Wirtschaftsinformatik (Bachelor-Studiengang): Rechnernetze/Onlinedienste (2. Semester)

Sie sind hier: Startseite › Wirtschaftsinformatik › Rechnernetze/Onlinedienste: Sicherheit - Grundlagen

BM / CM, Kurs vom 01.10.2002 - 31.03.2003

Rechnernetze/Onlinedienste: Sicherheit - Grundlagen: Begriff der Sicherheit (Zum Begriff der Sicherheit, Grundbegriffe), Bemerkungen zum Recht (StG, Sonstiges Recht, Begriffe, Vorgehen externer Cracker, Von Draußen oder von Drinnen?), Viren (Viren - Orte, Viren - Entfernung, Trojaner (Back doors), Würmer), Techniken (Authentifizierung, Social Engineering, Techniken - Probieren, Techniken - Abhören, Techniken - In der Mülltonne wühlen, Techniken - Aktive Inhalte, Abwehrtechnik - Quarantäne, Techniken - Spoofing, Techniken - Speicherprobleme, Denial of Service, Distributed Denial of Service), Firewall (Firewall - Filter und Bastion, Firewall - Probleme, Lösung), Verschlüsselung (Symmetrische Verschlüsselung, Asymmetrische Verschlüsselungen, Authentifizierung und Integrität (Signieren), Zertifikate, Steganographie und Wasserzeichen).

  1. Begriff der Sicherheit
  2. Bemerkungen zum Recht
  3. Viren
  4. Techniken
  5. Firewall
  6. Verschlüsselung

Begriff der Sicherheit

Zum Begriff der Sicherheit

Sicherheit umfasst Datenschutz ergänzt Sicherheit noch durch

Jedoch nur für Daten mit Bezug auf Personen.

In diesem Teil werden nur Sicherheitsprobleme hervorgerufen durch Menschen betrachtet.

Grundbegriffe

Vertraulichkeit:

Nur Befugte haben Zugriff auf Daten zur Wahrung der Privatsphäre.

Integrität:

Daten können nur auf beabsichtigte Weise geändert werden.

Verbindlichkeit:

Nachweis (Beweis) erfolgter Kommunikation sowie Operationen auf Daten.

Authentifikation:

Prüfung der Identität des Nutzers.

Authentizität:

Gegenseitig verifizierbare Identität der Kommunikationspartner.

Autorisierung:

Zuordnung von Rechten an Nutzer.

Zum Menü Wirtschaftsinformatik | Zum Seitenanfang

Bemerkungen zum Recht

Alles, was hier im folgenden steht,

Hinweis: Daher sind diese Informationen mehr oder weniger verlässliche Hinweise, quasi Warntafeln, die beachtet werden sollten, keinesfalls eine Darstellung der juristischen (und moralischen) Lage.

Jeder ist für seine Handlungen selbst verantwortlich.

StG

§ 202a Ausspähen von Daten:

  1. Wer unbefugt Daten, die nicht für ihn bestimmt und die gegen unberechtigten Zugang besonders gesichert sind, sich oder einem anderen verschafft, wird mit Freiheitsstrafe bis zu drei Jahren oder mit Geldstrafe bestraft.
  2. Daten im Sinne des Absatzes 1 sind nur solche, die elektronisch, magnetisch oder sonst nicht unmittelbar wahrnehmbar gespeichert sind oder übermittelt werden.

§ 303a Datenveränderung:

  1. Wer rechtswidrig Daten (§ 202a Abs. 2) löscht, unterdrückt, unbrauchbar macht oder verändert, wird mit Freiheitsstrafe bis zu zwei Jahren oder mit Geldstrafe bestraft.
  2. Der Versuch ist strafbar.

§ 303b Computersabotage:

  1. Wer eine Datenverarbeitung, die für einen fremden Betrieb, ein fremdes Unternehmen oder eine Behörde von wesentlicher Bedeutung ist, dadurch stört, dass er
    • eine Tat nach § 303a Abs. 1 begeht oder
    • eine Datenverarbeitungsanlage oder einen Datenträger zerstört, beschädigt, unbrauchbar macht, beseitigt oder verändert
    wird mit Freiheitsstrafe bis zu fünf Jahren oder mit Geldstrafe bestraft.
  2. Der Versuch ist strafbar.

