ook speciale hardware nodig. Intel zal LaGrande in processors integreren dat verschillende van de benodigde functies moet bieden. De verbindingen tussen de centrale computer en randapparatuur als toetsenbord en monitor moeten ook beveiligd zijn.

De verschillende experts zijn niet per se tegen beveiligingstechnologie, maar vrezen dat de controle over de pc uit handen van de gebruiker wordt genomen. Ook is er angst dat systemen die geen gebruik maken van de nieuwe techniek uitgesloten zullen worden. Voorlopig is alles echter nog voornamelijk speculatie: zelfs over de Windowsversie die de technologie als eerste zal bevatten en de licentievorm die het project gebruikt zijn nog geen mededelingen gedaan. Over enkele weken zal Microsoft de onduidelijkheden rond NGSCB proberen te verhelpen:

Microsoft hopes its WinHEC presentations on security-as much as 18 hours of talks over three days-will end debates about whether the approach will work and begin the task of engaging a broader group of developers on the nuts and bolts of building it out, said Amy Carroll, a group product manager in the new security group.

Reacties (69)

[sebas]

Ik vind dit een erg zorgwekkende ontwikkeling. Ik kan mezelf uiteraard ook niet voorstellen dat ik palladium hardware zou kopen, maar daardoor kan ik inderdaad misschien ook binnenkort niet meer alles doen. De volgende FAQ licht de problemen rond TCPA / Palladium wat verder toe.

TCPA / Palladium / NGSCB / TCG FAQ

Naar mijn mening is dit verplicht leesvoer voor iedereen die - hoe dan ook - ermee te maken kan krijgen. Bewustwording van de mogelijke gevolgen van TCPA / Palladium is in dit ontwikkelingsstadium erg belangrijk, inderdaad, om het project nooit tot een 'succes' te laten worden. De gevolgen zijn in mijn ogen fataal voor de informatiemaatschappij, dingen als Free Software zullen het erg moeilijk krijgen, er zijn nu al legio manieren te bedenken hoe er misbruik van gemaakt kan worden, naast het gevaar van buitensluiting van bepaalde systemen.

Ik kan me echter ook voorstellen dat de plannen van Microsoft / Intel tot een massale overstap naar alternatieve besturingssystemen, echter kan het - zoals al aangeduid natuurlijk ook enorme invloed hebben op de ontwikkeling en de gebruiksmogelijkheden van "third party software".

[boesOne]

Ik kan me echter ook voorstellen dat de plannen van Microsoft / Intel tot een massale overstap naar alternatieve besturingssystemen..

Hier heb je een goed punt. Want hoelang is de lifecycle van computer.. 3 tot 5 jaar max.
De computer is nou zover doorgedrongen dat zelfs de gewone consument wel een stapel cds met mp3's heeft liggen. Wat nu als die tot zijn verbazing die niet willen spelen op zijn nieuwe bak van de Dixons. Hij is not amused.
Het woord zal snel gaan dat op de iMacjes ze gewoon wel spelen.. Onderschat dit effect niet !
MS kan wel denken dat ze consumenten gebonden hebben, maar door de snelle lifecycles van systemen kan binnen 3 jaar de meerderheid overgestapt zijn op een geheel ander platform..

[Verwijderd]

Hee z'n naam kwam me al bekend voor. Het RSA-algoritme waarop encryptie berust ontleent z'n naam aan Ronald Rivest, Adi Shamir, and Leonard Adleman. Wel grappig dat ze Rivest nu als tegenstander noemen van Microsoft's plannen op dat gebied.

edit: meer over het RSA-algoritme @ http://home.ecn.ab.ca/~jsavard/crypto/pk0502.htm

[wzzrd]

Hee z'n naam kwam me al bekend voor. Het RSA-algoritme waarop encryptie berust ontleent z'n naam aan Ronald Rivest, Adi Shamir, and Leonard Adleman. Wel grappig dat ze Rivest nu als tegenstander noemen van Microsoft's plannen op dat gebied.

Beetje loze kreet, dit.
Ze zeggen nadrukkelijk niet tegen encryptie an sich te zijn. Wat zegt het feit dat je (één van de mede-)oprichters van een zeker (als in: één van de vele bestaande) algoritme bent, nou over hoe je tegen Palladium staat? Niets toch?

Daarnaast dient RSA een heel ander doel dan Palladium. RSA heeft als doel bestanden te encrypten, zodat deze niet leesbaar zijn voor mensen zonder de juiste key. Palladium kàn in ieder geval ook daadwerkelijk de toegang tot bijvoorbeeld binaries ontzeggen aan bepaalde mensen. Heel iets anders dus.

Deze mensen hebben het volste gelijk van de wereld om hun vraagtekens te hebben bij deze techniek.

