von: DF
Wie sind die beiden Begriffe Authentisierung und Autorisierung definiert?
- Authentisierung
- Ist der Benutzer tatsächlich derjenige für den er sich ausgibt?
- Feststellung einer Identität
- Autorisierung
- Darf der Benutzer auch, was er gerade veruscht?
- Feststellung einer Berechtigung
Wie sind die beiden Begriffe Authentisierung und Authentifizierung definiert?
- Authentifizierung: Überpfrüfung der Authentizität einer Person oder
Sache - Authentisierung: Nachweis der eigenen Identität
- Im Englischen keine Unterscheidung: Authentication wird auch im deutschen gelegentlich vermischt
Weleche verscheidenen Klassen von Identitätsbelegen gibt es?
(3 Punkte)
- Etwas, das ich weiß (Passwort, PIN, ... )
- Etwas, das ich habe (Chipkarte, Schlüssel, ...)
- Etwas, das ich bin (Fingerabdruck, Iris, Stimme)
Was versteht man unter einer Straken Authentisierung?
Mindestens zwei Identitätsbelege aus verschiedenen Klassen, z.B. Chipkarte und PIN ( Achtung: Stark heißt nicht sicher!)
Wie wird es realisiert, das ein Passwort nicht im Klartext gespeichert wird, aber dennoch ein Vergleich möglich ist?
- Beim Setzen des Passwortes wird es mit einem Falltür-Algorithmus verschlüsselt der nicht umkehrbar ist, das Verschlüsselte Passwort wird dann gespeichert
- Versucht ein Benutzer sich anzumelden wird ebenfalls verschlüsselt und mit dem gespeicherten verglichen
Wie funktioniert ein Wörterbuchangriff und was kann man dagegen unternehmen?
- Viele Benutzer wählen einfache Passwörter
- Ein Wörterbuch der verschlüsselten Passwörter (Rainbowtable) ist dann so gut
wie im Klartext gespeicherte Passwörter - Lösungsanzatz
- Verbesserte Verschlüsselung (Salt!)
- Zugriff auf die verschlüsselten Passwörter erschweren
Was bedeutet die Verschlüsselung mit Salz und wo liegen die Vorteile?
- Beim Verschlüssel wird neben dem Passwort auch noch ein Zufälliger Schlüssel (Salz) mitverschlüsselt
- Das Salz wird mit dem verschlüsselten Passwort gespeichert
- Dies erschwert Wörterbuchangriffen erheblich, da für jedes Salz ein neues Wörterbuch generiert werden muss (benötigt viel Rechenleistung)
Wie ist die datei /etc/passwd aufgebaut und wer kann sie lesen?
Name:Passwort:User-ID:Group-ID:Kommentar:Verzeichnis:Shell
[Passwort]: Ist bei der verwenung der datei /etc/shadow immer gleich "x"
Die Datei kann von allen Benutzern gelesen werden!
Wie ist die Datei /etc/shadow aufgebut und wer kann sie lesen?
Die Regeln definieren wie ein Passwort aufgbaut sein muss und wie lange es gültig ist
Die datei kann nur vom root gelesen werden
Nenne 3 übliche Hashfunktionen (Streuwertfunktionen)?
- MD5
- Blowfish
- SHA-256 / SHA-512
Nenne die 5 Schritte des Login-Prozess?
Wie läuft die Passwortverschlüsselung unter MS Windows ab?
Welche Potenziellen Probleme ergeben sich bei der Passwortverschlüsselung von MS Windows?
- DES-Verschlüssleung ist schwach
- brute force (Knacken des Passworts durch ausprobieren)
- mathematisch durch umkehrfunktion
- MD4-Hasch ist besser aber auch leicht zu knacken
- Brute force
- Rainbowtable + social Engineering
- Verschlüsselung ohne Salz -> Rainbowtable wird einfacher zu erstellen
Was ist der Security Account Manager (SAM) unter Windows?
- Speicherung der Verschlüsselten Passwörter in einer Datenbank
- Für "normale" Benutzer ist diese Datenbank nicht zugänglich, liegt unter "%SystemRoot%\system32\config"
- SAM Datenbank kann zusätzlich mit einem 128bit
Schlüssel verschlüsselt werden
Wie ist der Domänen Login unter Windows aufgebaut?
