Humboldt University Computer Science Department Systems Architecture Group IT-Sicherheit Grundlagen...

Humboldt University

Computer Science Department Systems Architecture Group http://sar.informatik.hu-berlin.de

IT-SicherheitGrundlagen

Grundlagen

Orientierung, Problemstellung


Modul: IT-Sicherheit Grundlagen

Dr. Wolf Müller2

Modul: IT-Sicherheit Grundlagen (wahlfreies Angebot)

Voraussetzungen für die Teilnahme am Modul:Grundlegende Kenntnisse in der Programmierung (wie sie etwa in GdP vermittelt werden)

Lehrveranstaltungen SWS SP und Beschreibung der Arbeitsleistung auf deren Grundlage die SP vergeben werden

VL + UE 4 + 2 8 SP: Vorlesung (4 SWS) und Übungen (2SWS)Aktive Teilnahme an den Übungen, erfolgreiche Lösung der Aufgaben, Selbststudium.

Voraussetzung für die Vergabe von Studienpunkten

Übungsschein ist Voraussetzung für Zulassung zur Prüfung.Bei bestandener Prüfung am Ende des Semesters werden 8 Studienpunkte vergeben.

Prüfung(Prüfungsform,Umfang/Dauer, SP)

Mündliche Prüfung oder schriftliche Prüfung(wird am Anfang des jeweiligen Semesters bekannt gegeben)

Häufigkeit des Angebotes

Alle 2 Jahre

Dauer des Moduls 1 Semester


Termine

• Vorlesung: – Dr. Wolf Müller – Montag & Mittwoch

09:15 – 10:45 – RUD 25, 3.301– [email protected] – Tel.: 3127

• Übung:– Dr. Wolf Müller– entweder Montag oder Mittwoch 11:00 – 12:30– RUD 25, 4.113– Erster Termin: 16.04.2012

Dr. Wolf Müller3

http://sar.informatik.hu-berlin.de/teaching/2005-s%20Security%20Engineering/undefined

mailto:[email protected]




SAR Website

• Teaching > IT Sicherheit - Grundlagen > [more]

• https://www2.informatik.hu-berlin.de/sar/Itsec/

Materialien (Folien)• Login:

$InformatikLogin

• Password:$InformatikPasswort

Dr. Wolf Müller4

http://sar.informatik.hu-berlin.de/teaching/2007-w%20Security%20Engineering%20(Basics)/index.htm





https://www2.informatik.hu-berlin.de/sar/Itsec/


Regeln

• Für Prüfungszulassung Übungsschein nötig.

• Erwartung:– Regelmäßige Teilnahme– Aktive Mitwirkung in Übung– Gerne Anregungen für Vorlesung

• VL beginnt pünktlich

• Prüfung: Mündlich 30 min.– Voraussichtlich: 8. / 9. August– September vor IT-Security-Workshop

Dr. Wolf Müller5


Literatur

Dr. Wolf Müller6

IT-Sicherheit, Studienausgabe(29 €)

Claudia Eckert IT-Sicherheit: Konzepte - Verfahren – Protokolle(aktuell 7. Auflage)(70 €)


Literatur 2

Dr. Wolf Müller7


Literatur 3

Dr. Wolf Müller8

Levente Buttyan and Jean-Pierre Hubaux

http://www.hit.bme.hu/~buttyan/

http://people.epfl.ch/jean-pierre.hubaux


Zielstellung

• Grundlegendes Verständnis für IT-Sicherheit• Kritisches Hinterfragen von Design, Abläufen, Software,

Verhalten• Lernen aus Beispielen• Sicherheit ist vielschichtig• Sicherheit ist nur temporär, bedarf Pflege, Überprüfung.• Sicherheitsmechanismen müssen einfach zu nutzen sein.• Privatsphäre, Anonymität, Datenschutz sollte/muss

beachtet werden.• Nutzerakzeptanz wichtig, oft schwächstes Glied.