§ 263a Computerbetrug:

  1. Wer in der Absicht, sich oder einem Dritten einen rechtswidrigen Vermögensvorteil zu verschaffen, das Vermögen eines anderen dadurch beschädigt, dass er das Ergebnis eines Datenverarbeitungsvorgangs durch unrichtige Gestaltung des Programms, durch Verwendung unrichtiger oder unvollständiger Daten, durch unbefugte Verwendung von Daten oder sonst durch unbefugte Einwirkung auf den Ablauf beeinflusst, wird mit Freiheitsstrafe bis zu fünf Jahren oder mit Geldstrafe bestraft.
  2. § 263 Abs. 2 bis 7 gilt entsprechend.

§ 270 Täuschung im Rechtsverkehr bei Datenverarbeitung:

Der Täuschung im Rechtsverkehr steht die fälschliche Beeinflussung einer Datenverarbeitung im Rechtsverkehr gleich.

Sonstiges Recht

Urheberrecht (Auszug):

Hat das Werk eine angemessene Werkhöhe (Qualität), so erlischt das Urheberrecht:

Weiterhin gibt es noch das "Recht am eigenen Bild": Veröffentlichung verletzt Persönlichkeitsrechte.

Dies alles gilt nur für den privaten Gebrauch, kommerziell kommt noch das Markenrecht hinzu.

Begriffe

In der Hacker-Szene gibt es eine eigene Szenensprache mit unscharfen Begriffen. Hier ein Versuch der Begriffsdefinition:

Ein Hacker kommt eher einem Forscher nahe, der untersucht, um Wissen der Gemeinschaft zur Verfügung zu stellen, und der alle Gesetze beachtet. Der Übergang vom Hacker zum Cracker ist gleitend; häufig ist Hacken ohne minimales Cracken nicht möglich.

Cracken von Software:

Beim Cracken geht es darum, den Kopierschutz durch Ändern des Binärcodes (oder anderer Maßnahmen) unwirksam zu machen, Software zur Feststellung und Generierung von Freigabe-Codes zu erstellen (und zu benutzen) sowie deren Ergebnisse zu verbreiten, d.h. es geht um den Bruch des Copyrights (Urheberrechts).

Auch hier ist die Rechtslage recht unklar, insbesondere was die private Benutzung nach Kauf einer Lizenz betrifft.

Anwendungsbereiche (Beispiele):

Umgang mit Sicherheitsproblemen:

Position (Typisch für Geheimdienste und viele Software-Firmen):

Security by obscurity: Sicherheit entsteht primär dadurch, dass keine Informationen über Maßnahmen, Algorithmen und Mängel verbreitet werden.

Gegenposition (Typisch für Open Source Software-Bewegung):

Sicherheit entsteht primär durch Offenlegung, öffentlicher Prüfung bzw. Kritik.

Da beide Seiten gleichzeitig sich irren und Recht haben, ist wohl der Mittelweg der Beste.

Hacker-Software ist zweischneidig:

Aber:

Es gibt erhebliche Gegenargumente gegen die Verbreitung von

Vorgehen externer Cracker

Schritt 1: Auskundschaften:

Schritt 2: Analyse des Ziels:

Schritt 3: Angriffe:

Schritt 4: Übernahme des Systems:

Von Draußen oder von Drinnen?

2/3 aller ernsthaften Probleme entstehen durch die eigenen Mitarbeiter.

Gründe:

Viren kommen eher von außen, Einbrüche eher von innen.

Ursachen:

  1. Qualitätsmängel in der Herstellung der Software
    Beispiel: Bufferoverflow-Probleme
  2. Qualitätsmängel bei der Konzeption
  3. Bewusst in Kauf genommene Mängel durch das Management
    Beispiele: Reduktion des Budgets, Terminverkürzungen
  4. Konfigurationsmängel
    Beispiele: Kein Einfahren von Aktualisierungen, Beibehalten von Standard-Passwörtern, Ausschalten von Sicherheitslösungen, z.B. Viren-Scanner.

Hinweis: Dies ist alles vermeidbar, wenn es nicht Geld kosten würde!

