IT-Sicherheit
...
...
Nennen Sie Grenzen und Risiken von Firewalls? (6p)
- Komplxe Konzeption und Konfiguration
- Detaillierte Kenntnisse erforderlich über
- Permanente Überwachung und Pflege notwendig
- Kein Schutz gegen Angriffe innerhalb des internen Netzes
- Vertrauen auf Firewall verleitet zu fahrlässigem Verhalten
- Zunahme von Webservices (alles auf Port 80 per http)
Nennen Sie die Schutzziele, die durch den Einsatz einer SSL/TLS-Verbindung erreicht werden sollen. Durch welche Mechanismen werden sie jeweils erreicht? Welches Schutzziel wird nicht durch TLS abgedeckt? (4p)
- Authentisierung der Kommunikationspartner (Public-Key-Verfahren, Zertifikate)
- Vertraulichkeit (Verschlüsselung)
- Integrität (Message Authentication Codes)
- Nicht abgedeckt: Verbindlichkeit
Wie läuft der Verbindungsaufbau bei einer Secure Shell (SSH) ab? (4p)
- Authentisierung des Servers mit Public-Key-Verfahren
- Authentisierung des Clients per Public-Key-Verfahren / Username + Passwort
- Schlüssel manuell hinterlegen
- Verschlüsselung mit Symmetrischem Verahren und Session Key
Welche Anforderungen sind bei der Speicherung von Passworten zu beachten? Wie können sie erfüllt werden? (6p)
- Klartextpasswort muss validiert werden können
- Klartextpasswort darf nicht rekonstruiert werden können
- Gleiche Passworte dürfen im Speicherformat nicht identifiziert werden können
- Passwortlänge und -struktur darf nicht erkennbar sein
- Verwendung von Hashes
- Verwendung von Salts
Was sind Salts? (1p)
Salt (englisch für Salz) bezeichnet in der Kryptographie eine zufällig gewählte Zeichenfolge, die an einen gegebenen Klartext vor der Verwendung als Eingabe einer Hashfunktion angehängt wird
Was ist ein VPN? Nennen Sie zwei Einsatzszenarien (5p)
- Kommunikationsverbindung zwischen privaten Netzwerken
- Nutzung öffentlicher Netze
- öff. Netz für Teilnehmer des priv. Netz nicht sichtbar
- Verbindung zweier Teilnetze (z.B. Standorte)
- Sicherer Zugang zu Netz (z.B. Homeoffice)
Nennen Sie Authentisierungsmethoden
- Wissen (das Subjekt weit Kenntnis von z.B Passwort nach)
- Besitz: das Subjek weist Besizt von z.B. Schlüssel, Smartcard, Token nach
- Eigenschaft: das Subjekt besitzt selbst bestimmte Eigenschaften
Nennen Sie Schwachpunkte von Passwortbasierter Authentisierung
- Übertragung des Passworts
- Speicherung des Passworts
- Qualität des Passworts
Erklären sie das Challenge-Response-Verfahren
- Problem: Passwort kann bei der Übertragung abgehört werden
- Lösungsansatz: Nachweis der Kenntnis, ohne das Passwort selbst zu übertragen
- Dienst übermittelt Challenge (Zufallszahl) an Nutzer
- Nutzer erzeugt Response aus Challenge und Secret
- Dienst verifiziert Response
Was sind Einmal Passwörter (OTP)?
- Passwort wird nach einmaligem Gebrauch ungültig
- Aus shared secret und ggf. weiteren Informationen wird eine Reihe von Einmalpassworten erzeugt.
Was ist HOTP
- HAMAC basierte One Time Password lösung
- Berechnung einer Reihe von Einmalpassworten über ein Shared Secret, einen Zähler und Hash-Algorithmen
Welche Dinge gilt es bei der Passwortspeicherung zu beachten?
