IT-Sicherheit
...
...
Nennen Sie Grenzen und Risiken von Firewalls? (6p)
- Komplxe Konzeption und Konfiguration
- Detaillierte Kenntnisse erforderlich über
- Permanente Überwachung und Pflege notwendig
- Kein Schutz gegen Angriffe innerhalb des internen Netzes
- Vertrauen auf Firewall verleitet zu fahrlässigem Verhalten
- Zunahme von Webservices (alles auf Port 80 per http)
Nennen Sie die Schutzziele, die durch den Einsatz einer SSL/TLS-Verbindung erreicht werden sollen. Durch welche Mechanismen werden sie jeweils erreicht? Welches Schutzziel wird nicht durch TLS abgedeckt? (4p)
- Authentisierung der Kommunikationspartner (Public-Key-Verfahren, Zertifikate)
- Vertraulichkeit (Verschlüsselung)
- Integrität (Message Authentication Codes)
- Nicht abgedeckt: Verbindlichkeit
Wie läuft der Verbindungsaufbau bei einer Secure Shell (SSH) ab? (4p)
- Authentisierung des Servers mit Public-Key-Verfahren
- Authentisierung des Clients per Public-Key-Verfahren / Username + Passwort
- Schlüssel manuell hinterlegen
- Verschlüsselung mit Symmetrischem Verahren und Session Key
Welche Anforderungen sind bei der Speicherung von Passworten zu beachten? Wie können sie erfüllt werden? (6p)
- Klartextpasswort muss validiert werden können
- Klartextpasswort darf nicht rekonstruiert werden können
- Gleiche Passworte dürfen im Speicherformat nicht identifiziert werden können
- Passwortlänge und -struktur darf nicht erkennbar sein
- Verwendung von Hashes
- Verwendung von Salts
Was sind Salts? (1p)
Salt (englisch für Salz) bezeichnet in der Kryptographie eine zufällig gewählte Zeichenfolge, die an einen gegebenen Klartext vor der Verwendung als Eingabe einer Hashfunktion angehängt wird
Was ist ein VPN? Nennen Sie zwei Einsatzszenarien (5p)
- Kommunikationsverbindung zwischen privaten Netzwerken
- Nutzung öffentlicher Netze
- öff. Netz für Teilnehmer des priv. Netz nicht sichtbar
- Verbindung zweier Teilnetze (z.B. Standorte)
- Sicherer Zugang zu Netz (z.B. Homeoffice)
Nennen Sie Authentisierungsmethoden
- Wissen (das Subjekt weit Kenntnis von z.B Passwort nach)
- Besitz: das Subjek weist Besizt von z.B. Schlüssel, Smartcard, Token nach
- Eigenschaft: das Subjekt besitzt selbst bestimmte Eigenschaften
Nennen Sie Schwachpunkte von Passwortbasierter Authentisierung
- Übertragung des Passworts
- Speicherung des Passworts
- Qualität des Passworts
Erklären sie das Challenge-Response-Verfahren
- Problem: Passwort kann bei der Übertragung abgehört werden
- Lösungsansatz: Nachweis der Kenntnis, ohne das Passwort selbst zu übertragen
- Dienst übermittelt Challenge (Zufallszahl) an Nutzer
- Nutzer erzeugt Response aus Challenge und Secret
- Dienst verifiziert Response
Was sind Einmal Passwörter (OTP)?
- Passwort wird nach einmaligem Gebrauch ungültig
- Aus shared secret und ggf. weiteren Informationen wird eine Reihe von Einmalpassworten erzeugt.
Was ist HOTP
- HAMAC basierte One Time Password lösung
- Berechnung einer Reihe von Einmalpassworten über ein Shared Secret, einen Zähler und Hash-Algorithmen
Welche Dinge gilt es bei der Passwortspeicherung zu beachten?
