Prof. Dr. Peter Martini Institutsleiter Fraunhofer-FKIE Mobil kommunizieren? Aber sicher! … von der Forschung unmittelbar in die Praxis Prof. Dr. Peter Martini Institutsleiter Fraunhofer-FKIE Dr. Thorsten Aurisch Gruppenleiter Fraunhofer-FKIE Fraunhofer-FKIE Wachtberg Institut für Informatik 4, Uni Bonn mit Räumlichkeiten FKIE © Fraunhofer FKIE

FKIE FKIE Fraunhofer-Institut für Kommunikation, Informationsverarbeitung und Ergonomie © Fraunhofer FKIE © Fraunhofer FKIE

Fraunhofer-Institut für Kommunikation, Informationsverarbeitung und Ergonomie, FKIE Uni Bonn Lehrstuhl für Kommunikation und Vernetzte Systeme Prof. Martini Prof. Meier PD Koch Institutsleitung Institutsleiter: Prof. Dr. Peter Martini Stellv. Institutsleiter: Prof. Dr.-Ing. Christopher Schlick RWTH Aachen Lehrstuhl und Institut für Arbeitswissen-schaft Prof. Schlick Prof. Flemisch Kuratorium Institutsleitungsausschuss Verwaltung Stabsstellen IT-Management IT-Sicherheit Sensordaten- und Informationsfusion Kommunikations-systeme Informations-technik für Führungssysteme Ergonomie und Mensch-Maschine-Systeme Ergonomie und Mensch-Maschine-Systeme Ad-Hoc-Netze Ortung und Navigation Aufklärung und Störung Interoperabilität verteilter Systeme Systemtechnik Arbeitsorganisation Dynamische Netzdienste Weiträumige Überwachung Software Defined Radio Architekturen für Führungssysteme Human Factors Fachdidaktik Sensordaten- und Informations-fusion Bedrohungs-erkennung Robuste heterogene Netze Informations-analyse Unbemannte Systeme Cyber Defense © Fraunhofer FKIE 3

4 Beiträge der Forschungsgruppe Cyber Defense Bonn Wachtberg Uni Bonn Chair Communication and Distributed Systems Prof. Dr. Peter Martini Research Group Head: Dr. Jens Tölle Deputy Heads: Dr. T. Aurisch, Dr. M. Jahnke, Prof. Dr. Michael Meier Malware Analysis and Defense (Bonn) Head: Dipl.-Inform Elmar Gerhards-Padilla Malware Analysis and Defense (Wachtberg) Prof. Dr. Michael Meier Reactive IT Security Head: Dr. Marko Jahnke Preventive IT Security Head: Dr. Thorsten Aurisch Cyber Defense Ad-Hoc Networks Honeypots Intrusion Detection and Response Key Management Dynamic Network Services Botnets Cyber Situational Awareness Communication Server Binary Analysis Security Information Event Management Physical Processes for cryptopgraphic Applications Bonn Wachtberg 4

Cyber Defense – Following the OODA-Loop Cooperative Intrusion Detection Observe Orient Act Decide CND Common Operational Picture Advanced Malware Analysis Ressource- efficient Applied Cryptography Model-based Impact Evaluation Tactical Intrusion Response

Zurück zum Titel des Vortrags Mobil kommunizieren ? Aber sicher ! © Fraunhofer FKIE

Drahtlos kommunizieren ? Aber sicher ! Fraunhofer-Institut für Kommunikation, Informationsverarbeitung und Ergonomie, FKIE Uni Bonn Lehrstuhl für Kommunikation und Verteilte Systeme Prof. Dr. Peter Martini Institutsleitung Institutsleiter: Prof. Dr. Peter Martini Stellv. Institutsleiter: Prof. Dr.-Ing. Christopher Schlick RWTH Aachen Lehrstuhl und Institut für Arbeitswissen-schaft Prof. Dr.-Ing. Christopher Schlick Kuratorium Institutsleitungsausschuss Verwaltung Stabsstellen IT-Management IT-Sicherheit Sensordaten- und Informationsfusion Kommunikations-systeme Informations-technik für Führungssysteme Ergonomie und Mensch-Maschine-Systeme Ergonomie und Mensch-Maschine-Systeme Ad-Hoc-Netze Ortung und Navigation Aufklärung und Störung Interoperabilität verteilter Systeme Systemtechnik Arbeitsorganisation Dynamische Netzdienste Weiträumige Überwachung Software Defined Radio Architekturen für Führungssysteme Human Factors Fachdidaktik Bedrohungs-erkennung Robuste heterogene Netze Informations-analyse Unbemannte Systeme Cyber Defense © Fraunhofer FKIE © Fraunhofer FKIE 7

