Den Unterschied zwischen Test und Evaluierung kennst Du aber schon?
Was soll denn eine Zerifizierung effektiv helfen?
Ein Stempel und ein Versprechen, dass sie vertrauenswürdig sind.
Nun ja, was bedeutet eine Zertifizierung denn?
Dass ein Produkt gegen eine öffentlich verfügbare Prüfvorschrift evaluiert wurde, der Prüfer zu einem positiven Ergebnis kam und das entsprechende Gutachten vom Zertifizierer wiederum zumindest formal verifiziert wurde.
Ich finde, das ist schon eine Menge. Weiss man, wer der Gutachter war und bekommt ggf. Kurzformen der Gutachten - was in sensitiven Bereichen durchaus üblich ist - kann man schon recht gut über die von Dir angezweifelte "Vertrauenswürdigkeit" entscheiden.
Ansonsten verstehe ich nicht ganz den paranoiden Ansatz, professionellen Gutachtern nicht zu vertrauen, dieses aber "Menchen [..], die quelloffene Software kontrollieren" zu schenken.
Wenn man nicht selber alles aus einzelnen NANDs zusammenlötet, musst Du
immer irgendjemand vertrauen. Sei es nun ein Security-Gutachter oder die "halb-anonyme" Gruppe im Netz, die sich eine SW/HW vorgenommen hat. Und generell die Zweitere der Ersteren vorzuziehen zeugt eher von Verschwörungstheorien als Realismus.
Nur weil OpenSSL Open Source ist, gibt es da grossen Stellen im Code wo bestimmt niemand ausser der jeweilige Core-Entwickler durchblickt und wo demnach auch alles mögliche drin stehen könnte. Jemals da reingeschaut? Da gibt es Teile, die würden durch Code Obfuscation nicht mehr unverständlicher. Nur weil Open Source draufsteht und jemand reinschauen
könnte heisst das noch lange nicht, das es auch jemals jemand tut.
Und zur HW: meine Frage hast Du nicht beantwortet.
Wird aus einigermaßen handelsüblichen Komponenten eine hardware basierte Verschlüsselung zusammengebastelt ist das sicherer, als wenn man spezielle Komponenten verbaut, weil da natürlich Angreifer ein besonderes interesse daran haben, einen Fuß in die Tür zu bekommen.
Ist es Dir möglich, diese Aussage genauer zu auszuführen?
Wieso wäre es sicherer, wenn Du Dein HW-Security-Teil (was auch immer es wäre) aus Standardkomponenten zusammengebaut hast. Was sollen denn eigentlich "Standardkomponente" sein bzw. was wäre denn dann nicht mehr Standard? Natürlich kannst Du alle Bausteine, die in solchen Systemen verwendet werden, auch bei Conrad oder grossen Supplieren kaufen, das ist doch nicht das Thema.
Das Problem ist doch das
zusammengebaut. Das machst Du - oder zumindest der Grossteil der Anwender - mangels Fertigkeiten nicht selber. Also musst Du wieder demjenigen trauen, der es zusammengebaut/produziert hat, die Firmware programmiert oder irgendwo herbekommen und darauf installiert hat ...
Wo genau ist da jetzt der Unterschied? Das man es
prinzipiell auch selber machen
könnte?
Das ist in die Tasche gelogen, weil 99,99% der Anwender es eben nicht können - und die müssen dann halt doch jemanden vertrauen. Hilft alles nichts.
