• Projektdialog paralleler Plagiatschutz- projekte

Präsentation zum Thema: "• Projektdialog paralleler Plagiatschutz- projekte"—  Präsentation transkript:

1 17.11.2008 • Projektdialog paralleler Plagiatschutz- projekte
EINS GmbH Entwicklung Interaktiver Software • Projektdialog paralleler Plagiatschutz- projekte

2 1. O-PUR Projekt 2. Datenmodell Datenmodell, Datenbankkonzept
                2. Datenmodell Datenmodell, Datenbankkonzept 3. Sicherheit Risiko-Analyse, Sicherheitskonzept

3 3. Sicherheit

4 3. Sicherheit Server - Zugang - Datenbank - Applikation
Netzwerk - TCP/IP, DNS, Routing Kommunikation - Webservice - Browser / Applikation Client-Programme - Desktop - Browser Anwender - Identität - Anwendung

5 3. Sicherheit (1) Server - Zugang: ssh, keypair anstatt Login-Maske, kein initialer root-Zugang, fixe Zugang-IPs, automatische Patches, Rechenzentrum mit Zugangskontrolle - Datenbank Zugriff nur für Webservices mit statischen IPs, ggfs. Inhalte in der DB mit keypair verschlüsseln, max. Connections begrenzen (DoS), SQL-Injection verhindern (prepared Statements) - Applikation SSL-Zugriff auf DB-Server, Sitzungsverwaltung zwischen Applikation und Datenbank, Verschlüsselte temporäre Passwords (z.B. Diifie-Hellmann) >> kann „sicher“ implementiert werden!

6 3. Sicherheit (2) Netzwerk Netzwerke sind manipulierbar! Z.B. „Golden Shield Project“ oder auch „Große Firewall“ der Volksrepublik China oder lokale Netz-Infrastrukturen in Firmen bzw. Institutionen. - IP blocking - DNS Filter und Umleitung - URL Filter - Paket-/Content-Filter - Connection Reset Abhilfe: - Aufbau eines VPN-Tunnels, aber -> „man-in-the-middle“ bei temporären Schlüsseln -> Schlüsselverwaltung bei public-/private-Keys -> pki kann verhindert werden >> kann nicht immer „sicher“ implementiert werden!

7 3. Sicherheit (3) Kommunikation - Webservice zur Kommunikation mit Datenbank-Server -> verschlüsselt mittels ssl -> Sitzungsverwaltung mit Authentifizierung -> Server-Infrastruktur in vertrauenswürdigen Netzwerk >> kann „sicher“ impementiert werden! - Browser / Applikation Verbindung zum Webservice mittels ssl gesichert, wenn (a) Netzwerk vertrauenswürdig oder (b) Zertifikate a priori geladen

8 3. Sicherheit Client-Programme - Desktop-Anwendung Code-Manipulation möglich, daher „versiegelte“ Prüfsoftware, z.B. mittels Dongle (s. WiBu-Key) - Browser Programm wird „sicher“ auf Applikationsserver ausgeführt. -> Im Browser erhöhte Sicherheitseinstellung -> Alle Eingaben prüfen bzw. Prüfung garantieren (wegen z.B. sql-Injection, Cross-Site-Scripting) - Terminalserver-Anwendungen Sicherung z.B. über RSA-Key

9 3. Sicherheit (5.1) Anwender „Die größte Sicherheitslücke sitzt vor dem Bildschirm“ - Passwörter werden mit Kollegen geteilt, nicht zyklisch getauscht, zu einfach gewählt - Sitzungen werden nicht beendet -> Mehrstufige Authentifizierung (1) Login/Password gem. Security Policy (2) Kurze Gültigkeit von Sessions (Prüfung von Zeit, IP, Browsertyp, …) (3) Anwendererkennung von zufälligen, verrauschten Bildmustern Anwendermißtrauen bei unbekannten Bildern Mustererkennung erschweren durch Überlagerung von Rauschen

10 3. Sicherheit (5.2) Anwendung Sicherheitsstufe in Abhängigkeit der Anwendung - Einspielen von Stammdaten - Prüfen durch Marken-Detektive - Prüfen durch Personal - Track and Trace durch Endanwender