Telematik 2

1. Multicast via unicast
   => Sender schickt N unicast datagrams, jede an einen von N Empfängern adressiert
2. Network Multicast
   => Router nehmen am Multicast Teil, indem sie Kopien der Pakete an den Stellen erstellen, an denen sie benötigt werden
3. Application-layer Multicast
   => Anwendungssysteme werden in Multicast involviert, indem sie sich gegenseitig unicast datagrams weiterleiten

Eine Multicast-Gruppe ist eine Teilmenge der zu adressierenden Teilnehmern. Damit hat eine Multicast-Gruppe im Wesentlichen folgende Funktionen:

1. Selektiver Broadcast
2. Vereinfachung der Adressierung
3. Verbergen der Gruppenzusammensetzung
4. "Logischer Unicast" => Gruppen ersetzen einzelne Teilnehmer

Das Internet-Group-Management-Protokoll (IGMP) ist ein Hilfsprotokoll auf der Vermittlungsschicht und unterstützt die Kommunikation bei Multicast-Gruppen. Das IGMP arbeitet zwischen einem Host und einem direkt angeschlossenen Router, d.h. der Router ist der erste Hop außerhalb des lokalen Netzwerkes. Das bedeutet, dass es kein Protokoll gibt, das zwischen den Mitgliedern einer Gruppe opperiert (die Gruppenmitglieder kennen also die anderen Mitglieder nicht).

Die Hauptaufgabe von IGMP ist es, dass der Router herausfinden kann, für welche Multicast-Gruppen sich in seinem Subnetz Mitglieder befinden. Dies funktioniert wie folgt:

1. Der Router fragt mit einem multicast_query entweder nach Mitgliedern einer speziellen Multicast-Gruppe oder nach allen Multicast-Gruppen
2. Die Hosts antworten mit einem multicast_report, wobei jeder multicast_report die Multicast-Adresse der zugehörigen Gruppe enthält
3. Multicast_reports können von einem Host auch unaufgefordert verschickt werden, um erstmals einer Multicast-Gruppe beizutreten

• schwer zu verwalten
• keine "Killer"-Applikation
• Keine Kontrolle der Gruppenmitgliedschaft, keine Kontrolle der Sender
• Kein vernünftiges Geschäftsmodell

Eine Bedrohung ist eine Sequenz von Ereignissen, die es ermöglichen, dass ein oder mehrere Sicherheitsziele betroffen sind.

1. Vertraulichkeit
   => Niemand als anders als der gewünschte Empfänger soll die Nachricht erhalten; nur Sender und Empfänger kennen den Inhalt der Nachricht
2. Integrität
   => Die Daten, die zwischen zwei Teilnehmern ausgetauscht werden, sollten nicht unerkannt durch Dritte verändert werden können
3. Zurechenbarkeit
   => Gewährleistung, dass der Empfänger einer Nachricht jederzeit feststellen kann, von wem die Nachricht versendet wurde
4. Verfügbarkeit
   => Gewährleistung, dass ein IT-System für befugte Benutzer zugänglich und funktionsfähig ist
5. Autorisierter Zugang
   => Nur eine bestimmte Nutzergruppe darf auf bestimmte Inhalte Zugang haben

1. Masquerade
   => Ein Teilnehmer gibt sich einem anderen Teilnehmer gegenüber als einen anderen Teilnehmer aus, als der er wirklich ist
2. Eavesdropping
   => Ein Teilnehmer liest unbefugt eine Nachricht, die nicht für ihn bestimmt ist
3. Authorization Violation
   => Ein Teilnehmer nutzt unerlaubt Dienste oder Ressourcen, zu denen er kein Zugang hat
4. Loss or modification of Information
   => Die übermittelten Original-Daten werden verändert oder zerstört
5. Denial of Communication Acts
   => Einem Teilnehmer wird fälschlicherweise die Teilnahme an einem Kommunikationsdienst verwehrt
6. Forgery of Information
   => Ein Teilnehmer verschickt Nachrichten im Namen eines anderen Teilnehmers
7. Sabotage
   => Eine Aktion, die die Reduzierung der Verfügbarkeit eines Dienstes zum Ziel hat

