IS - IT-Sicherheit
IS - IT-Sicherheit
IS - IT-Sicherheit
-
- 1 / 196
-
Lernkarten
Wie kann ein Root Certificate zurückgezogen werden?
Indem man es aus den Applikationen und Systemen entfernt, bei denen es als vertrauenswürdig installiert ist.
Das zieht es nicht wirklich zurück, aber das Zertifikat wird nicht länger als vertrauenswürdig angesehen.
Was ist ein Nebeneffekt, wenn ein Root Certificate zurückgezogen wird?
Alle zuvor von diesem Root Certificate ausgestellten Zertifikate werde auch ungültig.
Was sind EV Certificates?
Extenden Validation Certificates. Die Idee dahinter ist, dass die CA's gewissen Richtlinien über die Prüfung der Identität des Bewerbers folgen müssen.
Was sind die wichtigsten Kriterien beim Ausstellen eines EV Certificate?
- CA muss die legale Identität der Organisation, für die das Zertifikat verlangt wird etablieren.
- CA muss prüfen, ob die Organisation den Domain Name für den das Zertifikat verlangt wird besitzt.
- CA muss verifizieren, dass die Organisation den Bewerber authorisiert hat, ein Zertifikat zu "bestellen"
Was ist der technische Unterschied zwischen normalen und EV Zertifikaten?
Ein spezieller Eintrag (Object Identifier, OID) in den Certificate Policies Extensions
Kann ein Request für ein Zertifikat über einen ungesicherten Kanal abgehandelt werden, oder enthält er sensible Daten?
Ja kann er. Der Request enthält keine sensiblen Daten.
Warum ist das Vertrauen in CAs ein Problem?
Weil, wenn einer CA mal vertraut wird, Zertifikate ausstellen zu könne, ist es sehr schwierig, dieses Vertrauen wieder zurückzunehmen.
Was ist die Idee hinter Convergence in Bezug auf Zertifikate?
Ein Set von Notaries (nodes run by volunteers) zu verwenden, um die Gültigkeit eines Zertifikates zu prüfen.
Dabei wird jeder Notary gefragt, welches Zertifikat es von einem bestimmten Server erhält. Wenn alle (oder eine Mehrheit) der Notaries das gleiche sagen, wird das Server Zertifikat akzeptiert.
Was sind die Vorteile von Convergence?
- Wenn Notaries weit verteilt sind, ist es für einen Angreifer sehr schwierig, die gleichen Fake Certificates an alle Notaries zu verteilen.
- Es kann CAs komplett elliminieren, da der Approach auch mit self-signed Certificates funktioniert.
- Das Vertrauen in Notaries kann schnell geändert werden
Was sind die Nachteile von Convergence?
- Wenn der Angreifer Zugriff auf den Verkehr aller Notaries hat sind MITM Angriffe immer noch möglich.
- Delay während der Prüfung der Zertifikate (mit Caching etwas abgeschwächt)
- Kein offensichtliches Business Model wie bei kommerziellen CAs
Welche Sicherheitsprobleme lösen sichere Kommunikationsprotokolle nicht?
- Software Vulnerabilities an Endpunkten
- Malware
- (Disturbed) Denial of Services ((D)DoS) Attacks
Und noch andere
Auf welchem OSI-Layer werden sichere Kommunikationsprotokolle am besten implementiert?
Es gibt keinen "besten" Layer, da viele Protokolle verschiedene Anforderungen für unterschiedliche Szenarien haben.
Was sind die Eigenschaften eines sicheren Kommunikationsprotokolls, das auf einem hohen Level implementiert wird?
- Einfacher zu deployen
- Stellt typischerweise end-to-end Schutz zur Verfügung
- Können nicht so allgemein eingesetzt werden (meist optimiert für eine Applikation)
Bsp.: S/MIME, SSL/TLS
Was sind die Eigenschaften eines sicheren Kommunikationsprotokolls, das auf einem tieferen Layer implementiert wird?
- Schwieriger zu Deployen
- Wenn es auf Layer 2 ist, bekommt man nur hop-to-hop Protection
- Kann allgemeiner eingesetzt werden (schützt alle Layer darüber ebenfalls)
Bsp.: IPsec
Was heisst EAP und was macht es?
Extensible Authentication Protocol.
EAP ist kein Protokoll für einen bestimmten Authentication Mechanismus. Es ist ein erweiterbares Authentication Protokoll, das ein breites Spektrum an Authentication Mechanismen unterstützen kann.
Aus welchen Teilen bestehen EAP Pakete?
- Code
- ID
- Length
- Type
- Data
Was kann man mit Port-based Network Access Control machen?
Den Zugriff auf LANs schützen.
Wie funktioniert eine Port-based Network Access Control grundsätzlich?
