Cybersicherheit made in Sachsen-Anhalt. H. Strack, S. Wefel, R. Altschaffel

Transkript

1 He r m an n S t ra ck, Ho c h s c hule Ha r z ( HZU ) S a n dro Wefe l, M a r t i n - Lut her - U niv. Ha l l e /W itte nberg ( M LU ) Ro b e rt A l t s c h affel, O tto - vo n - Gueric ke U n i ve rs itä t ( O vg U ) Workshop Datenschutz, Informationssicherheit und Informationsfreihat

2 Agenda o Motivation / Vorfälle o Security Awareness und Stärkung bzgl. Medienkompetenz o CyberSec-LSA-Vorstellung / Kompetenzen / Vorschläge o Security als Wirtschaftszweig / Unterstützung durch Security-F&E 2 / 37

3 Faculties/Institutes/Research Groups: Automation and Computer Science (HZU) Institute for Computer Science (MLU) Arbeitsgruppe Multimedia and Security (OvGU, AMSL) Research Cooperation at IT-Security IT-Security (Saxony-Anhalt) research and cooparation Federal State & Local State (Saxony-Anhalt) Funding Application for EU Funding 3 / 37

4 Motivation / Vorfälle 4 / 37

5 Bedrohungen von Netzen & IT-Systemen der Integrität/ Authentizität (System/Programme/Daten) der Integrität/Authentizität (Nachricht) System A System B der Authentizität (Kommunikationspartner). der Vertraulichkeit (Nachricht) 5 / 37

6 Motivation Verstärkte / verschärfte IT-Bedrohungslage auch in Deutschland, z.b.: Bundestagsangriff Mio.-fache Mailkonten-Angriffe Industrieattacken Ransomware-Attacken existentiell. Kein Anlass mehr für: mich trifft es schon nicht, etwas Security reicht schon, Hauptsache Digitalisierung für meine Produkte 6 / 37

7 Motivation Ransomware WannaCry: Verschlüsselt Dateien/Dateisysteme ( erpresst Lösegeld ) Bekannt für den Befall von Krankenhäusern, Auftreten Mitte Mai 2017 Patches relativ zügig verfügbar, aber noch Neuinfektionen/Altlasten 7 / 37

8 Aufgaben, Awareness, Kompetenzen: Mindest-Security-Qualifikatn. für IT-Nutzer / CEO / Bildung, als notwendiger Bestandteil von IT-Medien- & Management-Kompetenz (inkl. awareness) professionelle Security-Unterstützung insb. für KMU & Verwaltungen bekannte (fundamentale) Schwachstellen von Default-IT konstruktiv verbessern (z.b. allg. SW-Update-Fähigkeit, kaum Separierungen, ungeeignete Zugriffskontrollstrukt. für SW-Management, eid/auth.) Security-Verstärkungen oft F&E-nah (z.b. Architekturen/Komponenten, Krypto-Einsatz, komplexe Testbeds, Security by Design für IT-Spezialisten, Sec.-Eval. & Zertif. für Vertrauenswürdigkeit ) Security für HiTec- & Wirtschaftsförderung / 37

9 CyberSec-LSA-Vorstellung: Kompetenzen & Vorschläge 9 / 37

10 Wiss. CyberSecurity-Verbund CyberSec LSA Motivation & Security-Herausforderungen (Land, Wirtschaft, Verwaltg., Bund, ): Bündelung der wissensch. Security-Kräfte LSA im Cybersec-Verbund LSA Proposal zu CyberSec-Verbund LSA KAT InnoLab SecInfPro (Hochschule Harz) Prof. Dr. Strack ITSecLab (Institut für Informatik der Universität Halle-Wittenberg) Prof. Dr. Molitor / Dr. Wefel Arbeitsgruppe Multimedia and Security (Otto-von-Guericke-Universität Magdeburg) Prof. Dr. Dittmann 10 / 37

11 Netzwerklabor/Netlab Arbeitsgebiete in Forschung und Lehre 11 / 37

12 Impressionen netlab Hs Harz - Netzwerktechnik Voice over IP Routing LTE-Mobilfunk-Testnetz 12 / 37

13 Netlab HS Harz Neuer Personalausweis & eid-service Netzwerksicherheit mit VPN Impressionen Netlab IT-Sicherheit Firewalls KAT SecInfPro-Geo 13 / 37

