Sicherheitsanforderungen in naher Zukunft

Transkript

1 Willkommen zur Fachtagung Sicherheitsanforderungen in naher Zukunft Roger Auinger adverum ag ( Seite 1

2 Zu meiner Person Managing Partner der adverum ag Für grosse Wirtschaftsprüfungsgesellschaften in den Bereichen Enterprise Security, Informationssicherheit und IT-Revision tätig gewesen Beirat der Stiftung InfoSurance Leiter der Arbeitsgruppe forensics der Fachgruppe Security (FGSec) der Schweizer Informatiker Gesellschaft Seite 2

3 Index Übersicht über mobile Architekturen und ihre Sicherheitsaspekte Wie die mobile Welt die Sicherheit neu definieren lässt Sicherheitsbedürfnisse unter neuen Prämissen Seite 3

4 Bereiche der Wireless-Technologien PAN LAN WAN Bluetooth IEEE a GSM IR IEEE b HSCSD HiperLAN2 GPRS EDGE UMTS ~ 10m ~ 100m ~ 5km Personal Area Network Local Area Network Wide Area Network Seite 4

5 Wireless PAN Bluetooth PAN wird mit WLAN oder LAN verbunden PAN ist personifiziert Datenschutz Man-in-the-middle Attacke Infrarot Keine Sicherheitsmechanismen Sichtverbindung notwendig - Sichtwinkel darf 15 um die Mittelachse nicht überschreiten Funktastatur Max. 2 Meter Antennenmodifikation am Sender 30 Meter Seite 5

6 Wireless LAN IEEE 802. (11a und 11b) SSID im Klartext WEP Attacke Shared Medium Prinzip HiperLAN2 Standard: DES; Optional Triple-DES Seite 6

7 Wireless WAN Seite 7

8 Wireless WAN: GSM Global System for Mobile Communication Seite 8

9 GSM: Authentifizierung 1. Verbindungsaufnahme mit Base Station Controller 2. Sendet IMSI im Klartext 3. Authentication Center generiert Zufallszahl RAND 4. Chiffrierungsschlüssel K c /SRES generiert mit RAND und K i 5. MSC sendet RAND und überprüft mit generiertem SRES mittels Challenge-Response Verfahren IMSI (Int. Mobile Subscriber ID) Schlüssel K i Seite 9

10 GSM: Risiken Einseitige Authentifizierung Nicht standardisierte Algorithmen Schlüssellänge von K c ist 64 Bit, wobei die letzten 10 Bit = 0 sind Möglichkeit, mit dem A5/1 Algorithmus chiffriertes Gespräch in Echtzeit zu dechiffrieren Vorberechnungsschritte: 2 48 Datenmenge: 2 min oder 2 sec Innere Zustände: ca. 300 GB Schlüsselberechnung: 1 sec oder Minuten Seite 10

11 GSM: Chiffrier-Algorithmen A5/0 Länder unter UN-Sanktionen und einige Drittweltländer A5/1 Stärkster Algorithmus und in Europa verbreitet A5/2 Schwächerer Algorithmus und in USA verbreitet Seite 11

12 Wireless WAN: HSCSD und GPRS High Speed Circuit Switched Data Die Risiken in Bezug auf die Informationssicherheit sind grösstenteils äquivalent mit denen des GSM- Standards General Packet Radio Service Internet-Sicherheitsprobleme / DOS Sicherheitsmechanismen basieren auf PIN GPRS Encryption Algorithm (GEA) ist NICHT bekannt Authentisierungsmechanismus kann vom Netzbetreiber selber definiert werden Seite 12

13 Wireless WAN: EDGE Enhanced Data Rates for GSM Evolution Die Risiken im Bezug auf die Informationssicherheit sind grösstenteils äquivalent mit denen des GSM- Standards Seite 13

14 Wireless WAN: UMTS Universal Mobile Telecommunication System Besserer Algorithmus zur Datenchiffrierung Schlüssellänge neu: 128 Bit Netz muss sich gegenüber mobilen Gerät anmelden Fünf Sicherheitsebenen: 1. Netzzugangssicherheit 2. Sicherheit im Netzwerkbereich 3. Sicherheit im Benutzerbereich 4. Sicherheit im Anwendungsbereich 5. Sichtbarkeit und Konfigurierbarkeit der Sicherheitsmechanismen Seite 14

15 UMTS: Sicherheitsebenen Netzzugangssicherheit Sicherheit im Netzwerkbereich Sicherheit im Benutzerbereich Sicherheit im Anwendungsbereich Sichtbarkeit und Konfigurierbarkeit der Sicherheitsmechanismen Identifikation der mobilen Geräte, Vertraulichkeit der Daten und der Benutzeridentität, etc. Authentifizierung der Instanzen, Vertraulichkeit der Daten, Aufzeichnen von Betrugsinformationen, etc. Authentifikation des Benutzers gegenüber der USIM, etc. Gesicherter Datenaustausch zwischen USIM und Netz, Zugriff auf Benutzerprofildaten, IP-Sicherheit, etc. Möglichkeit, sich darüber zu informieren, welche Sicherheitsmassnahmen aktiv sind Seite 15

16 Mobile Geräte ersetzen den PC Seite 16

17 Die mobile Welt... Jeder wird immer einen Computer bei sich haben Der Zugang zu einem Netzwerk wird fast überall gegeben sein Gesellschaft ist in zunehmendem Masse abhängig von einer funktionierenden und sicheren Informations-Infrastruktur Sicherheit ist und wird zu einem kritischen Erfolgsfaktor Seite 17

18 ...und ihre Anforderungen Zugriffskontrolle und Vertraulichkeit Überall und jederzeit verfügbare, personifizierte Daten optimierte Prozesse Umsatz steigern Integrität und Nicht-Abstreitbarkeit Echtzeit Informationsaustausch von personifizierten Daten Kosten sparen Produktivitätssteigerung durch elektronische Automatisierung Datenschutz und Vertraulichkeit Seite 18

19 Die veränderten Sicherheitskomponenten Vertraulichkeit: Verfügbarkeit und Integrität: Daten sind entweder öffentlich oder geheim Die Lebenszeit von Informationen macht diese nach kurzer Zeit obsolet Daraus folgt die Attention Economy Vertraulichkeit verliert stellenweise an Bedeutung Verfügbarkeit stellt kein Problem mehr dar Sowohl für Business als auch für Consumer wird Integrität lebenswichtig Seite 19

20 Sicherheit neu definiert... Sicherheit wird zur individuellen Angelegenheit Klassisch: Business definiert Sicherheit. Neu: Consumer ist für seine eigene Sicherheit verantwortlich These: Sicherheit wird an Bedeutung verlieren Heterogene Zusammensetzung des Business, aber insbesondere der Consumer, ermöglichen eine klare Identifikation Neue Architekturen sind notwendig Keine Anonymität Garantie des Persönlichkeitsschutzes Seite 20