Möglichkeiten des Selbstdatenschutzes à Maßnahmen und Grenzen. Smart Everything bringt neue Angriffsvektoren. Risk

Transkript

1 Möglichkeiten des es à Maßnahmen und Grenzen Prof. Dr. (TU NN) Norbert Pohlmann Institut für Internet-Sicherheit if(is) Westfälische Hochschule, Gelsenkirchen IT-Sicherheit à Die größten Herausforderungen IT Sicherheitsprobleme Cloud Computing ist eine Herausforderung Ein zu hohes Risiko bei der Kommunikation Smart Everything bringt neue Angriffsvektoren Internet-Nutzer sind nicht sensibilisiert genug Risk Geschäftsmodell: Bezahlen mit persönlichen Daten heute Snowden Neue Gefahren durch mobile Geräte Zu viele Schwachstellen in Software Manipulierte IT und IT Sicherheitstechnologie Ungenügender Schutz vor Malware Unsichere Webserver im Feld Zeit Kein internationales Identity Management 2 1

2 PH Zürich, 26. August 2014 Prinzipielle IT Sicherheitsstrategien à Fokussierung Im Schnitt sind nur ca. 5 % aller vorhandenen Daten in Unternehmen besonders schützenswert. $ $ Aber welche Daten sind besonders schützenswert und wie können diese angemessen geschützt werden? 3 Prinzipielle IT Sicherheitsstrategien à Vermeiden von Angriffen (1) Generell gilt: Das Prinzip der digitalen Sparsamkeit. à So wenig Daten generieren wie möglich, so viele wie nötig. Keine Technologie und Produkte mit Schwachstellen verwenden (z.b. Browser, Betriebssysteme, Internet-Dienste, ) $ Assets Bewertung der Vermeidung Vermeidung von Angriffen ist die beste IT-Sicherheitsstrategie Ist nur begrenzt umsetzbar, wenn wir IT mit allen Vorteilen nutzen wollen 4 2

3 Prinzipielle IT Sicherheitsstrategien à Entgegenwirken von Angriffen (2) Meist verwendete IT-Sicherheitsstrategie Beispiele, bei denen ein hoher Nachholbedarf besteht: Verschlüsselungssicherheitssysteme (Datei-, Festplatten-, -Verschlüsselung, VPN-Systeme, SSL,...) Authentikationsverfahren (Challenge-Response, globale Identität, Föderation, ) Vertrauenswürdige IT-Systeme (Security Kernel, Isolierung u. Separierung,..) Direct Threat Bewertung des Entgegenwirkens Eine naheliegende IT-Sicherheitsstrategie Leider stehen zurzeit nicht genug wirkungsvolle und vertrauenswürdige IT-Sicherheitstechnologien, -lösungen und -produkte zur Verfügung oder sind im Einsatz $ Assets 5 Prinzipielle Sicherheitsstrategien à Erkennen von Angriffen (3) Erkennen von Angriffen, denen nicht entgegengewirkt werden kann Angriffe erkennen und versuchen, den Schaden so schnell wie möglich zu minimieren (APT) Generell IT-Sicherheitssysteme, die Warnungen erzeugen, wenn Angriffe mit Hilfe von Angriffssignaturen oder Anomalien erkannt werden Bewertung des Erkennens Attack trial Monitoring $ Assets Monitoring Die IT-Sicherheitsstrategie, Erkennen von Angriffen, ist sehr hilfreich, hat aber definierte Grenzen Monitoring 6 3

4 à Basisschutz für den Computer (1/2) Sicherheit durch Einschränkung Benutzerrechte Eingeschränkte Benutzerkonten schützen das Gesamtsystem Potentiell gefährliche Aktivitäten (auch unabsichtliche) werden im Vorhinein blockiert Virenschutzprogramme / Anti-Malware Programme Überwachen fortlaufend die Aktivitäten des Computers Muss zur zuverlässigen Arbeit aktuell sein à Automatische Updates aktivieren Personal Firewall Wie ein Pförtner: Regelt den Netzwerkverkehr Zugriff nur erlauben, wenn der Grund dafür ersichtlich ist 7 à Basisschutz für den Computer (2/2) Anti-Spyware (Anti-Malware) Spyware installiert sich als Anhängsel von Software oder über Sicherheitslücken Vorsorge ist besser als Nachsorge: à Aufmerksamkeit beim Installieren von Programmen Ist Ihr PC up-to-date? Sicherheitslücken untergraben Anti-Malware-Programme Angriffe zielen auf Fehler in Computerprogrammen ab Malware verbreitet sich über Schwachstellen Softwarehersteller bieten Updates an regelmäßig nach Bekanntwerden einer Sicherheitslücke 8 4

