Sicherheit in vernetzten Systemen

1
Sicherheit in vernetzten Systemen
Prof. Dr. Eduard Heindl, Heindl Internet AG,
Tübingen Prof. für eBusiness Technologie,
FH-Furtwangen
2
Die Heindl Internet AG

• Gründung 1995, AG seit 2000
• Content Management
• Programmierung
• Internetauftritte
• Beratung
• Schulung
• Portale

www.heindl.de
3
Bastion Host
Digitale Signatur
Intrusion Detection
Notstrom Versorgung
Demilitarisierte Zone DMZ
Kontrolle am Eingang
Kein Hintereingang
Nicht einsehbar
2. Firewall
Port mit Fallgitter
Stabile Plattform
Tunnel?
Bildquelle http//www.donjon.de/glossar/b/burgen_
uebersicht.htm
4
Was ist anders?

• Schnelligkeit gt Virenausbreitung
• Volumen gt 50GBit/s (DDOS auf yahoo)
• Softwarearchitektur gt Einheitliches BS
• Anwenderwissen gt über 50 Webuser
• Feinde gt nicht nur Hacker

5
Die Informationsschichten

• Physikalische Schicht
• Leitungen
• WLAN
• Netzwerk
• ISDN
• TCP/IP
• Application
• HTTP
• HTML
• JAVA
• Mail

6
Physikalische Schicht

• WLAN Wireless LAN
• Funkübertragung -gt kann ausserhalb abgehört
  werden
• Wardriving im Großraum Stuttgart brachte
  erschreckende Resultate
• Default Einstellung der Systeme ist
  unverschlüsselt
• 128Bit Verschlüsselung ist relativ sicher

http//www.bsi.bund.de/literat/doc/wlan/wlan.pdf
7
WLAN Maßnahmen

• Ändern Sie das Passwort
• Ändern Sie den Adress-Bereich
• Setzen Sie einen SSID Namen
• Schalten Sie das SSID Broadcast ab
• Setzen Sie MAC-Filter
• Schalten Sie die WEP-Verschlüsselung ein 
• Service Set Identifier
• Wired Equivalent Privacy

http//www.gowireless.ch/wirelesssicherheit.html
8
ISDN

• ISDN wird irrtümlich von vielen als sicher
  eingeschätzt
• ISDN sendet alle Daten in Klartext über die
  Leitung und (Richt-) Funkstrecken
• ISDN Erlaubt über die Telefonanlage vielfältige
  Angriffe
• Verschlüsseltes ISDN ist möglich

9
ISDN schützen
ElcroDat
10
TCP/IP4.0

• IP 4.0 kennt keine protokolleigene
  Verschlüsselung
• IP 6.0 kann verschlüsselt arbeiten, ist aber
  nicht verbreitet
• Probleme IP 4.0
• Protokoll mit vielen Angriffspunkten
• Implementierung nicht fehlerfrei
• Filter erfordern Erfahrung

11
Firewall
Internet
Filtert auf Paket und Dienstebene
12
Konfiguration Firewall

• Voraussetzung ist ein genaues Wissen um die
  Schutzbedürfnisse
• Paketfilter anhand Absender Empfänger
• Dienstefilter auf TCP Ebene (Port)
• Contentfilter
• Erfordert Proxy
• Virenschutz zentral
• Spam-Mailfilter
• KISS Keep It Simple and Stupid

13
Digitale Signatur

• Eine eindeutige Identifikation ist nur mit einer
  digitalen Signatur möglich!
• Authentifikation
• Nichtabstreitbare Kommunikation
• Verschlüsselung möglich
• Veränderungen können erkannt werden
• Schlüssellänge min 1024Bit

14
Signatur und SSL
15
Probleme bei Signaturen

• Endkunden besitzen keine Signatur
• Herausgeber der Signaturen sind nicht etabliert
• Signaturen für Server werden häufig fasch
  eingesetzt -gt Fehlermeldung im Browser
• Abstumpfung der Nutzer
• Signaturen verlieren ihren Wert

16
Beispiel
17
Tunnel
Signaturen und VPN
18
SINA Sichere Inter-Netzwerk Architektur
19
Trojaner

• Gefährdung durch versteckte Funktionen
• Aufbau eines Mailrelais
• FTP-Zugang
• Webserver
• Dailer
• Alle Funktionen, die Software zur Verfügung
  stellen kann

20
Bekämpfung Trojaner

• Keine unbekannte Software installieren
• Bekannte Trojaner können durch Virenschutzprogramm
  e entfernt werden
• Neue (alte?) Trojaner können eine Ruhezeit haben
• Digitale Signatur von Software erforderlich
• Problem Alte Software unter WinXP wird
  zurückgewiesen -gt Abstumpfung