[bille]

Daarnaast dient RSA een heel ander doel dan Palladium. RSA heeft als doel bestanden te encrypten, zodat deze niet leesbaar zijn voor mensen zonder de juiste key

Dat is één van de toepassingsmogelijkheden. RSA heeft opzich niets te maken met encrypten van bestanden.
RSA heeft te maken met authenticatie.. ben jij wel wie je zegt dat je bent? Daarvoor hebben ze een slimme public/private key/priemgetallen methode bedacht.

Palladium implementeert naast authenticatie ook authorizatie..als je bent wie je zegt dat je bent dan mag je hetvolgende wél en het andere niet.

Opzich niet echt een verschrikkelijke vernieuwing, het is alleen jammer dat ze het met een MS pushtechniek op de markt gaan zetten. Er is namelijk wel vraag naar fatsoenlijke beveiliging, waarmee ook bijv. de "ontslagen werknemer" gestopt mee worden en niet alleen de hackers, maar weinig mensen willen het van MS aannemen omdat er altijd weer een máár bijzit.

Wil je goede beveiliging? Dan krijg je dat, máár: dan moet je wel:
a: CPU van merk A hebben
b: een nieuw OS, van ons natuurlijk
c: etc....

en natuurlijk is merk A het enige bedrijf dat een licentie krijgt van MS om de betreffende techniek te implementeren. slim slim slim.

[dasiro]

Al een geluk dat we ook nog een concurrerend merk B hebben dat heel die rotzooi en dictatuur niet gaat ondersteunen en we binnenkort dus niet ons UTP-kabeltje uit de pc moeten rukken om er zeker van te zijn dat de een of andere beveiligingsexpert (of vervangend proggie) automatisch ff heel onze config door elkaar kan smijten als we ff rustig naar de plee gaan.

misschien eens een mailtje naar MS sturen:
I do not want a secure system, I don't need a firewall and hackers may have acces to my computer, because they can't find anything they can use, except for some mature porn I made from my girlfriend. Please is there a way to disable these settings, because if not I can't buy your newest OS and u would be losing money. And if there's something in the world u don't want to happen it is that

Sincerely, an average user (one like 80% of your customers)

het is kettingbrieventijd

[Verwijderd]

neej dude, dat zeg ik ook niet bedoel alleen dat ze de (bijna) uitvinder (het was iemand anders! volg link) van het algoritme noemen als tegenstander van microsofts plannen.

[Beaves]

De verschillende experts zijn niet per se tegen beveiligingstechnologie, maar vrezen dat de controle over de pc uit handen van de gebruiker wordt genomen.

Precies, en helemaal omdat de hardware producenten dus ook mee gaan doen en dat is helemaal irritant.

Om MS kan je heen, je gaat Linux of een ander OS gebruiken, maar om Intel en AMD (yep, ook AMD gaat meedoen) kan je heel wat moeilijker, je zou dan op een ander platform moeten overstappen wil je het hele gebeuren omzeilen.

Ik vind het hele security gebeuren ook een beertje overhyped, waarom moeten we ineens over op toetsenborden die gebruik maken van 1024453 bits beveiligingen of is het echt een noodzaak dat mijn BIOS alleen maar vertrouwede software toelaat? Ik maak zelf wel uit wat ik wanneer en hoe doe.

[Verwijderd]

Nu begin ik goed te begrijpen waarom China eigen technologie willen. China wilt geen palladium, tcpa,...

Godsons importeren!!! een goedkope chinese dvd-speler mag er ook bij...

Dan zijn er 2 mogelijke gevolgen van palladium, tcpa,...

1) Mensen kopen massaal Chinese en "gecrackte" hardware

2) Crackers en vrijheidstrijders komen in opstand en strijden zowel online als op straat... De 21ste eeuwse versie van de Franse Revolutie komt eraan...

[_Pussycat_]

je zou dan op een ander platform moeten overstappen wil je het hele gebeuren omzeilen.

Jep, de Macintosh. Daar ben je (voorlopig) veilig: Apple is geen TCPA-lid, en omdat ze universal over willen nemen kunnen ze niet door de muziekindustrie gedwongen worden.

[ArnoudJ]

Op een Apple heb je nou ook niet bepaald veel vrijheid. En als Apple op een gegeven moment het roer om gooit dan heb je geen keuze meer.

Ik denk dat het veel meer effect heeft als iedereen die zwaar tegen deze ontwikkeling is Linux installeert, eventueel eerst naast Windows. Er zal altijd wel een Linux distribitie blijven bestaan die deze techniek niet ondersteunt, als er al een distributie is die het wel gaat ondersteunen.

