IT-Sicherheit/Grundfunktionen

topic - Kurzbeschreibung

Beschreibung

Baukasten

Option	Beschreibung
Authentifizierung‎
Autorisierung‎
Backup‎
Kryptografie‎
Identifikation und Authentifikation
Rechteverwaltung
Rechteprüfung
Vollständigkeitsprinzip
Ausnahmen
Beweissicherung
Wiederaufbereitung
Gewährleistung der Funktionalität

Identifikation und Authentifikation

Objekte / Subjekte müssen eindeutig identifizierbar sein

• Identität nachweisen können
• Abwehr von Maskierungsangriffen, unautorisierten Zugriffen

Sicherheitsanforderungen

• Legen fest, ob und wenn ja, welche Subjekte zwar zu identifizieren, aber nicht zu authentifizieren sind.

Betriebssystem

• Authentifikation nur bei Login
• Gültigkeit späterer Aktionen beruhen auf Gültigkeit dieser Kontrolle

Internet-Banking

• Authentifikation bei jeder relevanten Aktion (TAN)
• Angabe, welche Aktionen zur Abwehr systematischer Angriffsversuche ergriffen werden
• Protokollieren, Sperrung der Kennung

Rechteverwaltung

Basis zur Abwehr von Bedrohung der Integrität und Vertraulichkeit

• Sicherheitsanforderungen legen Rechte für zu schützende Objekte fest
• Vergabe (UNIX: owner-Prinzip)
  • Wahrnehmung
  • Rechteprüfung
  • Zugriffskontrolle

Vollständigkeitsprinzip

Jeder Zugriff muss geprüft werden

Oft prüfen nur beim öffnen einer Datei

• Danach Konformitätsprüfung: Wenn lesen, dann weiterlesen.
• File Handles

Ausnahmen

Aktionen bei unautorisierten Zugriffen

permission denied

Beweissicherung

• Nichtabstreitbarkeit
• Protokollierung

Wiederaufbereitung

Computer-Forensik

• Maßnahmen zur Wiederaufbereitung von gemeinsam aber exklusiv nutzbaren Betriebsmitteln

  Prozessor, Register, Cache

Gewährleistung der Funktionalität

Verfügbarkeit

Maßnahmen

• Abwehr von DoS
• Priorisierung von Funktionalitäten

Einfaches Modell der Datenübertragung

Passiver Angreifer: nur abhören, nicht manipulieren
Bedrohung für Vertraulichkeit
Aktiver Angreifer: abhören, ändern, löschen, duplizieren
Bedrohung für Vertraulichkeit, Integrität, Authentizität

Unterschied Authentizität/Verbindlichkeit

Authentizität: Bob ist sicher, dass Daten von Alice kommen
Verbindlichkeit: Bob kann dies gegenüber Dritten beweisen

Modell I

Sichere Kommunikation über einen unsicheren Kanal

Modell II

Schutz durch Zugangskontrolle

Bewertungskriterien

Kriterienkataloge stellen Bewertungsschema zur Verfügung

• Common Criteria (international)
• Zertifikate
• Orange Book (US)
• Grünbuch (DE)
• ITSEC (Europa)

Anhang

Siehe auch

• Sicherheitsgrundfunktionen

---

• Sichere Systeme