Kompaktere kompakte IT-Sicherheit

# Kompaktere kompakte IT-Sicherheit ## Schutzziele * Vertraulichkeit * Integrität * Verfügbarkeit ## Prinzipien der Sicherheit ### Kerckhoffs Prinzip * Sicherheit eines symmetrischen Verfahrens sollte auf der geheimhaltung des Schlüssels basieren, nicht auf der des Verfahrens ### Security by Obscurity * Sicherheit wird durch die Geheimhaltung des Verfahrens gewährleistet ## Kryptographie ### Schutzziele * Geheimhaltung * Authentifizierung * Integrität * Verbindlichkeit ### Formen der Kryptographie | Form | Anwendung | Vorteil | Nachteil | |-|-|-|-| | symmetrisch | Standardverfahren für Kommunikation | schnell | benötigt sicheren Schlüsselaustausch vor Kommunikation. Für n Partner werden (n*(n-1))/2 Schlüssel benötigt | |asymmetrisch | sicherer Schlüsselaustausch für symmetrisches Verfahren | unterschiedliche Schlüssel zum Ver- und Entschlüsseln -> es werden für n Partner nur 2n Schlüssel benötigt | um ein vielfaches langsamer als symmetrische Verfahren. Unverfälschte Übertrageung öffentlicher Schlüssel essentiell. Einsatz digitaler Zertifikate auf öffentliche Schlüssel | ### Hash-Funktionen * Schwache Kollisionsresistenzt * man hat ne nachricht und will ne zweite nachricht finden, mit dem selben hash * Stark Kollisionsresistenzt * für jede nachricht kann keine zweite Nachtricht gefunden werden mit zweiten hash ### Verschlüsselungsmodi * Electronic Code Block (ECB) * Datenblöcke werden individuell verschlüsselt * gleiche Blöcke werden gleich verschlüsselt * Cipher Block Chaining (CBC) * Entschlüsselung paralelisierbar * gleiche Blöcke werden unterschiedlich verschlüsselt, wegen dem initial Vector * Counter Mode (CTR) * Ver-und Entschlüsselung Paralisierbar * gleiche Blöcke werden unterschiedlich verschlüsselt ### Diffie-Hellmann Ziel ist die Vereinbarung eines gemeinsamen geheimen Schlüssels für eine symmetrische Verschlüsselung. ### RSA * Sicherheit beruht auf der Schwierigkeit des Faktorisierungsproblems * Zerlegung großer Primzahl (derzeit) nicht effizient machbar #### Schlüsselerzeugung * zwei Primzahlen p und q * RSA-Modulus/Zahl berechnen n= p*q * Eulerschen Wert berechnen φ(n) = (p-1)⋅(q-1) * Wähle e für den öffentlichen Schlüssel zufällig, so dass folgendes gilt: * 1 < e < φ(n) und e und φ(n) sind teilerfremd ### El Gamal ## Authentifizierung ### Unterschiedliche Typen / Arten * Passwörter * Challenge-Response ### Angriffe auf diese Arten * Passwörter * Abhören während der Übertragung * Keylogger * Raten und Knacken von Passwörtern (Wörterbuch / Brute-Force) * Challenge-Response * Replay Angriff * Reflection Angriff ## Zugriffskontrolle ### Strategien * Blacklisting * alles unbekannte is gutartig eingestuft * Whitelisting * alles unbekannte is böse eingestuft ### Modelle * Gruppierung * Benutzer in Grpen zsmgefasst -> Rechte der Grp * Benutzergruppen * Anonymous * Any * Groups * User * Seperation of duties * 2 Personen für Transaktion benötigt * Rotation of duties * Wechsel der Aufgabengebiete um Durchführung unerlaubter Transaktionen zu erschweren * Negativ Rechte * Ausdrückliche Verweigerung der Zugriffsrechte * Komplexe / Bedingte Zugriffsberechtigung * Zugriffsrechte mit mehreren Bedinungen verknüpft * Matrix Modelle der Zugriffsrechte * Zugriffsrechte in Matrix * Access Controll List (ACL) * Nur besetzte Spalten werden