- Passworte nicht im Klartext speichern
- klartextpasswort muss gegen gespeicherte Form validiert werden können
- Klartextpasswort darf aus gespeicherter Form nicht rekonstruiert werden können
Erklären sie die Verwendung von Passwort-Hashes
- Verwendung kryptographischer Hashfunktionen
- Statt dem Passwort selbst wird ein Hashwert gespeichert
- Für die Validierung wird der Hashwert des eingegebenen Passworts bestimmt und mit dem gespeichertem Wert verglichen
- Durch die Einweg-Eigenschaft der Hashfunktion ist eine Berechnung des Klartextpasswortes aus dem gespeicherten Wert nicht möglich
- Auch Passwortlänge und Qualität werden verborgen
Beschreiben Sie das Grundprinzip des Zugriffsmatrix-Modells der Autorisierung. Nennen
Sie eine gebräuchliche Form der Implementierung
- Abbildung von Berechtigungen als Matrix
- Objekte als Spalten
- Subjekte als Zeilen
- Berechtigungen als Einträge in Zellen
- Implementierung als Access Control List
- Jedes Objekt hat Liste mit berechtigten Subjekten und entsprechenden Rechten
Beschreiben sie das Rollenbasierte Zugriffsschutzmodell
- Zugriffsrecht für ein Objekt wird nicht dem Subjekt, sondern einer Rolle zugeordnet
- Subjekt wird einer oder mehreren Rollen zugeordnet
- Subjekt erhält Zugriffsberechtigung, wenn es mindestens einer Rolle angehört, die für das betroffene Objekt die entsprechende Berechtingung besitzt.
Beschreiben Sie das Chinese-Wall-Modell der Autorisierung
- Sugriffsbeschränkung auf der Basis der bisherigen Aktionene des Subjekts
- Zugriffsmatrix als Basis
- Strukturierung der Objekte als 3-Stufiger Baum
- Schutzobjekte als Blätter
- Unternehmen / Bereiche als Elternknoten der Schutzobjekte
- Konfliktklassen als Elternknoten der Unternehmen
- Speicherung der erfolgten Zugriffe und genutzten Rechte in zweiter Matrix
- Leseregel: Lesezugriff erlaubt, wenn
- Berechtigung grundsätzlich vorhanden und bereits gelesene Objekte zum selben Unternehmen oder zu einer anderen Konfliktklasse gehören
- Schreibregel: Schreibzugriff erlaubt, wenn
- Berechtigung grundsätzlich vorhanden und bereits gelesene Objekte zum selben Unternehmen gehören
Beschreiben sie OpenId
- Einheitliche Id für verschiedene Websites
- Sicherer Umgang mit Credentials
- Single Sign On
- Kontrollierte WEitergabe von Benutzerdaten
- URL-basierte ID
- Dezentralisiert
Beschreiben Sie OAuth
- Protokoll zur Autorisierung von API-Zugriffen
- Sicherer Umgang mit Credentials
- Geziehlte Freigabe bestimmter Daten
- Für Verwendung mit OpenID entworfen und geeignet
Beschreiben Sie das Bellapadula Sicherheitssystem
Systembestimmtes Modell
● Basiert auf Schutzstufen
● Kontrolliert Informationsfluß
● Soll Weitergabe von Informationen an
Personen mit niedrigerer Schutzstufe
verhindern
● Für hohen Schutzbedarf, z. B. im
militärischen oder medizinischen Bereich
Welche allgemeinen Prinzipien sollte man bei der entwicklung von Systemen beachten
- Erlaubnis
– Vollständigkeit
– Minimale Rechte
– Akzeptanz
– Offener Entwurf
Nennen sie die Grundsätze der Symmetrischen Verschlüsselung. (2p)
- Gleicher Schlüssel zum Ver- und Entschlüsseln
- Schlüssel muss beiden Partnern bekannt sein
Was sind Vorteile der Symmetrischen Verschlüsselung? (3p)
- Altbekannte Technik
- Geringer Rechenaufwand
- Aktuelle Verfahren sehr sicher
Was sind Nachteile der Symmetrischen Verschlüsselung? (3p)
- Sicherer Kanal für Schlüsselaustausch
- Ein Schlüssel pro Kommunikationsweg
- Sicherheit durch wiederholte Verwendung von Schlüsseln beeinträchtigt
Nennen Sie Grundsätze des Public-Key-Verfahrens. (4p)
- Ein Schlüsselpaar pro Benutzer
