Refine
H-BRS Bibliography
- yes (26)
Departments, institutes and facilities
Document Type
- Article (13)
- Conference Object (8)
- Part of a Book (3)
- Report (2)
Year of publication
Has Fulltext
- no (26)
Keywords
- Sicherheitslücke (4)
- Datenschutz (3)
- Datensicherheit (3)
- Encryption (2)
- Informationssicherheit (2)
- Software-Werkzeug (2)
- Begriffsbestimmung (1)
- Behörde (1)
- Bewertung (1)
- Bundesrepublik Deutschland (1)
Gegen unveröffentlichte – nur wenigen Personen bekannte – Sicherheitslücken (Less-than-Zero-Day Vulnerabilities) und diese ausnutzende Angriffsprogramme (Exploits) können IT-Systeme nicht geschützt werden. In der Vergangenheit wurden Sicherheitslücken meist dem Hersteller gemeldet; dieser stellte (allerdings nicht in allen Fällen) eine Fehlerkorrektur zur Verfügung. In jüngerer Zeit werden Sicherheitslücken systematisch (Tool-gestützt) gesucht und an Behörden, Unternehmen und an die organisierte Kriminalität verkauft – und nicht oder nicht sofort dem Hersteller gemeldet. Durch Ausnutzung dieser unveröffentlichten Sicherheitslücken ist Wirtschaftsspionage und Computersabotage (auch der Steuerungsrechner des Internet) unerkannt möglich [GI 2007]. Praktizierte Anwendungen sind – u.a. auch als Titan Rain – dokumentiert [BfDI 2007, Keizer 2006, NSTAC 2007, Pohl 2007, Rath 2007].
Die Tool-gestützte Identifizierung von Sicherheitslücken kann in verschiedenen Stadien des Software-Entwicklungsprozesses und -Lebenszyklus durchgeführt werden. Mit Fuzzing und Threat-Modeling stehen beispielsweise zwei Methoden zur Verfügung, welche zum Finden von Sicherheitsproblemen auch in produktiv betriebenen Anwendungen eingesetzt werden können. Beim Threat-Modeling handelt es sich um ein heuristisches Verfahren, das die methodische Entwicklung eines vertrauenswürdigen Systementwurfs unterstützt. Mit der Fuzzing-Methode lässt sich die Robustheit der untersuchten Software sowohl mit willkürlichen als auch mit zielgerichteten Daten überprüfen. Im Beitrag werden die Vorgehensweisen beim Einsatz der beiden Methoden skizziert sowie Hinweise auf entsprechende Tools gegeben.
RFID security
(2004)
Honeypots und Honeynets
(2004)
In verteilten und offenen Systemen wollen Kommunikationspartner beim Electronic Commerce Dokumente vertraulich, integer und rechtsverbindlich sowie zuordnungsbar authentisch und nachweisbar senden und empfangen. Für die an der Kommunikation beteiligten Kommunikationspartner muß dazu nachvollziehbar sein, wer wann mit wem welche Dokumente ausgetauscht hat. Zur Erreichung des Sachziels 'Vertraulichkeit' werden Dokumente bei der Speicherung auf einem Server und bei der Übertragung (über lokale Netzte, Intranets, Extranets und im Internet) vom Endanwender verschlüsselt. Dazu müssen die benutzten Schlüssel gegen unberechtigte Kenntnisnahme geschützt werden. Gleichzeitig muß auch die Verfügbarkeit der Schlüssel sichergestellt werden: Verschlüsselte Dokumente können nämlich nur dann wieder benutzbar gemacht werden, wenn sie bei berechtigtem Bedarf wieder entschlüsselt werden können. Im Unternehmen ist es deshalb erforderlich, Verfahren einzuführen, die die Verfügbarkeit gespeicherter Dokumente sicherstellen - auch wenn der originäre Inhaber dieser Dokumente nicht verfügbar ist (Reise, Urlaub, Krankheit, Ausscheiden). Schlüssel-Archive - sog. Enterprise Key Recovery Server - bieten die Möglichkeit, verschlüsselt gespeicherte Konzelationsschlüssel Berechtigten wieder zu Verfügung zu stellen. Damit können verschlüsselt gespeicherte Dokumente gespeichert werden. Enterprise Key Recovery Server werden im Rahmen des Projekts SECFORS - Secure Electronic Commerce an der Fachhochschule Rhein-Sieg zusammen mit Studierenden installiert und unter einer Reihe von Aspekten im Rahmen des vom Bundeswirtschaftsministerium geförderten Kompetenzzentrums Electronic Commerce Bonn Rhein-Sieg (KompEC) evaluiert; dazu werden Anforderungen an vertrauenswürdige Enterprise Key Recovery Server formuliert. Der Einsatz von Enterprise Key Recovery Servern ist in den USA Stand der Technik; in deutschen Unternehmen wird der Bedarf insbesondere deswegen differenziert gesehen, weil eine Verschlüsselung gespeicherter und übertragener Daten noch nicht flächendeckend durchgeführt wird.