Ein Beitrag im Bereich Sensordatenfusion … Die Dissertation von Felix Govaers (2012) Adressing: Time-Delayed Measurements Fluctuating Connectivity Track-before-Detect with out-of-sequence data

Beiträge der Abteilung KOM … Robuste heterogene Netze Architekturen für Koalitionsnetze SOA zur Informationsverteilung in Koalitionsnetzen Beratung der BW bei der IPv4/IPv6-Migration Management heterogener Netze Drahtlose taktische Netze Bündelfunk für Einsatzkräfte auf BW Flugplätzen Breitbandvernetzung von Konvois Drahtlose Gefechtsstandvernetzung Sensor- und Effektornetze Datenlinks für UAV Akustische Unterwassernetze Netze für terrestrische Mehrroboter-Systeme © Fraunhofer FKIE 9

Ein Beitrag im Bereich Cyber Defense … Die Dissertation von Thorsten Aurisch (2007)

Ein Beitrag im Bereich Cyber Defense … Die Dissertation von Thorsten Aurisch (2007)

Ein Beitrag im Bereich Cyber Defense … Die Dissertation von Thorsten Aurisch (2007)

Mobil kommunizieren ? Aber sicher ! Praxisbeispiel QUAKS Bw © Fraunhofer FKIE

Systemkonzept QUAKS Bw I Aufbau taktischer Netze durch intelligente Vernetzung verschiedener Fernmeldemittel bzw. Übertragungsmedien Datenübertragungsdienst für Anwendungen

Systemkonzept QUAKS Bw II Transparent IP Integrierte Sprach- und Datenübertragung Ad-hoc-Vernetzung QoS-Mechanismen Multi-Topology-Routing Scheduling-Mechanismen in der Subnetzanpassung IT-Sicherheit

IT-Sicherheit im QUAKS Bw Verfahren zum zuverlässigen Löschen von sicherheitsrelevanten Steuer-, Konfigurationsdaten und elektronischen Schlüsseln Mechanismus zur Installation von Sicherheitsupdates unter Berücksichtigung des autarken Betriebs des QUAKS Bw Realisierung eines effizienten Datenübertragungsschutzes für Management- und Nutzdaten .... Ziel: Zulassung des QUAKS Bw durch das BSI

Datenübertragungsschutz durch IPsec IP Security (IPsec) ist ein akzeptiertes Sicherheitsprotokoll Nutzung des IPsec-Sicherheitsprotokolls Encapsulating Security Payload (ESP) Aber vorher erhält man den Schlüssel für IPsec?

Schlüsselbereitstellung für IPsec Geringe Datenübertragungsrate verhindert einen Einsatz der Punkt-zu-Punkt-Schlüsselbereitstellung, z.B. Internet Key Exchange (IKE)‏ Einsatzumfeld ermöglicht keine zusätzliche Hardware Bereitstellung eines Gruppenschlüssels

Multicast Internet Key Exchange (MIKE) Effiziente, hoch skalierbare Bereitstellung eines Gruppenschlüssels für Berechtigte Zwei Betriebsmodi zur Verwaltung eines dynamischen Gruppenschlüssels Technische Grundlage von MIKE ist der Schlüsselbaum Key Agreement arbeitet verteilt Key Distribution ist Server-basiert fehlertolerant effizient

