Sicherheit in Portalanwendungen

Transkript

1 Sicherheit in Portalanwendungen wie beeinflusst der Browser die Systementwicklung München Hamburg Grenoble Prag Dr. Robert Zores München,

2 Überblick Beispiele Automarktplatz Steuerportal Browserinfrastruktur Browser Sicherheit Überblick zur Portalinfrastruktur ElsterOnline Systemlandschaft Architektur Entwicklungsstrategie Systemstabilität Einführung Geschäftsmodelle Technologien 13/04/2010 mgm technology partners GmbH 2

3 Geschäftsmodelle / Technologien E-Commerce Shop (lidl.de, kickz.com) Auktion (ebay) Affiliates (Amazon) Protokolle Formate Server Client Kleinanzeigen autoscout24.de Immoscout24.de HTTP HTML Java Java (applet) Werbung lead Generierung, Kontaktanbahnung Leistungsabhängig HTTPS XHTML Perl JavaScript Memberships (WebService) XML PHP Flash Friendscout24.de social networks Cloud Computing Phython Storage CDN (content delivery networks) AppStore, SaaS, etc Ruby / Rails Information Broker User Groups.Net (ASP) Gaming 13/04/2010 mgm technology partners GmbH 3

4 Internetwerbung Begriffe: AdNetworks, AdClicks, AdImpression,AdPlacement PageImpressions, Visits, Unique User Performance basiert: TKP = Tausend-Kontakt-Preis CPx CPC = cost per click (Google AdWords) CPM = cost per 1000 impressions Targeting sematisch: abhängig von Aktion und Themen Behavioural Targeting : Interessengetrieben und mit historischen Daten angereichert (benötigt cookies) Interessant: WebSite des IVW ( Statistiken, Regeln, Richtlinien 13/04/2010 mgm technology partners GmbH 4

5 Beispiele unterschiedlicher Portalanwendungen Automarkplatz Steuerportal Kleinanzeigengeschäft 80% Pflichtnutzung! Werbung: 15% Transaktional Infoportal Rechtsverbindlich Barrierefrei Handelsplattform ohne Transaktion Permanent extrem hoher Durchsatz Sicherheit: Interessant für Autobetrüger automatische Betrugserkennung Bayessche Filter Hohe Last zu bestimmten Terminen Sicherheit: Extrem vertrauliche Daten Verschlüsselung Betriebssicherheit / Robustheit Sessionhandling 13/04/2010 mgm technology partners GmbH 5

6 Emnid-Studie: Finanzamt wird am häufigsten online kontaktiert mgm technology partners GmbH 6 4/13/2010

7 Marktanteile der Browser allgemein Zahlen vom Februar 2010: Vorsicht: Kennung der Browser ist veränderbar (user agent header) Starke Schwankungen je nach Site bzw. Angebot und Nutzergruppe Neue Releases und Updates verändern die Statistik schnell 13/04/2010 mgm technology partners GmbH 7

8 Cookies Cookie (HTTP Cookie, Magic Cookie) Speichert kurze Infos in einer Datenbank (Browser zugehörig, Cookie Cache) mit Namen und Wert. Dient zur Erinnerung an vorrangegangene Besuche einer WebSite. Kann im Allgemeinen nicht vom Benutzer ausgelesen werden, d.h. die Infos sind verschlüsselt. Flash Cookie Gleiches Verhalten wie beim klassischen Cookie aber: hängt an Flash-Medien, benötigt also das flash-plugin wird nicht vom Browser verwaltet liegt im file-system des lokalen Rechners hat oft weitgehende Rechte im System 13/04/2010 mgm technology partners GmbH 8

9 Cookie im Browser anzeigen lassen 13/04/2010 mgm technology partners GmbH 9

10 Browseridentifikation / Privatsphäre Generell über User Agent : Definition User Agent: Interface zum User, nimmt Befehle entgegen und liefert Inhalt zurück Der Anfragende überträgt meist Namen und Typ im Header User-Agent-Header können in webserver log-files enthalten sein Lynx/2.8.4rel.1 libwww-fm/2.14 SSL-MM/1.4.1 OpenSSL/0.9.6c Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.0) Mozilla/4.77 [en] (X11; I; IRIX; IP30) Mozilla/5.0 (compatible; Konqueror/3.2; Linux 2.6.2) (KHTML, like Gecko) Mozilla/5.0 (Macintosh; U; PPC Mac OS X; en) AppleWebKit/125.2 (KHTML, like Gecko) Safari/125.8 Mozilla/5.0 (OS/2; U; Warp 4.5; de; rv: ) Gecko/ PmWFx/ Mozilla/5.0 (Windows; U; Windows NT 5.1; en-us) AppleWebKit/ (KHTML, like Gecko) Chrome/0.A.B.C Safari/ Mozilla/5.0 (Windows; U; Windows NT 5.1; de; rv: ) Gecko/ Firefox/ Mozilla/5.0 (X11; U; Linux i586; en-us; rv:1.7.3) Gecko/ Epiphany/1.4.4 (Ubuntu) Opera/9.80 (Macintosh; Intel Mac OS X; U; en) Presto/ Version/10.00 Mozilla/2.0 (compatible; Ask Jeeves/Teoma) Mozilla/5.0 (compatible; Googlebot/2.1; + Mozilla/5.0 (compatible; Yahoo! Slurp; msnbot/1.0 (+ 13/04/2010 mgm technology partners GmbH 10