Wie wird unter Windows nach erfolgreicher Anmeldung der Zugriff auf passwortgeschützte Ressourcen realisiert?
Wenn die Anmeldung erfolgreich war, wird von der Executive ein Access Token ausgestellt, das bei weiteren Authentisierungsanfragen verwendet wird (z.B. Netzlaufwerke verbinden)
Welchen Vorteil hat die Passwortverschlüsselung "mit Salz"?
1. Die Entschlüsselung wird komplizierter
2. Wörterbuchangriffe werden komplizierter
3. Der effektive Schlüssel wird länger
Richtig ist Antwort 2: Ein Wörterbuch muss für jedes Salz neu generiert werden dies ist aufwändig und benötigt viel Rechenleistung
Wie läuft die Autorisierung und Authentisierung schematisch ab?
Nach welchen Schemen werden IDs für User und Gruppen vergeben?
Durch was können Benutzer und Gruppen identifiziert werden?
- Benutzer (User) werden durch User-ID's (16 bit Zahlen) identifiziert
- Benutzer können zu Gruppen zusammengefasst werden
- Gruppen (Groups) werden durch Group-ID's (16 bit Zahlen) identifiziert
- Eine primäre Guppe (/etc/passwd)
- Beliebig viele weitere Gruppen (/etc/group)
Welche 3 Arten von Zugriffsrechten kennt Unix/Linux?
- Lesen (r) [read]
- schreiben (w) [write]
- ausführen (x) [execute]
Wem können die Zugrifsrechte unter Unix/Linux erteilt oder verweigert werden?
(3 Punkte)
- Dem Eigentümer (u)
- Einer Gruppe von Benutzern (g)
- allen Benutzern ("others") (o)
Nach welchen Schema werden die Berechtigungen durch ls -l ausgegeben?
(Bild mit den Schaltern als Besipiel für die Datei lib)
Mit welchem Befehl lassen sich die Zufriffsrechte einer Datei verändern?
chmod <wer>[=+-]<was> <Pfad(e)>
<wer> ... User (u), Group (g), Others (o), All (a)
<was> ... Read (r), Write (w), Execute (x)
Beispiel im Bild um eine Datei zu privatisieren.
- Wie lassen sich
- Verzeichnis rekursiv "veröffentlichen"?
- Rechte ganz gezielt setzen?
- eine Dateien ausführbar machen
Verzeichnis rekursiv "veröffentlichen"
chmod –R go+rX <Verzeichnis> (Rekursiv | Großes X => es wird ein execute bit gesetzt falls schon ein x-Bit gesetzt ist
Rechte ganz gezielt setzen
chmod u=rwx,g=rx,o=x <Datei(en)>
Eine Datei ausführbar machen
chmod +x <Datei(en)> (Alle x Bits werden gesetzt)
Wie können die Zugriffsrechte als Zahlen dargestellt werden?
Welche bedeutung hat das Set-UID Bit und wie wird es gesetzt?
Hat eine ausführbare Datei ein gesetztes UID Bit (-rws--x--x) dann wird diese mit den Rechten des Eigentümers meistens root ausgeführt. Dies ermöglicht es dem User spezielle Aufgaben zu bewältigen zu denen er aber durch seine eingeschränkten Rechte nicht in der Lage ist. Wie z.B. das nutzen des Programms passwd welches das passwort des Users ändert.
Setzen des Set-UID bits: chmod u+s <Programm>
Welche Gefahren und Einschränkungen gibt es bei der Benutzung des Set-UID Bits?
(3 Punkte)
- Skripte dürfen nie mit Set-UID laufen
- Programme, die ein "Shell-Escape" ermöglichen, dürfen NIE Set-UID laufen (die Subshell erbt die effektive UID)
- Es sollte so wenig Programme wie möglich Set-UID laufen
Was ist die weniger riskannte Alternative zu Set-UID, wie funktioniert diese?
