Reko Testat Nr. 1

⦁    Ein VPN ist ein logisches, privates Netzwerk auf einer öffentlich zugänglichen Infrastruktur
⦁    Nur beteiligte Partner können miteinander kommunizieren
⦁    Datenverbindung ist verschlüsselt

• Schutzziele sind:
  • Authenzität
  • Vertraulichkeit
  • Integrität
• Funktionsweise:
  • Aufbau einer verschlüsselten Datenverbindung über das öfftl. Netzwerk
  • Damit ersteht ein Tunnel, in dem die Daten übertragen werden
  • Über öfftl. Leitung ist nur das verschlüsselte Äußere des Tunnels zu erkennen. Das innere kann nur von Partnern gesehen werden

End-to-Side-VPN:

• Heimarbeitsplatz in Firmennetzwerken
• Mobiler Arbeitsplatz in Firmennetzwerken
• Host zu Router verschlüsselt, danach in Netzwerk nicht mehr

Site-to-Site-VPN:

• Mehrere lokale Netzwerke von Außenstelle zu einem virtuellen Netzwerk zusammenschließen
• Virteuelle private Standleitung
• Verbindung verschlüsselt, innerhalb der Netzwerke nicht

End-to-End-VPN

• Direkte Kommunikation zwischen zwei Endgeräten
• Keine Möglichkeit des Mithörens
• Gesamte Verbindung verschlüsselt

IPSec

• Erweitrung des IP-Protokolls
• Verschlüsselung und Authentifizierung
• Geeignet für Site-to-Site-VPNs
• Weniger geeignet für Remote Access

L2TP

• Außendienstarbeiter wählt sich ins Firmennetz ein
• Weiterentwicklung von PPTP und L2F

SSL-VPN

• Nur Remote Access

Botnets

• Weltweit verteilte Rechner mit Schadprogrammen
• Zeit- oder Hackergesteuert, greifen alle "Zombies" gleichzeitig andere Server oder Netzwerke an (DDOS-Attacke)

Sicherheitslücke Heartbleed-Bug

• Fehler in der Open-SSL-Implementierung
• Fehler vorhanden seit 2011
• Sehr viele Rechner betroffen

Social Engineering

• Angriffe von Innen und menschliche Schwächen
• Z.b. Präpierte USB-Stick von Mitarbeiter (liegt einfach am Parkplatz rum...)

⦁    Schutz vor missbräuchlicher Datenverarbeitung
⦁    Schutz des Rechts auf informationelle Selbstbestimmung
⦁    Schutz des Persönlichkeitsrechts bei der Datenverarbeitung
⦁    Schutz der Privatsphäre
⦁    Umsetzung der rechtlichen Rahmenbedingungen, Schutz von personenbezogenen Daten
⦁    (Allgemein : Alle organisatorischen und technischen Maßnahmen gegen Missbrauch von Daten)

⦁    Sicherheit von Daten gegen Verlust, z.B. Backup
⦁    Sichern von Daten gegen fälschliche Weitergabe, z.B. Verschlüsselung von Datenübertragung
⦁    Schutz gegen Angriffe
⦁    (Allgemein : alle organisatorischen und technischen Maßnahmen zum Schutz der Daten gegen Verfälschung, Zerstörung oder unzulässiger Weitergabe)

Authentizität

⦁    Echtheit und Glaubwürdigkeit des Objekts oder der Person, anhand eindeutiger Identität
⦁    Beispiel : User/Passwort

Integrität

⦁    Daten können nicht unautorisiert und unbemerkt manipuliert werden
⦁    Beispiel : Prüfsummen, Hashfunktionen

Vertraulichkeit

⦁    Keine unautorisierte Informationsgewinnung möglich
⦁    Beispiel : Verschlüsselung

Verfügbarkeit

⦁    Daten sind zu allen Zeitpunkten verfügbar, wenn sie benötigt werden
⦁    Beispiel : Tier-Level des Rechenzentrums

Verbindlichkeit

⦁    Zuordnung von Aktionen ist eindeutig nachweisbar und kann nicht nachträglich abgestritten werden
⦁    Beispiel : Protokollierung, Audits

Datenschutz bezeichnet den Schutz der Daten vor Missbrauch, Datensicherheit bezeichnet den Schutz der Daten gegen Verfälschung, Zerstörung oder ähnliches 

