Channel Security

Oliver Winzenried, heutiger Vorstand der WIBU-SYSTEMS AG, hat 1989 zusammen mit Marcellus Buchheit die Firma WIBU-SYSTEMS in Karlsruhe gegründet. Er blickt auf über 25 Jahre Entwicklungserfahrung in den Bereichen Industrieelektronik, Automotive und Consumer Elektronik zurück. Oliver Winzenried studierte Elektrotechnik an der Universität Karlsruhe und ist heute aktiv in Standardisierungsgremien und Verbänden wie VDE, IEEE, BITKOM, SIIA, PCMCIA und USB, um nur einige zu nennen.

Entwickler Magazin: Seit wie vielen Jahren beschäftigen Sie sich mit Kopierschutzsystemen?
Oliver Winzenried: Bevor mein Partner und ich 1989 WIBU-SYSTEMS gegründet haben, durchleuchteten wir den Markt. Unsere Erfahrung war, dass keine optimalen Produkte zum Schutz von Software auf dem Markt verfügbar waren. Deswegen hatten wir das Ziel, die vielfältigen Schwächen der damaligen Produkte in ein flexibles, effektives und sicheres Produkt umzuwandeln – und schon war WIBU-KEY geboren. Natürlich entwickelt sich die Softwareindustrie weiter und fordert inzwischen Lösungen für die geänderten Bedürfnisse – beispielsweise noch stärkere Schutzmechanismen gegen Hackerangriffe. Deswegen bieten wir stets verbesserte aber kompatible Softwareschutzlösungen mit ausgereiften Sicherheitskonzepten für Softwarehersteller an. Faszinierend daran ist, dass wir unsere Produkte ständig in jeder Richtung verbessern müssen, um den Wettlauf mit Hackern aus Russland, den Wettbewerbern mit Low-cost-Produkten aus China und der stetigen Umsetzung neuester Technologien gewinnen können. Nur dies gibt uns die Chance, in einem Hochlohnland wie Deutschland langfristig erfolgreich zu sein und weiter zu wachsen.

EM: Wo sehen Sie die Hauptanwendungsgebiete Ihrer Produkte? Welche Branchen und Kunden wenden Ihre Produkte an?
Winzenried: Heute wird der Löwenanteil unserer Produkte zum Schutz von Software eingesetzt. Meist ist dies hochpreisige Software, bei der der Softwarepreis wesentlich den Preis der WIBU-BOX oder des CM-Sticks übersteigt. Neben dem reinen Schutz werden Lizenzmanagement im Netzwerk sowie Logistikvorteile durch modulare Lizenzierung genutzt.
Die Hauptanwendungen liegen bei Software im CAD/CAE-Bereich, aber auch CRM-Lösungen und Software im industriellen Bereich, zum Beispiel Prozessvisualisierung oder auch Maschinensteuerungen.
Hinzu kommen Anwendungen im Konsumerbereich, die erstmals mit CodeMeter bedient werden können, da der Softwarehersteller den "Dongle" nicht kaufen muss: zum Beispiel "WISO Mein Geld" oder "Tax2005" oder Produkte im Spielebereich und Software für Musiker.

EM: Wo macht Kopierschutz Ihrer Meinung nach Sinn?
Winzenried: Kopierschutz passt für alle Arten von "Intellectual Property". Kopierschutz oder Digital-Rights-Management (DRM) ist für Anbieter und Nutzer von Vorteil gegenüber Pauschalabgabensystemen wie beispielsweise GEMA oder VG Wort. Warum? Pauschalabgabensysteme verteuern PCs, CD-Laufwerke, Drucker auch dann, wenn sie überhaupt nicht zum Kopieren urheberrechtlich geschützter Werke genutzt werden. Als nationale Lösung stellen sie außerdem Wettbewerbsnachteile für Deutschland dar. Anderseits werden die Urheber nicht angemessen entlohnt. DRM-Systeme wie CodeMeter bieten Flexibilität für den Anwender, der nur für das bezahlt, was er nutzen möchte, und dies aber mobil überall nutzen kann. Solche DRM-Systeme stellen sicher, dass der Urheber individuell den Preis seiner "Leistung" festlegen kann. Der Gesetzgeber hat sich schon in Richtung technische DRM-Systeme bewegt, jedoch die Pauschalabgabensysteme immer noch zu weit anerkannt. Sie sollten auf Analogkopien, zum Beispiel Fotokopierer oder analoge Audio/Videoaufnahme, beschränkt werden; hier sind diese bewährt und meines Erachtens in Ordnung. Bei digitalen Gütern passen sie aber nicht, da die Kopie keinen Qualitätsverlust gegenüber dem Original hat.

