IT-Sicherheit/Grundfunktionen

topic - Kurzbeschreibung

Beschreibung

Baukasten

Option	Beschreibung
Authentifizierung‎
Autorisierung‎
Backup‎
Kryptografie‎
Identifikation und Authentifikation
Rechteverwaltung
Rechteprüfung
Vollständigkeitsprinzip
Ausnahmen
Beweissicherung
Wiederaufbereitung
Gewährleistung der Funktionalität

Identifikation und Authentifikation

Objekte / Subjekte müssen eindeutig identifizierbar sein

• Identität nachweisen können
• Abwehr von Maskierungsangriffen, unautorisierten Zugriffen
• Sicherheitsanforderungen legen fest
• ob und wenn ja, welche Subjekte zwar zu identifizieren, aber nicht zu authentifizieren sind.

Betriebssystem

• Authentifikation nur bei Login
• Gültigkeit späterer Aktionen beruhen auf Gültigkeit dieser Kontrolle

Internet-Banking

• Authentifikation bei jeder relevanten Aktion (TAN)
• Angabe, welche Aktionen zur Abwehr systematischer Angriffsversuche ergriffen werden
• Protokollieren, Sperrung der Kennung

Rechteverwaltung

• Basis zur Abwehr von Bedrohung der Integrität und Vertraulichkeit
• Sicherheitsanforderungen legen Rechte für zu schützende Objekte fest
• Vergabe (UNIX: owner-Prinzip)
  • Wahrnehmung
  • Rechteprüfung
  • Zugriffskontrolle

Vollständigkeitsprinzip

Bei welchen Aktionen muss Rechteprüfung stattfinden?

Jeder Zugriff sollte kontrolliert werden

• Oft prüfen nur beim öffnen einer Datei
• Danach Konformitätsprüfung: Wenn lesen, dann weiterlesen.
• File Handles

Ausnahmen

Welche Aktionen bei unautorisierten Zugriffen

permission denied

Beweissicherung

• Nichtabstreitbarkeit
• Protokollierung

Wiederaufbereitung

Computer-Forensik

• Maßnahmen zur Wiederaufbereitung von gemeinsam aber exklusiv nutzbaren Betriebsmitteln

  Prozessor, Register, Cache

Gewährleistung der Funktionalität

Maßnahmen zur Gewährleistung der Verfügbarkeit

Abwehr von DoS
Priorisierung von Funktionalitäten
Einfaches Modell der Datenübertragung
Passiver Angreifer: nur abhören, nicht manipulieren
Bedrohung für Vertraulichkeit
Aktiver Angreifer: abhören, ändern, löschen, duplizieren
Bedrohung für Vertraulichkeit, Integrität, Authentizität
Unterschied Authentizität/Verbindlichkeit
Authentizität: Bob ist sicher, dass Daten von Alice kommen
Verbindlichkeit: Bob kann dies gegenüber Dritten beweisen
Modell I: Sichere Kommunikation über einen unsicheren Kanal
Modell II: Schutz durch Zugangskontrolle

Bewertungskriterien

Kriterienkataloge stellen Bewertungsschema zur Verfügung
 Zertifikate
 Nationale internationale Kataloge
 Orange Book (US)
 Grünbuch (DE)
 ITSEC (Europa)
 Common Criteria (international)

Anhang

Siehe auch

• Sicherheitsgrundfunktionen

---

• Sichere Systeme