14 Ausbildung: Master Informatik Modul IT-Sicherheit Modul Praxis der IT-Sicherheit Bachelor Informatik, Wirtschaftsinformatik,... Modul Rechnernetze Hörer aller Fakultäten Modul IT-Sec (Neues Module HSP): Grundlagen zum sicherheitsbewussten Umgang mit IT-Systemen, Erkennung und Vermeidung von Angriffsflächen 14 / 37

15 Forschung: Aufbau sichererer Authentisierungsverfahren Anwendung kryptographischer Maßnahmen Untersuchung von Netzwerkprotokollen... Verschlüsselte Kommunikation Absicherung der Funk-Datenübertragung... Aufzeichnung Funkübertragung, Analyse, Protokollanpassung 15 / 37

16 16 / 37

17 eid-test Cross Domain: eid Proxy MLU/HSHZ technische Integration: Proxy-Konzept juristische Integration: Anpassungen HSG 17 / 37

18 CyberSec-LSA OvGU I Arbeitsgruppe Advanced Multimedia and Security Lab (Otto-von Guericke-Universität Magdeburg, Prof. Dr. Dittmann): Benutzerbiometrie und Interaktion Tatortforensik Daten- und Komponentenschutz Sicherheits-Benchmarks Evaluationsmethodiken Sicherheitsentwurfsmuster 18 / 37

19 CyberSec-LSA OvGU II 19 / 37

20 egovernment, IT-Sicherheit, Prozesselektronisierung (F&E) Kurzübersicht Projekte ÖV (2000( , netlab): Begleitforschung egovernment (BMWi) Begleitforschung zur Umsetzung des egov.egov.-aktionsplans SachsenSachsen-Anhalt (BeGovSAH) Ab 2004: in Kooperation mit Ministerium des Innern LSA, Landesinformationszentrum LSA (LIZ), Technischem Polizeiamt LSA (TPA) Security, Distribution & egovernment (SeDiGov) Kompetenzzentrum - Kultusministerium LSA IT IT--Sicherheit & egov.egov.-komponenten mit KMU eaufbruch Stadt Wernigerode ecollabsec Kultusministerium LSA ecampus/scampii Kultusministerium /MW LSA/EULSA/EU-EFRE SecInfPro/Kompetenzzentrum Min. Wissenschaft & Wirtschaft LSA egov. egov.--initiative neuer Ausweis/eID BMI 2012/2013 eid an Hochschulen (Hs Harz u. MLU) MW u. ITKOM LSA 2015 im TREATS/eIDASTREATS/eIDAS-Verbund (EU CEF, Governikus et.al.) 20 / 37

21 ecampus: egov.-standards, Prozesse, Rollen EFRE-Massn.11.03/41.03, FKZ: , ecampus/scampii, Koop. mit Hs Anhalt und MLU E-Government-Standards/Komponenten: - OSCI gesicherte/datenschutzkonf. & nachweisbare Zustellung - QES qualifizierte E-Signatur/Schriftformersatz (persönlich) - eid/npa 2xAuth. remote & Schriftformersatz Behördenformular 21 / 37

22 egov.-standards/komponenten Qualifizierte Signatur (QES, Schriftformersatz/rechtsverbindlich) npa-personalausweis mit eid (2Faktor-Auth. beidseitig, Datenschutz/ sparsamkeit & Sicherheit, non-trackable, Formularschriftform): BVA-genehmigt mit BerCert BerCert [BSI: eid-architektur, 2010] 22 / 37

23 CeBIT 2013: egov.-initiative eid Bund mit Min. Dr. Friedrich (BMI) 23 / 37

24 ecampus-integrationsarchitektur (Übersicht) Gesicherte, datenschutzkonforme und verbindliche Elektronisierung ausgewählter Fachverfahren mittels egovernment-basiskomponenten (Schalenmodell zur Integration). EFRE-Massn.11.03/41.03, FKZ: / 37

25 ecampus-eexamreg: etestate (mit eid/npa) eprozess-redesign: stud. npa-anmeldung für Laborpraktika & zur DozentenBewertung datenschutzkonforme U-M-Konvertierung dozentensignierter Namen-Testatlisten in Matrikel-Nr-Testatlisten (telesigniert) zum HIS-Eintrag 25 / 37

