IT-Sicherheit für 05INM. III. Security Patterns

Transkript

1 8. : Hacker, Cracker, pp IT-Sicherheit für 05INM III. Security Patterns Prof. Dr. Uwe Petermann Dept. of Computer Science University of Applied Sciences Leipzig P.O.B D Leipzig (Germany) uwe@imn.htwk-leipzig.de June 6, 2006 Begriff Geschichte Motive Bedrohungen Statistik Rechtslage etc. U. Petermann, Leipzig University of Applied Sciences, C.S. Dept. 1 IT-Security, 05INM U. Petermann, Leipzig University of Applied Sciences, C.S. Dept. 3 IT-Security, 05INM III. Security Patterns 8. Hacker, Cracker, pp Security Patterns Grundlagen pp Basisfunktionen und Sicherheitsprinzipien pp Systeme pp und Netzwerke pp Arbeit mit Security Patterns pp : Hacker, Cracker, pp Begriff : hacker n. [originally, someone who makes furniture with an axe] 1. A person who enjoys exploring the details of programmable systems and how to stretch their capabilities, as opposed to most users, who prefer to learn only the minimum necessary. 2. One who programs enthusiastically (even obsessively) or who enjoys programming rather than just theorizing about programming. U. Petermann, Leipzig University of Applied Sciences, C.S. Dept. 2 IT-Security, 05INM U. Petermann, Leipzig University of Applied Sciences, C.S. Dept. 4 IT-Security, 05INM

2 Geschichte Anfang der 60er: MIT (Boston): Tech Model Club erkundenten ursprünglich Telefonzentralen, später die ersten Computer (PDP 1), zu denen sie selbst Zutritt hatten fanden zahlreiche Programmfehler später: Carnegie Mellon, Stanford, AT& T, Xerox u.a. Jim Gosling, Brian Kernighan, Dennis Richie 3. Generation: Kalifornien: Selbstbau von Computern, u.v.a.: Steve Jobs, Bill Gates Geschichte (cont.) Sicherheitsmechanismen werden immer stärker energischere (aber immer noch einfache) Arten, um an Informationen zu kommen: Ausspähen am Arbeitsplatz, Suche im Müll, Social Engineering Anfang der 80-er: Wandel des Bilds Hacker werden als böswilligen Eindringlinge und Schadensstifter aufgefaßt U. Petermann, Leipzig University of Applied Sciences, C.S. Dept. 5 IT-Security, 05INM U. Petermann, Leipzig University of Applied Sciences, C.S. Dept. 7 IT-Security, 05INM Geschichte (cont.) Netzrevolution: Computer werden vernetzt Joy-Riding: Datenreisen, erforschen, miteinander kommunizieren, ohne Schaden zu verursachen weitere Entwicklung: Hürden waren gering, staatlichen Autoritäten und dem Militär galt es zu mißtrauen, Information want s to be free Kommerzialisierung: Programme nicht mehr frei, Krieg um die Ressource Information Captain Crunch (Spielzeugpfeife in Cornflakes) und Blue Box(ing) (bildet Ton dieser Pfeife nach) Ton von 2600 Hz bewirkte bei AT& T, MCI und Sprint Ausschalten des Gebührenzählers U. Petermann, Leipzig University of Applied Sciences, C.S. Dept. 6 IT-Security, 05INM U. Petermann, Leipzig University of Applied Sciences, C.S. Dept. 8 IT-Security, 05INM

