Sicherheitsaspekte im Internet


Sicherheitsrisiken im Internet

Datenverschlüsselung

Firewalls


Sicherheitsrisiken im Internet

Durch die Anbindung von Rechnern und Netzwerken an das Internet besteht die Gefahr von Angriffen gegen diese Systeme. Verschiedene Arten der Sicherheitsrisiken werden im folgenden beschrieben.

Übertragung von Daten über das Internet

Bei der Übertragung von Datenpaketen über das Internet besteht die Gefahr, daß während des Transportes Datenpakete abgefangen werden und deren Inhalt entweder gelesen oder verändert wird. Zum Auslesen von Datenpaketen gibt es Programme, sogenannte "Paket-Sniffer", mit denen man sich den Inhalt von Paketen anzeigen lassen kann. Die Datenverschlüsselung ist eine Möglichkeit vertrauliche Daten über das Internet zu übertragen.

Wichtige Bereiche, bei denen Datensicherheit eine sehr große Rolle spielt, sind Internet-Banking und Online-Shopping. Zur Zeit werden Technologien in diesen Bereichen erprobt, die bei der Übertragung von vertraulichen Daten eine hohe Sicherheit bieten.

Viren

Durch das Herunterladen von Dateien, zum Beispiel mit FTP, kann ein Rechner mit Viren infiziert werden. Ein Virus ist ein Programm, das Datenbestände auf einem Rechner manipulieren kann. Die von einem Virus verursachten Schäden sind recht vielfältig. Manche Viren verändern Dateinamen oder die Dateigröße, andere zerstören den gesamten Datenbestand von Festplatten.
Wer Programme über das Internet herunterlädt, sollte vor der Installation des Programms die Dateien mit Antivirenprogrammen auf Vireninfektion überprüfen. Dabei ist zu beachten, daß immer die aktuellste Version der Software benutzt wird, damit auch neuere Viren gefunden werden können.
Wenn es möglich ist, sollten Programme und Treiber über den WWW- oder FTP-Server des Herstellers heruntergeladen werden.

Sicherheitsprobleme mit ActiveX

ActiveX ist eine von Microsoft entwickelte Technologie, mit der interaktive Aktionen zwischen Client und Server ablaufen können. Dazu werden sogenannte ActiveX-Controls in den WWW-Browser geladen. Das Problem bei den ActiveX-Controls ist, daß diese vollen Zugriff auf das System haben. Alle Aktionen, die der Benutzer an seinem Rechner über Tastatur oder Maus ausführt, können mit ActiveX-Controls ferngesteuert über das Netz erfolgen. Der Anwender muß noch nicht einmal etwas von dem Zugriff merken. Über die OLE-Schnittstelle (OLE - Object Linking and Embedding) können Dokumente manipuliert werden. Es ist auch möglich, daß ein Control über FTP eine ausführbare Datei auf den lokalen Rechner herunterlädt und diese dort startet. Diese Datei kann auf dem Rechner einen Virus aktivieren.

Standardmäßig ist der Microsoft Internet-Explorer so konfiguriert, daß er mit der hohen Sicherheitsstufe arbeitet. Das bedeutet, daß nur ActiveX-Controls ausgeführt werden dürfen, die zertifiziert sind. Dieses Zertifikat sagt nur aus, daß das Control unverändert übertragen wurde. Es bestätigt nicht, daß es "sicher" ist. Jeder Programmierer, der Controls programmiert, kann gegen eine Jahresgebühr eine Software von Microsoft erhalten, mit der er selbst die Controls zertifizieren kann.

Das Sicherheitsrisiko kann reduziert werden, indem alle ActiveX-Funktionen deaktiviert werden oder alle Komponenten die ActiveX nutzen deinstalliert werden.

Anfang des Jahres 1997 wurde im ARD-Magazin "Plusminus" ein Bericht gesendet, wie einem Hacker aus dem Umfeld des Hamburger Chaos Computer Club ein "virtueller Diebstahl" mittels der ActiveX-Technologie gelang.

 

Datenverschlüsselung

Die Datenverschlüsselung ist eine Methode, mit der vertrauliche Daten sicher über das Internet transportiert werden können. Es wird dabei zwischen der symmetrischen und der asymmetrischen Datenverschlüsselung unterschieden. Beide Verschlüsselungstechniken werden im folgenden vorgestellt.

symmetrische Datenverschlüsselung

Bei der symmetrischen Datenverschlüsselung wird ein einziger Schlüssel benutzt, der beim Sender und Empfänger einer verschlüsselten Nachricht bekannt sein muß. Das Problem bei diesem Verfahren ist, daß der benutzte Schlüssel den Empfänger auf einem sicheren Weg zugestellt werden muß.

