Die Entwicklung des digitalen Vertrauens

In today’s interconnected world, we can rely on all kinds of connections – from typical use at home, where we have computers, smartphones, and household appliances, to enterprises, where there are servers containing sensitive customer data or a multitude of controllers that are mission critical for manufacturing or provide revenue-generating services. 

Bei all diesen Beispielen verlassen wir uns darauf, dass unsere Geräte wissen, mit wem wir kommunizieren, und dass wir die Gewissheit haben, dass die Daten integer und vertraulich sind - sei es der Zeitplan für das Einschalten unserer Smart-Home-Geräte oder die Anweisung an die Maschine in der Fabrik, was sie tun soll, und alles, was man sich dazwischen vorstellen kann. Unser modernes Leben hängt davon ab, wie sehr wir den Systemen und Geräten vertrauen können, die unser Leben angenehmer machen, bestimmte Aufgaben erfüllen und unsere Gesellschaft in vielerlei Hinsicht effizienter machen.

As usual, I reflect on the core of all this stuff: mathematics and applied cryptography. For some folks, it is scary stuff. But for others like me, it is a passion I like to spend my time on, 30+ years and counting. Nevertheless, the important thing for all of us to remember is that many talented people have developed the concept of digital trust over the past four decades. These folks, the cryptographers, have developed algorithms and protocols that create the fabrics of trust and several security mechanisms that most of us use every single day, sometimes knowingly/intentionally, while many times it is all done for us automatically and “it just works.” Funny, math sometimes allows us to imagine things that are yet impossible to implement – back in the day, computers were computationally too weak, and we did not have developed infrastructure that would allow us to connect to just about anyone, anywhere. 

Das Entstehen von Vertrauen - von Browsern zu Personalausweisen

Wir, die wir vor dem Aufkommen von Smartphones geboren wurden, bevor es Google oder Facebook überhaupt gab, erinnern uns an das letzte Jahrzehnt des 20. Jahrhunderts, als alles begann, in die Praxis umgesetzt zu werden. 

It all started with browsers. As people started to use browsers to consume information available on the internet, it became imperative to ensure that we could trust what we saw in the browser and that others could not easily know what we were looking at. The browser that changed the world was Netscape, where a team led by brilliant cryptographer Tahel El Gamal gave us the capability to provide security in internet communication. It was called SSL protocol, and the modern-day iteration is called TLS. The SSL protocol is based on the use of so-called digital certificates and public key cryptography. This invention gave users on the internet the capability to connect securely to websites, thus providing trust in the internet, and it is safe to say it was one hugely important contributing factor towards the digital transformation of our societies. For instance, e-commerce was practically non-existent before this innovation. 

Die ersten Umsetzungen von "öffentlichem Vertrauen" und Diensten im Zusammenhang mit vertrauenswürdigen Systemen waren umständlich, überhaupt nicht benutzerfreundlich und erreichten oft nicht die angestrebten Ziele. Die Produkte waren einfach noch nicht ausgereift, und wie die meisten guten Absichten bei der öffentlichen Auftragsvergabe führten sie meist nur zur Verschwendung von Steuergeldern. 

Langsam aber sicher stellten sich einige Erfolge und wertvolle Lehren ein. Die B2C-Dienste wurden von einigen Banken eingeführt, da die Banken aufgrund der Art ihrer Tätigkeit wussten, wie wichtig Vertraulichkeit ist. Diese Systeme waren zwar für die damalige Zeit gut, ließen sich aber nicht gut skalieren. Die Benutzer benötigten ein spezielles Gerät, das an einen Computer angeschlossen werden musste (Smartcard-Lesegerät). Die (Neu-)Installation des Treibers software bei jedem Windows-Upgrade war ein wahrer Alptraum. 

Einige Regierungen hatten den kühnen Ehrgeiz, G2C-Dienste anzubieten. Neben den technischen Schwierigkeiten gab es auch länderspezifische "Standards" und Vorschriften, die bestenfalls nationale oder bevorzugte Anbieter schützten und schlimmstenfalls unzureichend sicher waren. Wir haben jedoch viel gelernt - während die ersten von der Regierung ausgegebenen ID-Karten mit "Smart Chips" vor mehr als 20 Jahren ein Fehlschlag waren, haben wir heute wunderbare Beispiele, bei denen die Mehrheit der Bevölkerung elektronische ID-Karten für den Zugang zu staatlichen und geschäftlichen Dienstleistungen verwendet. 

