Die Präsentation wird geladen. Bitte warten

Die Präsentation wird geladen. Bitte warten

Humboldt University Computer Science Department Systems Architecture Group IT-Sicherheit Grundlagen Begriffe.

Ähnliche Präsentationen


Präsentation zum Thema: "Humboldt University Computer Science Department Systems Architecture Group IT-Sicherheit Grundlagen Begriffe."—  Präsentation transkript:

1 Humboldt University Computer Science Department Systems Architecture Group IT-Sicherheit Grundlagen Begriffe

2 IT-Sicherheit Grundlagen Dr. Wolf Müller 2 IT-System Ein IT-System ist ein geschlossenes oder offenes System, dynamisches technisches System mit der Fähigkeit zur Verarbeitung oder Speicherung von Informationen.

3 IT-Sicherheit Grundlagen Dr. Wolf Müller 3 Closed (geschlossen) System, das -auf Technologie des Herstellers aufbaut, -nicht kompatibel zu Konkurrenzprodukten ist und -dessen Ausdehnung auf einen bestimmten Teilnehmerkreis / ein bestimmtes Gebiet begrenzt ist. -In der Regel homogen, zentral verwaltet. 125Mb/s Hi-Speed Modus (HSM)

4 IT-Sicherheit Grundlagen Dr. Wolf Müller 4 Open (offen) Systeme die -vernetzt, physisch verteilt sind, -sich an Standards zum Informationsaustausch mit anderen Systemen orientieren, -meist heterogene Hardwarekomponenten und keine zentrale Administration beinhalten. Offene Systeme bieten breitere Angriffsfläche. Aber, offene Systeme sind auch besser prüfbar g

5 IT-Sicherheit Grundlagen Dr. Wolf Müller 5 Information & data objects IT-Systeme speichern und verarbeiten Informationen. Information (Informationen): –Abstraktum, –in Form von Daten und Datenobjekten repräsentiert passive Objekte: Informationsspeicherung Datei, Datenbankeintrag, … aktive Objekte: Speicherung & Verarbeitung von Informationen Prozesse, … Information = (Datum, Interpretationsvorschrift) Integer kann Key, Kontostand, Speicheradresse (je nach Interpretationsvorschrift) darstellen, dieselbe Information kann verschiedene Darstellungen haben.

6 IT-Sicherheit Grundlagen Dr. Wolf Müller 6 Information & data objects (2) Problem: Datenobjekte in verschiedenen Repräsentationen / Orten: –Hauptspeicher, Cache, Hibernation-Datei, Netzwerk-Repräsentation Verschiedene Schutzmechanismen nötig Beispiel: EFS unter Windows 2000 / XP Verschlüsselte Ablage der Dateien auf der Festplatte, Aber in den ersten Versionen: entschlüsselte Dateiblöcke im Cache verfügbar

7 IT-Sicherheit Grundlagen Dr. Wolf Müller 7 Information channels (Informationskanäle) Potenziell auftretende Kanäle, über die Information fließen kann. (legitime, verdeckte, Speicherkanäle) Speicherkanäle: Objekte, die von verschiedenen Subjekten genutzt werden gemeinsam können. (Dateien, shared Memory, …) Legitimer Kanal: Kanal, der vom Subjekt in der Regel für Informationsaustausch genutzt wird (Nachrichten, Parameter bei Operationsaufrufen,..)

8 IT-Sicherheit Grundlagen Dr. Wolf Müller 8 Information channels (2) Verdeckter Kanal (covert channel): Nicht für Informationstransfer vorgesehen, aber dafür missbraucht. (Ausführungszeit, Traffic pattern, Anklopfen, …) Storage (niedrigstes Bit in Bildern, Absender, Protokollinfo) Ausführungszeit / Timing: Kann nicht völlig verhindert werden, größere Bandbreiten jedoch nur schwer zu verstecken.

9 IT-Sicherheit Grundlagen Dr. Wolf Müller 9 Subjekt / Zugriff / Autorisierung Subjekt: Benutzer eines Systems, sowie alle Objekte, die im Auftrag von Benutzern im System handeln können. Zugriff: -Interaktion zwischen Subjekt und Objekt, durch die ein Informationsfluss zwischen beiden auftritt. Autorisierung: -Subjekt besitzt Berechtigung auf Information / Datenobjekt zuzugreifen.