Zum Menü Wirtschaftsinformatik | Zum Seitenanfang

Viren

Virus = Programm, das sich an ein anderes Programm anfügt, es teilweise überschreibt oder eigenständig ist sowie neben seiner Verbreitung eine Aktion durchführt.

Eigenständige Viren sind z.B. Makroviren (Visualbasic) teilweise Plattform übergreifend.

Aktionen (Payload) in aufsteigender Gefährdung:

  1. Jux
  2. Zerstörung, z.B. Formatieren von Datenträgern
  3. Manipulation von Zugriffssystemen
  4. Installation fremder Software

Verbreitung:

Suche nach einem nicht infizierten Programm bzw. geeigneten Ort sowie Anfertigen einer eventuell geänderten Kopie von sich selbst.

Viren - Orte

  1. Dokumente mit aktiven Inhalten
    z.B. Word mit VBA, PDF mit JavaScript, E-Mail mit JavaScript
  2. Boot-Sektor von Medien, meist Disketten
  3. Autostartdateien von Medien, meist CD-ROM
  4. Ausführbare Programme:
    • Eigenständige Programme, auch versteckt
    • Als Teil einer Mail (z.B. VBA)
    • Als ausführbarer Teil von Daten (z.B. selbst auspackende Archive)
  5. Registry (Windows), dort auch in Kombination mit Ordnern
  6. RAM

Viren - Entfernung

Identifizierung mit Mustererkennung (Signaturen) durch Viren-Scanner.

Probleme:

Beim Verbreitungsschritt können Viren ihr Bitmuster variieren (mutieren). Dann sind so viele Signaturen erforderlich wie Mutationen bzw. speziell programmierte Suchroutinen.

Trojaner (Back doors)

Trojaner = Back Doors (Hintertüren) = Programm(teil), das neben einer offensichtlichen eine versteckte Funktion ausführt oder vollkommen versteckt arbeitet.

Varianten in aufsteigender Gefährlichkeit:

  1. Ausblenden von verräterischen Informationen
    z.B. Weglassen von bestimmten Prozessen beim Kommando zum Auflisten von Prozessen
  2. Datenmanipulationen von Konfigurationen
  3. Inaktivieren von Authentifizierungen
  4. Aktionen im Hintergrund
  5. Änderungen des Kernel

Würmer

Würmer = Programme, die sich eigenständig von Rechner zu Rechner - auch Plattform übergreifend - bewegen und auf jedem Rechner eine Aktion ähnlich von den Viren durchführen.

Verbreitung meist über per E-Mail oder per FTP.

Viele der heutigen Viren sind Würmer mit Virenaktionen.

Aktionen:

  1. Verbreitung von Viren
  2. Manipulation von Konfigurationen
  3. Zerstörung von Daten
  4. Installation von Hintertüren

Zum Menü Wirtschaftsinformatik | Zum Seitenanfang

Techniken

Authentifizierung

Passwörter:

Methoden des Cracken von Kennwörtern:

Aber auch: Unterlaufen des Schutzes
Beispiel: Bildschirmschoner-Kennwörter mit CD-ROM

Chipkarten:

Der Inhaber identifiziert sich durch eine (hoffentlich) fälschungssichere Chipkarte (die er nicht verliert).

Nachteil: teuer

Biometrie:

Nachteil: teuer und unzuverlässig (unausgereift).
Aber wenn es funktioniert, dann die beste Methode.

Social Engineering

Social Engineering = Systematisches Auskundschaften des (sozialen) Umfelds der Organisation oder der Personen, die Zugang zum gewünschten System haben, sowie das Ausnutzen dieser Erkenntnisse.

Beispiele:

Techniken - Probieren

Port Scanner:

Ansprechen eines Ports (Aufbau einer TCP-Verbindung) und warten auf Antwort:

Auswertung, übersichtliche Darstellung und Integration in Datenbank.

Tarnung:

Ergänzt durch Funktion des Durchsuchens ganzer Netze (Port- und IP-/MAC-Adressraum).

Bruce Force:

Bei bekannten verschlüsselten Passwort-Mustern.

BIOS-Passwörter (am besten, da unbemerkt). Alternativen:

Abfrage-Formulare nach Passwörtern im Web.