- Einer der Teile kann gefahrlos veröffentlicht werden (public key)
- Der andere Teil bleibt beim Benutzer (private key)
- Verschlüsselung mit einem Teil (key) kann nur mit dem jeweils anderem Teil (key) entschlüsselt werden
Nennen sie Vorteile des Public-Key-Verfahrens (2p)
- Relativ neue Entwicklung (1976)
- Schlüsselaustausch über unsichere Kanäle
Nennen Sie Nachteile des Public-Key-Verfahrens (5p)
- Rechenaufwendig
- Große Schlüssellängen nötig
- Schlüsselverifikation nötig
- Wiederholte Verwendung von Schlüsseln beeinträchtigt Sicherheit
- Sicherheit nicht vollständig beweisbar
Nennen sie Grundsätze eines Hybridverfahrens (Session Key) (2p)
- Session Key (Sym. Verschl.) wird über Public-Key-Verfahren ausgetauscht
- Weitere Kommunikation wird mit Sessionkey verschlüsselt
Nennen sie Vorteile des Hybritverfahrens (Session Key) (4p)
- Schlüsselhandling wie bei Public-Key
- Performance wie symmetrische Verfahren
- Session-Key wird nur einmal verwendet
- Mit Public-Key werden nur kleine, zufällige Datenmengen verschlüsselt
Wie werden Digitale Signaturen erstellt? (3p)
- Erstellen einer Prüfsumme über das Dokument
- Prüfsumme wird mit Private Key verschlüsselt
- Verschlüsselte Prüfsumme wird an Dokument gehängt.
Wie Werden Digitale Signaturen geprüft? (3p)
- Empfänger berechnet Prüfsumme aus Dokument
- Empfänger entschlüsselt angehängte Prüfsumme
- Empfänger vergleicht Prüfsummen
was sind Blockchiffres? nennen Sie ein Beispiel (4p)
- Ver- und Entschlüsselung blockweise
- feste länge Klartextzeichen mit IV (Schlüssel) ergeben feste länge Chiffretextzeichen
- verknüpfung mit Schlüssel
- Bsp: Blowfish
Was versteht man unter Cipher Block Chaining? (4p)
- Jeder Klartextblock wird vor Verschlüsselung mit vorhergehenden Chiffretextblock XOR-verknüpft.
- Erster Klartextblock wird mit sog. Initialisierungsvektor (IV) verknüpft.
- Der Chiffretextblock wird damit von allen vorhergehenden Blöcken abhängig.
- Timestamp oder Zufallswert als IV wird an Nachricht angehängt.
Was versteht man unter Stromchiffres? (4p)
- Verknüpfung von einzelnen Klartextzeichen mit Zeichen eines Schlüsselstroms (XOR bei Bits)
- Schlüsselstrom ist pseudozufällige Zeichenfolge, aus dem Schlüssel abgeleitet
- Keine Mindestmenge an Daten für Verschlüsselungsvorgang
- jedes Zeichen kann sofort übertragen werden
Was sind Synchrone Stromchiffres? (1p)
Stromchiffres bei denen die Erzeugung des Schlüsselstroms unabhängig von Klar- und Chiffretext ist.
Was sind Probleme bei Stromchiffres? (4p)
- gleiche Nachrichten ergeben gleichen Chiffretext
- Bei Kenntnis von Klar- und Chiffretext kann Schlüsselstrom rekonstruiert werden
- Weitere Nachrichten mit gleichem Schlüsselstrom lesbar
- Sauberes IV-Handling essentiell
Wofür wird das Public-Key-Verfahren verwendet? (3p)
- Schlüsselaustausch
- Verschlüsselung
- Signaturen
Was versteht man unter RSA-Verschlüsselung? (4p)
- Geeignet für Verschlüsselung und Signatur
- Basiert auf Produkt großer Primzahlen
- Sicherheit durch Schwierigkeit der Faktorisierung
- Blockchiffre
Nennen Sie Ziele der Kryptanalyse (3p)
- Gewinnung von Informationen aus den Daten über Schlüssel oder Klartext
- Zur Überprüfung und Quantifizierung ihrer Sicherheit
- Änderung des Klartextes durch gezielte manipulation des Chiffretextes
Was sind Häufigkeitsanalysen (1p)
Das analysieren von Häufungen von Zeichen/Zeichenketten in einem Chiffretext
Was ist eine Frequenzanalyse (2p)
- wird bei monoalphabetischen Verfahren eingesetzt
- Einfache Häufigkeitsanalyse der Zeichen (bsp. e häufig genutzter Buchtabe)
-
- 1 / 154
-
Lernkarten
Was versteht man unter Insecure Cryptographic Storage?
