C ISPA Center for IT -Security, Privacy and Accountability. Sicherheitstechnik im IT-Bereich. Positionspapier aus Forschungssicht

Transkript

1 FRAUNHOFER-INSTITUT Für sichere infrmatinstechnlgie Technical Reprt Psitinspapier aus Frschungssicht Sicherheitstechnik im IT-Bereich Michael Waidner, Michael Backes, Jörn Müller-Quade C ISPA Center fr IT -Security, Privacy and Accuntability Kmpetenzzentren für IT-Sicherheit

2

3 IMPRESSUM Kntaktadresse: Fraunhfer-Institut für Sichere Infrmatinstechnlgie SIT Rheinstraße Darmstadt Telefn Telefax URL Bibligrafische Infrmatin der Deutschen Natinalbiblithek Die Deutsche Natinalbiblithek verzeichnet diese Publikatin in der Deutschen Natinalbibligrafie; detaillierte bibligrafische Daten sind im Internet über abrufbar. Hrsg. Michael Waidner Runder Tisch der Bundesregierung Sicherheitstechnik im IT-Bereich Psitinspapier aus Frschungssicht Sicherheitstechnik im IT-Bereich (SIT-TR ) Michael Waidner, Michael Backes, Jörn Müller-Quade Cpyright Titelbild: istckphts.cm/sctspencer ISSN Alle Rechte vrbehalten Dieses Werk ist einschließlich aller seiner Teile urheberrechtlich geschützt. Jede Verwertung, die über die engen Grenzen des Urheberrechtsgesetzes hinausgeht, ist hne schriftliche Zustimmung des Verlages unzulässig und strafbar. Dies gilt insbesndere für Vervielfältigungen, Übersetzungen, Mikrverfilmungen swie die Speicherung in elektrnischen Systemen. Die Wiedergabe vn Warenbezeichnungen und Handelsnamen in diesem Buch berechtigt nicht zu der Annahme, dass slche Bezeichnungen im Sinne der Warenzeichen- und Markenschutz-Gesetzgebung als frei zu betrachten wären und deshalb vn jedermann benutzt werden dürften. Sweit in diesem Werk direkt der indirekt auf Gesetze, Vrschriften der Richtlinien (z.b. DIN, VDI) Bezug genmmen der aus ihnen zitiert wrden ist, kann der Verlag keine Gewähr für Richtigkeit, Vllständigkeit der Aktualität übernehmen.

4 Runder Tisch der Bundesregierung Sicherheitstechnik im IT-Bereich Psitinspapier aus Frschungssicht 9. September 2013 Prf. Dr. Michael Waidner (1,2) Institutsleiter Fraunhfer SIT, Direktr EC SPRIDE und CASED Prf. Dr. Michael Backes (3,4) Max Planck Fellw, Direktr CISPA Prf. Dr. Jörn Müller-Quade (5) Leiter des Instituts für Kryptgraphie und Sicherheit (IKS), Direktr KASTEL (1) (2) (3) (4) (5) Fraunhfer-Institut für Sichere Infrmatinstechnlgie (SIT) Rheinstraße 75, Darmstadt Technische Universität Darmstadt Mrnewegstraße 30, Darmstadt Universität des Saarlandes Campus E1 1, Saarbrücken Max-Planck-Institut für Sftwaresysteme (MPI-SWS) Campus E1 5, Saarbrücken Karlsruher Institut für Technlgie (KIT) Am Fasanengarten 5, Geb , Karlsruhe Im vrliegenden Papier fassen die drei Autren ihre Psitin zum Thema "Sicherheitstechnik im IT-Bereich" zusammen. Mit den aufgeführten Standpunkten vertraten die Wissenschaftler die Anliegen der Frschung gegenüber Staat und Wirtschaft beim gleichnamigen Runden Tisch der Bundesregierung am in Berlin.

5 Inhalt 1 Vrbemerkung IT-Sicherheit erfrdert Frschung Deutschland ist ein wichtiger und erflgreicher Frschungsstandrt 7 2 Empfehlungen Klarheit und Transparenz zu Gefahren und Risiken, Dauerhafte und tragfähige Strategie Umfassende digitale Suveränität ist nicht realistisch, aber es gibt sinnvlle Annäherungen an eine Suveränität Ausgewählte Speziallösungen hergestellt in Deutschland Alle Lösungen überprüfbar durch Test-Labre Entwicklung sicherer IT erfrdert geeignete Infrastruktur Nutzung sicherer IT erfrdert Vertrauensinfrastruktur IT-Sicherheit braucht eine umfassende Frschungsagenda 10 Runder Tisch der Bundesregierung 5