5 à Browsereinstellungen Im Browser werden standardmäßig temporäre Dateien angelegt: Cookies, Cache, Logins Temporäre Dateien regelmäßig löschen Deaktivieren Sie Funktionen wie Passwörter speichern oder Auto-Vervollständigung. Aktive Inhalte Viele Webseiten ohne aktive Inhalte nicht nutzbar (z.b. JavaScript/Flash) Sperren Sie bei aktuellen Gefahren Aktive Inhalte so lange, bis die Sicherheitslücke geschlossen ist Deaktivieren Sie Flash à Flashblock installieren als Add-In empfohlen AdBlocker sind empfehlenswert, auch sie erhöhen die Sicherheit 9 à Beispiel: Privatsphäre im Netz schützen Beispiel: für Chrome Erweiterungsprogramm ( Extension ) für diverse Browser Schützt den Nutzer vor Tracking durch Visualisierung und Blocken von Datensammelnden Partnerwebseiten Positiv-Liste: Verbindungen zu Diensten, die gewünscht werden, können erlaubt werden (White-Listing) Bonus: Schont die Bandbreite und das Übertragungsvolumen 10 5

6 à Internetkompetenz: Statuszeile Phishing = Password Fishing 11 à Richtiges Verhalten Ins Internet? Erst Sicherheitsupdates installieren (für Betriebssystem und Anwendungsprogramme) Malwaresignaturen erneuern Erst dann: s abrufen, Surfen Onlinebanking usw. -Kommunikation Dateianhänge nur mit Bedacht öffnen, auch bei seriöser Quelle Absender fälschen ist einfach elektronische Postkarten Bei Unsicherheiten telefonisch Rückfrage halten Niemals unbekannte, seltsame oder verlockende Anhänge öffnen z.b. à Anwälte versenden keine Abmahnungen/Rechnungen per 12 6

7 à Webseiten mit SSL-Zertifikat Vorsicht vor SSL-Fake Namen genau vergleichen Im Zweifel: Fingerabdruck vergleichen 13 à Starke Passwörter Absicherung vor unerwünschter Nutzung durch andere Starke Passwörter enthalten mind. 10 Zeichen (besser mehr), Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen Problem: Sie müssen sie sich gut merken können Merkbar durch eine Eselsbrücke und Buchstaben durch Zahlen oder Sonderzeichen ersetzen. Ein Beispiel: WeaeiGgr,f5eh Wer anderen eine Grube gräbt, fällt selbst hinein Passwörter nicht weitergeben, nicht aufschreiben Regelmäßig neue und andere Passwörter vergeben Keinen Universalschlüssel vergeben à falsche Webseiten 14 7

8 à Zugriffe schützen Angemessener Schutz: Absicherung des PCs/Notebooks vor unerwünschter Nutzung anderer Verwenden Sie bei Ihrem Windows-Benutzerkonto ein Passwort. Sperren Sie Ihren Rechner bei jedem Verlassen: Windows-Taste + L - Lässt niemand anderen an Ihren PC Transportieren Sie häufig sensible Daten unverschlüsselt? Dann ist eine Daten- oder Festplattenverschlüsselung erforderlich Beim Nutzen des Notebooks/Tablets unterwegs Hotspots sind ein Sicherheitsrisiko Vorsicht vor Ausspähen 15 à Für Handys und Smartphones/Tablets Vergeben Sie eine PIN für die SIM-Karte Richten Sie eine passwortgeschützte Display-Sperre ein (Screen-Lock) Speziell für Smartphones, Tablets und Notebooks Verwenden Sie einen Basisschutz und aktivieren Sie automatische Updates Schalten Sie nicht benötigte Dienste aus (z.b. WLAN, Bluetooth, GPS) Verschlüsseln Sie sensible Daten Surfen Sie nicht in offenen WLANs Informieren Sie sich umfassend über eine App (Malware), bevor Sie sie installieren (Geschäftsmodell: Bezahlen mit persönlichen Daten ) Verlieren der mobilen Geräte Bewegungsprofilbildung Öffentliche Einsicht 16 8

