Wiederholung: XML-Grundlagen

Save this PDF as:
 WORD  PNG  TXT  JPG

Größe: px
Ab Seite anzeigen:

Download "Wiederholung: XML-Grundlagen"

Transkript

1 IT-Sicherheit: XML-Sicherheit, Sicherheitskriterien Wiederholung: XML-Grundlagen! extensible Markup Language! XML 1.0 (3. Ausgabe, sowie XML 1.1), W3C Recommendation, Feb 2004! Meta-Language; entwickelt als Teilmenge von SGML! Elemente und Attribute! XML Namespaces! Gruppierung von Namen, identifiziert über URI-Referenzen, die in XML- Dokumenten als Elementtypen und Attributnamen genutzt werden.! XML Schema! Definiert die Struktur, den Inhalt [und ein bißchen Semantik] von XML- Dokumenten einer bestimmten XML-Anwendung! Vgl. Document Type Definition (DTD)! extensible Stylesheet Language (XSL)! Empfehlungen für die Transformation und Darstellung von XML- Dokumenten (inkl. XSLT und XPath) 2

2 XML-Sicherheit! XML wird z.b. ausgiebig im Bereich der Web Services genutzt:! Auf der Web Service-Technologie beruhende Anwendungen tauschen XML-Nachrichten mittels eines Standardprotokolls, SOAP (Simple Object Application Protocol), aus! Sicherung durch SSL/TLS bzw. durch IPsec nicht ausreichend:! U.U. keine Ende-zu-Ende-Sicherheit! Keine digitalen Signaturen! Sicherheit des Kanals, aber keine Sicherheit der Nachrichten! Sichereitsmechanismen für XML erforderlich! Sicherheit auf der Anwendungsebene 3 XMLSec-Dokumente! XML-Signature Syntax and Processing (auch RFC 3275): XML Encryption Syntax and Processing: XML Key Management Specification (XKMS 2.0): 4

3 XML Signatures: Motivation (1)! Bislang: Signieren einer Nachricht M.! Auf der Anwendungsebene Signieren von Dokumenten (und nicht von Nachrichten)! Dokumente haben eine interne Struktur! Baumstruktur von XML-Dokumenten! Dokumente können auf verschiedene Arten dargestellt werden! <a foo = 'yes' boo = "no" /> ist äquivalent zu <a boo = "no" foo = "yes"></a> 5 XML Signatures: Motivation (2)! Teile eines Dokumentes können sich ändern, d.h. es muss genau festgelegt werden, welche Teile signiert werden sollen! Was ist bei der Verifikation der digitalen Signatur zu tun, wenn nur Teile des Dokumentes signiert sind?! Bei der Berechnung einer digitalen Signatur werden viele verschiedene Schritte benötigt! Es muss genau festgelegt werden, welche Algorithmen für die Signierung verwendet werden (dürfen)! XML Signatures behandelt diese Aspekte 6

4 XML Signatures! XML Signatures werden auf digitale Inhalte (sog. Data Objects) über eine Indirektion (URI) angewendet:! Es wird ein Message Digest von den zu signierenden Data Objects gebildet,! das Ergebnis wird (mit Zusatzinformationen) in einem Element abgelegt,! von diesem Element wird wiederum der MD gebildet, der dann (kryptographisch) signiert wird.! Kryptographische Sicherung der Integrität der Zusatzinformationen wie z.b. die anzuwendende Hashfunktion und der Algorithmus zur Signaturbildung 7 Verschiedene Formen der Signatur! Enveloped Signatures:! Die Signatur ist in dem Data Object enthalten! Data Object ist der Vater! Enveloping Signatures:! Data Object ist Teil des Signatur-Elementes; das Signatur-Element ist der Vater! Das Data Object muss dann über einen URI referenziert werden (s. Syntax)! Detached Signatures:! Signatur ist getrennt von dem Data Object! Entweder externes Data Object! oder das Data Object und die Signatur sind Geschwisterknoten innerhalb des XML- Dokumentes! Ein Dokument kann auch mehr als eine Signatur enthalten. 8

5 Überblick über die Syntax von XML Signtures <Signature ID?> <SignedInfo> <CanonicalizationMethod/> <SignatureMethod/> (<Reference URI? > (<Transforms>)? <DigestMethod> <DigestValue> </Reference>)+ </SignedInfo> <SignatureValue> (<KeyInfo>)? (<Object ID?>)* </Signature> 9 Grundlegende Elemente! Eine Digitale Signatur wird in einem <Signature>- Element gespeichert. Dieses enthält im Wesentlichen drei Elemente: 1. <SignedInfo>: Informationen über die Signatur wie z.b. den Signatur-Algorithmus, einen URI auf die zu signierenden Daten 2. <SignatureValue>: enthält die digitale Signatur 3. <KeyInfo>: enthält u.a.! den öffentlichen Schlüssel zur Verifikation der Signatur! evtl. die benötigten Zertifikate (X.509- oder auch PGP-Zertifikate)! Weitere Elemente s. Beispiel auf der folgenden Folie 10

6 Ein Beispiel: Detached Signature <Signature Id="MyFirstSignature" xmlns="http://www.w3.org/2000/09/xmldsig#"> <SignedInfo> <CanonicalizationMethod Algorithm="http://www.w3.org/TR/2001/REC-xml-c14n "/> <SignatureMethod Algorithm="http://www.w3.org/2000/09/xmldsig#dsa-sha1"/> <Reference URI="http://www.w3.org/TR/2000/REC-xhtml /"> <Transforms> <Transform Algorithm="http://www.w3.org/TR/2001/REC-xml-c14n "/> </Transforms> <DigestMethod Algorithm="http://www.w3.org/2000/09/xmldsig#sha1"/> <DigestValue>j6lwx3rvEPO0vKtMup4NbeVu8nk=</DigestValue> </Reference> </SignedInfo> <SignatureValue>MC0CFFrVLtRlk=...</SignatureValue> <KeyInfo> <KeyValue> <DSAKeyValue> <P>...</P><Q>...</Q><G>...</G><Y>...</Y> </DSAKeyValue> </KeyValue> </KeyInfo> </Signature> 11 Referenzen, Transformation Kanonisierung! Referenzen (references):! Optionales URI-Attribut des <Reference>-Elementes verweist auf die zu signierenden Daten (Data Object)! Legt eine Message Digest-Methode fest und enthält den MD des zu signierenden Data Objects! Transformation:! Beispiele: XPath, XSLT des XML-Dokumentes möglich! Kanonisierung (canonicalization):! Spezielle Form der Transformation! Erzeugung einer Normalform des XML-Dokumentes! Verschiedene Algorithmen werden unterstützt 12

7 Ein XML-Dokument... <!DOCTYPE doc [<!ATTLIST e9 attr CDATA "default">]> <doc>!!!<e1!!!/>!!!<e2!!!></e2>!!!<e3!!!name = "elem3"!!!id="elem3"!!!/>!!!<e4!!!name="elem4"!!!id="elem4"!!!></e4>!!!<e5 a:attr="out" b:attr="sorted" attr2="all" attr="i'm"!!!!! xmlns:b="http://www.ietf.org"!!!!! xmlns:a="http://www.w3.org"!!!!! xmlns="http://example.org"/>!!!<e6 xmlns="" xmlns:a="http://www.w3.org">!!!!!!<e7 xmlns="http://www.ietf.org">!!!!!!!!!<e8 xmlns="" xmlns:a="http://www.w3.org">!!!!!!!!!!!!<e9 xmlns="" xmlns:a="http://www.ietf.org"/>!!!!!!!!!</e8>!!!!!!</e7>!!!</e6> </doc> und eine kanonische Darstellung <doc>!!!<e1></e1>!!!<e2></e2>!!!<e3 id="elem3" name="elem3"></e3>!!!<e4 id="elem4" name="elem4"></e4>!!!<e5 xmlns="http://example.org" xmlns:a="http://www.w3.org" xmlns:b="http://www.ietf.org" attr="i'm" attr2="all" b:attr="sorted" a:attr="out"></e5>!!!<e6 xmlns:a="http://www.w3.org">!!!!!!<e7 xmlns="http://www.ietf.org">!!!!!!!!!<e8 xmlns="">!!!!!!!!!!!!<e9 xmlns:a="http://www.ietf.org" attr="default"></e9>!!!!!!!!!</e8>!!!!!!</e7>!!!</e6> </doc> 14

8 Algorithmen (1)! Digest! Required SHA1 Encoding! Required base64 MAC! Required HMAC-SHA1 Signature! Required DSAwithSHA1 (DSS) Recommended RSAwithSHA1 15 Algorithmen (2)! Canonicalization! Required Canonical XML (without Comments) Recommended Canonical XML with Comments Transform! Optional XSLT Recommended XPath Required Enveloped Signature 16

