Informationssicherheit

Secure Hash Algorithm

„Der Begriff secure hash algorithm (kurz SHA, englisch für sicherer Hash-Algorithmus) bezeichnet eine Gruppe standardisierter Hashfunktionen. Der Prüfwert wird verwendet, um die Integrität einer Nachricht zu sichern.“ -

Verschlüsselung

Data Encryptiion Standard

„Der Data Encryption Standard (DES) ist ein weit verbreiteter symmetrischer Verschlüsselungsalgorithmus.“ - Wikipedia 
DES ist unsicher.

Verschlüsselung

Advanced Encryption Standard

symmetrischer Verschlüsselungsalgorithmus

Pre-Shared Key

„Mit Pre-Shared Key („vorher vereinbarter Schlüssel“) oder kurz PSK bezeichnet man solche Verschlüsselungsverfahren, bei denen die Schlüssel vor der Kommunikation beiden Teilnehmern bekannt sein müssen, also symmetrische Verfahren.“ -

Rivest, Shamir und Adleman

„RSA (Rivest, Shamir und Adleman) ist ein asymmetrisches kryptographisches Verfahren, das sowohl zur Verschlüsselung als auch zur digitalen Signatur verwendet werden kann. Es verwendet ein Schlüsselpaar, bestehend aus einem privaten Schlüssel, der zum Entschlüsseln oder Signieren von Daten verwendet wird, und einem öffentlichen Schlüssel, mit dem man verschlüsselt oder Signaturen prüft. Der private Schlüssel wird geheim gehalten und kann nur mit extrem hohem Aufwand aus dem öffentlichen Schlüssel berechnet werden.“

Secure Sockets Layer

„TLS ist ein hybrides Verschlüsselungsprotokoll zur sicheren Datenübertragung im Internet. Seit Version 3.0 wird das SSL-Protokoll unter dem neuen Namen TLS weiterentwickelt und standardisiert, wobei Version 1.0 von TLS der Version 3.1 von SSL entspricht.

„Der Diffie-Hellman-Schlüsselaustausch oder Diffie-Hellman-Merkle-Schlüsselaustausch ist ein Schlüsselaustauschprotokoll. Mit ihm erzeugen zwei Kommunikationspartner einen geheimen Schlüssel, den nur diese beiden kennen. Dieser Schlüssel wird üblicherweise verwendet, um verschlüsselte Nachrichten mittels eines symmetrischen Kryptosystems zu übertragen.“ -

Der Authentication Header (AH) ist eine Art Prüfsumme (Hashcode) über ein Datenpaket und alle Felder des Headers, die nicht von einem Router geändert werden. Man kann damit den richtigen Absender des Pakets sicherstellen. Damit wird aber keine Verschlüsselung der Daten durchgeführt. Ein Problem sind jedoch NAT-Router, da sie die Adressen der Datenpakete ändern müssen um zu funktionieren.

• ESP - Encapsulation  Security Payload Protocol:

Encapsulating Security Payload (ESP) sorgt für die Verschlüsselung mit Triple-DES-Sitzungsschlüssel. Die zusätzliche SHA1- oder MD5-Signierung ist nur eine Option, bezieht sich aber auf den Inhalt des Datenpakets. Damit kann ESP auch zusammen mit NAT-Routern funktionieren. Allerdings ist damit allein nicht mehr die Authenzität des Absenders sicherzustellen.

IPsec benutzt das Internet Key Exchange Protokoll (IKE)für den Schlüsselaustausch.

 Internet Security Association and Key Managment Protocol

Bietet Sicherheit auf der Netzwerkschicht. Auf dieser OSI-Schicht sichert IPsec Datagramme zwischen zwei Entitäten (zb. Host und Router). Viele Institutionen verwenden IPsec, um VPNs zu erzeugen, die über das öffentliche Internet laufen.

Vertrauliche und authentifizierte Transport von IP-Paketen.