9 Ihre digitale Spur à Kommunikation und Konklusion Die Nutzung von Diensten wie das Versenden von Nachrichten, abrufen von Webseiten in Kombination mit den kontaktierten Personen und dem Aufenthaltsort generiert viele verschiedene Informationen (Ort, Zeit, Start-Ziel der Nachrichten, Bewegungsprofil, Abweichungen vom Normalverhalten, ) Diese Spuren liefern die notwendigen Informationen, um daraus Wissen zu generieren / kombinieren 17 IT-Sicherheitsherausforderungen à Wissen und Information (1/2) Die generierten Informationen können viele Facetten haben Was könnte z.b. die NSA über uns wissen? Zum Beispiel etwas über Steuerbetrug: Zinsen im Ausland, Nebeneinkünfte aus allen Quellen Ist die Nachricht emotional und welche Art von Sprache wird verwendet? à Ermittlung des IQs und der emotionalen Intelligenz? Liste aller Ex-Partner und alle jemals getätigten Likes Ehebruch inkl. Bilder und HD-Videos (Telefonie und Whatsap mit Affären und Aufhalten an eigenartigen Orten à Ortungsdaten) 18 9

10 IT-Sicherheitsherausforderungen à Wissen und Information (2/2) Auch möglich sind Schlussfolgerungen wie Auswertung von Inhalten Ihrer Nachrichten/Geolokation/Verbindung: Sie sind Selbstmord gefährdet? à Anruf bei entsprechenden Hotlines der Seelsorge vom Rand einer Brücke Radikalwähler, grenzwertige Auffassung von Recht und Freiheit Alle Ihre Gesundheitsdaten und eine Prognose über Ihre gesundheitliche Entwicklung Was Sie täglich auf dem Teller haben Alle Zeugnisse, aus dem Kontext gerissene Äußerungen, Was wird davon wohl irgendwann mal gegen Sie verwendet werden? Wissentlich oder unwissentlich? 19 Schutzmaßnahmen à Konkrete Vorschläge als Beispiel Router daheim: Über Sicherheitslücken informieren und falls möglich Updates zeitnah einspielen (à Im Zweifel Internetprovider fragen) PGP Verschlüsselung (à Für alle Plattformen verfügbar) Alles, was man nicht auf eine Postkarte schreiben würde, gehört verschlüsselt Rechner: Festplattenverschlüsselung (à TrueCrypt, leicht einzurichten und bietet einen sehr hohen Schutz vor unbefugtem Zugriff) Siehe Screenvideo - if(is): screenvideos/ Mobile Geräte niemals unbeaufsichtigt lassen (Konferenzen, Hotelzimmer, Partys, Freunden, Uni, Firma, ) Falls Anbieter dies unterstützen: 2-Faktor-Authentifizierung aktivieren 20 10

11 Schutzmaßnahmen à Konkrete Vorschläge als Beispiel Chatten auf dem Smartphone: Ende-zu-Ende-Verschlüsselt (à Threema) (SMS Nachrichten sind ebenfalls Klartextkommunikation) Daten in der Cloud: Vorher dem Hochladen verschlüsseln (à Boxcryptor) Betriebssystem: Freie Alternativen (à Ubuntu, Linux Mint, ) Dienst nicht mehr interessant? Account löschen gibt Hilfestellung 21 Schutzmaßnahmen à Was man noch selbst tun kann Sehr wichtig: Sich selbst informieren oder jemanden fragen Autofahrer sind ebenfalls stets verpflichtet, sich über Änderungen von Regeln im Straßenverkehr zu informieren Internet-Kompetenz ist in einer digitalen Welt nicht nur sehr hilfreich, sondern heute notwendig Sicherheitskataloge bieten viele Informationen rund um die Sicherheit im Netz: Der eigene Verstand ist der wirksamste Schutz Sicherheitssoftware kann (und soll auch nicht) den Benutzer vor sich selbst schützen 22 11

12 Das Einmaleins für jeden Internetnutzer à Tipps und Tricks für das digitale Leben 23 Möglichkeiten des es à Maßnahmen und Grenzen Fazit: Selbstschutz ist in begrenztem Maße möglich, aber auch sehr aufwändig Prof. Dr. (TU NN) Norbert Pohlmann Institut für Internet-Sicherheit if(is) Westfälische Hochschule, Gelsenkirchen 12