11 Digitaler Fingerabdruck (DNA) des Browsers! Mein Test bei ergab: wird erreicht durch: Your browser fingerprint appears to be unique among the User Agent Header JavaScript PlugIns Zeitzone Bildschirmauflösung, Farben System Schriftarten Cookies (Magic, Flash) evtl. GeoIP 13/04/ ,797 tested so far. Currently, we estimate that your browser has a fingerprint that conveys at least 19.6 bits of identifying information. mgm technology partners GmbH 11

12 Fazit: Browsersicherheit / Privatsphäre Nur bedingt gegeben Mit Standardeinstellung ist die Privatsphäre nicht sicher Zusätzliche Methoden und Technologien sind nötig: z.b. bei Firefox: Cookies abschalten Super Cookies (Flask) über better privacy plugin behandeln JavaScript ggf. abschalten mit NoScript AdBlock Plus verhindert auch Rückmeldung des Werbebanners Generell: TorButton standardisiert den User-Agent-Header privacy modus des Browser einschalten Tracking-Sites blocken 13/04/2010 mgm technology partners GmbH 12

13 Elster: Anforderungen an den sicheren Portalzugang Sichere Authentisierung und Identifizierung hohe Beweiskraft der Transaktion Veränderungen der Daten werden erkannt Diebstahl und Verlust der Identifizierungsinformation wird bemerkt Sichere Verwaltung digitaler Identitäten Digitale Identitäten auf Basis elektronischer Benutzerzertifikate Identitäts- und Zugriffsverwaltung auf Basis eines durchgängigen Benutzer- Gruppen-Rollen Models (Berechtigungsmanagement) Einbindung externer Verzeichnisdienste (z.b. Auskunftsdienste der Kartenherausgeber) Sichere Datenübertragung sehr sichere Verschlüsselung der Daten/Transaktionen Benutzerspezifische Ver- und Entschlüsselungsmechanismen während des Transports und der Speicherung der Daten (Postfachfunktionalität) 13

14 Elster : abgeleitete Anforderungen an die Browser Seite Sichere Zugangstechnologie Zertifikate sind die Lösung! Unterstütze Internet Browser mit Java Fähigkeiten Zur Zeit sicherste Art mit Zertifikaten umzugehen Spezifikation sehr allgemein gehalten Unterstützung der Barrierefreie Informationstechnik-Verordnung Hohe Verfügbarkeit / Verbreitungsgrad Browsersicherheit Schutz der Privatsphäre Datenschutz allgemein 13/04/2010 mgm technology partners GmbH 14

15 Konzentration auf den Client: Was ist testbar? Können bzw. wollen wir alle Browser und deren Variationen von Plugins und Betriebsystemen zulassen? Falls ja, dann: Ergebnis -> eine kombinatorische Explosion Einfaches Beispiel: 5 OS * 3 Browser * 3 Plugins = 45 Varianten > evtl. machbar! Aber: Hardwareplattform (32/64bit:) 2 Realistische Anzahl OS: 8 Browservarianten: 10 JavaPlugin JRE: Varianten sind untestbar! 13/04/2010 mgm technology partners GmbH 15

16 Reduktionistischer Ansatz Strategie: divide et impera (lat. für teile und herrsche) Reduktion - Auf Bewährtes Auf kleinere Teilgebiete Auf Testbares konzentrieren Keine Plugin-Wechselwirkungen testen Regeln für die Auswahl von Klient-Konfigurationen Immer bewährt: die 5% Hürde Politisch korrekt bleiben: Mac OS X ist OK Linux auch Auswahlkriterien in jedem Release überprüfen (3x pro Jahr) 13/04/2010 mgm technology partners GmbH 17

