Client/Server-Systeme

Größe: px
Ab Seite anzeigen:

Download "Client/Server-Systeme"

Transkript

1 Client/Server-Systeme Prof. Dr.-Ing. Wilhelm G. Spruth WS 2008/2009 Teil 6 Sicherheitsprotokolle css 0633 ww6 wgs 01-98

2 Sicherheitsprotokolle voll symmetrisch Kerberos unternehmensintern asymmetrische Authentifizierung OSI Schicht 6 SSL PGP SSH Web, SHTML Mail Telnet, rlogin, FTP IPSec Aussenstellen PPTP Schicht 2,3 von Unternehmen L2TP cs 0574 ww6 wgs 12-03

3 Secure Socket Layer - SSL Schicht 5-7 Anwendungen 4 Socket Schnittst Intranet Internet An Stelle der regulären Socket Schnittstelle wird die sehr ähnliche SSL Schnittstelle eingesetzt. SSL bewirkt zuätzlich zur normalen Socket Funktionalität eine Verschlüssselung beim Senden und eine Entschlüsselung beim Empfangen von Nachrichten. css06117 ww6 wgs 01-98

4 Secure Socket Layer Secure Socket Layer is a client-server communication protocol developed by Netscape for securing communications that use TCP/IP sockets. It uses asymmetric (public key) and symmetric key cryptography: For server authentication To provide data privacy and integrity For optional client authentication via digital certificate The SSL protocol is executed at the application level and therefore an application has to be designed to support SSL in order to benefit from the SSL protection. Although SSL is very well known as a way to secure http communications, any kind of TCP/IP socket communication is a candidate for SSL protection, with proper code support. However, SSL is also known to be a very demanding protocol in terms of computing resources in the session initialization phase known as the handshake. These resources are needed to support the heavy calculation required by the asymmetric (that is, public key) cryptography that the handshake uses. The handshake is followed by a data transfer phase, also called the SSL record protocol, which uses symmetric cryptography.

5 Secure Socket Layer (SSL) Transport Layer Security (TLS) Schicht Das SSL Protokoll wird in der Schicht 5 ausgeführt. Anwendungen müssen deshalb angepasst werden, dass sie für SSL vorgesehene Ports an Stelle der für Sockets vorgesehenen Ports benutzen. Beim Übergang von SSL 3.0 auf SSL3.1 wurde SSL offiziell in TLS 1.0 (Transport Layer Security) umbenannt. Heute werden beide Bezeichnungen austauschbar verwendet.

6 SSL, PGP, S-Mime Sender Empfänger 1. Nachricht 2. Session Key 3 Nachricht 4. Public Key 5 Nachricht 1. Sender erstellt Nachricht 2. Sender generiert Session Key (symmetrisch, DES, IDEA, RC4, AES Algorithmus) 3. Nachricht wird mit dem Session Key verschlüsselt 4. Sender holt Public Key von Empfänger (asymetrisch, RSA Algorithmus) 5. Sender verschlüsselt Session Key mit dem Public Key des Empfängers cs 0651 ww6 wgs 12-03

7 SSL Protocol: Handshaking für eine SSL Sitzung Das SSL Protokoll liefert Verbindungssicherheit über unsichere Kommunikationswege. Es hat die folgenden Merkmale: Datenverschlüsselung. Die Verbindung kann durch Verschlüsseln der zwischen Client und Server auszutauschenden Daten sicher gemacht werden. Dies ermöglicht den sicheren Transfer von privater Information wie Kreditkartennummern. Kommunikationsintegrität. Die Verbindung ist zuverlässig. Der Nachrichtentransport schließt einen Nachrichtenintegritätsprüfung ein, die auf einer sicheren Hashfunktion beruht. Authentifizierung. Der Client kann den Server authentifizieren, und ein authentifizierter Server kann den Clienten authentifizieren. Damit wird sichergestellt, daß Information nur zwischen den gewünschten Partnern ausgetauscht wird. Der Authentifizierungmechanismus basiert auf dem Austausch von digitalen Zertifikaten (X.509v3 Zertifikate). cs 0647 ww6 wgs 11-00

8 SSL Protokoll Generisches Protokoll, ursprünglich von Netscape für den Browser entwickelt. Von den meisten Web Servern unterstützt. Stream Protokoll: Handshake eröffnet Verbindung verschlüsselter Datenaustausch (opaque Data Mode) Handshake schließt Verbindung Beim Start einer Verbindung tauschen Klient und Server Hello Nachrichten aus. Einigung auf: Version des SSL Protokolls Definition der Verschlüsselungsalgorithmen Austausch der Schlüssel Datenkompressionsparameter Daten werden in verschlüsselten Blöcken ausgetauscht; jeder Block wird durch eine verschlüsselte Prüfsumme verifiziert. 4 Schlüssel, je 1 Paar für Klient- Server und Server-Klient Kommunikation. Unterschiedliche Verschlüsselungsalgorithmen können eingesetzt werden, darunter DES und RC4. Klient und Server können X.509 Certificate anfordern. Vorgesehen ist die SSL integration in Winsock 2.0. Transparent für existierende Winsock Anwendungen. cs0536 ww6 wgs 09-98

9 Web Server Application Code Secure Socket Layer Public key Symmetric Hashing Cryptographic encryption algorithms functions to keep data to ensure for user confidential message authentification integrity reliable communication protocol e.g. TCP/IP Secure Socket Layer Componenten TLS 1.0, 1.1 und 1.2 sind die standardisierten Weiterentwicklungen von SSL 3.0 (TLS 1.0 steht neu für SSL 3.1). Heute unterstützen alle gängigen Browser TLS cs 0634 x ww6 wgs 11-99

10

11 1. The client connects to the server indicating that it wants to perform SSL ( hello SSL message). Note that the client hello message also conveys a sessionid. 2. The server agrees to carry on an SSL conversation ( server hello ). The handshake begins. 3. The client and server agree on a common symmetric algorithm to be used for the data transfer that follows the handshake. The server imposes the list of possible algorithms and its order of preference in this list, which is compared to the client s own list. 4. The server provides its public key in its certificate to the client this is also called server authentication, and is a mandatory step of the SSL handshake. 5. The client verifies the integrity of the server s certificate, using the certificate of the Certification Authority that signed the server s certificate. Depending on the client design, if this certificate is not available due to an incomplete setup of the client s system or because the server s Certification Authority is not known from the end user, the client may ask the end user to agree on pursuing the communication or to abort it. 6. The client now has the server s public key and uses it to encrypt a random number, which is then sent to the server. The server retrieves the value of this random number using its private key. Note that it is the decryption of the secret random number using the server s private key that costs so much computing resource during the SSL handshake. This operation can be avoided, as explained below, by re-using the so-called session ID. 7. At this point only the client and server know this secret random number (the pre master secret), which can then be used to generate the keys to encrypt and decrypt the data, using the symmetric algorithm previously selected. The client and the server then close the handshake phase and enter the data transfer phase (also called SSL record protocol).

12 The pre-master secret value is actually used to derive the values of several different symmetric keys on each side: Keys for data encryption and decryption in each direction and keys for data integrity checking. It is important to understand when an SSL handshake is actually to occur and how one can reduce the amount of these costly handshakes. A handshake has to occur every time a TCP connection is initiated by the client, which means that SSL protected protocols that are keeping the connection open for a long time, such as TN3270 does, are executing handshakes very seldom. On the other hand, protocols that are closing the connection frequently, as http should do after each html page, are then very costly in handshakes. The use of persistent sessions with http 1.1 is then reducing the number of handshakes. The SSL protocol has a built-in mechanism to reduce the number of handshakes: The sessionid re-use. Actually, the SSL server can be set up to remember the pre-master secret previously established with the client and the corresponding sessionid. When a client re-establishes a TCP connection to resume an SSL conversation with a server, it actually presents the previous sessionid that was established with this server in the client hello message. If the server remembers the pre-master secret linked to this sessionid, it then signals the client that a new handshake is not needed; they will re-use the previous pre-master secret value. They then directly enter the data transfer phase. The server is set up to remember the sessionid with the SSLtimeOut parameter, which tells for how long the server keeps the previous premaster secret in its memory. The duration of the SSLtimeOut, commonly in the order of several minutes or hours, is an installation trade-off between security and performance, as the longer the timeout the longer the time left to an attacker to discover the value of the symmetric keys. Even if the pre-master secret value is reused, the derived keys are different every time from the keys actually used in the previous session, which reduces the exposure to a key discovery attack.