10 IT-Sicherheit Grundlagen Dr. Wolf Müller 10 Sicherheit Safety (Funktionssicherheit) -Ist-Funktionalität der Komponenten eines Systems = spezifizierte Soll-Funktionalität -Keine funktional unzulässigen Zustände Security (Informationssicherheit) -Nur Systemzustände, ohne unautorisierte Informationsveränderung oder -gewinnung Protection (Datensicherheit) -Kein unautorisierter Zugriff auf Systemressourcen insbesondere Daten -Umfasst Maßnahmen zur Datensicherheit (backup) Privacy (Datenschutz)

11 IT-Sicherheit Grundlagen Dr. Wolf Müller 11 Sicherheit Privacy (Datenschutz) -Fähigkeit einer natürlichen Person, Weitergabe von Informationen, die sie persönlich betreffen, zu kontrollieren. -Bundesdatenschutzgesetz: Recht auf informationelle Selbstbestimmung, -Anspruch auf Anonymisierung (BVerfGE65,1,49) -Verschiedene Gesetze / Standards in verschiedenen Ländern

12 IT-Sicherheit Grundlagen Aktuell: IPv6 Chance … Schutzes der Privatsphäre auszugestalten. … Aufklärung und … Unterstützung durch die Zugangsprovider (ISP) und Service-Anbieter im Internet. ISP Provider hat Kenntnis von allen Verbindungsdaten … Vertrauensverhältnis … durch die Verwendung von IPv6 … nicht beeinflusst. …Unterstützung, die Möglichkeit einer dauerhaften Identifikation bei der Nutzung von Ressourcen und Diensten im Internet gegenüber Dritten weitgehend zu verhindern bzw. zu erschweren. … (Privacy Extensions, dynamische Adresspräfixe, u.a.) … … Möglichkeit … sowohl mit statisch vergebenen IPv6 Adressen, d.h. dauerhaft identifizierbar, Transaktionen im Internet durchzuführen als auch anonymisiert … … Sensibilisierung und Aufklärung der Benutzer zur Erlangung der notwendigen Medienkompetenz für einen verantwortungsbewussten Umgang mit persönlichen Daten erfolgen. Dr. Wolf Müller 12

13 IT-Sicherheit Grundlagen Dr. Wolf Müller 13 Sicherheit - Bemerkungen Unterscheidung zwischen Systemen vordringlich zum Schutz der verarbeiteten Information (Informationssicherheit) Schutz der Daten als Repräsentanten (Datensicherheit) Funktionssicherheit Basis der Informations- bzw. Datensicherheit Sicherstellung von Informations- bzw. Datensicherheit bedarf ständiger Überprüfung (Systemeigenschaften =f(t))

14 IT-Sicherheit Grundlagen Dr. Wolf Müller 14 Dependability (Verlässlichkeit) -Safety: (Funktionssicherheit): System nimmt keine unzulässigen Zustände an. -Reliability: gewährleistet zuverlässige Erbringung der spezifizierten Funktion.

15 IT-Sicherheit Grundlagen Dr. Wolf Müller 15 Schutzziele Informationen, Daten = zu schützende Güter (assets) informationssicherer, datensicherer Systeme Zugriffskontrolle genauer: –Datenintegrität –Informationsvertraulichkeit Zugreifende Subjekte müssen eindeutig identifiziert und ihre Identität verifiziert werden.

16 IT-Sicherheit Grundlagen Dr. Wolf Müller 16 Authenticity (Authentizität) Authentizität eines Objekts oder Subjekts: -Echtheit und Glaubwürdigkeit des Objekts bzw. Subjekts, die anhand einer eindeutigen Identität und charakteristischen Eigenschaften überprüfbar ist. -Meist nur für Benutzer durchgeführt -Identifikation auf Basis von accounts -Eigenschaften zum Nachweis (z.B. Passwort, Biometrie, Token) -Bei offenen Systemen auch Authentizität von Objekten (Web-Server, WLAN AP, Code) -Kryptografie (nur Echtheitsprüfung) -Funktionalität ?

17 IT-Sicherheit Grundlagen Dr. Wolf Müller 17 Integrity (Datenintegrität) -Subjekten ist es unmöglich, geschützte Daten unautorisiert und unbemerkt zu modifizieren. -Erfordert Rechtefestlegung zur Nutzung von Daten. -Schreibrechte für Dateien, Verzeichnisse

18 IT-Sicherheit Grundlagen Dr. Wolf Müller 18 Confidentiality (Informationsvertraulichkeit) Keine unautorisierte Informationsgewinnung möglich -In der Regel durch Festlegung von Berechtigungen und Kontrollen realisiert -Maßnahmen zur Kontrolle von Informationsflüssen -Confinement Problem: Durchsickern von Information verhindern -In Datenbanken spezielle Interferenz-Probleme -Aus Einzelinformationen können weitere abgeleitet werden. -Anonymität? -Was weiß Google über mich? -Techniken: Kryptografie, Labeling / Classification

19 IT-Sicherheit Grundlagen Dr. Wolf Müller 19 Unzulässiger Informationsfluss Kontrolle der Datenzugriffe Kontrolle Informationszugriffe Datei 1Datei 2 Bill Joe Lesen Schreiben Lesen Vertraulichkeits- anforderung: Joe darf keine Kenntnis über durch Datei 1 repräsentierte Informationen erlangen!

