6. Information Security Conference
|
|
- Stanislaus Fertig
- vor 2 Jahren
- Abrufe
Transkript
1 6. Information Security Conference Critical Infrastructures Department für Governance & Public Administration Zentrum für Praxisorientierte Informatik Donau-Universität Krems A-3500 Krems, Dr. Karl Dorrek Str. 30 Tel.: Fax:
2 Krems, im Oktober 2008 In spite of thorough checkups of this document, faults cannot be completely ruled out. Therefore, no responsibility is taken for the accuracy and sufficiency of the content. The legal liability of publisher or editor is excluded. All rights are reserved only to the editor/publisher and the members of the editorial office. Quotations in extracts mentioning the source are allowed and desired. Editorial. Donau Universität Krems Publisher: Donau Universität Krems Print: Druckerei Schiner, Krems First Edition: October 2008
3 INHALTSVERZEICHNIS VORWORT... 4 Ernst Piller: Neue Verfahren der Steganografie... 6 Werner Degenhardt: MS IRBI Whitepaper Heimanwender und IT-Sicherheit...17 Daniel Wolf: Context Adaptive Scanning Engine: Schutz vor einer Vielzahl von komplexen Bedrohungen...34 DI Martin Forster, Mag. Edith Huber, Andreas Wüster: Subjektives Sicherheitsgefühl und Überwachung...44 Johann Čas: Datenschutzfördernde Sicherheitstechnologien - Ergebnisse und Empfehlungen aus dem PRISE-Projekt (Privacy and Security)...52 Jürgen Högl: Medizinischer Schutz bei Großveranstaltungen am Beispiel der Fußball EURO 08 TM...60 Hoheiser-Pförtner F., Mense A., Wahl H. 48: HEALIX Proaktive Sicherheit für den elektronischen Austausch von Gesundheitsdaten...72 Elisabeth Stiller-Erdpresser: Security and Public (Corporate) Governance...80 Andreas Knüttel: Komfortsignatur mit der Health Professional Card...86 Nikolaus Forgó: Vorratsspeicherung und Datenhandel...93 Heike Strumpen: Informationssicherheit Ein Technik- oder ein Management- Thema?...98 Reinhold Horsky: Katastrophenmanagement in Niederösterreich auf Landes- und Bezirksebene AutorInnen NACHWORT...131
4 VORWORT Das Ziel der Informationssicherheits-Konferenz der Donau-Universität Krems ist es, anhand aktueller Schwerpunktsetzungen die Entwicklungen in diesem Bereich darzustellen, neue Konzepte zu unterstützen und Impulse zu setzen. Die Schwerpunktsetzungen resultieren aus Forschungsergebnissen, Fachdiskussionen sowie den Anforderungen aus dem Lehrbereich und der Diskussion mit Praktikern. Die Wahrnehmung, dass Sicherheitsprobleme im IT-Bereich sowie im Bereich so genannter kritischer Infrastrukturen rein technisch bedingt und daher auch nur technisch lösbar wären, führt auf ein Niveau, von dem ausschließlich der technische Teil der Sicherheit betrachtet wird. Das ist einfach, da es sich um rationale Systeme und klar nachvollziehbare Ursache-Wirkungs-Prinzipien handelt. Probleme werden auf diese Art zwar temporär gelöst, aber dieser Ansatz folgt der Logik des Wettrüstens: seitens der Angreifer werden technische Schwachstellen lokalisiert und Schäden zugefügt, die Industrie schafft eine Lösung und behebt den Fehler, worauf weitere Schwachstellen lokalisiert werden. Dieses Wettrüsten ist nicht zu gewinnen. Stellt man nun nicht das technische Wettrüsten in den Vordergrund, sondern beginnt die Gründe und Ursachen für Sicherheitsprobleme zu analysieren, wird die Eindimensionalität des technikorientierten Ansatzes sichtbar, da das menschliche Handeln keine Berücksichtigung findet. Somit bringt der zunehmende Einsatz der Informations- und Kommunikationstechnologien neue Chancen aber auch Gefahren und Abhängigkeiten mit sich. Immer mehr Bereiche sind nur noch arbeitsfähig, wenn die zugrunde liegenden Informations- und Kommunikationstechnologien funktionieren. Damit steht die Sicherung der Geschäftsprozesse und der Informationen im Mittelpunkt der Informationssicherheit. Informationen sollen immer unabhängig von ihrer Form, der Art der gemeinsamen Nutzung oder Speicherung angemessen geschützt werden. Je stärker aber sowohl die unternehmerischen sowie die staatlichen elektronischen Wertschöpfungsprozesse und die damit
5 verbundenen Informationen ausgebaut werden, desto höhere Priorität muss dem Thema der Informationssicherung gewidmet sein. Diese Sicherung setzt aber nicht nur technische Schutzmaßnahmen voraus, sondern auch das Bewusstsein der Mitarbeiter bzw. der verantwortlichen Personen. Aus diesem Grund müssen die Sicherheitsmaßnahmen bekannt und vertraut sein, damit Sicherheit auch lebbar gemacht werden kann. Dieser Tagungsband soll eine aktuelle Bestandsaufnahme im Bereich der kritischen Infrastrukturen bieten. An dieser Stelle bedanke ich mich herzlich bei allen Beteiligten an der Information Security Conference 08, bei den AutorInnen und dem Organisationsteam für ihr Engagement. Walter Seböck Krems, Oktober 2008
6 Ernst Piller: Neue Verfahren der Steganografie Abstract Die Steganografie ist die Wissenschaft geheime Informationen so zu übertragen und zu speichern, dass ein nicht eingeweihter Dritter die Existenz dieser Information nicht merkt. Sie steht damit im Gegensatz zur Kryptografie, die vertrauliche Informationen verschlüsselt, aber nicht versteckt. Daher ist Steganografie besonders gefährlich in den Händen von Kriminellen und Terroristen. Sie hat aber auch viele positive Anwendungsgebiete wie das Digital Rights Management, die Erhöhung der Privacy und Vertraulichkeit im Internet etc. Die FH St. Pölten beschäftigt sich seit Jahren mit der Theorie und den Anwendungen der Steganografie und mit der Abwehr steganografischer Angriffe. Bei den Abwehrmethoden wurden Transformationsverfahren entwickelt, die ohne einer Steg-Analyse operieren.
7 2. Ausgangslage Eine Informationsgesellschaft lebt vom Austausch von Informationen über verschiedenste Kanäle. Es besteht dabei oftmals auch Interesse daran Daten geheim zu halten. Während kryptografische Verfahren hierfür inzwischen relativ sichere und leistungsfähige Lösungsansätze bieten, gewinnt auch das Verbergen der Tatsache eines Informationstransfers an sich zunehmend an Bedeutung. Dies ist beispielsweise dann wichtig, wenn Kryptographie verboten, unerwünscht oder verdächtig ist oder wenn, etwa aus strategischen Gründen, eine Kommunikation überhaupt verborgen bleiben soll. Z.B. könnte bei einer beabsichtigten Unternehmensfusion eine intensive Kommunikation potenzielle Verdachtsmomente verursachen. Weiters kann durch Steganografie der Bedarf nach versteckter Speicherung von Daten auf Datenträger erfüllt werden. Dabei geht es vor allem um PINs / Passwörter, kryptografische Schlüssel, Digital Rights Management Daten und um sonstige Daten, wo eine verschlüsselte Speicherung Verdacht schöpfen könnte oder wo die Gefahr einer gezielten Datenlöschung besteht. Die Ambivalenz der Steganografie stellt eine große Herausforderung dar, weil sie einerseits im Bereich des Digital Rights Managements (DRM) für den Schutz von Bildern, Musik und Videofilmen vor Raubkopien und für Anwendungen zur Erhöhung der IT-Sicherheit und Privacy (siehe oben) wirksame Möglichkeiten bieten kann. Sie kann aber andererseits für die Sicherheit eine große Gefahr darstellen, z.b. im Bereich der Wirtschaftsspionage, der Verbreitung von Kinder-pornografischem Material, des organisierten Verbrechens und der Vorbereitung von kriminellen Handlungen wie Banküberfällen, Terrorangriffen etc. Die Steganografie erlaubt nun diese verschleierte ( unsichtbare ) Datenübertragung und Datenspeicherung. Das Wort kommt aus dem Altgriechischen στεγανός schützend, bedeckt und γράφειν schreiben, heißt also bedeckt Schreiben bzw. geheimes Schreiben. Bei der Steganografie darf ein uneingeweihter Dritter das Vorhandensein eines geheimen Datenaustausches oder einer geheimen Datenspeicherung nicht erkennen. Einem Überwacher liegen lediglich scheinbar unverfängliche Daten vor, bei dem es sich um Bildmaterial, formatierte Texte, Audio- oder Videoaufzeichnungen etc. handeln kann. Auch ein über VoIP (Voice over IP, Internettelefonie) oder GSM / UMTS (Mobilkommunikation) geführtes Telefongespräch können solche Daten sein. Bezüglich des Inhaltes der verdeckten Nachricht kann man unterscheiden zwischen dem Austausch und der Speicherung legaler Informationen, wo schon eine verschlüsselte Kommunikation bzw. Datenspeicherung Hinweise (z.b. über den Speicherort), Verdächtigungen oder Angriffsmöglichkeiten (wie den Man in the middle Angriff) ermöglichen, und dem Informationsaustausch über kriminelle Aktivitäten. Dabei sind die Gefahren vor allem:
8 dass durch die zunehmende Verbreitung der Internettelefonie und der Intelligenz der Mobiltelefone der Einsatz der Steganografie in der Sprachkommunikation vereinfacht wird und daher in Zukunft ein starkes Ansteigen in diesem Bereich zu erwarten ist; dass die Verfahren und Methoden der Steganografie, insbesondere aber die Komplexität der Abwehrmöglichkeiten steganografischer Angriffe, stark zugenommen haben; dass eine Abwehr über die Erkennung steganografischer Angriffe (Steganalyse) praktisch nicht möglich ist. Die Beschäftigung mit der Steganografie hat nach dem Ereignis des 11. Septembers 2001 stark zugenommen. Allerdings hat die US-Presse schon vor dem 11. September auf die Verwendung der Steganografie durch Bin Laden und seine Organisation hingewiesen. Dabei sei z.b. auf den Artikel Bin Laden: Steganography Master? von Declan McCullagh in Wired News vom zu verweisen oder einem Artikel von Jack Kelley vom im USA Today, wo er schreibt: Terror goups hide behind Web encryption: Hidden in the X-rated pictures on several pornographic Web sites and the posted comments on sports chat rooms may lie the encrypted blueprints of the next terrorist attack against the United States or its allies. It sounds farfetched, but U.S. official and experts say it's the latest method of communication being used by Osama bin Laden and his associates to outfox law enforcement. Daraus ergibt sich, dass die Möglichkeiten, die die Steganografie und deren Werkzeuge bieten, einen gewissen vertraulichen Umgang mit der Materie erfordern. Es ist notwendig, sich mit den Fortschritten der Steganografie und der Steganalyse (Detektion eines steganografischen Angriffs) zu beschäftigen. Dazu gehört auch die Ausdehnung auf neue Kommunikationswege, wie etwa auf die Internettelefonie (VoIP). VoIP, heute hauptsächlich bekannt durch Skype, wird in absehbarer Zeit das konventionelle Telefonnetz schrittweise ersetzen. Kommunikationspartner einer VoIP-Verbindung sind durch Nutzung steganografischer Methoden in der Lage, während einer VoIP-Sitzung geheime Nachrichten auszutauschen, ohne dass ein Lauscher diesen geheimen Datenaustausch erkennen kann. Dabei stellt einerseits das Einbetten von Informationen in Streaming-Daten eine Herausforderung dar, da beispielsweise Start und Ende der Übertragung flexibel synchronisiert werden müssen, andererseits muss die Verwendung von Sprachdaten über einen fehlerbehafteten Kanal mit eingeschränkter Qualität berücksichtigt werden. Außerdem ist die moderne Steganografie von der dahinter liegenden Theorie und den Verfahren komplexer als die Kryptografie.
9 Ebenso ist die Abwehr steganografischer Angriffe durch Erkennung der steganografischen Einbettung extrem aufwendig und praktisch undurchführbar. 3. Steganografische Methoden (siehe [7] und [8]) In der Geschichte wird Steganografie das erste Mal vom Schreiber Herodot im alten Griechenland vor 2500 Jahren beschrieben. Man verwendete damals mit Wachs überzogene Holztafeln zum Austausch von Schriften. Es wird von einem Griechen namens Demaratos berichtet, der auf die Idee kam das Wachs von den Holztafeln abzuschaben, geheime Botschaften ins Holz zu ritzen, um danach die Holztafeln wieder mit Wachs zu überziehen und sie mit unverdächtigen Nachrichten zu beschreiben. Ein weiteres, schon lange bekanntes Verfahren von Steganografie ist die Verwendung von Geheimtinte. Es wird hierbei zum Beispiel Zwiebelsaft als Tinte verwendet, der beim Schreiben unsichtbar ist, aber durch Erwärmen eine bräunliche Färbung entwickelt. Diese wurde auch noch im Ersten Weltkrieg von Agenten in einer weiter entwickelten Form verwendet. Es zeigt sich also, dass all diesen Verfahren der Steganografie dasselbe Ziel zugrunde liegt. Die Existenz einer Nachricht soll für Dritte unentdeckt bleiben und das Cover (Träger-Medium) soll möglichst unverdächtig sein. Steganografische Verfahren verfolgen die Prinzipien: Das Cover (Medium, das als Träger einer geheimen Nachricht gewählt wird) sollte keine Anhaltspunkte über die Existenz einer versteckten Nachricht geben. Die zu versteckende Nachricht muss kleiner sein als das Cover. Bei Verdacht auf Vorhandensein einer geheimen Nachricht sollte es nicht möglich sein diese, ohne Kenntnis des verwendeten Verfahrens, zu extrahieren. Kenngrößen, die die Steganografie beeinflussen, sind: Menge der zu versteckenden Daten Robustheit: Ein Maß dafür, wie sehr das Cover freundlich bzw. feindlich transformiert (geeignet verändert) werden kann, ohne die versteckte Nachricht zu verändern.
10 Unsichtbarkeit der geheimen Daten. Diese steht mit der Menge der einzubettenden Daten in Beziehung. Je mehr Daten in einem Cover untergebracht werden sollen, desto höher ist die Chance dass jemand Verdacht schöpft, z.b. durch einen eklatanten Qualitätsverlust bzw. durch Auffälligkeiten bei statistischen Analyseverfahren. Rechenleistung, die für die Einbettung und das Auslesen benötigt wird. Dies gilt besonders für Echtzeitanwendungen, wie z.b. das Einbetten in eine Sprachübertragung. Detektierbarkeit. Wie aufwendig ist es für den Empfänger die eingebettete (versteckte) Nachricht wieder zu finden? Die computergestützte Steganografie begann in den 1980er Jahren, jedoch hat sie erst um die Jahrtausendwende mit der großen Verbreitung des Internets zunehmend an Bedeutung gewonnen. Die verwendeten Techniken entwickeln sich seither ständig weiter und werden immer ausgereifter, was nicht zuletzt auf die kommerzielle Bedeutung digitaler Wasserzeichen zum Schutz vor Urheberrechtsverletzungen (DRM) zurückzuführen ist. Audio-, Bild- und Videodateien enthalten ein sogenanntes Rauschen. Dieses Rauschen bietet genügend Platz für die unauffällige Einbettung geheimer Nachrichten in die Telekommunikation oder zur unauffälligen Abspeicherung von Daten auf Datenträger. Bei Audiodateien können Informationen zum Beispiel durch ein minimales künstlich geschaffenes Echo oder ein praktisch nicht hörbares Hintergrundgeräusch eingeschleust werden. Bei einem Telefongespräch ist die Veränderung für die menschliche Wahrnehmung nicht feststellbar. Die klassische Methode der Abwehr derartiger steganografischer Angriffe (Einbettungen geheimer Nachrichten in die Telekommunikation) erfolgt über die die Steganalyse, die versucht steganografische Angriffe zu erkennen und abzuwehren. Die Steganalyse ist aber aus heutiger Sicht nicht machbar, weil es praktisch unmöglich ist, Verfahren und Lösungen zu entwickeln, die moderne Steganografie-Verfahren in Echtzeit erkennen und verhindern. Damit ist bei steganografischen Angriffen auch eine richterlich genehmigte Abhörung eines Telefongespräches erfolglos. Man kann dabei weder die verdeckt übertragenen Informationen erkennen, noch, ob überhaupt verdeckt Daten ausgetauscht wurden. Kriminelle können daher mit Hilfe der Steganografie bei ihrer telefonischen Kommunikation jeglicher staatlicher Überwachung und Kontrolle vollständig entkommen. Die steganografischen Verfahren in der IT begannen vor allem mit der LSB (Least Significant Bit) Einbettung. Dabei werden die niederwertigsten Bits mit dem Bitstrom, der der geheimen einzubettenden Information entspricht, überschrieben. Es wird das in digitalisierten Trägern vorkommende natürliche Rauschen als Platzhalter für diese Informationen ausgenützt. Die Annahme ist, dass beispielsweise die Farbe Grau eines digitalisierten Bildes keinen genauen
11 Messwert hat, sondern einen gewissen Toleranzbereich aufweist. Das niederwertigste Bit ist aufgrund dieses Messfehlers bereits eine unbestimmte Größe. Durch Veränderung des niederwertigsten Bits bleibt man innerhalb dieses Toleranzbereiches, sodass für das menschliche Auge kein Unterschied festzustellen ist. Das LSB-Verfahren ist relativ einfach zu implementieren und die eingebetteten Informationen sind nicht wahrnehmbar. Es ist aber nicht resistent gegenüber Abwehr durch Verändern der niederwertigsten Bits. Beispiel: Buchstabe A ( ) vor und nach der Einbettung in drei Bildpunkte Rot Grün Blau Pixel Pixel Pixel Rot Grün Blau Pixel Pixel Pixel Diesen relativ einfachen LSB-Einbettungen folgten wesentlich komplexere Einbettungsverfahren wie z.b. das "Echo Hiding", "Pre/Post Masking", "Frequency Masking" und "Slope Alteration". Diese basieren auf Einbettungsräumen, die über verschiedene Transformationen wie der diskreten Fourier Transformation (DFT), der diskreten Cosinus Transformation (DCT), der diskreten Wavelet Transformation (DWT), sowie der Transformation in das Cepstrum, das sich durch die logarithmierte inverse DFT ergibt, errechnet werden können. Einbettung im Transformationsraum Einbettungen im Zeit- bzw. Ortsraum sind zwar relativ leicht zu bewerkstelligen und erreichen auch gute Kapazitäten, sie sind jedoch sehr anfällig gegen Störungen. Weitaus robuster lässt sich z.b. in die einzelnen Frequenzen, aus denen sich ein Bild oder ein Musikstück zusammensetzt, einbetten. Hierzu benötigt man eine mathematische Transformation, die das Cover vom Zeit- bzw. Ortsraum in den Frequenzraum überführt und eine entsprechende Inverse, die sich nach der Einbettung um die Rücktransformation kümmert. Es existieren mehrere solcher Transformationen, wobei kurz auf die drei gängigsten eingegangen werden soll. Die diskrete Fourier Transformation (DFT): Die neuen Einbettungsverfahren begannen mit der DFT. Sie ist ein Prozess, Datenpunkte einer digitalisierten Funktion aus dem Zeitbereich so zu analysieren, dass eine Reihe von Sinussen entsteht, deren Addition wieder die Ausgangsfunktion ergibt. Die einzelnen Sinusse repräsentieren die in der Funktion enthaltenen Frequenzen.