Data Encryption Standard (DES)

Der Data Encryption Standard (DES) wurde in den siebziger Jahren von IBM für das National Bureau of Standards (NBS) entwickelt.
Zur Verschlüsselung benutzt DES einen 64 Bit langen Schlüssel ( durch 8 Paritybits beträgt die effektive Schlüssellänge 56 Bits) und konvertiert damit 64-Bit-Klartextblöcke in 64-Bit-Schlüsselblöcke.
Bei der Verschlüsselung wird der Klartext einer Reihe von Permutationen und Substitutionen unterworfen. Das Resultat wird im Anschluß durch ein logisches EXOR mit dem Ursprungstext verknüpft. Diese Verschlüsselungssequenz wird sechzehn Mal mit einer jedesmal unterschiedlichen Anordnung der Schlüsselbits wiederholt. Durch eine Dreifachverschlüsselung kann die Sicherheit erhöht werden. In diesem Fall wird eine Schlüssellänge von 112 Bits genutzt.

Weitere symmetrische Verschlüsselungsverfahren sind RC2 und RC4, bei denen je nach Sicherheitsanforderungen verschieden lange Schlüssel genutzt werden können.

 

asymmetrische Datenverschlüsselung

Bei der asymmetrischen Datenverschlüsselung (Public-Key-Kryptographieverfahren) werden zwei Schlüssel verwendet, ein geheimer und ein öffentlicher Schlüssel. Die beiden Schlüssel werden so konstruiert, daß eine mit dem öffentlichen Schlüssel (Public Key) verschlüsselte Nachricht nur mit dem korrespondierenden, geheimen Schlüssel (Secret Key) entschlüsselt werden kann.
Jeder Sender einer verschlüsselten Nachricht muß im Besitz des öffentlichen Schlüssels des Empfängers sein. Die Übermittlung des öffentlichen Schlüssels ist unproblematisch, weil man damit nur Nachrichten verschlüsseln kann (Abb. a) ).
Das Public-Key-Verfahren kann auch zum Nachweis der Authentizität einer Nachricht mit Hilfe einer digitalen Signatur benutzt werden. Dazu wird die Nachricht mit dem geheimen Schlüssel des Senders kodiert und kann vom Empfänger nur mit dem korrespondierenden öffentlichen Schlüssel entschlüsselt werden. Ist dies möglich, so muß die Nachricht vom Besitzer des geheimen Schlüssels stammen (Abb. b) ).
Beide Verfahren lassen sich auch kombinieren. Wird die Nachricht zuerst mit dem öffentlichen Schlüssel des Empfängers und dann mit dem eigenen geheimen Schlüssel kodiert, so ist sowohl die Vertraulichkeit als auch die Authentizität der Nachricht gewährleistet (Abb. c) ).

 

RSA Public-Key-Algorithmus

Das bekannteste und am weitesten verbreitete Public-Key-Verfahren ist der im Jahre 1978 entwickelte RSA-Algorithmus, der nach seinen Erfindern Ronald Rivest, Adi Shamir und Leonard Adleman benannt ist. Der Algorithmus basiert auf dem folgenden Prinzip:

Zuerst werden zwei sehr große Primzahlen P und Q gewählt (z.B. aus einer, aus 1024 Bit bestehenden Zahl). Dann wird eine Zahl E so bestimmt, daß E und (P-1)*(Q-1) teilerfremd sind, also nicht durch die gleiche Zahl (außer 1) ohne Rest teilbar sind. E muß keine Primzahl sein, jedoch ungerade.
Aus diesen drei Zahlen wird D errechnet, so daß (D*E-1) ganzzahlig durch (P-1)*(Q-1) geteilt werden kann. Die Verschlüsselungsfunktion ist wie folgt definiert:

C = ( TE ) mod n ( n = P*Q ; E, n öffentlich )

wobei T dem Klartext und C dem verschlüsselten Text entspricht. Entschlüsselt werden kann mit der Funktion

T = ( CD ) mod n ( n = P*Q ; D geheim, n öffentlich )

Daraus folgt, wenn für C wieder TE eingesetzt wird,

T = TDE mod n

folgt. Gemäß einem Satz von Euklid ist eine Zahl T, die zur Potenz von 1 plus einem Vielfachen von (P-1)*(Q-1) erhoben, und modulo P*Q genommen wird gleich T selbst.
Der öffentliche Schlüssel besteht aus dem Zahlenpaar (E,n), der geheime Schlüssel entspricht der Zahl D.

Im Vergleich ist DES bei Hardwareimplementationen um den Faktor 1000 bis 10000 schneller, bei Softwareimplementation etwa 100 mal schneller.