Aber auch:

Manchmal werden Kennwörter nicht zufällig generiert, z.B. anhand von Wörterbüchern. Das verkürzt die Probierzeit.

Techniken - Abhören

Sniffer:

  1. LAN: Ethernet-Karte in Promiscous-Mode bringen, alle Frames kopieren, filtern und ordentlich aufbereitet anzeigen
  2. Nach Einbruch in Router/Firewall: dasselbe auf IP-Ebene am Netzübergang
  3. WLAN: Monitoren und Knacken der WEP-Verschlüsselung
  4. Messungen an Kabeln: Übersprechen paralleler Leitungen
  5. Messung der Abstrahlung von Monitoren
    TEMPEST (Transient Electromagnetic Pulse Emanation Standard), unscharfe Schrift lässt sich schwerer abhören
  6. Abhören von LWL

Ab 3. Ist Expertenwissen erforderlich, Nr. 1-2 klassisch

Teilnetze auskundschaften:

Techniken - In der Mülltonne wühlen

Papierabfälle ansehen. Interessant sind

Internet-Cache vom Vorgänger ansehen, z.B. in Internet-Cafes.
Auf Platten nach gelöschten Dateien suchen.

Techniken - Aktive Inhalte

Passive Inhalte = Daten, die nur angezeigt oder kontrolliert modifiziert werden können.

Aktive Inhalte = Programme als Teile von anderen Daten, die unkontrolliert nach dem Laden gestartet werden.

Beispiele auf der Client-Seite:

Dies gilt für Web-Seiten und E-Mails gleichermaßen.

Abwehrtechnik - Quarantäne

Quarantäne = Unklare Software bzw. Daten werden in einen Bereich gebracht, in dem nur kontrollierte und beobachtbare Manipulationen durch die unklare Software möglich sind.

Für Quarantäne eignen sich:

Beispiele:

In der Quarantäne wird die Software genau getestet und dabei beobachtet.

Techniken - Spoofing

Spoofing = Verfahren der Simulation einer anderen Person bzw. Rechners.

Es wird für eine Zeit lang die Rolle einer anderen Person/Rechners übernommen.

"Man in the middle"-Angriff = Software schaltet sich zwischen zwei Kommunikationspartner, hört ab oder greift aktiv ein (Übernahme einer der beiden Rollen). Dies wird manchmal Hijacking genannt.

Typisch: IP-Spoofing: Falsche Source-IP-Adresse

Techniken - Speicherprobleme

Bufferoverflow mit Programmfortsetzung:

Durch Senden einer extrem langen Nachricht werden - aus Cracker-Sicht - gewünschte Teile des Speichers modifiziert, z.B. um dort kurze Software zu installieren.

Absturz nach Speicherüberlauf:

Durch zu lange Programme/Daten kommt es zu einem Speicherüberlauf; der Core-Dump wird dann analysiert.

Denial of Service

Denial of Service-Angriff = DoS-Angriff = Eine Funktion oder ein ganzes System wird außer Kraft gesetzt oder so gestört, dass die Dienstleistung nicht erbracht werden kann.

Beispiele:

Anwendungen bei Web-Server oder Mail-Server.

Distributed Denial of Service

Verteilte Version des Denial of Service.

Ziel: Überlastung durch

Probleme:

"Brief-Bomben":

Überlastung des Postfachs einer Person durch zu viele oder zu große Mails:

Derselbe Effekt kann auch durch Spam (Junk Mail) oder durch Hoax entstehen:

Zum Menü Wirtschaftsinformatik | Zum Seitenanfang

Firewall

In der DMZ stehen Server mit Schutzfunktionen (Bastion) sowie Server mit öffentlichen Zugang, z.B. Web-Server.

Demilitarisierte Zone

Bildbeschreibung "Demilitarisierte Zone": Die DMZ ist Vermittler zwischen Internet und Innennetz. Paketfilter bilden die Schnittstelle zu beiden Bereichen.

Firewall - Filter und Bastion

Filtern von Paketen

Filter werden in Form von Regeln definiert.

Bastion sind Server mit speziellen Schutzfunktionen:

Daneben sind noch Router erforderlich.

Personal Firewall:

Personal Firewall = Firewall auf den Endsystemen.