12 Diskrete Cosinus-Transformation (DCT) Wie die DFT drückt auch die diskrete Cosinus-Transformation eine Funktion als Summe von Sinussen mit verschiedenen Frequenzen und Amplituden aus. Ein Unterschied zur DFT ist, dass die DCT nur Cosinus-Funktionen verwendet. Es gibt mehrere Varianten der DCT. Wavelet-Transformation Wavelets sind Funktionen, die bestimmte Anforderungen erfüllen. So ergibt das Integral eines Wavelets immer Null. Außerdem müssen Wavelets immer wohl lokalisiert sein. Andere Anforderungen sind technischer Natur und dienen hauptsächlich dazu, eine schnelle und einfache Berechnung der Wavelet-Transformation und ihrer Inversen zu gewährleisten. Es gibt viele verschiedene Wavelets. So wie Sinusse und Kosinusse bei der DFT und DCT werden Wavelets als Basisfunktionen genutzt, um andere Funktionen darzustellen. Diese Basis-Wavelets werden auch oft " Motherwavelets" genannt. In diesen Transformationsräumen erfolgt nun die Einbettung der vertraulichen Daten. Es existieren viele verschiedene Einbettungsverfahren, die alle relativ komplex sind. Aus Gründen der beschränkten Länge des Artikels wird nur das Echo Hiding kurz vorgestellt. Beim Echo Hiding werden durch Hinzufügen eines künstlichen, nicht hörbaren Echos die vertraulichen Daten in das ursprüngliche Signal (Cover) codiert. Dabei werden die Daten mit Hilfe der Variierung von drei Parametern eines Echos eingesetzt, die Anfangsamplitude, Abklingrate und der Abstand. Als den Abstand bezeichnet man das Intervall zwischen dem Originalsignal und seinem Echo. Wird dieser Abstand verringert, so überlagern sich die beiden Signale, und genau an einem bestimmten Punkt dieser Überlagerung kann das menschliche Ohr nicht mehr zwischen diesen beiden unterscheiden. Dabei wird dieses Echo als eine zusätzliche Resonanz wahrgenommen, das Signal erscheint voller. 4. Abwehr steganografischer Angriffe Die Abwehr steganografischer Angriffe, z.b. von Kriminellen, erfolgt üblicherweise über die Steganalyse (Detektion eines steganografischen Angriffs). Dabei werden die Daten nach steganografischen Einbettungen untersucht. Die Steganalyse ist extrem aufwendig und praktisch nur bei LSB-Einbettungen erfolgreich anwendbar. Die FH St. Pölten hat im Projekt StegIT [7] für die LSB-Einbettung spezielle Transformationsverfahren entwickelt. Dabei erfolgt ohne Steganalyse eine unhörbare / unsichtbare Entfernung der vertraulichen Daten mit Hilfe von Zufallszahlen und mathematischen Operationen in Verbindung mit speziellen Optimierungsmethoden. Sie zeigen, dass es machbar ist mit relativ einfachen Mitteln LSB- Einbettungen wirkungsvoll abzuwehren. Die Transformationsverfahren von StegIT wehren
13 sofort einen möglichen steganografischen Angriff ab, unabhängig davon, ob überhaupt ein steganografischer Angriff stattgefunden hat. Diese Abwehr von Angriffen darf aber die normale Datenübertragung / Sprachübertragung nicht stören. Nun wird an der FH St. Pölten versucht, die Transformationsverfahren auch auf die neuen Einbettungsverfahren (Echo- Hiding, Pre/Post Masking, Frequency Masking etc., siehe oben), auszudehnen. 5. Digital Rights Management (DRM) Durch ständig gewachsener Bandbreiten, immer billigerem Speicherplatz und der Entwicklung guter Komprimierungsverfahren, ist der Austausch großer Datenmengen über das Netz, sowie deren Speicherung, heute kein Problem mehr. Dies führte zu einem rasanten Anstieg von Urheberrechtsverletzungen. Am Anfang war hauptsächlich die Musikindustrie betroffen bzw. die Inhaber von Bildern und Grafiken, doch steigende Kapazitäten haben auch die Verteilung größerer Datenobjekte, wie zum Beispiel von Videofilmen oder Computerspielen, ermöglicht. Schnell wurde der Ruf nach neuen Technologien laut, die den Urheberrechts-Missbrauch erschweren sollten. Hier kommen heute unter anderem die Digitalen Wasserzeichen zum Einsatz. Diese haben sich aus Methoden der Steganografie entwickelt, verfolgen jedoch teilweise andere Ziele und müssen andere Spezifikationen erfüllen. Eine Form des digitalen Wasserzeichens ist das Fingerprinting. Man bezeichnet damit den Vorgang, eine erworbene Datei mit spezifischen Daten des Käufers geschützt und versteckt zu kennzeichnen. So kann z.b. festgestellt werden von wem eine illegal in Umlauf gebrachte Datei ursprünglich stammt. Beim digitalen Wasserzeichen werden die Informationen der Urheberschaft, Kopierschutz etc. in den Daten versteckt eingebettet. Die Menge der einzubettenden Information ist im Vergleich zur Steganografie meist gering, schließlich sollen nur Informationen zum Zwecke der Urheberschaft, nicht geheime Nachrichten versteckt werden. Ein Entfernen dieser Markierung soll nicht möglich sein bzw. einen großen Qualitätsverlust oder ein Zerstören der Daten mit sich bringen. Ein digitales Wasserzeichen sollte immun gegen diverse Vorgänge, wie beispielsweise Formatkonvertierungen, verlustbehaftete Kompression, Filterung, Clipping, Resampling, Rotation, Spiegelung, Skalierung usw. sein. Alle diese Operationen dürfen das Wasserzeichen nicht entfernen bzw. beschädigen. Um diese Widerstandsfähigkeit zu erreichen, werden digitale Wasserzeichen zum Beispiel mit Hilfe des Spread-Spektrums-Verfahrens (z.b. [5] und [7]) eingebettet.
14 6. Einsatz der Steganografie zur Verbesserung kryptografischer Verfahren Untersuchungen haben gezeigt, dass durch den geeigneten Einsatz der Steganografie die Kryptografie in gewissen Bereichen verbessert werden kann, z.b. die Verteilung und Speicherung kryptografischer Schlüssel oder die Abwehr der in der Kryptografie oftmals schwierig zu beherrschenden Man-in-the-middle Angriffe. Ein Datenaustausch, vor allem Schlüsselaustausch, der von einem Man-in-the-middle nicht als solcher erkannt wird, kann von ihm auch nicht für einen Angriff ausgenutzt werden. An der FH St. Pölten wird hier an neuen Verfahren zur Verbesserung der Kryptografie mittels Steganografie gearbeitet. Dabei stellen aber die beiden Hauptnachteile der Steganografie, die Einschränkung auf symmetrische Verfahren (in der Praxis existiert bis heute keine asymmetrische Steganografie) und auf Daten, wo ein ausreichendes Rauschen vorhanden ist (d.h. in Verbindung mit Bildern, Musik, Videofilmen etc.), die großen Herausforderungen dar. Gerade in diesem Umfeld zeigen sich diese Nachteile als Hemmschuh, die aber durch eine geeignete Vorgehensweise reduziert werden können. Dies geht aber auf Kosten der Eleganz und Benutzerfreundlichkeit.