13 PGP - Pretty Good Privacy Phil Zimmermann, 1991 PGP ist ein über das Internet frei verfügbares Software Paket mit den folgenden Funktionen: Verschlüsselung von Dateien und von Electronic Mail Authentifizierung Digitale Unterschrift Verwendet unterschiedliche Verschlüsselungsalgorithmen: IDEA ( 128 Bit asymmetrisches Schlüsselverfahren, entwickelt in Zürich) RSA cs0505 ww6 wgs 05-97

14 PGP, S/Mime, GnuPG S/MIME ist die sichere Version von MIME (Multipurpose Internet Mail Extension. Die meisten Klienten unterstützen auch MIME. S/MIME benutzt X.509 Zertifikat, PGP benutzt Web of Trust 30 % vs 70 % Marktanteil Nur Mail vs. Mail + andere Anwendungen Zertifizierung durch CA kostet etwa 50 Euro/Jahr GnuPG (Gnu Privacy Guard) ist eine GNU General Public License Alternative zu PGP. Verwendet nicht den patentierten IDEA Algorithmus. cs 0665 wgs 12-03

15 SSH - Secure Shell de facto Standard für remote computer login. Verhindert Diebstahl von Passworten wenn diese im Internet übertragen werden. Typische Anwendungen: remote access auf Computer Ressourcen über das Internet, secure file transfer remote system administration. Suite von drei Utilities - slogin, ssh, and scp - (Sichere Versionen der UNIX Utilities rlogin, rsh, and rcp). Ersatz für telnet. SSH benutzt RSA für die Server Authentifizierung. Mehrere Optionen für die Client Authentifizierung, darunter Kerberos. IDEA ist das Default Verfahrung für die Verschlüsselung. Alternativen sind DES, 3DES, und Blowfish. Klient generiert symmetrischen Schlüssel und sendet ihn zum Server verschschlüsselt mit dessen öffentlchen Schlüssel. Die Verschlüsselung started unmittelbar nach der Server Authentifizierung, aber vor der Client Authentifizierung. Passwort des Benutzers wird über einen sicheren Kanal übertragen. PuTTY freier SSH- und Telnet-Client für Microsoft Windows, Unix und MacOS WinSCP ist ein Freeware SCP (Secure CoPy) Programm für Windows. cs 0677 ww6 wgs 12-03

16 Leistungsabfall beim Einsatz von SSL Einsatz von Krypto-Koprozessoren Bei den modernen z9 Mainframe Rechnern ist die Kryptofunktion in das CPU Chip integriert. Es existieren Funktionen wie DES oder SHA-1, die als Maschinenbefehle direkt ausgeführt werden. es 1312 ww6 wgs 11-00

17 Intel Intel Micro Gleitkomma Prozessor Koprozessor Ohne verursacht die Ausführung eines Gleitkomma- Maschinenbefehls eine Programmunterbrechung. Die Unterbrechungsroutine führt die Gleitkommaoperation aus. Intel Micro-Prozessor traditionelle CPU Funktion Gleitkomma Koprozessor Beim Intel und Pentium/AMD ist die Gleitkommafunktion in das Micro-Prozessor Chip integriert IBM z990 Micro-Prozessor traditionelle CPU Funktion Krypto Koprozessor Bei den IBM z990 und 890 Micro-Prozessoren ist die Krypto- Koprozessor Funktion in das CPU Chip integriert. Dies beinhaltet z.b. Maschinenbefehle, die einen Puffer mit einer Klartext Nachricht direkt mit DES nach dem Electronic Code Block Mode (ECB) oder dem Cipher Block Chaining (CBC) umwandeln oder alternativ ein SHA-1 Digest erzeugen.

18

19

20 Homebanking Computer Interface (HBCI) Financial Transaction Services (FinTS) Offener Standard für den Bereich Electronic Banking und Kundenselbstbedienung. Von den deutschen Banken entwickelt und vom Zentralen Kreditausschuss (ZKA) beschlossen. Kunden-Authentifizierung und Nachrichtenverschlüsselung mit einer Chip Karte. Erfordert Chip Karten Leser, der an den PC angeschlossen wird. Enthält 112 Bit 3DES- Schlüssel. Alle sensitiven kryptographischen Prozesse laufen im Chip ab. Ein Beispiel ist die WebSign-HBCI Banking der Deutschen Bank. cs 0682 ww6 cs\pubs\finztran.pdf wgs 10-05

21 Externe Anbindung Anschluß von Außenstellen eines Unternehmens über das Internet Außendienstmitarbeiter, Laptop über ISDN Leitungen Heimarbeitsplätze, PPP Protokoll Kombination von Verschlüsselung und Packet Filter: IP Pakete werden verschlüsselt über das unsichere Netz übertragen und vom Packet Filter Firewall entschlüsselt. Durch Verschüsselung wird ein kryptographisches Virtual Private Network (VPN) in einem unsicheren Netz, z.b. über das Internet, gebildet. cs 0612 ww6 wgs 11-98

22 Ver/Entschlüsselung Ver/Entschlüsselung Betriebsgelände A Internet Betriebsgelände B Virtual Private Network (VPN) Die Intranets auf 2 Betriebsgeländen werden über das (unsichere) Internet miteinander verbunden. Basis ist TCP/IP Die Abschirmung erfolgt über Tunneling (Verpacken aller Pakete) sowie Verschlüsselung der IP-Pakete IPsec ist der Standard für die Verschlüsselung IKE ist der Standard für den Schlüsselaustausch mittels öffentlicher Schlüssel cs0619 ww6 wgs 09-98

23 Sicherheitsprotokoll IPsec Transport Mode vs Tunnel Mode TCP Kopf TCP Daten IP Kopf IP Daten IPsec Protokoll Authentication Header (AH) verschlüsselte Daten ursprünglicher IP Kopf (verschlüsselt) IPsec Kopf, dupliziert unkritische Felder des IP Kopfes Probleme Layer-4-Switching ermöglicht Prioritätensteuerung, indem z.b. FTP (Port Nr. 20) mit höherer Priorität weitergegeben wird als (Port Nr. 25). Die Port Nr. steht im TCP Kopf und kann, da verschlüsselt, nicht genutzt werden. Der zusätzliche IPsec Kopf vergrößert die Paketlänge. Die Überschreitung einer MTU (Maximum Transfer Unit) Grenze erzeugt zusätzliche Fragmentierung. cs0620 ww6 wgs 09-98

24 SSL versus IPSec SSL für Remote Access höhere Sicherheitsprobleme im Vergleich zu Standortverbindungen, z.b. zentraler Virenscanner erfordert zwischenzeitliches Entschlüsseln durch Proxy Server Verlangsamung der Verarbeitung > 90 % IPSec für Standortverbindungen Firewall blockiert evtl. IPSec bessere Eignung für VoIP Beide Verfahren verwenden DES, 3DES und AES, SSL auch RC4

25 Point-Point Tunneling Protocol (PPTP) Virtual Private Network, erlaubt getunnelte Point-to- Point Protocol (PPP) Verbindungen über ein IP Nettwerk. Benutzer können sich über Telefon und das Internet in ein Corporate Network einwählen (Road Warrior Protokoll). In RFC2637 beschrieben. Wurde von Microsoft mit einer kleinen Gruppe anderer Unternehmen entwickelt. PPTP ist ein OSI Schicht Schicht 2 Protokoll, kann damit auch andere Schicht 3 Protokolle nutzen. IETF entwickelt derzeitig L2TP Standard als Nachfolger für PPTP cs0614 ww6 wgs 12-03

26 Homebanking Computer Interface (HBCI) Financial Transaction Services (FinTS) Offener Standard für den Bereich Electronic Banking und Kundenselbstbedienung. Von den deutschen Banken entwickelt und vom Zentralen Kreditausschuss (ZKA) beschlossen. Kunden-Authentifizierung und Nachrichtenverschlüsselung mit einer Chip Karte. Erfordert Chip Karten Leser, der an den PC angeschlossen wird. Enthält 112 Bit 3DES- Schlüssel. Alle sensitiven kryptographischen Prozesse laufen im Chip ab. Ein Beispiel ist die WebSign-HBCI Banking der Deutschen Bank. cs 0682 ww6 cs\pubs\finztran.pdf wgs 10-05

27 TrueCrypt Free open-source disk encryption software for Windows Vista/XP, Mac OS X, and Linux Main Features: * Creates a virtual encrypted disk within a file and mounts it as a real disk. Encrypts an entire hard disk partition or a storage device such as USB flash drive. Encryption is automatic, real-time (on-the-fly) and transparent. Provides two levels of plausible deniability, in case an adversary forces you to reveal the password: 1) Hidden volume (steganography more information may be found here). 2) No TrueCrypt volume can be identified (volumes cannot be distinguished from random data). Encryption algorithms: AES-256, Serpent, and Twofish. Mode of operation: XTS. A keyring stores known encryption keys.