9 XML Encryption! Verschlüsselung von XML-Dokumenten:! Verschlüsselung des gesamten Dokumentes! Verschlüsselung eines XML-Elementes! Verschlüsselung nur des Inhaltes eines XML-Elementes! Unterschiedliche Teile des Dokumentes können mit unterschiedlichen Schlüsseln verschlüsselt werden! Ähnliche Elemente wie bei XML Signature! Vaterelement: <EncryptedData>! Verschlüsselte Information wird durch dieses Element ersetzt! Kindelemente: folgende Folie 17 Grundlegende Elemente! <EncryptionMethod>! Gibt das Verfahren an, mit welchem die Daten verschlüsselt werden! Beispiele für unterstützte symmetrische Verschlüsselungsverfahren:! 3DES, AES (128-, 192-, 256-Bit CBC),! Stromchiffren werden auch unterstützt, aber es werden keine speziellen Stromchiffren spezifiziert! <CipherData> enthält <CipherValue>-Element: enthält die verschlüsselten Daten! Beispiel: übernächste Folie 18

10 Überblick über die Elemente von XML Encryption <EncryptedData Id? Type? MimeType? Encoding?> <EncryptionMethod/>? <ds:keyinfo> <EncryptedKey>? <AgreementMethod>? <ds:keyname>? <ds:retrievalmethod>? <ds:*>? </ds:keyinfo>? <CipherData> <CipherValue>? <CipherReference URI?>? </CipherData> <EncryptionProperties>? </EncryptedData> 19 Beispiel: XML Encryption <EncryptedData Id='ED' xmlns='http://www.w3.org/2001/04/xmlenc#'> <EncryptionMethod Algorithm='http://www.w3.org/2001/04/xmlenc#aes128-cbc'/> <ds:keyinfo xmlns:ds='http://www.w3.org/2000/09/xmldsig#'> <ds:retrievalmethod URI='#EK' Type="http://www.w3.org/2001/04/xmlenc#EncryptedKey"/> <ds:keyname>sally Doe</ds:KeyName> </ds:keyinfo> <CipherData><CipherValue>DEADBEEF</CipherValue></CipherData> </EncryptedData> 20

11 Key Transport! Wird für den Schlüsselaustausch benötigt! <EncryptedKey>-Element! Enthält den symmetrischen Schlüssel, mit einem Public-Key- Verfahren verschlüsselt! Algorithmen (s. auch RFC 2437)! RSA v1.5 Key Transport Algorithmus in Verbindung mit 3DES! RSA v2 Key Transport Algorithmus in Verbindung mit AES! RSAES-OAEP-ENCRYPT Algorithmus für AES und 3DES! Schlüsselvereinbarung nach Diffie-Hellman auch möglich:! <OriginatorKeyInfo>- und <RecipientKeyInfo>-Elemente 21 Sicherheitskriterien, Sicherheitsmanagement

12 Sicherheitskriterien, Sicherheitsmanagement! Bislang in der Vorlesung: Behandlung technischer Themen! Zugriffskontrolle! Firewalls! Krypto! Sicherheitsprotokolle auf verschiedenen Ebenen!...! Die schwierigen Fragen wurden noch gar nicht behandelt:! Wie konstruiere ich ein sicheres System?! Woher bekomme ich die Sicherheitsanforderungen für mein IT-System?! Wie etabliere ich einen systematischen und nachhaltigen Sicherheitsprozess (Sicherheitsmanagement)?! Wie erkenne ich, ob ein IT-Produkt bestimmte Sicherheitsanforderungen erfüllt und bestimmten Qualitätskriterien genügt? 23 Motivation: Sicherheitskriterien! Viele IT-Systeme müssen bestimmte Sicherheitsziele erfüllen:! Betriebssysteme, Anwendungen, Datenbanken, Smartcards,...! Frage: Wie kann man die Sicherheit solcher Systeme bewerten (evaluieren)?! Allgemeine Anerkennung der Evaluationsergebnisse! Möglichkeit des Vergleiches von IT-Systemen mit ähnlicher Funktionalität! Einführung einer Evaluationsmethodik 24

13 Kriterienkataloge! TCSEC (Trusted Computer Evaluation Criteria, 1980)! ITSEC (Information Technology Security Evaluation Criteria, Europa, 1991)! CTCPEC (Canadian Trusted Computer Product Evaluation Criteria, 1993)! CC (Common Criteria, 1996; V2.1 vom April 1999) 25 Trusted Computer Evaluation Criteria TCSEC! US National Computer Security Center (Teil der NSA), 1980! Auch Orange Book genannt! Älteste Kriterien zur Bewertung der Sicherheit von IT-Systemen! Sieben Hierarchiestufen zur Sicherheitsstufen zur Klassifikation eines IT-Systems! Vier Hauptstufen A bis D! fünf Unterstufen (C1, C2, B1, B2, B3)! Niedrigste Stufe ist D 26

14 Die Hierarchiestufen von TCSEC (1)! Stufe D: Minimaler Schutz (Im Grunde gar keine Aussage über Schutz)! Stufe C1: Benutzerbestimmbare Zugriffskontrolle (DAC) für Gruppen:! Benutzer können Rechte nur grobgranular an Gruppen vergeben! Beispiel: gängige Unix-Systeme! Stufe C2: Benutzerbestimmbare Zugriffskontrolle (DAC) für einzelne Benutzer und Audit! Benutzer können Rechte auch an einzelne Benutzer vergeben! Mitprotokollieren der Aktionen einzelner Nutzer! Schutz der Audit- und Authentisierungsinformationen! Beispiel: Windows NT (ohne Netzanbindung!), RACF-OS von IBM, div. speziell für C2 umgerüstete Unix-Varianten 27 Die Hierarchiestufen von TCSEC (2)! Stufe B1: systembasierte Zugriffskontrolle (MAC)! Wie C2, aber zusätzlich Einführung von Sicherheitsmarkierungen (vgl. Bell-LaPadula-Modell)! Stufe B2: Strukturierter Schutz:! Wie B1, u.a. zusätzlich! formales Sicherheitsmodell (security model)! Die Trusted Computing Base (TCB) muss strukturiert sein: Trusted Computing Base = die Komponenten eines IT-Systems, die korrekt arbeiten müssen, damit die Security Policy nicht verletzt wird! Analyse von verdeckten Kanälen! Strikte Tests müssen durchgeführt werden 28

15 Die Hierarchiestufen von TCSEC (3)! Stufe B3: Security Domains! Wie B2, aber TCB muss minimal, ausführlich getestet und gegen unbefugte Zugriffe geschützt sein;! Echtzeit-Monitoring und Mechanismen zur Benachrichtigung! Stufe A: Verifiziertes Design! Keine funktionalen Erweiterungen von B3, aber es wird ein formaler Nachweis gefordert, dass die TCB-Spezifikation und das zugrunde liegende Sicherheitsmodell äquivalent sind! Beispiel: MLS LAN Version 2.1 der Firma Boeing 29 Bewertung: TCSEC! Nur auf Betriebssysteme beschränkt! Betonung von Bell-LaPadula-Policies, Vernachlässigung anderer Schutzziele wie der Integrität und der Verfügbarkeit! Nur auf USA beschränkt! Keine Trennung von Sicherheitsfunktionalität und der Qualität, mit der die Sicherheitsfunktionen erbracht werden 30

16 ITSEC! Europäische Kriterien (Großbritannien, Frankreich, Deutschland, Niederlande), 1991! Einführung von Funktionalitätsklassen F! teilweise Orientierung an den Stufen des Orange Books (F-C1, F-B3,...)! Einführung weiterer Funktionsklasse: Bspw. F-IN besondere Anforderungen an die Integrität! Sieben verschiedene Evaluationsstufen E0,..., E6 (Qualitätsstufen)! E0: Einstiegsstufe,! E6: formale Spezifikation der Sicherheitsanforderungen! Weitere Neuerung: Der Produkthersteller muss die Kosten für Zertifizierung übernehmen.! Gegenseitige Anerkennung der Zertifizierungsergebnisse in europäischen Staaten, bis auf Stufe E6 31 Die Common Criteria! Common Criteria V1.0, 1996! Aktuelle Version:! Common Criteria V2.2, Januar 2004: Keine funktionalen Änderungen im Vergleich zu V 2.1! Zusammenführung von CTCPEC, TCSEC und ITSEC! Im Wesentlichen Orientierung an ITSEC! Weltweit einheitlicher Kriterienkatalog! unter Beteiligung von Deutschland, Frankreich, Großbritannien, Kanada, den Niederlanden und den USA! Internationaler Standard: ISO/IEC (CC V 2.1) 32

