Zitat:
Abgesehen davon, daß jegliche Hardwarelösung nicht sicher sein kann, wenn wir eine Transitionsschicht zur Software haben.
Falsch. SmartCards sind Hardware und können ebenfalls mit eigener Software versehen werden.
Das wichtigste ist:
1.) die hardware muß einbruchsicher sein, für 99% aller Menschen ist eine stinknormale CPU heute schon einbruchsicher
2.) die Software auf dieser Hardware ist das Sicherheits kritische Element, richtig.
3.) das Gesamtkonstrukt verarbeitet ausschließlich geschützte Daten, also geschützte Daten rein, mit geschützter Software weiterverarbeitet, geschützte Daten raus und zb. auf geschützter MP3 Hardware abgespielt.
Fazit: FritzChip + Palladium ermöglichen in fact 100% sichere Datenverarbeitung. Ob das kommerziell tragbar ist ? Sicher doch, der Unterhaltungsindustrie gehen Milliarden jährlich durch die Lappen. Der Informationsindustrie wie Softwarekonzern, Medien wie Fernsehen oder Printmedien haben ein enornmes Interesse an einer absoluten Kundenbindung.
So zurück zum eigentlichen Thema da obige Ausführungen noch Zukunftsmusik sind.
Der einfachste Weg ist es sich nicht auf irgendwelche Hardware ID's zu verlassen. Die heutigen Datenmengen auf den PC's sind so rießig das es ein leichtes ist darin die eigenen Signaturen zu verstecken. Man erzeugt also solche auf Zufall basierenden Signaturen und versteckt sie möglichst verteilt in den rießigen Datenmengen. Die Eindeutigkeit solcher auf Zufall basierenden Signaturen hängt im Grunde nur von deren Größe ab. Exakt so geht Windows bei GUIDs vor falls keine eindeutigen HW-Signaturen zur Verfügung stehen.
Das die eigene Software nicht sicher vor Crackern ist dürfte wohl klar sein. Alleine schon dieser Fakt macht im Grunde jede größere Investition an Zeit in solche Verfahren sinnlos. Aber, diese Frage kommt alle 3 Wochen in der
DP wieder hoch.
Das beste Konzept ist es sich von vornhinein ein anderes Konzept zu suchen. Zb. eben die potentiellen Kunden einfach dazu zu bringen ehrlich ein Produkt zu benutzen, weil es von nur Vorteil für sie ist.
Braucht man nur eine relativ eindeutige ID zur Hardware, und man kann sicherstellen das ein Kunde kein Interesse hätte diese vorzutäuschen, dann reicht ein Aufruf von CreateGUID() und das Resultat in einer INI zu speichern.
Ein Kunde hat immer dann kein Interesse solche ID's vorzutäuschen wenn er vom Produzenten der Software mithilfe dieser ID + seinen persönlichen Daten einen erweiterten, schon bezahlten (weil inklusive) Sevice erwarten kann.
Diese Änderung im Konzept macht also aufwendige Sicherheitsmerkmale absolut überflüssig und stellt das Produzenten-Kunden Verhältnis wieder auf eine faire Basis.
Gruß Hagen