28 Zugriffsberechtigung Eine Vielzahl von Subjekten hat unterschiedliche Zugriffsberechtigungen (z.b. Read, Write, Execute) auf eine Vielzahl unterschiedlicher Objekte (Dateien, Directories, ausführbare Programme, usw.). Für jedes Paar {Prozessi, Objektj} kann es eine unterschiedliche Zugriffsberechtigung Aij geben. A A A A A Subjekte (Klienten, Prozesse) Objekte Dateien, Programme cs 0626u ww6 wgs 05-99

29 Objekte, z.b. Dateien, Programme n 0 A 0,0 A 0,1 A 0,2 A 0,n 1 A 1,0 A 1,n Subjekte 2 A 2,0 A 2,n z.b. : Personen, 3 Capability Klienten, List Prozesse.... m A m,0 A m,1 A m,2 A m,n ACL, Access Control List Zugriffskontrolliste Zugriffsmatrix Capabilities werden mit den Subjekten gespeichert. ACLs werden mit den Objekten gespeichert. Beispiel: Directory Eintrag einer Datei speichert ACLs. Benutzer Authorisierungs-Record speichert Capabilities. vs1507 ww6 wgs 05-96

30 ACL Datei 1 Datei 2 Datei 3 Meier r/w x - Müller - - r/w Schulze r r r Capabilities Bauer r r/w - Access Control Lists und Capabilities cs 0627u ww6 wgs 05-99

31 Benutzer 2 Benutzer 4 x x x x x x x x x x x x x x Benutzer 1 x x x x x x x Benutzer 3 Benutzer 5 Group others Zusammenfassung von Prozessen in Klassen, und Verwendung vereinfachter ACL ( r, w, x,.. ), aufgeteilt nach "owner", "group", und "others". Problem: Aufteilung der Zugriffsberechtigung von einem Objekt auf mehrere Gruppen. Unter Unix existiert hierfür eine erweiterte ACL Funktion. vs1508 ww6 wgs 05-96

32 Rollenbasierte Zugriffssteuerung. Role Based Access Control (RBAC) Separate Zugriffssteuerungen für die Systemanmeldung und den Zugriff auf Objekte, Ressourcen, Programme, Dateien, Prozesse bzw. Daemons, Dienste und Anwendungen. Profile für die Zuordnung von Subjekten und Objekten zu vordefinierten Gruppen mit voreingestellten Zugriffsrechten. Profile werden in einer speziellen Datenbank gespeichert und bei jeder sicherheitsrelevanten Aktion mittels einer Scriptsprache interpretiert ( if then else ). Zugriffssteuerung ist in das Betriebssystem integriert. Protokolliert alle Benutzeraktionen und -zugriffe. Aktivitäten können verfolgt und dem ursprünglich authentifizierten Benutzer zugeordnet werden. Implementierungsbeispiele: Computer Associates ACF2 (z/os) Computer Associates etrust Access Control (Linux, Unix, Windows) IBM RACF (z/os) Security Enhanced Linux (SE-Linux) cs 0576 ww6 wgs 01-05

33 z/os Security Server Resource Access Control Facility RACF (Resource Access Control Facility) bewirkt Identifizierung und Authentifizierung von Benutzern Benutzer Authorisierung für Zugriff auf geschützte Resourcen Logging und Berichte über unauthorisierte Zugriffe Überwacht die Art, wie auf Resourcen zugegriffen wird Anwendungen können RACF Macros benutzen Literatur : IBM GC es 0426 ww6 wgs 08-00

34 RACF RACF benutzt das Konzept von zu schützenden Resourcen. Resourcen werden in Klassen aufgeteilt. Beispiele für Klassen sind: Benutzer Dateien CICS Transaktionen Datenbank Rechte Terminals Jedem Element einer Klasse wird ein Profil zugeordnet. Das Profil besagt, welche sicherheitsrelevanten Berechtigingen vorhanden sind. Die Profile werden in einer Systemdatenbank, der RACF Profildatenbank, abgespeichert. Beispiel: Ein interaktiver Benutzer logged sich ein. Der Login Prozess überprüft, ob die Login Berechtigung besteht. Er überprüft weiterhin, ob das Terminal, von dem der Benutzer sich einwählt, eine Zugangsberechtigung hat. Hierzu ruft der Login Prozess RACF auf, welches die entsprechenden Profile in seiner Datenbank konsultiert. Anschließend ruft der Benutzer ein Programm auf, welches auf eine Datei zugreift. Die OPEN Routine ruft RACF auf, welches das Profil der Datei bezüglich der Zugriffsrechte befragt. Benutzer Profile enthalten Capabilities. Datei Profile enthalten Access Control Listen. Zugriffsrechte können von spezifischen granularen Bedingungen abhängig gemacht werden; z.b. der Zugriff auf eine Datenbank kann von der Nutzung eines spezifischen Anwendungsprogramms abhängig gemacht werden, oder auf bestimmte Tageszeiten begrenzt sein. Problem: Wartung der Profile. cs 0653 ww6 wgs 10-01

35 RACF Datenbank Resource Profile 5 Resource Resource 1 Manager Manager RACF z.b. TSO z.b. CICS (oder ACF2) 2 RACROUTE 3 RACROUTE 4 SAF z/os Kernel RACF Arbeitsweise 1. Ein Benutzer greift auf eine Resource über einen Resource Manager zu, z.b. TSO 2. Der Resource Manager benutzt einen System Call RACROUTE um auf die Security Access Facility (SAF) des z/os Kernels zuzugreifen. present. SAF ist eine zentrale Anlaufstelle für alle sicherheitsrelevanten Aufgaben. 3. SAF ruft ein Zugriffskontrolle Subsystem auf. Dies ist normalerweise RACF. (Eine Alternative ist die Access Control Facility der Fa. Computer Associates, die ähnlich arbeitet). 4. RACF greift auf einen Profile Datensatz in seiner eigenen RACF Datenbank zu und überprüft die Zugangsberechtigungen 5. Das Ergebnis teilt RACF dem anfragenden Resource Manager mit. es0436 ww6 wgs 09-01

36 RACF Remote Access Control Facility z/os spezifiziert kritische Events innerhalb des Betriebssystems als sicherheitssensitive Verzweigungen. Die z/os Security Authorisation Facility (SAF) bewirkt an diesen Stellen den Aufruf einer externen Security Engine. In z/os ist dies häufig RACF; alternative z/os Security Engines sind ACF/2 oder TopSecret. Neben einer Kontrolle von Events (ehe sie wirksam werden) wird ein umfassender Audit Trail erzeugt. Zugriffsrechte können von spezifischen granularen Bedingungen abhängig gemacht werden; z.b. der Zugriff auf eine Datenbank kann von der Nutzung eines spezifischen Anwendungsprogramms abhängig gemacht werden, oder auf bestimmte Tageszeiten begrenzt sein. SAF übergibt der externen Security Engine die pertinente Information. Die Security Engine kann dann auf der Basis von Access Control List (ACL) Strukturen über die Zugriffsrechte entscheiden. Problem: Maintenance der ACL s css 0630 ww6 wgs 01-98

37

38

39 Security Enhanced Linux (SELinux) Discretionary Access Control (DAC) ist der Standard Linux Ansatz. Der Besitzer einer File kann Read-, Write- und Executerechte setzen. Mandatory Access Control (MAC) bedeutet, der Systemadministrator bestimmt die Sicherheitsstrategie. Benutzer können nicht dagegen verstoßen. SELinux ist Teil des Linux Security Servers und ist Bestandteil des 2.6 Kernels. SELinux implementiert MAC durch die Benutzung von Type Enforcement (TE) und von Role Based Access Controls (RBAC). Type Enforcement bedeutet, jedem Objekt des Systems ist ein Type zugeordnet. Der Sicherheitsadministrator definiert ein Regelwerk, welches die Zugriffsrechte zwischen Paaren von Types definiert. Role Based Access Controls ordnet dem Benutzer eine Reihe von Rollen zu, die Zugriffe und andere aktionen erlauben oder einschränken. Z.B kann ein Benutzer begrenzte Root-Rechte erhalten um den Mail Server zu verwalten, ohne Root-Rechte auf den Rest des Systems. cs 0680 ww6 wgs 07-05

40 intern Sicheres Netz z.b. LAN sicherer Netzadapter Firewall nicht sicherer Netzadapter extern Internet Überwacht Nachrichtenfluss auf der Ebene der Netzwerkschicht (Packet Filtering Firewall) oder der Ebene der Anwendungsschicht (Application Level Firewall) cs 0661 ww6 wgs 11-02

41 cs 0640 wgs 09-00

42 Packet Filtering Firewall Zugriff gestattet Zugriff Verweigert Firewall Rechner Firewall ist gleichzeitig Schicht 3 Router. Firewall entscheidet auf der Basis von Filter Regeln IP Filter auf der Basis von Quell- oder Zieladresse Quell- oder Ziel- Port Nummer Protokoll ( tcp, udp, icmp... ) Richtung Regeln werden von oben nach unten ausgewertet erste Übereinstimmung: angegebene Aktion durchführen keine Übereinstimmung: Paket ablehnen cs 0662 ww6 wgs 11-02

43 Filter Rule Example: Permit packets from the Internet to our Local Network if and only if they are destined for the Mail Gateway machine Local Area Netzwerk Port Filtering Port IP Adresse # 2 Router # Internet Our Filtering router must permit only following packets: coming from the Internet to port 25 on the Mail Gateway Machine; coming from the the Local Network and destined to any port 25. Access Control Liste für Filtering Router Port Nr. 1 Eintrag Source Source Destination Destination Action IP Adr. Port IP Adr. Port 1 any any permit 2 any any any any block Access Control Liste für Filtering Router Port Nr. 2 Eintrag Source Source Destination Destination Action IP Adr. Port IP Adr. Port any any 25 permit 2 any any any any block cs 0658 ww6 wgs 09-01