- Unsichere oder fehlerhaft gesicherte Speicherung von sensiblen Daten (persönliche Daten Kreditkartennummern, Passworte, ...)
- Konzeptions- oder Implementierungsfehler
- Schwache Algorithmen
Was ist ein Failure to restrict URL access?
- Unzureichende Autorisierungsprüfung bei Zugriff auf eingeschränkte REsourcen
- Autorisierung wird oft nur beim Rendern von Links oder Buttons geprüft
- Prüfung zusätzlich serverseitig erforderlich
Was ist eine Insufficient Transport Layer Security?
- Unzureichender Schutertifikate von Transportkanälen (Vertraulichkeit und Integrität)
- Schwache Algorithmen
- Abgelaufene oder ungültige Zertifikate
- Fehlerhafte Konzeption oder Implementierung
Was sind Unvalidated Redirects and Forwards?
- Nutzung unzureichend validierter Eingaben für Weiterleitungen
- Umleitung auf Malware- oder Phishing Seiten
- Unautorisierter Zugriff auf Daten
Beschreiben Sie die grundlegende Protokollhierarchy des Internets anhand des OSI Modells
- Network layer: IP
- Transport layer: TCP / UDP / ICMP
- Session + presentation + application layer : http, ftp, smtp, ...
Beschreiben sie das Internet Protocol (IP)
- Unzuverlässiges, paketorientiertes Protokoll
- Entspricht OSI Layer 3
- Verbindungslos
- Erledigt Adressierung und Routing
- Paketfragmentierung und -defragmentierung
- Keine Empfangskontrolle oder Sicherung der Reihenfolge
- Numerische Sender- und Empfängeradressen (IPv4 und IPv6)
Beschreiben Sie das Transmission Controll Protokoll
- Zuverlässiges, verbindungsorientiertes Protokoll
- OSI layer 4
- Datenstromorientierte Übertragung
- Empfangskontrolle
- Sicherung der Reihenfolge
- Adressierung von Diensten innerhalb eines Systems (Ports)
Was sind Ports
- 16-bit-Adresse innerhalb eines Endsystems
- Standardisierte Portnummern für bekannte Anwendungsprotokolle (well known ports)
- Unix/Linux: Portnummern bis 1023 (trusted ports) nur mit superuser-Rechten nutzbar
Wie läuft der TCP-Verbindungsaufbau ab?
- TCP-Paket enthält
- Sender- und Empfänger-Port-Adresse
- Sequenznummer (zufälliger Startwert, mit jeem Paket inkrementiert)
- Paketempfang wird mit ACK-Paket bestätigt
- Enthält Achnowledgement-Nummer (Sequenznummer des empfangenen Paketes + 1)
- 3-Phasen-Handshake zum Verbindungsaufbau
- Client sendet Paket mit Empfänger-IP-Adresse und Port, neuer Client-Sequenznummer
- Server antwortet mit Ack-Flag, Acknoledgement-Nummer zu Client-Sequenznr. und neuer Server-Sequenznummer
- Client sendet Ack-Flag und Acknowledgement-Nummer zu Server-Sequenz-Nummer
- Datenübertragung beginnt
Beschreiben Sie das User Datagram Protocoll
- Verbindungsloses Protokoll
- Keine Empfangskontrolle oder Reihenfolgeprüfung
- Adressierung von Diensten innerhalb einse Systems (Ports)
Welche Sicherheitsprobleme gibt es in Netzwerken?
- Sicherheitsprobleme der Protokolle
- IP
- ICMP
- ARP
- UDP / TCP
- Sicherheitsprobleme von Diensten
- DNS
- NFS
- Analyse-, Monitoring und Härtungstools
Was versteht man unter IP-Spoofing?