15 7. Literatur R. J. Anderson, Fabien A.P. Petitcolas.: On The Limits of Steganography. IEEE Journal of Selected Areas in Communications. 16(4): , Auerbach: Investigator's Guide to Steganography. (2004) Auerbach Publications Greg Kipper. ISBN: Mark F. Bocko.: Data Hiding in digital Audio Files. ma/ SPS Rochester/presentations/MBockoStegoTalk.pdf J. Dittmann et. al.: Steganography and steganalysis in voice over IP scenarios. Proc. of SPIE, Vol. 5681, Security, Steganography and Watermarking of Multimedia Contents VII, San Jose. pp K. Gopalan: Audio Steganography by Amplitude or Phase Modification. Proc. of 15th Annual Symposium on Electronic Imaging - Security, Steganography and Watermarking of Multimedia Contents V. San Jose R. Krenn: Steganography and Steganalysis. E. Piller et. al.: StegIT - Machbarkeitsstudie für Anti-Steganografie-Lösung für VoIP und GSM. Endbericht des KIRAS Forschungsprojektes StegIT Westfeld: Steganographie. Xpert.press. 220 Seiten
16 Danksagung Die Forschungstätigkeiten im Bereich Steganografie an der FH St. Pölten wurden beauftragt und finanziert im Sicherheitsforschungs-Förderprogramm KIRAS vom Bundesministerium für Verkehr, Innovation und Technologie (BMVIT). Im wissenschaftlichen Team der FH St. Pölten befinden sich neben dem oben genannten Autor noch die Herren D.I. Johann Haag, D.I. Dr. Christian Fabian, D.I. Stefan Riegler, D.I. Rainer Poisel und Rainer Janisch
17 Werner Degenhardt: MS IRBI Whitepaper Heimanwender und IT-Sicherheit Über dieses Whitepaper Dieses Whitepaper behandelt einen Ansatz zur Förderung von IT-Sicherheit im Bereich der Heimanwender. Der IRBI (Internet Risk Behavior Index) ist ein neuartiger Ansatz, der die IT-Sicherheit der Heimanwender fokussiert, eine Folge von Tests, die einen Index produziert, der das Wissen, die Einstellungen, Motivationen und das Verhalten bezüglich Heimanwender-IT-Sicherheit beschreibt und eine E-Learning- und Support-Plattform, die das IT-Sicherheitsverhalten der Heimanwender effektiv fördert. Dieses Whitepaper stellt fest, dass man nicht nur technische Fragen zu klären hat, sondern verschiedene analytische Disziplinen bemühen muss, um das IT-Sicherheitsverhalten der Heimanwender zu verstehen. IRBI wurde deshalb als allgemeines, auf empirischen Ergebnissen und theoretischen Konzepten basierendes Framework entwickelt, um verschiedene Benutzergruppen und deren Eigenheiten zu beschreiben. Empfehlungen, wie Benutzergruppen mit IT-Security-Material angesprochen werden sollen, werden nicht nur als eine Frage der technischen Wissensvermittlung angesehen, sondern als eine Frage der Erzeugung einer Benutzerkultur mit IT-Security als integralem Bestandteil des Benutzerverhaltens.
18 Die IRBI betreffenden Empfehlungen und Ergebnisse in diesem Papier können in einem multinationalen Kontext benutzt werden, solange die Definitionen und Ratschläge interkulturell und international übertragbar sind. Hintergrund In einer Informationsgesellschaft nutzen die Menschen untereinander vernetzte Geräte im Alltag zuhause und in der Arbeit. Diese untereinander vernetzten Geräte beeinflussen permanent jede einzelne Komponente der Informationssysteme, die unsere digitale Gesellschaft und Wirtschaft ausmachen. Ein wichtiger Faktor für Aufbau und Funktionieren der digitalen Gesellschaft und Wirtschaft ist das Vertrauen der Menschen in die Integrität, Vertraulichkeit und Zugänglichkeit der IT- Infrastruktur und ihrer Geräte. 1 Konkrete Erfahrungen zeigen, dass die Öffentlichkeit auf Verletzungen der Informationssicherheit mit sofortigem Vertrauensverlust reagiert. Der Gebrauch der IT verschmilzt mit vielen Funktionen des alltäglichen Lebens. Die Regeln der IT beeinflussen sehr viele verschiedene Lebensbereiche, wobei es für Heimanwender sehr kompliziert ist, gute IT-Praxis zu verstehen und ihre Grundsätze zu befolgen. Man kann davon ausgehen, dass Heimanwender ihre eigenen Vorstellungen davon entwickeln, wie sie ihre IT sicher gebrauchen sollten. Viele Sicherheitsexperten sehen schon wegen der ihrer großen Zahl und ihrer ökonomischen Bedeutung - Heimanwender und Micro-Businesses als entscheidende Komponenten jener Sicherheitskette, die die Voraussetzung für eine IT-Infrastruktur ist, die wiederum die Grundlage einer modernen Gesellschaft bildet. Zugleich sehen die Experten die Heimanwender als schwächstes Glied hier deutet sich ein Problem an, das die IT- Sicherheit insgesamt betrifft. Es ist zunächst der komplexe Zusammenhang von benutzten Geräten, angebotenen Dienstleistungen und einem überall zugänglichen Internet, der die Sicherheit zu einer Aufgabe macht, die der Heimanwender in seiner alltäglichen Nutzung von IT kaum bewältigen kann. Es ist außerdem eine offene Frage, in welchem Ausmaß sich Benutzer darüber klar sind, wie sich die Sicherheitsanforderungen verändern und entwickeln. Auch aus diesem Grund können die Heimanwender, die aus vielen Gründen im Bereich IT und IT-Sicherheit nicht gut trainiert sind und denen dies in den meisten Fällen nicht bewusst ist, den Anforderungen der IT-Sicherheit nicht gerecht werden. 2,3 1 Weiss, Aaron, "Trusted Computing", in Networker, September 2006, 18-25; Mayer, Roger C., Davis, James H., Schoorman, F. David, "An Integrative Model of Organizational Trust", The Academy of Management Review, Vol. 20, 3, Schneier, Bruce, "Secrets & Lies. Digital Security in a Networked World", Wiley 2004
19 Leider ist nicht nur der Benutzer ein schwaches Glied der Sicherheitskette. Auch die Verbindung zwischen den privaten Sicherheitsbedürfnissen und den Bedürfnissen der Informationsgesellschaft aus nationaler oder internationaler Sicht ist schlecht definiert und nur schwach entwickelt. Ein persönliches Datenverarbeitungsgerät kann sehr gut im privaten Gebrauch funktionieren, zeitgleich aber die öffentliche Informationsinfrastruktur zerstören etwa dann, wenn Würmer und Trojaner die Rechner der Heimanwender nicht selbst schädigen, sondern als Ressource dienen, um Angriffe auf besser gesicherte Systeme zu erleichtern (wie zum Beispiel im Fall des Storm - Botnets). Problemstellung Es ist bekannt, dass die Kette der Informationssicherheit nur so stark ist wie ihr schwächstes Glied. Die globale Informationssicherheit ist deshalb abhängig vom Endnutzer, der mit IT- Geräten arbeitet. Das IT-Verhalten der Endnutzer aber ist aus der Sicht der Informationssicherheit in hohem Maße fehlerhaft. Ohne besseres IT-Verhalten der Endnutzer bleibt die Informationsgesellschaft unsicher und steht nicht auf festem Grund. Während in privatwirtschaftlichen Unternehmen und öffentlichen Organisationen zumindest in der Theorie unsicheres Nutzerverhalten durch sachkundige IT-Mitarbeiter und eine etablierte IT-Security-Kultur entschärft werden kann, wird der Endnutzer daheim und in seinem Micro-Business oft alleingelassen. Der Heimnutzer muss die Sicherheit jeden Tag als ein alltägliches, praktisches Problem bewältigen. Dabei sieht er sich folgenden Problemen ausgesetzt: Er steht einer Datenverarbeitungsumgebung gegenüber, die aus vielen verbundenen Geräten besteht mit einer Konfiguration, die aufgrund von Funktionsüberlastung und unprofessioneller Systempflege noch komplexer ist als in einer großen Organisation. Er hat keinen Zugriff auf schnell verfügbaren und sachkundigen Support. Aktuell ist noch recht wenig über das Sicherheitsverhalten der Benutzer außerhalb von Organisationen bekannt. Deshalb wissen wir nicht, wie wir Heimanwender ansprechen sollen, Sicherheitsbewusstsein bei den Heimanwendern schaffen sollen oder auch nur irgendetwas für Heimanwender tun können. 4 3 Für die Wichtigkeit des Vertrauens für das menschliche Verhalten vgl. Lewis, J. David und Weigert, Andrew, "Trust as a social Reality", Social Forces, Vol. 63:4, 1985, Wie komplex ein Datenverarbeitungssystem einem Benutzer erscheint, der nur eine einfache Freizeit-, Informations- oder Arbeitsaufgabe bewältigen will, wird schön in Cranor, Lorrie Faith und Simson Garfinkel, "Security and Usability. Designing Secure Systems That People Can Use", O'Reilly 2005, beschrieben. Die in diesem Text beschriebenen Tatsachen zeigen eindrucksvoll, dass das Erstellen eines theoretischen Frameworks, welches Heimnutzer zu Sicherheitsbewusstsein befähigt, eine gewaltige und Respekt einflößende Aufgabe ist.