- Passworte nicht im Klartext speichern
- klartextpasswort muss gegen gespeicherte Form validiert werden können
- Klartextpasswort darf aus gespeicherter Form nicht rekonstruiert werden können
Erklären sie die Verwendung von Passwort-Hashes
- Verwendung kryptographischer Hashfunktionen
- Statt dem Passwort selbst wird ein Hashwert gespeichert
- Für die Validierung wird der Hashwert des eingegebenen Passworts bestimmt und mit dem gespeichertem Wert verglichen
- Durch die Einweg-Eigenschaft der Hashfunktion ist eine Berechnung des Klartextpasswortes aus dem gespeicherten Wert nicht möglich
- Auch Passwortlänge und Qualität werden verborgen
Beschreiben Sie das Grundprinzip des Zugriffsmatrix-Modells der Autorisierung. Nennen
Sie eine gebräuchliche Form der Implementierung
- Abbildung von Berechtigungen als Matrix
- Objekte als Spalten
- Subjekte als Zeilen
- Berechtigungen als Einträge in Zellen
- Implementierung als Access Control List
- Jedes Objekt hat Liste mit berechtigten Subjekten und entsprechenden Rechten
Beschreiben sie das Rollenbasierte Zugriffsschutzmodell
- Zugriffsrecht für ein Objekt wird nicht dem Subjekt, sondern einer Rolle zugeordnet
- Subjekt wird einer oder mehreren Rollen zugeordnet
- Subjekt erhält Zugriffsberechtigung, wenn es mindestens einer Rolle angehört, die für das betroffene Objekt die entsprechende Berechtingung besitzt.
Beschreiben Sie das Chinese-Wall-Modell der Autorisierung
- Sugriffsbeschränkung auf der Basis der bisherigen Aktionene des Subjekts
- Zugriffsmatrix als Basis
- Strukturierung der Objekte als 3-Stufiger Baum
- Schutzobjekte als Blätter
- Unternehmen / Bereiche als Elternknoten der Schutzobjekte
- Konfliktklassen als Elternknoten der Unternehmen
- Speicherung der erfolgten Zugriffe und genutzten Rechte in zweiter Matrix
- Leseregel: Lesezugriff erlaubt, wenn
- Berechtigung grundsätzlich vorhanden und bereits gelesene Objekte zum selben Unternehmen oder zu einer anderen Konfliktklasse gehören
- Schreibregel: Schreibzugriff erlaubt, wenn
- Berechtigung grundsätzlich vorhanden und bereits gelesene Objekte zum selben Unternehmen gehören
Beschreiben sie OpenId
- Einheitliche Id für verschiedene Websites
- Sicherer Umgang mit Credentials
- Single Sign On
- Kontrollierte WEitergabe von Benutzerdaten
- URL-basierte ID
- Dezentralisiert
Beschreiben Sie OAuth
- Protokoll zur Autorisierung von API-Zugriffen
- Sicherer Umgang mit Credentials
- Geziehlte Freigabe bestimmter Daten
- Für Verwendung mit OpenID entworfen und geeignet
Beschreiben Sie das Bellapadula Sicherheitssystem
Systembestimmtes Modell
● Basiert auf Schutzstufen
● Kontrolliert Informationsfluß
● Soll Weitergabe von Informationen an
Personen mit niedrigerer Schutzstufe
verhindern
● Für hohen Schutzbedarf, z. B. im
militärischen oder medizinischen Bereich
Welche allgemeinen Prinzipien sollte man bei der entwicklung von Systemen beachten
- Erlaubnis
– Vollständigkeit
– Minimale Rechte
– Akzeptanz
– Offener Entwurf
Nennen sie die Grundsätze der Symmetrischen Verschlüsselung. (2p)
