Dongles für Software stufe ich als form des Rechte Management, und aufgrund der Funktionsweise auch als DRM ein.
TCPA liefert in Verbindung mit einer online Registrierung und TAN den perfekten Dongle, auf allen Rechnern vorinstalliert. > Ich lese allerhand über TCPA, incl. der Specs, aber was ich nicht > lese, ist die Garantie, dass niemand eine Möglichkeit finden _kann_, > das Zeug genauso zu verarschen, wie es mit den gängigen Dongles > passiert. Garantie? Rüdiger Weis kann sich ja nicht entscheiden ob er TCPA als sicher und böse oder unsicher und lächerlich einstuft, zumindest konnte ich derelei nicht aus seinem Vortrag auf dem letzten Congress entnehmen. Aber lange listen von potentiellen Sicherheitslücken hat er sehr wohl vorgebracht. IBM hat mal geäussert, der Chip wäre nicht wie bei smart cards gegen spezielle Angriffe gesichert (leider finde ich die quelle aber nicht mehr). Das Design sieht aber gut aus, diverse Experten haben sich nachweislich damit beschäftigt und bisher nichts veröffentlicht. Sowas ist für Sicherheit ein guter Indikator. Interessant wird die Frage, wie z.B. Software updates ohne verlust der gesicherten Daten möglich werden. Bisher ist der Punkt komplett offen, und ich habe NULL infomationen finden können, wie das sicher implementierbar ist. Den Schluss, eine gute Anwendung für TCPA könne es aber gar nicht geben halte ich für eine Vogel Strauss aktivität. Ich habe eigene Ideen geposted und auf fremde verwiesen, ernsthafte Diskussion gab es dazu nicht. > Wie lange wird es eigentlich dauern, bis jemand die Hardware- > Schlüssel re-engineered hat? Und wie soll jemals verhindert werden > _können_, dass jemand mit einer virtuellen Maschine solche Hardware > emuliert? Nein, jeder ausgelesene hardware schlüssel muss auf die CRL, und diese muss bei jeder remote TCPA verbindung geprüft werden. Ja, wenn das auslesen der hardware schlüssel routine wird, dann klappt das ganze system in sich zusammen. Zumindest falls nicht die gesamte potentiell verwundbare Hardware über Listing auf der CRL nutzlos wird. Einen interessanten Angriffspunkt gibt es damit allemal. > Vor Sicherheitskonzepten aus dem Hause Microsoft Zeige mir wo Microsoft *konzeptionelle* Fehler macht. Ein paar kenne ich, aber im wesentlichen machen Sie fehler in der Implementierung, also nichts was sich nicht mit der Zeit beheben lässt. Und der Kontostand von MS zeigt an, das sie viel Zeit zur Verfügung haben. Tschüss, Andreas