20 Der IRBI muss hier, wie in der nachfolgenden Übersicht skizziert wird, zwei Perspektiven berücksichtigen: Die Perspektive des Endnutzers: Wer ist er, welche Interessen und Ziele hat er, wie verhält er sich? Das nationale Interesse an sicherer Datenverarbeitung und das globale Interesse der Gesellschaft an einer sicheren Infrastruktur und Kommunikation. IRBI-Basis Die theoretische Basis des IRBI ist ein Schritt in Richtung eines sichereren IT-Verhaltens von Endnutzern. Sie beschreibt: welche Gruppen von Heimanwendern von IT-Systemen und dem Internet existieren, welche Eigenheiten die einzelnen Heimanwendergruppen besitzen, wie Sicherheitsdienstleister auf einzelne Gruppen eingehen sollten und ein Inventar verschiedener Methoden, die geeignet sind, die Eigenheiten der Heimanwender und Micro-Businesses anzusprechen, um den Anteil derjenigen zu erhöhen, die die IT und Netzwerke verantwortlich nutzen.
Transparenz mit System Qualität im IT-Management sichert wichtige Ressourcen und schafft Vertrauen
IT-DIENST- LEISTUNGEN Transparenz mit System Qualität im IT-Management sichert wichtige Ressourcen und schafft Vertrauen TÜV SÜD Management Service GmbH IT-Prozesse bilden heute die Grundlage für Geschäftsprozesse.
Karlsruher IT-Sicherheitsinitiative - 26. April 2001. "For your eyes only" Sichere E-Mail in Unternehmen. Dr. Dörte Neundorf neundorf@secorvo.
Karlsruher IT-Sicherheitsinitiative - 26. April 2001 "For your eyes only" Sichere E-Mail in Unternehmen Dr. Dörte Neundorf neundorf@secorvo.de Secorvo Security Consulting GmbH Albert-Nestler-Straße 9 D-76131
Systemen im Wandel. Autor: Dr. Gerd Frenzen Coromell GmbH Seite 1 von 5
Das Management von Informations- Systemen im Wandel Die Informations-Technologie (IT) war lange Zeit ausschließlich ein Hilfsmittel, um Arbeitsabläufe zu vereinfachen und Personal einzusparen. Sie hat
Erfolgreicher Umgang mit heutigen und zukünftigen Bedrohungen
Erfolgreicher Umgang mit heutigen und zukünftigen Bedrohungen Das Zusammenspiel von Security & Compliance Dr. Michael Teschner, RSA Deutschland Oktober 2012 1 Trust in der digitalen Welt 2 Herausforderungen
Technische Aspekte von Privatsphäre in der digitalen Lebenswelt
Technische Aspekte von Privatsphäre in der digitalen Lebenswelt Herausforderungen und Lösungen Prof. Dr. Stefan Katzenbeisser Security Engineering Group Technische Universität Darmstadt & European Center
Kryptographie. nur mit. Freier Software!
Michael Stehmann Kryptographie nur mit Freier Software! Kurze Einführung in Kryptographie ErsterTeil: Bei der Kryptographie geht es um die Zukunft von Freiheit und Demokratie Artur P. Schmidt, 1997 http://www.heise.de/tp/artikel/1/1357/1.html
Urs Fischer, dipl. WP, CRISC, CISA, CIA Fischer IT GRC Beratung & Schulung
Urs Fischer, dipl. WP, CRISC, CISA, CIA Fischer IT GRC Beratung & Schulung 5. November 2012 2012 ISACA & fischer IT GRC Beratung & Schulung. All rights reserved 2 Agenda Einführung Konzepte und Prinzipien
DIGITAL RIGHTS MANAGEMENT
DIGITAL RIGHTS MANAGEMENT Irfan Simsek Lehr- und Forschungsgebiet Informatik 4 RWTH Aachen 27. Januar 2006 Irfan Simsek (RWTH Aachen) DIGITAL RIGHTS MANAGEMENT 27. Januar 2006 1 / 19 Fragen Was heisst
Mythen des Cloud Computing
Mythen des Cloud Computing Prof. Dr. Peter Buxmann Fachgebiet Wirtschaftsinformatik Software Business & Information Management Technische Universität Darmstadt 12.09.2012 IT-Business meets Science Prof.
Aktuelle Probleme der IT Sicherheit
Aktuelle Probleme der IT Sicherheit DKE Tagung, 6. Mai 2015 Prof. Dr. Stefan Katzenbeisser Security Engineering Group & CASED Technische Universität Darmstadt skatzenbeisser@acm.org http://www.seceng.de
Steganographie.... Planning a Jailbreak
Steganographie... Planning a Jailbreak Motivation Verstecken statt codieren Erregt weniger Verdacht Copyright Marking Fingerprints Watermarks Copyright Marking Fingerprints Identifizieren den Benutzer,
Trusted Network Connect. Networking Academy Day 19.04.2008
Trusted Network Connect Networking Academy Day 19.04.2008 Dipl.-Inf. Stephan Gitz Roadmap Ziele der Informationssicherheit Herausforderungen der Informationssicherheit Angriffsvektoren
Microsoft Solutions Framework. Daniel Dengler CN7. Unterschied MSF - MOF Microsoft Solutions Framework
Einführung MSF MOF Microsoft Solutions Framework Microsoft Operations Framework Daniel Dengler CN7 Agenda Unterschied MSF - MOF Microsoft Solutions Framework Elementare Komponenten grundlegende Richtlinien
Verschlüsselung und Signatur
Verschlüsselung und Signatur 1 Inhalt Warum Verschlüsseln Anforderungen und Lösungen Grundlagen zum Verschlüsseln Beispiele Fragwürdiges rund um das Verschlüsseln Fazit Warum verschlüsseln? Sichere Nachrichtenübertragung
Inhaltsverzeichnis: Definitionen Informationssysteme als Kommunikationssystem Problemlösende Perspektiven Allgemeine System Annäherung Fazit
Informationssysteme Inhaltsverzeichnis: Definitionen Informationssysteme als Kommunikationssystem Problemlösende Perspektiven Allgemeine System Annäherung Fazit Definitionen: Informationen Informationssysteme
10 Wege, wie Sie Ihr Social Media Monitoring ausbauen können
10 Wege, wie Sie Ihr Social Media Monitoring ausbauen können Folgende Fragen, die Sie sich zuerst stellen sollten: 1. Welche Social-Media-Monitoring-Plattformen (SMM) schneiden am besten ab? 2. Ist dafür
IT-Grundschutz nach BSI 100-1/-4
IT-Grundschutz nach BSI 100-1/-4 Marko Rogge www.marko-rogge.de www.leiner-denzer.com 100-1, 100-2, 100-3, 100-4 100-1 100-2 Managementsysteme für Informationssicherheit (ISMS, Information Security Management
Software Design Patterns. Ausarbeitung über. Security Patterns SS 2004
Ausarbeitung über SS 2004 Dennis Völker [dv04@hdm-stuttgart.de] Steffen Schurian [ss59@hdm-stuttgart.de] Überblick Sicherheit sollte eine Eigenschaft moderner, verteilter Anwendungen sein, jedoch ist ein
Zertifikatsprogramm der Österreichischen Computer Gesellschaft. OCG IT-Security
Zertifikatsprogramm der Österreichischen Computer Gesellschaft OCG IT-Security Syllabus Version 1.0 OCG Österreichische Computer Gesellschaft Wollzeile 1-3 A 1010 Wien Tel: +43 (0)1 512 02 35-50 Fax: +43
Trusted Network Connect
Trusted Network Connect Workshoptag 22.11.2007 Steffen Bartsch Stephan Gitz Roadmap Ziele der Informationssicherheit Herausforderungen der Informationssicherheit
IT-Governance. Standards und ihr optimaler Einsatz bei der. Implementierung von IT-Governance
IT-Governance Standards und ihr optimaler Einsatz bei der Implementierung von IT-Governance Stand Mai 2009 Disclaimer Die Inhalte der folgenden Seiten wurden von Severn mit größter Sorgfalt angefertigt.
