IT Security 2

Eine Klasse con Spezifikationen im Kontext von Webserives mit SOAP (ist ein Netzwerkprotokoll, mit dessen Hilfe Daten zwischen Systemenausgetauscht und Remote Procedure Calls durchgeführt werden können.)

WS-Security

• XML Digital Signature
• XML Encryption

WS-Secure Exchange

WS-Trust

WS-Secure Conversation

WS-Security Policy

WS-Federation

SAML

• XML-Framework zum Austausch on Authentifizierungs- und Autorisierungsinformationen
• SSO und Autorisierungsdienste für Webservices

OpenID

• offener Standard für Authentifikation
• ermöglicht einen 3rd-Party-Service

OAuth 2.0

• Endbenutzer (User oder Owner) gibt einer Anwendung (Client) Zugriff auf seine Daten (Autorisierung), die von einer anderen Anwendung (Resource Server) verwaltet werden, ohne dass alle Details seiner Zugangsberechtigung zur anderen Anwendung (Authentifizierung) preisgegeben werden.
• Browser fokussiert, extensiver Gebrauch von HTTP Redirektion
• Ursprünglich nur Authorisierung für Web Sites, jetzt Single Sign On (SSO)

SSO:  ein Benutzer nach einer einmaligen Authentifizierung an einem Arbeitsplatz auf alle Rechner und Dienste, für die er lokal berechtigt (autorisiert) ist, am selben Arbeitsplatz zugreifen kann, ohne sich jedes Mal neu anmelden zu müssen

Absichtlich herbeigeführte Serverüberlastungen

->SYN flood (Angreifer antwortet nicht mit dem erwarteten ACK -> TCP three-way handshake)

• Der Angriff verwendet den Verbindungsaufbau des TCP-Transportprotokolls, um einzelne Dienste oder ganze Computer aus dem Netzwerk unerreichbar zu machen.

HTTP Get/POST floods

Gegenmassnahmen

• Sperrlisten, SYN-Cookies und SYN Cache
• Serverlastverteilung -> Scrubbing-Centers
• -> Angriffe werden aus Botnetzen ausgeführt (Rechner des Angreifers ist nicht sichtbar)

Angreifer nützen gehackte IoT-Geräte aus (Router, IP Kameras,...)

• schlecht geschützt, kaum Rückruf
• Missbrauch kann kaum entdeckt werden
• Es gibt Open Source Malware zb. Mirai , welches das Internet nach IoT Gertäten absucht, welche nur durch factoy default passwords abgesichert sind
  • Manufacturers of such equipment typically use a simple password, such as admin or password on all equipment they ship, in the expectation that users will change the password during configuration.
• Konsequenzen:
  • 620 GB pro Sekunden 
  • Verwendung für unterschiedliche kriminelle Aktivitäten wie Web Traffic Proxies und dem Test con gestohlenen Kreditkarten bei Händlern

• Aufgaben eines Firewalls
  • Identitätsbezogene Zugriffskontrolle
  • Filterung und Modifikation von Daten
  • Ververgen von Strukturen
  • Audit sicherheitsrelevanter Ereignisse
• Sicherer Kommunikationskanal
  • Vereinbarte Schlüssel gelten für mehrere Protokollnachrichten zwischen den Kommunikationspartnern
  • Schutz der Daten "endet" am Kanalende: dort erfolgt Entschlüsselung und ggf. Authentizitätsprüfung
• Andwendungsprotokolle
  • Ziel in der Regel: One step Processing dh
  • individuelle Verschlüsselung ggf. Signaturerstellung etc. 
  • Daten der Anwendungsevene enthalten alle benötigten Informationen zur Absicherung

IEEE 802.11 (auch: Wireless LAN (WLAN), Wi-Fi) bezeichnet eine IEEE-Norm für Kommunikation in Funknetzwerken.

• Infrastruktur- und Ad-hoc Modsu
• Medienzugang& Zugriffkontrolle
  • Jeder Access Point besitzt einen/mehrere SSID (Service Set Identifier bezeichnet nach der Norm 802.11 des Institute of Electrical and Electronics Engineers alle Geräte in einem WLAN.)
  • Open/closed networks
  • ACLs(MAC Adressen)
• Wired Equivalent Privacy (WEP: ist das ehemalige Standard-Verschlüsselungsprotokoll für WLAN.)
  • • Unzureichender Grad an Sicherheit

• Wi-Fi Protected Access (WPA)
  • paket-bezogener Integritätsschutz
  • Etablierung frischer Sitzungschlüssel -> WPA2=802.11i
  •  ist eine Verschlüsselungsmethode für ein Drahtlosnetzwerk (Wireless LAN)
• AES (neue HW nötig)
  • Advanced Encryption Standard (AES) ist eine Blockchiffre, die als Nachfolger für DES als neuer Standard bekannt gegeben wurde.

