Internet-Sicherheit: Probleme und Lösungen Prof. Dr. Claudia Eckert Technische Universität Darmstadt, FG Sicherheit in der Informationstechnik Fraunhofer-Institut für Sichere Telekooperation SIT Vortrag 28.8. 02 TUD FB Informatik, FG Sicherheit in der Informationstechnik Prof. Dr. C. Eckert

Gliederung Einführung Sicherheitsprobleme im und durch das Internet Angreifer: Hacker, Cracker, Skript Kiddies Schutzvorkehrungen Zusammenfassung

Vernetzte Systeme von heute und morgen Mit drahtlosen Netzen weitergehende Kommunikationsmöglichkeiten, wie der Aufbau von ad-hoc Netzen, unbekannte Teilnehmer tauschen Daten aus, z.B. bei einem Meeting, nutzen Funknetze für Informationsangebote z.B. in Hotels, Flughäfen. Aber auch in Unternehmen selber werden Funknetze aufgebaut, um den ‚Kabelsalat‘ zu umgehen, ein mobiles und effizientes Arbeiten zu ermöglichen, ausgestattet mit Funksteckkarte im Laptop freies Bewegen im Gebäude, von überallher Zugriff auf das lokale Netz und auf Internet.

‚Klassische‘ Internet-Nutzungen: Mails: Versenden/Empfangen Web-Dienste: Informationen anbieten, sammeln Download von Software Spiele, Musik, Updates ... Einkaufen über das Netz Bücher, Tickets Internet

Welche Sicherheitsbedürfnisse ergeben sich? Authentizität: Echtheit, Glaubwürdigkeit eines Benutzers authentischer Partner, vertrauenswürdiger Sender/Empfänger etc. Vertraulichkeit: keine unautorisierte Informationsgewinnung kein abhören, ausspionieren, abfangen, mitlesen etc. Integrität: keine unautorisierte Datenmanipulation Verbindlichkeit: kein Abstreiten von Aktionen im Nachhinein Verfügbarkeit: keine Verhinderung berechtigter Zugriffe Privatheit: keine unautorisierte Profilbildung, Privatsphäre

Welche Sicherheitsprobleme ergeben sich? Drei Problembereiche: (1) Kommunikationswege: Internet, lokale Netze, Infrarot, Funk-Netze (2) Endgeräte: heimischer PC, Arbeitsplatzrechner, mobile Geräte (3) Dienste-Anbieter: Web-Server, Content-Provider, Internet-Service Provider Drei Bereiche für Sicherheitsprobleme. Aber Systeme sind mehr als nur die Summe ihrer Einzelkomponenten, es bestehen Abhängigkeiten: Deshalb: die Sicherheit des schwächsten Gliedes bestimmt die Gesamtsicherheit des Systems. Was heisst das? Es wird heute sehr viel über die kryptographische Stärke von Verschlüsselungsverfahren gesprochen und das Hauptaugenmerk der Sicherungsmaßnahmen liegt auf der Absicherung der Kommunikationsverbindungen, also der Netze. Aber wenn die Endsysteme leicht angreifbar sind, dann kann ein Angreifer auf einfache Weise an die gespeicherten Daten gelangen, er muss nicht erst das Verschlüsselungsverfahren knacken. Es nützt natürlich auch nichts, das Endsystem als Sicherheitsbollwerk auszubauen, wenn man gleichzeitig seine vertraulichen Daten über völlig ungesicherte Leitungen an sich selber (Funknetz) oder an Partner übermittelt. Vergleichbar mit Haus: Absperren verriegeln und verrammeln der Haustür nutzt nichts, wenn im Bad das Fenster offen steht. Systemsicherheit: schwächstes Glied der Kette bestimmt Sicherheitsniveau

Internet-Sicherheitsprobleme u.a. Abhören von E-Mails, ... E-Mail ist wie eine Postkarte geht durch viele Hände Sniffer-Programme: Kreditkartennr, Passworte, Interna Verändern von E-Mails, ... Falsche Daten (z.B. Angebote) Unterdrücken von Daten Gefälschte Absender-Adresse Spoofing zu Info-Preisgabe verleiten Geschäftspartner vortäuschen ..

PC-Sicherheitsprobleme (via Internet) u.a. Bösartige E-Mails Viren, Würmer, Trojaner Anhänge: .doc, .vbs, xls ... Daten lesen, zerstören Bösartige Web-Seiten JavaScript, VBScript, ... automatische Ausführung Aktive Inhalte: Java Applet, ActiveX lokale Ausführung, Zugriffe auf Daten!