⦁    Wer bin ich ?
⦁    Nachweis der Identität einer Entität, z.B. Person
⦁    Nachgewiesen durch z.B. Benutzername und Passwort
⦁    Bessere Zwei-Faktoren-Authentifizierung z.B. bankkarte und Pin

⦁    Was darf ich ? 
⦁    Welche Rechte habe ich für eine Anwendung, Datei System, Datenbank, Tabelle, Datenfeld….
⦁    Üblicherweise wird unterschieden : Lesen, erstellen, Schreiben, Löschen, Ausführen

⦁    Ist ein digitaler Datensatz
⦁    Beinhaltet Eigenschaften von Personen
⦁    Wird benötigt um Vertraulichkeit, Authentizität und Integrität zu bestätigen

Eine Nachricht wird mit einem „Schlüssel“ in einen Geheimtext verwandelt, dieser wird dann beim Empfänger durch einen Schlüssel wieder zu lesbarem Klartext transformiert

Symmetrische Verschlüsselung

⦁    Schlüssel zu Verschlüsselung und Entschlüsselung sind gleich
⦁    Stromverschlüsselung
⦁    Verschlüsselung von einzelnen Zeichen nacheinander
⦁    Beliebige Menge an Zeichen verschlüsselbar.
⦁    Blockverschlüsselung
⦁    Verschlüsselung von ganzen Blöcken auf einmal
⦁    Genügend große Anzahl an Zeichen vorausgesetzt
⦁    Beispiel : Date Encryption Standard (DES)
⦁    Einsatz als 3DES bei Chipkarten

 Asymmetrische Verschlüsselung

⦁    Schlüssel zur Verschlüsselung bzw. Entschlüsselung sind unterschiedlich
⦁    Asymmetrisches Paar von Schlüsseln
⦁    Ablauf
⦁    Nachricht wird mit öffentlichem Schlüssel des Empfängers verschlüsselt
⦁    Geheimtext wird übermittelt
⦁    Nachricht wird mit privatem Schlüssel des Empfängers entschlüsselt
⦁    Beispiel : Advanced Encryption Standard AES
⦁    Standart-Schlüssel für viele Anwendungen z.B. IEEE802.11i/WPA2, SSH, IPsec

⦁    Benötigt eine Person Zugriff auf mehrere Systeme, muss die Person auf allen Systemen bekannt sein
⦁    Gleiches gilt auch beim Zugriff von mehreren Personen auf ein geteiltes System
⦁    Welche rechte hat der Benutzer
⦁    Wie gehe ich mit Veränderungen um ? Rechte erweitern, rechte entziehen
⦁    Wie garantiere ich das jeder nur die Rechte hat, welche er für seine Aufgabenerfüllung braucht
⦁    Man braucht also eine zentrale Benutzer und Rechteverwaltung

Persönlich ausgestelltes Zertifikat:

⦁    Nutzer stellt sich eigenes Zertifikat aus
⦁    Zertifikat wird direkt an Empfänger weitergegeben
⦁    Zwischen Sender und Empfänger gibt es direktes Vertrauensverhältnis
⦁    Beispiel Pretty Good privacy : PGP

Zertifizierungsstelle:

⦁    Zertifikat wird von einer vertrauenswürdigen Stelle ausgestellt
⦁    CA prüft die Identität des Nutzers
⦁    Die digitale Signatur der CA findet sich im Nutzerzertifikat wieder
⦁    Hierarchische Verteilung von CSs
⦁    Beispiel : Telekom, TÜV

• Datenübertragung zwischen zwei oder mehreren Partein
• Eigenschaften:
  • Aufbau der Verbindung feststellen
  • Vereinbaren der Verbindungscharakeristik
  • Marker für Beging und Ende der Botschaft
  • Formatierung der Botschaft
  • Fehlerbehandlung bei Verlust oder falscher Übertragung
  • Beendingung der Verbindung

