docSicherheit im Internet
download 
Plainte Transcription
Sicherheit im Internet
Fachhochschule Stralsund Fachbereich Elektrotechnik und Informatik Sicherheit im Internet Empfehlungen für den Aufbau von sicheren E-Commerce Systemen Prof. Dr. Bernhard Stütz Leiter Real-World-Labs an der Fachhochschule Stralsund Prof. Dr. Bernhard Stütz Security 1 Fachhochschule Stralsund Fachbereich Elektrotechnik und Informatik Übersicht • Komponenten von E-Commerce Lösungen – Dienstenutzer (Client) – Transportnetz (Internet) – Diensteerbringer (Server) • Angriffspunkte der Komponenten – Wo sind die Schwachstellen – Wieso gibt es Schwachstellen • Schutzmöglichkeiten für die Komponenten – Welche Verfahren gibt es – Wie sicher sind diese Verfahren Prof. Dr. Bernhard Stütz Security 2 Fachhochschule Stralsund Fachbereich Elektrotechnik und Informatik Struktur von E-Commerce Systemen im Web DMZ LAN Server Server Äußerer Firewall Innerer Firewall Clients Bad Guy Prof. Dr. Bernhard Stütz Gateway MA-Client Security 3 Fachhochschule Stralsund Fachbereich Elektrotechnik und Informatik Client Security • Clientbetriebsystem überwiegend Windows – Windows 3, 95, 98, ME: kein Schutz durch Betriebssystem – Windows NT, Windows 2000: Gefahr durch BS-Fehler, Anwendungsfehler, Fehlkonfiguration und Fehlbedienung • Client Angriffsszenarien – Gefahren durch Viren und Trojaner – Gefahren durch Sicherheitslücken, Programmierfehler – Gefahren durch schlecht ausgebildete Dienstenutzer • Gründe für viele Schwächen – Schlecht formulierte Standards – Schlechte und zu wenige Programmierer – „Time to Market“ Diktat – Kostengründe (z. B. bei HBCI) Prof. Dr. Bernhard Stütz Security 4 Fachhochschule Stralsund Fachbereich Elektrotechnik und Informatik Transportnetz Security • Internet Technologie basiert auf TCP/IP – Normalerweise keine geschützte Kommunikation – Absenderangaben werden nicht überprüft – Zum Teil fehlerhafte Implementierung des Protokollstacks • Transportnetz Angriffsszenarien – Abhören der Kommunikation (auch Passwörter) – Übernahme von bestehenden Verbindungen – Umleitung von Domains – Blockierung von Verbindungen – Denial of Service Attacken – Distributed Denial of Service Attacken Prof. Dr. Bernhard Stütz Security 5 Fachhochschule Stralsund Fachbereich Elektrotechnik und Informatik Server Security • Serverbetriebssysteme: Windows NT, diverse Unixsysteme – Windows NT, Windows 2000: Gefahr durch BS-Fehler, Anwendungsfehler, Fehlkonfiguration und Fehlbedienung – Unix: Sicherheitskonzept: Alles oder nichts – Daemonen und Systemtreiber werden meist mit root Rechten ausgeführt • Server Angriffsszenarien – Ausnützen von konzeptionellen Schwächen, Programmierfehlern, Konfigurationsfehlern – Ausnützen von „Buffer overflow“ – das sind Schwachstellen hervorgerufen durch schlechten Programmierstil – Ausnützen von Fehlverhalten von Programmen bei nicht vorgesehenen Eingabedaten Prof. Dr. Bernhard Stütz Security 6 Fachhochschule Stralsund Fachbereich Elektrotechnik und Informatik CIA Hack Prof. Dr. Bernhard Stütz Security 7 Fachhochschule Stralsund Fachbereich Elektrotechnik und Informatik Department of Justice Hack Prof. Dr. Bernhard Stütz Security 8 Fachhochschule Stralsund Fachbereich Elektrotechnik und Informatik Internet-Wachstum ./. Expertenschwund Quelle: Cert CMU Prof. Dr. Bernhard Stütz Security 9 Fachhochschule Stralsund Fachbereich Elektrotechnik und Informatik Gemeldete Ereignisse am Cert (CMU) 18000 17672 16000 14000 12000 10000 9859 8000 6000 4000 2000 6 2340 132 252 406 773 1334 2412 3734 2573 2134 0 1988 1989 1990 1991 1992 171 1993 Internet Hosts: 150 Mio Prof. Dr. Bernhard Stütz 1994 1995 345 1996 311 1997 262 1998 417 884 Vorfälle Systemschwächen 1999 2000 Quelle: Cert (CMU) Security 10 Fachhochschule Stralsund Fachbereich Elektrotechnik und Informatik Finanzieller Verlust durch Sicherheitsverletzungen 1.344 1.400 