21
Spam Mail

• 25 der US Bürger wollen E-Mailnutzung
  einschränken, Grund Spam!
• Belästigung durch Inhalt
• Belästigung durch Zeitverlust
• Gefahr des Übersehens von relevanter Mail
• Überlastung von Mailboxen möglich

22
Spam Bekämpfung

• Hauptquelle von Mailadressen ist das WWW
• Eigene Adresse nicht publizieren
• Adresse nur als Bild publizieren
• mailto Funktion entfernen
• Filter
• Klassische Filter scheitern an Tricks
• Zu scharfe Filter entfernen gewünschte Mails
• Zentrale Filtersysteme cloudmark.com

23
Spam Quelltext
lt!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.0
Transitional//EN"gt ltHTMLgtltHEADgt ltMETA
http-equivContent-Type content"text/html
charsetiso-8859-1"gt ltMETA content"MSHTML
6.00.2800.1264" nameGENERATORgtlt/HEADgt ltBODYgtltBgtVo
nlt/Bgt Lina Huerta linahuertaqj_at_ipactive.deltBRgtlt
BgtGesendetlt/Bgt Dienstag, 28. Oktober 2003
1924ltBRgtltBgtAnlt/Bgt eduard_at_heindl.deltBRgtltBgtBetref
flt/Bgt -'the day has com"e.. qtugrxdplxlvnltBRgt lt
CENTERgtltFONT faceverdana size3gtTltKBRAFGDOENAEKgt
he onltKUZHWKPMDJARGgtly solltKXDTJVDBAQDJFgtutioltKUA
VCYICWDSREYTgtn tltKEUHOZMCHBGDMgto
PltKNTOUOJCFPTUKQgtenltKPQOQHQCZKZRgtis
EltKRSOQKPCZZVBIWgtnlltKLMXPBGBVLSDgtargeltKBJXNTQXBOG
INBTgtmentlt/FONTgt
lt!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.0
Transitional//EN"gt ltHTMLgtltHEADgt ltMETA
http-equivContent-Type content"text/html
charsetiso-8859-1"gt ltMETA content"MSHTML
6.00.2800.1264" nameGENERATORgtlt/HEADgt ltBODYgtltBgtVo
nlt/Bgt Lina Huerta linahuertaqj_at_ipactive.deltBRgtlt
BgtGesendetlt/Bgt Dienstag, 28. Oktober 2003
1924ltBRgtltBgtAnlt/Bgt eduard_at_heindl.deltBRgtltBgtBetref
flt/Bgt -'the day has com"e.. qtugrxdplxlvnltBRgt lt
CENTERgtltFONT faceverdana size3gtTltKBRAFGDOENAEKgt
he onltKUZHWKPMDJARGgtly solltKXDTJVDBAQDJFgtutioltKUA
VCYICWDSREYTgtn tltKEUHOZMCHBGDMgto
PltKNTOUOJCFPTUKQgtenltKPQOQHQCZKZRgtis
EltKRSOQKPCZZVBIWgtnlltKLMXPBGBVLSDgtargeltKBJXNTQXBOG
INBTgtmentlt/FONTgt
24
Kreuzungen

• Spam Mail mit Trojaner
• W32.Sober
• Mailtext

Neue Variante vom Sobig Wurm im Netz
aufgetaucht!Sie müssen Ihre Einstellung so
ändern, das bei Ihnen der Wurm nicht
mehrlauffähig ist. Wie das geht, entnehmen Sie
bitte dem Anhang.
Der Wurm selbst ist als ausführbare Datei (z.B.
.exe, .pif, .scr) angefügt.
Quelle domainfactory.de
25
Der Browser

• Die Schnittstelle des Endbenutzers
• Integration sehr unterschiedlicher Fähigkeiten
• Probleme
• Datenschutz
• Plugins
• Fake-Pages

26
Ein kleiner Test

• Was sieht der Server?
• http//www.anti-trojan.net/at.asp?ldetpublici
  nfos
• Browsercheck
• http//www.heise.de/ct/browsercheck/demos.sht
  ml

27
Test bei Anti-Trojan
Alle Ports geschlossen
28
Was tun?

• Konfiguration des Browsers vornehmen
• Keine unbekannte Software annehmen
• Eigene Daten nur angeben, wenn ausreichender
  Datenschutz vereinbart ist
• Keine Passworte in ungeschützten Verbindungen
  eingeben
• Keine internen Passworte im Web verwenden

29
Vielen Dank für Ihre Aufmerksamkeit

• Vortrag steht ab 1.11.03 unter
• heindl.de/eduard-heindl