17 Zusammenhang mit ITSEC! Orientiert sich an den ITSEC-Kriterien; Weiterentwicklung von ITSEC! Trennung von Sicherheitsfunktionalität und Qualitätskriterien! CC-Evaluierung wird von national akkreditierten Prüfstellen (commercial licensed evaluation facility, CLEFF) durchgeführt! derzeit 13 Prüfstellen in Deutschland (z.b. TÜV Nord SysTec GmbH & Co. KG, T-Systems GEI GmbH, datenschutz nord GmbH)! Prüfstellen werden in Deutschland vom BSI lizenziert! Akkreditierung in den USA von der NSA und dem NIST! Die Kosten der Zertifizierung werden wieder vom Produkthersteller übernommen 33 Struktur der CC-Dokumente! Dokumente (auch in Deutsch) zugreifbar unter Drei Teile:! Teil 1: Einführung in die CC und allgemeines Modell! Glossar, Grundlagen der Evaluation, Schutzprofile, Sicherheitsvorgaben! Verständliche Einführung; diese Folien beruhen auf diesem Material! Teil 2: Funktionale Sicherheitsanforderungen! Kataloge von Empfehlungen für Sicherheitsanforderungen! Teil 3: Anforderungen an die Vertrauenswürdigkeit (assurance) 34

18 Funktionale Sicherheitsanforderungen (1) Teil 2 der CC:! Sicherheitsprotokollierung (FAU)! Kommunikation (FCO)! Kryptographische Unterstützung (FCS)! Schutz der Benutzerdaten (FDP)! Identifikation und Authentisierung (FIA)! Sicherheitsmanagement (FMT)! Privatheit (FPR)! Schutz der EVG-Sicherheitsfunktionen (FPT)! Betriebsmittelnutzung (FRU)! EVG-Zugriff (FTA)! Vertrauenswürdiger Pfad/Kanal (FTP) 35 Funktionale Sicherheitsanforderungen (2) Funktionale Sicherheitsanforderungen an einen Evaluationsgegenstand (Auszug)! Klasse FCS Kryptographische Unterstützung! FCS_COP.1 Kyptographischer Betrieb ( Hashen )! FCS_COP müssen Hashfunktion gemäß SHA-1 oder RIPEMD-160 durchführen...! FCS_COP.2 Kyptographischer Betrieb ( Verifizieren )! FCS_COP müssen Verifikationsalgorithmus gemäß RSA (1024 Bit) durchführen...! FCS_STA.1 Statusprüfung von Zertifikaten! FCS_STA.1.1 Die TSF müssen die Gültigkeit eines Zertifikats zuverlässig feststellen. 36

19 Teil 3 der CC: Vertrauenswürdigkeitsanforderungen! Konfigurationsmanagement (ACM)! Auslieferung und Betrieb (ADO)! Entwicklung (ADV)! Handbücher (AGD)! Lebenszyklus-Unterstützung (ALC)! Testen (ATE)! Schwachstellenbewertung (AVA)! Erhaltung der Vertrauenswürdigkeit (AMA)! Prüfung und Bewertung des Schutzprofiles (APE)! Prüfung und Bewertung der Sicherheitsvorgabe (ASE) 37 Vertrauenswürdigkeitsstufen (1)! Vertrauenswürdigkeitsstufen (Evaluation Assurance Level, EAL)! EAL1: funktionell getestet! EAL2: strukturell getestet! EAL3: methodisch getestet und überprüft! EAL4: methodisch entwickelt, getestet und durchgesehen! EAL5: semiformal entworfen und getestet! EAL6: semiformal verifizierter Entwurf und getestet! EAL7: formal verifizierter Entwurf und getestet 38

20 Vertrauenswürdigkeitsstufen (2)! EALs sind Sammlungen von Vertrauenswürdigkeitsanforderungen aus Teil 3 der CC (s. auch nächste Folie)! EALs entsprechen im Wesentlichen den Evaluationsstufen von ITSEC:! EAL2 entspricht E1,..., EAL 7 entspricht E6! EAL1 wurde neu eingeführt. 39 < ATE_DPT 3: Testtiefe 3 (höchster Detaillierungsgrad beim Testen) 40

21 Schutzprofile (1)! Ein Schutzprofil (protection profile) besteht u.a. aus! einer Sammlung von Sicherheitsanforderungen (die evtl. auch schon in den CC vordefiniert sein können, s.o.)! Bedrohungen! Sicherheitsziele (security objectives)! Einer Erklärung (rationale), die u.a. nachweist, dass die Sicherheitsziele und Bedrohungen einander entsprechen! Evtl. einer EAL 41 Schutzprofile (2)! Darstellung in einer implementierungsunabhängigen Form! Ein Schutzprofil steht für eine Klasse von Produkten! Beispiele:! Firewalls (Paketfilter/Application Gateways)! Rollenbasierte Zugriffskontrolle! Krankenhausinformationssysteme! Smartcards! JavaCard (s. Beispielausdruck)! Weitere Profile siehe 42

22 43 Sicherheitsvorgaben! Sicherheitsvorgabe (security target): eine Menge von Sicherheitsanforderungen und Sicherheitsspezifikationen, die als Grundlage für die Prüfung und Bewertung eines angegebenen Evaluationsgegenstands dienen. Evaluationsgegenstand (target of evaluation, TOE): ein IT-Produkt oder -system, das Gegenstand einer Prüfung ist! Eine Sicherheitsvorgabe (security target) kann eine Verfeinerung (Erweiterung) eines Schutzprofiles sein.! Es gibt aber auch Sicherheitsvorgaben, die nicht auf einem Schutzprofil beruhen.! Implementierungsabhängig /herstellerabhängig! Für jedes TOE muss eine Sicherheitsvorgabe existieren! Gegen diese Sicherheitsvorgabe wird evaluiert. 44

23 45 Vorgehensweise! Standardvorgehensweise 1. Schutzprofil erstellen (falls ein solches noch nicht existiert) 2. Schutzprofil auf Vollständigkeit, Konsistenz und Korrektheit hin evaluieren 3. Sicherheitsvorgabe erstellen 4. Ggf. überprüfen, dass die Sicherheitsvorgabe eine korrekte Verfeinerung eines Schutzprofiles ist 5. TOE gegen die Sicherheitsvorgabe evaluieren 46

24 Zertifizierte Produkte! Unter orderindex=4&showcatagories=-1 findet man eine Liste mit zertifizierten Produkten.! Es gibt zertifizierte Produkte mit der Evaluationsstufe EAL 5+, z.b.:! Infineon Smart Card IC (Security Controller) SLE66CX322P with RSA 2048/m1484 a24/ m1484a27 and m1484b14! GemXplore Xpresso V3 Java Card Platform Embedded Software V3 (Core)! Weltweite Anerkennung nur bis EAL

25 Abschließende Bemerkungen & Bewertung (1)! Vorteile der CC:! Weltweit anerkannter Kriterienkatalog! Anwendbar auf verschiedene Klassen von Produkten (nicht nur auf Betriebssysteme)! Viele Produkte sind bereits zertifiziert worden.! Sicherheitsvorgabe/Schutzprofil nützliche Hilfsmittel zur Entwicklung eines sicheren Systems! Unternehmen können Zertifikate als Wettbewerbsvorteil nutzen: z.b.: Ausschreibungen bzgl. Gesundheits- und Bürgerkarte 49 Abschließende Bemerkungen & Bewertung (2)! Nachteile/Probleme der CC:! CC enthalten keine Evaluationsmethodik (Wie wird von den Prüfstellen evaluiert?).! Aber: zusätzliche Einführung der Common Evaluation Methodology (CEM)! Aufwendiger und teurer Prozess! Nicht jede Prüfstelle ist für jedes Produkt kompetent.! Abhängigkeit der Prüfstellen von den (nationalen) Behörden: Es wird so zertifiziert, wie es offiziell gewünscht wird.! Teilweise werden bekannte Sicherheitsprobleme ignoriert:! Beispiel: Schutzprofil für Krankenhausinformationssysteme setzt voraus, dass alle internen Benutzer wirklich ehrlich sind! 50

26 Nächste Termine Mo, Uhr: Vertiefung XML-Sicherheit, CC Do, Uhr: Sicherheitsmanagement (BSI-GSHB, BS 7799, Bedrohungs- und Risikoanalyse) Übungsblatt 11 bald auf Stud.IP, s.: https://elearning.uni-bremen.de 51

IT Sicherheit: Bewertungskriterien

IT Sicherheit: Bewertungskriterien Dr. Christian Rathgeb IT-Sicherheit, Kapitel 8 / 18.12.2014 1/27 IT Sicherheit: Bewertungskriterien Dr. Christian Rathgeb Hochschule Darmstadt, CASED, da/sec Security Group 18.12.2014 Dr. Christian Rathgeb