Sie sind bei Ende-zu-Ende-Verschlüsselung notwendig.

Leider müssen sie von den Benutzern administriert werden bzw. können von diesen administriert werden.

Auch kommen häufig Benutzer mit den Meldungen der Firewall nicht zurecht (dies trifft auch für den Virenbefall zu).

Firewall - Probleme

  1. Konfiguration ist kritisch
  2. Aufwendige Konfiguration
  3. Niedrige Performance
  4. Funktioniert nicht in Kombination mit Verschlüsselung bzw. es sind komplizierte Architekturen erforderlich
  5. Rechtsprobleme
    • Mitschneiden von persönlicher E-Mail
    • Aussondern von E-Mail-Viren in Quarantäne-Bereich in der DMZ
    • Personal-/Betriebsrat sollte einbezogen sein

Web-Geschäfte haben folgende Sicherheitsprobleme:

Dies und noch weitere Probleme hemmen die Ausweitung des "Web-Geschäfts".

Lösung

Es sollte ein Verfahren geben, das
  1. ein Abhören sehr erschwert (Vertraulichkeit).
  2. die Identität der Personen feststellt (Authentifizierung), so dass immer klar ist, von wem welche Information stammt.
  3. eine unbemerkte nachträgliche Veränderung der Daten verhindert (Integrität).

Punkt 1 wird durch Verschlüsselung erreicht.
Punkt 2 wird anhand eines Geheimnisses (Passwort), das nur die betreffende Person kennt, erreicht.
Punkt 3 wird durch Fingerprints (Quersummen) erreicht.

Zum Menü Wirtschaftsinformatik | Zum Seitenanfang

Verschlüsselung

Symmetrische Verschlüsselung

DES (Data Encryption Standard): beide Schlüssel sind geheim (64 bit-Schlüssel).

Benutzung: HBCI (Home Banking Computer Interface), SSL (Secure Socket Layer).

Weiterentwicklungen:

Anstatt eines Passworts wird ein Schlüssel (Key) verwendet; dies ist eine lange Zeichenkette, z.B. 1024 Bits lang, die nicht mehr eingegeben werden kann, sondern auf einem Rechner liegt.

Vorteil: höhere Sicherheit

Den Schlüssel müssen beide Personen (A und B) kennen, auf keinen Fall der Abhörer C.

Symmetrische Verschlüsselung

Bildbeschreibung "Symmetrische Verschlüsselung": Person A verschlüsselt Dokument und sendet es an Person B, welche den Schlüssel hat und so das Dokument entschlüsselt und lesen kann.

Nachteil dieses Verfahrens: Wenn sich A und B nicht kennen, müssen sie den Schlüssel über das Netz austauschen, was die Gefahr birgt, dass C diesen abhört.

Asymmetrische Verschlüsselungen

Asymmetrische Verfahren:

Verschlüsselung:

Sender verschlüsselt mit öffentlichen Schlüssel des Empfängers, nur dieser kann entschlüsseln.

Signieren:

Sender verschlüsselt seine Unterschrift mit seinem geheimen Schlüssel, so dass sich der Empfänger überzeugen kann, dass es vom Sender kommt, indem er die Unterschrift mit dem öffentlichen Schlüssel prüft.

Symmetrische und asymmetrische Verfahren können kombiniert werden, z.B. bei SSL.

Asymmetrische Verschlüsselungen

Bildbeschreibung "Asymmetrische Verschlüsselungen": Person A verschlüsselt das Dokument mit dem öffentlichen Schlüssel "2-B" und sendet das Dokument an Person B. Person B entschlüsselt das Dokument mit dem geheimen Schlüssel "1-B". Beide Schlüssel gehören Person B.

Bei den asymmetrischen Verschlüsselungen wird immer ein Schlüsselpaar verwendet, das folgende Eigenschaften hat:

Einer der beiden Schlüssel wird öffentlich gemacht, der andere bleibt immer geheim.

Verfahren:

  1. Die Person A holt sich von einem öffentlich zugänglichen Rechner (Server), dem sie vertraut, den öffentlichen Schlüssel der Person B.
  2. Mit diesem Schlüssel verschlüsselt A seinen Text, was bedeutet, dass nur Person B mit dem geheimen den Text entschlüsseln kann.
  3. Person B entschlüsselt den Text mit seinem geheimen Schlüssel.