• Anzahl an Kommunikationspartner
  • 1:1  Unicast (Ein Empfänger)
  • 1:n Multicast (Ein Sender, mehrere Empfänger)
  • 1:alle - Broadcast (alle werden angesprochen/empfangen, einer sendet)
• Richtung der Kommunikation:
  • Simplex (nur eine Richtung)
  • Halbduplex (abwechselnd in beide Richtungen)
  • Vollduplex (gleichzeitig in beide Richtungen)
• Stellung der Kommunikationspartner
  • Gleichberechtigt (symmetrisch oder Peer-to-Peer)
  • Hierarchisch (asymmetrisch oder z.B. Client-Server)
• Art der Kommunikation:
  • Synchron (warten auf Antworten)
  • Asynchron (nur Senden)
• Art des Datenstroms:
  • Paketorientiert (mehrere Zeichen gemeinsam)
  • Streaming (kontinuierlicher Datenstrom von einzelnen Zeichen)
• Art der Verbindung:
  • Verbindungsorientiert (Anfang und Ende der Verbindung definiert, korrekte Reiehenfolge der Pakete überlicherweise gewährleistet)
  • Verbindungslos

• Computer A schickt Datenpaket und möchte die Verbindung aufbauen
• Computer B ist bereit und antwortet entsprechend
• Computer A bestätigt, dass er verstanden hat, dass Computer B bereit ist
• Verbindung hergestellt

• Knoten (Netzwerkknoten, Node...)
  • Aktives elektrisches Gerät mit mind. einer Verbindung zur einem anderen Knoten. Kann Informationen senden und empfangen.
  • Eindeutig über MAC oder IP-Adresse identifizierbar
  • z.B. Smartphone, Computer, DSL-Model etc.
• Endstelle (Endsystem, Host, Communication End Point...)
  • Aktives elektrisches Gerät mit mind. einer Verbindung und Netzwerk unspezifischer Primärfunktion
  • Endstellen sind Teilmengen von Knoten
  • Beispiel: Computer, Smartphone, Telefon etc.
• Vermittlungsstelle:
  • Aktives elektrisches Gerät mit mind. einer Verbindung und Netzwerk spezifischer Primärfunktion
  • Teilmenge von Knoten
  • Beispiel: Router, Hubs, Switches
• Kanten
  • Verbindung (Link, Datalink)
  • Verbindung zweier Knoten durch ein physikalisches Medium zur Übertragung von Informationen
  • z.B. Lichtwellen im Glasfaserkabel

• Zusammenhängende Menge von Knoten und Kanten
• Rechnernetz enthält: Vermittlungsstellen (Router, Switches etc.), Verschiedene Verbindungstypen (Kupferkabel, WLAN, etc)
• Synonym Netzwerk: I.d.R. Menge der Verbindungen und Vermittlungsstellen, Rechnernetze = Netzwerk + Endstellen

• Schicht 5-7: Anwendung:
  • sind für Verbindung der Anwendungen, die Darstellung und den synchronisierten Datenaustausch zuständig
• Schicht 4: Transportschicht:
  • teilt die Daten in Pakete ein
• Schicht 3: Vermittlungsschicht
  • ist für die Weiterleitung bzw. Adressierung von Paketen zuständig
• Schicht 1+2: Bitübertragungsschicht
  • sind für das verschicken der Daten zuständig

Verbindung zur Anwendung, z.B. Webbrowser, Mail etc.

• HTTP - Hypertext Transfer Protocol
  • Laden von Webseiten
• FTP - File Transfer Protocol
  • Übertragung von Daten
• SMTP - Simple Mail Transfer Protocol
  • Abholen von Emails

• Transmission Control Protocol TCP
  • Verbindungsorientiert (Zwei Endpunkte, Datenübertragung beidseitig)
  • Zuverlässig (Datenverluste werden automatisch erkannt und beim Absender nachgefordert)
  • Paketvermittlung
    • Aufteilung von langen Datennachrichten in kurze Pakete. Pakete können auf unterschiedlichen Übertragungswege zum Ziel kommen. Damit werden Status auf der Datenleitung weitgehend vermieden
  • Beispiele: WWW, Mail
• User Datagramm Protocol UDP
  • Nicht zuverlässig (Daten können unbemerkt unterwegs verloren gehen)
  • Verbindungslos (keine Garantie dass Paket auch ankommt, in der richtigen Reihenfolge ankommt etc.)
  • Anwendung muss sich selbst um sichere Verbindung kümmern, ist aber schnell und hat eine geringe Netzwerkbelastung
  • Beispiel: DNS, CHAT (ICQ)