Steganographie / Wasserzeichen,
Aktuelle Themen der Informatik Steganographie / Wasserzeichen, Kryptographiesche Sicht Hao Wang CN8 SS 2006 HFU Furtwangen - 1 - Inhaltverzeichnis : 1. Einführung in die Steganographie / Wasserzeichen...
Übersicht Kompakt-Audits Vom 01.05.2005
Übersicht Kompakt-Audits Vom 01.05.2005 Bernhard Starke GmbH Kohlenstraße 49-51 34121 Kassel Tel: 0561/2007-452 Fax: 0561/2007-400 www.starke.de email: info@starke.de Kompakt-Audits 1/7 Inhaltsverzeichnis
Eine Praxis-orientierte Einführung in die Kryptographie
Eine Praxis-orientierte Einführung in die Kryptographie Mag. Lukas Feiler, SSCP lukas.feiler@lukasfeiler.com http://www.lukasfeiler.com/lectures_brg9 Verschlüsselung & Entschlüsselung Kryptographie & Informationssicherheit
SECURE DATA DRIVE CLIENTSEITIGE VERSCHLÜSSELUNG Technical Insight, Oktober 2014 Version 1.0
SECURE DATA DRIVE CLIENTSEITIGE VERSCHLÜSSELUNG Technical Insight, Oktober 2014 Version 1.0 mit den eingetragenen Materialnummern Inhalt Inhalt... 2 1 Vorwort... 3 2 Allgemeines zur Verschlüsselung...
Verfügbarkeit (Schutz vor Verlust) Vertraulichkeit (Schutz vor unbefugtem Lesen) Authentizität (Schutz vor Veränderung, Fälschung)
Was bisher geschah Sicherheitsziele: Verfügbarkeit (Schutz vor Verlust) Vertraulichkeit (Schutz vor unbefugtem Lesen) Authentizität (Schutz vor Veränderung, Fälschung) von Information beim Speichern und
sieben Thesen ZUR IT-Sicherheit Kompetenzzentrum für angewandte Sicherheitstechnologie
sieben Thesen ZUR IT-Sicherheit Kompetenzzentrum für angewandte Sicherheitstechnologie Sichere E-Mail ist von Ende zu Ende verschlüsselt Sichere E-Mail-Kommunikation bedeutet, dass die Nachricht nur vom
Collaborative Virtual Environments
Collaborative Virtual Environments Stefan Lücking Projektgruppe Kreativität und Technik AG Domik WS 02/03 09.01.2003 1/35 Was sind CVE? Versuch einer Definition : Ein CVE ist ein Programm, das eine virtuelle
Das Kerberos-Protokoll
Konzepte von Betriebssystemkomponenten Schwerpunkt Authentifizierung Das Kerberos-Protokoll Referent: Guido Söldner Überblick über Kerberos Network Authentication Protocol Am MIT Mitte der 80er Jahre entwickelt
Vom Intranet zum Knowledge Management
Vom Intranet zum Knowledge Management Die Veränderung der Informationskultur in Organisationen von Martin Kuppinger, Michael Woywode 1. Auflage Hanser München 2000 Verlag C.H. Beck im Internet: www.beck.de
DAS INBOUND MARKETING SPIEL. Eine Spielanleitung www.need-for-lead.com
DAS INBOUND MARKETING SPIEL Eine Spielanleitung www.need-for-lead.com Vorwort Leads das ist die Währung, die wirklich zählt. Denn aus Leads werden im besten Fall Kunden. Und die wertvollsten Leads sind
Einleitung Verfahren Programme Schlüsselverwaltung Passwörter Ende. GPG-Einführung. Martin Schütte. 13. April 2008
GPG-Einführung Martin Schütte 13. April 2008 Einleitung Verfahren Programme Schlüsselverwaltung Passwörter Ende Warum Kryptographie? Vertraulichkeit Mail nur für Empfänger lesbar. Integrität Keine Veränderung
Nationale Initiative für Internet- und Informations-Sicherheit
Sichere Kommunikation im Zeitalter von PRISM? Nationale Initiative für Internet- und Informations-Sicherheit Mathias Gärtner, NIFIS e.v. zweiter Vorstand Öffentlich bestellter und vereidigter Sachverständiger
IT-Sicherheit IAIK 1
IT-Sicherheit IAIK 1 Motivation Rechner enthalten Informationen Informationen haben Wert Manche Firmen: gesamter Wert in elektronischer Form Aufgabe von Betriebssystemen: Information vor unautorisierter
Bring Your Own Device
Bring Your Own Device Was Sie über die Sicherung mobiler Geräte wissen sollten Roman Schlenker Senior Sales Engineer 1 Alles Arbeit, kein Spiel Smartphones & Tablets erweitern einen Arbeitstag um bis zu
Outpacing change Ernst & Young s 12th annual global information security survey
Outpacing change Ernst & Young s 12th annual global information security survey Alfred Heiter 16. September 2010 Vorstellung Alfred Heiter alfred.heiter@at.ey.com Seit 11 Jahren im IT-Prüfungs- und IT-Beratungsgeschäft
Benutzerfreundlicher Schutz von ebooks
Benutzerfreundlicher Schutz von ebooks Dr. Martin Steinebach Fraunhofer Institut für Sichere Informationstechnologie www.sit.fraunhofer.de Kontakt: Dr. Martin Steinebach, Dipl.-Inform. Information Assurance
IT-Sicherheit in Werbung und. von Bartosz Komander
IT-Sicherheit in Werbung und Informatik von Bartosz Komander Gliederung Einführung Anti-viren-software Verschlüsselungssoftware Firewalls Mein Fazit Quellen 2 Einführung Was ist eigentlich IT-Sicherheit?
und Digitale Signatur
E-Mail Sicherheit und Digitale Signatur 13/11/04 / Seite 1 Inhaltsverzeichnis Vorstellung Motivation und Lösungsansätze Sicherheitsdemonstration Asymetrische Verschlüsselung Verschlüsselung in der Praxis
Organisationsentwicklung und Supportmodelle für e-learning Regina Obexer, Service Manager VLE Queensland University of Technology
Organisationsentwicklung und Supportmodelle für e-learning Regina Obexer, Service Manager VLE Division of Technology Information and Learning Support Annika, 7 Monate alt Überblick : kurzes Portrait Lehr-
Security by Design Prinzipiell sicher!?
Security by Design Prinzipiell sicher!? Thomas Bleier Dipl.-Ing. MSc zpm CISSP CISM CEH Program Manager ICT Security Safety & Security Department AIT Austrian Institute of Technology GmbH AIT Austrian
NTFS Encrypting File System
NTFS Encrypting File System Markus Gerstner Lehrstuhl für Informatik 4 Verteilte Systeme und Betriebssysteme Universität Erlangen-Nürnberg Überblick Was genau ist EFS? Warum EFS? Das Verschlüsselungsverfahren
Authentifizierung. Benutzerverwaltung mit Kerberos. Referent: Jochen Merhof
Authentifizierung Benutzerverwaltung mit Kerberos Referent: Jochen Merhof Überblick über Kerberos Entwickelt seit Mitte der 80er Jahre am MIT Netzwerk-Authentifikations-Protokoll (Needham-Schroeder) Open-Source
Sicherheit für Karteninhaber- und Transaktionsdaten/Schutz vor Hackerangriffen
Sicherheit für Karteninhaber- und Transaktionsdaten/Schutz vor Hackerangriffen Neue Programme von MasterCard und VISA: SDP Side Data Protection MasterCard AIS Account Information Security VISA Zielgruppen
TeleTrusT Bundesverband IT-Sicherheit e.v.
TeleTrusT Bundesverband IT-Sicherheit e.v. TeleTrusT-Workshop "Industrial Security" 2015 München, 11.06.2015 KMU-fokussierte Handlungsvorschläge zur Steigerung der IT-Sicherheit auf dem Weg zu Industrie
IT-Riskmanagement Strategie und Umsetzung. Inhalte. Begriffe. Armin Furter TKH Informationmangement Bern
IT-Riskmanagement Strategie und Umsetzung Armin Furter TKH Informationmangement Bern Inhalte Einführung Allgemeines Risikomangement IT-Risikomanagement Mögliche Methoden Begriffe Bedrohung Schaden Schadensausmass
Verteilte Systeme CS5001
CS5001 Th. Letschert TH Mittelhessen Gießen University of Applied Sciences Einführung Administratives Unterlagen Verwendbar: Master of Science (Informatik) Wahlpflichtfach (Theorie-Pool) Unterlagen Folien:
AV-TEST. Sicherheitslage Android
AV-TEST Sicherheitslage Android Sicherheitslage Android 1 SICHERHEITSLAGE ANDROID MEHR ALS 30 IT-SPEZIALISTEN MEHR ALS 15 JAHRE EXPERTISE IM BEREICH ANTIVIREN-FORSCHUNG UNTERNEHMENSGRÜNDUNG 2004 EINE DER
Antiforensik auf mobilen Endgeräten
Antiforensik auf mobilen Endgeräten Stefan Lambertz Betreuer: Prof. Dr. Marko Schuba FH AACHEN UNIVERSITY OF APPLIED SCIENCES Antiforensik auf Mobilen Endgeräten Stefan Lambertz 1 Übersicht Warum Antiforensik?