- Gleicher Schlüssel zum Ver- und Entschlüsseln
- Schlüssel muss beiden Partnern bekannt sein
Was sind Vorteile der Symmetrischen Verschlüsselung? (3p)
- Altbekannte Technik
- Geringer Rechenaufwand
- Aktuelle Verfahren sehr sicher
Was sind Nachteile der Symmetrischen Verschlüsselung? (3p)
- Sicherer Kanal für Schlüsselaustausch
- Ein Schlüssel pro Kommunikationsweg
- Sicherheit durch wiederholte Verwendung von Schlüsseln beeinträchtigt
Nennen Sie Grundsätze des Public-Key-Verfahrens. (4p)
- Ein Schlüsselpaar pro Benutzer
- Einer der Teile kann gefahrlos veröffentlicht werden (public key)
- Der andere Teil bleibt beim Benutzer (private key)
- Verschlüsselung mit einem Teil (key) kann nur mit dem jeweils anderem Teil (key) entschlüsselt werden
Nennen sie Vorteile des Public-Key-Verfahrens (2p)
- Relativ neue Entwicklung (1976)
- Schlüsselaustausch über unsichere Kanäle
Nennen Sie Nachteile des Public-Key-Verfahrens (5p)
- Rechenaufwendig
- Große Schlüssellängen nötig
- Schlüsselverifikation nötig
- Wiederholte Verwendung von Schlüsseln beeinträchtigt Sicherheit
- Sicherheit nicht vollständig beweisbar
Nennen sie Grundsätze eines Hybridverfahrens (Session Key) (2p)
- Session Key (Sym. Verschl.) wird über Public-Key-Verfahren ausgetauscht
- Weitere Kommunikation wird mit Sessionkey verschlüsselt
Nennen sie Vorteile des Hybritverfahrens (Session Key) (4p)
- Schlüsselhandling wie bei Public-Key
- Performance wie symmetrische Verfahren
- Session-Key wird nur einmal verwendet
- Mit Public-Key werden nur kleine, zufällige Datenmengen verschlüsselt
Wie werden Digitale Signaturen erstellt? (3p)
- Erstellen einer Prüfsumme über das Dokument
- Prüfsumme wird mit Private Key verschlüsselt
- Verschlüsselte Prüfsumme wird an Dokument gehängt.
Wie Werden Digitale Signaturen geprüft? (3p)
- Empfänger berechnet Prüfsumme aus Dokument
- Empfänger entschlüsselt angehängte Prüfsumme
- Empfänger vergleicht Prüfsummen
was sind Blockchiffres? nennen Sie ein Beispiel (4p)
- Ver- und Entschlüsselung blockweise
- feste länge Klartextzeichen mit IV (Schlüssel) ergeben feste länge Chiffretextzeichen
- verknüpfung mit Schlüssel
- Bsp: Blowfish
Was versteht man unter Cipher Block Chaining? (4p)
- Jeder Klartextblock wird vor Verschlüsselung mit vorhergehenden Chiffretextblock XOR-verknüpft.
- Erster Klartextblock wird mit sog. Initialisierungsvektor (IV) verknüpft.
- Der Chiffretextblock wird damit von allen vorhergehenden Blöcken abhängig.
- Timestamp oder Zufallswert als IV wird an Nachricht angehängt.
Was versteht man unter Stromchiffres? (4p)
- Verknüpfung von einzelnen Klartextzeichen mit Zeichen eines Schlüsselstroms (XOR bei Bits)
- Schlüsselstrom ist pseudozufällige Zeichenfolge, aus dem Schlüssel abgeleitet
- Keine Mindestmenge an Daten für Verschlüsselungsvorgang
- jedes Zeichen kann sofort übertragen werden
Was sind Synchrone Stromchiffres? (1p)
Stromchiffres bei denen die Erzeugung des Schlüsselstroms unabhängig von Klar- und Chiffretext ist.