- Angreifer schickt Pakete mit gefälschter Absenderadresse
- Umgehung von IP-Adress-basierten Filter-oder Authentisierungsmechanismen
- Einsetzbar, wenn keine bidirektionale Kommunikation nötig
- DoS durch Angabe des Opfers als Quelladresse
Was versteht man unter einer UDP-Flood?
- UDP-Paket mit gefälschter Absenderadresse
- Verbindet chargen-Dienst (Zeichnerzeugung) des "Zombies" mit echo-Dienst des Opfers
- kontinuierlicher Zeichenstrom legt beide Maschinen lahm
Was versteht man unter einer SYN-Flood?
- Angreifer sendet große Anzahl von SYN-Paketen mit gefälschter Absenderadresse
- Abssenderadressen zeigen auf nicht existente oder nicht betriebsbereite Rechner
- Opfer sendet SYN-ACK und wartet auf ACKs
- Durch gefälschte Adresse keine Bestätigung
- Puffer für offene Verbindungen läuft voll
Wie kann man sich gegen eine SYN-Flood wehren?
SYN-Cookies transportieren Information in den Paketen statt in puffer
Was kann man gegen IP-Spoofing unternehmen?
- Paketfilter
- Von außen kommende Pakete mit interner Absenderadresse abweisen
- Von innen kommende Pakete mit nicht-interner Absenderadresse abweisen
- Sequenznummer in TCP
- Prüfung, ob Paket zu aktiver Verbindung gehört
- Schlechte Implementierung von Sequenznummern erlaubt bei manchen Systemen das Erraten korrekter Nummern
Was ist Source-Routing?
- IP-Paket kann routing-Informationen enthalten
- Umleitung einer Verbindung über Rechner des Angreifers ermöglicht Abhören
- Pakete mit source-routing-INformation werdden heute meist verworfen
Was ist das Routing Information Protocol (RIP)
- Gedacht zum Austausch von Routing-Informationen zwischen Routern / Gateways
- Manipulierte RIP-Pakete erlauben ebenfalls Umleitung von Paketen über den Rechner des Angreifers
- Änderung bestehender Routen darf nicht oder nur unter bestimmten Bedingungen erlaubt werden
Welche Sicherheitsprobleme hat ICMP?
- Nichterreichbarkeit
- Steuerung der Paketgröße
- Redirect (Umleitung bei Stau...)
- Source quench (Fordert Sender zum Drosseln seiner Datenmengen auf)
Wie können mit hilfe von ICMP Verbindungsabbrüche ausgelöst werden?
- Unbekannte Portinfos lösen bei alten Implementierungen Abbruch der Verbindungen aus
- Netzverkehr wird durch "destination unreachable" Nachrichten gestört
- Kann zu Isolierung von System genutzt werden -> Verbindung über Spoofing carpern
Wie kann mit hilfe von ICMP die Netzlast erhöht und ein DoS erziehlt werden?
- Pakete mit maximaler Paketgröße und extremer fragmentierung
- ICMP nicht deaktivierbar
- Schutz: begrenzung möglicher ICMP Pakete / t
Wie kann mit ICMP und source quench ein DoS erziehlt werden?
- gefälschte ICMP sourche quench Nachricht senden (Anforderung Datenrate zu reduzieren)
- Abwehr schwierig, ICMP nicht deaktivierbar
Was ist ein Ping of death
- Ping-Paket das max. IP-Paketgröße überschreitet und fragmentiert wird
- Zusammen gesetztes IP-Paket beim Zielrechner ist zu groß (Buffer Overflow möglich)
Wie können mit ICMP Routingtabellen manipuliert werden?
- geänderte / bessere Routen senden per ICMP
- gefälschte Pakete enthalten Informationen zur Umleitung von Daten über Angreiferrechner
Wie kann mit hilfe von ARP ein DoS bewirkt werden?
- Angreifer antwortet auf ARP-Request zu IP-Adresse die nicht existiert
- Hohe Netzwerklast durch gefälschte ARP-Replys
Welche Sicherheitsprobleme hat das UDP?
