Effizienter Staat. Sicherheit und Opensource? Christoph Herrmann science + computing ag Friedrichstr Berlin

Transkript

1 Effizienter Staat Sicherheit und Opensource? Christoph Herrmann science + computing ag Friedrichstr Berlin smtp: C.Herrmann@science computing.de computing.de

2 Wir über uns gegründet 1989 als spin off der Uni Tübingen Dienstleistungs und Softwarehaus spezialisiert auf it service Wachstum ist komplett eigenfinanziert Beschäftigte

3 Sicherheit und Opensource Was verstehen wir unter Sicherheit? Im englischen gibt es: Safety (Backup, RAID, HA,...) Security (Firewalls, Kryptographie)

4 Einleitung Nach einer Statistik der Koordinationszentrale der amerikanischen Computer Emergency Report Teams (CERT) wird sich die Zahl der Attacken im Internet auch 2001 mehr als verdoppeln. Nachdem im Vorjahr knapp Angriffe registriert wurden, hat man bereits in den ersten drei Quartalen dieses Jahres über davon festgestellt.... Auch die Anzahl der gemeldeten Sicherheitslücken ist mit in den ersten neun Monaten 2001 schon wesentlich größer als bei den im gesamten Jahr heise newsticker vom

5 Das Besondere an Sicherheit Sicherheit ist nicht beweisbar Sicherheit hat nichts mit Funktionalität zu tun Das schwächste Glied in Ihrem System bestimmt Ihre Gesamtsicherheit Sicherheit macht die Arbeit unbequem Sicherheit ist ein Prozess...

6 Paranoia Die Frage ist nicht: "Sind sie paranoid?", die Frage ist: "Sind sie paranoid genug?"

7 Sicherheit und Opensource Was wollen Sie schützen? Wovor wollen Sie sich schützen? Welche Dienste wollen/müssen Sie anbieten? Welche Protokolle benutzen Sie?

8 Was wollen Sie schützen? Die Vertraulichkeit Ihrer Daten Die Integrität Ihrer Daten (Datenübertragung) Die Verfügbarkeit Ihrer Dienste Ihre Rechnerressourcen Die Integrität ihrer Software!...

9 Wovor wollen Sie sich schützen? Würmern (CodeRed, Sircam, Nimda,...) Scriptkiddies viren (Melissa, I lova you,...) kriminellen Angriffen über das Internet neugierigen Mitarbeitern

10 Wie wollen Sie sich schützen? Sicherheitspolitik Bedrohungsanalyse und Risikobewertung Kryptographie Firewalls Einbeziehung der Mitarbeiter auf Einbrüche vorbereitet sein...

11 Bedrohungsanalyse und Risikobewertung Sammeln aller Angriffsmöglichkeiten Wichten der möglichen Angriffe möglichen Schaden je Angriff abschätzen diese Schritte iterativ wiederholen Techniken wie Angriffsbäume verwenden

12 Kryptographie symmetrische Verschlüsselung Klartext asymmetrische Verschlüsselung Klartext Passwort Algorithmus Passwort 1 Passwort 2 Chippertext Chippertext Spezialfall: One Time Pads

13 Kryptographie... für: Authentifizierung, Signatur, Vertraulichkeit Die Sicherheit muß aus der Geheimhaltung des Passworts (nicht des Algorithmus) kommen Vertrauen Sie nur bekannten Algorithmen z.bsp.: DES, Triple DES, Blowfish,... Opensourcesoftware sehr zu empfehlen! Sicherheit ist nicht beweisbar!

14 Kryptographie Jeder, der eine eigene kryptographische Grund funktion erstellt, ist entweder ein Genie oder ein Narr. Angesichts des Genie/Narr Verhältnisses unserer Gattung stehen die Chancen nicht gut. Bruce Schneier

15 Firewalls Das schwächste Glied sichern, z.bsp.: Modem oder ISDN Zugänge (bidirektional) Choke Points verwenden Mehrstufige Firewallsysteme, mit verschiedenen Firewalls verwenden Kombination aus kommerziellem (Hardware) Firewall und Opensource OS ist zu empfehlen Sicherheit ist nicht beweisbar!

16 Einbeziehung der Mitarbeiter Schulungen Sensibilisierung der Mitarbeiter Dienstvorschriften interne Firewalls, gestaffelte innere Sicherheit Prinzip des kleinsten Privilegs

17 Vorbereitet sein Erkennen von Angriffen (intrusion detection) Vorgehen nach der Erkennung muß feststehen Erkennen von Manipulation im Intranet Wiederherstellen des Normalzustandes Sicherheit als default (bei Ausfällen)

18 Sicherheit ist nicht beweisbar Unsicherheit ist beweisbar Algorithmen müssen immer wieder von Experten getestet werden einzig das Nichtauffinden von Unsicherheiten über einen längeren Zeitraum und trotz intensiver Suche legt die Vermutung nahe, daß das untersuchte Objekt zur Zeit sicher ist Opensource erleichtert das Testen wesentlich

19 Softwarezuverlässigkeit Jede Software hat Fehler Fehler in der Funktionalität werden viel schneller gefunden als sicherheitsrelevante Fehler Es gibt für Softwarefirmen keinen Anreiz fehlerfreie Software zu schreiben Komplexität ist ein Feind von Sicherheit Opensource erleichtert das Finden von Fehlern

20 Softwarezuverlässigkeit... Als "Informations Anarchie" hat Scott Culp, Chef von Microsofts Security Response Center, den derzeitigen Zustand in der Sicherheitsbranche bezeichnet. In einem langen Aufsatz macht er Security Experten, die Sicherheitslücken öffentlich beschreiben, mitverantwortlich für die durch Nimda, Code Red und andere Würmer angerichteten Schäden.... ein Kommentar: Zum Glück bauen die keine Flugzeuge... heise newsticker vom

21 Sicherheit durch Opensource! Offener Code wird von sehr vielen Leuten gelesen Fehler werden schneller erkannt Der Einbau von Hintertüren wird erschwert nur bekannte und offengelegte kryptographische Algorithmen bieten Sicherheit Sie bekommen mehr Sicherheit für Ihr Geld

22 Effizienter Staat Sicherheit und Opensource Christoph Herrmann science + computing ag Friedrichstr Berlin smtp: C.Herrmann@science computing.de computing.de