WEB02

• Prepaid
• Elektronisches Geld
• Abrechnung über Telefonrechnung
• kreditkarten-/lastschriftbasiert

• spielt große Rolle, da kein direkter Kontakt mit dem Händler.
• Kaufabwicklung anonym im Internet
• Sicherheitsbedürfnis der Nutzer
• Vertrauenswürdigkeit über Zertifikate ausgestellt durch unabhängige Dritten
• Rating-Agenturen, Erfahrungen anderer Nutzer

existenzbedrohende Ausmaße:

• Schadenersatzforderungen
• Imageverlust
• Umsatzausfall

• objektive Sicherheit muss dem Risiko angemessen sein und wirtschaftlich sinnvollen Maß haben
• zur Erhöhung der subjektiven Sicherheit sind Marketing-Maßnahmen geeignet

• Klassisches Auskundschaften:
  - Auswertung von Papierresten
  - Social Engineering (Täuschung, Manipulation,Hochstapelei)
• Ausnutzen von Schwachstellen:
  - Portscanner zum Auffinden von offenen TCP-Ports
  - Paket-Sniffer zum Mitlesen des Datenverkehrs
  - Ausnutzen von Fehlfunktionen z.B. eines Webservers zum unberechtigten Aufruf von DIensten
• trojanische Pferde
  Schadprogramme, die heimlich auf dem Zielrechner installiert werden, um die Daten aufzuspühren, auszulesen  und zu versenden.
• Man-in-the-Middle-Attacks:
  elektronische Art der Täuschung. Die Webseite einer Firma wird detailgetreu nachgemacht. und es wird versucht den Kunden darauf umzuleiten (spoofing) Durch Eingabe der Anmeldedaten auf der gefälschten Seite ist der Angreifer im Besitz gültiger Anmeldeinformationen.
   

Stellt sicher, dass Nachrichten und sonstige Daten nur von berechtigten Personen gelesen werden können. Wird. z.B. durch symmetrische und asymmetrische Verschlüsselung als kryptografisches Verfahren eingesetzt. Dabei werden die Daten vom Sender so verschlüsselt, dass nur der Empfänger sie entschlüsseln kann.

- genau ein Schlüssel (private key)

- dient sowohl dem Ver- als auch dem Entschlüsseln

- sowohl dem Absender als auch dem Empfänger bekannt

- Schwachstelle: Transport des Schlüssels (ein sicherer Kanal nötig)

- für größere Kommunikationsgruppen müssen zwischen allen Personen jeweils ein Schlüssel erzeugt und ausgetauscht werden.

- DES (Data Encryption Standard) Verfahren der symmetrischen Verschlüsselung. von IBM 1975 entwickelt. 56bit-Schlüssellänge

- Triple-DES - Weiterentwicklung. Dreimalige Anwendung des DES-Verfahrens.

- AES (Advanced Encryption Standard) weiterer Nachfolger des DES

- IDEA - International Data Encryption Algorithm. 1990 entwickelt. 128bit-Länge. Sehr schnelle Verschlüsselung. Anwendung z.B. Kommunikation im Netzwerk

Beim asymettrischen Verfahren unterscheidet man  Ver- und Entschlüsselung. es gibt zwei verschiedene Schlüssel:

• öffentlichen Schlüssel (public key). Dient zum verschlüsseln der Nachricht
• geheimen Schlüssel (private key). Ermöglicht empfangene Nachricht zu entschlüsseln.

Von einer PKI spricht man wenn innerhalb einer Gruppe jeder über ein Schlüsselpaar verfügt. Die öffentlichen Schlüssel zertifiziert und in Verzeichnissen veröffentlicht sind.

Bei der Kombination wird ein asymmetriesches Verfahren verwendet, um den Schlüssel für ein symmetriesches Verfahren zu transportieren. Die Kommunikation selbst wird dann mit dem symmetrischen Verfahren abgewickelt. Damit werden die Vorteile beider Verfahren kombiniert und eine schnelle Verschlüsselung mit brauchbarem Sicherheitsniveau realisiert. Beispiel: SSL-Protokoll.

Secure Socket Layer

Bei SSL wird mit einem asymmetrischen Verschlüsselungsverfahren ein Sitzungsschlüssel ausgehandelt. Dieser dient dann als geheimer Schlüssel für ein symmetrisches Verfahren, mit dem die tatsächliche Kommunikation verschlüsselt wird.

Zertifikate sind Nachrichten, die nachweislich von einem bestimmten Sender stammen und einen bestimmten Sachverhalt in einer nachprüfbaren Form bescheinigen.

Um die Echtheit des öffentlichen Schlüssel zu gewährleisten, werden die ö.-Schlüssel zertifiziert(Signaturschlüssel-Zertifikat) durch eine Autorität, der alle beteiligten Seiten vertrauen (trusted third party)

WOT bezeichnet in der Kryptografie die Idee, dass Teilnehmer Personen und Instanzen benennt, auf deren Urteil der Echtheit der Daten er sich verlassen will. Damit ist WOT eine dezentrale Alternative zum hierarchischen PKI-System. Nach dem Signaturgesetz fungiert die BNetzA als oberste Zertifizierungsstelle (certivicate authority, CA)

Durch die Autorisierung soll der Zugriff auf die Ressourcen aller Art nur denjenigen möglich sein, die dazu berechtigt sind.

Autorisierung kann durch Vorlegen eines Berechtigungsnachweises oder - implizit - durch Zugehörigkeit zu einer Gruppe erfolgen.

Um z.B: Vollmachten technisch zu realisieren, werden Attribut-Zertifikate verwendet, durch die die Autorisierung nachgewiesen werden kann.

