WS 0102 Sicherheit im Web Markus Dring Seminar

WS 01/02 Sicherheit im Web Markus Döring Seminar Sicherheit im Web Markus Döring

WS 01/02 Sicherheit im Web Markus Döring Agenda § Allgemeines ü Datenschutz ü IT-Sicherheit § Internet ü ü ü ü Geschichte Funktionsweise Nutzungsmöglichkeiten Informationsbeschaffung Präsentationen E-Mail Online-Banking E-Commerce § Probleme bei Nutzung des Internet ü Computerkriminalität ü Datenspuren und Cookies ü Viren ü Trojanische Pferde ü Unterschrift und Bezahlung

WS 01/02 Sicherheit im Web Markus Döring Agenda § Schutzmöglichkeiten ü ü ü Technischer Schutz Firewall Kryptografie Digitale Signatur Persönlicher Schutz § Lösungen für das World Wide Web ü Sicherere Übertragung mit HTTP ü Secure Socket Layer (SSL) § Schlussbetrachtung

WS 01/02 Sicherheit im Web Markus Döring Allgemeines § EDV ist heutzutage nicht mehr wegzudenken § Datenabfrage auf Knopfdruck möglich § Verknüpfbarkeit und Verwertbarkeit der Daten erfordern neue Konzepte zum Schutz des Persönlichkeitsrechts § Def. : Datenschutz hat die Aufgabe, den Einzelnen davor zu schützen, dass durch den Umgang mit seinen personenbezogenen Daten sein Persönlichkeitsrecht beeinflusst wird § BDSG von 1990: „informationelle Selbstbestimmung“

WS 01/02 Sicherheit im Web Markus Döring Allgemeines § IT-Sicherheit behandelt die technische Seite sowie die Sicherung von Datenflüssen gegen Störungen und unbefugte Eingriffe Dritter § Datensicherung ist die Gesamtheit aller organisatorischer und technischer Vorsorgemaßnahmen gegen Verlust, Fälschung und unberechtigten Zugriff aufgrund von Katastrophen, techn. Ursachen, menschl. Versagen oder mutwilligen Eingriffen § Datensicherheit ist der angestrebte Zustand, der durch all diese Maßnahmen erreicht werden soll, aber letztlich nicht vollkommen erreicht werden kann

WS 01/02 Sicherheit im Web Markus Döring Allgemeines § Im direkten Vergleich mit dem Datenschutz lässt sich die Datensicherung schwer abgrenzen § In den meisten Betrieben wird täglich ein Back-up des Informationssystems gemacht und verschlossen § Der Verschluss dient der Datensicherung § Sind auf dem Back-up auch personenbezogene Daten, dient der Verschluss auch dem Datenschutz § In den meisten Firmen ist die Datensicherheit wichtiger als der Datenschutz § Datenbestand soll schnell wiederherstellbar sein

WS 01/02 Sicherheit im Web Markus Döring Internet § 1983 bestand das Internet aus 500 vernetzten Rechnern § Nutzung nur zum wissenschaftl. Datenaustausch § 1991 wurde das World Wide Web (WWW) entwickelt § Dadurch wurde dieser Teilbereich des Internets der Öffentlichkeit zugänglich gemacht § Heute sind ca. 600 -700 Mio. Computer weltweit dem Internet angeschlossen § Tendenz rasch steigend § Datenverkehr verdoppelt sich ca. alle 100 Tage

WS 01/02 Sicherheit im Web Markus Döring Internet § Internet ist ein großes Netzwerk, in dem Tausende von Computern und kleinere Netzwerke miteinander verbunden sind § Datenübertragung über Telefon-/Standleitungen § Fast alle Rechner benutzen das Internet Protocol (IP) § Daten werden in einzelnen Datenpaketen per TCP an das zentrale IP verschickt und erhalten Empfängerund Absenderadresse. Datenpakete werden dann einer oder mehrerer Empfängeradressen zugestellt.