17 Testbare Browser-Konfigurationen: automatisiertes Testen Konzeption Vorbereitung Durchführung Eggplant Steuerprogramm VNC GUI-Tests Fachverfahren Client in VM Ware 32 Client-Konfigurationen Win2K, XP, Vista, Windows 7, Ubuntu, MacOS IE 7.0/8.0, FF 3.6, Java 5.0, 6.0, Javascript on/off Zentrales Steuerprogramm Fernsteuerung über VNC Sucht Referenzbilder auf dem Bildschirm Smartphones, non-desktop Varianten sind nicht unterstützt Abdeckungsgrad 19

18 Testautomation Steuerbar über virtuelle Maschinen 6 VM in bis zu 4 Varianten im Einsatz Teilweise parallele Browser Installationen sind möglich Ohne Seiteneffekte Apple (Mac OS) nur auf eigener Hardware testbar VM zeigen Seiteneffekte, nicht kontrollierbar! Teuer! Barrierefreiheit Nur zu 30% automatisiert testbar Komplexitätssteigerung ist enorm! Lasttests Integrationstest Mit eigenem Tool (perfload) 13/04/2010 mgm technology partners GmbH 20

19 Überblick 2. Teil Beispiele Automarktplatz Steuerportal Browserinfrastruktur Browser Sicherheit Überblick zur Portalinfrastruktur ElsterOnline Systemlandschaft Architektur Entwicklungsstrategie Systemstabilität Einführung Geschäftsmodelle Technologien 13/04/2010 mgm technology partners GmbH 21

20 Die Elster Systemlandschaft: Verteilt Heterogen Unterschiedliche Anforderer 13/04/2010 mgm technology partners GmbH 22

21 mgm technology partners GmbH 23 4/13/2010 egoverment Richtlinie: SOA-Referenzmodell nach SAGA 4.0 Fachanwender Geschäftsprozesse aus Aktivitäten komponiert Dienstnutzung Dienstschnittstellen atomar und komponiert Diensterbringung Komponenten zur Realisierung von Diensten Komponente Dienst 1 Komponente Dienst 2 Komponente EfA-Dienst Betriebsinfrastruktur und Datenhaltung DBMS Bestandssystem ERP-System

22 mgm technology partners GmbH 24 4/13/2010 Beispiel Login / Authentisierung Fachanwender Geschäftsprozesse aus Aktivitäten komponiert Dienstnutzung Dienstschnittstellen atomar und komponiert Diensterbringung Schnittstelle Login: direkte Nutzung des Dienstes Komponenten zur Realisierung von Diensten Authentisierungs- Dienst Komponente Dienst 2 Komponente EfA-Dienst Betriebsinfrastruktur und Datenhaltung Trustcenter Cryptobox Portalkonto Bestandssystem ERP-System

23 13/04/2010 mgm technology partners GmbH 25 Internet Windows Linux MacOS Internet Internet Internet TESTA RZ Hamburg RZ Berlin RZ Nürnberg RZ Düsseldorf Finanzamt Finanzamt Finanzamt RZ

24 Eine Schutzbedarfsfeststellung ergab die Notwendigkeit einer Public Key Infrastruktur Individuell verschlüsselte Ablage von Daten im ELSTER-Postfach Ausgabe von RSA-Benutzerschlüsseln und Zertifizierung der Schlüssel auf Basis einer für den Schutzbedarf hoch geeigneten Identifizierung der Anwender PKI ausgelegt zur Ausgabe und Verwaltung von bis zu 30 Millionen Zertifikaten für Authentifizierung auf Basis von fortgeschrittenen Signaturen Software-basierte und Hardware-basierte Schlüssel, sowie Signaturkarten aller gängigen Trustcenter müssen unterstützt werden können Alle Prozesse für Registrierung, Schlüssel- und Zertifikatsausgabe müssen vollautomatisch und unbedient erfolgen können Hohe Sicherheit, Performance und Flexibilität sind zu gewährleisten 26

25 Muss es Qualifizierte Signatur sein? Authentisierung und Verschlüsselung reicht meist aus es ist einfacher die Formvorschriften zu ändern als qualifizierte Signaturen zu integrieren die Prozesse der Fachverfahren reichen oft aus, um Missbrauch zu erkennen und zu korrigieren Einfache und preisgünstige Lösung für unkritische Anwendungen: Soft-Zertifikat Sehr sichere Lösung für unkritische Anwendungen: USB-Signaturstick Lösung für kritische Anwendungen: Signaturkarte 27