Um sicherzustellen, dass eine Nachricht auf dem Weg zum Empfänger nicht verändert wird, wird eine Prüfsumme (Hash-Wert) verwendet. Der Wert wird durch sender vermittelt und gesendet. Der Empfänger errechnet seinerseits nach demselben Verfahren den Hash-Wert der Nachricht. Bei der Übereinstimmung deren, wird sichergestellt, dass die Nachricht unverändert ankam.

Ein Programm zur Verschlüsselung und zum Unterschreiben von Daten. Ist ein BEispiel für die hybride Verschlüsselung. Das Programm nutzt MD5 (Message Digest, Version 5) - Verfahren.

• Vorteile: schnell
• Nachteile: wenig kollisionsresistent

Alternative: SHA-1 (Secure Hash Algorithm)

Nachweis der Identität. Im Wesentlichen sind es 3 Kriterien:

• Besitz: Besitz eines Gegenstandes(Tokens) wie Magnetkarte, Schlüssel(auch Verfügung eines geheimen Schlüssel für digitale SIgnatur), Mobiltelefon usw.
• Wissen: PIN-Codes o. Passwörter. Auch Geheimfragen.
• Eigenschaft: z.B.: biometrische Merkmale wie Fingerabdruck, Stimme, Gesichtszüge.

Je nach Sicherheitniveau werden Kombinationen der Faktoren verwendet:

• Besitz und Wissen: EC-Karte + PIN
• Eigenschaft und Wissen: Fingerabdruck + PIN
• Besitz und Eigenschaft: Smart-Card + Fingerabdruck
• Besitz + Wissen + Eigenschaft

Das Sicherheitsziel Nichtabstreitbarkeit behandelt die Frage von der Nachweisbarkeit einer Transaktion bzw. Datenaustausch zwischen Geschäftspartnern. Dies kann durch die Verwendung von digitalen Signaturen erreicht werden.

EIn wesentlicher Faktor bei den Sicherheitszielen des EC. Durch Ausfall der Systemen bzw. Nichtverfügbarkeit der Ressourcer entstehen wirtschaftliche Folgen:

• Umsatzausfall
• Imageverlust
• unproduktive Arbeitszeit

• DoS - Denial-of-Service-Angriffe. Ziel: Überlastung des angegriffenen Systems:
  - ungezielte Angriffe (z.B. Viren per Email)
  - gezielte Angriffe (z.B. massenhafter Mailversand an eine einzelne Email-Adresse Mailbomben)
• DDoS - Distributed-Denial-of-Service-Angriffe sind verteilte Angriffe

• aktuelle Sicherheitseinstellungen und Installation der Sicherheits-Updates des Herstellers
• stetige Wartung und Überwachung der Systemen

Wesentliche Schutzvorrichtungen:

• Paketfilter (Firewall)
• Proxy-Server

Eine Firewall ist ein Paketfilter. Alle Datenpakete für ein Teilnetz werden über diesen Paketfilter geleitet, indem er bei Anfragen und Antworten jeweils den Transaktionspartner emuliert (Proxy-Server) Kann sowohl eine Software als auch Hardware sein.

Zwei Vorgehensweisen:

• Offene Strategie: alles erlaubt, was nicht explizit verboten ist.
• Restriktive Strategie: alles ist verboten, was nicht ausdrücklich erlaubt ist.

Umfasst Risikoklassen und Maßnahmen zur Aufrecherhaltung der Grundaufgabe der IT.

Risiken werden entsprechend ihrer Art und dem Detaillierungsgrad in mehreren Klassen unterteilt.

Sicherheitsmaßnahmen werden unterteilt auf

• präventive Maßnahmen (Schutz und Erkennung)
• reaktive Maßnahmen (Reaktion; Notfallpläne)

• Kunde
• Anbieter
• Bank(en) oder Finanzdienstleister
• Intermediär (Beteiber des Bezahlverfahrens)

• Sicherheit (Im Bezug auf Sicherheitsziele und Kundendaten)
• Registrierung des Kunden und deren Ablauf
• Benutzerfreundlichkeit (Einfachheit der Bedienung und Dauer des Zahlungsvorganges)
• Abrechnungszeitpunkt
  (vor-, während, nach Transaktionszeitpunkt)
  und Abrechnungsverfahren
  (Prepaid, Lastschrift, Kreditkarte, Telefonrechnung)
• technische Aufwand für die Teilnahme am Verfahren
• Kosten der Verfahrens
  - Fixkosten
  - variable Kosten
• Betragshöhen
  - Picopayments
  - Mikropayments
  - Makropayments
• Verbreitungsgrad und Einsetzbarkeit des Verfahrens

notwendig: subjektive Sicherheit

wichtig:

• Kosten
• Verbreitungsgrad und Einsetzbarkeit:
  - hohe Zahl an Akzeptanzstellen
  - nationale/internationale Einsetzbarkeit
• Convenience-Aspekt:
  Benutzerfreundlichkeit und kurze Vorgangsdauer

Bevorzugten Verfahren aus Kundensicht sind:

• Rechnung (mit Abstand am häufigsten)
• Lastschrift
• Nachnahme

Kriterien zur Auswahl des Bezahverfahrens nach Wichtigkeit:

• Kosten
  - Integrationskosten
  - Fix- und Transaktionskosten
  - Opportunitätskosten
• Sicherheit
  - Minimierung von Zahlungsausfällen
  - Schutz gegen Angriffe Dritter
• Verbreitungsgrad und Einsetzbarkeit

Insbesondere bei digitalen Gütern, da keine Lieferadresse vorliegt, trägt der Händler die Risiko im Wesentlichen.