ITS
begriffe
begriffe
-
- 1 / 132
-
Cartes-fiches
Was sind hybride Systeme?
Verwendung von asymmetrischen und symmetrischen Verfahren
Was sind Hashfunktionen?
Digitaler Fingerabdruck, wie ein Barcode. Es wird alles zusammengefasst in einer Signatur.
Der Hashcode ist von Dokument abhängig. Hashfunktion = Einwegfunktion, nicht umkehrbar.
Was ist MD (Message Digest)?
Hashfunktion, die aus einer beliebigen Nachricht einen 128-Bit-Hashwert erzeugt
Ursprungstext kann nicht rekonstruiert werden
Was passiert bei einer symmetrischen Verwendung von Hash?
Sender verschlüsselt MD + Nachricht mit Secret Key
Empfänger entschlüsselt beide
Empfänger wendet Hashfunktion erneut auf Nachricht an und vergleicht das Ergebnis mit dem übermittelten MD
Was sind die Nachteile bei einer symmetrischen Verwendung von Hash?
Nur User mit dem secret Key können die Nachricht entschlüsseln
keine Verbindlichkeit gegeben
Was passiert bei einer asymmetrischen Verwendung von Hash?
Nur Besitzer von private Key kann Nachricht + MD signieren
Sender wendet Hashfunktion auf Nachricht an, verschlüsselt MD mit seinem private key. Signatur dessen hängt er an die Nachricht an und verschlüsselt das ganze zusätzlich mit public key vom Empfänger
Jeder Empfänger vom Klartext kann mit public Key nun verifizieren, ob der tatsächliche Absender auch die Mail geschickt hat
Was sind die Probleme hinter einem Schlüsselaustausch (symmetrisch/asymmetrisch)?
Symmetrisches Verfahren: Alle Partner benötigen einen gemeinsamen, geheimen Schlüssel
Asymmetrisches Verfahren: Partner benötigen den public Key des jeweils anderen
Was ist eine TTD (Trusted third party)?
Handelt den Austausch von Keys
Was ist die Herausforderung von TTD?
Es muss nachvollziehbar + beweisbar sein, dass public keys zu einer Person gehören (Identitätsbestätigung)
Wie sieht die Hierarchie solcher TTD aus?
Higher Level CA stellen die Zertifikate für untergeordnete CA aus
Vertrauen bei top-level CA/Root-CA sehr hoch (Beispiel: Bundesnetz ag)
Wie wird ein Zertifikat validiert?
Aufbau eines Zertifizierungspfades
Welche drei Arten von elektronischen Signaturen gibt es?
Einfach
Fortgeschritten
Qualifiziert
Was ist eine einfache, unregulierte Signatur?
Keine Anforderungen an Zertifikate, Schlüsselerzeugung
Nicht rechtlich gleichgestellt mit Schriftform
Geschädigter muss Schaden selbst nachweisen
Was ist eine fortgeschrittene Signatur?
Haftung von Signaturanbieter (bspw. Swisscom) für Richtigkeit + Vollständigkeit des Zertifikats
Rechtlich nicht gleichgestellt mit Unterschrift
Welches sind die Anforderungen an Zertifikatsaussteller (CA)?
Nachweis Zuverlässigkeit + Fachkunde
Geprüfte Umsetzung des Sicherheitskonzeptes für die CA
Muss Richtigkeit von public Keys beglaubigen
Was sind qualifizierte Signaturen?
Beruhend auf qualifiziertem Zertifikat + mit sicheren Signaturerstellungseinheit erzeugt
Rechtlich gleichgestellt mit Unterschrift
Welches sind die technischen Anforderungen bei qualifizierten Signaturen?
Schlüsselerzeugungskomponente EAL4 hoch
Komponente zur Speicherung EAL4 hoch
Komponente zur Signaturerstellung EAL4 hoch
Was ist der "Vertraulichkeit" zuzuordnen?
Was ist der "Verbindlichkeit" zuzuordnen?
Was ist der "Integrität" zuzuordnen?
Was ist der "Authentizität" zuzuordnen?
Was ist "Authentifikation"?
Überprüfung der Authentizität von Objekten/Subjekten
Erst dann ist Sicherstellung von Integrität und Vertraulichkeit möglich
Identifikation und Nachweis der Identität über zweifelsfreie Merkmale
Was sind zweifelsfreie Merkmale bei der Identifikation?
Subjekt muss Referenzen vorweisen
Menschliche Individuen, Geräte (mobile), Dienste (amazon, bank...)