44 Application Firewall Proxy Server Application Firewall Software, die Nachrichtenübertragung auf der Anwendungsschicht (Schicht 7) nur nur für jeweils einen spezifischen Dienst zuläßt, wird als Proxy bezeichnet. Für jeden Dienst muß auf dem Application Firewallrechner ein eigener Proxy errichtet werden. Der Proxy überprüft für jede Anwendung getrennt, ob der Zugriff erlaubt ist. Aus der Sicht des Anwenders sieht es so aus als würde der Klient direkt mit dem eigentlichen Server Prozeß kommunizieren. cs 0608 ww6 wgs 11-98

45 cs 0641 wgs 09-00

46 Zwei Arten von Application Firewalls (Proxy Server) Circuit Level Firewall Zwischenstufe für alle TCP/IP Verbindungen 2 Verbindungen (Sessions) zwischen local Host und Proxy, und zwischen Proxy und remote Host Inhalt der übertragenen Nachricht wird nicht untersucht Stateful Inspection Firewall Untersuchen des Inhalts der übertragenen Nachricht Authentifizierung Virenscanner für SSL Nachrichten Logging cs 0679 ww6 wgs 12-03

47 cs 0642 wgs 09-00

48 Demilitarzed Zone DMZ Überwachtes Grenznetz Der äußere Firewall schützt das DMZ Netz. Er bestimmt, wer aus dem Internet auf Rechner zugreifen darf, die an das DMZ Netz angeschlossen sind. Filter Regeln sind einfacher zu definieren. Der äußere Firewall ist häufig als Router Firewall implementiert. An das DMZ Netz sind weniger kritische Server angeschlossen. Die kritischen Server werden zusätzlich durch den inneren Firewall geschützt. Dieser ist häufig als Application Firewall implementiert. Intranet DMZ Internet Innerer Firewall Äußerer Firewall Name Server WEB Server css0621 ww6 wgs 01-98

49 Never install a Firewall Sie haben nicht das erforderliche Fachwissen Dipl.-Inf. Sebastian Schreiber SySS GmbH Friedrich-Dannenmann-Str Tübingen

50 Netzwerk Address Translation Internet von von nach nach Intern NAT Table extern Firewall Router von nach von nach cs 0663 ww6 wgs 01-04

51

Client/Server-Systeme

Client/Server-Systeme Client/Server-Systeme Prof. Dr.-Ing. Wilhelm G. Spruth WS 2005/2006 Teil 6 Sicherheitsprotokolle css 0633 ww6 wgs 01-98 Sicherheitsprotokolle voll symmetrisch Kerberos unternehmensintern asymmetrische

Mehr

Client/Server-Systeme

Client/Server-Systeme Client/Server-Systeme Prof. Dr.-Ing. Wilhelm G. Spruth WS 2006/2007 Teil 6 Sicherheitsprotokolle css 0633 ww6 wgs 01-98 Sicherheitsprotokolle voll symmetrisch Kerberos unternehmensintern asymmetrische

Mehr

Client/Server-Systeme

Client/Server-Systeme Client/Server-Systeme Prof. Dr.-Ing. Wilhelm G. Spruth WS 2007/2008 Teil 6 Sicherheitsprotokolle css 0633 ww6 wgs 01-98 Sicherheitsprotokolle voll symmetrisch Kerberos unternehmensintern asymmetrische

Mehr

Client/Server-Systeme

Client/Server-Systeme Client/Server-Systeme Prof. Dr.-Ing. Wilhelm G. Spruth WS 2003/04 Teil 6 Firewalls css 0633 ww6 wgs 01-98 SSL, PGP, S-Mime Sender Empfänger 1. Nachricht 2. Session Key 3 Nachricht 4. Public Key 5 Nachricht

Mehr

Client/Server-Systeme

Client/Server-Systeme Client/Server-Systeme Prof. Dr.-Ing. Wilhelm G. Spruth WS 2004 / 2005 Teil 6 Sicherheitsprotokolle css 0633 ww6 wgs 01-98 SSL, PGP, S-Mime Sender Empfänger 1. Nachricht 2. Session Key 3 Nachricht 4. Public

Mehr

Betriebssysteme it-akademie Bayern z/os und OS/390 Lehrgang 2009 Prof. Dr.-Ing. Wilhelm G. Spruth Teil 11 RACF

Betriebssysteme it-akademie Bayern z/os und OS/390 Lehrgang 2009 Prof. Dr.-Ing. Wilhelm G. Spruth Teil 11 RACF Betriebssysteme it-akademie Bayern z/os und OS/390 Lehrgang 2009 Prof. Dr.-Ing. Wilhelm G. Spruth Teil 11 RACF el0100 ww copyright W. G. Spruth, 10-2005 wgs 10-05 z/os Sicherheit Unter z/os kann ein Programm

Mehr

NAT & VPN. Adressübersetzung und Tunnelbildung. Bastian Görstner

NAT & VPN. Adressübersetzung und Tunnelbildung. Bastian Görstner Adressübersetzung und Tunnelbildung Bastian Görstner Gliederung 1. NAT 1. Was ist ein NAT 2. Kategorisierung 2. VPN 1. Was heißt VPN 2. Varianten 3. Tunneling 4. Security Bastian Görstner 2 NAT = Network

Mehr

Secure Sockets Layer (SSL) Prof. Dr. P. Trommler

Secure Sockets Layer (SSL) Prof. Dr. P. Trommler Secure Sockets Layer (SSL) Prof. Dr. P. Trommler Übersicht Internetsicherheit Protokoll Sitzungen Schlüssel und Algorithmen vereinbaren Exportversionen Public Keys Protokollnachrichten 29.10.2003 Prof.

Mehr

TLS ALS BEISPIEL FÜR EIN SICHERHEITSPROTOKOLL

TLS ALS BEISPIEL FÜR EIN SICHERHEITSPROTOKOLL 1 TLS ALS BEISPIEL FÜR EIN SICHERHEITSPROTOKOLL Kleine Auswahl bekannter Sicherheitsprotokolle X.509 Zertifikate / PKIX Standardisierte, häufig verwendete Datenstruktur zur Bindung von kryptographischen

Mehr

SSL-Protokoll und Internet-Sicherheit

SSL-Protokoll und Internet-Sicherheit SSL-Protokoll und Internet-Sicherheit Christina Bräutigam Universität Dortmund 5. Dezember 2005 Übersicht 1 Einleitung 2 Allgemeines zu SSL 3 Einbindung in TCP/IP 4 SSL 3.0-Sicherheitsschicht über TCP

Mehr

Secure Socket Layer v. 3.0

Secure Socket Layer v. 3.0 Konzepte von Betriebssystem-Komponenten Schwerpunkt Internetsicherheit Secure Socket Layer v. 3.0 (SSLv3) Zheng Yao 05.07.2004-1 - 1. Was ist SSL? SSL steht für Secure Socket Layer, ein Protokoll zur Übertragung

Mehr

Remote Access. Virtual Private Networks. 2000, Cisco Systems, Inc.

Remote Access. Virtual Private Networks. 2000, Cisco Systems, Inc. Remote Access Virtual Private Networks 2000, Cisco Systems, Inc. 1 Remote Access Telefon/Fax WWW Banking E-mail Analog (?) ISDN xdsl... 2 VPNs... Strong encryption, authentication Router, Firewalls, Endsysteme

Mehr

VIRTUAL PRIVATE NETWORKS

VIRTUAL PRIVATE NETWORKS VIRTUAL PRIVATE NETWORKS Seminar: Internet-Technologie Dozent: Prof. Dr. Lutz Wegner Virtual Private Networks - Agenda 1. VPN Was ist das? Definition Anforderungen Funktionsweise Anwendungsbereiche Pro

Mehr

VPN: SSL vs. IPSec. erfrakon - Erlewein, Frank, Konold & Partner Martin Konold Dr. Achim Frank. Präsentation auf dem

VPN: SSL vs. IPSec. erfrakon - Erlewein, Frank, Konold & Partner Martin Konold Dr. Achim Frank. Präsentation auf dem VPN: SSL vs. IPSec erfrakon - Erlewein, Frank, Konold & Partner Martin Konold Dr. Achim Frank Präsentation auf dem IT Security Forum 9. November 2005, Frankfurt erfrakon Erlewein, Frank, Konold & Partner

Mehr

Bernd Blümel. Verschlüsselung. Prof. Dr. Blümel

Bernd Blümel. Verschlüsselung. Prof. Dr. Blümel Bernd Blümel 2001 Verschlüsselung Gliederung 1. Symetrische Verschlüsselung 2. Asymetrische Verschlüsselung 3. Hybride Verfahren 4. SSL 5. pgp Verschlüsselung 111101111100001110000111000011 1100110 111101111100001110000111000011

Mehr

Sicherheitskonzepte für das Internet

Sicherheitskonzepte für das Internet Martin Raepple Sicherheitskonzepte für das Internet Grundlagen, Technologien und Lösungskonzepte für die kommerzielle Nutzung Technische Universität Darmstadt FACHBEREICH INFORMATIK B I B L 1 O T H E K