Technischer Datenschutz im Internet
Technischer Datenschutz im Internet Prof. Dr. Lehrstuhl Management der Informationssicherheit Uni Regensburg http://www-sec.uni-regensburg.de/ Was ist Sicherheit? Techniken zum Schutz? Stand der Technik?
Benutzbare Benutzerauthentizierung Security and Usability of Passwords
Benutzbare Benutzerauthentizierung Security and Usability of Passwords Technologien der Informationsgesellschaft Sommersemester 2006 Matthias Bernauer Institut für Informatik und Gesellschaft - Telematik
Herausforderungen und Massnahmenaus Sicht eines grossenproviders
Herausforderungen und Massnahmenaus Sicht eines grossenproviders 23. Juni 2015 Christian Greuter, CEO Health Info Net AG Agenda Einführung und Vorstellung HIN Trends als Herausforderung Grenzen der Machbarkeit
Governance, Risk & Compliance für den Mittelstand
Governance, Risk & Compliance für den Mittelstand Die Bedeutung von Steuerungs- und Kontrollsystemen nimmt auch für Unternehmen aus dem Mittelstand ständig zu. Der Aufwand für eine effiziente und effektive
Endpoint Security. Where trust begins and ends. SINN GmbH Andreas Fleischmann Technischer Leiter. www.s-inn.de
Endpoint Security Where trust begins and ends SINN GmbH Andreas Fleischmann Technischer Leiter www.s-inn.de Herausforderung für die IT Wer befindet sich im Netzwerk? Welcher Benutzer? Mit welchem Gerät?
IT-Security Herausforderung für KMU s
unser weitblick. Ihr Vorteil! IT-Security Herausforderung für KMU s Christian Lahl Agenda o IT-Sicherheit was ist das? o Aktuelle Herausforderungen o IT-Sicherheit im Spannungsfeld o Beispiel: Application-Control/
Aktuell zu vergebende Abschlussarbeiten
Aktuell zu vergebende Abschlussarbeiten Inhalt A Themenbereich Führung... 1 A.1 Merkmale, Ursachen und Folgen negativen Führungsverhaltens... 1 A.2 Führung... 2 A.3 Exploration impliziter Führungstheorien
Schichtenarchitektur zur Realisierung von IT-Sicherheit für eingebettete Systeme
Universität Stuttgart Institut für Automatisierungs- und Softwaretechnik Prof. Dr.-Ing. Dr. h. c. P. Göhner Schichtenarchitektur zur Realisierung von IT-Sicherheit für eingebettete Systeme Felix Gutbrodt
IT-Controlling für die Praxis
Martin Kütz IT-Controlling für die Praxis Konzeption und Methoden 2., überarbeitete und erweiterte Auflage Martin Kütz kuetz.martin@tesycon.de Lektorat: Christa Preisendanz & Vanessa Wittmer Copy-Editing:
Inhaltsverzeichnis. Web Hacking
Inhaltsverzeichnis zu Web Hacking von Manuel Ziegler ISBN (Buch): 978-3-446-44017-3 ISBN (E-Book): 978-3-446-44112-5 Weitere Informationen und Bestellungen unter http://www.hanser-fachbuch.de/978-3-446-44017-3
Analyse kritischer Erfolgsfaktoren für Enterprise Social Networking Anwendungen. Bachelorarbeit
Analyse kritischer Erfolgsfaktoren für Enterprise Social Networking Anwendungen Bachelorarbeit zur Erlangung des akademischen Grades Bachelor of Science (B.Sc.) im Studiengang Wirtschaftswissenschaften
Auf dem Weg zu einem umfassenderen Datenschutz in Europa einschließlich Biometrie eine europäische Perspektive
12. Konferenz Biometrics Institute, Australien Sydney, 26. Mai 2011 Auf dem Weg zu einem umfassenderen Datenschutz in Europa einschließlich Biometrie eine europäische Perspektive Peter Hustinx Europäischer
E-Mail-Verschlüsselung
E-Mail-Verschlüsselung In der Böllhoff Gruppe Informationen für unsere Geschäftspartner Inhaltsverzeichnis 1 E-Mail-Verschlüsselung generell... 1 1.1 S/MIME... 1 1.2 PGP... 1 2 Korrespondenz mit Böllhoff...
Online-Banking Zahlungsverkehr effizient und sicher
Online-Banking Zahlungsverkehr effizient und sicher Referent: Simon Lücke Leiter IT-Systeme, Electronic Banking, Zahlungsverkehr Volksbank Marl-Recklinghausen eg Volksbank Marl-Recklinghausen eg Agenda
IT-Bedrohungslage und IT-Sicherheit im mittelständischen Unternehmen
IT-Bedrohungslage und IT-Sicherheit im mittelständischen Unternehmen Marc Schober Bundesamt für Sicherheit in der Informationstechnik Referat 112 Kritische Infrastrukturen und IT-Sicherheitsrevision Bundesamt
Kryptographie oder Verschlüsselungstechniken
Kryptographie oder Verschlüsselungstechniken Dortmund, Dezember 1999 Prof. Dr. Heinz-Michael Winkels, Fachbereich Wirtschaft FH Dortmund Emil-Figge-Str. 44, D44227-Dortmund, TEL.: (0231)755-4966, FAX:
Strukturierte Informationssicherheit
Strukturierte Informationssicherheit Was muss getan werden ein kurzer Überblick. Donnerstag, 16.Juli 2009 Mark Semmler I Security Services I Mobil: +49. 163. 732 74 75 I E-Mail: kontakt_mse@mark-semmler.de
Aktuell zu vergebende Themen für Abschlussarbeiten (Bachelor, Master und Diplom)
Aktuell zu vergebende Themen für Abschlussarbeiten (Bachelor, Master und Diplom) Inhalt A Themenbereich Führung... 2 A.1 Merkmale, Ursachen und Folgen negativen Führungsverhaltens... 2 A.2 Führung... 2
MimoSecco. Computing. Cloud. CeBIT, Hannover 01. 05.03.2011
MimoSecco Middleware for Mobile and Secure Cloud Computing CeBIT, Hannover 01. 05.03.2011 Cloud Computing verspricht... eine gute Auslastung von Servern, immer aktuelle Software, überall konsistente Daten,
BYOD und ISO 27001. Sascha Todt. Bremen, 23.11.2012
BYOD und ISO 27001 Sascha Todt Bremen, 23.11.2012 Inhalt Definition BYOD Einige Zahlen zu BYOD ISO 27001 Fazit Planung & Konzeption Assets Bedrohungen/Risiken Maßahmen(ziele) BYOD Definition (Bring Your
Tabelle: Maßnahmen und Datenschutz-Kontrollziele zu Baustein 1.5 Datenschutz
Tabelle: Maßn und Datenschutz-Kontrollziele zu Baustein 1.5 Datenschutz (Verweis aus Maß M 7.5) Basierend auf den IT-Grundschutz-Katalogen Version 2006 Stand: November 2006, Stand der Tabelle: 22.08.07
Geschichte und Anwendungsgebiete
VoIP Geschichte und Anwendungsgebiete Sehr geehrter Herr Schmid, liebe Mitschüler, wir möchte euch heute die Geschichte und die Anwendungsgebiete von Voice over IP etwas näher bringen. 1 Inhaltsangabe
INFORMATIONEN NEUARTIG BETRACHTEN AKTEN- UND INFORMATIONSMANAGEMENT: GEWUSST WIE - VON ANFANG AN AUFBEWAHRUNGSPLÄNE FÜR AKTEN: GRUNDLAGEN
INFORMATIONEN NEUARTIG BETRACHTEN AKTEN- UND INFORMATIONSMANAGEMENT: GEWUSST WIE - VON ANFANG AN AUFBEWAHRUNGSPLÄNE FÜR AKTEN: GRUNDLAGEN EINFÜHRUNG KURZE EINFÜHRUNG IN DIE ERSTELLUNG UND VERWALTUNG VON
Andreas Dittrich dittrich@informatik.hu-berlin.de. 10. Januar 2006
mit (2) mit (2) 2 (802.11i) Andreas Dittrich dittrich@informatik.hu-berlin.de Institut für Informatik Humboldt-Universität zu Berlin 10. Januar 2006 (1/27) 2006-01-10 mit (2) 2 (802.11i) 2 (802.11i) (2/27)
Verschlüsselung von VoIP Telefonie
Verschlüsselung von VoIP Telefonie Agenda» VoIP-Grundlagen» Gefahren bei VoIP» Sicherheitskonzepte 2 VoIP-Grundlagen Im Unterschied zur klassischen Telefonie werden bei VoIP keine dedizierten Leitungen
sascha.zinke@splone.com
Verteiltes Scannen in Industrie- Sascha Zinke sascha.zinke@.com Version 1.0 1 1 4 Zusammenfassung Industrielle Netzwerke stellen für die Sicherheit besondere Herausforderungen dar. War bis jetzt vor allem
Information Security Awareness
Information Security Awareness Marcus Beyer Senior Security Awareness Architect Hewlett-Packard (Schweiz) GmbH Sarah Ahmed Junior Security Awareness Consultant Hewlett-Packard (Schweiz) GmbH Copyright
Hochgeschwindigkeits-Ethernet-WAN: Bremst Verschlüsselung Ihr Netzwerk aus?