1. Physische Sicherheit
   => Zugangskontrolle (z.B. Einschließen von Servern)
2. Personelle Sicherheit (Personalauswahl, Schulung)
3. Administrative Sicherheit (z.B. kontrollierter Import von Software, Standardprozess bei Sicherheitsvorfällen)
4. Abstrahlsicherheit (z.B. Geräte in einen abhörsicheren Raum stellen)
5. Mediensicherheit
   => Sicherheit beim Speichern von Daten (z.B. USB-Sticks, Viren, etc.)
6. Lifecycle Kontrolle
7. Wartung
8. Computer-Sicherheit

Bei der Kommunikationssicherheit gilt es, Informationen zu schützen, während sie von einem System zu einem anderen transportiert werden (= Schutz der Kommunikationsinfrastruktur)

Maßnahmen:

1. Sicherheitsdienst
   => Abstrakter Dienst, der versucht eine bestimmte Sicherheitseigenschaft zu gewährleisten
2. Kryptographischer Algorithmus
   => Abbildung von Eingabedaten auf Ausgabedaten
3. Krypographisches Protokoll
   => Reihe von Schritten und Nachrichten, die ausgetauscht werden, um ein bestimmtes Sicherheitsziel zu erreichen

1. Verschlüsselung von Daten
2. Signierung von Daten

Symmetrische Verschlüsselungsverfahren:

Bei einem symmetrischen Verschlüsselungsverfahren gibt es nur einen einzigen Schlüssel, der sowohl für die Verschlüsselung als auch für die Entschlüsselung von Nachrichten zuständig ist.

Vorteile:

• Einfaches Schlüsselmanagement
• Hohe Geschwindigkeit für Verschlüsselung und Entschlüsselung

Nachteile:

• Nur ein Schlüssel für Verschlüsselung und Entschlüsselung (Schlüssel darf nicht in unbefugte Hände geraten)
• Schlüssel muss über einen sicheren Weg übermittelt werden
• Anzahl der Schlüssel wächst bezogen auf die Anzahl der Teilnehmer quadratisch

Asymmetrische Verschlüsselungsverfahren:

Bei einem asymmetrischen Verschlüsselungsverfahren gibt es ein Schlüsselpaar, das sich aus einem privaten Schlüssel (Private Key) und einem öffentlichen Schlüssel (nicht geheim, Public Key) zusammensetzt. Mit dem privaten Schlüssel werden die Daten entschlüsselt oder eine digitale Signatur erzeugt. Mit dem öffentlichen Schlüssel können die Daten verschlüsselt oder eine erzeugte Signatur auf ihre Authentizität überprüft werden.

Vorteile:

• Relativ hohe Sicherheit
• Es werden nicht so viele Schlüssel benötigt wie bei einem symmetrischen Verschlüsselungsverfahren, somit weniger Aufwand für die Geheimhaltung des Schlüssels
• Kein Schlüsselverteilungsproblem, da öffentlicher Schlüssel für jedermann zu erreichen
• Möglichkeit der Authentifikation durch elektronische Signaturen

Nachteile:

• Asymmetrische Algorithmen arbeiten sehr langsam
• Große benötigte Schlüssellänge
  => Probleme bei mehreren Empfänger einer verschlüsselten Nachricht, da Nachricht jedes Mal neu verschlüsselt werden muss (Abhilfe: Hybride Verfahren)

Das Internet Security Protocol (IPSec) definiert die Vorgehensweise für die Datenintegrität, die Vertraulichkeit der Inhalte sowie die Verwaltung der kryptografischen Schlüssel. IPSec schützt somit die Datenpakete des IP-Protokolls vor möglichen Modifikation und vor Ausspähungen und besteht aus folgenden Komponenten:

1. Authentication Header (AH)
2. Encapsulating-Security-Payload (ESP)
3. Security Association (SA)
4. Security-Parameter-Index (SPI)
5. Internet-Key-Exchange (IKE)

Zu Beginn der Kommunikation wird zwischen den beteiligten Rechnern das benutzt Verfahren ausgehandelt und ob die Datenübertragung in einem Tunnel erfolgen soll oder nicht. Daher unterscheidet das IPSec-Framework je nach Art der Verschlüsselung zwischen folgenden zwei Modi:

1. AH-basierte Transportmodus
   • Ursprüungliche IP-Header bleibt erhalten, Quell- und Zieladressen bleiben ungeschützt
   • AH-Header liegt zwischen den IP-Headern und den Headern der Transportprotokolle
   • Authentisierung erfolgt mittels MD5 oder SHA, wobei die Authentisierung nur die Datenfelder des AH-Headers umfasst, die während der Übertragung unverändert bleiben
2. ESP-basierte Tunnelmodus
   • Basiert auf der verschlüsselten ESP-Payload
   • Höhere Sicherheit für das Datenpaket, da das komplette Datenpaket verschlüsselt wird
   • Datenpaket bekommt einen neuen Header, indem die Quell- und Zieladressen versteckt sind

Eine Internet-Firewall ist eine Komponente, die den Zugriff zu einem Netzwerk durch das Anwenden bestimmter Regeln einschränkt.

1. Simple Packet Filter Architecture
2. Screened Host Architecture
3. Screened Subnet Architecture

1. Authentifizierung
   => Stellt sicher, dass ein Teilnehmer auch wirklich der Teilnehmer ist, für den er sich ausgibt
2. Integrität
   => Stellt sicher, dass Daten vom Sender nicht unerkannt modifiziert werden können
3. Vertraulichkeit
   => Stellt sicher, dass die Daten nicht durch unbefugte ausgelesen werden können
4. Zugriffskontrolle
   => Stellt sicher, dass ein Teilnehmer nur auf die Dienste zugreifen kann, für die er berechtigt ist

1. Client/Server Architektur
2. Peer-2-Peer Architektur
3. Mischformen

Bei der Client/Server-Architektur betreibt der Anwender auf seinem Rechner Anwendungssoftware (Client), die auf die Ressourcen des Servers auf der Anbieterseite zugreifen. Die Ressourcen werden also zentral verwaltet, aufgeteilt und zur Verfügung gestellt.

Diese Architektur ist die Basis für viele Internetprotokolle, wie z.B. HTTP für das World Wide Web oder SMTP/POP3 für E-Mails. Dabei stellt der Client zunächst eine Anfrage an den Server. Dieser verarbeitet die Anfrage und liefert eine Antwort bzw. die gewünschten Daten zurück.

Vorteile:

1. Einfache Integration weiterer Clients
2. Prinzipiell uneingeschränkte Anzahl an Clients
3. Einfache Skalierbarkeit durch weitere Server
4. Kein gemeinsames Datenmodell, jeder Server hat sein eigenes

Nachteile:

1. Vorhersage der Integration weiterer Server schwierig, da kein gemeinsames Datenmodell vorhanden
2. Jeder Server ist für Verwaltungsaktivitäten (Datensicherung, Zugriffsschutz, Recovery) selbst zuständig

In einem Peer-to-Peer-Netzwerk ist jeder Teilnehmer gleichberechtigt und somit gleichzeitig Client und Server. Jeder Computer stellt den anderen Computern seine Ressourcen zur Verfügung. Eine zentrale Verwaltung der Ressourcen gibt es nicht. Deshalb muss jeder Netzwerkteilnehmer selber bestimmen, welche Ressourcen er freigeben will und welche nicht.

Vorteile:

1. Hervorragende Skalierbarkeit
2. Hohe Robustheit durch meist redundante Datenspeicherung

Nachteile:

1. Aufwendige Verwaltung der teilnehmenden Endsysteme sowie Zuordnung von Daten, Aufgaben und Ressourcen

Ein Prozess ist ein spezielles Programm, das innerhalb eines Hosts meist im Hintergrund läuft. Es gibt zwei verschiedene Arten von Prozessen:

1. Server Prozess = Prozess, der auf Anfragen wartet und diese verarbeitet
2. Client Prozess = Prozess, der Anfragen an den Server verschickt

Prozesse auf verschiedenen Hosts kommunizieren über den Austausch von Nachrichten miteinander (über sog. Sockets). Die Adressierung von Prozesses erfolgt somit über die IP-Adresse des Rechners und die Portnummer, die einem bestimmten Prozess zugewiesen wurde. Innerhalb eines Hosts kommunizieren die Prozesse über die Infrastruktur des Betriebssystems miteinander.

Ein Socket ist ein Software-Modul, mit dessen Hilfe sich ein Computerprogramm mit einem Rechnetnetz verbinden und mit anderen Computern Daten austauschen kann. Sockets werden auch verwendet, um Daten zwischen Prozessen auf demselben Rechner zu verschicken (Interprozesskommunikation). Die Kommunikation erfolgt dabei i.d.R. bidirektional, d.h. ein Socket kann sowohl Daten senden als auch empfangen.