3 Herstatt-Bank (Köln) 1,2 Mrd. DM Schaden: Abwicklung von Devisentermingeschäften: Daten von Händlerzettel in Fakturiermaschine eingeben, Fakturiermaschine bearbeitet und druckt rechtsverbindliche Bestätigung und leitet danach Daten per Lochstreifen an Zentralrechner weiter Letzteres per Abbruchtaste verhinderbar Abbruch auf Bestätigung vermerkt aber: Vermerk durch rechtzeitiges Entnehmen der Bestätigung aus dem Drucker unterbunden Motive (vermutete/vorgegebene) Sucht/Besessenheit Neugierde Anerkennung/soziale Motivation Langeweile Machtgefühl Technische Motivation Robin-Hood-Syndrom Politische, ideologische Motivation Finanzielle Gründe (Probleme/Bereicherungswille) Rache Sexueller Mißbrauch U. Petermann, Leipzig University of Applied Sciences, C.S. Dept. 9 IT-Security, 05INM U. Petermann, Leipzig University of Applied Sciences, C.S. Dept. 11 IT-Security, 05INM Bill Gates und Paul Allen Lakeside School Seattle mietet Rechenzeit auf einer PDP-10 B.G. (dreizehn) und P.A. nahmen am Unterricht teil erforschten ausgiebig die Maschine, schrieben Spielprogramme... und überschritten die Rechenzeit... Bedrohunge / Delikte (RFC 2828, Internet Security (unbefugte) Offenlegung Täuschung Unterbrechung Widerrechtlich Aneignung U. Petermann, Leipzig University of Applied Sciences, C.S. Dept. 10 IT-Security, 05INM U. Petermann, Leipzig University of Applied Sciences, C.S. Dept. 12 IT-Security, 05INM

4 Bedrohungen / Delikte (RFC 2828, Internet Security (unbefugte) Offenlegung Bloßstellung beabsichtigte Offenlegung aktives Durchsuchen menschliche Fehler Technik-Fehler Abfangen Diebstahl Abhören Analyse von Abstrahlungen Inferenz Analyse des Verkahrs Analyse der Signale Eindringen phys. Zugang Penetration Nachbau Kryptoanalyse Bedrohungen / Delikte (RFC 2828, Internet Security Widerrechtlich Aneignung Verhinderung Bösartige Logik physikalische Zerstörung menschliches Fehlverhalten Technik-Fehler höhere Gewalt Korrumpierung Manipulation Bösartige Logik menschliches Fehlverhalten Technik-Fehler höhere Gewalt Blockierung Interferenz Überlast U. Petermann, Leipzig University of Applied Sciences, C.S. Dept. 13 IT-Security, 05INM U. Petermann, Leipzig University of Applied Sciences, C.S. Dept. 15 IT-Security, 05INM Bedrohungen / Delikte (RFC 2828, Internet Security Täuschung Maskierung Vorspiegelung Bösartige Logik Fälschung Austauschen Einfügen Nichtanerkennung Abstreiten des Sendens Abstreiten des Empfangs Bedrohungen / Delikte (RFC 2828, Internet Security Widerrechtlich Aneignung Zweckentfremdung Diebstahl eines Dienstes Diebstahl eine Funktion Diebstahl von Daten Mißbrauch Manipulation bösartige Logik Verletzung von Rechten U. Petermann, Leipzig University of Applied Sciences, C.S. Dept. 14 IT-Security, 05INM U. Petermann, Leipzig University of Applied Sciences, C.S. Dept. 16 IT-Security, 05INM