Mehr

XML Signature (DSig) Einführung, Anwendungsbeispiele und Ausblick. heiko@vegan-welt.de GPN4: 22.05.2005

XML Signature (DSig) Einführung, Anwendungsbeispiele und Ausblick. heiko@vegan-welt.de GPN4: 22.05.2005 XML Signature (DSig) Einführung, Anwendungsbeispiele und Ausblick GPN4: 22.05.2005 Übersicht Wofür Signaturen? Wieso ein weiteres Signaturverfahren? Grundlagen Signatur-Typen Juristische Aspekte von Signaturen

Mehr

IT Sicherheit: Bewertungskriterien

IT Sicherheit: Bewertungskriterien Dr. Christian Rathgeb IT-Sicherheit, Kapitel 7 / 02.12.2015 1/28 IT Sicherheit: Bewertungskriterien Dr. Christian Rathgeb Hochschule Darmstadt, CASED, da/sec Security Group 02.12.2015 Dr. Christian Rathgeb

Mehr

Sicherheitsaspekte von Web Services. Hauptseminar Rechnernetze

Sicherheitsaspekte von Web Services. Hauptseminar Rechnernetze Sicherheitsaspekte von Web Services Hauptseminar Rechnernetze Stefan Hennig sh790883@inf.tu-dresden.de 21. Januar 2005 Gliederung Einführung Überblick Sicherheit auf Netzwerk- und Transportebene XML-Sicherheit

Mehr

Web Service Security

Web Service Security Informatik Masterstudiengang SS 2005 Anwendungen I Web Service Security Thies Rubarth Übersicht Einleitung Secure Socket Layer XML Encryption & XML Signature WS-* WS-Security WS-Policy WS-Trust Angebot

Mehr

Bewertung der Einsatzmöglichkeiten von XML Sicherheitslösungen in mobilen Kommunikationsumgebungen. Fabian Pretsch

Bewertung der Einsatzmöglichkeiten von XML Sicherheitslösungen in mobilen Kommunikationsumgebungen. Fabian Pretsch Bewertung der Einsatzmöglichkeiten von XML Sicherheitslösungen in mobilen Kommunikationsumgebungen Fabian Pretsch Ziel Implementierung von XML Encryption/Signature in Java Testen der Implementierung auf

Mehr

Bewertung der Einsatzmöglichkeiten von XML Sicherheitslösungen in mobilen Kommunikationsumgebungen. Ziel SSL/TLS. XML Signature/Encryption

Bewertung der Einsatzmöglichkeiten von XML Sicherheitslösungen in mobilen Kommunikationsumgebungen. Ziel SSL/TLS. XML Signature/Encryption Bewertung der Einsatzmöglichkeiten von XML Sicherheitslösungen in mobilen Kommunikationsumgebungen Fabian Pretsch Ziel Implementierung von XML Encryption/Signature in Java Testen der Implementierung auf

Mehr

Sicherheit in Web Services. Seminar Service-orientierte Software Architekturen Melanie Storm

Sicherheit in Web Services. Seminar Service-orientierte Software Architekturen Melanie Storm Sicherheit in Web Services Seminar Service-orientierte Software Architekturen Melanie Storm Agenda Motivation Fallbeispiel WS-Security XML Encryption XML Signature WS-Policy WS-SecurityPolicy WS-Trust

Mehr

Geschäftsführer, OPTIMAbit GmbH. OPTIMA Business Information Technology GmbH ist eine Beratungsfirma, spezialisiert auf

Geschäftsführer, OPTIMAbit GmbH. OPTIMA Business Information Technology GmbH ist eine Beratungsfirma, spezialisiert auf SOA Security Dr. Bruce Sams Geschäftsführer, OPTIMAbit GmbH Über OPTIMA OPTIMA Business Information Technology GmbH ist eine Beratungsfirma, spezialisiert auf Sicherheit für Anwendungen und Infrastrukturen

Mehr

Konrad Lanz. XML-Signaturen und sichere, verteilte Anwendungen

Konrad Lanz. XML-Signaturen und sichere, verteilte Anwendungen Konrad Lanz XML-Signaturen und sichere, verteilte Anwendungen IAIK Institute for Applied Information Processing and Communications Technische Universität Graz Diplomarbeit: Digital Signature Services OASIS-DSS

Mehr

XML Encryption and Signature

XML Encryption and Signature XML Encryption and Signature Hauptseminar Datenbanken und XML Markus Hinkelmann 08. Januar 2002 Inhaltsverzeichnis 1 Motivation 2 2 Verschlüsselung in XML 2 2.1 Szenario..........................................

Mehr

Digitale Signaturen und Voting Systeme

Digitale Signaturen und Voting Systeme Digitale Signaturen und Voting Systeme Seminar: Semantik Web Marcus Wagner Seminarleiter: Dr. Harald Sack 24.02.2006 Gliederung 1 Motivation 2 XML-Verschlüsselung Algorithmen Einbettung Syntax Vorgehensweise

Mehr

On breaking SAML. Be Whoever You Want to Be. von David Foerster

On breaking SAML. Be Whoever You Want to Be. von David Foerster On breaking SAML Be Whoever You Want to Be von David Foerster Gliederung Übersicht & Motivation XML Signature Wrapping Attacks Vorstellung Gegenmaßnahmen Zusammenfassung 2 Übersicht & Motivation SAML Übersicht

Mehr

Sicherheitstechnische Qualifizierung (SQ), Version 10.0 Security Assurance Level SEAL-3

Sicherheitstechnische Qualifizierung (SQ), Version 10.0 Security Assurance Level SEAL-3 Die Zertifizierungsstelle der TÜV Informationstechnik GmbH bescheinigt hiermit dem Unternehmen Agfa HealthCare GmbH Konrad-Zuse-Platz 1-3 53227 Bonn für das IT-System IMPAX/web.Access die Erfüllung aller

Mehr

ETSI TS 102 042: Electronic Signatures and Infrastructures (ESI): Policy

ETSI TS 102 042: Electronic Signatures and Infrastructures (ESI): Policy Abkürzungen AIS BGBl BNetzA BSI CC CEM DAR DATech DIN EAL ETR ETSI EVG ISO IT ITSEC ITSEF ITSEM JIL PP SF SigG SigV SOF ST TSF ZDA Anwendungshinweise und Interpretationen zum Schema (des BSI) Bundesgesetzblatt

Mehr

TLS ALS BEISPIEL FÜR EIN SICHERHEITSPROTOKOLL

TLS ALS BEISPIEL FÜR EIN SICHERHEITSPROTOKOLL 1 TLS ALS BEISPIEL FÜR EIN SICHERHEITSPROTOKOLL Kleine Auswahl bekannter Sicherheitsprotokolle X.509 Zertifikate / PKIX Standardisierte, häufig verwendete Datenstruktur zur Bindung von kryptographischen

Mehr

XML-Sicherheitsmechanismen für den Datentransfer in GBIF

XML-Sicherheitsmechanismen für den Datentransfer in GBIF XML-Sicherheitsmechanismen für den Datentransfer in GBIF Ekaterina Langer Lutz Suhrbier Prof. Dr.-Ing. Robert Tolksdorf Freie Universität Berlin Institut für Informatik Netzbasierte Informationssysteme

Mehr

Kriterienkatalog und Vorgehensweise für Bestätigungen und Konformitätsnachweise gemäß Signaturgesetz. datenschutz cert GmbH Version 1.

Kriterienkatalog und Vorgehensweise für Bestätigungen und Konformitätsnachweise gemäß Signaturgesetz. datenschutz cert GmbH Version 1. Kriterienkatalog und Vorgehensweise für Bestätigungen und Konformitätsnachweise gemäß Signaturgesetz (SigG) datenschutz cert GmbH Version Inhaltsverzeichnis Kriterienkatalog und Vorgehensweise für Bestätigungen

Mehr

XML-Sicherheitsdienste für das Netzwerk der Global Biodiversity Information Facility GBIF

XML-Sicherheitsdienste für das Netzwerk der Global Biodiversity Information Facility GBIF XML-Sicherheitsdienste für das Netzwerk der Global Biodiversity Information Facility GBIF Dipl.-Inf. Lutz Suhrbier Prof. Dr.-Ing. Robert Tolksdorf Dipl.-Inf. Ekaterina Langer Freie Universität Berlin Institut

Mehr

Programmiertechnik II

Programmiertechnik II X.509: Eine Einführung X.509 ITU-T-Standard: Information Technology Open Systems Interconnection The Directory: Public Key and attribute certificate frameworks Teil des OSI Directory Service (X.500) parallel

Mehr

Lehrveranstaltungshandbuch IT-Sicherheit

Lehrveranstaltungshandbuch IT-Sicherheit Lehrveranstaltungshandbuch IT-Sicherheit Lehrveranstaltung Befriedigt Modul (MID) Organisation Kompetenznachweis Lehrveranstaltungselemente Vorlesung/Übung Seminar Verantwortlich: Prof.Dr. Knospe Lehrveranstaltung

Mehr

Zertifizierungsreport

Zertifizierungsreport Zertifizierungsreport Bundesamt für Sicherheit in der Informationstechnik BSI-PP-0023-2007 zu Schutzprofil Software zur Verarbeitung von personenbezogenen Bilddaten, Version 2.0 entwickelt im Auftrag des

Mehr

Containerformat Spezifikation

Containerformat Spezifikation Containerformat Spezifikation Version 1.0-09.05.2011 Inhaltsverzeichnis 0 Einführung... 4 0.1 Referenzierte Dokumente... 4 0.2 Abkürzungen... 4 1 Containerformat... 5 1.1 Aufbau des Container-Headers...