Was sind Probleme bei Stromchiffres? (4p)
- gleiche Nachrichten ergeben gleichen Chiffretext
- Bei Kenntnis von Klar- und Chiffretext kann Schlüsselstrom rekonstruiert werden
- Weitere Nachrichten mit gleichem Schlüsselstrom lesbar
- Sauberes IV-Handling essentiell
Wofür wird das Public-Key-Verfahren verwendet? (3p)
- Schlüsselaustausch
- Verschlüsselung
- Signaturen
Was versteht man unter RSA-Verschlüsselung? (4p)
- Geeignet für Verschlüsselung und Signatur
- Basiert auf Produkt großer Primzahlen
- Sicherheit durch Schwierigkeit der Faktorisierung
- Blockchiffre
Nennen Sie Ziele der Kryptanalyse (3p)
- Gewinnung von Informationen aus den Daten über Schlüssel oder Klartext
- Zur Überprüfung und Quantifizierung ihrer Sicherheit
- Änderung des Klartextes durch gezielte manipulation des Chiffretextes
Was sind Häufigkeitsanalysen (1p)
Das analysieren von Häufungen von Zeichen/Zeichenketten in einem Chiffretext
Was ist eine Frequenzanalyse (2p)
- wird bei monoalphabetischen Verfahren eingesetzt
- Einfache Häufigkeitsanalyse der Zeichen (bsp. e häufig genutzter Buchtabe)
-
- 1 / 154
-
Cartes-fiches
Was ist ein Proxy? (5p)
- Verbindungs-Gateway
- Keine Direktverbindung mehr
- Verbindungen werden auf Proxy terminiert
- Proxy agiert als Stellvertreter
- unabhängig von Anwendung
Welche zusätzlichen Möglichkeiten hat ein Proxy-Filter gegenüber einem Paketfilter? (4p)
- Authentisierung /Autorisierung des Client
- Authentisierung des Servers
- Filterung in Verbindungskontext, z.B. Anzahl der bestehenden Verbindungen zu einem Dienst
- Protokollierung
Welchen Mehraufwandt hat man mit Proxy-Filtern? (3p)
- Implementierung der Protokolle
- Zusätzliche Konfiguration
- Implementierung z.B. SOCKS
Was sind Applikations-Filter? Nennen sie zwei Beispiele (4p)
- Proxy mit Kenntnissen über die jeweilige Anwendung
- Filterung des Datenstroms auf Grund der Nutzdaten
- Bsp: FTP-Proxy verhindert unautorisierte Schreibzugriffe
- Bsp: HTTP-Proxy filtert Zugriffe auf Pfadebene
Nennen Sie Vorteile von Applikations-Filtern (5p)
- Sehr differenzierte Filtermöglichkeiten
- Benutzerspezifische Autorisierung
- Erkennung von Angriffsversuchen über auffällige Zugriffsmuster
- Logging / Abrechnung auf fachlicher Ebene möglich
- Caching möglich
Nennen Sie Nachteile von Applikationsfiltern (3p)
- Performance / potentieller Netzwerkengpass
- Eigener Proxy für jede Anwendung erforderlich
- Anpassung für neue Anwendungen erforderlich
Was sind Bastionsrechner (bastion host)? (5p)
- Dedizierter Rechner im Netz speziell zur Abwehr von Angriffen
- Unmittelbar dem Zugriff durch nicht vertrauenswürdige Systeme ausgesetzt
- Dafür speziell "gehärtet"
- Führt normalerweise nur eine Anwendung ( z.B. Anwendungsproxy aus )
- Alle anderen Dienste sind so weit wie möglich abgeschaltet oder eingeschränkt
Was ist eine Dual homed firewall? (4p)
- Verbindungsrechner ("Bastionsrechner") mit Applikationsfilter
- getrennte Netzwerkschnittstellen zu zwei Teilnetzen
- Keine IP-Routing- und Forwarding-Funktion
- Meist vor- und nachgeschaltete Paketfilter
Was sind Nachteile einer dualhomed firewall? (4p)
- Nutzung kompliziert, unkomfortabel
- Bastion host muss Netzwerkdienste bereitstellen
- Nur vom Applikationsfilter unterstützte Protokolle nutzbar
- Single point of failure
Was ist ein Screened Host ? (4p)
- Bastionsrechner nur am internen Netz
- Externes Netz über Router mit Paketfilter angebunden
- Daten werden vom Router an Bastionsserver umgeleitet
- Unkritische oder nicht unterstützte Dienste werden direkt an Empfänger weitergeleitet
Welche Eigenschaften ein Screened host? (4p)
- Sehr flexibel
- Unkritische oder nicht unterstützte Dienste belasten bastion host nicht
- Höhere Sicherheitsrisiken
- Nur für geringe Sicherheitsanforderungen ans interne Netz