Living in Sweden, it is almost impossible to imagine how the world was working before BankID – we access all kinds of services on a daily basis using this service. Another example is the digital identity cards in Estonia, which are widely considered a model of success. Both examples have more than a decade of wide-range use, work for most of the population, and provide society with services that save tons of money for taxpayers. 

Die Herausforderungen des digitalen Vertrauens bei zunehmender Technologie

Doch mit der Verbesserung der Technologien sind auch Missbrauch und "Angriffe" einhergegangen. Das Problem der Skalierung auf eine große Zahl von Nutzern ist vielschichtig, und ich werde hier nur einige Beispiele nennen. 

Die Validierung eines einzelnen Zertifikats ist einfach, aber bei Millionen von ausgestellten Zertifikaten braucht jede Partei eine effiziente Methode, um sicherzustellen, dass sie mit der beabsichtigten und genehmigten Gegenseite kommuniziert. Selbst für das einfachste System mit nur einer Vertrauenshierarchie bedeutet dies große Datenübertragungen, nur um alle mit aktuellen Validierungsinformationen auszustatten. 

Außerdem sind in unseren Browsern mehr als 100 Vertrauenshierarchien eingebaut, und ein gewöhnlicher Benutzer hat keine Chance, sich an allen zu vergewissern, da dies eine enorme Aufgabe wäre. Übrigens waren einige dieser Vertrauensanker, die so genannten öffentlichen Zertifizierungsstellen, Ziel von böswilligen Angriffen und anschließendem Missbrauch. Wenn ein solches System kompromittiert wird und Millionen von Nutzern hat, kann es praktisch unmöglich sein, das Vertrauen wiederherzustellen. 

Es wurden Verbesserungen vorgenommen, und heute verfügen wir über Technologien, die eine bedarfsgerechte Validierung von Zertifikaten ermöglichen, und es haben sich Regeln und branchenübergreifende Vorschriften entwickelt, die regeln, wie die öffentlichen Vertrauenszertifikate ausgestellt werden. Ist es perfekt? Nein. Funktioniert es? Ja. Die Debatte wird nie enden - neue Angriffsmethoden müssen ständig berücksichtigt werden. 

Hier in Europa haben wir die länderspezifischen Standards weitgehend aufgegeben und sind zumindest zu europaweiten Standards übergegangen. Dies eröffnete einen wichtigen Wettbewerb zwischen den Anbietern, aber auch die Möglichkeit, dass ein Bürger von Land X Dienste in Land Y nutzen kann. Aber die Welt endet weder in Spitzbergen noch in Malta - wir müssen mit "allen" kommunizieren. 

Zum Wohle der Menschheit (meistens) haben die großen Technologieunternehmen eine wichtige Rolle bei der Durchsetzung von Technologien gespielt, die überall funktionieren (wo sie nicht verboten sind oder von bestimmten Regierungen kontrolliert werden). Ja, es war in ihrem Eigeninteresse, aber was soll's - es funktioniert (meistens)! 

One example that has been fairly successful is the 3GPP consortium, which brought a bunch of standards within mobile telecommunications. The trust model (related to the digital trust and use of PKI) from the 3GPP standards is arguably one of the best developed and has been used for almost 20 years now worldwide. 

There are so many details that I omit here, but it would be unfair to forget the contributions of companies and individuals towards the creation of the open standards that allow us to enjoy the benefits of the fabric of trust. When the cryptographers come up with some brilliant new discovery, then the engineers make it work in a consistent, interoperable manner. That is so much easier to say than do. The engineers who work on standards must look both back to allow the new systems to work with the old and ahead to allow for future improvements in a field that is rapidly evolving. The unsung heroes of the last 25+ years are the engineers who contributed towards interoperable standards. If I was to pick one organization, then it would be the IETF, where contributors from many companies delivered hundreds of de-facto standards without which the digital age we enjoy would be digital “wild west.”

Check back next week for a look at three trends impacting the evolution of digital trust. In the meantime, explore our white paper.