Citation Hunt

"

Die bei der digitalen Signatur der TCG verwendete Hashberechnung SHA-1 gilt mittlerweile unter bestimmten Bedingungen als theoretisch angreifbar. Kritiker bemängeln, dass die TCG-Spezifikationen deswegen in Zukunft sicherheitstechnisch anfällig werden könnten und den eigentlichen Sinn einer sicheren Plattform nicht mehr erfüllen können.^[1] Bei den dabei angesprochenen theoretischen Schwachstellen handelt es sich aber um Kollisionsangriffe, während für ein TPM ein Preimage-Angriff erforderlich wäre, der praktisch unmöglich ist.^[2]

Es gibt bisher kein Compliance-Programm, mit dem überprüft werden kann, ob die jeweilige Implementierung der TCG-Spezifikation (sowohl der TPM-Hardware als auch von SW-Modulen) verschiedener Anbieter der Spezifikation entspricht. Bei anderen Technologien (z. B. USB) eingeführte und erprobte Möglichkeiten wären z. B. Third-Party Evaluierung oder Selbst-Evaluierung mit offiziellen Testvektorsätzen. Es fehlt damit für den potenziellen Nutzer eine einfache Möglichkeit (es sei denn man testet selbst) zu erfahren, ob denn in einem Produkt gemäß TCG-Spezifikation auch TCG enthalten ist (z. B. Güte-Zertifikat aufgrund definierter Regeln und Überwachung dieses Prozesses). Im Frühjahr 2006 arbeitete die TCG aber intensiv an einem Compliance-Programm und hatte bereits einen ersten Entwurf für ein solches Programm öffentlich bereitgestellt.

Die lange Anfangsphase der Bildung der Spezifikationen, die erst nach intensiven, internen Diskussionen verabschiedet und veröffentlicht wurden, hat zu einer großen Misstrauensbildung in der Öffentlichkeit geführt. Hier wurde es versäumt, durch frühzeitige, leichtverständliche und einfache Zusammenfassungen die Öffentlichkeit aufzuklären und Fachredakteuren bei der Erstellung von qualitativen Artikeln zu helfen. Da die verabschiedeten und veröffentlichten Spezifikationen mehr als 1200 Seiten Umfang erreicht haben, ist man, um einen Überblick zu erhalten, letzten Endes auf entsprechende externe Literatur angewiesen.