1.200 898 787 1.000 677 800 490 458 392 600 393 328 153 98 19 1999 weltweit 2000 weltweit Prof. Dr. Bernhard Stütz 18 82 29 23 34 23 5 10 1999 USA 33 76 101 81 102 53 0 94 122 2000 USA 200 232 204 196 7 3 2 1999 Deutschland 210 153 2000 Deutschland 400 nicht bekannt kein Verlust bis zu 1.000 $ bis zu 10.000 $ bis zu 500.000 $ bis zu 1.000.000 $ Quelle: InformationWeek 17/2000 Security 11 Fachhochschule Stralsund Fachbereich Elektrotechnik und Informatik Client Schutz • • • • Virenchecker Installation von Security Updates Einzelplatz-Firewall Benutzer Schulung • Diskless Client / Thin Client • Getrennte Rechner/Wechselplatten für Produktion und Surfen • Security Devices – Smart Card Leser mit Tastatur und Display – Handy mit Bluetooth und digitalen Signaturen Prof. Dr. Bernhard Stütz Security 12 Fachhochschule Stralsund Fachbereich Elektrotechnik und Informatik Transportnetz Schutz • • • • • • Firewall Applikation Gateway mit Virenscanner Proxy mit Filter Intrusion Detection SSL Verbindungen mit Zertifikaten (PKI) Virtuelle Private Netze (VPN mit IPsec) SSL VPN-Gateway Prof. Dr. Bernhard Stütz VPN-Gateway Security 13 Fachhochschule Stralsund Fachbereich Elektrotechnik und Informatik Server Schutz • • • • • • • • • • Nur benötigte Dienste anbieten Keine Client Applikationen auf Servern Keine Entwicklungsumgebungen auf Servern Umfangreiche Protokollierung und Auswertung Datei-Integritäts-Checks Einsatz von Security Scannern regelmäßiges Einspielen von Security Updates Sorgfältiges Programmieren von Servlets (CGI, Perl, Java, PHP ...) Konfigurationshilfsprogramme Abwägung Funktionsumfang ./. Sicherheit • Einsatz von VPN basierend auf IPsec • Einsatz von SSL mit Client Zertifikat • Betrieb einer PKI Prof. Dr. Bernhard Stütz Security 14 Fachhochschule Stralsund Fachbereich Elektrotechnik und Informatik Firewall Systeme DMZ LAN Server Innerer Firewall Äußerer Firewall Prof. Dr. Bernhard Stütz Switch Gateway Security 15 Fachhochschule Stralsund Fachbereich Elektrotechnik und Informatik Virtual Vault • Sicherheit durch Trennung von Programmen mit Zugriff von außen und Programmen mit Zugriff nach innen • Kommunikation dieser Programme über definierte Gateways • Vorteil – Schwächen in Implementierung der „Outside“ Programme können nicht zum Zugriff auf Daten des Intranets missbraucht werden SYSTEM_HI INSIDE OUTSIDE Security Attacks contained here! gateway Web Server HTML Pages CGIs, JAVA CGIs Trusted Operating System Prof. Dr. Bernhard Stütz Security 16 Fachhochschule Stralsund Fachbereich Elektrotechnik und Informatik Sicherheitsempfehlungen • Clientseite: – Einsatz von Security-Devices wie Smartcard-Reader mit Display und Tastatur oder in Zukunft Handys mit Bluetooth • Netzseite – Einsatz von VPN wo möglich – Firewall mit Virenscanner, Intrusion-Detection – Verschlüsselte und signierte E-Mail • Serverseite – Spezielle Sicherheitssysteme wie Virtual Vault – SSL Beschleunigerkarten mit Schlüsselspeicherung • Verzeichnisdienste, Meta-Directories • PKI Prof. Dr. Bernhard Stütz Security 17 Fachhochschule Stralsund Fachbereich Elektrotechnik und Informatik Schlussfolgerungen • • • • • • • • • Keine Software ohne Fehler – das wird so bleiben Firewall schützt keine Anwendungen auf DMZ Servern Bei Eindringen in DMZ Server sind oft alle Datenbanken offen Virenscanner schützen nicht vor Implementierungsfehlern sondern nur – wenn überhaupt- vor dem Ausnutzen dieser Fehler Clientschutz geht nur über zusätzliche Security Devices Standardisierung unbedingt in Frühphase nötig – siehe HBCI Debakel Netzwerkschutz ist für geschlossene Netze mit VPN oder SSL möglich Schutz vor Denial of Service Attacken ist schwierig Serverschutz ist mit speziellen Sicherheitsarchitekturen wesentlich erleichtert und führt bei Fehlern nicht zur Katastrophe • Sparen am falschen Platz kann teuer werden Prof. Dr. Bernhard Stütz Security 18