ausgeführt * Capacity List (CL) * Objektorientiert, eine Zeile pro Benutzer * Lock/Key Konzept * Combi ACL & CL * Subject -> Capability List * Object -> Access Control List * Wenn Capability in ACL dann darf Subject auf Object zugreifen * Ringschutz * Ring Level Zugriff ### Typen * Discretionary Access Controll (DAC) * Subjektbestimmte Zugriffskontrolle * Unkoordinierte Vergabe -> Sicherheitslücken + Unübersichtlichekit * Mandatory Access Controll (MAC) * Zentrale Zugriffsrechtvergabe über ein systemweites Regelwerk * Role Based Access Controll (RBAC) * Zentrale Vergebung der Berechtigung basierend auf Aufgaben * Hierarchisches Modell mit n:m Beziehung ## Kommunikationssicherheit ### Firewalls #### Definition A firewall is an internetwork gateway that restricts data communication traffic to and from one of the connected networks and thus protects that network's system resources against threats from the other network #### Ziele * Sicherstellen, dass verkehr durch Firewall geleitet wird * Realsieriung einer Sicherhheitsstrategie (Zugriffsrestriktionen, ggfs. Protokollierungs- und Authentifizierungsanforderungen) #### Sicherheitszonen ![](https://i.imgur.com/ZxdLgnX.png) #### Reaktionen einer Firewall * Accept * Reject * Drop #### Arbeitsweise einer Firewall * Zustandslos * Entscheidung abhänig vom aktuell analysierten Datenverkehr * Regeln für beide Richtungen * Zustandsbehaftet bzw. dynamisch * Entscheidung von gepeicherten Datenverkehr * Regeln für Rückantwort wird dynamisch erstellt #### Abarbeitungsregeln * First Match * Last Match * Best-Fit #### Sicherheitsstrategien bei der Regeldefinition * Explizit * Implizit #### Regeln im Regelwerk einer Firewall * Clean up * Anti-Spoofing #### Firewall-Klassen * Paketfilter * Filtern der Datenpakete gemäß der geltenden Regeln * Proxy-Firewall * Stellt spezielle und beschränkte Dienste für Benutzer auf dem Gateway zur Verfügung * Applikationsfilter * Erweitert die Dienste des Verbindungs-Gateway * Besitzt Kenntnisse über die jweilige Anwendung, um dienstspeziefische Kontrolle durchzuführen ### IDS * Hardware oder Software basiert * Erkennt * Viren und Würmer * unerlaubte Zugriffe * Portscans * DoS * Bestandteile: * Collection Modul * hostbasierte IDS * Netzwerkbasierte IDS * Detection Modul * Angriffserkennungsmethoden * Pattern basiert (Mustererkennung) * Anomalien basiert * (+) weniger Konfigurationsaufwand & Erkennung unbekannter Angriffe * (-) Bestimmung eines geeigneten Schwellwerts & Angriffe in Lernphase werden als erlaubter Datenverkehr eingestuft * Analyse Modul * Response Modul * 2 Klassen * Aktive - dynamische Regeln automtisch zuschalten * Passive - wenn der Angreifer nix bemerken soll ### Firewall vs. IDS ![](https://i.imgur.com/gPAOjEf.png) ### VPN **Definition** Unter einem Virtual Private Network verstehen wir eine Netzinfrastruktur, bei der Komponenten eines privaten Netzes über ein öffentliches Netz, wie dem Internet, miteinander kommunizieren, wobei sie die Illusion besitzen, das Netz zu ihrer alleinigen Verfügung zu haben. #### Ziele 1. Die Sicherheitseigenschaften, die im privaten Netz gelten, auch im öffentlichen Netz aufrechtzuerhalten. 2. Authentifizierung der Benutzer des privaten Netzes. 