Dr. Wolf Müller9


Agenda: Grundlagen

26 Termine im Semester insgesamt (28 – {Oster,Pfingst}Montag)

1. Orientierung, Problemstellung

2. Schutzziele / Begriffe

3. Sicherheitsmodelle / Zugriffskontrolle

4. Sicherheitsmodelle / Informationsfluss

5. Angreifertypen, Bedrohungen

Dr. Wolf Müller10


Agenda: Sicherer Kanal: Alice Bob

6. Ideen zur sicheren Übertragung (Steganografie, Entwicklung der Kryptografie)

7. Sicherheit von Kryptosystemen

8. Symmetrische versus asymmetrische Verfahren

9. Gruppenaufgabe: Themenvorstellung/ -vergabe

10. Blockchiffren, Stromchiffren

11. Integritätsschutz

12. Digitale Signaturen

13. PKI, Zertifikate, Alternativen & Grenzen

14. Authentifizierung: Wissen, Haben

15. Authentifizierung: Sein = Biometrie

16. Protokolle I: Schlüsselaustausch, Bausteine

17. Protokolle II: SSL/TLS, …

Dr. Wolf Müller11


Agenda: Sichere Implementierung

18. Systemsicherheit: Bufferoverflow, FormatString

19. Netzwerksicherheit I: Schwachstellen & Gegenmaßnahmen(VLAN, IDS, VPN, IP-Sec, IPv6)

20. Netzwerksicherheit II: drahtlos

21. Websicherheit I

22. Websicherheit II

23. Testing / Zertifizierung

24. Präsentation I: Gruppenaufgabe

25. Präsentation II: Gruppenaufgabe

26. Prinzipien des Security-Engineering

Dr. Wolf Müller12


Übungen: Mo, Mi

• Raum für Fragen, Anregungen, Diskussionen• Gelegenheit zum Überprüfen und Anwenden erworbenen

Wissens

• 3 individuelle abzugebende Übungsaufgaben– Elektronische Abgabe (wahrscheinlich Goya)

• 1 größere Gruppenübungsaufgabe– Ziel: Beschäftigung in Praxis mit größerem Problem– Darstellung der Ergebnisse vor allen Teilnehmern– Gruppengröße: 3-5 (abhängig von Aufgabe)

Dr. Wolf Müller13


Fragen

Dr. Wolf Müller14


PROBLEMSTELLUNG

Dr. Wolf Müller15


Kurzgeschichte des Computers

Dr. Wolf Müller16

time

dev

ice

pen

etra

tio

n



Dr. Wolf Müller17

time

dev

ice

pen

etra

tio

n

1978

1. PersonalDesktopComputing



Dr. Wolf Müller18

time

1991

1993

dev

ice

pen

etra

tio

n


2. PersonalUbiquitousComputing



Dr. Wolf Müller19

time

3. EmbeddedUbiquitousComputing

dev

ice

pen

etra

tio

n

2. PersonalUbiquitousComputing




Dr. Wolf Müller20

today

time

dev

ice

pen

etra

tio

n

© Dirk Balfanz, Xerox Parc


Computer Overload

Dr. Wolf Müller21

time

human capacity

number of devicesper person

dev

ice

pen

etra

tio

n


Requirements

Dr. Wolf Müller22

Nötige Sicherheitsmaßnamen

BenötigteFähigkeiten

Informationszeitalter


Computerkriminalität

Dr. Wolf Müller23


Computerkriminalität

Dr. Wolf Müller24

© http://www.symantec.com/region/de/avcenter/cybercrime/bots_page2.html


BSI-Bürgerumfrage zur Internetsicherheit

Internetnutzer in Deutschland schützen sich unzureichend vor bekannten Risiken

https://www.bsi.bund.de/ContentBSI/Presse/Pressemitteilungen/Presse2011/BSI-Buergerumfrage-Internetsicherheit_11022011.html

Dr. Wolf Müller25



BSI-Bürgerumfrage zur Internetsicherheit

• Sicherheitsupdates und Administratorenrechte häufig unbeachtet


Dr. Wolf Müller26



Lagebericht BSI 2007

Dr. Wolf Müller27


Lagebericht BSI 2009 (1)

Dr. Wolf Müller28

nPA, ePass

https://www.bsi.bund.de/ContentBSI/Publikationen/Lageberichte/bsi-lageberichte.html

https://www.bsi.bund.de/ContentBSI/Publikationen/Lageberichte/bsi-lageberichte.html



Dr. Wolf Müller29



Dr. Wolf Müller30

https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/Lageberichte/Lagebericht2011_nbf.pdf





Dr. Wolf Müller31

Supervisory Control and Data Acquisition:STUXNET



Dr. Wolf Müller32


BSI: Quartalslagebericht 4.2010 (1)