Es wird das Set-GID bit gesetzt, damit läuft das programm unter der Group-ID, der das Programm zugeordnet ist
Beispiel: Beispiel: Programme, die auf bestimmte Hardware (Drucker, ...) zugreifen
Setzen des Set-GID Bits: chmod g+s <Programm>
Was ist die Bedeutung des Set-GID Bits bei Verzeichisen?
(1 Punkt)
Dateien, die in diesm Verzeichnis angelegt werden, erhalten dieselbe Group-ID wie das Verzeichnis selbst.
Was ist die Bedeutung des Sticky-Bit, wie wird es gesetzt?
- Bei Programmen (z.B. "-rwxr-xr-t"): bleibt nach Beendigung im Speicher und kann so schneller wieder gestartet werden
- Bei Verzeichnissen (z.B. "rwxrwxrwt"): Dateienkönnen nur gelöscht werden
- vom Einentümer
- vom Eigentümer des Verzeiniss
- vom Superuser
- Setzen des Sticky-Bits: chmod o+t <Programm/Verzeichniss>
Wie läuft die Autorisierung unter Windows ab?
Nach welchem Schema funktioniert die Identifikation unter Windows?
Benutzer, Gruppen, Rechner und Domänen ("Subjekte") werden durch Security-ID's (SIDs) dargestellt
Was sind die Funktion von Access Token unter Windows?
- Jeder Prozess/Thread hat einen Access Token
- Enthält SIDs des Eigentümers
- Bestimmt die Eigenschaften neu erzeugter Objekte
- Enthält die aktuellen Rechte des Benutzers, z.B.
- Zugriff auf Netzlaufwerke
- Darf sich lokal anmelden
- Darf sich über das Netz anmelden
Wie werden die Zugriffsrechte unter Windows realisiert?
- Berechtigungen werden in Access Control Lists (ACL vergeben
- Besteht aus einem oder mehreren Access Control Entities (ACE)
- Wenn ein Zugriff versucht wird, vergleicht Windows die SIDs aus dem Access Token des zugreifenden Prozesses mit den SIDs in der ACL und gewährt oder verweigert den Zugriff
- Vergabe der Rechte ist deutlich feiner abgestuft als unter normalem Linux/Unix
-
- 1 / 35
-
Lernkarten
Wie sind die beiden Begriffe Authentisierung und Autorisierung definiert?
- Authentisierung
- Ist der Benutzer tatsächlich derjenige für den er sich ausgibt?
- Feststellung einer Identität
- Autorisierung
- Darf der Benutzer auch, was er gerade veruscht?
- Feststellung einer Berechtigung
Wie sind die beiden Begriffe Authentisierung und Authentifizierung definiert?
- Authentifizierung: Überpfrüfung der Authentizität einer Person oder
Sache - Authentisierung: Nachweis der eigenen Identität
- Im Englischen keine Unterscheidung: Authentication wird auch im deutschen gelegentlich vermischt
Weleche verscheidenen Klassen von Identitätsbelegen gibt es?
(3 Punkte)
- Etwas, das ich weiß (Passwort, PIN, ... )
- Etwas, das ich habe (Chipkarte, Schlüssel, ...)
- Etwas, das ich bin (Fingerabdruck, Iris, Stimme)
Was versteht man unter einer Straken Authentisierung?
Mindestens zwei Identitätsbelege aus verschiedenen Klassen, z.B. Chipkarte und PIN ( Achtung: Stark heißt nicht sicher!)
Wie wird es realisiert, das ein Passwort nicht im Klartext gespeichert wird, aber dennoch ein Vergleich möglich ist?
- Beim Setzen des Passwortes wird es mit einem Falltür-Algorithmus verschlüsselt der nicht umkehrbar ist, das Verschlüsselte Passwort wird dann gespeichert
- Versucht ein Benutzer sich anzumelden wird ebenfalls verschlüsselt und mit dem gespeicherten verglichen
Wie funktioniert ein Wörterbuchangriff und was kann man dagegen unternehmen?
- Viele Benutzer wählen einfache Passwörter
- Ein Wörterbuch der verschlüsselten Passwörter (Rainbowtable) ist dann so gut
wie im Klartext gespeicherte Passwörter - Lösungsanzatz
- Verbesserte Verschlüsselung (Salt!)
