IT Sicherheit

• Zugriffe werden durch systemweites Regelwerk kontrolliert
• Zugriff wird gewährt, falls eine Regel existiert, die diesen Zugriff erlaubt
• Benutzer haben keinen Einfluss auf das Regelwerk

1. Es handelt sich um eine SQL-Injection. Da der Ausdruck 1=1 immer wahr ist, kann der Angreifer Namen und Passwörter (im besten Fall lediglich die Hashes) aller Benutzer einsehen.
2. Passwörter müssen neu gesetzt werden und dafür sorgen, dass keine SQL-Injection durchgeführt werden kann => Zur Vorbeugung: Die Werte aus Formularen prüfen - > Sonderzeichen escapen, serverseitige Überprüfung der Daten

1. Session-Fixation: Angreifer geht auf bestimmte Website, erhält eine Session-ID, Angreifer spielt dem Opfer ein Skript zu, das den Cookie mit seiner Session-ID beim Opfer setzt, Opfer geht auf Website => sobald er sich mit der zugespielten Session-ID anmeldet, ist Angreifer auch angemeldet
2. keine Cookies von Drittanbietern annehmen, nur Cookies der Seite X annehmen, wenn man sie gerade aufruft, Cookies nur von bekannten Seiten annehmen, Cookies regelmäßig löschen
3. Session zeitlich beschränken, keine Session-ID in URLs übergeben, nach einer Anmeldung neue Session-ID generieren, Session-ID an IP binden (Probleme bei Proxys)

• Schutz von Urheber- und Vermarktungsrechten an geistigem Eigentum (vor allem an Film- und Tonaufnahmen aber auch an Software oder eBooks)
• Abrechnungsmöglichkeiten für Lizenzen und Rechte
• Kernproblem: beliebige Kopierbarkeit von digitalen Inhalten ohne Qualiätsverlust und ohne nennenswerten Aufwand

Kopierschutz, Regelung der Anzahl der Nutzungen, Regelung des Zeitraums der Nutzung

Ablauf:

1. Inhalteserver verwaltet die zu schützenden digitalen Inhalte und verschlüsselt diese, wodurch die Inhalte vorerst unlesbar werden.
2. Lizenzserver erzeugt erforderliche Lizenzen zusammen mit den zugehörigen Schlüsseln für die Benutzerauthentifizierung und Inhalteentschlüsselung, welche aus den entsprechenden Kennungen (Benutzer- oder Gerätkennung, Inhaltekennung) und den Beschreibungen der Rechte berechnet werden.
3. Möchte der Benutzer auf einen per DRM geschützten Inhalt zugreifen, fordert die DRM-Steuerung vom Lizenzserver die zur Wiedergabe notwendige Lizenz an.
4. Werden Authentizität und Integrität des Wiedergabeprogramms verifiziert, werden die Inhalte mit dem in der Lizenz enthaltenen Schlüssel entschlüsselt, auf diese Weise wieder lesbar gemacht und an das Wiedergabeprogramm weitergegeben.

Beliebiger digitaler Inhalt wird durch Verschlüsselung eindeutig an eine Lizenz gebunden . Ohne die zum digitalen Inhalt gehörige gültige Lizenz kann der Benutzer zwar das Gerät oder den Datenträger erwerben, nicht jedoch auf den Inhalt zugreifen.

• Verschlüsselung von relevanten Teilen eines Medienstroms, wobei das Medium selbst abspielbar bleibt
• Effizienz der Verschlüsselung steigt
• Es werden Teile derart verschlüsselt, dass die Datei nicht oder nur eingeschränkt zu verstehen oder wiederzuerkennen ist

Anwendungsgebiet:

• Videokonferenzen
• Telefonate VoIP

+ Multimedia-Daten können auch verschlüsselt noch abspielbar bleiben

+ Stärke der Verschlüsselung kann parametrisiert werden, um die Klangqualität gezielt in dem gewünschten Maße zu beeinträchtigen