Mehr

Wiederholung: Informationssicherheit Ziele

Wiederholung: Informationssicherheit Ziele Wiederholung: Informationssicherheit Ziele Vertraulichkeit : Schutz der Information vor unberechtigtem Zugriff bei Speicherung, Verarbeitung und Übertragung Methode: Verschüsselung symmetrische Verfahren

Mehr

Übergabe DE-CIX Internet Exchange (BSI-IGZ-0059-2010)

Übergabe DE-CIX Internet Exchange (BSI-IGZ-0059-2010) Übergabe DE-CIX Internet Exchange (BSI-IGZ-0059-2010) BSI Überblick Zertifizierung Vorteile Zertifizierung nach ISO 27001 und IT-Grundschutz Prüfstandards des BSI Beispiele neuerer Zertifikate Akkreditierte

Mehr

Sicherheitstechnische Qualifizierung (SQ), Version 9.0

Sicherheitstechnische Qualifizierung (SQ), Version 9.0 Die Zertifizierungsstelle der TÜV Informationstechnik GmbH bescheinigt hiermit dem Unternehmen RWE Effizienz GmbH Freistuhl 7 44137 Dortmund für den Webshop RWE SmartHome Shop die Erfüllung aller Anforderungen

Mehr

Sicherheitstechnische Qualifizierung (SQ), Version 10.0 Security Assurance Level SEAL-3

Sicherheitstechnische Qualifizierung (SQ), Version 10.0 Security Assurance Level SEAL-3 Die Zertifizierungsstelle der TÜV Informationstechnik GmbH bescheinigt hiermit dem Unternehmen Deutsche Telekom AG Products & Innovation T-Online-Allee 1 64295 Darmstadt für das IT-System Developer Garden

Mehr

Sicherheitstechnische Qualifizierung (SQ), Version 10.0 Security Assurance Level SEAL-3

Sicherheitstechnische Qualifizierung (SQ), Version 10.0 Security Assurance Level SEAL-3 Die Zertifizierungsstelle der TÜV Informationstechnik GmbH bescheinigt hiermit dem Unternehmen RWE Effizienz GmbH Flamingoweg 1 44139 Dortmund für das IT-System RWE eoperate IT Services die Erfüllung aller

Mehr

ESecuremail Die einfache Email verschlüsselung

ESecuremail Die einfache Email verschlüsselung Wie Sie derzeit den Medien entnehmen können, erfassen und speichern die Geheimdienste aller Länder Emails ab, egal ob Sie verdächtig sind oder nicht. Die Inhalte von EMails werden dabei an Knotenpunkten

Mehr

Web Service Security Aktuelle Themen der Informatik

Web Service Security Aktuelle Themen der Informatik Aktuelle Themen der Informatik Damian Schlager CN8 Inhalt 1 Einführung...3 1.1 Anforderungen an die Sicherheit...3 1.2 Erweiterung der Sicherheitsanforderungen an XML...3 1.3 Einordnung bisheriger Sicherheitsmechanismen...3

Mehr

Agenda. Agenda. Integritätssicherung in XML- Dokumenten (für mobile Geräte ) Motivation. Einweghashfuntionen. Einwegfunktionen

Agenda. Agenda. Integritätssicherung in XML- Dokumenten (für mobile Geräte ) Motivation. Einweghashfuntionen. Einwegfunktionen Überblick XML Security 08.07.2002 E-Commerce Systeme Integritätssicherung in XML- Dokumenten (für mobile Geräte ) Motivation Ziele der Arbeit Intermedate Modell Vortragender: Robert Baric ECS: Integritätssicherung

Mehr

... MathML XHTML RDF

... MathML XHTML RDF RDF in wissenschaftlichen Bibliotheken (LQI KUXQJLQ;0/ Die extensible Markup Language [XML] ist eine Metasprache für die Definition von Markup Sprachen. Sie unterscheidet sich durch ihre Fähigkeit, Markup

Mehr

Betriebssysteme und Sicherheit

Betriebssysteme und Sicherheit Betriebssysteme und Sicherheit Signatursysteme WS 2013/2014 Dr.-Ing. Elke Franz Elke.Franz@tu-dresden.de 1 Überblick 1 Prinzip digitaler Signatursysteme 2 Vergleich symmetrische / asymmetrische Authentikation

Mehr

IT-Sicherheit. Konzepte-Verfahren - Protokolle von Prof. Dr. Claudia Eckert 6., überarbeitete und erweiterte Auflage. Oldenbourg Verlag München

IT-Sicherheit. Konzepte-Verfahren - Protokolle von Prof. Dr. Claudia Eckert 6., überarbeitete und erweiterte Auflage. Oldenbourg Verlag München IT-Sicherheit Konzepte-Verfahren - Protokolle von Prof. Dr. Claudia Eckert 6., überarbeitete und erweiterte Auflage Oldenbourg Verlag München Inhaltsverzeichnis 1 Einführung 1 1.1 Grundlegende Begriffe

Mehr

Bei falscher Zuordnung: Verlust der Vertraulichkeit. Bei falscher Zuordnung: Verlust der Datenauthentizität

Bei falscher Zuordnung: Verlust der Vertraulichkeit. Bei falscher Zuordnung: Verlust der Datenauthentizität Vorlesung am 12.05.2014 7 Vertrauensmodelle Problem: Zuordnung eines Schlüssels zum Schlüsselinhaber Beispiel 1: Verschlüsselung mit pk, Entschlüsselung mit sk: Bei falscher Zuordnung: Verlust der Vertraulichkeit

Mehr

Einführung in die Common Criteria

Einführung in die Common Criteria Proseminar Entwicklung sicherer Software Wintersemester 2008/2009 Einführung in die Common Criteria von Robert Fels Email: fels@inf.fu-berlin.de Betreuer: Dipl. Medieninf. Martin Gruhn 22. März 2009 Zusammenfassung

Mehr

Sicherheitstechnische Qualifizierung (SQ), Version 10.0 Security Assurance Level SEAL-5

Sicherheitstechnische Qualifizierung (SQ), Version 10.0 Security Assurance Level SEAL-5 Die Zertifizierungsstelle der TÜV Informationstechnik GmbH bescheinigt hiermit dem Unternehmen SLA Software Logistik Artland GmbH Friedrichstraße 30 49610 Quakenbrück für das IT-System Meat Integrity Solution

Mehr

Die Telematikinfrastruktur als sichere Basis im Gesundheitswesen

Die Telematikinfrastruktur als sichere Basis im Gesundheitswesen Die Telematikinfrastruktur als sichere Basis im Gesundheitswesen conhit Kongress 2014 Berlin, 06.Mai 2014 Session 3 Saal 3 Gesundheitsdaten und die NSA Haben Patienten in Deutschland ein Spionageproblem?

Mehr

IT-Sicherheit: Kryptographie. Asymmetrische Kryptographie

IT-Sicherheit: Kryptographie. Asymmetrische Kryptographie IT-Sicherheit: Kryptographie Asymmetrische Kryptographie Fragen zur Übung 5 C oder Java? Ja (gerne auch Python); Tips waren allerdings nur für C Wie ist das mit der nonce? Genau! (Die Erkennung und geeignete

Mehr

Symmetrische und Asymmetrische Kryptographie. Technik Seminar 2012

Symmetrische und Asymmetrische Kryptographie. Technik Seminar 2012 Symmetrische und Asymmetrische Kryptographie Technik Seminar 2012 Inhalt Symmetrische Kryptographie Transpositionchiffre Substitutionchiffre Aktuelle Verfahren zur Verschlüsselung Hash-Funktionen Message

Mehr

Thema: Web Services. Was ist ein Web Service?