5 8. : a Ausspähen von Daten (1)Wer unbefugt Daten, die nicht für ihn bestimmt und die gegen unberechtigten Zugang besonders gesichert sind, sich oder einem anderen verschafft, wird mit Freiheitsstrafe bis zu drei Jahren oder mit Geldstrafe (2)Daten im Sinne des Absatzes 1 sind nur solche, die elektronisch, magnetisch oder sonst nicht unmittelbar wahrnehmbar gespeichert sind oder übermittelt werden. 8. :...pp Fälschung beweiserheblicher Daten (1)Wer zur Täuschung im Rechtsverkehr beweiserhebliche Daten so speichert oder verändert, daß bei ihrer Wahrnehmung eine unechte oder verfälschte Urkunde vorliegen würde, oder derart gespeicherte oder veränderte Daten gebraucht, wird mit Freiheitsstrafe bis zu fünf Jahren oder mit Geldstrafe (2)Der Versuch ist strafbar. (3) 267 Abs. 3 und 4 gilt entsprechend. U. Petermann, Leipzig University of Applied Sciences, C.S. Dept. 17 IT-Security, 05INM U. Petermann, Leipzig University of Applied Sciences, C.S. Dept. 19 IT-Security, 05INM 8. :...pp a Computerbetrug (1)Wer in der Absicht, sich oder einem Dritten einen rechtswidrigen Vermögensvorteil zu verschaffen, das Vermögen eines anderen dadurch beschädigt, daß er das Ergebnis eines Datenverarbeitungsvorgangs durch unrichtige Gestaltung des Programms, durch Verwendung unrichtiger oder unvollständiger Daten, durch unbefugte Verwendung von Daten oder sonst durch unbefugte Einwirkung auf den Ablauf beeinflußt, wird mit Freiheitsstrafe bis zu fünf Jahren oder mit Geldstrafe (2) 263 Abs. 2 bis 7 gilt entsprechend. 8. :...pp a Datenveränderung (1)Wer rechtswidrig Daten ( 202a Abs. 2) löscht, unterdrückt, unbrauchbar macht oder verändert, wird mit Freiheitsstrafe bis zu zwei Jahren oder mit Geldstrafe (2)Der Versuch ist strafbar. U. Petermann, Leipzig University of Applied Sciences, C.S. Dept. 18 IT-Security, 05INM U. Petermann, Leipzig University of Applied Sciences, C.S. Dept. 20 IT-Security, 05INM

6 8. :...pp b Computersabotage (1) Wer eine Datenverarbeitung, die für einen fremden Betrieb, ein fremdes Unternehmen oder eine Behörde von wesentlicher Bedeutung ist, dadurch stört, daß er 1. eine Tat nach 303a Abs. 1 begeht oder 2. eine Datenverarbeitungsanlage oder einen Datenträger zerstört, beschädigt, unbrauchbar macht, beseitigt oder verändert, wird mit Freiheitsstrafe bis zu fünf Jahren oder mit Geldstrafe (2) Der Versuch ist strafbar. 10. : Basisfunktionen und Sicherheitsprinzipienpp Basisfunktionen Identifikation und Authentisierung Verschlüsselung Zugriffskontrolle... Sicherheitsprinzipien Einfachheit Mehrschichtige Verteidigung Schwachstellen... U. Petermann, Leipzig University of Applied Sciences, C.S. Dept. 21 IT-Security, 05INM U. Petermann, Leipzig University of Applied Sciences, C.S. Dept. 23 IT-Security, 05INM 9. : Security Patterns Grundlagen pp Begriffe und Konzepte zur IT-Sicherheit Sicherheit, Risiko, Verletztlichkeit, Schutzziele,... Der Hacker Contest Gefahr durch Hacker - Beispiele Sicherheit vs. Komplexität 11. : Systeme pp und Netzwerke pp physikalischer Schutz Schutz der Dateien Erkennen von Angriffen Sicherheit in Netzwerken Firewalls U. Petermann, Leipzig University of Applied Sciences, C.S. Dept. 22 IT-Security, 05INM U. Petermann, Leipzig University of Applied Sciences, C.S. Dept. 24 IT-Security, 05INM

7 12. : Arbeit mit Security Patternspp Dokumentation der Security Patterns Anwendungsbeispiel: Sicherheit im LAN Anwendungsbeispiel: Sicherheit im WAN U. Petermann, Leipzig University of Applied Sciences, C.S. Dept. 25 IT-Security, 05INM References [1] S. Fischer, C. Rensing, and U. Rödig. Open Internet Security. Springer-Verlag, Berlin Germany, [2] M. Schumacher, U. Rödig, and M.-L. Moschgatj. Hacker Contest. Springer, U. Petermann, Leipzig University of Applied Sciences, C.S. Dept. 26 IT-Security, 05INM