- Verbindungsloses Protokoll
- Keine Quittung, Sequenzprüfung
- Identifikation nur über IP-Adressen
- Einschleusen oder Entfernen von Paketen relativ einfach
- Initiierung einer Kommunikation schwer von laufender Kommunikation zu unterscheiden
- differenzierte Filterung schwierig
Was ist ein TCP-Sequenznummerangriff? (3p)
- Effektive Identifikation durch Sequenznummer und Acknoledgement
- Einschleusen von Pakten oder Verbindungsaufbau mit falscher Identität erfordert Kenntnis der Sequenznummer
- Implementierungsschwächen erlauben Erraten der Sequenznummer
Wie kann ein TCP-Sequenznummerangiff mit hilfe von öffentlichen Ports durchgeführt werden? (6p)
- Verbindung von Rechner A mit Server B auf öffentichem Port
- Server B sendet ACK und Sequenznummer
- Verbindung mit kritischem Port (angabe von A als Sender)
- Server B sendet ACK und Sequenznummer
- Aus ersten Sequenznummer neue berechnen und ACK an B senden
- Rechner A mit DoS abschotten
Was ist eine TCP - Sessionübernahme (3p)
- schwache Authentisierung -> Angreifer übernimmt Verbindung
- Abhören -> gültige Sequenznummer -> einschleusen eigener Pakete
- Isolierung des ursprünglichen Kommunikationspartners
Was ist TCP - Desynchronisation? (4p)
- DoS-Angriff
- Einschleusen von gefälschten Paketen mit gültiger Sequenznummer führt zu Ablehnung der echten Pakete
- Verbindung wird gestört
- Netzwerklast durch Mengen von Acknowledgement-Paketen
Welche Schwachstellen gibt es bei Netzwerkdiensten? (4p)
- Schwachstellen abhängig von Dienst und Implementierung
- Vertaulichkeitsverlust durch Mitlesen
- Ermöglicht eventuell weitere Angriffe durch kompromittierte Passwörter etc.
- Ermöglicht Replay-Attacken
Was ist DNS-Spoofing? (3p)
- Manipulation der Abbildung von IP-Adresse und DNS-Name
- Angriff auf rechnerbasierte Authentisierung
- Maßnahme: doppeltes Reverse Lookup
Was ist DNS Cache Poisining? (2p)
- Manipulation der Abbildung von DNS-Name auf IP
- Einschleusen von unangeforderten Informationen
Was ist eine Firewall? (3p)
- Firewall schottet verschiedene Netzwerke oder Teilnetze gegeneinander ab
- Hard- oder Software Komponente
- Koppelt zwei oder mehrere Netzwerke
Wie funktionieren Paketfilter? (5p)
- Filterung der Pakete basierend auf
- Absender- und Empfängeradressen und -ports
- Protokolltyp
- Weitere Headerfelder (z.B. SYN/ACK)
- Plausibilität / Validität
- Zustandslos
Welche Probleme haben einfache Paketfilter? (3p)
- Keine Berücksichtigung des Kontext
- Dadurch müssen sehr viele Pakete durchgelassen werden
- UDP/ICMP kaum filterbar
Nennen Sie Aspekte von Fortgeschrittenen Paketfiltern (5p)
- Berücksichtigung bereits ausgetauschter Pakete
- Filterung aufgrund der Paketinhalte zusätzlich zu den Headern
- Erkennung von "Port-Mißbrauch"
- Höherer Hardwareaufwand
- Ggf. DoS-Angriffe möglich
Was ist NetworkAddress / Port Translation? (4p)
- Paketfilter modifiziert Pakete
- IP-Adressen und Ports werden angepasst
- Intere Adressen nicht außen sichtbar
- Netzwerkstrukturen bleiben verborgen
Was sind vorteile von Paketfiltern? (4p)
- Effiziente Umsetzung
- Absichreung an einer zentralen Stelle
- Transparent für Kommunikationspartner
- keine Modifikation / Konfiguration von Client und Server nötig
Welche Einschränkungen haben Paketfilter? (6p)
- Konfiguration erfordert tiefgehende Kenntnisse über Protokolle und Netzwerkstrukturen
- nur eingeschränkte Berücksichtigung des Kontext möglich
- Nur grobe Filterung auf Adressbasis
- Keine starke Authentisierung
- Adress-Spoofing, Paketmanipulation, Man-in-the-Middle möglich
- Bösartige Systeme können vertrauenswürdige Ports nutzen