6 1 Vrbemerkung 1 Vrbemerkung 1.1 IT-Sicherheit erfrdert Frschung In Wirtschaft und Verwaltung besteht grßer Nachhlbedarf in der Umsetzung vn IT-Sicherheitslösungen. Selbst elementare Techniken wie Dateiverschlüsselung, Identitätsmanagement der sichere Nachrichtenübertragung werden nur unzureichend eingesetzt. IT-Sicherheit erfrdert aber weit mehr als die Umsetzung bekannter Techniken. Es müssen auch zahlreiche Fragen der angewandten und der Grundlagenfrschung beantwrtet werden. Einige Beispiele: IT-Sicherheitslösungen sind ft schwer zu benutzen, sehr kmplex, sehr aufwendig. Die systematische Erschaffung vn IT-Sicherheitslösungen, die benutzbar sind und vn den Nutzern als wertvll erkannt und angenmmen werden, ist ein ffenes Prblem. IT-Prdukte und Systeme sind fast immer fehlerbehaftet und dadurch angreifbar. Der Entwurf sicherer Systeme, der autmatisierte Test auf Unsicherheit, der Nachweis vn Sicherheit sind ffene Prbleme. IT-Prdukte können Trjanische Pferde enthalten. Wie kann man dies zuverlässig und autmatisiert erkennen und verhindern? Wie kann man im Internet tatsächlich sicher und unbebachtbar kmmunizieren, im Allgemeinen der zumindest vis-a-vis Massenüberwachung durch fremde Dienste? Auf dem Papier existieren viele Techniken zur Verschlüsselung und Annymisierung, aber keine davn skaliert ausreichend für alle Nutzer in Deutschland, EU, weltweit. Wie geht man mit dem Knflikt zwischen Privatsphärenschutz einerseits und Online Scial Netwrks, Big Data, Ubiquitären und mbilen Systemen andererseits um? Angriffe, insb. zur Industriespinage, erflgen ft durch Innentäter (Angestellte, Partner) der unter Ausnutzung unbekannter Schwachstellen im System. Wie kann man slche Angriffe schnell und autmatisiert erkennen und verhindern? Wie kann Sicherheit mit minimalen Ressurcen und minimalen Interaktinsanfrderungen (eingebettete IT, Industrie 4.0) erreicht werden? Runder Tisch der Bundesregierung 6

7 1 Vrbemerkung Wie misst man Sicherheit (der Unsicherheit)? Wie wertet man Sicherheitsdaten effizient und bedeutungsvll aus? Im Allgemeinen setzt Clud Cmputing vraus, dass die Nutzer dem Betreiber vllständig vertrauen. Die Kryptgraphie kennt Ansätze, wie diese Anfrderung an das Vertrauen reduziert werden kann aber wie macht man sie praktisch nutzbar? Heutige Kryptgraphie und Prtklle sind nur gegen heutige Angreifer sicher. Wie kann Sicherheit auch in Zukunft erreicht werden? 1.2 Deutschland ist ein wichtiger und erflgreicher Frschungsstandrt Deutschland verfügt über eine sehr aktive und erflgreiche Frschungslandschaft zu IT-Sicherheit bzw. Cybersecurity. An der ACM CCS 2013 in Berlin, einer der beiden derzeit weltweit wichtigsten akademischen Frschungsknferenzen zur IT-Sicherheit, stellt Deutschland nach den USA das zweitgrößte Kntingent (swhl eingereichte als auch akzeptierte Papiere). Dank der Förderung durch Bund und Länder in die Bildung vn Zentren (insb. Land Hessen, BMBF) und in wichtige Themen (z.b. Clud Cmputing, KRITIS) gibt es mehrere exzellente, internatinal sichtbare Frschungszentren. Insbesndere zu nennen sind die drei vm BMBF geförderten Zentren in Darmstadt, Karlsruhe und Saarbrücken, aber auch beispielsweise Bchum und München. Darüber hinaus sind an vielen deutschen Hchschulen und Frschungseinrichtungen weitere exzellente Frscherinnen und Frscher tätig. Viele Firmen in Deutschland, insbesndere KMUs, sind sehr in der Sicherheitsfrschung engagiert. Runder Tisch der Bundesregierung 7

