Vorlesung IT-Sicherheit FH Frankfurt Sommersemester 2007

Transkript

1 Vorlesung IT-Sicherheit FH Frankfurt Sommersemester 2007 Dozent: Dr. Volker Scheidemann

2 Inhalt Kapitel 1: Grundbegriffe der IT-Sicherheit Kapitel 2: Sicherheit im Internet Kapitel 3: Kryptografie Kapitel 4: Sicherheitsprozesse Seite: 2

3 Kapitel 1: Grundlagen Wofür IT-Sicherheit? Schutzprinzipien Rechtliche Hintergründe Seite: 3

4 Warum IT-Sicherheit? Dazu ein Beispiel...

5 Was so alles passiert... Hewlet-Packard (HP) ist nach IBM der größte Computerhersteller der Welt. Umsatz 2005 ca. 87 Milliarden US Dollar Was kümmert HP schon ein einzelner gestohlener Laptop? Seite: 5

6 Fakten aus dem 2.Halbjahr Wie viele neue Win32-Viren und Würmer wurden entdeckt? 2. Wie viele Prozent der Top 50-Schädlinge spähen vertrauliche Informationen aus? 3. Wie viele DoS-Attacken wurden registriert? 4. Wie viele Prozent des -Verkehrs sind Spam? 5. Wie viele Phishing-Versuche pro Tag im Schnitt? Seite: 6

7 Fakten aus dem 2.Halbjahr Neue Win32-Viren und Würmer: (ca. 60 pro Tag) 2. Spionierende Schädlinge in den Top 50: 80% 3. DoS-Attacken: Anteil Spam in 50% 5. Phishing-Versuche pro Tag: 7,92 Millionen Quelle: Seite: 7

8 Wofür IT-Sicherheit? In der modernen Informationsgesellschaft stellen Datenbestände jeglicher Art einen immer größer werdenden Wert dar. Die Ausbreitung des Internets ermöglicht den millionenfachen täglichen Gebrauch von s, den Einzug des E-Commerce usw. Firmenvorstände treffen Entscheidungen in E- Mails, Videokonferenzen oder per Telefon. Seite: 8

9 Schutzziele Problematisch ist nur, dass diese Art der Kommunikation potentiell anfällig ist für Angriffe. Man unterscheidet in der Regel fünf Schutzziele für Daten: Vertraulichkeit Integrität Authentizität Verfügbarkeit Nichtabstreitbarkeit (Confidentiality) (Integrity) (Authenticity) (Availability) (Non-repudiation) Seite: 9

10 Vertraulichkeit Sicherung der Vertraulichkeit bedeutet, Daten vor dem Einblick unbefugter Dritter zu verbergen. Vorgänge, in denen Vertraulichkeit zu gewährleisten ist, sind z.b. Online-Banking Versenden von Geschäftspost per Datenübermittlung im Gesundheitswesen Management-Videokonferenzen E-Commerce Seite: 10

11 Integrität Unter Integrität versteht man die Aufgabe, die Unveränderbarkeit von Daten zu gewährleisten. Ich liebe Dich Alice nicht Bob Eve Seite: 11

12 Authentizität Mit Authentizität bezeichnet man die Aufgabe, festzustellen, ob empfangene Daten wirklich vom angegebenen Absender stammen. Beispiele: Vertragsabschluss per Internet Geschäftliche Anweisungen per Seite: 12

13 Verfügbarkeit Bei der Verfügbarkeit geht es darum, den Zugriff auf Daten für berechtigte Nutzer zu jeder Zeit zu gewährleisten. Dies ist z.b. wichtig für Arbeitsunterlagen in Firmen Web-Portale (Amazon, ebay etc.) Newsticker (Nachrichten, Börse etc.) Online-Banking Seite: 13

14 Nichtabstreitbarkeit Dieses Problem ist eng mit der Authentizität verwand. Bei der Nichtabstreitbarkeit geht es darum, sicher zu stellen, dass der Absender einer Nachricht nicht leugnen kann, dass er diese wirklich geschickt hat. Beispiele: Online-Bestellung Vertragsabschluss per oder Web Seite: 14

15 Bedrohungen der Vertraulichkeit Spionage (Wirtschaft, Militär) Kriminelle (z.b. Ausspähen von Kreditkarteninfos, Zugangsdaten zu Konten) Menschliche Fehler (z.b. Ausplaudern von Geheimnissen, sorgloser Umgang mit vertraulichen Daten und Dokumenten, Neugier,...) Seite: 15

16 Zunehmende Computerkriminalität Seite: 16

17 Zunehmende Computerkriminalität Seite: 17

18 Beispiel Wirtschaftsspionage ICE TGV 1993 verlor Siemens den Auftrag zur Lieferung des ICE nach Südkorea gegen GEC Alsthom, den Hersteller des französischen TGV. Der französische Geheimdienst hatte die Fax- Kommunikation von Siemens abgehört und das Siemens- Angebot an die Konkurrenz übermittelt. Seite: 18