Person C kann den Text nicht rekonstruieren.

Hinweis: Damit ist das erste Problem der Vertraulichkeit gelöst.

Authentifizierung und Integrität (Signieren)

Authentifizierung und Integrität werden zusammen mit dem folgenden technischen Verfahren gelöst:

  1. Es wird ein Hash-Code (Fingerabdruck, Fingerprint) des Textes erstellt.
  2. Der Fingerabdruck wird mit dem geheimen Schlüssel von Person A verschlüsselt.
  3. Person B erstellt auch einen Fingerabdruck mit demselben Verfahren wie A.
  4. Person B entschlüsselt den überlieferten Abdruck mit dem öffentlichen Schlüssel von Person A.
  5. Nun vergleicht Person B den selbst erstellten Fingerabdruck und den entschlüsselten. Sind sie gleich, weiß Person B, dass der Text wirklich von Person A kommt.

Authentifizierung und Integrität (Signieren)

Bildbeschreibung "Authentifizierung und Integrität (Signieren)": Grafische Darstellung des im vorangegangenen Absatz beschriebenen Verfahrens.

Fingerprint (Fingerabdruck):

Das Erstellen eines Fingerabdrucks erfolgt mit einem mathematischen Verfahren (Hash), das zu einem Text eine (relativ lange) Zahl generiert, die den Text repräsentiert.

Wird der Text auch nur minimal verändert, so entsteht immer ein anderer Fingerabdruck.

Es gibt also (in der Praxis) keine zwei Texte, die zum selben Fingerabdruck führen.

Digitale Unterschrift (Signatur):

Wird nun ein Fingerabdruck mit dem geheimen Schlüssel verschlüsselt, so wird das Resultat digitale Unterschrift (oder Signatur) genannt.

Eine Signatur ist deshalb eindeutig, da nur derjenige, der im Besitz des geheimen Schlüssels ist, in der Lage ist, sie zu erstellen.

Eine Unterschrift ist immer individuell an einen bestimmten Text so gekoppelt, dass schon die kleinste Änderung ein Nicht-Zusammenpassen anzeigt.

Prüfung einer Signatur:

Derjenige, der die Unterschrift prüfen will

Nachteil dieser Authentifizierung: Der Text kann abgehört werden.

Hinweis: Daher werden beide Verfahren kombiniert.

Kombination beider Verfahren

Bildbeschreibung "Kombination beider Verfahren": Der bereits verschlüsselte Fingerabdruck wird zusätzlich mit dem geheimen Schlüssel verschlüsselt. Das Resultat wird digitale Unterschrift (oder Signatur) genannt.

Zertifikate

Ein Schwachpunkt verbleibt noch: Wie kann sichergestellt werden, dass eine Person den korrekten öffentlichen Schlüssel einer fremden Person erfährt?

Eine Certification Authority (CA) - oder Trustcenter genannt - hat ein Verzeichnis von öffentlichen Schlüsseln samt Personenbeschreibungen und beglaubigt die Verbindung zwischen Person und öffentlichem Schlüssel durch ein Zertifikat.

Ein Zertifikat besteht aus

Ablauf:

Möchte die Person A sicher mit der fremden Person B kommunizieren, so wendet sich A an ein Trustcenter, das den öffentlichen Schlüssel von B beglaubigt heraus gibt. Dann beginnt der oben skizzierte Prozess.

Wie kann sich Person A von der Glaubwürdigkeit des Zertifikats überzeugen?

Indem A mit dem öffentlichen Schlüssel vom Trustcenter dessen Unterschrift prüft (mit demselben Verfahren, wie jede Unterschrift geprüft wird).

Steganographie und Wasserzeichen

Steganographie:

Verfahren, um Informationen in größeren Datenbeständen zu verstecken.
Typisch: In Bitmap-Bildern

Die verteilten Informationen sind mit dem Auge nicht erkennbar. Schutzstärke ist gering.

Verwandt damit sind

Wasserzeichen:

In dem Kunstwerk werden Zeichen zur Erkennung der Herkunft versteckt, um Copyright-Verletzungen nachweisen zu können.