WS 01/02 Sicherheit im Web Markus Döring Internet § Informationsbeschaffung ü unbegrenzter Zugang zu Informationen ü z. B. in Bibliotheken stöbern, Zeitungsartikel suchen usw. ü Internettelefonie, Chatten § Präsentationen ü keine Firma kann es sich heute leisten nicht im Internet präsent zu sein ü durch Homepage werden wichtige Infos mitgeteilt § E-Mail ü innerhalb des Internets kann man Post verschicken ü store und forward Dienst (eine Maschine leitet die Mail solange weiter, bis sie ihr Ziel erreicht hat)

WS 01/02 Sicherheit im Web Markus Döring Internet § Online-Banking ü Immer mehr Internetbenutzer nutzen diese Möglichkeit ü Banken nutzen den HBCI Sicherheitsstandard ü Die Sicherheit beim Online-Banking hat sich zum Vorzeigeobjekt entwickelt § Handel im Internet (E-Commerce) ü E-Commerce gehört die Zukunft ü Fast jedes Produkt lässt per Internet bestellen ü Man bestellt bequem online, bezahlt per Kreditkarte oder Bankeinzug ü Einkaufsstress entfällt

WS 01/02 Sicherheit im Web Markus Döring Probleme bei Nutzung des Internet § Computerkriminalität ü Chaos Computer Club deckte Sicherheitslücken und –risiken auf und bot Problemlösungen an ü Viele Hacker bewegen sich in der Grauzone zwischen Legalität und Kriminalität ü Gesetzgeber kann nicht so schnell handeln wie es nötig ist ü Frage: Ist das rasche Wachstum des Internets auf die fehlende rechtliche Würdigung (bis ca. 1995) zurückzuführen? ü Erst in den letzten Jahren wurde die elektr. DV in die Strafgesetze eingearbeitet ü zu wenige staatenübergreifende Gesetze und Rechtsverordnungen

WS 01/02 Sicherheit im Web Markus Döring Probleme bei Nutzung des Internet § Datenspuren und Cookies ü jeder Internetbenutzer hinterlässt Spuren im Internet ü Log-Files werden von Experten aufgezeichnet und ausgewertet ü Identifizierung durch elektr. Seriennummer des Prozessors ü durch Besuchen von Internetseiten kann eindeutiges Nutzerprofil erstellt werden ü Archivierungsfirmen archivieren regelmäßig das Internet ü Unternehmer legen Cookies auf Fremdrechner ab ü Cookies dienen eigentlich der Realisierung von Warenkörben

WS 01/02 Sicherheit im Web Markus Döring Probleme bei Nutzung des Internet § Firmen sprechen von verbesserten Kundenservice § Verbraucherschutz warnt vor gläsernen Surfer § Kunde kann nicht selber über die Verwendung der Daten entscheiden § Mit Kundendaten wird viel Geld verdient § Welche Daten werden übermittelt? ü Stammdaten, die eine Person beim Provider identifizieren ü Verbindungsdaten, wer, wann mit wem wie viele Daten ausgetauscht hat ü Inhaltsdaten, d. h. der Inhalt der eigentlichen Nachricht

WS 01/02 Sicherheit im Web Markus Döring Probleme bei Nutzung des Internet § Generell ist der Provider dazu verpflichtet das „keine oder so wenig personenbez. Daten wie möglich“ gespeichert werden § Aufbewahrung der Daten zur Archivierung ist nicht gestattet § Eine Löschung der Daten muss frühestmöglich oder unmittelbar erfolgen § Provider muss dem Nutzer eine anonyme oder unter einem Pseudonym geführte Inanspruchnahme der Dienste ermöglichen

WS 01/02 Sicherheit im Web Markus Döring Probleme bei Nutzung des Internet § Die Erstellung eines Nutzerprofils ist nur unter der Verwendung eines Pseudonyms möglich § Jeder Benutzer muss seine Daten beim Provider einsehen können § Diese strengen Regelung gelten nur für Deutschland § In den USA werden professionelle Log-File-Analysen als Dienstleistung angeboten § Globale Gesetzgebung im Internetdatenschutz wäre wünschenswert, aber mittelfristig nicht zu realisieren

WS 01/02 Sicherheit im Web Markus Döring Probleme bei Nutzung des Internet § Viren ü Datenfragmente oder angehängte Codes schleichen sich über fremde Datenträger oder Netzwerke auf die Festplatte ü Daten werden zerstört, manipuliert oder es passieren einfach nur verrückte Dinge ü Viele Viren werden zu einen bestimmten Termin aktiviert ü Eine echte Gefahr geht nur von ca. 5% der Viren aus ü Jeden Monat erscheinen ca. 400 neue Viren ü Anti-Virus-Software bietet vorerst einzigen Schutz

WS 01/02 Sicherheit im Web Markus Döring Probleme bei Nutzung des Internet § Trojanische Pferde (Trojaner) ü Computerviren, die sich selber verbreiten und vermehren ü Angreifer kann bei jeder Onlinesitzung des Betroffenen Passwörter mitlesen ü Manipulation von Daten und Vermehrung auch über E-Mail möglich ü Trojaner sind meist in Programmen versteckt, die aus dem Internet geladen wurden ü Beispiel: In Word-Dokument versteckt und wird per E-Mail verschickt. Im System eingebrochen verschickt sich der Trojaner an 50 Adressen aus dem Adressbuch weiter