Dr. Wolf Müller33

Hacker nutzen RTF-Dateien für Angriffe


Einige Schutzziele

• Schutz der Daten vor Kompromittierung– Unberechtigte dürfen private Daten nicht einsehen

• Kopie– Urheberrechtlich geschützte Daten sollen nicht kopiert werden

können

• Verlust oder Veränderung– Verhinderung des Abhandenkommens wichtiger Daten– Verhinderung der Manipulation wichtiger Daten

Dr. Wolf Müller34


Bedrohungen

• Durch Andere– Böswillige („kriminelle“) Angriffe mit unterschiedlichen Motiven– Mögliche Lösungen: Firewalls, Verschlüsselung

• Durch den Nutzer selbst– Durch unabsichtliche Fehler von Benutzern– Verursachte Probleme– Mögliche Lösungen: Vorschriften, Back-ups, Redundanz

• Durch den Ausfall von Systemen– Durch „Pannen“ verursachte Datenverluste oder– Kompromittierungen von privaten Daten

Dr. Wolf Müller35


Bedrohungen in der analogen Welt

• Physische Verbrechen – Freiheitsberaubung– Körperverletzung– Mord / Totschlag

• Materielle Verbrechen– Steuerhinterziehung– Betrug / Untreue– Fälschung– Diebstahl– Erpressung– Vandalismus / Zerstörung

• Immaterielle Vergehen– Ruhestörung– Verkehrsdelikte– Beleidigung

Dr. Wolf Müller36


Analogien

• Diebstahl– Kaffeefahrt → Trojanisches Pferd– Brechstange → Brute-Force Angriff– Banktresor → Datenbank mit Kontoständen– Geldbörse → Nummer der Kreditkarte

• Körperverletzung– Körper → Computersystem DoS

• Erpressung– Foto mit der Geliebten

→ Elektronisch abgefangene Bestellung bei Beate Uhse mit entsprechenden Artikeln

Dr. Wolf Müller37


Kosten und Nutzen

• Durchschnittlicher Erfolg– Bankraub 1500 €– Einzelner Betrug bei eBay 9000 €

(Quelle BMSI 2003)

• Kosten– Schneidbrenner, Brechstange, Fluchtwagen, Skimaske,

wochenlange Vorbereitung und Beobachtung– stehen gegenüber– Computer, Netzanschluss und ein wenig Zeit

Dr. Wolf Müller38

http://images.google.de/imgres?imgurl=http://www.praxis-sahlmann.de/images/geld.gif&imgrefurl=http://radhan.jouwpagina.nl/&h=149&w=179&sz=18&tbnid=4ww4T9s8EEgJ:&tbnh=79&tbnw=95&start=1&prev=/images?q=geld&hl=de&lr=&sa=G


Zugriffsmöglichkeiten

Reichweite der Einbrecher

Lokal

Bankeinbruch

Global

Hacking einer Bank

Dr. Wolf Müller39


Spuren eines Einbruchs

• Bankeinbruch– Zerstörungen– Fingerabdrücke– DNA-Spuren

• Elektronischer Bankdiebstahl– Absender-Adresse– Log-Dateien

Dr. Wolf Müller40

http://images.google.de/imgres?imgurl=http://www.ffpr.de/online/profile0803/3MHK/imgages/48-fingerabdruck.jpg&imgrefurl=http://www.ffpr.de/online/profile0803/3MHK/sonst.html&h=201&w=148&sz=36&tbnid=t_rgRM4uOXwJ:&tbnh=98&tbnw=72&start=8&prev=/images?q=fingerabdruck&hl=de&lr=&client=firefox-a&rls=org.mozilla:de-DE:official_s&sa=G


Kriminelle Angriffe zu Erlangung eines finanziellen Gewinns

• Betrug• SPAM• Geistiger Diebstahl / Raubkopien• Identitätsdiebstahl / IP Spoofing• Markendiebstahl / Markenpiraterie

Dr. Wolf Müller41


Nutzung des Rechtssystems

Szenario• Kunde hebt Geld mittels EC-Karte ab und behauptet, er sei

es nicht gewesen.• Banken behaupten, Kunde wollte betrügen, wenn mit

gültiger PIN Geld abgehoben wurde.• Kunde findet Experten, der die Unsicherheit der PIN

darlegt.• Wer bekommt vor Gericht Recht?