PC-Probleme (cont.): Browser-Probleme Helper Application: automatisch vom Browser gestartet Beispiele: Start von Winword durch .doc URL, Start von Ghostview durch .ps-URL Start des Appletviewers bei Java-Applets Auch: beim Empfangen von .doc, .vbs, .xls-Attachements bei E-Mail Einstellung: automatisches Öffnen! Ausführen! Bedrohungen: Ausführung von Fremd-Programmen u.a. Einschleusen von Viren, Trojanischen Pferden Ausspähen von Passworten etc. Aufbau von Verbindungen und Datentransfer

Browser-Probleme (cont.) Datenspuren: Preisgabe vieler Informationen Bei jedem Zugriff auf eine WWW-Seite (HTTP), Bei jedem Versenden einer E-Mail (SMTP), Beispiele: Informationen bei WWW-Zugriff: u.a. IP-Adresse und zugehöriger Domänenname, Betriebssystem, Browser, Hardware Installierte Plug-ins, aktiviertes JavaScript etc. URL der zuvor zugegriffenen Seite, ... Bedrohung: Interessant u.a. für Hacker: Ausnutzen bekannter Betriebssysteme-Probleme z.B. IIS-Probleme, WS95/98 ohne Zugriffskontrolle, ... Datenspuren ergeben sich u.a. bei jedem Zugriff auf eine WWW-Seite, da durch das HTTP-Protokoll Datenpakete übertragen werden, die neben den eigentlichen Nutzdaten eine Vielzahl von Header-Informationen enthalten.

Wer sind die typischen Angreifer? über 50% aller Angriffe durch Mitarbeiter sehr häufig: durch Nachlässigkeit, Unwissenheit der Benutzer und der Administratoren Typische Beispiele: Passwort auf Zettel am Bildschirm Hacker: versierter Spezialist, Ziel: Lücken auffinden, warnen, selten Missbrauchsabsicht Cracker: versierter Spezialist i.d.R. mit Missbrauchsabsicht Ziel: Angriffe auf schlecht geschützte kleine Unternehmen, veraltete Systeme, Regierungsstellen Skript Kiddie: nutzt fertigte Exploits, wenige Kenntnisse, viel Zeit große Gefahr! Sehr großes Potential an Angreifern! Nach wie vor erfolgen die meisten Angriffe gar nicht über das Netz, sondern ergeben sich aus Aktionen der internen Mitarbeiter: Hauptursachen: nachlässiger Umgang mit Passworten: offen liegen lassen, weitergeben, schlechtes Passwort wählen, oder jeder kennt das Root-Passwort, es wird nie oder sehr selten geändert auch ehemalige Mitarbeiter haben noch nach Jahren Zugriff als Superuser Grosse Probleme ergeben sich durch Skript Kiddies, das sind Angreifer, die meist viel Zeit haben, aber keine vertieften Computerkenntnisse besitzen. Sie haben Zeit genug, um im Netz nach exploit-Programmen zu suchen, die einfach auf einem Rechner installiert und ausgeführt werden müssen und dann dort ihre Schadfunktion ausführen. Skript Kiddies informieren sich im WWW über die in bekannten Mailinglisten beschriebenen Sicherheitslöcher und versuchen diese zu nutzen. Administratoren müssen schneller sein und sich ebenfalls informieren und möglichst schnell Patches einspielen oder ggf. gefährliche Dienste deaktivieren.

Schutzvorkehrungen: Kommunikationsweg Vertraulichkeit: Verschlüsselung u.a. RSA, DES, Rijndael Client Enc(M,Key)=C Dec(C,Key)=M Server Integrität: Hashfunktionen u.a. MD5, SHA-1 Mac(Key|M) = mac M, mac Mac(Key|M) = mac‘ mac=mac‘? Authentizität: Zertifikat u.a. X.509 Verschlüsselungstechniken: Symmetrisch: beide Kommunikationspartner besitzen den gleichen, geheimen Schlüssel. Asymmetrisch: jeder Partner besitzt ein eigenes Schlüsselpaar (Private_A, Public_A), (Private_B, Public_B). Die öffentlichen Schlüssel werden allgemein bekannt gegeben und werden vom jeweiligen Kommunikationspartner zum Verschlüsseln verwendet. Zur Überprüfung der Integrität verwendet man kryptografische Hashfunktionen, die zu einer beliebig langen Eingabe, deren Hashwert von fester Länge (meist 128 oder 160 Bit lang) berechnen. Diese Hashwerte sind mit hoher Wahrscheinlichkeit eindeutig (man spricht auch von digitalen Fingerabdrücken), so dass der Empfänger der Nachricht M ebenfalls den Hashwert berechen kann und prüft, ob der von ihm berechnete Wert gleich demjenigen ist, den der Absender berechnet hat. Durch die Integration von Schlüsselinformation kommt man zu MAC-Verfahren, durch die sich der Absender auch noch zusätzlich authentifiziert, indem er nachweist, dass er den Schlüssel kennt. Verbindlichkeit wird durch digitale Signaturen erzielt, wobei der Unterzeichner ein Dokument M mit seinem eigenen privaten Schlüssel verschlüsselt, also signiert, und der Empfänger diese Unterschrift prüft, indem er den öffentlichen Schlüssel des Unterzeichners anwendet. Verbindlichkeit: digitale Signaturen u.a. DSA, RSA Sign(M,Private_A)=sig Verify(sig, Public_A)