WS 01/02 Sicherheit im Web Markus Döring Probleme bei Nutzung des Internet ü Wie bei Viren sind nur ca. 5% der Trojaner gefährlich ü Virenprogrammierer wollen hauptsächlich die Schnelligkeit der Vermehrung ihrer Trojaner testen ü Nachträgliche Schutzmaßnahmen gegen Trojaner bietet auch hier nur die Anti-Viren-Software § Unterschrift und Bezahlung ü Jeder möchte den Nachweis haben, ob ein Schreiben echt, vollständig und auch tatsächlich vom Absender ist ü Lösung bietet hier die digitale Unterschrift bzw. Signatur ü Keiner möchte seine Kreditkartennummer unverschlüsselt senden ü Ziel ist den elektronischen Handel so sicher zu machen wie das Online-Banking

WS 01/02 Sicherheit im Web Markus Döring Schutzmöglichkeiten - Firewall § Wer Daten nicht preisgeben möchte oder darf ist auf kostenintensive Soft- und Hardware angewiesen § Datenverlust könnte ganze Unternehmen ruinieren § Viele Unternehmen planen ihr internes Firmennetz an das Internet zu koppeln, um neue Märkte zu erschließen § Übergangspunkt zum Internet ist der Schwachpunkt § In der Praxis haben sich zwei Systeme etabliert ü Jeder Rechner wird einzeln gegen Angriffe von außen gesichert -> hoher Kostenfaktor

WS 01/02 Sicherheit im Web Markus Döring Schutzmöglichkeiten - Firewall ü Kostengünstigere Alternative ist die Einrichtung eines Firewall. Rechners ü Dieser Rechner bildet die Schnittstelle zwischen Firmen- und öffentlichen Netz ü Alle Sicherheitsmaßnahmen erstrecken sich auf diesen Rechner zwischengeschalteter Firewall-Rechner

WS 01/02 Sicherheit im Web Markus Döring Schutzmöglichkeiten - Firewall § Eine Firewall beaufsichtigt sämtliche Datentransfers zwischen dem sicheren LAN und dem Internet § Schutzniveau wird vom LAN bestimmt § Korrekte Administration beeinflusst stark die Sicherheit und erfolgt daher meist von Anbieterfirmen § Zwei Arbeitsweisen einer Firewall: ü Paketfilterprinzip: Die Versandinformationen in den Datenpaketen werden untersucht. Die Firewall entscheidet, wie und ob das Datenpaket weitergeleitet werden soll. Der Filter selbst besitzt keine IP-Adresse, ist daher unsichtbar und kann nicht von außen angesprochen oder manipuliert werden

WS 01/02 Sicherheit im Web Markus Döring Schutzmöglichkeiten - Firewall ü Dual Homed Gateway: arbeitet mit mehreren Verbindungen. Es besteht einerseits eine Verbindung mit dem internen LAN u. anderseits eine Verbindung mit einem öffentl. FTP/Server. Dieser DHG-Rechner ist als einziger aus dem Internet zu erreichen. Dual Homed Gateway Prinzip

WS 01/02 Sicherheit im Web Markus Döring Schutzmöglichkeiten - Firewall § Dieser Rechner speichert alle eingehenden Daten auf der Applikationsebene und überprüft sie § Verläuft die Prüfung positiv, so werden die Daten auf die Netzwerkebene des Firmennetz weitergeleitet § Einbruch in dieses System ist relativ einfach § Da aber alle Datenbewegungen protokolliert werden, kann ein Einbruch sehr einfach und schnell erkannt werden und genauso einfach unterbunden werden § Der Erfolg der Firewall hängt stark von der dazugehörigen Administration ab

WS 01/02 Sicherheit im Web Markus Döring Schutzmöglichkeiten-Kryptographie § Regierungen und Militärs nutzten schon immer Kryptografie um ihre Daten zu schützen § Aufschwung im privaten und kommerziellen Bereich § größte Know-how besitzen die Militärs § In den USA fielen Kryptomittel unter das Waffenexportgesetz § Militärs verweigerten den Export von Kryptomitteln bis September 1999 aus Angst vor organisierter Kriminalität

