Software::Distributionen::Red Hat
Red Hat Enterprise Linux erhält erweiterte Sicherheits-Zertifizierung
Red Hat Enterprise Linux 5 wurde zertifiziert, den US-Sicherheitsstandard EAL4+ (EAL4 mit Zusätzen) einzuhalten, sofern es auf einem IBM-Rechner läuft.
Die EAL4 (Common Criteria Evaluation Assurance Level)-Zertifizierung ist die höchste, die ein allgemein erhältliches Betriebssystem erreichen kann. EAL4+ bedeutet, dass EAL4 und zusätzliche Anforderungen eingehalten werden. Höhere Stufen sind nur mit (halb-) formalem Sicherheitsdesign erreichbar, die laut James Morris ein ganz anderes Betriebssystem erfordern.
Damit wird RHEL 5 als vertrauenswürdiges Betriebssystem anerkannt, das auch mit vertraulichen Informationen sicher umgehen kann. Bisher wird dieser Markt, der vor allem für (US-) Behörden und das Militär interessant ist, von Trusted Solaris dominiert. Für alle US-Behörden, die vertrauliche Informationen vorhalten, ist die Einhaltung von EAL4 Pflicht.
Da RHEL 5 aber SELinux mitbringt, ist es nach Angaben von Morris viel flexibler und leistungsfähiger als andere Lösungen. Die Zertifizierung gilt zwar nur für RHEL 5 und IBM-Hardware, der Code ist jedoch auch für alle anderen Linux-Systeme, seien es Fedora, CentOS oder andere, frei verfügbar.
Laut Morris hatten es viele Leute im Vorfeld für unmöglich gehalten, dass ein freies Betriebssystem diese Zertifizierung erreichen kann. Doch nun wurde diese sogar mit den »Bordmitteln« von RHEL 5 erreicht. Das bedeutet, dass Sicherheit, die den Anforderungen der Behörden genügt, ein weiteres Feature ist, das man mit Linux standardmäßig erhält.
Die Bemühungen um die Zertifizierung hatten bereits 2005 begonnen. Schon im Februar 2004 hatte Red Hat Enterprise Linux die Zertifizierung gemäß EAL 2 erhalten. Konkurrent Novell erhielt bereits im Februar 2005 die EAL4-Zertifizierung für SUSE Linux-Enterprise 9 (SLES 9).
Eine EAL4-Einstufung bedeutet jedoch nicht automatisch ein sicheres System, da die Anforderungen extrem niedrig sind, wie diese Analyse der EAL4-Zertifizierung von Windows 2000 SP3 zeigt: »Das System ist sicher, solange es nicht ans Netz angeschlossen ist und man den Softwarelieferanten 100% vertrauen kann.«