Sockets bilden demnach eine plattformunabhängige, standardisierte Schnittstelle (API) zwischen der Netzwerkprotokoll-Implementierung des Betriebssystems und der Anwendungssoftware. Ein Computerprogramm fordert einen Socket vom Betriebssystem an. Das Betriebssystem hat die Aufgabe, alle benutzten Sockets sowie deren Verbindungsinformationen zu verwalten.

Application Layer Protocols definieren die Art der ausgetauschten Nachrichten, die Syntax der Nachrichten, die Semantik der Felder und Regeln für die Prozesse.

Beispiele:

• HTTP/HTTPS
• FTP
• SMTP
• ...

TCP:

• Verbindungsorientiertes Transportprotokoll: Es wird zunächst eine Verbindung zwischen den Rechnern hergestellt, bevor die Daten über diese Verbindung verschickt werden.
• Zuverlässiges Transportprotokoll: Es wird sichergestellt, dass die Datenübertragung ohne Verluste erfolgt
• Flow Control: Kontinuierliche Datenübermittlung wird sichergestellt
• Congestion Control: Der Sender reduziert ggf. die Anzahl der Datenpakete, wenn das Netzwerk überlastet ist

=> TCP stellt keine Garantie für eine minimale Bandbreite oder für die benötigte Zeit sicher!

UDP (User Datagram Protocol):

• Verbindungsloses Transportprotokoll: Die Datenpakete werden ins "Blaue" verschickt, ohne vorher eine Verbindung aufzubauen
• Kein Verbindungsaufbau
• Keine Zuverlässigkeit
• Kein Flow / Congestion Control

=> UDP für Anwendungen geeignet, die die Zuverlässigkeit von TCP nicht benötigen (i.d.R. Multimedia Streaming etc.)

Der 3-Wege-Handshake ist ein mehrstufiges Verfahren zur wechselseitigen Authentifizierung zwischen zwei Instanzen. Hierbei baut der 3-Wege-Handshake in drei Schritten eine verlustfreie Datenübertragung zwischen zwei Instanzen, beispielsweise einem Client und einem Server, auf. Konkret funktioniert der Handshake wie folgt:

1. Host A sendet ein Datenpaket mit einem Synchronisations-Flag (SYN) an Host B
2. Host B empfängt die Syn-Anfrage von Host A und bestätigt diese mit einem SYN-ACK, einem Synchronisations-Flag (SYN) und einem Bestätigungs-Flag (ACK)
3. Host A bestätigt seinerseits den Empfang der SYN-ACK-Flags mit einem Bestätigungs-Flag (ACK)
4. Host B empfängt das Bestätigungs-Flag von Host A und etabliert eine Socket-Verbindung

HTTP ist ein zustandsloses Protokoll, wobei die Kommunikation zwischen Client und Server über Nachrichten erfolgt (HTTP-Request und HTTP-Response). Jede Nachricht besteht aus einem Nachrichtenkopf und einem Nachrichtenkörper. Der Nachrichtenkopf enthält Informationen über den Nachrichtenkörper, wie etwa die verwendete Kodierung oder den Inhaltstyp, damit der Empfänger die Nachricht korrekt interpretieren kann. Der Nachrichtenkörper enthält schließlich die Nutzdaten.

Wenn auf einer Webseite beispielsweise der Link zur URL http://example.de/info.html aktiviert wird, so wird an den Computer mit dem Hostnamen example.de die Anfrage gesendet, die Datei mit dem Namen info.html zurück zu schicken. Der Hostname wird dabei zunächst über das DNS-Protokoll in eine gültige IP-Adresse aufgelöst. Zur Übertragung wird über TCP auf den Standard-Port 80 des HTTP-Servers eine HTTP-GET-Anforderung gesendet. Sobald der Header mit zwei aufeinanderfolgenden Leerzeichen abgeschlossen wird, sendet der Computer, der einen Web-Server an Port 80 betreibt, seinerseits ein HTTP-Response zurück. Diese besteht aus den Header-Informationen des Servers, einer Leerzeile und dem tatsächlichen Inhalt der Nachricht, also dem Dateiinhalt von info.html.