• einseitige oder wechselseitige Authentifikation (nur Geräte)
• Verschlüsselung der transferierten Daten
• Autorisierung von Dienstenutzungen
• 4 Schlüsseltypen: Geräteschlüssel, Initialisierungs-, Kombinations- und Masterschlüssel
• verschiedene Sicherheitsmodi und Vertrauenstufen

Pairing - erstamliger Kontakt erfordert PIN-Eingabe, von dem die anderen Schlüssel abgeleitet werden.

Secure Simple Pairing - Publich KEy Exchange

Datenbanken sind die Lagerstätten der wichtigsten und teuersten Daten eines Unternehmens

Datenbanksysteme sind die Schlüsseltechnologie des Datenmanagement für die täglichen Pperationen und Entscheidungsfindungen in Unternehmen.

• performante Verwaltung grosser Datenmengen
• konsistente Speicherung & Recovery
• lange Lebensdauer der Daten
• Merhbenutzer-Synchronisation
• semantische Datenmodellierung
• Anfragesprache
• -> Datenbanksysteme sind spezialisiert auf die effiziente Verwaltung sehr grosser, langlebiger Datenbestände

Eine relationale Datenbank dient zur elektronischen Datenverwaltung in Computersystemen und beruht auf einem tabellenbasierten relationalen Datenbankmodell.

• Taellen
• Beziehunen zwischen Tabellen: Primary Keys, Foreign Keys
• Views
  • Pseudo-Tabelle, basierend auf einem SQL Statement
  • Vertikale und horizontale Einschränkungen auf Daten
• Stored Procedures: Programme die in einer Datenbank hinterlegt sind
• Indices: Hilfsmittel für schnellen Zugriff über beliebige Attribute
• Triggers: STORED PROCEDURES, DIE AN TABELLEN UND ERGEBNISSEN GEBUNDEN SIND. 

Structured Query Language

• SQL ist eine Datenbanksprache zur Definition von Datenstrukturen in relationalen Datenbanken sowie zum Bearbeiten (Einfügen, Verändern, Löschen) und Abfragen von darauf basierenden Datenbeständen.

• DMLS (Daten Manipulaiton LAnguage)
• DDL (Data Definition Language)
• DCL (Data Control £Language)

Die Tabelle ist die einzige Datenstruktur des relationalen Modells

• als Struktureemente stehen ausschliesslich Relationen, die sich als Taellen darstellen lassen, zur Verfügung
• einfache logiche Schnittstelle zu den Datenbeständen
• der Zugriff auf bestimmte Datensätz wird über die Feldinhalte ermöglicht
• der Benutzer arbeitet nur mit logischen, mengenorientierten Abfragen, wobei die physische Speicherung und der Datenzugriff für ihn im Hintergrund bleiben

Jede Spalte hat einen Bezeichner, der innerhalb der Tabelle eindeutig ist 

Mit Hilfe von Constraint beim CREATE TABLE Befehl

• PRimary Key: Schlüssel für Identifikation des Tupel
• Unique: Eintrag ist eindeutig- Bsp AHV-Nr
• Foreign Key: Zeigt auf Primary Key Bsp. StudentKurs-Tabelle
• Not NULL: Darf nicht leer sein. Bsp Jahrgang
• Check: Beliebige Prüfung

Transaktionen (ACID-Eigenschaften: atomicity, consistency, isolation, durability)

• Excessive and unused Privileges
• Privilega Abuse
• Malware
• Weak Audit Trail

• Eigene User-Verwaltung (Username/Passwort)
• Zugriff auf externe Benutzerverzeichnisse
• PKI-Lösung mit Client- und Serverzertifikat (z.b. Oracle)

Viele Applikationen haben eine eigene Benutzerverwaltung:

• Flexibilität
• Historische Applikationen/ Produkt-abhängig

Applikationen sollen keinen Superuser für Zugriff verwenden

-> Impersonation/Delegation verwenden

• Impersonaton: Identität des Aufrufers wird an Back--End Ressourcen (z.b. Datenbank) auf dem selben Computer weitergeleitet
• Delegation: Identität des Aufrufers wir Back-End Ressourcen auf andere Computer weitergegeben.