Was ist ein Screened subnet? (10p)
• Teilnetze: DMZ, internes Netz
• Paketfilter zwischen DMZ und öff. Netz
• Paketfilter zwischen DMZ und internem Netz
• Applikationsfilter / Bastion Host in DMZ
• Nach außen erreichbare Server in DMZ
• Interne Rechner in internem Netz
• Kommunikation möglich zwischen externem Netz und DMZ
• Kommunikation möglich zwischen DMZ und internem Netz
• Keine direkte Kommunikation möglich zwischen externem und internem Netz
Was ist eine Local firewall? (5p)
- Lokal installierte Software, die den Netzwerkverkehr überwacht und filtert
- Greift nicht nur zwischen Teilnetzen, sondern auch innerhalb des lokalen Netzes
- Kann interne Verbreitung von Malware bremsen
- Effekt meist auch durch Deaktivierung unnötiger netzwerkdienste erreichbar
- Kann teils auch Zugriffsversuche von Malware nach außen erkennen
Was sind Nachteile einer Local firewall? (4p)
- Durch lokale Installation leichter auszuschalten oder zu umgehen
- Steht zwischen Außenwelt und Original-Netzwerkstack
- Oft deaktiviert, weil lästig
- Kein Ersatz für Netzwerk-Firewalls
Nennen Sie Grenzen und Risiken von Firewalls? (6p)
- Komplxe Konzeption und Konfiguration
- Detaillierte Kenntnisse erforderlich über
- Permanente Überwachung und Pflege notwendig
- Kein Schutz gegen Angriffe innerhalb des internen Netzes
- Vertrauen auf Firewall verleitet zu fahrlässigem Verhalten
- Zunahme von Webservices (alles auf Port 80 per http)
Nennen Sie die Schutzziele, die durch den Einsatz einer SSL/TLS-Verbindung erreicht werden sollen. Durch welche Mechanismen werden sie jeweils erreicht? Welches Schutzziel wird nicht durch TLS abgedeckt? (4p)
- Authentisierung der Kommunikationspartner (Public-Key-Verfahren, Zertifikate)
- Vertraulichkeit (Verschlüsselung)
- Integrität (Message Authentication Codes)
- Nicht abgedeckt: Verbindlichkeit
Wie läuft der Verbindungsaufbau bei einer Secure Shell (SSH) ab? (4p)
- Authentisierung des Servers mit Public-Key-Verfahren
- Authentisierung des Clients per Public-Key-Verfahren / Username + Passwort
- Schlüssel manuell hinterlegen
- Verschlüsselung mit Symmetrischem Verahren und Session Key
Welche Anforderungen sind bei der Speicherung von Passworten zu beachten? Wie können sie erfüllt werden? (6p)
- Klartextpasswort muss validiert werden können
- Klartextpasswort darf nicht rekonstruiert werden können
- Gleiche Passworte dürfen im Speicherformat nicht identifiziert werden können
- Passwortlänge und -struktur darf nicht erkennbar sein
- Verwendung von Hashes
- Verwendung von Salts
Was sind Salts? (1p)
Salt (englisch für Salz) bezeichnet in der Kryptographie eine zufällig gewählte Zeichenfolge, die an einen gegebenen Klartext vor der Verwendung als Eingabe einer Hashfunktion angehängt wird
Was ist ein VPN? Nennen Sie zwei Einsatzszenarien (5p)
- Kommunikationsverbindung zwischen privaten Netzwerken
- Nutzung öffentlicher Netze
- öff. Netz für Teilnehmer des priv. Netz nicht sichtbar
- Verbindung zweier Teilnetze (z.B. Standorte)
- Sicherer Zugang zu Netz (z.B. Homeoffice)
Nennen Sie Authentisierungsmethoden
- Wissen (das Subjekt weit Kenntnis von z.B Passwort nach)
- Besitz: das Subjek weist Besizt von z.B. Schlüssel, Smartcard, Token nach
- Eigenschaft: das Subjekt besitzt selbst bestimmte Eigenschaften
Nennen Sie Schwachpunkte von Passwortbasierter Authentisierung
- Übertragung des Passworts
- Speicherung des Passworts
- Qualität des Passworts
Erklären sie das Challenge-Response-Verfahren
- Problem: Passwort kann bei der Übertragung abgehört werden
- Lösungsansatz: Nachweis der Kenntnis, ohne das Passwort selbst zu übertragen
- Dienst übermittelt Challenge (Zufallszahl) an Nutzer
- Nutzer erzeugt Response aus Challenge und Secret
- Dienst verifiziert Response
Was sind Einmal Passwörter (OTP)?