- Zugriff auf die verschlüsselten Passwörter erschweren
Was bedeutet die Verschlüsselung mit Salz und wo liegen die Vorteile?
- Beim Verschlüssel wird neben dem Passwort auch noch ein Zufälliger Schlüssel (Salz) mitverschlüsselt
- Das Salz wird mit dem verschlüsselten Passwort gespeichert
- Dies erschwert Wörterbuchangriffen erheblich, da für jedes Salz ein neues Wörterbuch generiert werden muss (benötigt viel Rechenleistung)
Wie ist die datei /etc/passwd aufgebaut und wer kann sie lesen?
Name:Passwort:User-ID:Group-ID:Kommentar:Verzeichnis:Shell
[Passwort]: Ist bei der verwenung der datei /etc/shadow immer gleich "x"
Die Datei kann von allen Benutzern gelesen werden!
Wie ist die Datei /etc/shadow aufgebut und wer kann sie lesen?
Die Regeln definieren wie ein Passwort aufgbaut sein muss und wie lange es gültig ist
Die datei kann nur vom root gelesen werden
Nenne 3 übliche Hashfunktionen (Streuwertfunktionen)?
- MD5
- Blowfish
- SHA-256 / SHA-512
Nenne die 5 Schritte des Login-Prozess?
Wie läuft die Passwortverschlüsselung unter MS Windows ab?
Welche Potenziellen Probleme ergeben sich bei der Passwortverschlüsselung von MS Windows?
- DES-Verschlüssleung ist schwach
- brute force (Knacken des Passworts durch ausprobieren)
- mathematisch durch umkehrfunktion
- MD4-Hasch ist besser aber auch leicht zu knacken
- Brute force
- Rainbowtable + social Engineering
- Verschlüsselung ohne Salz -> Rainbowtable wird einfacher zu erstellen
Was ist der Security Account Manager (SAM) unter Windows?
- Speicherung der Verschlüsselten Passwörter in einer Datenbank
- Für "normale" Benutzer ist diese Datenbank nicht zugänglich, liegt unter "%SystemRoot%\system32\config"
- SAM Datenbank kann zusätzlich mit einem 128bit
Schlüssel verschlüsselt werden
Wie ist der Domänen Login unter Windows aufgebaut?
Wie wird unter Windows nach erfolgreicher Anmeldung der Zugriff auf passwortgeschützte Ressourcen realisiert?
Wenn die Anmeldung erfolgreich war, wird von der Executive ein Access Token ausgestellt, das bei weiteren Authentisierungsanfragen verwendet wird (z.B. Netzlaufwerke verbinden)
Welchen Vorteil hat die Passwortverschlüsselung "mit Salz"?
1. Die Entschlüsselung wird komplizierter
2. Wörterbuchangriffe werden komplizierter
3. Der effektive Schlüssel wird länger
Richtig ist Antwort 2: Ein Wörterbuch muss für jedes Salz neu generiert werden dies ist aufwändig und benötigt viel Rechenleistung
Wie läuft die Autorisierung und Authentisierung schematisch ab?
Nach welchen Schemen werden IDs für User und Gruppen vergeben?
Durch was können Benutzer und Gruppen identifiziert werden?
- Benutzer (User) werden durch User-ID's (16 bit Zahlen) identifiziert
- Benutzer können zu Gruppen zusammengefasst werden
- Gruppen (Groups) werden durch Group-ID's (16 bit Zahlen) identifiziert
- Eine primäre Guppe (/etc/passwd)
- Beliebig viele weitere Gruppen (/etc/group)
Welche 3 Arten von Zugriffsrechten kennt Unix/Linux?
- Lesen (r) [read]
- schreiben (w) [write]
- ausführen (x) [execute]
Wem können die Zugrifsrechte unter Unix/Linux erteilt oder verweigert werden?
(3 Punkte)
- Dem Eigentümer (u)
- Einer Gruppe von Benutzern (g)
- allen Benutzern ("others") (o)
Nach welchen Schema werden die Berechtigungen durch ls -l ausgegeben?