• Das Zugriffsmodell muss in den Elementen des logischen Datenmodells ausgedrückt werden.
• Unterstützung von inhalt-basierter Zugriffkontrolle

• dezentralisierte Verwaltung von Autorisierungen
• dynamisches Grant und Revoke von Autorisierungen
• Verwendungen von Views zur Unterstützung von inhaltbasierter Zugriffskontrolle

Die meisten kommerziellen DBMS verwenden Ownership-basierte Administration mit Administration Delegation

• Schutzobjekt sind Tabellen und Views
• Zugriffsmodi entsprechen den SQL Operationen
• Rechteweitergabe bzw. Entzug durch Grand und Revoke Operationen
• negative Autorisierungen
• noncascading revoke
• Zeitdaueer der Autorisierungen (begrenzt, periodisch)

• Zwei Rollen-Typen:
  • Datenbankserver-Rollen
  • Spezifische Rollen für Datenbanken
• Erstellen einer benutzerdefinierten Rolle:
  • Create Role HumanResourceRole

Zugriffsschutz auf Objekte kann mittels Objekt-Privilegien definiert werden

• Grant/ Deny für Select. Delet, Insert, Update auf Tabellendaten
• Deny Privilegien haben Vorrang falls mehrer Rollen gelten
• Executive-Recht für Stored Procedures / Functions

Zugriffschutz auf Attribut-Ebene mittels Views

•  Erstellen einer View
• Definition der entsprechenden Objekt-PRivilegien
• Spezielle Datenbanken haben weitere Konstrukte

Zugriffschutz auf Row-Ebene

• Nicht vorgesehen im Standard (Erweiterungen notwendig)
• Bei Oracle mittels dem Package

Eine Sicht ist eine logische Relation (auch viruelle Tabelle), die über eine Abfrage definiert ist. Dabei können Tuples und Spalten ausgefiltert und aggregierte Werte durch statistische Berechnungen  zurückgegeben werden.

-> Wann immer eine Abfrage diese Sicht benutzt, wird diese zuvor durch das DBMS berechnet. -> Zugriffskontrolle zuerst, dann View Composition (Die VIEW definiert die Daten, auf die Rechte vergeben werden können. 

Rechte können auch wieder weggenommen werden

Multilevel Relation

• Verschiedene Tupel in der gleichen Relation können in unterschiedliche Zugriffsklassen sein. 
  • Tabelle ist in unterschiedliche Sicherheitspartitionen aufgeteilt
• Subjekt mit Zugriff auf Partition c kann
  • alle Tupel in anderen Partitionen lesen, die gleich oder kleiner als c sind
  • Tupel in Partitionen, die gleich oder höher als c sind, einfügen oder updaten
  • -> Blich auf die Multilevel-Relation von der Zugriffsklasse c

Kommerzielle Datenbanken mit Unterstützung von MLS

• Oracle 11g Label Security
• IBM DB2 11 Multilevel Security

Siehe seite 50

• verschlüsselt Tabellenspalten, wenn die Daten in Dateien gespeichert werden
• Entschlüsselung, wenn Benutzer Zugriffsrecht besitzt
• -> key-based access control (Key in Wallet gespeichert)

Beispiel Encrypt Using 3DES168

• Der Datenbankadministrator sieht alle Daten
• Aus einem Backup sind alle Daten rekonstruierbar

Viele Datenbanksysteme erlauben die Konfiguration von verschlüsselten Datenbankfiles -> Trennung von Datenbank- und Sicherheitsadministration -> Vorteil: Die Schüsselverwaltung muss nicth vom DBA gemacht werden

Queries on encrypted data -> Neue Technik, insbesondere für Cloud-Computing

• Ihre Daten in Entwicklungs- und Testumgebungen sind grösstentei 1:1 Kopien der Produktionsumgebung
• Entwicklung bzw. Test finden ausserhalb Ihres Unternehmens statt
• Vertrauliche Daten müssen auch ausserhalb der Produktionsumgebungen geschützt werden
• Entwickler und Tester fordern realitätsnahe Daten
• Compliance Abteilung verlangt die Einhaltung der vorgeschriebenen Datenschutzgesetze auch in Entwicklung und Test

