Springer-Verlag Berlin Heidelberg GmbH

Transkript

1 Springer-Verlag Berlin Heidelberg GmbH

2 Die Reihe Xpert.press des Springer-Verlags vermittelt Professionals in den Bereichen Betriebs- und Informationssysteme, Software Engineering und Programmiersprachen aktuell und kompetent relevantes Fachwissen über Technologien und Produkte zur Entwicklung und Anwendung moderner Informationstechnologien.

3 Markus Schumacher Utz Rödig Marie-Luise Moschgath Hacker Contest Sicherheitsprobleme, Lösungen, Beispiele Mit 62 Abbildungen 123

4 Markus Schumacher Technische Universität Darmstadt Fachbereich Informatik IT Transfer Office (ITO) Utz Rödig Technische Universität Darmstadt FB 18 Fachbereich Elektrotechnik und Informationstechnik Multimedia Kommunications (KOM) Marie-Luise Moschgath Eidgenössische Technische Hochschule Zürich Department of Computer Science Distributed Systems Group ISSN ISBN Die Deutsche Bibliothek CIP-Einheitsaufnahme Schumacher, Markus: Hacker-Contest: Sicherheitsprobleme, Lösungen, Beispiele / Markus Schumacher; Utz Roedig; Marie-Lusie Moschgath. Berlin; Heidelberg: Springer 2003 (Xpert-Press) ISBN ISBN (ebook) DOI / Dieses Werk ist urheberrechtlich geschützt. Die dadurch begründeten Rechte, insbesondere die der Übersetzung, des Nachdrucks, des Vortrags, der Entnahme von Abbildungen und Tabellen, der Funksendung, der Mikroverfilmung oder der Vervielfältigung auf anderen Wegen und der Speicherung in Datenverarbeitungsanlagen, bleiben, auch bei nur auszugsweiser Verwertung, vorbehalten. Eine Vervielfältigung dieses Werkes oder von Teilen dieses Werkes ist auch im Einzelfall nur in den Grenzen der gesetzlichen Bestimmungen des Urheberrechtsgesetzes der Bundesrepublik Deutschland vom 9. September 1965 in der jeweils geltenden Fassung zulässig. Sie ist grundsätzlich vergütungspflichtig. Zuwiderhandlungen unterliegen den Strafbestimmungen des Urheberrechtsgesetzes. Springer-Verlag Berlin Heidelberg 2003 Ursprunglich erschienen bei Springer-Verlag Berlin Heidelberg New York 2003 Softcover reprint of the hardcover 1st edition 2003 Die Wiedergabe von Gebrauchsnamen, Handelsnamen, Warenbezeichnungen usw. in diesem Werk berechtigt auch ohne besondere Kennzeichnung nicht zu der Annahme, dass solche Namen im Sinne der Warenzeichen- und Markenschutz-Gesetzgebung als frei zu betrachten wären und daher von jedermann benutzt werden dürften. Umschlaggestaltung: KünkelLopka, Heidelberg Gedruckt auf säurefreiem Papier SPIN: /3142 GF

5 Inhaltsverzeichnis Einleitung Motivation Zielgruppen Zum Aufbau des Buches... 2 Teil I Grundlagen Begriffe und Konzepte der IT-Sicherheit Der Hacker Contest Security Patterns Hacker und Cracker Hacker und Cracker Geschichte der Hacker und Cracker Die Hacker-Ethik Berühmte Hacker und Cracker Motivation von Hackern und Crackern Ablauf von Angriffen Relevante Informationsquellen Grundsätzliche Bedrohungen Computerkriminalität Was ist Computerkriminalität? Statistiken Inhaltsverzeichnis V

6 4.3 Deliktformen Deutsche Rechtsprechung Europäische und internationale Rechtsprechung Sicherheitsmaßnahmen zum Schutz kritischer Infrastrukturen Teil II Basisfunktionen und Sicherheitsprinzipien Einleitung Basisfunktionen Sicherheitsprinzipien Systeme Einleitung Physikalischer Schutz Authentisierung Schutz der Dateien Installation und Konfiguration Erkennen von Angriffen Netzwerke Einleitung Sicherheit im Local Area Network Sicherheit im Wide Area Network Sicherheit durch Firewalls Teil III Arbeiten mit Security Patterns Einleitung Dokumentation von Security Patterns Anwendungsbeispiel: Sicherheit im LAN Anwendungsbeispiel: Sicherheit im WAN VI Inhaltsverzeichnis

