Seit 2012 untersucht das Bundesamt für Sicherheit in der Informationstechnik (BSI) die Pseudozufallszahlen-Funktionen des Linux-Kernels (/dev/random) auf Fehler. Es wurde ein neuer Bericht vom BSI vorgelegt, der den aktuellen Linux-Kernel 4.12 abdeckt und haben angekündigt, dass die Tests mindestens zwei weitere Jahre fortgesetzt werden.

Bislang wurden keine schwerwiegenden Fehler in der Umsetzung des Linux-Zufallszahlengenerators gefunden und das BSI ist mit den Entropie-Werten des Kernels zufrieden.

Die Tests wurden von Stephan Müller von der Sicherheitsfirma Atsec durchgeführt. Bis Version 4.9 hat er den Zufallszahlengenerator (RNG) des Linux-Kernel komplett getestet und alle von dieser Version abweichenden Änderungen bis Kernel-Version 4.12 dokumentiert. Der Linux-Kernel schätzt die für die Erzeugung der Pseudozufallszahlen genutzte Entropie laut dem Ergebnis sehr konservativ ein. In der Regel ist also viel Entropie guter Qualität vorhanden, allerdings geht der Kernel davon aus, dass ihm weniger Entropie zur Verfügung steht als das eigentlich der Fall ist.

Die Qualität der vom Kernel zur Verfügung gestellten Zufallszahlen ist beim Betrieb auf nativer Hardware und in virtuellen Maschinen vergleichbar, wie die Tests von Müller zeigen. Da vor allem die Linux-Server, die Webdienste anbieten, immer häufiger virtualisiert laufen, ist das wichtig. Auch wurde geprüft, wie viel Entropie beim Systemstart zur Verfügung steht, denn bei einem Start eines Systems werden viele Dienste initialisiert, die später ununterbrochen laufen und zum sicheren Betrieb gute Zufallszahlen benötigen. Der Kernel schätzt auch diese sehr konservativ ein und liefert zufriedenstellende Ergebnisse.

Somit erfüllt der Linux-Kernel die relevanten Funktionalitätsklassen (NTG.1 und DRG.3) der Spezifikation 20/31. Auf der Projektseite des BSI kann die komplette Analyse Müllers in englischer Sprache heruntergeladen werden. Da der Linux-Kernel ständig weiterentwickelt werde und gute Zufallszahlen ein grundlegender Bestandteil der IT-Sicherheit seien, betont das BSI, dass sie den Linux-Kernel weiter untersuchen wolle.

(ts, hannover)

(siehe auch Heise News-Ticker:)

Hannover · EDV-Beratung · Linux · Novell · Microsoft · Seminar · IT-Consult · Netzwerk · LPIC · CLE