S-HTTP S/MIME SSL IPSEC Schutzvorkehrungen (cont.) Sicherheitsprotokolle TCP IP HTTP SMTP PGP, ... IPSEC S-HTTP S/MIME SSL Es existieren bereit vielfältige Sicherheitsprotokolle, um die Defizite von TCP/IP auszugleichen. Man kann diese Protokolle beispielsweise danach klassifizieren, wo sie sich im Protokollstack einordnen lassen. Das AH und das ESP Protokoll von IPSEC sind auf der Ebene des IP-Protokolls angesiedelt, so dass deren Sicherheitsdienste, wie Verschlüsselung, Integrität und Authentizität der Datenpakete transparent für die darüber liegenden Protokolle sind. D.h. die Protokolle der Anwendungsebene müssen nicht verändert werden. Dafür sind die Sicherheitsprotokolle aber auch nicht auf spezifische Anforderungen einzelner Anwendungen zugeschnitten. Will man diese Anforderungen berücksichtigen, so muss man spezifische Protokolle für jede einzelne Anwendung, wie z.B. S/Mime oder SET entwickeln. SSL stellt eine Zwischenlösung dar. Fazit: Grundlagen zu Kryptographie, TCP/IP-Protokolle hilfreich Unterrichtsstoff in der Schule?!

Schutzvorkehrungen: E-Mail-Bereich Verschlüsseln der Daten, digitales Signieren Regelmäßige Aktualisierung von Virenscannern! Sicherheits-Bewusstsein wecken! Eigenverantwortung (Haftung!) Viren-Scanner bieten nur eingeschränkten Schutz! nur bekannte Viren erkennbar, Heuristiken sind rel. schwach, Content-Filterung, zentraler Firewall, Mail-Filter dezentral persönliche Firewalls: individuelle Filterung z.B. keine .vbs Anhänge, aktive Inhalte in Sekretariate Fazit: Grundlegende Kenntnisse bereits in der Schule vermitteln?! Sicherheits-Bewusstsein, Awareness schaffen?

Schutzmaßnahmen: Browser-Bereich Deaktivieren von ActiveX, JavaScript, VBScript Deaktivieren von Cookies, aktivieren nur on-Demand Restriktiver Einsatz von Helper-Applications (mühsam, aber gut) Restriktive Downloads, z.B. nur signierte aktive Inhalte Kontrollieren von Zertifikaten und Absende-URLs, Verschlüsseln der sensiblen Daten auf Festplatte (PGP, EFS, ...) Anonymisierungsdienste nutzen, z.B. Junkbuster Fazit: Jeder private Benutzer kann/sollte Sicherheitsvorkehrungen selber treffen, Grundkenntnisse sind dringend notwendig! Bereits durch die Schule!

Zusammenfassung Problembereiche: Netze, PCs (Browser), Server Notwendig: frühzeitig Sicherheitsbewußtsein schärfen, Grundlagen der Kryptographie vermitteln Grundlagen der TCP/IP-Protokolle (Herz des Internets) Schadprogramme: Viren, Würmer, Trojaner, aktive Inhalte, Skripte Notwendig: Vorgehens- und Wirkungsweisen kennen, Ansatzpunkte zum Umgang, Schadensbegrenzung Angreifer: zunehmend Script Kiddies ohne Expertenwissen Notwendig: Grundlagen von Betriessystemen, Datenbanken bekannte Angriffspunkte, Härtungsmaßnahmen Wunsch: in der Schule bereits Awareness schaffen, einige Grundlagen, Basiswissen vermitteln

Vielen Dank! Fragen?!