Dr. Wolf Müller42


Verfolgung

Strafverfolgung schwierig:• Gesetze fehlen.• Ländergrenzen werden überschritten.• Urheber nicht nachvollziehbar.• Fachkundiges Personal fehlt.• Verfolgung oft zu spät.

Dr. Wolf Müller43


Fazit:

• Digitale Verbrechen– Kostengünstig und lohnend.– Erfordern einfache, verfügbare Technologie:

Standard PC, Standard Komponenten

– Überall in einem Netzwerk ausführbar.– Leicht zu verschleiern.– Leicht zu automatisieren.– Schwer zu verfolgen.

• ABER: Wir sind (und bleiben) die Guten!

Dr. Wolf Müller44


Asymmetrische Bedrohung:

Dr. Wolf Müller45

: Angriffsvektoren:

Angriff nicht möglich

Erheblicher Aufwand & Kosten :

Effektiven Angriffsvektor

Geringe Kosten.


Beispiel: Einkaufen im Internet

Dr. Wolf Müller46


Sofortueberweisung.de

Einführung zum Thema Sicherheit

Sicherheit ist nicht einfach nur ein Muss für den Erfolg von Sofortüberweisung. Sicherheit ist ein starkes

Argument für die bevorzugte Nutzung von Sofortüberweisung.

Komponenten des Sicherheitskonzeptes sind:• Hoher Schutz der Identität dank » PIN/TAN System• Das fälschungssichere» SSL-Zertifikat• Verschlüsselte » SSL-Verbindungen• Geschützte PayNet » Serverumgebung• Die» Versicherung einer renommierten deutschen

Versicherungsgesellschaft, die bei Missbrauch von PIN/TAN Daten haftet

• Kontinuierliche » Prüfung durch das TÜV Saarland• » Prüfungen durch Grosskunden , die bezüglich Sicherheit

keine Kompromisse eingehen.

Bis heute sind trotz zunehmender Nutzung des Systeme und bereits erfreulich hoher monatlicherTransaktionszahlen keine Betrugsfälle im Zusammenhang mit Sofortüberweisung bekannt.

Dr. Wolf Müller47

https://www.sofortueberweisung.de/cms/index.php?plink=pintansystem&alink=sicherheit&fs=&l=0

https://www.sofortueberweisung.de/cms/index.php?plink=ssl-zertifikat&alink=sicherheit&fs=&l=0

https://www.sofortueberweisung.de/cms/index.php?plink=ssl-verbindungen&alink=sicherheit&fs=&l=0

https://www.sofortueberweisung.de/cms/index.php?plink=serverumgebung&alink=sicherheit&fs=&l=0

https://www.sofortueberweisung.de/cms/index.php?plink=versicherung_fuer_kaeufer&alink=sicherheit&fs=&l=0

https://www.sofortueberweisung.de/cms/index.php?plink=tuev-zertifikat&alink=sicherheit&fs=&l=0

https://www.sofortueberweisung.de/cms/index.php?plink=grosskunden&alink=sicherheit&fs=&l=0


Sofortueberweisung.de

Dr. Wolf Müller48


Sammlung: Angriffspunkte

• Gefälschter Firefox• Trojaner Plugin• Falscher Server• Manipulation OS• Angriff DNS • Eigene Trusted Root CA• Keylogger SW/HW• X-site scripting• Gewalt

Dr. Wolf Müller49


23.03.11 http://heise.de/-1212986

SSL-GAU zwingt Browser-Hersteller zu Updates• Der Herausgeber von SSL-Zertifikaten Comodo wurde nach

Angaben[1] des Tor-Entwicklers Jacob Appelbaum und laut einem Blogeintrag[2] der Mozilla Foundation möglicherweise kompromittiert. In der Folge gelangten Kriminelle an neun Zertifikate bereits existierender Webseiten, darunter auch addons.mozilla.org. Ob der Fehler auf die mangelnde Prüfung bei der Ausstellung oder auf die Kompromittierung der Infrastruktur von Comodo zurückzuführen ist, ist derzeit offiziell nicht bekannt. ….

Dr. Wolf Müller50

http://heise.de/-1212986


Angeblicher E-TAN-Generator für Paypal

Dr. Wolf Müller51

Humboldt University Computer Science Department Systems Architecture Group IT-Sicherheit Grundlagen...

Documents

Transcript of Humboldt University Computer Science Department Systems Architecture Group IT-Sicherheit Grundlagen...