Thema: Web Services. Was ist ein Web Service? Willkommen zum Component Ware Seminar Thema: Achim Grimm & Fabian Unterschütz Folie 1 Was ist ein Web Service? Web Services sind selbstbeschreibende, modulare Softwarekomponenten im Internet, die sich

Mehr

Containerformat Spezifikation

Containerformat Spezifikation Containerformat Spezifikation Version 1.1-21.02.2014 Inhaltsverzeichnis 0 Einführung... 4 0.1 Referenzierte Dokumente... 4 0.2 Abkürzungen... 4 1 Containerformat... 5 1.1 Aufbau des Container-Headers...

Mehr

SSL-Protokoll und Internet-Sicherheit

SSL-Protokoll und Internet-Sicherheit SSL-Protokoll und Internet-Sicherheit Christina Bräutigam Universität Dortmund 5. Dezember 2005 Übersicht 1 Einleitung 2 Allgemeines zu SSL 3 Einbindung in TCP/IP 4 SSL 3.0-Sicherheitsschicht über TCP

Mehr

Kryptographie oder Verschlüsselungstechniken

Kryptographie oder Verschlüsselungstechniken Kryptographie oder Verschlüsselungstechniken Dortmund, Dezember 1999 Prof. Dr. Heinz-Michael Winkels, Fachbereich Wirtschaft FH Dortmund Emil-Figge-Str. 44, D44227-Dortmund, TEL.: (0231)755-4966, FAX:

Mehr

IT Sicherheitsstandards

IT Sicherheitsstandards IT Sicherheitsstandards warum, wieso, weshalb? und wenn ja, welche taugen wie für was? Überblick über die Standards: BSI Grundschutz, ISO 7799, Common Criteria und ITIL IT Sicherheitsstandards Inhalt Warum

Mehr

Betriebssysteme und Sicherheit Sicherheit. Signaturen, Zertifikate, Sichere E-Mail

Betriebssysteme und Sicherheit Sicherheit. Signaturen, Zertifikate, Sichere E-Mail Betriebssysteme und Sicherheit Sicherheit Signaturen, Zertifikate, Sichere E-Mail Frage Public-Key Verschlüsselung stellt Vertraulichkeit sicher Kann man auch Integrität und Authentizität mit Public-Key

Mehr

Web Service Security

Web Service Security Hochschule für Angewandte Wissenschaften Hamburg Fachbereich Elektrotechnik und Informatik SS 2005 Masterstudiengang Anwendungen I Kai von Luck Web Service Security Thies Rubarth rubart_t@informatik.haw-hamburg.de

Mehr

Semantic Web Technologien. Security and Trust. Sebastian Henke. Betreuer: Mark Giereth VIS 06

Semantic Web Technologien. Security and Trust. Sebastian Henke. Betreuer: Mark Giereth VIS 06 Semantic Web Technologien Security and Trust Sebastian Henke Betreuer: Mark Giereth Überblick Einführung Security Trust Verschlüsselung Pre-Shared-Key-Verfahren Public-Key-Verfahren Digitale Signatur Funktionsweise

Mehr

Multicast Security Group Key Management Architecture (MSEC GKMArch)

Multicast Security Group Key Management Architecture (MSEC GKMArch) Multicast Security Group Key Management Architecture (MSEC GKMArch) draft-ietf-msec-gkmarch-07.txt Internet Security Tobias Engelbrecht Einführung Bei diversen Internetanwendungen, wie zum Beispiel Telefonkonferenzen

Mehr

Kurze Einführung in kryptographische Grundlagen.

Kurze Einführung in kryptographische Grundlagen. Kurze Einführung in kryptographische Grundlagen. Was ist eigentlich AES,RSA,DH,ELG,DSA,DSS,ECB,CBC Benjamin.Kellermann@gmx.de GPG-Fingerprint: D19E 04A8 8895 020A 8DF6 0092 3501 1A32 491A 3D9C git clone

Mehr

Secure Socket Layer V.3.0

Secure Socket Layer V.3.0 Konzepte von Betriebssystem-Komponenten Schwerpunkt Internetsicherheit Secure Socket Layer V.3.0 (SSLv3) Zheng Yao 05.07.2004 1 Überblick 1.Was ist SSL? Bestandteile von SSL-Protokoll, Verbindungherstellung

Mehr

10.6 Authentizität. Geheimhaltung: nur der Empfänger kann die Nachricht lesen

10.6 Authentizität. Geheimhaltung: nur der Empfänger kann die Nachricht lesen 10.6 Authentizität Zur Erinnerung: Geheimhaltung: nur der Empfänger kann die Nachricht lesen Integrität: Nachricht erreicht den Empfänger so, wie sie abgeschickt wurde Authentizität: es ist sichergestellt,

Mehr

Bestätigung. TÜV Informationstechnik GmbH - ein Unternehmen der RWTÜV-Gruppe - Zertifizierungsstelle Langemarckstraße 20 45141 Essen

Bestätigung. TÜV Informationstechnik GmbH - ein Unternehmen der RWTÜV-Gruppe - Zertifizierungsstelle Langemarckstraße 20 45141 Essen Bestätigung von Produkten für qualifizierte elektronische Signaturen gemäß 15 Abs. 7 und 17 Abs. 4 Gesetz über Rahmenbedingungen für elektronische Signaturen und 11 Abs. 3 Verordnung zur elektronischen

Mehr

Digitale Unterschriften Grundlagen der digitalen Unterschriften Hash-Then-Sign Unterschriften Public-Key Infrastrukturen (PKI) Digitale Signaturen

Digitale Unterschriften Grundlagen der digitalen Unterschriften Hash-Then-Sign Unterschriften Public-Key Infrastrukturen (PKI) Digitale Signaturen Sommersemester 2008 Digitale Unterschriften Unterschrift von Hand : Physikalische Verbindung mit dem unterschriebenen Dokument (beides steht auf dem gleichen Blatt). Fälschen erfordert einiges Geschick

Mehr

XML Clearinghouse Report 2

XML Clearinghouse Report 2 XML Clearinghouse Report 2 XML Security Standards Herausgeber: Prof. Dr.-Ing. Robert Tolksdorf Freie Universität Berlin Institut für Informatik Netzbasierte Informationssysteme Dr. Rainer Eckstein Humboldt-Universität

Mehr

Kryptographie im Bereich Embedded Systems

Kryptographie im Bereich Embedded Systems Kryptographie im Bereich Embedded Systems Thomas Zeggel cv cryptovision GmbH thomas.zeggel@cryptovision.com 2. SELMA-Workshop, Berlin, 15./16.10.2003 2 Überblick - cv cryptovision GmbH: Schwerpunkte -

Mehr

Digital Signature and Public Key Infrastructure

Digital Signature and Public Key Infrastructure E-Governement-Seminar am Institut für Informatik an der Universität Freiburg (CH) Unter der Leitung von Prof. Dr. Andreas Meier Digital Signature and Public Key Infrastructure Von Düdingen, im Januar 2004

Mehr

SSL/TLS Sicherheit Warum es sich lohnt, sich mit Ciphersuites zu beschäftigen

SSL/TLS Sicherheit Warum es sich lohnt, sich mit Ciphersuites zu beschäftigen SSL/TLS Sicherheit Warum es sich lohnt, sich mit Ciphersuites zu beschäftigen Immo FaUl Wehrenberg immo@ctdo.de Chaostreff Dortmund 16. Juli 2009 Immo FaUl Wehrenberg immo@ctdo.de (CTDO) SSL/TLS Sicherheit

Mehr

IT-Sicherheit Kapitel 13. Email Sicherheit

IT-Sicherheit Kapitel 13. Email Sicherheit IT-Sicherheit Kapitel 13 Email Sicherheit Dr. Christian Rathgeb Sommersemester 2013 IT-Sicherheit Kapitel 13 Email-Sicherheit 1 Einführung Internet Mail: Der bekannteste Standard zum Übertragen von Emails

Mehr

Smart Meter Gateway: Informationsflusskontrolle und Datenschutz mittels Security Kernel Framework

Smart Meter Gateway: Informationsflusskontrolle und Datenschutz mittels Security Kernel Framework it-sa 2012 Nürnberg, 16.10.2012 Smart Meter Gateway: Informationsflusskontrolle und Datenschutz mittels Security Kernel Framework Michael Gröne Sirrix AG security technologies Agenda Sicherheitsanforderungen

Mehr

XML Grundlagen. Andreas Rottmann,Sebastian Riedl. 27. August 2002. Quit Full Screen Previous Page Next Page GoTo Page Go Forward Go Back

XML Grundlagen. Andreas Rottmann,Sebastian Riedl. 27. August 2002. Quit Full Screen Previous Page Next Page GoTo Page Go Forward Go Back XML Grundlagen Andreas Rottmann,Sebastian Riedl 27. August 2002 Rottmann, Riedl: XML Grundlagen 1 Überblick Hintergründe und Geschichte Aufbau von XML-Dokumenten DTD Schemata Erweiterungen XML APIs Rottmann,