26 Gästeportale mit eid/npa (CeBIT 2014/15 ff) z.b. neue Nutzer-Credentials per eid mobil 26 / 37

27 eid Klausursitzplan mobil elektronische Kontrolle per eid ecampus-eid-ldapcheck: Matrikelnummer vs. eid-pseudonym npa auflegen Pin eingeben Fertig Studierende Studenten Dienstgerät (NFC-Ext.): el. Kontrolle & Doku. per eid Professoren/ Dozenten 27 / 37

28 eid - Klausursitzplan Ausführung als mobile Webapplikation Nutzeroberfläche des Prototypen mit eid-kontrolle Studierendenerfassung per eid Protokollsupport: - Sitzplankontrolle/Dokumentation per eid - Event-Dropdownmenü Gesicherte Übertragung mit Telesignatur + Ablage, Ausdruck oder ecampus-input Zeit-/Papierersparnis, weiterer Schritt zur gesicherten Vollelektronisierung 28 / 37

29 eid an Hochschulen Uploads mit Telesignatur & Schriftformersatz (ÖV) 29 / 37

30 IEA *): IT-Planungsrat: Kompetenzen/Qualifikation 30 / 37

31 TREATS/eIDAS-Workshop (EU), Berlin/LV LSA, mit CyberSec LSA 31 / 30

32 EUNIS-Koop. mit CyberSec LSA et.al. 32 / 37

33 Universities saving the missing donut? Extension of the eid Access Topology: eid/pa eid/pa+eat eid/pa+eat+eidas 33 / 37

34 TREATS TRansEuropean Authentication Service (eidas) Verbundprojekt im EU CEF Telecom Call bzgl. eidas-infrastruktur und -Anwendungen: eid-service-entwickler/anbieter-gruppe, Leitung Governikus, Bundesdruckerei, MTG, Open Limit eidas-anwendungsentwickler-gruppe: Hs Harz, HSH Kommunalsoftware, SIXFORM, AKDB HS-Harz - eidas extended Applications (APEX) : Student Mobility, Research, Local Appl.Infrastruct. (eidas access / forms signed ) Extension of the eid Access Topology : 34 / 37

35 Security als Wirtschaftszweig / Unterstützung durch Security-F&E 35 / 37

36 Security als Wirtschaftszweig (mit F&E) Antrags- & Konzept-Beratung/-Evaluation für Wirtschaft 4.0 / Digitalisierung / Förderung Security- und IT-IST-Aufnahmen/Tests, Security-Management & Policies Digitalisierung von Produkten: Security by Design Beratung, Prototyping, Tests verstärkte IT-Architekturen durch vertrauenswürdige Security-Komponenten (Zertif.) Entwicklung: Sicherheits-Produkte & Dienstleistungen, mit Security-Branding (LSA, D, EU), neue Möglichkeiten auch für KMU via eidas (EU), PA- und Vertrauensdienste-Gesetze (D) Sicherheit in Bildung, Lehre, Fort-/Weiterbildung, Transfer (z.b. eid, ebeglaubigungen) Security-F&E, auf wissl. Basis, mit Fach-Laboren & Fach-Personal, nachhaltig, kundennah Security als integraler Kern für Wirtschaft 4.0 (Wirtschaftsförderung 5.0) Benchmarking - was machen Andere: vgl. Verbund IT-Sicherheit Darmstadt/Hessen (CASED/CRISP et.al. >= 200 MA & mehrstellige Mio.-Förderungen/Invest., u.a. Bund) 36 / 37

37 Questions, Contact address, R&D-Cooperations Prof. Dr. H. Strack Dr. S. Wefel R. Altschaffel Hochschule Harz, FB AI, netlab Friedrichstr Wernigerode Martin-Luther-Universität Halle-Wittenberg Institut für Informatik Von-Seckendorff-Pl Halle (Saale) Otto-von-Guericke-Universität Fakultät für Informatik Universitätsplatz Magedeburg Tel: Mail: hstrack@hs-harz.de Tel: Mail: sandro.wefel@ informatik.uni-halle.de Tel: Mail: robert.altschaffel@ iti.cs.uni-magdeburg.de / 37

38 HZU & MLU Faculties/Institutes: Automation and Computer Science (HZU) Institute for Computer Science (MLU) Research Cooperation at IT-Security Federal State & Local State (Saxony-Anhalt) Funding Application for EU Funding EFRE-Massn.11.03/41.03, FKZ: , ecampus/scampii, Coop. HZU, Hs Anhalt und MLU Open Identity Summit 2016 Challenging eid & eidas at University Management H. Strack, S. Wefel 38 / 23