Datenübertragungsschutz im QUAKS Bw Realisierung eines Datenübertragungsschutzes mit dem IDP-MIKE-System (Softwareeinheit Proaktive Sicherheit) effizient selbstkonfigurierend selbstheilend skalierbar Bestandteile des IDP-MIKE-Systems Multicast Internet Key Exchange (MIKE) Schnittstelle zu IP Security (IPsec) IPsec Discovery Protocol (IDP)

IPsec Discovery Protocol (IDP) Automatisierung der sicheren Vernetzung erfordert Lokalisierung von IPsec-fähigen Komponenten (QUAKS Bw) Präsensnachrichten zur automatischen Lokalisierung Signalisierung an das Schlüsselmanagement MIKE

Einsatz-PKI und IDP-MIKE-System erstellt, verwaltet Zertifikate erstellt, verwaltet Widerruflisten (Certificate Revocation List, CRL) Einsatz-PKI wird vom IDP-MIKE-System benötigt Zertifikate der Einsatz-PKI dienen zur Authentisierung von Nachrichten Das IDP-MIKE-System gewährleistet damit, dass nur berechtigte Instanzen kommunizieren

QUAKS Bw im Einsatz – Instanz in eine Gruppe einbinden

QUAKS Bw im Einsatz – dynamisches Netz Netzverschmelzung durch Herstellung einer (Funk-)Verbindung zwischen Gruppen Netzaufteilung durch Verbindungsunterbrechung IT-Sicherheitsmechanismen MERGE und PARTITION zur Verarbeitung von Netzaufteilung bzw. -verschmelzung

QUAKS Bw im Einsatz - Anschluss einer Instanz Fall 1: Ausschluss im autarken Betrieb Widerruf der Teilnahmeberechtigung Kein Anschluss an eine IT-Infrastruktur erforderlich Einfache Rückführung in den Kommunikationsverbund Fall 2: Permanenter Ausschluss Widerruf des Zertifikats (Authentizität) durch die Einsatz-PKI Anschluss an eine IT-Infrastruktur zur Verteilung der Widerrufsinformation notwendig

Projektübersicht QUAKS Bw QUAKS Bw = querschnittlicher Anteil KommServer Bw Auftragnehmer: ATM ComputerSysteme GmbH Entwicklungszeitraum: 01.04.2012 – 31.10.2014 UAN: Fraunhofer FKIE IABG, IDAS, KMW, Telefunken RACOMS Mitwirkung des Auftraggebers IT-Amts C4 Durchführung von EUT-Arbeit Projektbegleitende Tests und Verifikationen bei WTD 81 Integrierte Nachweisführung im einsatznahen Umfeld beim Stab Feldversuch

Weitere FKIE-Leistungsanteile QUAKS QoS Klassen Konzept Quality-of-Service Festlegung von Verkehrsklassen und deren Markierung Multi-Topology-Routing Abbildung der Verkehrsklassen auf Layer-2-Scheduling-Mechanismen Call Manager Verteilter Verbindungsauf- und Abbau-Mechanismus für digitale Sprachverbindungen auf Basis von SIP Nutzerregistrierung Adressauflösung Multi-Topology Routing TCP UDP Spezialisierte Transportprotokolle Cross Layer IPv4 / IPv6 OLSR OSPF DiffServ Subnet Access QoS L2 Mapping / Scheduling

Zusammenfassung Lösungen im Themenbereich „ Mobil kommunizieren, aber sicher“ werden in verschiedenen Abteilungen des FKIE erarbeitet Detaillierte Vorstellung des Praxisbeispiels QUAKS Bw Realisierung eines Datenübertragungsschutzes mit dem IDP-MIKE-System Ablauf der IT-Sicherheitsmechanismen bei Netzaufteilung, bzw. Netzverschmelzung Call Manager und Konzept QoS sind weitere FKIE-Beiträge zum QUAKS Bw

VIELEN DANK für Ihre Aufmerksamkeit © Fraunhofer FKIE 29

… Networking © Fraunhofer FKIE

7th Future Security Bonn, Sep. 4th – 6th 2012