Mehr

Grundlagen des Datenschutzes und der IT-Sicherheit (5) Vorlesung im Sommersemester 2005 von Bernhard C. Witt

Grundlagen des Datenschutzes und der IT-Sicherheit (5) Vorlesung im Sommersemester 2005 von Bernhard C. Witt und der IT-Sicherheit (5) Vorlesung im Sommersemester 2005 von Motivation zur IT-Sicherheit (1) Aktuelle Risikosituation: Größter Gefahrensbereich 2004 2002 2000 1998 Irrtum + Nachlässigkeit eigener Mitarbeiter

Mehr

Bestätigung für technische Komponenten gemäß 14 (4) Gesetz zur digitalen Signatur und 16 und 17 Signaturverordnung

Bestätigung für technische Komponenten gemäß 14 (4) Gesetz zur digitalen Signatur und 16 und 17 Signaturverordnung Bestätigung für technische Komponenten gemäß 14 (4) Gesetz zur digitalen Signatur und 16 und 17 Signaturverordnung debis Systemhaus Information Security Services GmbH - Zertifizierungsstelle debiszert

Mehr

Netzsicherheit I, WS 2008/2009 Übung 12. Prof. Dr. Jörg Schwenk 20.01.2009

Netzsicherheit I, WS 2008/2009 Übung 12. Prof. Dr. Jörg Schwenk 20.01.2009 Netzsicherheit I, WS 2008/2009 Übung 12 Prof. Dr. Jörg Schwenk 20.01.2009 Aufgabe 1 1 Zertifikate im Allgemeinen a) Was versteht man unter folgenden Begriffen? i. X.509 X.509 ist ein Standard (Zertifikatsstandard)

Mehr

OpenPGP Eine Einführung

OpenPGP Eine Einführung OpenPGP OpenPGP Eine Einführung Vortragender: Ole Richter Seminar: Electronic Identity Dozent: Dr. Wolf Müller 19. Dezember 2013 OpenPGP Eine Einführung 1/24 OpenPGP OpenPGP Eine Einführung 2/24 kurzer

Mehr

IT-Sicherheit. Konzept -Verfahren - Protokolle von Prof. Dr. Claudia Eckert Technische Universität Darmstadt Studienausgabe

IT-Sicherheit. Konzept -Verfahren - Protokolle von Prof. Dr. Claudia Eckert Technische Universität Darmstadt Studienausgabe IT-Sicherheit Konzept -Verfahren - Protokolle von Prof. Dr. Claudia Eckert Technische Universität Darmstadt Studienausgabe Oldenbourg Verlag München Wien Inhaltsverzeichnis 1 Einführung 1 1.1 Grundlegende

Mehr

Sicherheitstechnische Qualifizierung (SQ), Version 10.0 Security Assurance Level SEAL-5

Sicherheitstechnische Qualifizierung (SQ), Version 10.0 Security Assurance Level SEAL-5 Die Zertifizierungsstelle der TÜV Informationstechnik GmbH bescheinigt hiermit dem Unternehmen e-netz Südhessen GmbH & Co. KG Dornheimer Weg 24 64293 Darmstadt für das IT System Querverbundleitstelle Darmstadt

Mehr

Denn es geht um ihr Geld:

Denn es geht um ihr Geld: Denn es geht um ihr Geld: [A]symmetrische Verschlüsselung, Hashing, Zertifikate, SSL/TLS Warum Verschlüsselung? Austausch sensibler Daten über das Netz: Adressen, Passwörter, Bankdaten, PINs,... Gefahr

Mehr

Digital Rights Management (DRM) Verfahren, die helfen Rechte an virtuellen Waren durchzusetzen. Public-Key-Kryptographie (2 Termine)

Digital Rights Management (DRM) Verfahren, die helfen Rechte an virtuellen Waren durchzusetzen. Public-Key-Kryptographie (2 Termine) Digital Rights Management (DRM) Verfahren, die helfen Rechte an virtuellen Waren durchzusetzen Vorlesung im Sommersemester 2010 an der Technischen Universität Ilmenau von Privatdozent Dr.-Ing. habil. Jürgen

Mehr

Verteilte Systeme. Übung 10. Jens Müller-Iden

Verteilte Systeme. Übung 10. Jens Müller-Iden Verteilte Systeme Übung 10 Jens Müller-Iden Gruppe PVS (Parallele und Verteilte Systeme) Institut für Informatik Westfälische Wilhelms-Universität Münster Sommersemester 2007 10.1 Unsicherheit in Verteilten

Mehr

IT-Sicherheit Kapitel 11 SSL/TLS

IT-Sicherheit Kapitel 11 SSL/TLS IT-Sicherheit Kapitel 11 SSL/TLS Dr. Christian Rathgeb Sommersemester 2014 1 Einführung SSL/TLS im TCP/IP-Stack: SSL/TLS bietet (1) Server-Authentifizierung oder Server und Client- Authentifizierung (2)

Mehr

T.I.S.P. Community Meeting 2013 Berlin, 04. - 05.11.2013 Integritätsschutz durch Security by design

T.I.S.P. Community Meeting 2013 Berlin, 04. - 05.11.2013 Integritätsschutz durch Security by design T.I.S.P. Community Meeting 2013 Berlin, 04. - 05.11.2013 Integritätsschutz durch Security by design Dr. Peer Wichmann WIBU-SYSTEMS AG Übersicht Vorstellung Voraussetzungen Bedrohungsszenarien Code-und

Mehr

Authentikation und digitale Signatur

Authentikation und digitale Signatur TU Graz 23. Jänner 2009 Überblick: Begriffe Authentikation Digitale Signatur Überblick: Begriffe Authentikation Digitale Signatur Überblick: Begriffe Authentikation Digitale Signatur Begriffe Alice und

Mehr

Diffie-Hellman, ElGamal und DSS. Vortrag von David Gümbel am 28.05.2002

Diffie-Hellman, ElGamal und DSS. Vortrag von David Gümbel am 28.05.2002 Diffie-Hellman, ElGamal und DSS Vortrag von David Gümbel am 28.05.2002 Übersicht Prinzipielle Probleme der sicheren Nachrichtenübermittlung 'Diskreter Logarithmus'-Problem Diffie-Hellman ElGamal DSS /

Mehr

IT-Sicherheit Prof. Dr. Claudia Eckert

IT-Sicherheit Prof. Dr. Claudia Eckert IT-Sicherheit Prof. Dr. Claudia Eckert Technische Universität München Organisatorisches: Vorlesung 3 SWS, Übung 1 SWS: 5 Credit-Points Mi 16:00-17:30 MI HS2 (Vorlesung) Do 16:15-17:00 MI HS2 (Vorlesung)

Mehr

Federated Identity Management

Federated Identity Management Federated Identity Management Verwendung von SAML, Liberty und XACML in einem Inter Campus Szenario d.marinescu@gmx.de 1 Fachbereich Informatik Inhalt Grundlagen Analyse Design Implementierung Demo Zusammenfassung

Mehr

Microtraining e-security AGETO 25.03.2014

Microtraining e-security AGETO 25.03.2014 Microtraining e-security AGETO 25.03.2014 Neuer Personalausweis (Technik) Überblick Protokolle für die Online-Funktion 1. PACE: Nutzer-Legitimierung via PIN 2. EAC: Server-Legitimierung via CVC 3. TA/CA:

Mehr

IT Sicherheitsstandards

IT Sicherheitsstandards IT Sicherheitsstandards warum, wieso, weshalb? und welche taugen wie für was? Überblick über die Standards: BSI Grundschutz, ISO 7799, Common Criteria und ITIL IT Sicherheitsstandards Inhalt Warum Standards

Mehr

WS-Security. Thies Rubarth. Sicherheitskonzepte in global verteilten Anwendungen. 21. Sep 2007 ACM/GI Localgroup #216

WS-Security. Thies Rubarth. Sicherheitskonzepte in global verteilten Anwendungen. 21. Sep 2007 ACM/GI Localgroup #216 WS-Security Sicherheitskonzepte in global verteilten Anwendungen Thies Rubarth 21. Sep 2007 ACM/GI Localgroup #216 Thies Rubarth, M.Sc. (Informatik) IT Berater Jahrgang 1979 Anwendungsentwicklung seit

Mehr

Sicherheitstechnische Qualifizierung (SQ), Version 9.0

Sicherheitstechnische Qualifizierung (SQ), Version 9.0 Die Zertifizierungsstelle der TÜV Informationstechnik GmbH bescheinigt hiermit dem Unternehmen RWE Effizienz GmbH Freistuhl 7 44137 Dortmund für die Firewall- und Serverinstallation SmartHome Backend und