 

PGP (Pretty Good Privacy)

Die bekannteste Kryptographiesoftware, die mit dem RSA-Algorithmus arbeitet, ist das von Phil Zimmermann im Jahr 1991 entwickelte Programm PGP (Pretty Good Privacy). Es wird hauptsächlich für die Verschlüsselung von E-Mails genutzt. 1994 wurde am MIT unter Zusammenarbeit von Phil Zimmermann eine für nicht kommerzielle Nutzer lizenzfreie Version von PGP (2.6) erstellt. Diese Version darf nur innerhalb der USA genutzt werden. Der Norweger Staale Schuhmacher entwickelte daraufhin eine internationale PGP-Version (PGP 2.6.1i), die über www.ifi.uio.no/pgp/ erhältlich ist.

 

Rechtliche Grundlagen für Datenverschlüsselung

Zur Zeit gibt es noch keine einheitliche rechtliche Regelung über die Nutzung von Verschlüsselungsprogrammen im Internet. Das Problem dabei ist, daß zum einen die Privatsphäre des Anwenders gewahrt werden muß, auf der anderen Seite aber staatliche Sicherheitsbehörden ein Interesse daran haben, unter bestimmten Umständen ein Zugriff auf verschlüsselte Daten zu haben.
So existiert in den USA ein Ausfuhrverbot für bestimmte Verschlüsselungsprogamme, in Frankreich ist eine Verschlüsselung von Daten sogar verboten. In Deutschland wird die Verschlüsselung im Informations- und Kommunikationsdienste-Gesetz (IuKDG) reglementiert.

 

Firewall

Wird ein privates Netzwerk (z.B. Netzwerk eines Unternehmen) an das Internet angeschlossen, setzt man Firewalls ein, um das Netzwerk vor Angriffen von außen zu schützen. Ebenso kann man über ein Firewallsystem auch den Datenverkehr vom Netzwerk ins Internet reglementieren. Es können bestimmte Dienste oder der Zugriff auf bestimmte IP-Adressen gesperrt werden. Die Firewall muß der einzige Zugang vom lokalen Netz ins Internet sein, um einen ausreichenden Schutz vor Übergriffen zu bieten. Bei Firewallsystemen handelt es sich in der Regel um mehrere Hardware- und Softwarekomponenten, die je nach Sicherheitsanforderungen individuell konfiguriert werden.

Die Vorteile, die für einen Einsatz von Firewallsystemen sprechen, sind:

 

Zugriffskontrollsysteme

Bei Firewalls unterscheidet man drei verschiedene Zugriffskontrollsysteme, die alleine oder in Kombination zum Einsatz kommen.

Paketfilter:

Es handelt sich um Systeme, die in der Lage sind, Datenpakete nach Kriterien wie

zu filtern. Damit kann man bei korrekter Konfiguration einen ersten Schutz des Netzwerkes erzielen. Bei komplexen Netzwerken werden allerdings die Tabellen rasch unübersichtlich und fehlerhaft. Oft werden Paketfilter als zusätzlicher Schutz in Verbindung mit Circuit- und Application Relays genutzt. Da Paketfilter auf die Netzwerkschicht aufsetzen, können sie in Router integriert werden.

 

Circuit-Relays:

Eine deutliche Erhöhung der Netzwerksicherheit wird durch den Einsatz von Circuit-Relays erreicht. Circuit Relays ermöglichen den Betrieb von auf den Kommunikationsprotokollen TCP bzw. UDP aufsetzenden Applikationen wie WWW, Gopher, Telnet etc., ohne eine durchgehende Kommunikationsverbindung auf Protokollebene zuzulassen. Das Circuit-Relay fungiert quasi als Vermittlungsstelle für das betreffende Protokoll. Alle eingehenden Verbindungen enden hier und werden am gegenüberliegenden Ausgang wieder neu aufgebaut.

Application-Relays:

Bei Application-Relays kann für jeden Dienst (z.B. WWW, FTP, Gopher, etc.) getrennt festgelegt werden, ob dieser zulässig, nur in eine Richtung erlaubt oder ganz verboten ist. Sie verhalten sich aus Sicht der Clients wie ein Serversystem für den jeweiligen Dienst. Diese Systeme verwenden dazu in der Regel Proxy-Server. Der Nachteil dabei ist, daß die Client-Programme an das System angepaßt werden müssen.

 

Die Grenzen von Firewalls

Firewallsysteme sind lediglich in der Lage, Netzaktivitäten zwischen den Schichten 2 und 7 (Sicherungsschicht bis Anwendungsschicht) zu überwachen. Daten, die eventuell Viren enthalten und somit das interne Netzwerk bedrohen, können über eine Firewall nicht blockiert werden. Weiterhin muß gewährleistet sein, daß die Firewall die einzige Verbindung zwischen dem internen Netzwerk und dem Internet ist.

 


Inhaltsverzeichnis Personensuche im WWW Ausblick Glossar


FH Düsseldorf
Klaus Sack / 01.07.1997