Informationssicherheit

Public Key Infrastructure

Ein System, das digitale Zertifikate ausstellen, verteilen und prüfen kann.

Certificate Authority

Hierbei handelt es sich um eine Zertifizierungsstelle, welche die Zertifizierungen in bestimmten Bereichen durchführt. Der CA hat die Möglichkeit andere Zertifikate zu unterschreiben.

Root Certificate Authority

Ist die oberste Zertifizierungsstelle, welche auch sich selbst zertifiziert und dessen public key in jedem Browser/Betriebssystem vorinstalliert ist.

Abstract Syntaxt Notation One

Notationsstandard, wie ein Zertifikat aufgebaut ist.

Perfect Forward Secrecy

Ein möglicher Angreifer kann trotz Kenntnis des Langzeitschlüssels keinerlei Rückschlüsse auf die ausgehandelten Sitzungsschlüssel ziehen. (Wird mit DH erreicht)

HTTP Strict Transport Layer Security

Server weisen Clients auf über eine Zeitspanne nur über HTTPS zu verbinden. Wenn man versuch mit http anzumelden wird automatisch TLS-Verbindung (HTTPS) eröffnet. Allerdings erlaubt der Browser nun den Zugriff nur noch, wenn das CA Zertifikat installiert ist. Mit HSTS können nicht vertrauenswürdige bzw. ungültige Zertifikate auch manuell nicht mehr erlaubt werden.

Ein Server der vor kurzer Zeit mit dem Client gearbeitet hat, erlaubt es dem gleichen Client nach einer kleinen Verbindungsunterbruch mit dem gleichen Masterkey weiterzuarbeiten. Somit wird vermieden eines neues Master Key zu verwenden, wenn man nach kurzer Verbindungsunterbruch wieder mit dem Server kommunizieren möchte.

Fals Acceptance Rate

Die Möglichkeit ein falsches (z. B. falscher Fingerabdruck, welcher aber ähnlich ist) Passwort o.ä. zu akzeptieren.

False Rejection Rate

Die Möglichkeit ein richtiges (z. B. falscher Fingerabdruck,) Passwort o.ä. zu verwerfen bzw. als ungültig zu betrachten.

Password-Based Key Derivation Function

Hierbei handelt sich um eine Funktion von einem Passwort den Schlüssel abzuleiten. Hierfür wird Salt verwendet, damit Attacken mit Rainbowtables nicht möglich sind. Weiter wird die Funktion mehrfach auf das Ergebnis angewendet. Durch Erhöhung Anzahl Durchgänge kann man eine absichtliche Verzögerung erschaffen, welche einer Bruteforce-Attacke extrem verlangsamen kann und somit gegen dem schützt.

Single Sign On

Ein Benutzernamen und Passwort für mehrere Dienste.

Wenn man zu viele Anmeldeversueche macht die fehlschlagen, wird das Anmelden für eine gewisse Zeit gesperrt.

Anmeldevorgang, welche mindestens zwei Faktoren von „What you know“, „What you Have“ und „What you are“ anfordert.

Berechtigungsnachweis

Ein Berechtigungsnachweis, ist ein Instrument, welches einem anderem System die Identität des Benutzers bestätigen soll.

Simple Mail Transport Protocol

Ein Transportprotokoll für Mailing.

Multipropose Internet Mail Extension

Definiert das Datenformat des Mails.

Es ist die Erkennung von Betriebssysteme durch die Beobachtung diverser Reaktionsweise der Systeme. Ein solcher TCP/IP-Stack enthält Informationen wie TTL, Receive Window Size, Maximum Segment Size …

Information Security Management System

Plan, Do, Check, Act (PDCA-Cycle)

-> Für Qualitätssicherung

Control Objectives for Information and related Technology

Konzentriert sich auf:

- Business Requirements

- IT-Ressources

- IT-Processes

IT Infrastructur Library

Konzentriert sich auf IT-Service Management

Bei der Autorierung geht es darum die Person einer Gruppe zuzuordnen, damit man Ihre Rechte herausfinden kann. (nicht zu vergleichen mit der Authendifizierung, wo man versucht herauszufinden, ob die Person wirklich die ist, als welche sie sich ausgibt)

Bundestamt für Sicherheit in der Informationstechnik (Deutschland)

British Standardisation Institution

Computer Emergency Response Team

Wirkt als Koordinationsstelle bei neu entdeckte Sicherheitslücken oder Viren

Common Plattform Enumeration

Ein Industriestandard für die Namenskonvention für Produkte in der IT. Es gibt vor wie die Versionen, Name, Paktete etc. zu beschriften sind.

Common Vulnerabilities and Explosures (dt. Explosures=Entblössung, Aussetzung)

Beschreibung von Verletzlichkeiten in der Informationssicherheit z.B. CVE-1999-0067

Bedrohung + Schwachstelle

Wahrscheinlichkeit eines Zwischenfalls * Schaden =

Bedrohung * Verletzlichkeit * Schaden =

durchschnittlicher Schaden aufgrund der Gefährdung

Common Vulnerability Scoring System

Beschreibt die "Schwere" (Impect Metric) vom Verletzlichkeit

Common Weakness Enumeration

A Community-Develeped Dictionary of Software Weakness Types.

Hacken des eigenen Systems zu Testzwecken mit Leuten, welche nicht an der Erstellung des Systems mitgewirkt haben.

Identity and Access Management

Identität einer Person herausfinden anhand Passwort, Iris-Scan etc. Die IAM besteht aus folgenden Teilbereichen:

• Administation
• Authentification
• Authorisation
• Auditing

Institute of Electrical and Electronics Engeneers

Ein weltweiter Berufsverband, welcher hauptsächlich aus den Bereichen Elecktrotechnik und Informationstechnik stammt.

Internet Engerneering Task Force

Standardisierungsorganisation, welche die RFC macht

Information Security Management System

International Organisation for Standardisation

Nationale Koordinationsstelle zur Bekämpfung der Internet-Kriminalität

Melde- und Analysestelle Informationssicherung

National Institution of Standards and Technology