Verhinderung von Replay-Angriffen: Duplizierte Datagramme werden entdeckt, welche möglicheweise vom Angreifer eingefügt wurde.

IPsec hat 2 zentrale Mitglieder:

• AH - Authentication Header:

Der Authentication Header (AH) ist eine Art Prüfsumme (Hashcode) über ein Datenpaket und alle Felder des Headers, die nicht von einem Router geändert werden. Man kann damit den richtigen Absender des Pakets sicherstellen. Damit wird aber keine Verschlüsselung der Daten durchgeführt. Ein Problem sind jedoch NAT-Router, da sie die Adressen der Datenpakete ändern müssen um zu funktionieren.

• ESP - Encapsulation  Security Payload Protocol:

Encapsulating Security Payload (ESP) sorgt für die Verschlüsselung mit Triple-DES-Sitzungsschlüssel. Die zusätzliche SHA1- oder MD5-Signierung ist nur eine Option, bezieht sich aber auf den Inhalt des Datenpakets. Damit kann ESP auch zusammen mit NAT-Routern funktionieren. Allerdings ist damit allein nicht mehr die Authenzität des Absenders sicherzustellen.

IPsec bietet zwei unterschiedliche Paketarten an:

• Transportmodus

Im Transportmodus bestimmt der äußere Header die IPsec-Richtlinie, die das innere IP-Paket schützt. wird bei Host-To-Gateway und Host-To-Host verbindungen verwendet.

• Tunnelmodus

Im Tunnelmodus bestimmt das innere IP-Paket die IPsec-Richtlinie, die dessen Inhalte schützt. Wird bei Gateway-to-Gateway verwendet.

Remote Authentication Dial-In User Service

Funktionen:

• Zugangskontrolle

• Authentifizierung, Autorisierung und Accounting (AAA)

• Bandbreitenzuweisung (QoS)

• Single Sign-on (SSO) (Einmalanmeldung)

Vorteile:

skaliert gut mit größeren Netzen  (zentrale Verwaltung von Nutzerkonten)

Nachteil:

Single-Point-of-Failure

In dem Zertifikat bestätigt eine Zertifizierungsstelle, dass ein öffentlicher Schlüssel einer bestimmten Person gehört. Dazu bildet die Zertifizierungsstelle über den öffentlichen Schlüssel, den Namen, die E-Mail-Adresse und ggf. weitere personenbezogene Angaben einen Hash-Wert, den sie mit dem privaten Schlüssel der Zertifizierungsstelle verschlüsselt.

o Sicherstellung der Authentizität der Schlüssel

o Falls ein privater Schlüssel kompromittiert ist, kann über das Zertifikat dieser Schlüssel zurückgezogen werden bzw. für ungültig erklärt werden.

o Stellt eine Verbindlichkeit her, so dass der Besitzer eines privaten Schlüssels nicht abstreiten kann, dass dieser ihm gehört.

o Über das Zertifikat kann sichergestellt werden, dass gewisse Richtlinien eingehalten wurden, z.B. dass der Schlüssel eine ausreichende Schlüssellänge besitzt.

• Ein Zertifikat enthält u.a.

o Den Namen des Ausstellers des Zertifikates

o Informationen zur Gültigkeit des Zertifikates

o Den öffentlichen Schlüssel zu dem das Zertifikat Angaben macht

o Den Namen des Eigentümers des öffentlichen Schlüssels

o Signatur des Ausstellers über alle Attribute

Mit Public-Key-Infrastruktur (PKI, englisch public key infrastructure) bezeichnet man in der Kryptologie ein System, das digitale Zertifikate ausstellen, verteilen und prüfen kann. Die innerhalb einer PKI ausgestellten Zertifikate werden zur Absicherung rechnergestützter Kommunikation verwendet.