EM: Inwieweit hat sich die Art der von Ihnen angebotenen Produkte im Laufe der Jahre entwickelt?
Winzenried: 1989 war der Kopierschutz wirklich reiner Kopierschutz: Wenn der "Dongle" am PC angeschlossen wurde, konnte man die Software nutzen und sonst nicht. In der Zwischenzeit hat sich viel verändert: Neue Schnittstellen wie PCCard und USB, Multiplattformfähigkeit für Windows, Linux und Mac OS sowie die Unterstützung gemischter Netzwerke und neue Lizenzmodelle wie Pay-per-Use, Try-before-Buy kamen hinzu. Darüber hinaus ist es möglich, nachträglich Lizenzen in eine WIBU-BOX auf einfache und sichere Weise zu übertragen, die bereits an den Anwender geliefert wurde.
Durch harte Verschlüsselung und Technologien ausführbare Programme zu verändern, erreichen wir heute einen sehr hohen Sicherheitslevel. WIBU-SYSTEMS bewies dies durch drei Hacker's Contests. Das Ziel, eine geschützte Funktion zu knacken und ein geheimes Berechnungsergebnis dieser Funktion zu ermitteln, wurde nicht erreicht.
Mit CodeMeter bieten wir heute ein einzigartiges Produkt an: Der CM-Stick bietet DRM für Tausende von Lizenzen von unterschiedlichen Herstellern und gleichzeitig bis zu 2 GB sichere Flash Disk. Durch Verwendung von ECC- und AES-Verschlüsselung bieten wir anerkannte harte Verfahren und höchste Sicherheit durch einen vom Anbieter definierbaren Private oder Secret Key. Damit könnte selbst WIBU-SYSTEMS als Erfinder und Hersteller des Schutzsystems den Schutz nicht umgehen. Bei CodeMeter erhält auch der Anwender einzigartige Vorteile: Zum Betrieb müssen keine Treiber mehr installiert werden, und jeder CM-Stick bringt persönliche Sicherheitsfunktionen wie den CM Password Manager, Steganos Safe zur Dateiverschlüsselung und Zugangsschutz mit SecuriKey Lite mit. Wichtig für die Akzeptanz im Konsumermarkt sind: CodeMeter wurde mehrfach ausgezeichnet, zum Beispiel mit dem iF Design Award, der Nominierung zum Designpreis 2006 der Bundesrepublik Deutschland und der Wahl zum Finalist bei der Software and Information Industry Association in den USA in der Rubrik "Best Digital Rights Management Solution: Software".

