Software-Lösung!?

Hallo,

hier die offizielle Beschreibung von Secusmart zur Smartcard, die im MicroSD-Speicherkartenleser die Softwarelösung auf dem Smartphone ergänzt:

"SecuSUITE for BlackBerry 10 erfüllt sämtliche seitens des Bundes gestellten Sicherheitsanforderungen. Basis der Lösung ist der Hardware-Sicherheitsanker Secusmart Security Card: Die Secusmart Security Card hat den Formfaktor einer Micro-SD-Karte und wird einfach in das Smartphone gesteckt. Sie verantwortet Verschlüsselung und Authentifizierung. Herzstück der Secusmart Security Card ist ein NXP Krypto-Controller mit PKI-Coprozessor für die Authentifizierung. Ein zusätzlicher Highspeed-Coprozessor verschlüsselt Sprache und Daten mit 128 Bit AES. Die Hochsicherheit ist somit direkt in die Micro SD Card implementiert."

Die Frage hierzu wäre:

Kommt das vom Sicherheitsstandard her an die Sicherheit heran, die ein Trustet Platform Module in einem PC bietet (was es bei Standard-Smartphones nicht gibt)? Ich denke, dass die Smartcard schon einen etwas besseren Schutz bietet als die von Secusmart und Vodafone angebotene SecureSIM (die dafür billiger ist).

Auf der heutigen Veranstaltung war es schon interessant zu beobachten, dass eben die technische Sicherheit nicht das höchste Gut ist, wenn sie von Bundesministern wie Philipp Rösler nicht benutzt (boykottiert?) wird. Die Frage ist nur, wie groß die Kompromisse für eine einfache Handhabung des Systems sein dürfen.

Alexander Kuch

Benutzer Kuch schrieb:


Die Verschlüsselung der Secusmart-Karte ist sicher stark, und mit hoher Wahrscheinlichkeit ist sie auch ein guter Speicherort für private und/oder geteilte Schlüssel. Das Problem ist aber, dass auf dem Applikations-Prozessor des Blackberry-Smartphones zusätzliche Apps installiert werden können, im ungeschützten Teil des Geräts sogar auch private Apps. Wenn sich ein Bundesminister ein mit einem NSA-Trojaner verseuchtes "Angry Birds" einfängt, dann könnte dieser Trojaner die Sprachdaten eines Geheimgesprächs abfangen, BEVOR sie von der Secusmart-Karte verschlüsselt werden.

Das ganze kommt mir also ein bisschen so vor, als ob man einen hochsicheren Tresor in eine Bank einbaut, dann aber nur den von einer Zeitarbeitsfirma angeheuerten Aushilfspförtner (entspricht dem App-Prozessor, auf dem Fremd-Apps installiert werden dürfen) prüfen lässt, wer rein darf.


Kai

Das Ding macht nur Sinn, wenn ausschließlich geprüfte Apps installiert werden können. Oder gar keine außer den schon vorhandenen Facebook und Twitter. Der Hauptvorteil für die Nutzer ist ja, dass auch unverschlüsselte Privatgespräche und SMS möglich sind.

Ein Dual-Handy hätte natürlich noch andere Vorteile, nämlich gleichzeitiger Empfang auf zwei Nummern, aber die Entwicklung wäre wohl doch zu aufwendig für die geringe Stückzahl.