WS 01/02 Sicherheit im Web Markus Döring Schutzmöglichkeiten-Kryptographie § Hauptaufgaben der Verschlüsselung ü Die Nachricht wird geheimgehalten ü Die Nachricht kommt unverfälscht beim Empfänger an ü Der Absender kann ggf. identifiziert werden § Algorithmen wandeln Klartext in Chiffretext um § Ziel ist es ein möglichst sicheren Algorithmus zu schaffen, sodass ein Entschlüsselungsversuch zu teuer oder zeitliche Aufwand zu hoch ist § Verschlüsselungen laufen im Hintergrund ab § Programme generieren Schlüssel automatisch

WS 01/02 Sicherheit im Web Markus Döring Schutzmöglichkeiten-Kryptographie § Symmetrisches Verfahren (auch Private-Key) ü Zur Ver- und Entschlüsselung wird der gleiche Schlüssel benutzt ü Ein Schlüssel wird festgelegt, die Nachricht damit verschlüsselt, versandt und mit dem gleichen Schlüssel entschlüsselt § Bekannteste Systeme sind DES und IDEA § Problem ist die sichere Übermittlung und die Anzahl der zu tauschenden Schlüssel § Sicherheit: bei einer Schlüssellänge von 56 Bit braucht ein Rechner mit 1 Mio. Verschlüsselungsmöglichkeiten 2000 Jahre (bei 128 Bit Jahre)

WS 01/02 Sicherheit im Web Markus Döring Schutzmöglichkeiten-Kryptographie § Asymmetrisches Verfahren ü Ein öffentlicher public-key und ein pers. Schlüssel secret-key ü Beziehung bzw. Ableitbarkeit der Schlüssel besteht nicht ü Öffentliche Schlüssel ist im Netz bekannt und wird häufig von einer Zertifizierungsstelle verwaltet ü Persönlicher Schlüssel ist nur dem Benutzer bekannt § Der zu verschlüsselnde Text an den Benutzer x wird mit seinem öffentl. bekannten Schlüssel verschlüsselt und versandt (keine Rückcodierung möglich) § Benutzer x entschlüsselt Text mit seinem secret-key § Empfängeradresse muss Text vorangestellt werden und darf nicht mitverschlüsselt werden

WS 01/02 Sicherheit im Web Markus Döring Schutzmöglichkeiten-Kryptographie § Bekanntestes Verschlüsselungsverfahren ist das RSA (Rivest Shamir Adleman, 1977, IBM) § Asymmetrische Verfahren sind wesentlich komplexer und dadurch erheblich langsamer § In der Praxis werden oft Hybridmodelle benutzt § Dabei wird der symmetr. Schlüssel durch ein asymmetr. Verfahren verschlüsselt und verschickt § Beide Parteien haben ein und denselben Schlüssel § Beispiel für das hybride System ist Pretty. Good. Privacy § PGP kann digitale Signaturen verwenden

WS 01/02 Sicherheit im Web Markus Döring Schutzmöglichkeiten-Kryptographie § Steganographie (Geheimschrift) ü ü ü Hierbei möchte man die Existenz einer Nachricht verbergen Benutzung durch „Photo-Cds“ Niederwertigstes Bit eines 24 -Bit Bildpunktes wird genutzt Qualität wird nur minimal beeinträchtigt Auf einem Foto (2048 x 3072 Pixel) verschwinden 2, 3 MB Nachrichten ü Nachteil ist der große Überhang und die Leichtigkeit des Entschlüsselns bei Entdeckung der Methode

WS 01/02 Sicherheit im Web Markus Döring Schutzmöglichkeiten-Kryptographie § Digitale Signatur ü Empfänger möchte sicher sein, dass das Dokument unverändert vom Absender eingetroffen ist und das dieser eindeutig identifiziert werden kann ü Laut Sig. G ist eine digitale Unterschrift ein Siegel, welches mit Hilfe eines privaten Signaturschlüssels erzeugt wurde und mit einem dazugehörenden öffentl. Schlüssel, den Inhaber und die Echtheit der Daten erkennen lässt ü Technisch werden asymmetrische Verfahren genutzt ü In der Praxis werden diese Verfahren durch Programme vereinfacht ü Beim Homebanking zum Beispiel mit einer zertifizierten Chipkarte

WS 01/02 Sicherheit im Web Markus Döring Lösungen für das WWW § Anforderung an Sichere Übertragung mit HTTP § Signatur vermittelt dem Server Sicherheit über die Identität des Client § Signatur ist beim HTTP-Response des Servers an den Client nützlich, da der Client sicher sein kann, dass die Daten vom Originalserver stammen