Mehr

Secure Socket Layer V.3.0

Secure Socket Layer V.3.0 Konzepte von Betriebssystem-Komponenten Schwerpunkt Internetsicherheit Secure Socket Layer V.3.0 (SSLv3) Zheng Yao 05.07.2004 1 Überblick 1.Was ist SSL? Bestandteile von SSL-Protokoll, Verbindungherstellung

Mehr

OEDIV SSL-VPN Portal Access for externals

OEDIV SSL-VPN Portal Access for externals OEDIV SSL-VPN Portal Access for externals Abteilung Serverbetreuung Andre Landwehr Date 31.07.2013 Version 1.2 Seite 1 von 9 Versionshistorie Version Datum Autor Bemerkung 1.0 06.08.2011 A. Landwehr Initial

Mehr

Vertraulichkeit für sensible Daten und Transparenz für ihre Prozesse

Vertraulichkeit für sensible Daten und Transparenz für ihre Prozesse Vertraulichkeit für sensible Daten und Transparenz für ihre Prozesse Christian Kreß General Manager SSH Communications Security christian.kress@ssh.com WE ENABLE, MONITOR & MANAGE ENCRYPTED NETWORKS Agenda

Mehr

Anmeldung über Netz Secure Socket Layer Secure Shell SSH 1 SSH 2. Systemverwaltung. Tatjana Heuser. Sep-2011. Tatjana Heuser: Systemverwaltung

Anmeldung über Netz Secure Socket Layer Secure Shell SSH 1 SSH 2. Systemverwaltung. Tatjana Heuser. Sep-2011. Tatjana Heuser: Systemverwaltung Systemverwaltung Tatjana Heuser Sep-2011 Anmeldung über Netz Secure Socket Layer Secure Shell Intro Client-Server SSH 1 Verbindungsaufbau SSH 2 Verbindungsaufbau Konfiguration Serverseite ssh Configuration

Mehr

Security Associations Schlüsseltausch IKE Internet Key Exchange Automatischer Schlüsseltausch und Identitätsnachweis

Security Associations Schlüsseltausch IKE Internet Key Exchange Automatischer Schlüsseltausch und Identitätsnachweis Wie Interoperabel ist IPsec? Ein Erfahrungsbericht Arturo Lopez Senior Consultant März 2003 Agenda Internet Protokoll Security (IPsec) implementiert Sicherheit auf Layer 3 in OSI Modell Application Presentation

Mehr

SSL/TLS und SSL-Zertifikate

SSL/TLS und SSL-Zertifikate SSL/TLS und SSL-Zertifikate Konzepte von Betriebssystem-Komponenten Informatik Lehrstuhl 4 16.06.10 KvBK Wolfgang Hüttenhofer sethur_blackcoat@web.de Motivation Sichere, verschlüsselte End-to-End Verbindung

Mehr

Seminar Neue Techologien in Internet und WWW

Seminar Neue Techologien in Internet und WWW Seminar Neue Techologien in Internet und WWW Sicherheit auf der Anwendungsschicht: HTTP mit SSL, TLS und dabei verwendete Verfahren Christian Raschka chrisra@informatik.uni-jena.de Seminar Neue Internettechnologien

Mehr

Cameraserver mini. commissioning. Ihre Vision ist unsere Aufgabe

Cameraserver mini. commissioning. Ihre Vision ist unsere Aufgabe Cameraserver mini commissioning Page 1 Cameraserver - commissioning Contents 1. Plug IN... 3 2. Turn ON... 3 3. Network configuration... 4 4. Client-Installation... 6 4.1 Desktop Client... 6 4.2 Silverlight

Mehr

Denn es geht um ihr Geld:

Denn es geht um ihr Geld: Denn es geht um ihr Geld: [A]symmetrische Verschlüsselung, Hashing, Zertifikate, SSL/TLS Warum Verschlüsselung? Austausch sensibler Daten über das Netz: Adressen, Passwörter, Bankdaten, PINs,... Gefahr

Mehr

Konfigurationsbeispiel USG & ZyWALL

Konfigurationsbeispiel USG & ZyWALL ZyXEL OTP (One Time Password) mit IPSec-VPN Konfigurationsbeispiel USG & ZyWALL Die Anleitung beschreibt, wie man den ZyXEL OTP Authentication Radius Server zusammen mit einer ZyWALL oder einer USG-Firewall

Mehr

IT-Sicherheit Kapitel 13. Email Sicherheit

IT-Sicherheit Kapitel 13. Email Sicherheit IT-Sicherheit Kapitel 13 Email Sicherheit Dr. Christian Rathgeb Sommersemester 2013 IT-Sicherheit Kapitel 13 Email-Sicherheit 1 Einführung Internet Mail: Der bekannteste Standard zum Übertragen von Emails

Mehr

Mainframe Internet Integration. Prof. Dr. Martin Bogdan Prof. Dr.-Ing. Wilhelm G. Spruth SS2013. WebSphere Application Server Teil 4

Mainframe Internet Integration. Prof. Dr. Martin Bogdan Prof. Dr.-Ing. Wilhelm G. Spruth SS2013. WebSphere Application Server Teil 4 UNIVERSITÄT LEIPZIG Mainframe Internet Integration Prof. Dr. Martin Bogdan Prof. Dr.-Ing. Wilhelm G. Spruth SS2013 WebSphere Application Server Teil 4 Leistungsverhalten el0100 copyright W. G. Spruth,

Mehr

VPN (Virtual Private Network)

VPN (Virtual Private Network) VPN (Virtual Private Network) basierend auf Linux (Debian) Server Praktikum Protokolle Bei Prof. Dr. Gilbert Brands Gliederung Gliederung 1. Was ist VPN 2. VPN-Implementierungen 3. Funktionsweise von OpenVPN

Mehr

Sicherheit in Netzwerken. Leonard Claus, WS 2012 / 2013

Sicherheit in Netzwerken. Leonard Claus, WS 2012 / 2013 Sicherheit in Netzwerken Leonard Claus, WS 2012 / 2013 Inhalt 1 Definition eines Sicherheitsbegriffs 2 Einführung in die Kryptografie 3 Netzwerksicherheit 3.1 E-Mail-Sicherheit 3.2 Sicherheit im Web 4

Mehr

Keynote. SSL verstehen. Prof. Dr. Peter Heinzmann

Keynote. SSL verstehen. Prof. Dr. Peter Heinzmann ASec IT Solutions AG "Secure SSL" Tagung 9. September 2005, Hotel Mövenpick Glattbrugg Keynote SSL verstehen Prof. Dr. Peter Heinzmann Institut für Internet-Technologien und Anwendungen, HSR Hochschule

Mehr

VPN: Virtual-Private-Networks

VPN: Virtual-Private-Networks Referate-Seminar WS 2001/2002 Grundlagen, Konzepte, Beispiele Seminararbeit im Fach Wirtschaftsinformatik Justus-Liebig-Universität Giessen 03. März 2002 Ziel des Vortrags Beantwortung der folgenden Fragen:

Mehr

Virtuelle Netze. Virtuelle Netze von Simon Knierim und Benjamin Skirlo 1 Von 10-16.04.07. Simon Knierim & Benjamin Skirlo.

Virtuelle Netze. Virtuelle Netze von Simon Knierim und Benjamin Skirlo 1 Von 10-16.04.07. Simon Knierim & Benjamin Skirlo. 1 Von 10-16.04.07 Virtuelle Netze Simon Knierim & Benjamin Skirlo für Herrn Herrman Schulzentrum Bremen Vegesack Berufliche Schulen für Metall- und Elektrotechnik 2 Von 10-16.04.07 Inhaltsverzeichnis Allgemeines...

Mehr

Virtual Private Networks mit OpenVPN. Matthias Schmidt Chaostreff Giessen/Marburg

Virtual Private Networks mit OpenVPN. Matthias Schmidt <xhr@giessen.ccc.de> Chaostreff Giessen/Marburg Virtual Private Networks mit OpenVPN Matthias Schmidt Agenda Einführung Szenarien Protokolle Transport Layer Security v1 pre-shared keys Installation Konfiguration Wichtige Parameter

Mehr

Virtual Private Networks Hohe Sicherheit wird bezahlbar

Virtual Private Networks Hohe Sicherheit wird bezahlbar Virtual Private Networks Hohe Sicherheit wird bezahlbar Paul Schöbi, cnlab AG paul.schoebi@cnlab.ch www.cnlab.ch Präsentation unter repertoire verfügbar 27.10.99 1 : Internet Engineering Dr. Paul Schöbi

Mehr

Sichere Abwicklung von Geschäftsvorgängen im Internet

Sichere Abwicklung von Geschäftsvorgängen im Internet Sichere Abwicklung von Geschäftsvorgängen im Internet Diplomarbeit von Peter Hild Theoretische Grundlagen der Kryptologie Vorhandene Sicherheitskonzepte für das WWW Bewertung dieser Konzepte Simulation

Mehr

German English Firmware translation for T-Sinus 154 Access Point

German English Firmware translation for T-Sinus 154 Access Point German English Firmware translation for T-Sinus 154 Access Point Konfigurationsprogramm Configuration program (english translation italic type) Dieses Programm ermöglicht Ihnen Einstellungen in Ihrem Wireless