Hochgeschwindigkeits-Ethernet-WAN: Bremst Verschlüsselung Ihr Netzwerk aus? 2010 SafeNet, Inc. Alle Rechte vorbehalten. SafeNet und das SafeNet-Logo sind eingetragene Warenzeichen von SafeNet. Alle anderen
Vorwort. Franz Lehner. Wissensmanagement. Grundlagen, Methoden und technische Unterstützung ISBN: 978-3-446-42563-7
Vorwort Wissensmanagement Grundlagen, Methoden und technische Unterstützung ISBN: 978-3-446-42563-7 Weitere Informationen oder Bestellungen unter http://www.hanser.de/978-3-446-42563-7 sowie im Buchhandel.
Techniken für starke Kennwörter
Techniken für starke Kennwörter Inhalt 1. Einführung 2. Warum starke Kennwörter? 3. Wer ist gefährdet? 4. Tipps für die Einrichtung starker Kennwörter 5. Klingt kompliziert? Das muss es aber nicht sein!
Die Bedeutung des NSA Prism Programms für deutsche Unternehmen Leitfaden für Entscheider und Führungskräfte
Information Security Management Die Bedeutung des NSA Prism Programms für deutsche Unternehmen Leitfaden für Entscheider und Führungskräfte 10. Juni 2013 Security by Culture AGENDA 1 NSA Prism im Überblick
Überraschende Angriffsvektoren: Weit verbreitet, oft übersehen
: Weit verbreitet, oft übersehen jens.liebchen@redteam-pentesting.de http://www.redteam-pentesting.de CeBIT 2009 CeBIT Open Source Forum 06. März 2009, Hannover RedTeam Pentesting, Daten & Fakten Über
Peer to Peer. ENGL Bernhard 0120956 PRAXMARER Stefan 0120383 COLOSIO Markus 0120160
Peer to Peer ENGL Bernhard 0120956 PRAXMARER Stefan 0120383 COLOSIO Markus 0120160 Inhalt Einführung Peer to Peer vs. Client/Server Informationssuche Technik Filesharing Programme Rechtssituation Client-Server-Architektur
Informatik für Ökonomen II HS 09
Informatik für Ökonomen II HS 09 Übung 5 Ausgabe: 03. Dezember 2009 Abgabe: 10. Dezember 2009 Die Lösungen zu den Aufgabe sind direkt auf das Blatt zu schreiben. Bitte verwenden Sie keinen Bleistift und
Advanced Cyber Defense im Spannungsfeld zwischen Compliance und Wirksamkeit. Uwe Bernd-Striebeck RSA Security Summit München, 12.
Advanced Cyber Defense im Spannungsfeld zwischen Compliance und Wirksamkeit Uwe Bernd-Striebeck RSA Security Summit München, 12. Mai 2014 Security Consulting Planung und Aufbau von Informationssicherheit
IT-Security und Datenschutz für die Praxis it-sa, Messe Nürnberg, Halle12, Raum Lissabon
11. Oktober 2011 12. Oktober 2011 13. Oktober 2011 09:30 09:45 Begrüßung Begrüßung Begrüßung 09:45 11:00 Kurz-Audit Datenschutz Kurz-Audit Business Continuity Management Kurz-Audit Informationssicherheit
Informationssicherheit im Gesundheitswesen Riskmanagement nach ISO 27 001 von Ing. Franz Hoheiser-Pförtner, MSc / CISSP Ing. Franz Hoheiser-Pförtner,
Informationssicherheit im Gesundheitswesen Riskmanagement nach ISO 27 001 von Seite 1 / 21 Krise & Risiko zeichnen sich durch Ereignisketten aus Mensch Maschine Zustand Organisation Maßnahmen Ereignisketten
STUDIE ZU IT-RISIKOBEWERTUNGEN IN DER PRAXIS
STUDIE ZU IT-RISIKOBEWERTUNGEN IN DER PRAXIS Stefan Taubenberger und Prof. Jan Jürjens, 22. September 211 Ziele der Studie Konfirmative und explorative Studie mit folgenden Fragestellungen Welche Kriterien
Positionspapier Big Data
TeleTrusT-interner Workshop Berlin, 05.06.2014 Positionspapier Big Data Oliver Dehning, antispameurope GmbH Leiter der AG Cloud Security Definition Big Data Big Data bezeichnet große Datenmengen (Volume)
Information Security Policy für Geschäftspartner
safe data, great business. Information Security Policy für Geschäftspartner Raiffeisen Informatik Center Steiermark Raiffeisen Rechenzentrum Dokument Eigentümer Version 1.3 Versionsdatum 22.08.2013 Status
MM-2-111-403-00. IT-Sicherheit
MM-2-111-403-00 Rev. Nr.: 01 Rev. Datum: 26.03.2014 Nächste Rev.: 26.03.2017 MM-2-111-403-00 IT-Sicherheit Seite: 1 / 8 MM-2-111-403-00 Rev. Nr.: 01 Rev. Datum: 26.03.2014 Nächste Rev.: 26.03.2017 Ziel
Multicast Security Group Key Management Architecture (MSEC GKMArch)
Multicast Security Group Key Management Architecture (MSEC GKMArch) draft-ietf-msec-gkmarch-07.txt Internet Security Tobias Engelbrecht Einführung Bei diversen Internetanwendungen, wie zum Beispiel Telefonkonferenzen
Mobile Device Management
Mobile Device Management Na und? Stefan Mai Partner Manager, Good Technology, Frankfurt Netzplan MDM Kosten oder Nutzen? Wann was steuern und warum. MDM der Beginn einer Reise. Steigen Sie ein und seien
Programmieren von Web Informationssystemen
Programmieren von Webinformationssystemen Wolfgang Gassler Databases and Information Systems (DBIS) Institute of Computer Science University of Innsbruck dbis-informatik.uibk.ac.at 1 Web (App) Usability
Vortrag am 06.06.2002. in Hannover (DVG) Arbeitskreis Informationstechnologie IHK Uni Hildesheim Prof. Dr. E. Schwarzer. 16.01.2006 IT-Sicherheit 1
IT-Sicherheit Vortrag am 06.06.2002 in Hannover (DVG) Arbeitskreis Informationstechnologie IHK Uni Hildesheim Prof. Dr. E. Schwarzer 16.01.2006 IT-Sicherheit 1 Literatur O. Kyas, M. a Campo, IT-Crackdown
Wachsende Anzahl kommunaler Aufgaben Schwindende Finanzspielräume Demografischer Wandel Hohe IT-Ausstattung der Arbeitsplätze > Technische
Wachsende Anzahl kommunaler Aufgaben Schwindende Finanzspielräume Demografischer Wandel Hohe IT-Ausstattung der Arbeitsplätze > Technische Komplexität steigt > Wachsende Abhängigkeit von der IT Steigende
Hootsuite. Mehr als nur Social Media Management. 4. Juni 2014 #IMWME14
Hootsuite Mehr als nur Social Media Management 4. Juni 2014 #IMWME14 Brandsensations Inbound Marketing Consulting Gegründet 2011 / NRW Düsseldorf HubSpot Partner Hootsuite Partner Hootsuite Ambassador
Diskussion eines IT-Outsourcing unter Berücksichtigung von Compliance Anforderungen. Bachelorarbeit
Diskussion eines IT-Outsourcing unter Berücksichtigung von Compliance Anforderungen Bachelorarbeit zur Erlangung des akademischen Grades Bachelor of Science (B.Sc.) im Studiengang Wirtschaftswissenschaft
Cloud Computing - die Lösung der Zukunft
Cloud Computing - die Lösung der Zukunft Agenda: 08:30 08:40 Begrüssung Herr Walter Keller 08:40 09:00 Idee / Aufbau der Cloud Herr Daniele Palazzo 09:00 09:25 Definition der Cloud Herr Daniele Palazzo
Die Kunst des Krieges Parallelen zu Cybercrime. Michael Simon, Security Consultant
Die Kunst des Krieges Parallelen zu Cybercrime Michael Simon, Security Consultant Die größte Verwundbarkeit ist die Unwissenheit. Quelle: Sun Tzu, Die Kunst des Krieges 2 Agenda Kenne Dich selbst Schwachstelle,
IDS Intrusion Detection Systems
IDS Intrusion Detection Systems Arne Brutschy Problemseminar Mobilität und Sicherheit im Internet SS 2003 Prof. Dr. K. Irmscher Institut für Informatik Universität Leipzig Einführung Was ist ein Intrusion