Ablauf (vereinfacht):

RA (Regristration Authority - Regristrierungsstelle): Öffentlicher Schlüssel wird bei der Regristrierungsstelle regristriert. (Dazu wird sich z.B. mit einem Personalausweis ausgewisen)

Anschließend wird der Schlüssel an die CA übermittelt, mit dem Hinweis wem dieser gehört.

CA (Certificate Authority - Zertifizierungsstelle):

Die Zertifizierungsstelle stellt ein digitales Zertifikat aus und schickt es an die Person, die es beantragt hat. Außerdem wird das Zertifikat an die Validierungsstelle weitergeleitet.

VA (Validation Authority - Validierungsstelle):

Wenn diese Person nun beispielsweise in einem Onlineshop einkauft, kann dieser über die Validierungsstelle in echtzeit Überprüfen ob das Zertifikat gültig ist.

Syslog ist faktisch eine Übermittlung von Log-Meldungen in einem IP-Rechnernetz

Network Time Protocol

Ein Standard zur Synchronisierung von Uhren in Computersystemen über paketbasierte Kommunikationsnetze.

NTP wurde speziell entwickelt, um eine zuverlässige Zeitangabe über Netzwerke mit variabler Paketlaufzeit zu ermöglichen.

Internet Key exchange

Internet Key Exchange ist ein Verfahren zum Aufbau sicherer, authentifizierter Verbindungen.

IKE unterscheidet Modes, in denen Schlüssel ausgetauscht werden, welches in einer oder zwei Phasen geschieht. In der ersten Phase wird eine sichere, authentisierte Verbindung aufgebaut, in der zweiten Phase werden die in den verschiedenen Protokollen benötigten Schlüssel ausgetauscht, wobei in der Regel einzelne Schlüssel (Verschlüsselung, Hashen) von einem Masterschlüssel abgeleitet werden.

Portfast verringert die Zeit in dem sich ein Port im learning und listening Modus befindet dramatisch, somit geht dieser nahezu direkt in den forwarding Status. Dies hat zur Folge, dass Server oder Workstations nur eine kürzere Zeit brauchen um online zu gehen.

Portfast hat allerdings den Nachteil, dass z.B. Probleme mit DHCP oder DNS auftreten können.

Bei der Inbetriebnahme neuer IOS-basierter Switches ist bestimmt jedem schon einmal aufgefallen, dass sobald ein Rechner eingesteckt wird der Switchport zunächst nur orange leuchtet und sich erst nach einigen Sekunden auf gelb umstellt. Während der Switchport orange leuchtet, leitet dieser noch keine Pakete weiter. Häufig führt dies dazu, dass Arbeitsplatzrechner nicht in der Lage sind eine DHCP-Adresse zu beziehen, falls diese “zu schnell” starten. Dieses Verhalten weist jedoch in keiner Weise auf einen Fehler hin, sondern ist beabsichtigt.

Auf qualitativ höherwertigen Switches läuft das Spanning Tree Protocol, welches für eine schleifenfreie Topologie trotz physikalischer Redundanzen in der Verkabelung sorgt. Die Switches unterhalten sich untereinander auf dem Data-Link-Layer über sogenannte BPDUs (Bride Protocol Data Units), mit deren Hilfe die Topologie berechnet wird.

Wird ein Switchport aktiv, weil ein Gerät eingesteck wurde wechselt der Switchport über den Blocking State in den Learning- und anschließend in den Forwarding State. Im Blocking und Learning State leitet der Switch noch keine Pakete von angeschlossenen Geräten weiter, sondern beschränkt sich darauf BPDUs zu versenden und zu verarbeiten. Sobald die schleifenfreie Topologie berechnet und der Forwarding State erreicht ist leitet der Switch auch Pakete von angeschlossenen Geräten weiter.

Dieses Verfahren garantiert stets eine schleifenfrei Topologie, führt jedoch mitunter zu unerwünschten Verzögerungen die weitere Probleme mit sich bringen.