Internet Protocol IP

• Weiterleitung von Paketen oder Daten
• Bereitstellung einer netzwerkübergreifenden Adresse
  • IPv4-Adressen (32 Bit - vier Zahlen durch Punkt getrennt, [0...255], Bsp: 192.168.0.1 ---> MAX. 4 Milliarden Adressen
  • IPv6-Adressen (128 Bit- Sechs zahlen durch Doppelpunkt getrennt, [0...65535] aber Hexdezimal geschrieben: z.B: 2001:0db8:85a3:08d3:1319:8a2e:0370:7344. --> Max. 3,4*10^38 (Sextillionen) Adressen
  • MAC-Adresse ist die Hardware-Adresse eines Netzwerkadapters. Ist eindeutig und hat überlicherweise 48 Bit. z.B. 00-80-41-ae-fd-7e
  • Routing (Weiterleitung) von Paketen und Daten

• IP-Adresse des Rechners
• Subnetzmaske
• Standardgateway (IP-Adresse des Routers)

Das IP-Protokoll ist in der Schicht 3 tätig (Vermittlungsschicht)

• Adressierung
  • Definition eines Adressystems
• Netzwerkmanagement:
  • Steuerung und Überwachung
  • Fehlerbehandlung
• Dienstmerkmale
  • Dringlichkeit, Zuverlässigkeit
  • Schutzwürdigkeit, Zeitverhalten
• Fragmentierung
  • Anpassen der Blockgrößen (Pakete können zerlegt/fragmentiert werden). Grund sind Begrenzugen der Warteschlange an Knoten (Routern)
• Subnetze (Routing)
  • Information und Strekcenführung
  • Route führt über mehrere Vermittlungsstellen
  • Subnetz = Teilnetz des Internets, Mehrere IP-Adressen mit demselben Präfix

• Version (Versionnummer des IP-Protokolls
• IHL (Internet Heading Length): Länge des IP-Headers in Vielfachen von 32-Bit-Worten
• Type of Service (TOS, Dienstmerkmale): Optional nutzbar für Prioritäten, Zuverlässigkeit
• Total length: Gesamtlänge des Pakets in Byte (max 64 kbyte)
• Identification: Information zur Fragmentierung von Datenblöcken, Identifizierung der IP-Pakete (IP-Pakete mit zusammengehörigen Fragmenten, gleicher Wert)
• D-Bit: (Do not Fragment) Weitere Fragmentierung der Nutzdaten unzulässig
• M-Bit (More Fragments): IP-Pakete mit weiteren Fragmenten folgen
• Fragment Offset: Beginn des Fragments relativ zum Anfang des Pakets
• Time to live (TTL, Paketlebenszeit): Vom Absender festgelegter Wert, Dekremntieren um 1 an jedem Knoten, bei TTL = 0 wird das Paket verworfen
• Protocol: Protokoll für Schicht 4, z.B. 1 für ICMP, 6 für TCP, 17 für UDP
• Header checksum: Prüfsumme zur Fehlersicherung des Headers
• Source Adress: IP-Adresse des Quellrechners
• Destination adress: IP-Adress des Zielrechners (32 BIT)

• Eine IP-Adresse besteht aus einem Netzanteil und einem Hostanteil. Der Netzanteil identifiziert ein Teilnetz, der Hostanteil identifiziert ein Gerät (Host) innerhalb eines Teilnetzes.
•  
• IPv4-Adresse 32 Bit-Zahl:
  • Besteht aus 4 Teilen [0...255], welche durch einen Punkt getrennt sind z.B. 192.168.0.1
  • Eindeutig im Internet Weltweit
  • Max. 4 Milliarden Adressen möglich
  • Adresse ist aus
    • Kennung für Adresseklasse + [NET-ID] + Host-ID aufgebaut
  • Unterschiedliche Klassen:
    • Klasse A (Kennung 0). Adressbereich 1.0.0.0 - 126.255.255.255 
    • Klasse B (Kennung 10): Adressbereich 128.0.0.0 - 191.255.255.255
    • Klasse C (Kennung 110): Adressbereich 192.0.0.0 - 223.255.255.255
    • Klasse D (Kennung 1110): (Multicast-Adresse): Adressbereich: 224.0.0.0. - 239.255.255.255
    • Klasse E (Kennung 11110) (für künftige Nutzung reserviert) Adressbereich 240.0.0.0 - 247.255.255.255