10.02.2005 Sicherheit von mobilem Code Hauptseminar: Sicherheit in vernetzten Systemen Sicherheit von mobilem Code Oliver Grassow.

Präsentation zum Thema: "10.02.2005 Sicherheit von mobilem Code Hauptseminar: Sicherheit in vernetzten Systemen Sicherheit von mobilem Code Oliver Grassow."—  Präsentation transkript:

1 10.02.2005 Sicherheit von mobilem Code Hauptseminar: Sicherheit in vernetzten Systemen Sicherheit von mobilem Code Oliver Grassow

2 10.02.2005Sicherheit von mobilem Code Gliederung 1.Was ist mobiler Code? 2.Bedrohungen 3.Sicherheitsmodelle Proof-Carrying Code Sandbox 4.Umsetzung in Java 5.Fazit 1

3 10.02.2005Sicherheit von mobilem Code 1. Was ist mobiler Code? Mobiler Code ist Programmcode wurde auf entferntem, potentiell nicht vertrauenswürdigem Rechner erstellt wird auf Gastrechner übertragen und dort ausgeführt 2 Javascript Java-Applets ActiveX-Controls

4 10.02.2005Sicherheit von mobilem Code 1. Was ist mobiler Code? GastrechnerWeb-Server Web-Browser HTML-Seite - HTML-Code - eingebettetes JavaScript Programm Fragt HTML-Seite nach Seite mit Programm wird übertragen HTML-Seite - Seite wird dargestellt - Programm wird ausgeführt 3

5 10.02.2005Sicherheit von mobilem Code 2. Bedrohungen Klassen von Bedrohungen 1.Bedrohungen für den Code während der Übertragung 2.Bedrohungen für den Code während der Ausführung auf dem Gastrechner 3.Bedrohungen für den Gastrechner durch die Ausführung des Codes 4

6 10.02.2005Sicherheit von mobilem Code 2. Bedrohungen Klassen von Bedrohungen 1.Bedrohungen für den Code während der Übertragung 2.Bedrohungen für den Code während der Ausführung auf dem Gastrechner 3.Bedrohungen für den Gastrechner durch die Ausführung des Codes 4

7 10.02.2005Sicherheit von mobilem Code 2. Bedrohungen Mögliche Angriffe auf Gast Passive Angriffe Aktive Angriffe Maskierungsangriffe 5

8 10.02.2005Sicherheit von mobilem Code 3. Sicherheitsmodelle Entwickelte Sicherheitsmodelle Digitale Signatur Proof-Carrying Code Sandbox Interpretation Scanner Filter Unterstützende SicherheitsmechanismenSchutz während der AusführungSchutz vor Ausführung 6

9 10.02.2005Sicherheit von mobilem Code 3. Sicherheitsmodelle Entwickelte Sicherheitsmodelle Digitale Signatur Proof-Carrying Code Sandbox Interpretation Scanner Filter 6 Unterstützende SicherheitsmechanismenSchutz während der AusführungSchutz vor Ausführung

10 10.02.2005Sicherheit von mobilem Code 3.1 Proof-Carrying Code Motivation Code-Erzeuger ist dem Gast häufig nicht bekannt Angekündigte Funktionalität des Codes kann von Tatsächlicher abweichen Gast sollte sicher sein können, dass der Code nichts macht, was er nicht machen soll PCC-Session, um Funktionalität sicher zu stellen 7

11 10.02.2005Sicherheit von mobilem Code 3.1 Proof-Carrying Code AgentHost Code-Erzeuger Code mit Hilfsinformatione n VerifiziererPrädikat-ErzeugerBeweis-Erzeuger Sicherheitsprädikat beweisen Sicherheitsprädikat beweisen Beweis Verifikation des Beweises Code scannen und Sicherheitsprädikat erzeugen Code scannen und Sicherheitsprädikat erzeugen Sicherheitsprädika t Codeausführung oder Abbruch 8

12 10.02.2005Sicherheit von mobilem Code 3.1 Proof-Carrying Code Vorteile Kein Vertrauensverhältnis nötig Keine zusätzlichen Kontrollen zur Laufzeit Beweisüberprüfung vollautomatisch möglich Nachteile Beweis kann häufig nicht automatisch erstellt werden Beweis kann sehr umfangreich werden Nicht alle Bedrohungen können ausgeschlossen werden PCC wohl erst, wenn Beweiserzeugung effizienter 9

13 10.02.2005Sicherheit von mobilem Code 3.2 Sandbox Motivation Jeder mobile Code könnte für den Gastrechner gefährlich sein/werden Gefahr besteht durch uneingeschränkten Zugriff auf Systemressourcen Zugriffsrechte sollten für mobilen Code eingeschränkt werden Sandbox, um Ausführungsumgebung abzugrenzen 10

14 10.02.2005Sicherheit von mobilem Code 3.2 Sandbox Einteilung des Speichers in Sandboxen Virtueller Adressraum 0 F…F... 0 31 Virtuelle Adresse... 8 Bit = 256 Sandboxen 24 Bit = 16 MB Sandboxgröße Sandbox... 11

15 10.02.2005Sicherheit von mobilem Code 3.2 Sandbox 12 2.Überprüfung, ob Sandbox-Grenzen eingehalten werden statischen Sprungbefehlen dynamische Sprungbefehle: Codeänderung 3.Überprüfung auf direkte Systemaufrufe Ersetzen des Aufrufs durch Sprung zu Referenzmonitor Ablauf bei Sandbox-Umsetzung 1.Jedes Programm erhält 2 Sandboxen Eine für Programmcode, die andere für Daten

16 10.02.2005Sicherheit von mobilem Code 3.2 Sandbox Vorteile Schutz des Speichers ist gewährleistet Referenzmonitor ermöglicht Kontrolle der Systemaufrufe Konfigurationsdatei ermöglicht feine Gliederung der Zugriffsrechte Nachteile Speicherbeschränkung häufig zu restriktiv Interprozess-Kommunikation durch strenge Sandbox unmöglich Systemaufrufkontrolle nur so gut wie Konfigurationsdatei Sandbox häufig in Kombination mit anderen Verfahren 13

17 10.02.2005Sicherheit von mobilem Code 4. Umsetzung in Java Konzepte im Java-Sicherheitsmodell 1.Digitale Signatur Applet kann Erzeuger zugeordnet werden 2.Sandbox Schützt Rechner vor nicht vertrauenswürdigen Applets 3.Interpretation Zugriffsschutz zur Laufzeit 14

18 10.02.2005Sicherheit von mobilem Code 4. Umsetzung in Java b.classc.classd.classa.class Sicherheitsstrategie JVM Security Manager Systemressourcen Schutzdomänen System-Domäne Sandbox-Domäne Berechtigung Domäne 1Domäne n... 15

19 10.02.2005Sicherheit von mobilem Code 5. Fazit Ausblick Sicherheitsmodelle bieten im Zusammenspiel gewissen Schutz Effiziente Weiterentwicklung bekannter Verfahren Sicherheitsbewusstsein der Anwender sollte gestärkt werden 16