WS 01/02 Sicherheit im Web Markus Döring Lösungen für das WWW § Bei Nutzung eines zusätzlichen Proxy-Server darf dieser Dokumente nicht in den Cache aufnehmen, bei denen der Originalserver eine Authentifizierung des Clients verlangt § Proxy-Server verfügt nicht über Autorisierungsinformationen und –mechanismen des Originalservers § Nachteil: Nicht jeder Proxy verhält sich tatsächlich so § Bei unchiffrierten Dokumenten: Die fälschlicherweise gespeicherten Dokumente werden auch an Clients ausgeliefert, die auf dem Originalserver keine Zugriffsrechte besitzen

WS 01/02 Sicherheit im Web Markus Döring Lösungen für das WWW § Bei chiffrierten Dokumenten sieht es anders aus § Caching bringt dem zugriffsberechtigten Client bei wiederholtem Zugriff keinen Vorteil § Autorisierung muss stets der Originalserver durchführen § Es schadet auch nichts, da Unbefugte das gespeicherte vertrauliche Dokument nicht dechiffrieren können § Client und Server benötigen eingebaute Security. Funktionalität, um von kryptographischen Verfahren profitieren zu können § Für einen Proxy-Server ist dies nicht erforderlich (er reicht Requests und Responses unbesehen durch)

WS 01/02 Sicherheit im Web Markus Döring Lösungen für das WWW § Bekanntestes und am weitesten verbreitestes kryptographische Verfahren im WWW ist Secure Socket Layer (SSL) von Netscape Communications Corporation § Passender Server und Client wird auch angeboten § Das Protokoll liegt offen § Für nichtkommerzielle Anwendungen ist eine frei verfügbare Implementierung erhältlich

WS 01/02 Sicherheit im Web Markus Döring Lösungen für das WWW § SSL legt eine zusätzliche Schicht zur Anwendung hin über die Socket-Ebene § Gegenüber den wirklichen Sockets erscheint sie als Anwendung § Vorteil: SSL ist nicht allein auf HTTP als Übertragungsprotokoll beschränkt. Darüber kann jedes beliebige TCP-basierte höhere Protokoll gefahren werden

WS 01/02 Sicherheit im Web Markus Döring Lösungen für das WWW § Die vorhandenen Anwendungen können nicht automatisch von SSL profitieren § Nötig sind spezielle SSL-Clients und –Server § SSL bietet dem Client immer eine Authentifizierung des Servers (innerhalb der SSL-Ebene) § Bei SSL-Verbindung werden alle Daten verschlüsselt und für Außenstehende unlesbar übertragen § Integritätsprüfung gegen Verfälschung der Daten § Die mit dieser Schicht aufgepeppten Internetprotokolle laufen über andere Standardports ab (Port 443)

WS 01/02 Sicherheit im Web Markus Döring Persönlicher Schutz § PC nicht unbeaufsichtigt lassen § Beantworten Sie nicht alle Fragen, die beim Besuch einer Internetseite gestellt werden § Pflegen und Warten Sie Ihr System § Übertragen Sie keine unverschlüsselten personenbezogenen Daten oder Kreditkartennummern § Verschlüsseln Sie Ihre persönlichen Daten oder EMails mit Programmen, wie z. B. PGP § Öffnen Sie nur Ihnen bekannte Programme

WS 01/02 Sicherheit im Web Markus Döring Persönlicher Schutz § Arbeiten Sie regelmäßig mit Virenscannern § Diskussionsbeiträge in Newsgroups sollten nicht archiviert werden lassen (Teilnehmerprofil) § Deaktivieren Sie Optionen für Cookies § Deaktivieren Sie nach Möglichkeit Java. Script und Active. X § Lassen Sie sich anonymisieren (http: //www. anonymizer. com) § Installieren Sie immer die neuesten Sicherheitpatches § Wechseln Sie regelmäßig Ihre Passwörter

WS 01/02 Sicherheit im Web Markus Döring Schlussbetrachtung § Es gibt keinen vollkommenden Datenschutz und keine befriedigende Datensicherheit im Internet § Trotz Hard- oder Softwareschutz besteht immer ein Restrisiko § Durch neuere Programme und schnellere Hardware gelingt es Hackern und Spionen immer wieder Verschlüsselungen zu knacken § Jedes Sicherheitskonzept ist nur so gut wie der Anwender selbst § Systembetreuer sollten sich an bestehende Regeln halten

WS 01/02 Sicherheit im Web Markus Döring Schlussbetrachtung § Das Risiko des Datenmissbrauchs ist wohl der Preis für die unendlichen Weiten des Internets § Kein Grund zur Panik § Gemessen an der Anzahl der Internetnutzer kommt ein Datenmissbrauch sehr selten vor

Vielen Dank für Ihre Aufmerksamkeit!