Zur Abhilfe können Switchports als “Portfast” konfiguriert werden. Diese Switchports nehmen dann nicht mehr an der Berechung der schleifenfreien Topologie teil und wechseln erheblich schneller in den Forwarding State.

Post officie Protocol 3

Port 110

Emails werden abgerufen vom server und danach vom Server gelöscht.

Internet Message Access Protocol

Port 143

IMAP ladet Emails vom Server und löscht diese im Gegensatz zu POP3 nicht.

Simple Mail Transfer Protocol

Port: 25

Versenden für emails hauptsächlich

Network Address Protocol

Private IP-Addressen aus dem lokalen Netzwerk, die ins Internet wollen werden beim Router in eine öffentliche Addresse übersetzt die vom Internet Service Provider zugewiesen wurde.

Private IP-Adressen werden auch Non-Routable IP Adressen genannt da Pakete mit solchen Adressen von Routern verworfen werden.

Port Address Translation

Mehrere Privaten Ips auf eine Öffentliche IP addresse

Dynamic Host Configuration Protocol

DHCP Server Port 67

DHCP Client Port 68

• IP

• Subnetzmaske

• Default Gateway

• DNS

• Domain (z.B WORKGROUP)

Domain Name Server

Port 53

Das Domain Name System (DNS) ist einer der wichtigsten Dienste in vielen IP-basierten Netzwerken. Seine Hauptaufgabe ist die Beantwortung von Anfragen zur Namensauflösung.“ - Wikipedia

Die tätigkeit, also die Namensauflösung, wird auch meinst Domain Name Service gennat.

Beispiel

Google.de → 173.194.116.184

Teletype Network

Port 23

Anmeldung an Remote Geräten und senden von Befehlen an diese.

Secure Shell

Port 22

Wird benutzt um sich mit einem Remote Gerät zu verbinden und Befehle auf diesem auszuführen.

Context Based Access Control 

• bezeichnet eine Stateful Inspection Firewall

• Filter für TCP- und UDP-Pakete zur Zugriffssteuerung und Zugriffskontrolle auf Dateien oder Dienste, der verbindungsspezifische Protokoll-Informationen („stateful“)

• Überprüfung kontextbasiert

• Filterregeln werden dynamisch erzeugt / zerstört

•  

Access Control List

Standard ACLs

Eine standard ACL kann nur abhängig von der Source-Addresse Traffic erlauben oder verbieten. Arbeitet auf Layer 3

Standart ACLs werden mit 1-99 durchnummeriert und 1300 - 1999

Platziert wird es nah am Ziel

Extended ACL

kann traffic anhand der Source und Destination Adresse erlauben oder verbieten. kann außerdem tcp, udp und icmp services (ports) erlauben oder verbieten.. Arbeitet auf Layer 3, 4

Beispiel:

#access-list 110 permit tcp 223.8.151.2 0.0.0.255 (host ip - wildcard) any eq 80

#access-list 110 deny ip any any

#interface fa0/0

#ip access-group 110 in

extended ACLs werden mit 100-199 durchnummeriert und 2000 - 2699

am nächsten zu der quelle

Address Resolution Protokol

Das Adress Resolution Protokol (ARP) Legt auf den Geräten eine Tabelle an in der jeder MAC Adresse eine IP zugeteit wird.

“ARP-Spoofing” oder auch “ARP Request Poisoning” bezeichnet das Senden von gefälschten ARP-Paketen. Durch ARP-Spoofing lassen sich ARP-Tabellen Einträge verändern, um anschließend den Datenverkehr in einem Netzwerk abzuhören oder zu verändern.

ARP-Spoofing ist eine Möglichkeit um einen Man-In-The-Middle Angriff durchzuführen.

Ziel davon können auch IP-Telefonanlagen sein um Telefonate abzuhören.

Gegenmaßnamen:

durch Port-Security kann ein Ethernet-Switch so konfiguriert werden, dass dieser nur bestimmte MAC-Adressen zum dazugehörigen Port erlaubt. Will eine nicht erlaubte MAC-Adresse mit dem jeweiligen Port kommunizieren wird dieser gesperrt.