20 IT-Sicherheit Grundlagen Dr. Wolf Müller 20 Availability (Verfügbarkeit) Authentifizierte und autorisierte Subjekte können nicht unautorisiert bei der Wahrnehmung ihrer Berechtigungen beeinträchtigt werden. -Konkurrenz (verschiedener Nutzer / Geräte) verschiedener Prozesse im OS -Monopolisieren der CPU im Widerspruch, normales Scheduling nicht -Maßnahme: Quota

21 IT-Sicherheit Grundlagen Dr. Wolf Müller 21 Non repudiation (Verbindlichkeit) Verbindlichkeit, Zuordenbarkeit einer Menge von Aktionen liegt vor, wenn es unmöglich ist, dass ein Subjekt im Nachhinein die Durchführung einer solchen Aktion abstreiten kann. -Ziele: -Rechtliche Verbindlichkeit -Abrechenbarkeit (accountability) -E-Commerce, E-Buisness -Maßnahmen: Digitale Signaturen, … -Internetbanking (PIN, TAN), eSIGN

22 IT-Sicherheit Grundlagen Dr. Wolf Müller 22 Anonymisierung Anonymisierung: -Verändern personenbezogener Daten, so dass Einzelangaben über persönliche oder sachliche Verhältnisse nicht oder nur mit unverhältnismäßig großem Aufwand (Zeit, Kosten, Arbeitsstunden) einer bestimmten oder bestimmbaren natürlichen Person zugeordnet werden können. -Wie groß ist das anonymity set?

23 IT-Sicherheit Grundlagen Dr. Wolf Müller 23 Pseudonymisierung -Verändern personenbezogener Daten durch eine Zuordnungsvorschrift (z. B. Nutzung von Pseudonymen), so dass persönliche oder sachliche Verhältnisse nicht ohne Kenntnis der Zuordnungsvorschrift einer natürlichen Person zugeordnet werden können. -Schwächere Form der Anonymisierung -Chat, Google, Cookie

24 IT-Sicherheit Grundlagen Dr. Wolf Müller 24 Web-Browser Vielzahl von Daten (oft nicht nötig) mit übermittelt: –IP –referer URL, … –Browser Release –OS –Date, Time –Cookies –Super-Cookies (Dom storage) –evercookie Gegenmaßnahmen: –anonymous Proxy, lokal Proxy squid, privoxy –TOR (TorBrowser) –Cookies nach jeder Session löschen

25 IT-Sicherheit Grundlagen Cookies DOM Storage: –Bis zu 5 Megabyte möglich –Wird auch variierender Schreibweise oder Subdomain aufgerufen. (z.B. "http://www.foo.de/", "foo.de", "bar.foo.de"). HTTP-Cookies: –Bis 4 Kilobyte möglich. –Nur Server gesendet, wenn exakte Übereinstimmung vorliegt Deaktivierung im Firefox: –Private Daten löschen (löscht im FF Cookies & SuperCookies) –about:config dom.storage.enabled false Flash-Cookies (Super-Cookies): –Local Shared Objects (LSOs) –Von Flash benutzt, nicht im Benutzerprofil des Webbrowsers. –Nicht gelöscht. *.sol –Abwehr: Einstellungen des Flash-Players (Alles-oder-Nichts) Dr. Wolf Müller 25

26 IT-Sicherheit Grundlagen Dr. Wolf Müller 26 Schwachstellen Schwachstelle (weakness): - Schwäche eines Systems oder Punkt an dem das System verwundbar werden kann. Verwundbarkeit (vulnerability): -Schwachstelle über die die Sicherheitsdienste des Systems umgangen, getäuscht oder unautorisiert modifiziert werden können. -Diebstahl (mobile Geräte), Softwarefehler, unsichere Kommunikation, Pufferüberläufe -Naturkatastrophen zählen nicht dazu. (Feuer, Hochwasser, Blitzschlag, Stromausfall, …)