7 Ausblick Zusammenfassung Die Zukunft des Hacker Contest Die Zukunft von Security Patterns Danksagung 281 Literaturverzeichnis 283 Stichwortverzeichnis 293 Abkürzungen 299 Inhaltsverzeichnis VII

8 Abbildungsverzeichnis a Abb. 2-1 Zusammenhang zwischen Angriff und Maßnahme Abb. 2-2 Charakteristik des Begriffs Angriff Abb. 2-3 Charakteristik des Begriffs Maßnahme Abb. 2-4 Angriffspunkte im TCP/IP-Schichtenmodell Abb. 2-5 Netzwerktopologie des Hacker Contest Abb. 2-6 System Security Engineering Abb. 2-7 Schematische Darstellung eines Security Patterns Abb. 2-8 Darstellung der Kantensemantik von Security Patterns Abb. 2-9 Security Patterns auf Anwendungsebene Abb Security Patterns für kryptografische Software Abb Kategorisierung nach Schichten Abb. 3-1 Erkundung mit Suchmaschinen Abb. 3-2 Ergebnis einer Abtastung mit einem Netzwerk-Scanner Abb. 3-3 Resultat eines Angriffs: Offenlegung Abb. 3-4 Resultat eines Angriffs: Täuschung Abb. 3-5 Resultat eines Angriffs: Unterbrechung Abb. 3-6 Resultat eines Angriffs: Widerrechtliche Aneignung Abb. 4-1 CERT/CC: gemeldete Vorfälle Abb. 4-2 Fälle von Computerkriminalität Abb. 4-3 Aufklärungsquote Computerkriminalität Abb. 4-4 Übersicht Computerkriminalität Abb. 4-5 Karten und Computerbetrug Abb. 4-6 Einfluss Kartenbetrug und Software-Piraterie Abb. 4-7 Weitere Deliktformen Abb. 4-8 Tätergruppen Abb. 4-9 CSI/FBI-Klassifikation der Angreifer Abb PricewaterhouseCoopers-Klassifikation der Angreifer Abb Relative Altersstruktur der Täter Abb Absolute Altersstruktur der Täter Abb Geschlechterstruktur der Täter Abb Geschlechterstruktur: deutsche und ausländische Täter Abb Bezifferte Schäden nach der PKS Abbildungsverzeichnis IX

9 Abb Schäden durch Software-Piraterie Abb Computer Crime and Security Survey Teil Abb Computer Crime and Security Survey Teil Abb Prozentuale Software- und Produktpiraterie-Rate Abb Schäden durch Software- und Produktpiraterie Abb. 5-1 Verschlüsselung und Entschlüsselung Abb. 5-2 Basisfunktionen auf der Metaebene Abb. 5-3 Modell einer Passierstelle: Referenzmonitor Abb. 6-1 Benutzerauthentisierung Abb. 6-2 Berechtigungen für Dateien und Verzeichnisse Abb. 6-3 Schutz von Dateien Abb. 6-4 Installation und Konfiguration Abb. 6-5 Auszug aus einer Log-Datei Abb. 6-6 Erkennen von Angriffen Abb. 7-1 Kommunikation über einen Switch Abb. 7-2 Sicherheit im Local Area Network Abb. 7-3 Anschluss privater Netze an das Internet Abb. 7-4 Unsichere Kommunikation über das Internet Abb. 7-5 Angriff einer Kommunikation über das Internet Abb. 7-6 Virtuelles privates Netz Abb. 7-7 Security-Pattern-System virtuelles privates Netz Abb. 7-8 Netzübergang zwischen einem privaten Netz und dem Internet Abb. 7-9 Paketfilter Abb Stateful-Filter Abb Proxy Abb NAT Abb Firewall Security Patterns Abb. 8-1 Sequenzen von Patterns Abb. 8-2 Modellierung eines Switch-Pattern-Systems Abb. 8-3 Implementierung des VPN-Pattern-Systems X Abbildungsverzeichnis

10 Tabellenverzeichnis b Abb. 1-0 Tabelle 1-0 Tab. 2-1 Einordnung von Verletzlichkeiten...16 Tab. 2-2 Quelltextzeilen des Linux Kernels ohne Subsysteme...37 Tab. 2-3 Stärken der Methoden und Werkzeuge...48 Tab. 2-4 Berücksichtigung des Faktors Mensch...48 Tab. 3-1 Qualitative Einordnung von Informationsquellen Tab. 3-2 Gegenüberstellung von Bedrohungen und Schutzzielen Tab. 8-1 Security Patterns und Common Criteria Elemente Tabellenverzeichnis XI