3. Vertraulichkeit des Datenverkehrs, der über den öffentlichen Netz geleitet wird, zu gewährleisten. #### Prinzip * Verbinden von zwei Netzwerken der gleichen Sicherheitsstufe * Trennung durch Verschlüsselung #### Verschlüsselung auf Applikationsebene * Vorteile * Verschlüsselt + authentifiziert * Nachteile * jede datei muss einzeln verschlüsselt werden #### Verschlüsselung auf Netzwerkebene Kurz vor Übertragung vom OS verschlüsselt * Vorteile * Nur ein Tunnel für Übertragung mehrere Dateien/Objekte erfoderlich * Nachhteile * Endpunkt is unsicher, auch wenn Übertragung sicher ist #### Architekturen * Host-to-Host * Net-to-Net * Host-to-Net ### IPSec * Verwendet folgende Protokolle * Authentification Header (AH) * Encapsulating Security Payload (ESP) #### Tunnel Mode * Realisiert Host-to-Host VPN #### Transport Mode * Realisiert Net-to-Net VPN #### Perfect forward Secrecy * Für jede neue Verbindung ein neuen Schlüssel generieren * Schlüssel in regelmäßigen Abständen neu aushandeln ## Hochverfügbarkeit ### RAID ![](https://i.imgur.com/lQy0zot.png) #### Technische Realisierung * Hardware * Transparent für OS * teuer aber leistungsstark * Redundanzen z.b. stromversorgung * Software * durch OS * günstiger, aber nicht so performant wie HW Lösung * Hot Swap * austausch im laufenden Betrieb **Kann keine Software- und Benutzerfehler abfangen** #### Replikation * Daten auf unabhängige Server kopieren * Vorteile: * Getrente Datenverwaltung * Guter Schutz gegen HW-Fehler * Teilweise Schutz gegen SW- und Benutzerfehler #### Sicherung gegen SW- und Benutzerfehler * Löschungen zeitlich verzögern * Bei Modifikationen ursprüngliche Infos für bestimmte Zeit speichern * Verzögerung abhängig von: * Kapazität des Sicherungsmedium * Signifikanz der Daten/Aktualität * Häufigkeit der Datenveränderung * Notwendigkeit, alte Version zu halten ## Cloud Sicherheit ### Definition Cloud Computing is a model for enabling ubiquitous, convinient, on-demand network access to a shared pool of configurable computing resources (e.g. networks, servers, storage, applications, and services) that can be rapidly provisioned and released with minimal management effort or service provider interaction. ### Prinzipien #### CHaracteristics * On demand self-service * Boad network access * Resource pooling * Rapid elasticity * Measured Service * Service Oriented Architecture * Multi-tenant capability * Pay per User Model #### Service Modelle * On-Premise * IaaS * PaaS * SaaS #### Deployment Modelle * Private Cloud * Community Cloud * Public CLoud * Hybrid Cloud #### Container Security * Container sind beste Kombination aus * efficent resource sharing * easy maintance * security * Vorteile * better resource control than vms * focus on primary task, managing applications * outsource secondary tasks, e.g. logging to higher level tools like CNVA and OpenShift

Syntax	Example	Reference
# Header	Header	基本排版
- Unordered List	Unordered List
1. Ordered List	Ordered List
- [ ] Todo List	Todo List
> Blockquote	Blockquote
Bold font	Bold font
Italics font	Italics font
~~Strikethrough~~	~~Strikethrough~~
19^th^	19^th
H~2~O	H₂O
++Inserted text++	Inserted text
==Marked text==	Marked text
[link text](https:// "title")	Link
![image alt](https:// "title")	Image
`Code`	`Code`	在筆記中貼入程式碼
```javascript var i = 0; ```	`var i = 0;`
:smile:		Emoji list
{%youtube youtube_id %}	Externals
$L^aT_eX$	L^aT_eX
:::info This is a alert area. :::	This is a alert area.