- Passwort wird nach einmaligem Gebrauch ungültig
- Aus shared secret und ggf. weiteren Informationen wird eine Reihe von Einmalpassworten erzeugt.
Was ist HOTP
- HAMAC basierte One Time Password lösung
- Berechnung einer Reihe von Einmalpassworten über ein Shared Secret, einen Zähler und Hash-Algorithmen
Welche Dinge gilt es bei der Passwortspeicherung zu beachten?
- Passworte nicht im Klartext speichern
- klartextpasswort muss gegen gespeicherte Form validiert werden können
- Klartextpasswort darf aus gespeicherter Form nicht rekonstruiert werden können
Erklären sie die Verwendung von Passwort-Hashes
- Verwendung kryptographischer Hashfunktionen
- Statt dem Passwort selbst wird ein Hashwert gespeichert
- Für die Validierung wird der Hashwert des eingegebenen Passworts bestimmt und mit dem gespeichertem Wert verglichen
- Durch die Einweg-Eigenschaft der Hashfunktion ist eine Berechnung des Klartextpasswortes aus dem gespeicherten Wert nicht möglich
- Auch Passwortlänge und Qualität werden verborgen
Beschreiben Sie das Grundprinzip des Zugriffsmatrix-Modells der Autorisierung. Nennen
Sie eine gebräuchliche Form der Implementierung
- Abbildung von Berechtigungen als Matrix
- Objekte als Spalten
- Subjekte als Zeilen
- Berechtigungen als Einträge in Zellen
- Implementierung als Access Control List
- Jedes Objekt hat Liste mit berechtigten Subjekten und entsprechenden Rechten
Beschreiben sie das Rollenbasierte Zugriffsschutzmodell
- Zugriffsrecht für ein Objekt wird nicht dem Subjekt, sondern einer Rolle zugeordnet
- Subjekt wird einer oder mehreren Rollen zugeordnet
- Subjekt erhält Zugriffsberechtigung, wenn es mindestens einer Rolle angehört, die für das betroffene Objekt die entsprechende Berechtingung besitzt.
Beschreiben Sie das Chinese-Wall-Modell der Autorisierung
- Sugriffsbeschränkung auf der Basis der bisherigen Aktionene des Subjekts
- Zugriffsmatrix als Basis
- Strukturierung der Objekte als 3-Stufiger Baum
- Schutzobjekte als Blätter
- Unternehmen / Bereiche als Elternknoten der Schutzobjekte
- Konfliktklassen als Elternknoten der Unternehmen
- Speicherung der erfolgten Zugriffe und genutzten Rechte in zweiter Matrix
- Leseregel: Lesezugriff erlaubt, wenn
- Berechtigung grundsätzlich vorhanden und bereits gelesene Objekte zum selben Unternehmen oder zu einer anderen Konfliktklasse gehören
- Schreibregel: Schreibzugriff erlaubt, wenn
- Berechtigung grundsätzlich vorhanden und bereits gelesene Objekte zum selben Unternehmen gehören
Beschreiben sie OpenId
- Einheitliche Id für verschiedene Websites
- Sicherer Umgang mit Credentials
- Single Sign On
- Kontrollierte WEitergabe von Benutzerdaten
- URL-basierte ID
- Dezentralisiert
Beschreiben Sie OAuth
- Protokoll zur Autorisierung von API-Zugriffen
- Sicherer Umgang mit Credentials
- Geziehlte Freigabe bestimmter Daten
- Für Verwendung mit OpenID entworfen und geeignet
Beschreiben Sie das Bellapadula Sicherheitssystem
Systembestimmtes Modell
● Basiert auf Schutzstufen
● Kontrolliert Informationsfluß
● Soll Weitergabe von Informationen an
Personen mit niedrigerer Schutzstufe
verhindern
● Für hohen Schutzbedarf, z. B. im
militärischen oder medizinischen Bereich
Welche allgemeinen Prinzipien sollte man bei der entwicklung von Systemen beachten
- Erlaubnis
– Vollständigkeit
– Minimale Rechte
– Akzeptanz
– Offener Entwurf