En natuurlijk je spelletjes netjes in de winkel kopen, dan hebben de spelletjes-fabriekanten in ieder geval geen reden om deze techniek te ondersteunen.

[Verwijderd]

Ach.. hack the planet..

[Verwijderd]

het is een systeem waar NIEMAND op zit te wachten alleen mensen die het copieeren tegen willen gaan!!!

Ik wil geen systeem met al die paladium shit waar je ook nog eens voor moet betalen want voor NIX gaat de zon op verder kost ALLES geld

verder zal dit een stap zijn om te testen (net als de chipknip) als het voor HUN goed werkt maar blijkt dat iedereen het uitzet... dan begint het feest pas dan wordt het (idem als de chipknip) door je strot geperst of je het wil of niet!!!

* 786562 Legolas_1973

[wzzrd]

Voor *nix gaat de zon op
*nix is ook gratuit hoor

[qless]

Ik vind dit hele enge technieken...eng omdat de macht over de pc bij een aantal (vooral amerikaanse!!!!) bedrijven komt te liggen.

Stel je eens voor...Dan zou bv. de amerikaanse regering kunnen zeggen "oh de Duitsers zijn tegen ons...dus mogen er geen Duitse programma's meer gebruikt worden"...enzenzenz

Effectief ook het einde van het zelf programmeren/shareware/freeware... Je hebt immers geen budget om je programmas te laten certificeren...

[miw]

De macht ligt dus al de-facto bij die amerikaanse bedrijven. Er is op zich ook weinig tegen speciale instructies die een secure micro kernel mogelijk maken. Dan kan je tenminste een computer infrastructuur maken waar het wat moeilijker in te breken is. Vooral voor wat grotere netwerken zijn nauwelijks meer te beschermen tegen aanvallen.
Verder kan er met dit soort faciliteiten een extra bescherming gebouwd worden tegen het misbruiken van een beveiligingsgat in een programma. Op zichzelf hoeft dit niet zo kwalijk te zijn, al is het natuurlijk niet zo handig om iets dat zo gevoelig ligt in achterkamertjes te regelen.

[WiD]

Weet er iemand of ook Transmeta meedoet aan die zooi? Anders zou Linus wel eens de lachende 3e kunnen worden AMD en Intel maken zichzelf onmogelijk en via, tja, die zullen wel moeten volgen wegens te veel belangen in chipsets voor beiden.
Transmeta daarentegen is veel kleiner en onafhankelijker. En dat Linus tegen de stroom in durft gaan, dat heeft Bill ook al ondervonden.

[damen]

Uhm, niet vergeten dat Linus een 'werknemer' bij Transmeta is he, niet iemand die de hele strategie bepaald. Ok, hij zal vast wat invloed hebben op wat Transmeta doet enzo, maar om te zeggen Linus is geen M$ fan dus het is te verwachten dat Transmeta niet met M$ meegaat, mischien een beetje kort door de bocht :-)

[NEn]

ik hoop dat dit initiatief net zoveel succes krijgt als het id van intel om serienrs uitleesbaar te maken via internet "voor de veiligheid"... Dit is enkel een marnier om klanten aan zich te binden c.q. afhankelijk van hen te maken...

[Mick]

De verbindingen tussen de centrale computer en randapparatuur als toetsenbord en monitor moeten ook beveiligd zijn.

Zou dat strikt noodzakelijk zijn voor een goede beveiliging? Dat lijkt me namelijk al een makkelijk punt voor `misbruik': dat ik gedwongen wordt een dure monitor van merk X te gebruiken omdat die 25" stuntmonitor van de Aldi `not trusted' is en dus de verbinding met mijn PC wordt geweigerd. Hoop niet dat het zover komt..

[Verwijderd]

Ik dacht dat de klant koning was?
schijnbaar niet bij MS die zijn al zo arrogant dat ze hun klanten troep als dit willen opdringen.
Zou me niks verbazen als Intel en AMD een belachelijk groot bedrag hebben gekregen van MS om die zooi te implementeren.

Eigenlijk zou de hele wereld masaal op linux over moeten stappen, en een jaartje geen cpu's meer kopen van AMD en intel, dan moet je is opletten hoe hard ze weer alles willen terug draaien.
Maar ik ben bang dat deze techniek er wel doorkomt, want de "domme" consument heeft gewoon totaal geen idee wat dit allemaal inhoud .

[Verwijderd]

ik vrees dat je gelijk hebt...

[Verwijderd]

Mensen op GoT hebben hier ook al een paar weken een draadje lopen over dit onderwerp http://gathering.tweakers.net/forum/list_messages/739949
Als je echt verder gaat denken hebben sommige mensen in dit topic een heel goed punt .... alleen of het goed is , is nog maar de vraag