- LAN Ports sind per Default nicht offen
- Ein Client, der sich auf einen Port verbinden möchte, muss sich zuerst authentifizieren, bevor er Netzwerkzugriff erhält
- EAP wird als Authentication Protocol verwendet
Daten, die über WLAN übertragen werden, müssen nicht verschlüsselt werden. Stimmt das?
Nein. Es gibt kein Kabel, also ist das Sniffing von Paketen sehr einfach. Daten sollten unbedingt verschlüsselt werden.
Auf welchem Layer sollte die Authentication für einen Access Point stattfinden und warum?
Auf Layer 2, damit alle Daten, die zwischen den Clients und dem AP ausgetauscht werden geschützt sind.
Was heisst WEP?
Wired Equivalent Privacy
Was kannst du über den Key von Wired Equivalent Privacy sagen?
- Der AP und alle Clients teilen einen vorkonfigurierten long-term Key, der verwendet wird, um individuelle Frames zu verschlüsseln.
- Da alle Clients den gleichen Key verwenden, kann jeder User, der diesen Key kennt, den ganzen Traffic von allen anderen Usern lesen.
- Die Key-Länge ist 40 oder 104 Bit
- Es wird RC4 verwendet
Gilt WEP als sicher oder nicht?
Nicht sicher. Sgar mit 104-Bit Keys ist es noch völlig unsicher
Beschreibe grob einen Angriff auf WEP.
- Sniffe alle Frames und warte, bis IVs sich wiederholen
- Wenn zwei Ciphertexte mit dem gleichen IV abgehört wurden, werden diese XOR-ed. Das gibt die XOR-ed Plaintexte. Da sie meist die gleiche Struktur haben (z.B. Englischer Text) kann man zwei Plaintexte davon ableiten
- Wenn man einen Plaintext hat, kann man daraus den Keystream ableiten
Was für eine Attacke auf WEP wäre auch noch möglich, ausser auf den Keystream?
Die Schwachstellen von RC4 ausnutzen.
Warum ist eine CRC nicht wirklich ein guter MAC?
CRC (oder auch ein Hash, wie SHA-2 oder SHA-3) schützen nicht vor allen Angriffen.
Dafür sollte ein MAC verwendet werden.
Wir unterscheiden 2 Versionen von Wi-Fi Protected Access. Welche?
- WPA
- WPA2
Was ist der fundamentale Unterschied zwischen WEP und WPA/WPA2?
Clients müssen sich zuerst am Access Point authentifizieren.
Wie wird die Authentifizierung am AP bei WPA/WPA2 gemacht?
- Mit port-based network access control (mit einem RADIUS Server und EAP)
- mit einem Pre-shared Key (PSK) unter allen Clients und APs
Wer kann die unicast Daten der anderen User lesen, wenn WPA/WPA2 verwendet wird?
Niemand. Nicht wie bei WEP, wo sie jeder lesen kann.
Was weisst du über den Key exchange zwischen Client und AP, wenn WPA verwendet wird?
- Zwei 128 Bit Unicast Keys für die Verschlüsselung unt Integrity Protection (einzigartig pro Client und Session)
- Zwei 128 Bit Broadcast Keys für Verschlüsselung und Integrity Protection (gleich für alle Clients)
- Periodisches re-keying, typischerweise nach 1 Stunde.
Welche beiden Encryption Modes gibt es bei WPA/WPA2?
- Temporal Key Integrity Protocol (TKIP)
- Counter Mode CBC MAC Protocol (CCMP)
Wie funktioniert TKIP?
Für jedes Frame wird ein individueller Encryption Key generiert. Dieser wird verwendet, um RC4 zu initialisieren, welcher wiederum für die Verschlüsselung der Frames verwendet wird.
Authenticity / Integrity wird durch eine MAC, die den Michael Algorithmus verwendet, erreicht.
Worauf basiert CCMP?
Auf AES
Ist WPA mit TKIP Security eine gute Wahl?
Nein.
TKIP verwendet Algorithmen mit bekannten Schwachstellen:
- RC4 ist seit Jahren nicht mehr sicher
- Michael ist keine one-way Function
CCMP schützt die Integrität von was?
Dem Frame Header
Was ist eine Firewall?
Ein Gerät, das zwischen zwei oder mehr Netzwerken sitzt und den Paketfluss dazwischen kontrolliert.
Was ist die Basis für die Verwendung einer Firewall?
Eine Security Police: eine von Menschen lesbare Beschreibung darüber, was erlaubt ist und was nicht.
Was kann man mit einer Firewall tun?
- Den Zugriff vom internen Netzwerk ins Internet kontrollieren
- Den Zugriff vom Internet auf interne Computer und Services kontrollieren.
- Bösartigen Web Traffic am Eindringen hindern.
Welche zwei Typen von Firewalls gibt es?
- Packet-Filtering Firewalls
- Application Layer Firewalls