26 Unterstützte Zertifikate / Token ELSTER-Basis ELSTER-Spezial ELSTER-Plus Software-Schlüssel auf der Festplatte des Benutzer- Computer gespeichert Kostenlos Mögliche Gefahr durch Phishing-Attacke ca Zertifikate in Verwendung Schlüssel auf Signatur- USB-Stick in verschiedenen Ausprägungen Hohe Sicherheit bei niedrigen Kosten ca Sticks in Verwendung Kostenpflichtige Signaturkarte eines Trustcenters ca Karten in Verwendung 28

27 ELSTER IT-Sicherheitsarchitektur PC des Anwenders Browser Java Authentifizierungsclient ESiCl Token mit priv. Schlüssel Client Server Https ElsterOnline Portal Webserver SOAP Authentifizierungsprüfkomponente (WIESEL) ELSTER Trustcenter Öffentl. Schlüssel Zur ELSTER- Clearingstelle Berechtigungs- Managementkomponente 30

28 Entwicklungs-begleitende Qualitätssicherung - Very Early Testing Release 1 Klassisch Anforderungen Entwicklung Qualitätssicherung Entwicklungs-begelitende QS QS Entwicklung & produktionsnahe QS Release 1 Anforderungen Anforderungen Anforderungen QS Entwicklung & produktionsnahe QS Release 2 QS Entwicklung & produktionsnahe QS Release 3 Q S 33

29 Qualitätssicherung für ELSTER Ganzheitliches Konzept very early Testing Ableitung von Maßnahmen aus Probleme im letzten Release -> reaktiv Analyse der Applikation -> proaktiv Tests Funktionstest automatisiert manuell GUI-Test (Client-Konfigurationen) Integrationstest Migrationstest Lasttest Deploymenttest 34

30 Lasttests - Testinfrastruktur PerfLoad Clients Iterativer Testansatz Report Kennzahlen Messwerte Auswertungen Setup Requests Durchführung Application Server Cluster Ergebnisse Ergebnisse Requests Die Optimierung der Performance erfolgt individuell und iterativ 35

31 Lasttests Abfahren von Lastkurven Rate [1/h] Verfahrens-Durchführungen (ausgeübte Last) gemessen Soll Zeit [m] gemittelte CPU-Auslastung CPU-Auslastung Applikations-Server Zeit [m] protokollierte http-requests pro Sekunde Speicherverbrauch Applikations-Server 1 Rate [1/s] Zeit [m] Speicherverbrauch [MB] Zeit [m] 38

32 mgm technology partners GmbH 39 4/13/2010 Unsere Lösung: Sicheres Portal auf Basis von ELSTER-Technologien Applet: Barrierefreiheit, Betriebssystem- Neutralität Layout- Management Content- Management Portal Single-Sign-On für Portlets Benutzerverwaltung Identitätsmanagement und Lebenszyklus-Verwaltung für Zertifikate Deployment mit minimaler Betriebs- Unterbrechung Definierte SLAs / Supportprozesse Monitoring Verfügbarkeit (ehealth, WebAppMon) Cliparts\xml.jpeg Druckkomponente Formularprüfung Auditing- und Loggingdienst Basis-Komponenten Toolgestütztes Anforderungs-, Fehler- und Konfigurationsmanagement Applet-Kompatibilitätsprüfung Berechtigungsmanagement Negativ- und Penetrationstests Authentisierungs- Dienst Verschlüsselungs- Dienst Verschlüsseltes Postfach Eigene PKI (Zertifikate, CA, ) oder externe Signaturkarten Automatisiertes Testen (funktional, Last, ) in komplett integrierter Testlandschaft Mgm entwickelt nicht nur die Software, sondern stellt auch Erfolgsfaktoren sicher

33 Zusammenfassung IT-Sicherheit integriert in ElsterOnline Formulare, z. B.: Umsatzsteuervoranmeldung Lohnsteueranmeldung Lohnsteuerbescheinigung Jahreserklärungen Dienste Steuerkontoabfrage Persönliches Postfach Aufgabenmanagement Mitteilung an das Finanzamt Performance Große Mengen von Daten werden laststabil verarbeitet (bis Feb. 2010: ca. 560 Mio elektr. übertragene Formulare) Sicherheit ISO Zertifizierung nach BSI genügt höchsten Sicherheitsanforderungen PKI mit ca ausgegebene eigene Zertifikate Unterstützung aller auf dem Markt befindlichen Signaturkarten 40 03

34 Innovation Implemented. mgm technology partners GmbH Frankfurter Ring 105a München Tel.: +49 (0) 89 / Fax: +49 (0) 89 / robert.zores@mgm-tp.com Vielen Dank für Ihre Aufmerksamkeit!