Geschichte der Computersicherheit

In diesem Kapitel stelle ich kurz die Geschichte der Computersicherheit in den letzten 40 Jahren dar. Computersicherheit wird erst seit den 70er Jahren tatsächlich untersucht, obwohl auch frühere Systeme, wie MULTICS und Atlas davon beeinflusst wurden.

Die folgende Darstellung basiert unter anderem auf der Zusammenstellung von Dokumenten durch Matt Bishop vom Computer Security Laboratory der Universität von Kalifornien in Davis (UCD). Diese ist im Internet unter http://csrc.nist.gov/publications/history/ zu finden.

1969 beschreibt Butler Lampson [4] bereits die Grundlagen moderner Zugriffskontrollsysteme. Hier werden die Begriffe Capability und Domain erstmals beschrieben. 1970 legt Willis H. Ware [8] die Grundlagen für Multi-Level-Security Systeme und beschreibt erstmals die Anforderungen an Betriebssysteme, wenn mehrere Benutzer Daten unterschiedlicher Sensitivität verarbeiten. 1972 erweitert James P. Anderson [9] das Multi-Level Modell von Ware in einer Studie für die United States Air Force. Im Jahr 1973 legen David E. Bell und Leonard J. LaPadula [10] mit ihrem Dokument ``Secure Computer Systems: Mahtematical Foundations'' die Grundlagen für das Bell-LaPadula-Modell. Dies ist bis heute das bekannteste Multi-Level-Security Modell. Dieses Modell wird in 3.3 genauer erläutert. 1974 definiert Butler Lampson das Referenzmonitor-Modell. Dieses, auch als Zugriffsmatrix bekannte Modell, beschreibt an Hand einer Matrix, wie ein Subjekt auf ein Objekt zugreifen darf.

1979 legen Peter G. Neumann et. al die Grundlagen für ein ``Provably Secure Operating System (PSOS)'' [11]. Dieses stellt später die Grundlagen für das Betriebssystem LOCK dar, welches 1987 von O. Sami Saydjari et. al vorgestellt wird [12]. Dieses Betriebssystem führt als erstes das Type-Enforcement ein. 1987 versuchen Clark und Wilson [5] das Bell-LaPadula und Biba-Modell auf kommerzielle Systeme zu übertragen. Der wesentliche Aspekt dieses Modells ist die Integritätsicherung. Damit lässt sich das Clark-Wilson-Modell gut auf Geschäftsprozesse übertragen.

1992 beschreiben Ferraiolo und Kuhn [13] das Role-Based-Access-Control-Modell. Dies wird in den folgenden Jahren weiterentwickelt ([14,15]) und von dem National Institute for Standards and Technology (NIST) standardisiert (American National Standard 359-2004).