19 Beispiel Wirtschaftsspionage ICE TGV Siemens entging dadurch ein Auftrag in Höhe von ca. 4 Milliarden DM. Quelle: Seite: 19

20 Beispiel kriminelles Hacking Im Jahre 1994 stahl der russische Hacker Vladimir Levin 10 Millionen Dollar von Konten der. Über das Internet griff er auf das unzureichend gesicherte Computernetzwerk der zu, stahl die im Klartext vorliegenden Passwörter und Zugangsdaten von Kunden und transferierte das Geld auf sein eigenes Konto. (Quelle: tlc.discovery.com/convergence/hackers/bio/bio_09.html) Seite: 20

21 Studien belegen Trends Schaden durch Wirtschaftsspionage in Deutschland in 2001: 20 Milliarden DM (geschätzt) (Studie Mummert & Partner) Einschleusen von Mitarbeitern gehört zum Standardrepertoire von Industriespionen (Broschüre Wirtschaftsspionage des Verfassungsschutzes BaWü) In 2005 stieg die Anzahl von Angriffen durch Innentäter gegenüber 2004 um 150% (Studie Deloitte im Finanzwesen) In 2005 war im Schnitt jedes zweite deutsche Unternehmen Opfer von Wirtschaftskriminalität (Studie KPMG) Seite: 21

22 Neuere Entwicklungen Cyberkriminalität wird professionell betrieben Organisierte Kriminalität im Internet Hauptmotivation nicht mehr Selbstdarstellung (Hacker, Script Kiddie), sondern Profitgier Spyware, Spam, Phishing, Bot-Netze, Identitätsdiebstahl Gefahrenpotenzial wächst dramatisch Seite: 22

23 Beispiel organisierte Internet-Kriminalität Jay Echouafni Wirtschaftsspionage gegen Israel MasterCard Seite: 23

24 Wer spioniert? Seite: 24

25 Wirtschaftsspionage: wer spioniert? Konkurrenten Eigene Mitarbeiter Professionelle Hacker Geheimdienste Seite: 25

26 Echelon Mit ihrem globalen Abhörsystem Echelon spielen die USA eine Vorreiterrolle im Bereich der internationalen Wirtschaftsspionage. Mittels Echelon überwacht die NSA weltweit den kompletten Telefon-, Fax-, Videokonferenzund -Verkehr. Und zwar nicht nur zur Terrorabwehr... Seite: 26

27 Echelon Unter der Clinton-Administration wurde Industriespionage zur Hauptaufgabe der amerikanischen Geheimdienste erklärt. Bill Clinton wurde mit dem Satz zitiert Alles, was gut ist für Boeing, ist gut für die USA (Quelle: Seite: 27

28 Echelon Richtfunkantennen für den Datenverkehr über erdgebunde Sendestationen 1972 errichtete Abhörstation für Intelsat IV-Kommunikation (Schattenanlage) Seite: 28

29 (Quelle: Der Spiegel 13/99) Seite: 29

30 Bedrohungen der Integrität Abrechnungsbetrug (z.b. Ändern der Beträge) Erschleichen von Leistungen (Beispiel Gesundheitswesen: Zuzahlungsbefreiung) Fälschen von Verträgen Einschleusen von bösartigem Code Web-Defacement Seite: 30

31 Fallbeispiel Web-Defacement Seite: 31

32 Web-Defacement Wird gerne auch von den guten Hackern (z.b. CCC) als Beweis ihrer Fähigkeiten betrieben (Geltungsdrang) Ist in Deutschland strafbar (Datenänderung) nach 303a StGB Seite: 32

33 Bedrohungen der Authentizität Amtsanmaßung Unterschriftenfälschung Vorspiegelung falscher Identität Seite: 33

34 Bedrohungen der Verfügbarkeit Physische Sabotage Computersabotage Denial of Service Spamming Entziehen von Zugriffsberechtigung durch falsche Administration Katastrophen (Brand, Wasserschaden etc.) Seite: 34

35 Fallbeispiel Denial of Service Im Februar 2000 legte der Hacker Mafiaboy mit einer DoS-Attacke die Webserver u.a. von ebay, Yahoo, Amazon, CNN lahm. Der dabei entstandene Schaden wurde mit 1.2 Milliarden US Dollar beziffert. (Quelle: Seite: 35

36 Beispiel Spamming Seite: 36

37 Bedrohungen der Nichtabstreitbarkeit Fälschen von Aufträgen Fälschen von Bestellungen Seite: 37

38 Rechtliche Hintergründe (Auszug) Verschwiegenheitspflicht bei Privatgeheimnissen ( 203 StGB) Geschäfts- u. Betriebsgeheimnisse ( 17 UWG, 404 AktG) Schutz personenbezogener Daten (BDSG) Datenänderung ( 303a, StGB) Computersabotage ( 303b, StGB) Seite: 38

39 Rechtliche Hintergründe Strafandrohung: Geldstrafe oder Freiheitsstrafe bis zu fünf Jahren Verantwortliche sind persönlich haftbar Haftung auch bei Fahrlässigkeit oder unterlassenen Sicherheitsmaßnahmen Aufgabe Seite: 39