(Bild mit den Schaltern als Besipiel für die Datei lib)
Mit welchem Befehl lassen sich die Zufriffsrechte einer Datei verändern?
chmod <wer>[=+-]<was> <Pfad(e)>
<wer> ... User (u), Group (g), Others (o), All (a)
<was> ... Read (r), Write (w), Execute (x)
Beispiel im Bild um eine Datei zu privatisieren.
- Wie lassen sich
- Verzeichnis rekursiv "veröffentlichen"?
- Rechte ganz gezielt setzen?
- eine Dateien ausführbar machen
Verzeichnis rekursiv "veröffentlichen"
chmod –R go+rX <Verzeichnis> (Rekursiv | Großes X => es wird ein execute bit gesetzt falls schon ein x-Bit gesetzt ist
Rechte ganz gezielt setzen
chmod u=rwx,g=rx,o=x <Datei(en)>
Eine Datei ausführbar machen
chmod +x <Datei(en)> (Alle x Bits werden gesetzt)
Wie können die Zugriffsrechte als Zahlen dargestellt werden?
Welche bedeutung hat das Set-UID Bit und wie wird es gesetzt?
Hat eine ausführbare Datei ein gesetztes UID Bit (-rws--x--x) dann wird diese mit den Rechten des Eigentümers meistens root ausgeführt. Dies ermöglicht es dem User spezielle Aufgaben zu bewältigen zu denen er aber durch seine eingeschränkten Rechte nicht in der Lage ist. Wie z.B. das nutzen des Programms passwd welches das passwort des Users ändert.
Setzen des Set-UID bits: chmod u+s <Programm>
Welche Gefahren und Einschränkungen gibt es bei der Benutzung des Set-UID Bits?
(3 Punkte)
- Skripte dürfen nie mit Set-UID laufen
- Programme, die ein "Shell-Escape" ermöglichen, dürfen NIE Set-UID laufen (die Subshell erbt die effektive UID)
- Es sollte so wenig Programme wie möglich Set-UID laufen
Was ist die weniger riskannte Alternative zu Set-UID, wie funktioniert diese?
Es wird das Set-GID bit gesetzt, damit läuft das programm unter der Group-ID, der das Programm zugeordnet ist
Beispiel: Beispiel: Programme, die auf bestimmte Hardware (Drucker, ...) zugreifen
Setzen des Set-GID Bits: chmod g+s <Programm>
Was ist die Bedeutung des Set-GID Bits bei Verzeichisen?
(1 Punkt)
Dateien, die in diesm Verzeichnis angelegt werden, erhalten dieselbe Group-ID wie das Verzeichnis selbst.
Was ist die Bedeutung des Sticky-Bit, wie wird es gesetzt?
- Bei Programmen (z.B. "-rwxr-xr-t"): bleibt nach Beendigung im Speicher und kann so schneller wieder gestartet werden
- Bei Verzeichnissen (z.B. "rwxrwxrwt"): Dateienkönnen nur gelöscht werden
- vom Einentümer
- vom Eigentümer des Verzeiniss
- vom Superuser
- Setzen des Sticky-Bits: chmod o+t <Programm/Verzeichniss>
Wie läuft die Autorisierung unter Windows ab?
Nach welchem Schema funktioniert die Identifikation unter Windows?
Benutzer, Gruppen, Rechner und Domänen ("Subjekte") werden durch Security-ID's (SIDs) dargestellt
Was sind die Funktion von Access Token unter Windows?
- Jeder Prozess/Thread hat einen Access Token
- Enthält SIDs des Eigentümers
- Bestimmt die Eigenschaften neu erzeugter Objekte
- Enthält die aktuellen Rechte des Benutzers, z.B.
- Zugriff auf Netzlaufwerke
- Darf sich lokal anmelden
- Darf sich über das Netz anmelden
Wie werden die Zugriffsrechte unter Windows realisiert?
- Berechtigungen werden in Access Control Lists (ACL vergeben
- Besteht aus einem oder mehreren Access Control Entities (ACE)
- Wenn ein Zugriff versucht wird, vergleicht Windows die SIDs aus dem Access Token des zugreifenden Prozesses mit den SIDs in der ACL und gewährt oder verweigert den Zugriff
- Vergabe der Rechte ist deutlich feiner abgestuft als unter normalem Linux/Unix