+ benötigt weniger Rechenleistung beim Ver- und Entschlüsseln als die vollständige Verschlüsselung

• Spezialfall der partiellen Verschlüsselung
• Qualität wird reduziert , das unmodifizierte Original kann aber noch gut erahnt werden
• Derart verschlüsselte Inhalte können als Preview in reduzierter Qualität öffentlich zur Verfügung gestellt werden. Einem Kunden wird anschließend der passende Schlüssel gegen Entgelt angeboten, um die Datei in voller Klangqualität zu erhalten. (Audio)

Schutz durch Integration von Informationen direkt in das Datenmaterial

transparentes, nicht wahrnehmbares Muster

• Urheberidentifizierung
• Kopierschutz, Übertragungskontrolle
• Nachweis der Unversehrtheit

Bild: Patwork Wasserzeichen => 8x8 Pixel => leichte Verschiebung der Pixel (mit menschlichem Auge nicht sichtbar) Nur eine Software, die weiß, wie das Wasserzeichen eingebettet wurde und die dazugehörigen Parameter kennt, ist in der Lage, die eingebetteten Informationen für uns verständlich auszulesen.

Audio: Eine Trägerdatei wird markiert, indem leichte Veränderungen an den Frequenzen vorgenommen werden. Diese Differenzen sind jedoch für uns Menschen nicht hörbar. Vergleicht man nun die beiden Dateien miteinander, wird das Wasserzeichen sichtbar.

Video: Jeder Frame wird in nicht-überlappende Blöcke aufgeteilt. Dann werden diese Blöcke mithilfe eines geheimen Schlüssels so verändert, dass sie Videoteile in ihrer eigentlichen Frequenz verändern.

Text: Ein bekanntes Verfahren verändert die Wortabstände leicht und arbeitet somit mit dem gleichen Prinzip wie im Falle der Bilddokumente.

• Electronic Codebook Mode (ECB)
• Cipher Block Chaining Mode (CBC)

• sicherer Weg beim Schlüsseltausch erforderlich
• jede Verbindung erhält einen eigenen Schlüssel (wird schenll unübersichtlich)

Asymmetrische Verfahren lösen das Problem => Schlüssel können über unsichere Netze, wie das Internet verteilt werden, ohne dass die Sicherheit gefährdet wird => Schlüsselpaar (private key und public key) kommt zum Einsatz

• der private Schlüssel bleibt beim Schlüsselinhaber und darf auf keinen Fall in fremde Hände gelangen
• der öffentliche Schlüssel wird frei verteilt

=> ich schicke public key an Empfänger (Schloss), der Empfänger verschlüsselt die Nachricht an mich mit dem public key (Schloss) der nur mit dem private key (Schlüssel) wieder entschlüsselt werden kann

Ein digitales Dokument wird dabei mit einer Bytefolge versehen, die mit Hilfe eines Schlüssels erstellt wird und die digitale Unterschrift bildet

• Echtheit muss überprüfbar sein
• Integrität muss sichergestellt sein
• darf nicht in ein anderes Dokument übertragen werden können
• muss verbindlich sein

wie asymmetrische Verschlüsselung, nur dass private key (Schloss) verschlüsselt und public key (Schlüssel) entschlüsselt => nur eine Person ist in der Lage die Datei zu verschlüsseln

• aus dem Hashwert darf der ursprüngliche Wert nicht mit vertretbarem Aufwand rekonstruiert werden können
• Hashwert soll unabhängig von der Länge der NAchricht immer die gleiche feste Länge haben (zB 160 Bit)
• Minimalste Änderungen an der Datei sollen den Hashwert ändern

Schlüssel soll von Hand geprüft werden

Hash, der aus einem Schlüssel gebildet wird. Dieser Wert ist relativ kurz, so dass er schnell von Hand überprüft werden kann. Fingerprints können
einfach z.B. auf Web-Seiten, Visitenkarten oder in Zeitschriften untergebracht werden.