Mehr

FoMSESS Position Statement

FoMSESS Position Statement FoMSESS Position Statement Jan Jürjens Software & Systems Engineering Informatics, TU Munich Germany juerjens@in.tum.de http://www.jurjens.de/jan GI FoMSESS: Formale Methoden und Software Engineering Fundament

Mehr

Mail encryption Gateway

Mail encryption Gateway Mail encryption Gateway Anwenderdokumentation Copyright 06/2015 by arvato IT Support All rights reserved. No part of this document may be reproduced or transmitted in any form or by any means, electronic

Mehr

Sichere Abwicklung von Geschäftsvorgängen im Internet

Sichere Abwicklung von Geschäftsvorgängen im Internet Sichere Abwicklung von Geschäftsvorgängen im Internet Diplomarbeit von Peter Hild Theoretische Grundlagen der Kryptologie Vorhandene Sicherheitskonzepte für das WWW Bewertung dieser Konzepte Simulation

Mehr

im DFN Berlin 18.10.2011 Renate Schroeder, DFN-Verein

im DFN Berlin 18.10.2011 Renate Schroeder, DFN-Verein VoIP-Verschlüsselung Verschlüsselung im DFN Berlin 18.10.2011 Renate Schroeder, DFN-Verein Einordnung VoIP in DFNFernsprechen VoIP seit 5 Jahren im DFN verfügbar VoIP ist Teil des Fernsprechdienstes DFNFernsprechen

Mehr

Prof. Dr. Martin Leischner Netzwerksysteme und TK. Hochschule Bonn-Rhein-Sieg. Modul 5: IPSEC

Prof. Dr. Martin Leischner Netzwerksysteme und TK. Hochschule Bonn-Rhein-Sieg. Modul 5: IPSEC Modul 5: IPSEC Teil 1: Transport- und Tunnelmode / Authentication Header / Encapsulating Security Payload Security Association (SAD, SPD), IPsec-Assoziationsmanagements Teil 2: Das IKE-Protokoll Folie

Mehr

D&E Entwicklerforum Embedded System Entwicklung Workshop für angewandte und eingebettete IT-Sicherheit

D&E Entwicklerforum Embedded System Entwicklung Workshop für angewandte und eingebettete IT-Sicherheit D&E Entwicklerforum Embedded System Entwicklung Workshop für angewandte und eingebettete IT-Sicherheit Sicheres Flashen eines konfigurierbaren Batterie Management Systems für Elektrofahrzeuge Joachim Tauscher

Mehr

Merkblatt: HSM. Version 1.01. Systemvoraussetzungen, Setup und Trouble Shooting. pdfsupport@pdf-tools.com

Merkblatt: HSM. Version 1.01. Systemvoraussetzungen, Setup und Trouble Shooting. pdfsupport@pdf-tools.com Merkblatt: HSM Version 1.01 Systemvoraussetzungen, Setup und Trouble Shooting Kontakt: pdfsupport@pdf-tools.com Besitzer: PDF Tools AG Kasernenstrasse 1 8184 Bachenbülach Schweiz www.pdf-tools.com Copyright

Mehr

Merkblatt: Sichere E-Mail-Kommunikation zur datenschutz cert GmbH

Merkblatt: Sichere E-Mail-Kommunikation zur datenschutz cert GmbH Version 1.3 März 2014 Merkblatt: Sichere E-Mail-Kommunikation zur datenschutz cert GmbH 1. Relevanz der Verschlüsselung E-Mails lassen sich mit geringen Kenntnissen auf dem Weg durch die elektronischen

Mehr

Verteilte Systeme. 10.1 Unsicherheit in Verteilten Systemen

Verteilte Systeme. 10.1 Unsicherheit in Verteilten Systemen Verteilte Systeme Übung 10 Jens Müller-Iden Gruppe PVS (Parallele und Verteilte Systeme) Institut für Informatik Westfälische Wilhelms-Universität Münster Sommersemester 2007 10.1 Unsicherheit in Verteilten

Mehr

OPC UA: Ein kritischer Vergleich der IT-Sicherheitsoptionen

OPC UA: Ein kritischer Vergleich der IT-Sicherheitsoptionen OPC UA: Ein kritischer Vergleich der IT-Sicherheitsoptionen Melanie Gallinat 1, Stefan Hausmann 2, Markus Köster 1, Stefan Heiss 2 Weidmüller Gruppe 1 Klingenbergstraße 16 32758 Detmold, Deutschland Hochschule

Mehr

Web of Trust, PGP, GnuPG

Web of Trust, PGP, GnuPG Seminar Konzepte von Betriebssystem-Komponenten Web of Trust, PGP, GnuPG von Tobias Sammet tobias.sammet@informatik.stud.uni-erlangen.de 16. Juni 2010 Motivation Szenario: E-Mail-Verschlüsselung Angreifer

Mehr

Maintenance & Re-Zertifizierung

Maintenance & Re-Zertifizierung Zertifizierung nach Technischen Richtlinien Maintenance & Re-Zertifizierung Version 1.2 vom 15.06.2009 Bundesamt für Sicherheit in der Informationstechnik Postfach 20 03 63 53133 Bonn Tel.: +49 22899 9582-0

Mehr

Stammtisch 04.12.2008. Zertifikate

Stammtisch 04.12.2008. Zertifikate Stammtisch Zertifikate Ein Zertifikat ist eine Zusicherung / Bestätigung / Beglaubigung eines Sachverhalts durch eine Institution in einem definierten formalen Rahmen 1 Zertifikate? 2 Digitale X.509 Zertifikate

Mehr

XML und SOAP Einführung und Grundlagen

XML und SOAP Einführung und Grundlagen XML und SOAP Einführung und Grundlagen Matthias Böhmer 16.12.2005 Agenda 1. XML 2. SOAP 3. Seife im Buchladen?! E-Commerce :: XML und SOAP Matthias Böhmer 16.12.2005 2 XML :: Einführung (1) extensible

Mehr

Effizienten MAC-Konstruktion aus der Praxis: NMAC Idee von NMAC:

Effizienten MAC-Konstruktion aus der Praxis: NMAC Idee von NMAC: Effizienten MAC-Konstruktion aus der Praxis: NMAC Idee von NMAC: Hashe m {0, 1} auf einen Hashwert in {0, 1} n. Verwende Π MAC3 für Nachrichten fixer Länge auf dem Hashwert. Wir konstruieren Π MAC3 mittels

Mehr

Sicherheit von PDF-Dateien

Sicherheit von PDF-Dateien Sicherheit von PDF-Dateien 1 Berechtigungen/Nutzungsbeschränkungen zum Drucken Kopieren und Ändern von Inhalt bzw. des Dokumentes Auswählen von Text/Grafik Hinzufügen/Ändern von Anmerkungen und Formularfeldern

Mehr

Nachrichten- Verschlüsselung Mit S/MIME

Nachrichten- Verschlüsselung Mit S/MIME Nachrichten- Verschlüsselung Mit S/MIME Höma, watt is S/MIME?! S/MIME ist eine Methode zum signieren und verschlüsseln von Nachrichten, ähnlich wie das in der Öffentlichkeit vielleicht bekanntere PGP oder

Mehr

Bestätigung für technische Komponenten gemäß 14 (4) Gesetz zur digitalen Signatur und 16 und 17 Signaturverordnung

Bestätigung für technische Komponenten gemäß 14 (4) Gesetz zur digitalen Signatur und 16 und 17 Signaturverordnung Bestätigung für technische Komponenten gemäß 14 (4) Gesetz zur digitalen Signatur und 16 und 17 Signaturverordnung debis Systemhaus Information Security Services GmbH - Zertifizierungsstelle debiszert

Mehr

Eine Praxis-orientierte Einführung in die Kryptographie

Eine Praxis-orientierte Einführung in die Kryptographie Eine Praxis-orientierte Einführung in die Kryptographie Mag. Lukas Feiler, SSCP lukas.feiler@lukasfeiler.com http://www.lukasfeiler.com/lectures_brg9 Verschlüsselung & Entschlüsselung Kryptographie & Informationssicherheit

Mehr

Hochschule Prof. Dr. Martin Leischner Bonn-Rhein-Sieg Netzwerksysteme und TK Modul 7: SNMPv3 Netzmanagement Folie 1

Hochschule Prof. Dr. Martin Leischner Bonn-Rhein-Sieg Netzwerksysteme und TK Modul 7: SNMPv3 Netzmanagement Folie 1 Modul 7: SNMPv3 18.06.2014 14:42:33 M. Leischner Netzmanagement Folie 1 SNMP-Versionen Party-Based SNMP Version 2 (SNMPv2p) User-Based SNMP Version 2 (SNMPv2u) SNMP Version 3 1988 1989 1990 1991 1992 1993

Mehr