Internet Control Message Protocol

„Das Internet Control Message Protocol (ICMP) dient in Rechnernetzwerken dem Austausch von Informations- und Fehlermeldungen über das Internet-Protokoll in der Version 4 (IPv4). Für IPv6 existiert ein ähnliches Protokoll mit dem Namen ICMPv6.“ - Wikipedia

Befehle wie „ping“ verwenden ICMP.

Authentication, Authorization, Accounting

Authentication

Aufgabe: Der Benutzer identifiziert sich am System. (Wer?)

Authorization

Aufgabe: Authorization legt fest was der Benutzer darf. (Welche Rechte?)

Accounting

Aufgabe: Die Aufgabe vom Accounting ist festzustellen was der Benutzer gemacht hat und wie viel. (Was?)

IDS - (Intrusion Detection System)

„Ein Intrusion Detection System (IDS) bzw. Angrifferkennungssystem ist ein System zur Erkennung von Angriffen, die gegen ein Computersystem oder Computernetz gerichtet sind. Das IDS kann eine Firewall ergänzen oder auch direkt auf dem zu überwachenden Computersystem laufen und so die Sicherheit von Netzwerken erhöhen.“ - Google Doc

IDS (Intrusion Detection System) sind Lösungen zur Erkennung von Einbruchsversuchen.

IDS-Lösungen sind also passiv. Sie schreiben verdächtige Aktionen in Logfiles bzw. können einen Alarm (E-Mail, Pager) auslösen.

3 Arten von IDS:

• Host-basierte IDS: (HIDS)

Vorteile:

• Sehr spezifische Aussagen über den Angriff.

• Kann ein System umfassend überwachen.

Nachteile:

• Kann durch einen DoS-Angriff ausgehebelt werden.

• Wenn das System außer Gefecht gesetzt wurde, ist auch das IDS lahmgelegt.

• Netzwerk-basierte IDS (NIDS)

Vorteile:

• Ein Sensor kann ein ganzes Netz überwachen.

• Durch Ausschalten eines Zielsystems ist die Funktion des Sensors nicht gefährdet.

Nachteile:

• Keine lückenlose Überwachung bei Überlastung der Bandbreite des IDS.

• Keine lückenlose Überwachung in geswitchten Netzwerken (nur durch Mirror-Port auf einem Switch).

• Hybride IDS

Mischung aus beiden

Nachteil von IDS:

Angriffe nur erkannt, aber nicht verhindert im gegensatz zu IPS.

Als Intrusion-Prevention-Systeme (kurz: IPS) werden IDS bezeichnet, die über die reine Generierung von Ereignissen hinaus Funktionen bereitstellen, die einen entdeckten Angriff abwehren können.

Virtual Private Network

VPN ist ein privates logisches Netz auf einer öffentlichen Infrastruktur. Nur die Kommunikationspartner, die zu diesem privaten Netzwerk gehören, können miteinander kommunizieren und Informationen und Daten austauschen.

So kann z.B. eine VPN Verbindung zur Hochschule Bremen aufgebaut werden, um vom Heimrechner aus in das LAN-Netzwerk der HS-Bremen zu gelangen.

VPN lässt sich außerdem zur Annonymisierung nutzen

Denial of Service 

Denial of Service (zu deutsch: Dienstblockade) bezeichnet das nicht erreichbar sein eines Dienstes, der eigentlich erreichbar sein sollte. In der Regel ist dies einer (oftmals mutwilligen) Überlastung der Infrastruktur zuzuschreiben.

Angriff

Distributed Denial of Service

Ein DDOS Angriffe ist im Prinzip das Gleiche wie ein normaler DOS-Angriffe mit dem Unterschied, dass die Überlastung von einer größeren Anzahl anderer Systeme verursacht wird.