Authentifikation für Objekte: Kryptografisches Hashverfahren
Subjekte: Benutzer, Prozesse
Welche drei Möglichkeiten zur Authentifikation gibt es (+Beispiele)?
Wissen: Pins, Passwörter, Schlüssel
Besitz: Smartcard, USB-Token, Sim-Karte
Biometrische Merkmale: Iris, Fingerabdruck
Beispiele für Mehrfaktor-Authentifikation?
Handy
E-Banking mit Token
Wie sieht die 2-Faktor-Authentifikation beim Handy?
Authentifikation über Pin: Wissen zu PIN, Besitz der SIM-Karte
Sim-Karte authentifiziert sich ggü. dem Netz mit geheimen Schlüssel
Webdienste: Passwort (Wissen) + per Handy zugestellter Einmalcode (Besitz)
Welche Probleme gibt es bei Passwörtern?
Zu viele PWs, zu kompliziert -> User verwenden oft das gleiche Passwort bei unterschiedlichen Diensten
Passwort Cracking: Frei verfügbare Crack-Tools
Social Engineering: "Ich benötige Ihr PW für Admin-Aufgabe"
Stalking: Passwort-Suche
Unverschlüsselte PW-Übertragung
Was ist die Problematik von gespeicherten PWs?
Unautorisierter Zugriff auf Webaccount; Diebstahl von Notebook
Synchronisierung + Speicherung in Clouddiensten bei externen DL
Was ist ein Challenge Response Verfahren?
Bei jedem Login neues Passwort generieren -> Authentifikation Subjekt ggü. Instanz
Instanz sendet Challenge (normalerweise Zufallszahl) an Subjekt
Subjekt berechnet mittels Entschlüsselung Response
Welche Lösungen gibt es für Einmalpasswörter?
Software-Lösung: S/KEY
Hardware-Lösung: RSA Secure (ID Token), Frage-Antwort-Spiel (CR)
Weshalb entstanden die Datenschutz-Grundprinzipien?
Abwehrrecht des Bürgers gegen übermächtigen Staat
An welche Richtlinie hat sich Datenschutz zu halten?
Verhältnismässigkeitsprinzip (Abwägung öffentliches Interesse – Eingriff in private Freiheiten)
Was ist das informationelle Selbstbestimmungsrecht?
Schutz der Privatsphäre ist ein Grundrecht.
Jeder soll bestimmen können, wem und aus welchen Gründen er Persönliches offenbart.
Was ist Persönlichkeit in Bezug auf persönliche Daten?
Physische, psychische, moralische und soziale Werte, die einer Person zukommen.
Was sind Personendaten in Bezug auf persönliche Daten?
Alle Angaben, die sich auf eine bestimmte/bestimmbare Person beziehen (natürlich sowie juristisch)
Was sind besonders schützenswerte Personendaten?
Religiöse, politische, gewerkschaftliche oder weltanschauliche Ansichten/Tätigkeiten
Gesundheit, Intimsphäre oder Rassenzugehörigkeit
Massnahmen oder soziale Hilfe
Administrative, strafrechtliche Verfolgung und Sanktionen
Was ist ein Persönlichkeitsprofil?
Zusammenstellung von Daten, die eine Beurteilung wesentlicher Aspekte der Persönlichkeit einer natürlichen Person erlaubt.
Welches sind die Schweizer Rechtsgrundlagen für Datenschutz?
BV/Grundrechte
Schweizerisches Datenschutzgesetz (DSG)
Verordnung zum Datenschutzgesetz (VDSG)
Kantonales Datenschutzgesetz (KDSG)
Was sind die Datenschutzgrundsätze?
Rechtmässigkeit der Datenerfassung + jeder Datenbearbeitung
Transparenz von Treu & Glauben, Erkennbarkeit
Verhältnismässigkeit + Zweckbestimmung (Datensparsamkeit/-vermeidung)
Bearbeitung nur zum angegebenen Zweck, aus den Umständen oder gesetzlich vorgesehen
Nur so viele Daten, wie es der Zweck unbedingt verlangt
Geeignet, angemessene und notwendige Mittel zur Bearbeitung von Personendaten
Was versteht man unter "Bearbeiten von Daten"?
Jeder Umgang mit Personendaten, unabhängig von den angewandten Mitteln und Verfahren, insbesondere das Beschaffen, Aufbewahren, Verwenden, Umarbeiten, Bekanntgeben, Archivieren oder Vernichten von Daten