8 2 Empfehlungen 2 Empfehlungen 2.1 Klarheit und Transparenz zu Gefahren und Risiken, Dauerhafte und tragfähige Strategie Der Auftrag an den Runden Tisch ist sehr umfassend. Dieser Auftrag sllte präzisiert und den Teilnehmern Zeit und Freiraum zur Schaffung einer tragfähigen Strategie gegeben werden. Viele der Betrffenen (Bürger, Industrie, Staat) erwarten eine realistische Einschätzung der tatsächlichen Gefahren und Risiken. Die Wissenschaft kann hier im Sinne unabhängiger Sachverständiger einen regelmäßigen Beitrag leisten. 2.2 Umfassende digitale Suveränität ist nicht realistisch, aber es gibt sinnvlle Annäherungen an eine Suveränität Eine vllständige Unabhängigkeit vn IT-Prdukten und -Diensten aus dem Ausland ist unrealistisch: Der Technlgievrsprung z.b. der USA und der Kstenvrteil z.b. Chinas sind praktisch nicht einzuhlen. Deutsche Nutzer wllen an der glbal vernetzten Welt teilnehmen und wllen und müssen daher auch Dienste aus dem Ausland verwenden. Als exprtrientierte Natin sind wir auf einen ffenen, freien Handel angewiesen. Die flgenden beiden Ansätze sind aber sinnvlle Möglichkeiten mehr Suveränität zu erreichen: Ausgewählte Speziallösungen hergestellt in Deutschland Suveränität in einzelnen Bereichen ist herstellbar bzw. existiert bereits. Vrhanden: Sehr viele IT-Sicherheitslösungen der deutschen Sftware-Industrie, insbesndere vn KMUs. Möglich: Linux-Distributin, Intermediäre Dienste, Ruter, deutsche/eurpäische PKI. Runder Tisch der Bundesregierung 8

9 2 Empfehlungen Flankierende regulatrische Maßnahmen sind erfrderlich, um slchen Lösungen im deutschen (idealerweise: eurpäischen) Markt einen Vrteil zu verschaffen. Deutschland sllte hier für und in Eurpa eine Vrreiterrlle spielen. Dies erfrdert teilweise signifikante Investitinen und die Bildung vn Knsrtien aus Industrie und Frschung Alle Lösungen überprüfbar durch Test-Labre Generelle und bei Beschaffungen der öffentlichen Hand verpflichtende Überprüfbarkeit der Sicherheit aller IT-Lösungen, egal w sie prduziert bzw. erbracht werden. Dies umfasst Prdukte, Dienste und Herstellungsmethden (Security by Design!) Setzt technische Mindeststandards und verpflichtende Testmethden und Testwerkzeuge vraus (wenn möglich autmatisiert!) Verschafft der deutschen (eurpäischen) Industrie und Frschung autmatisch einen Vrteil für natinale Prdukte, Dienste und Testwerkzeuge Sicherheit und Annahmen zur Sicherheit müssen für Marktteilnehmer sichtbar sein (Standards, Siegel, Prdukt-Zertifikate) Unsicherheit muss in geeigneter Frm zu Haftung führen Finden trjanischer Funktinalität ist ansatzweise machbar, wenn die Testlabre Zugang zu Surce Cde / zur Dienstplattfrm haben Verpflichtung zur Offenlegung gegenüber ausgewählten, glaubwürdigen, natinalen Test-Labren (z.b. TÜV, Fraunhfer). Ansätze existieren, aber letztlich besteht hier ein sehr grßer Frschungsbedarf: Finden vn Trjanischen Pferden, vllautmatische Analyse, Security by Design 2.3 Entwicklung sicherer IT erfrdert geeignete Infrastruktur Neue Testmethden und -werkzeuge (siehe Abschnitt 2.2) erfrdern sehr grßen Frschungsbedarf und liefern sehr grße Marktchancen für neue Prdukte. Runder Tisch der Bundesregierung 9

10 2 Empfehlungen Datenbank mit Fakten und Annahmen zur Sicherheit vn Kmpnenten zur leichteren Integratin. Hier besteht ebenfalls Frschungsbedarf: Definitin vn Sicherheit, Integratin vn Sicherheit. Beides erfrdert signifikante Frschung: Security and Privacy by Design ist Fkus der drei BMBF-Zentren! 2.4 Nutzung sicherer IT erfrdert Vertrauensinfrastruktur Bekannte Sicherheitsmechanismen (z.b. sichere ) werden zu selten eingesetzt. Ein Grund ist das Fehlen geeigneter Infrastrukturen. F&E zu einfachem, natinal / glbal einsetzbarem Schlüsselaustausch, z.b. basierend auf staatlicher Infrastruktur (npa) der basierend auf anderen Vertrauensmdellen. F&E zu einfacher, kstengünstiger und sicherer F&E zu sicherem DNS, sicherem SSL/TLS-Next, sicheren Plattfrmen usw. 2.5 IT-Sicherheit braucht eine umfassende Frschungsagenda Zahlreiche ffene Prbleme für Grundlagen- und angewandte Frschung (Abschnitt 1) Vieles in der IT-Sicherheit ist bekannt, nch mehr ist unbekannt! Krdinierte Strategie und Förderung auf Bundes-/Landes- und EU- Ebene (z.b. im Rahmen vn Hrizn 2020) Bewährtes Instrument: Zentrenbildung (dadurch erhält man die kritische Masse und erreicht Wettbewerbsfähigkeit gegenüber der internatinalen Knkurrenz) Bewährtes Mdell: Verzahnung der Frschungseinrichtungen mit der Industrie (insb. KMUs) und der öffentlichen Hand (z.b. dem BSI) bei angewandter Frschung. Runder Tisch der Bundesregierung 10

11

12