Bei HTTP/1.0 wird vor jeder Anfrage eine TCP-Verbindung aufgebaut und nach Übertragung der Antwort standardmäßig wieder geschlossen. Enthält ein Dokument beispielsweise 10 Bilder, so werden zur Übertragung der Bilder 10 TCP-Verbindungen benötigt (nichtpersistente HTTP).

Seit HTTP/1.1 kann der Client den Wunsch äußern, die Verbindung aufrecht zu erhalten, um die Verbindung erneut nutzen zu können (persistente HTTP). Die Unterstützung auf Serverseite ist jedoch optional und kann insbesondere bei Verwendung eines Proxys Probleme bereiten. Daher können seit HTTP/1.1 auch mehrere Anfragen und Antworten mittels HTTP-Pipelining über eine TCP-Verbindung gesendet werden.

Cookies sind kleine Textdateien im Web-Brwoser, die der Web-Server als Reaktion auf Anforderung des Clients sendet. In Cookies wird das Verhalten des Nutzers registriert (z.B. Passwörter, persönliche Daten des Nutzer, welche Seiten er zuletzt besucht etc.). Diese Dateien werden zunächst im Hauptspeicher zwischengespeichert und beim Schließen des Browsers in einer Textdatei abgelegt. Beim nächsten Aufruf des Servers werden die Daten wieder aufgefrufen, um die letzte Sitzung wieder herzustellen. Dies erleichtert Login-Prozeduren, kann aber auch benutzt werden, um Nutzungsgewohnheiten eines Besuchers zu protokollieren.

Für Cookies müssen folgende Komponenten zusammen spielen:

1. Cookie Header im HTTP Response
2. Cookie Header im HTTP Request
3. Gespeichertes Cookie auf Client-Rechner sowie Cookie-Manager im Browser
4. Datenbank an der Webseite

SMTP:

SMTP ist ein Protokoll der Internetprotokollfamilie, das zum Versenden von E-Mails dient. Das Protokoll benutzt eine persistentente TCP-Verbindung auf Port 25, um E-Mails vom Client auf den Server zu transferieren. Die Kommunikation erfolgt dabei in drei Phasen:

1. Verbindungsaufbau (Handshake)
2. Transfer der Nachrichten über Port 25
3. Schließen der TCP-Verbindung

POP3:

Das POP3-Protokoll ist ein Übertragungsprotokoll, über das ein Client E-Mails von einem Mail-Server abholen kann. Die Funktionalität ist sehr beschränkt und erlaubt nur das Auflisten, Abholen und Löschen von E-Mails am E-Mail-Server.

IMAP:

IMAP ist ein Übertragunsprotokoll, das dazu dient, Abhängigkeiten von Client-Rechnern aufzulösen. Zu diesem Zweck erweitert IMAP das POP3-Protokoll so, dass Benutzer ihre Mails, Ordnerstrukturen und Einstellungen auf den auf sem Server speichern und belassen können. Die Clients greifen direkt online auf die Informationen des Servers zu und müssen allenfalls Kopien davon beherbergen.

Der Benutzer kann in seinem Browser einen sog. Proxy Server einstellen. Dieser dient dann als Web Cache, d.h. der Browser sendet zunächst alle HTTP-Anfragen an den Cache. Ist das benötigte Objekt bereits im Cache, so wird das Objekt vom Cache geladen und an den Browser zurück geschickt. Andernfalls wird die HTTP-Anfrage an den Original-Web-Server weiter geleitet und seine Antwort im Cache gespeichert.

Vorteile:

• Reduzierung der Antwortzeit durch Cache
• Reduzierung des Traffics einer Institution
• Überprüfung der HTTP-Responses auf unerwünschte Inhalte

Bei einem Condiditonal-GET ist die Anforderung von Daten an bestimmte Bedingungen geknpüpft. Die genauen Bedingungen sind dabei im Header-Feld "Condiditonal" hinterlegt. Häufig zu finden sind zum Beispiel If-Modified-Since, If-Unmodified-Since oder If-Match. Mit Hilfe dieser Bedingungen kann die Netzwerkbelastung signifikant reduziert werden, da somit nur die wirklich benötigt Daten übertragen werden. In der Praxis nutzen zum Beispiel Proxyserver diese Funktion, um die mehrfache Übertragung von Daten, die sich bereits im Cache befinden, zu verhindern.