EM: Für wie wichtig erachten Sie das Internet als Möglichkeit für die Realisierung von (neuen) Kopierschutzverfahren?
Winzenried: Gerade durch das Internet werden sichere Kopierschutzverfahren immer wichtiger. Das Internet ist das ideale und kostengünstigste Vertriebsmedium für digitale Güter aller Art wie Software, Studien, Standards, Dokumente, Musik und Videos. Die Einfachheit ermöglicht auch die Distribution illegaler angefertigter Kopien von Standorten, die keine Urheberrechte kennen.
Sind die Anwender "always online", so könnte man meinen, ein Kopierschutz wäre nicht mehr nötig, da der Anbieter ständigen Kontakt zur Anwendung hat. In den meisten Fällen funktioniert dies aber nicht, da erstens die Anwender auch "offline" die Software nutzen wollen und andererseits durch Programmpatches die Verbindung unterbrochen werden kann.
Produktaktivierung ist eine beliebte Lizenzierungsart in Massenmärkten. Sie hat den Vorteil, dass vor Nutzung der Software ein Kontakt zum Anbieter aufgebaut werden muss und der Anbieter durch eine Registrierung die Anwenderdaten erhält. Dies kann auch für den Anwender nützlich sein, wenn er über nützliche Tipps, Upgrades oder Updates informiert wird. Produktaktivierung bedeutet aber meist auch Bindung an einen bestimmten PC. Dies ist unbequem für den Anwender, wenn er wegen eines Defekts oder des Alters eines PCs auf einen neuen PC wechseln möchte, denn er muss alle Aktivierungen wiederholen. Der Anbieter auf der anderen Seite weiß nicht, wenn er die x-te Aktivierung durchführt, ob der Kunde tatsächlich einen neuen PC hat oder nur ein zusätzliche "Gratis-Lizenz" möchte.
Aktivierung mit CodeMeter bietet dagegen viele Vorteile: Ein CM-Stick kann nahezu unbegrenzt Lizenzen für viele Produkte speichern. Der CM-Stick wird durch Verwendung von Public-Key-Verfahren vom Licenseserver des Anbieters sicher authentifiziert. Der Anwender behält seine Mobilität. Lediglich der CM-Stick, der weitere Vorteile bietet, muss vom Anwender einmalig erworben werden. Dies ist eine Investition, die sich mehrfach auszahlt. Für Pay-per-Use-Verfahren benötigt man sichere Hardware, um die Nutzung zu messen. Im Mobilfunkbereich ist dies die SIM-Karte im Handy. Aber was kann man beim PC nutzen? Solange TPM nicht verbreitet ist und neue Betriebssysteme dies unterstützen, benötigt man in jedem Fall sichere "Dongles". Bei CodeMeter kann ein Dongle viele Lizenzen speichern und mit unbegrenzten Attributen wie die Anzahl der Benutzer im Netzwerk, Pay-per-Use-Messungen, Ablaufdatum, Modulfreischaltung ausgestattet sein und diese beliebig kombinieren. Der Anwender benötigt also nicht spezielle Dongles für Netzwerksupport oder Zähler oder die Nutzung von Datumsinformationen.

EM: Wo stellen sich hier die Probleme in Bezug auf Angreifbarkeit von Internet-basierten Verfahren?
Winzenried: Wir bevorzugen heute stets Lösungen, die nur zur Übertragung von Lizenzen – also beim Kauf, Verkauf oder Update – eine Internetverbindung benötigen. Der Anwender kann seine Systeme unabhängig offline nutzen.
Die Lizenzübertragung über das Internet haben wir mehrfach mit Public Key Kryptographie abgesichert: Zum einen authentifiziert sich der CM-Stick beim Server des Anbieters. Dies verhindert, dass eine Softwaresimulation vortäuschen kann, ein CM-Stick zu sein. Die weiteren Schritte sind bei CM-Talk, unserem SOAP-basierten Protokoll zur Übertragung der Lizenzen übers Internet, ebenfalls abgesichert gegen alle möglichen Man-in-the-Middle-Angriffe.
Das Risiko beim Anwender besteht höchstens darin, dass der CM-Stick selbst ausfällt. Für diesen Fall kann der Anwender einen "Reserve-CM-Stick" haben, der die Lizenzen begrenzt für einen kurzen Zeitraum enthält. Dies gibt dem Anwender höchste Verfügbarkeit zu minimalen Kosten.

EM: Wie werden sich Kopierschutzsysteme Ihrer Meinung nach entwickeln?
Winzenried: Kopierschutz und Digital-Rights-Management-Systeme werden zusammenwachsen. Die Anwendungen werden erweitert: Von hochpreisiger Software heute zu Low-Cost-Software morgen, genauso wie für Dokumente, Online-Zeitschriften, Video On Demand, HDTV, DVB-H, Musik, Anwendungen im mobilen Bereich, zum Beispiel Navigation und Kartenmaterial. Dazu kommen neue gesetzliche Anforderung an eCommerce, zum Beispiel Altersverifikation beim Online-Weinhändler oder für Erotikangebote. Mit CodeMeter arbeiten wir an Lösungen in diesen Bereichen. Neben den PC-Plattformen mit USB-Schnittstelle (Windows, Linux, Mac OS, Mediacenter und Settopboxen) werden wir das DRM mit CodeMeter auf PDAs und High End Mobile Phones, die heute meist einen SD/MMC Slot bieten, ausdehnen.
Natürlich können wir als mittelständisches Unternehmen keine weltweiten Standards festlegen. Wir setzen an dieser Stelle auf Kooperationen mit den Big-Playern und versuchen, wo immer es geht, Interoperabilität mit den am Markt bestehenden Systemen herzustellen. Durch Patente rund um CodeMeter stellen wir sicher, dass wir in solchen Kooperationen langfristig am Erfolg teilhaben können.

EM: Vielen Dank für das Gespräch.