Mehr

Site2Site VPN S T E F A N K U S I E K B F W L E I P Z I G

Site2Site VPN S T E F A N K U S I E K B F W L E I P Z I G Site2Site VPN S T E F A N K U S I E K B F W L E I P Z I G Übersicht Einleitung IPSec SSL RED Gegenüberstellung Site-to-Site VPN Internet LAN LAN VPN Gateway VPN Gateway Encrypted VPN - Technologien Remote

Mehr

Firewalls und Virtuelle Private Netze

Firewalls und Virtuelle Private Netze s und Virtuelle Private Netze Jürgen Quittek Institut für Informatik Freie Universität Berlin C&C Research Laboratories NEC Europe Ltd., Berlin Vorlesung Rechnernetze Institut für Informatik Freie Universität

Mehr

TCP/IP-Protokollfamilie

TCP/IP-Protokollfamilie TCP/IP-Protokollfamilie Internet-Protokolle Mit den Internet-Protokollen kann man via LAN- oder WAN kommunizieren. Die bekanntesten Internet-Protokolle sind das Transmission Control Protokoll (TCP) und

Mehr

Load balancing Router with / mit DMZ

Load balancing Router with / mit DMZ ALL7000 Load balancing Router with / mit DMZ Deutsch Seite 3 English Page 10 ALL7000 Quick Installation Guide / Express Setup ALL7000 Quick Installation Guide / Express Setup - 2 - Hardware Beschreibung

Mehr

Martin Vorländer PDV-SYSTEME GmbH

Martin Vorländer PDV-SYSTEME GmbH SSH - eine Einführung Martin Vorländer PDV-SYSTEME GmbH Das Problem TCP/IP-Dienste (z.b. Telnet, FTP, POP3, SMTP, r Services, X Windows) übertragen alle Daten im Klartext - auch Passwörter! Es existieren

Mehr

Exkurs: IPSec. Brandenburg an der Havel, den 5. Juni 2005

Exkurs: IPSec. <muehlber@fh-brandenburg.de> Brandenburg an der Havel, den 5. Juni 2005 Exkurs: IPSec Brandenburg an der Havel, den 5. Juni 2005 1 Gliederung 1. IPSec: Problem und Lösung 2. Übertragungsmodi 3. Encapsulating Security Payload 4. Authentication Header

Mehr

PKI (public key infrastructure)

PKI (public key infrastructure) PKI (public key infrastructure) am Fritz-Haber-Institut 11. Mai 2015, Bilder: Mehr Sicherheit durch PKI-Technologie, Network Training and Consulting Verschlüsselung allgemein Bei einer Übertragung von

Mehr

Kurzeinführung VPN. Veranstaltung. Rechnernetze II

Kurzeinführung VPN. Veranstaltung. Rechnernetze II Kurzeinführung VPN Veranstaltung Rechnernetze II Übersicht Was bedeutet VPN? VPN Typen VPN Anforderungen Was sind VPNs? Virtuelles Privates Netzwerk Mehrere entfernte lokale Netzwerke werden wie ein zusammenhängendes

Mehr

Seminar Internet-Technologie

Seminar Internet-Technologie Seminar Internet-Technologie Zertifikate, SSL, SSH, HTTPS Christian Kothe Wintersemester 2008 / 2009 Inhalt Asymmetrisches Kryptosystem Digitale Zertifikate Zertifikatsformat X.509 Extended-Validation-Zertifikat

Mehr

SSL VPNs 2G06. VPNs eine Übersicht. IT-Symposium 2004. Andreas Aurand Network Consultant NWCC, HP. www.decus.de

SSL VPNs 2G06. VPNs eine Übersicht. IT-Symposium 2004. Andreas Aurand Network Consultant NWCC, HP. www.decus.de SSL VPNs 2G06 Andreas Aurand Network Consultant NWCC, HP 2004 Hewlett-Packard Development Company, L.P. The information contained herein is subject to change without notice VPNs eine Übersicht 1 VPNs Virtual

Mehr

VPN-Technologien gestern und heute Entwicklungen, Tendenzen und Fakten

VPN-Technologien gestern und heute Entwicklungen, Tendenzen und Fakten VPN-Technologien gestern und heute Entwicklungen, Tendenzen und Fakten Dr. Matthias Rosche Manager Security Consulting 1 Agenda VPN-Technologien Kundenwünsche und Praxis Neue Lösungsansätze Empfehlungen

Mehr

NEWSLETTER. FileDirector Version 2.5 Novelties. Filing system designer. Filing system in WinClient

NEWSLETTER. FileDirector Version 2.5 Novelties. Filing system designer. Filing system in WinClient Filing system designer FileDirector Version 2.5 Novelties FileDirector offers an easy way to design the filing system in WinClient. The filing system provides an Explorer-like structure in WinClient. The

Mehr

Instruktionen Mozilla Thunderbird Seite 1

Instruktionen Mozilla Thunderbird Seite 1 Instruktionen Mozilla Thunderbird Seite 1 Instruktionen Mozilla Thunderbird Dieses Handbuch wird für Benutzer geschrieben, die bereits ein E-Mail-Konto zusammenbauen lassen im Mozilla Thunderbird und wird

Mehr

PGP und das Web of Trust

PGP und das Web of Trust PGP und das Web of Trust Thomas Merkel Frubar Network 14. Juni 2007 E509 273D 2107 23A6 AD86 1879 4C0E 6BFD E80B F2AB Thomas Merkel (Frubar Network) PGP und das Web of Trust 14. Juni

Mehr

Transport Layer Security Nachtrag Angriffe

Transport Layer Security Nachtrag Angriffe Transport Layer Security Nachtrag Angriffe TLS Replay Attack TLS Replay Angriff Annahme Server sendet keine Nonce, oder immer gleiche Client generiert Pre-Master Secret, Schlüsselmaterial über KDF (deterministisch!)

Mehr

RACFBroker/z. Entfernter Zugriff auf das RACF Sicherheitssystem auf IBM Mainframes über TCP/IP. RACFBroker/z ist ein Produkt der

RACFBroker/z. Entfernter Zugriff auf das RACF Sicherheitssystem auf IBM Mainframes über TCP/IP. RACFBroker/z ist ein Produkt der RACFBroker/z Entfernter Zugriff auf das RACF Sicherheitssystem auf IBM Mainframes über TCP/IP RACFBroker/z ist ein Produkt der XPS Software GmbH Eching RACFBroker/z XPS Software GmbH Untere Hauptstr. 2

Mehr

VPN VPN requirements Encryption

VPN VPN requirements Encryption Overview VPN VPN requirements Encryption VPN-Types Protocols VPN and Firewalls Joachim Zumbrägel 1 VPN - Definition VPNs (Virtual Private Networks) allow secure data transmission i over insecure connections.

Mehr

Seite - 1 - 12. IPsec Client / Gateway mit Zertifikaten (CA / DynDNS) 12.1 Einleitung

Seite - 1 - 12. IPsec Client / Gateway mit Zertifikaten (CA / DynDNS) 12.1 Einleitung 12. IPsec Client / Gateway mit Zertifikaten (CA / DynDNS) 12.1 Einleitung Sie konfigurieren eine IPsec Verbindung zwischen dem IPsec Client und der UTM. Die UTM hat eine dynamische IP-Adresse und ist über

Mehr

IT-Sicherheit Kapitel 11 SSL/TLS

IT-Sicherheit Kapitel 11 SSL/TLS IT-Sicherheit Kapitel 11 SSL/TLS Dr. Christian Rathgeb Sommersemester 2014 1 Einführung SSL/TLS im TCP/IP-Stack: SSL/TLS bietet (1) Server-Authentifizierung oder Server und Client- Authentifizierung (2)

Mehr

Public Key Infrastruktur. Georg Gruber & Georg Refenner 26.Jänner 2009 ITTK 09

Public Key Infrastruktur. Georg Gruber & Georg Refenner 26.Jänner 2009 ITTK 09 Public Key Infrastruktur Georg Gruber & Georg Refenner 26.Jänner 2009 ITTK 09 Grundlagen Symmetrische Verschlüsselung Asymmetrische Verschlüsselung Hybridverschlüsselung Hashverfahren/Digitale Signaturen

Mehr

300Mbps Wireless Outdoor PoE Access Point/Bridge Quick Installation Guide

300Mbps Wireless Outdoor PoE Access Point/Bridge Quick Installation Guide LevelOne WAB-5120 300Mbps Wireless Outdoor PoE Access Point/Bridge Quick Installation Guide English Deutsch - 1 - Table of Content English... - 3 - Deutsch... - 9 - This guide covers only the most common

Mehr

Der Adapter Z250I / Z270I lässt sich auf folgenden Betriebssystemen installieren:

Der Adapter Z250I / Z270I lässt sich auf folgenden Betriebssystemen installieren: Installationshinweise Z250I / Z270I Adapter IR USB Installation hints Z250I / Z270I Adapter IR USB 06/07 (Laden Sie den Treiber vom WEB, entpacken Sie ihn in ein leeres Verzeichnis und geben Sie dieses