-> Unternehmen haben sensitive Informationen über Kunden und Mitarbeiter

Datenmaskierung ist ein Verfahren zum Erzeugen einer strukturell ähnlichen, aber unechten Version der Daten einer Organisation

• Masking must not be reversible
• The results must be representative of the source data
• Referential integrity must be maintained
• Mask non-sensitive data if it can be used to recreate sensitive data
• Masking must be a repeatable process

SQL-Injection (dt. SQL-Einschleusung) bezeichnet das Ausnutzen einer Sicherheitslücke in Zusammenhang mit SQL-Datenbanken, die durch mangelnde Maskierung oder Überprüfung von Metazeichen in Benutzereingaben entsteht. Der Angreifer versucht dabei, über die Anwendung, die den Zugriff auf die Datenbank bereitstellt, eigene Datenbankbefehle einzuschleusen. Sein Ziel ist es, Daten auszuspähen, in seinem Sinne zu verändern, die Kontrolle über den Server zu erhalten oder einfach größtmöglichen Schaden anzurichten. -> Solche Attacks sind immer noch häufig

• Auslassen von Aufrufteilen
• Abfragen der Anzahl der Spalten
• Abfragen anderer Tabellen
• Verschleiern von Befehlen

Vom Hostsystem lassen sich Daten durch Verwendung von Funkitonen auslesen.

Vertraue NIEMALS den Eingaben von Benutzern

• Aufrufbeschränkungen
• Filtered Input
  • Sonderzeichen escapen
  • Datentypen
  • Black/Whitelisting und Plausibilitätsprüfung
• Prepared Statements

Ebenfalls bei Cross Site Scripting (XSS)

 XSS bezeichnet das Ausnutzen einer Computersicherheitslücke in Webanwendungen, indem Informationen aus einem Kontext, in dem sie nicht vertrauenswürdig sind, in einen anderen Kontext eingefügt werden, in dem sie als vertrauenswürdig eingestuft werden. Aus diesem vertrauenswürdigen Kontext kann dann ein Angriff gestartet werden.

• Ein geschlossenes System ist sicher, aber auch nur bedingt nützlich
• Sicherheit beruht sowohl auf den technischen Massnahmen wie auch auf deren korrekten Einsatz
• Bedeutung er Daten muss bei Zugriffsentscheidungen berücksichtigt werden -> Injection in HTML5
• Datenbanken sind legacy systems und müssen hoch performant sein; macht es schwierig Sicherheit einzubauen.

• Any information relatong to identified anatural person. an identifiable person is one who can be identified, directly or indirectly, in particular by reference to an identification number or to one or more factors specific to his physical, physiological, mental, economic, cultural or social identity.
• For instance social security, driver license account numbers but not telephone number, email adress

Personal data is the new oil in the internet and the new currency of the digital world.

Email, Web and social networks and mobile devices join in the conventional marketing channels.

• Benefits of digital media for the advertising industry
  • Reaction of the target consumers is directly measurable z.b. in number of page views
  • better validation of compaigns effectiveness
• Advertising inserts according to time of day, weather, region, behavior
  • -> audience targeted advertisment

• Companies
  • collect data on consumer behavior
  • use information about past purchases to tailor how they treat them in the future
• Consumers do not appreciate the degree that compnaies can 
  • trade and mine this information
  • alter prices and offers based on these data
• Legislation governs the
  • collection of information
  • use of marketing techniques
  • price discrimination

Organisation für wirtschaftliche Zusammenarbeit und Entwicklung

• Guidelines for the Transbprder Flows of PErsonal Data
• Data Subject
• Data Controller
• Data Collector
• Data Processor
• Data Recipient
• Collection Limitation, Data Quality, Purpose Specification, Use Limitation, Security Safeguards, Openness, Individual Participation

Regulation such as HIPPA require hospital employees use medical information for only certain purposes, such as treatment, research and billing.

Any freely specific & informed indication of the wishes of the Data Subject by which he/she signifies his/her agreement to personal data relating to him/her being processed. The consent must be given unambiguously (unzweideutig)

• some form of positive action by the individual
• they must understant that they are consenting  and what they are consenting to
• Hot to realize consent? -> Clicking an icon, sending an email,...