Sicherheit in IT-Systemen. M. Kämmerer & G. Klos mkaemmer@uni-mainz.de

Transkript

1 Sicherheit in IT-Systemen M. Kämmerer & G. Klos

2 Am Anfang war die Röhre

3 IT-Entwicklung Bedienung durch speziell geschultes Personal. Bedienung ohne besondere Schulung möglich

4 IT-Entwicklung

5 IT-Entwicklung

6 IT-Entwicklung

7 Neue Tatsachen Exponentielles Wachstum der digital gespeicherten Datenbestände Verknüpfungen der Daten in bisher noch nie möglich gewesener Art und Weise Datenverfügbarkeit wird ort- und zeitunabhängig

8 Neue Gefahren Datenverlust Datamining Unberechtigter Datenzugriff Hardware - Hijacking

9 Neue Feinde Spammer, enepper Script Kiddies, Hacker ebugs (Viren, Trojaner, Würmer etc.) Staatliche Einrichtungen

10 Alte Verpflichtungen Schweigepflicht ( 9 MBO) Grundgesetz (Recht auf Schutz der Persönlichkeit) Datenaufbewahrungs-/ dokumentationspflicht ( 28 RöV, 10 MBO) Datenvernichtungspflicht nach Ablauf der Aufbewahrungsfristen ( 36 Abs. 6 LKG) Datenschutzgesetze (LKG/ BDSG/ LDSG)

11 Konsequenz Offline arbeiten?

12 Gefahren & Schutzmaßnahmen

13 Problemzonen WWW

14 A B C Ausrüstung zum Eintauchen in den großen Datenstrom

15 A Zugangsbeschränkung - An- & Abmelden am System / Applikation Benutzer Paßwort wie EC-PIN behandeln Einigermaßen sicheres Paßwort wählen Administrator Automatisches Abmelden Verschiedene Anmeldeverfahren zulassen Single Login (z.b. LDAP)

16 B Systempflege & Wartung Regelmäßige System Updates System- & Datensicherungskonzept

17 C Virenscanner & Firewall z.b. McAfee, Norton z.b. Kerio, Zone Alarm (Quelle: c t 8/2004, S. 164)

18 Problemzone 1

19 Gefahren (Versand) Versand s werden als Klartext versendet und können über jeden am Datentransfer beteiligten Computer gelesen werden. kann abgefangen und verändert weitergeschickt werden.

20 Gefahren (Versand)

21 Echelon (Quelle: Der Spiegel 13/99)

22 Echelon - Anwendung Die Lopez-Affäre zwischen GM und VW 1996 war auf eine von der NSA abgehörte Videokonferenz zurück zu führen.

23 Versand Schutzlösungen (Versand) signieren

24 Versand Schutzlösungen (Versand) verschlüsseln

25 Schutzlösungen (Versand) - PGP kompatibel z.b. (kommerziell) -x.509 Zertifikate z.b. - Gesundheitskarte, Health Professional Card - Job Card (kommerziell)

26 Gefahren (Empfang) Empfang Dateianhänge mit ebugs, Dialern etc. HTML-Mail mit automatischen Nachladen von Bildern oder anderer Dateien als Authentizitätsnachweis der Adresse. HTML-Mail mit Auto-Aktivierung von Programmcode (z.b. Java, Java Script, Makros).

27 Schutzlösungen (Empfang) Programm absichern JavaScript abstellen. HTML Darstellung auf Plain Text umstellen. Nachladen von Dateien unterbinden. Automatisches Öffnen von -anhängen abschalten. Bedienung Nicht angeforderte oder abgesprochenen -anhänge verwerfen oder gesichert öffnen. Die -anhänge vor öffnen/ ausführen auf ebugs überprüfen (Virenscanner). unklarer Absender lieber löschen als öffnen.

28 Problemzone 2 WWW

29 WWW-Funktionsweise

30 WWW-Funktionsweise Webbrowser Anzeigeprogramm für strukturierte Daten (HTML) Bilder Ausgabe bei Programmcodeausführung (Java/ JavaScript/ VB)

31 WWW - Gefahren Laden, Ausführen von Programmen (aktiv oder passiv). Daten werden im Klartext übermittelt. Persönliche Daten werden bereits über das HTML Protokoll mitgeteilt.

32 WWW - Gefahren Programmcode laden & ausführen

33 WWW - Schutzlösungen Webbrowser richtig konfigurieren z.b. Internet Explorer meiden Gesundes Mißtrauen und Augen auf!

34 WWW - Gefahren Laden, Ausführen von Programmen (aktiv oder passiv). Daten werden im Klartext übermittelt. Persönliche Daten werden bereits über das HTML Protokoll mitgeteilt.

35 WWW - Gefahren Übermittelung von Klartext

36 WWW - Schutzlösungen Verschlüsselter Übertragungsweg (SSL/ TLS) Mozilla/ Netsacape Internet Explorer

37 WWW - Gefahren Laden, Ausführen von Programmen (aktiv oder passiv). Daten werden im Klartext übermittelt. Persönliche Daten werden bereits über das HTML Protokoll mitgeteilt.

38 WWW - Gefahren Geschwätziger Standard

39 WWW Schutzlösungen Anonymisierer verwenden z.b. JAP Java Anon Proxy Gesundheitsbrowser ab 2005 (ZTG)

40

41 Vielen Dank!