Mehr

Modul 6 Virtuelle Private Netze (VPNs) und Tunneling

Modul 6 Virtuelle Private Netze (VPNs) und Tunneling Modul 6 Virtuelle Private Netze (VPNs) und Tunneling M. Leischner Netzmanagement Folie 1 Virtuelle Private Netze Begriffsdefinition Fortsetz. VPNC Definition "A virtual private network (VPN) is a private

Mehr

Fachbereich Medienproduktion

Fachbereich Medienproduktion Fachbereich Medienproduktion Herzlich willkommen zur Vorlesung im Studienfach: Grundlagen der Informatik I Security Rev.00 FB2, Grundlagen der Informatik I 2 Paketaufbau Application Host 1 Payload Hallo

Mehr

im DFN Berlin 18.10.2011 Renate Schroeder, DFN-Verein

im DFN Berlin 18.10.2011 Renate Schroeder, DFN-Verein VoIP-Verschlüsselung Verschlüsselung im DFN Berlin 18.10.2011 Renate Schroeder, DFN-Verein Einordnung VoIP in DFNFernsprechen VoIP seit 5 Jahren im DFN verfügbar VoIP ist Teil des Fernsprechdienstes DFNFernsprechen

Mehr

RACFBroker/j. Entfernter Zugriff auf das RACF Sicherheitssystem auf IBM Mainframes über TCP/IP. RACFBroker/j ist ein Produkt der

RACFBroker/j. Entfernter Zugriff auf das RACF Sicherheitssystem auf IBM Mainframes über TCP/IP. RACFBroker/j ist ein Produkt der RACFBroker/j Entfernter Zugriff auf das RACF Sicherheitssystem auf IBM Mainframes über TCP/IP RACFBroker/j ist ein Produkt der XPS Software GmbH Eching RACFBroker/j XPS Software GmbH Untere Hauptstr. 2

Mehr

p^db=`oj===pìééçêíáåñçêã~íáçå=

p^db=`oj===pìééçêíáåñçêã~íáçå= p^db=`oj===pìééçêíáåñçêã~íáçå= Error: "Could not connect to the SQL Server Instance" or "Failed to open a connection to the database." When you attempt to launch ACT! by Sage or ACT by Sage Premium for

Mehr

Virtual Private Networks. Hans Peter Dittler BRAINTEC Netzwerk-Consulting GmbH

Virtual Private Networks. Hans Peter Dittler BRAINTEC Netzwerk-Consulting GmbH Virtual Private Networks Hans Peter Dittler BRAINTEC Netzwerk-Consulting GmbH Inhalt Einleitung Grundlagen Kryptographie IPSec Firewall Point-to-Point Tunnel Protokoll Layer 2 Tunnel Protokoll Secure Shell

Mehr

ZK2000SF ACCESS CONTROL ZUTRITTSKONTROLLE

ZK2000SF ACCESS CONTROL ZUTRITTSKONTROLLE ZUTRITTSKONTROLLE ACCESS CONTROL SMPX.xx SMPX.xG ZK2000SF Kommunikation über ISDN oder TCP/IP Intelligenter ler Individuelle Rechteverwaltung Verwaltung von 150.000 Personen Communication via ISDN or TCP/IP

Mehr

Anwendung der Aspektorientierung : Security

Anwendung der Aspektorientierung : Security Seminar AOSD Anwendung der Aspektorientierung : Security Miao Tang Betreuer: Dipl.-Inform. Dirk Wischermann 1. Motivation Anwendung der AO: Security 2 Sicherheitsprobleme beim Design und bei der Programmierung

Mehr

Verteilte Systeme. Übung 10. Jens Müller-Iden

Verteilte Systeme. Übung 10. Jens Müller-Iden Verteilte Systeme Übung 10 Jens Müller-Iden Gruppe PVS (Parallele und Verteilte Systeme) Institut für Informatik Westfälische Wilhelms-Universität Münster Sommersemester 2007 10.1 Unsicherheit in Verteilten

Mehr

ReadMe zur Installation der BRICKware for Windows, Version 6.1.2. ReadMe on Installing BRICKware for Windows, Version 6.1.2

ReadMe zur Installation der BRICKware for Windows, Version 6.1.2. ReadMe on Installing BRICKware for Windows, Version 6.1.2 ReadMe zur Installation der BRICKware for Windows, Version 6.1.2 Seiten 2-4 ReadMe on Installing BRICKware for Windows, Version 6.1.2 Pages 5/6 BRICKware for Windows ReadMe 1 1 BRICKware for Windows, Version

Mehr

VS3 Slide 1. Verteilte Systeme. Vorlesung 3 vom 22.04.2004 Dr. Sebastian Iwanowski FH Wedel

VS3 Slide 1. Verteilte Systeme. Vorlesung 3 vom 22.04.2004 Dr. Sebastian Iwanowski FH Wedel VS3 Slide 1 Verteilte Systeme Vorlesung 3 vom 22.04.2004 Dr. Sebastian Iwanowski FH Wedel Inhaltsverzeichnis für die Vorlesung Zur Motivation: 4 Beispiele aus der Praxis Allgemeine Anforderungen an Verteilte

Mehr

Sicherheitsdienste für große Firmen => Teil 2: Firewalls

Sicherheitsdienste für große Firmen => Teil 2: Firewalls Seite 21 Sicherheitsdienste für große Firmen => Teil 2: Firewalls Sicherer Zugang zum World Wide Web (HTTP, FTP etc.) Sicherer Übergang zum Internet: Firewalls und Intrusion Detection Verzeichnisdienste

Mehr

HTWK Leipzig. Matthias Jauernig. Die Secure Shell

HTWK Leipzig. Matthias Jauernig. Die Secure Shell LV Kryptologie WS06/07, HTWK Leipzig Matthias Jauernig 12.12.06 SSH Die Secure Shell Inhalt 1. Motivation 2. Historie 3. Funktionsweise von SSH-2 4. Das OpenSSH Programmpaket 5. Schlussbemerkungen, Links

Mehr

IDS Lizenzierung für IDS und HDR. Primärserver IDS Lizenz HDR Lizenz

IDS Lizenzierung für IDS und HDR. Primärserver IDS Lizenz HDR Lizenz IDS Lizenzierung für IDS und HDR Primärserver IDS Lizenz HDR Lizenz Workgroup V7.3x oder V9.x Required Not Available Primärserver Express V10.0 Workgroup V10.0 Enterprise V7.3x, V9.x or V10.0 IDS Lizenz

Mehr

Application Layer Gateway

Application Layer Gateway Gesicherte Videokonferenzen mit einem Application Layer Gateway Karl-Hermann Fischer Sales Consultant fischer@gsmue.pandacom.de 1 Das Unternehmen Systemintegrator und Dienstleister im Bereich der Netzwerke

Mehr

ALL1681 Wireless 802.11g Powerline Router Quick Installation Guide

ALL1681 Wireless 802.11g Powerline Router Quick Installation Guide ALL1681 Wireless 802.11g Powerline Router Quick Installation Guide 1 SET ALL1681 Upon you receive your wireless Router, please check that the following contents are packaged: - Powerline Wireless Router

Mehr

p^db=`oj===pìééçêíáåñçêã~íáçå=

p^db=`oj===pìééçêíáåñçêã~íáçå= p^db=`oj===pìééçêíáåñçêã~íáçå= How to Disable User Account Control (UAC) in Windows Vista You are attempting to install or uninstall ACT! when Windows does not allow you access to needed files or folders.

Mehr

Verteilte Systeme. 10.1 Unsicherheit in Verteilten Systemen

Verteilte Systeme. 10.1 Unsicherheit in Verteilten Systemen Verteilte Systeme Übung 10 Jens Müller-Iden Gruppe PVS (Parallele und Verteilte Systeme) Institut für Informatik Westfälische Wilhelms-Universität Münster Sommersemester 2007 10.1 Unsicherheit in Verteilten

Mehr

Sicherheitsmanagement in TCP/IP-Netzen

Sicherheitsmanagement in TCP/IP-Netzen Kai Martius Sicherheitsmanagement in TCP/IP-Netzen Aktuelle Protokolle, praktischer Einsatz, neue Entwicklungen vieweg Inhalt Einleitung 1 Was kann man aus diesem Buch erfahren 2 Wegweiser durch das Buch

Mehr

Dipl.-Ök. Thorben Sandner Institut für Wirtschaftsinformatik Leibniz Universität Hannover. sandner@iwi.uni-hannover.de

Dipl.-Ök. Thorben Sandner Institut für Wirtschaftsinformatik Leibniz Universität Hannover. sandner@iwi.uni-hannover.de 23. Juni 2009 Dipl.-Ök. Thorben Sandner sandner@iwi.uni-hannover.de Überblick technische Maßnahmen Authentifizierung Autorisierung Kryptographie Public Key Infrastrukturen Firewalls Sichere Netzwerkverbindungen

Mehr

How to use the large-capacity computer Lilli? IMPORTANT: Access only on JKU Campus!! Using Windows:

How to use the large-capacity computer Lilli? IMPORTANT: Access only on JKU Campus!! Using Windows: How to use the large-capacity computer Lilli? IMPORTANT: Access only on JKU Campus!! Using Windows: In order to connect to Lilli you need to install the program PUTTY. The program enables you to create

Mehr

1.1 Media Gateway - SIP-Sicherheit verbessert

1.1 Media Gateway - SIP-Sicherheit verbessert Deutsch Read Me System Software 7.10.6 PATCH 2 Diese Version unserer Systemsoftware ist für die Gateways der Rxxx2- und der RTxxx2-Serie verfügbar. Beachten Sie, dass ggf. nicht alle hier beschriebenen

Mehr

Effizienz im Vor-Ort-Service

Effizienz im Vor-Ort-Service Installation: Anleitung SatWork Integrierte Auftragsabwicklung & -Disposition Februar 2012 Disposition & Auftragsabwicklung Effizienz im Vor-Ort-Service Disclaimer Vertraulichkeit Der Inhalt dieses Dokuments

Mehr

Gestaltung von virtuellen privaten Netzwerken (VPN) - Tunneling und Encryption

Gestaltung von virtuellen privaten Netzwerken (VPN) - Tunneling und Encryption Gestaltung von virtuellen privaten Netzwerken (VPN) - Tunneling und Encryption Markus Keil IBH Prof. Dr. Horn GmbH Gostritzer Str. 61-63 01217 Dresden http://www.ibh.de/ support@ibh.de 1 2 Was ist ein

Mehr

Ingenics Project Portal

Ingenics Project Portal Version: 00; Status: E Seite: 1/6 This document is drawn to show the functions of the project portal developed by Ingenics AG. To use the portal enter the following URL in your Browser: https://projectportal.ingenics.de

Mehr

Internet Security: Verfahren & Protokolle

Internet Security: Verfahren & Protokolle Internet Security: Verfahren & Protokolle 39 20 13 Vorlesung im Grundstudium NWI (auch MGS) im Sommersemester 2003 2 SWS, Freitag 10-12, H10 Peter Koch pk@techfak.uni-bielefeld.de 20.06.2003 Internet Security:

Mehr

Employment and Salary Verification in the Internet (PA-PA-US)

Employment and Salary Verification in the Internet (PA-PA-US) Employment and Salary Verification in the Internet (PA-PA-US) HELP.PYUS Release 4.6C Employment and Salary Verification in the Internet (PA-PA-US SAP AG Copyright Copyright 2001 SAP AG. Alle Rechte vorbehalten.

Mehr

VPN unterstützt 3 verschiedene Szenarien: Host to Host: Dies kennzeichnet eine sichere 1:1 Verbindung zweier Computer, z.b. über das Internet.

VPN unterstützt 3 verschiedene Szenarien: Host to Host: Dies kennzeichnet eine sichere 1:1 Verbindung zweier Computer, z.b. über das Internet. 1. VPN Virtual Private Network Ein VPN wird eingesetzt, um eine teure dedizierte WAN Leitung (z.b. T1, E1) zu ersetzen. Die WAN Leitungen sind nicht nur teuer, sondern auch unflexibel, da eine Leitung

Mehr

Sichere Identitäten in Smart Grids

Sichere Identitäten in Smart Grids Informationstag "IT-Sicherheit im Smart Grid" Berlin, 23.05.2012 Sichere Identitäten in Smart Grids Dr. Thomas Störtkuhl, Agenda 1 2 Beispiele für Kommunikationen Digitale Zertifikate: Basis für Authentifizierung

Mehr

Konfigurationsanleitung Access Control Lists (ACL) Funkwerk. Copyright Stefan Dahler - www.neo-one.de 13. Oktober 2008 Version 1.0.

Konfigurationsanleitung Access Control Lists (ACL) Funkwerk. Copyright Stefan Dahler - www.neo-one.de 13. Oktober 2008 Version 1.0. Konfigurationsanleitung Access Control Lists (ACL) Funkwerk Copyright Stefan Dahler - www.neo-one.de 13. Oktober 2008 Version 1.0 Seite - 1 - 1. Konfiguration der Access Listen 1.1 Einleitung Im Folgenden

Mehr

Zentrum für Informationsdienste und Hochleistungsrechnen (ZIH) Technische Grundlagen und Beispiele. Christian Hoffmann & Hanjo, Müller

Zentrum für Informationsdienste und Hochleistungsrechnen (ZIH) Technische Grundlagen und Beispiele. Christian Hoffmann & Hanjo, Müller Zentrum für Informationsdienste und Hochleistungsrechnen (ZIH) VPN (Virtual Private Network) Technische Grundlagen und Beispiele Christian Hoffmann & Hanjo, Müller Dresden, 3. April 2006 Übersicht Begriffsklärung

Mehr

Digitale Signatur. Digitale Signatur. Anwendungen der Kryptographie. Secret Sharing / Splitting. Ziele SSL / TLS

Digitale Signatur. Digitale Signatur. Anwendungen der Kryptographie. Secret Sharing / Splitting. Ziele SSL / TLS Digitale Signatur Digitale Signatur kombiniert Hash Funktion und Signatur M, SIGK(HASH(M)) wichtige Frage: Wie wird der Bithaufen M interpretiert Struktur von M muss klar definiert sein Wie weiss ich,

Mehr

Prinzipiell wird bei IP-basierenden VPNs zwischen zwei unterschiedlichen Ansätzen unterschieden:

Prinzipiell wird bei IP-basierenden VPNs zwischen zwei unterschiedlichen Ansätzen unterschieden: Abkürzung für "Virtual Private Network" ein VPN ist ein Netzwerk bestehend aus virtuellen Verbindungen (z.b. Internet), über die nicht öffentliche bzw. firmeninterne Daten sicher übertragen werden. Die

Mehr

Mobility Support by HIP

Mobility Support by HIP Mobile Systems Seminar Mobility Support by HIP Universität Zürich Institut für Informatik Professor Dr. Burkhard Stiller Betreuer Peter Racz 8 Mai 2008 Svetlana Gerster 01-728-880 1 Gliederung OSI und

Mehr

1. General information... 2 2. Login... 2 3. Home... 3 4. Current applications... 3

1. General information... 2 2. Login... 2 3. Home... 3 4. Current applications... 3 User Manual for Marketing Authorisation and Lifecycle Management of Medicines Inhalt: User Manual for Marketing Authorisation and Lifecycle Management of Medicines... 1 1. General information... 2 2. Login...

Mehr

Microsoft Azure Fundamentals MOC 10979

Microsoft Azure Fundamentals MOC 10979 Microsoft Azure Fundamentals MOC 10979 In dem Kurs Microsoft Azure Fundamentals (MOC 10979) erhalten Sie praktische Anleitungen und Praxiserfahrung in der Implementierung von Microsoft Azure. Ihnen werden

Mehr

Security + Firewall. 3.0 IPsec Client Einwahl. 3.1 Szenario

Security + Firewall. 3.0 IPsec Client Einwahl. 3.1 Szenario 3.0 IPsec Client Einwahl 3.1 Szenario In dem folgenden Szenario werden Sie eine IPsec Verbindung zwischen einem IPsec Gateway und dem IPsec Client konfigurieren. Die Zentrale hat eine feste IP-Adresse

Mehr

Workshop: IPSec. 20. Chaos Communication Congress

Workshop: IPSec. 20. Chaos Communication Congress Cryx (cryx at h3q dot com), v1.1 Workshop: IPSec 20. Chaos Communication Congress In diesem Workshop soll ein kurzer Überblick über IPSec, seine Funktionsweise und Einsatzmöglichkeiten gegeben werden.

Mehr

Verschlüsselungs. sselungs- verfahren. Mario Leimgruber. AMREIN EN GIN EERIN G Messaging & Gr oupwar e Solutions

Verschlüsselungs. sselungs- verfahren. Mario Leimgruber. AMREIN EN GIN EERIN G Messaging & Gr oupwar e Solutions Verschlüsselungs sselungs- verfahren Mario Leimgruber AMREIN EN GIN EERIN G Messaging & Gr oupwar e Solutions Varianten - Symetrisches Verfahren - Asymetrische Verfahren - Hybrid Verfahren Symmetrische

Mehr

Remote Control - LeCroy Oszilloskop WaveSurfer 3000 mit LabVIEW via VICP LAN-Schnittstelle

Remote Control - LeCroy Oszilloskop WaveSurfer 3000 mit LabVIEW via VICP LAN-Schnittstelle Remote Control - LeCroy Oszilloskop WaveSurfer 3000 mit LabVIEW via VICP LAN-Schnittstelle Damit LeCroy Oszilloskope der Serie WaveSurfer 3000 mit LabVIEW via LAN (VICP) gesteuert werden können werden

Mehr

IP Telefonie Sicherheit mit Cisco Unified Communications Manager

IP Telefonie Sicherheit mit Cisco Unified Communications Manager IP Telefonie Sicherheit mit Cisco Unified Communications Manager Dipl. Ing. (FH) Thomas Ströhm Friday, November 09, 2007 Überblick Security Herausforderungen der IP-Telefonie Einsatz von Secure RTP mit

Mehr