27 IT-Sicherheit Grundlagen Dr. Wolf Müller 27 Gefährdungsfaktoren höhere Gewalt Blitzschlag Erdbeben Überschwemmung Demonstration Streik Fahrlässigkeit Irrtum Fehlbedienung unsachgemäße Behandlung Vorsatz Manipulation Einbruch Hacking Vandalismus Spionage Sabotage technisches Versagen Stromausfall Hardware-Ausfall Fehlfunktion organisatorische Mängel unberechtigter Zugriff Raubkopie ungeschultes Personal

28 IT-Sicherheit Grundlagen Dr. Wolf Müller 28 Threat (Bedrohung) -Zielt darauf ab, Schwachstelle(n) oder Verwundbarkeit(en) auszunutzen, um Verlust der Datenintegrität, Informationsvertraulichkeit oder Verfügbarkeit des Systems zu erreichen oder Authentizität von Subjekten zu gefährden. -Gewicht der Bedrohung hängt mit Wert der zu schützenden Güter (assets) zusammen.

29 IT-Sicherheit Grundlagen Dr. Wolf Müller 29 Risk (Risiko) -Wahrscheinlichkeit bzw. relative Häufigkeit des Schadensereignisses und die durch es potenziell hervorgerufene Schadenshöhe -Gewicht der Bedrohung hängt mit Wert der zu schützenden Güter (assets) zusammen. -Abhängig von Angreifermodell (Kenntnisse, Ressourcen, Budget, Motivation)

30 IT-Sicherheit Grundlagen Dr. Wolf Müller 30 Zusammenhang: Schwachstellen, Bedrohungen, Risiko Bedrohungs- potenzial Bedrohungs- potenzial Schwachstellen Schwachstellen Quantifizierung Werte Schadens- potenzial Schadens- potenzial Eintritts- wahrscheinlichkeit Eintritts- wahrscheinlichkeit Bedrohung, Gefahr Bedrohung, Gefahr RISIKO

31 IT-Sicherheit Grundlagen Dr. Wolf Müller 31 Attack (Angriff) -Nicht autorisierter Zugriff oder Zugriffsversuch auf ein System. Passiver Angriff: -Ziel: unautorisierte Informationsgewinnung, -Verlust der Vertraulichkeit -Abhören von Datenleitungen (eavesdropping) -Unautorisiertes Lesen von Dateien -Sniffer Passworte Aktiver Angriff: -Unautorisierte Modifikation von Datenobjekten -Gegen Datenintegrität und Verfügbarkeit des Systems gerichtet -Entfernen, modifizieren von Datenpaketen -Unautorisiertes Schreiben in Dateien -Spoofing (Maskierungsangriffe) -Denial-of-Service (DoS) -Distributed DoS

32 IT-Sicherheit Grundlagen Dr. Wolf Müller 32 Abwehr von Angriffen Schwierig Verteidiger im Nachteil Vertraulichkeit: –Verdeckte Kanäle problematisch. –Kryptografische Verfahren gegen Klassen von passiven Angriffen (Abhören von Datenleitungen, Auslesen von Speicherbereichen) Datenintegrität: Minimale Rechte, Beschränkung der Schreibrechte –Kryptografie allein nicht ausreichend. –Zusätzliche Mechanismen: Einführung Sequenznummern Verfügbarkeit: –Quota –Monitoring

33 IT-Sicherheit Grundlagen Dr. Wolf Müller 33 Security policy (Sicherheitsstrategie) Sicherheitsstrategie eines Systems oder einer organisatorischen Einheit legt Menge von technischen und organisatorischen Regeln, Verhaltensrichtlinien, Verantwortlichkeiten und Rollen sowie Maßnahmen fest, um angestrebte Schutzziele zu erreichen. Systembestimmt: –Globale Regeln, durch zuständige Einheit (Management eines Unternehmens). Zugriffskontrollstrategie Informationsflussstrategie Benutzerbestimmbar: –Erlaubt Benutzern Rechtevergabe für die von ihnen erzeugten Objekte. Filesystem Rollenbasierte Sicherheitsstrategien: –Regelung des Zugriffs auf Objekte anhand von Rollen. –Rolle bestimmt Berechtigungen, Verantwortlichkeiten. –Benutzer werden durch Sysadmin als Mitglieder einer Rolle eingetragen. Goya


Herunterladen ppt "Humboldt University Computer Science Department Systems Architecture Group IT-Sicherheit Grundlagen Begriffe."

Ähnliche Präsentationen


Google-Anzeigen