Notizen
Bildschirmpräsentation
Gliederung
1
Sicherheit in Protokollen
  • Christopher Semturs
  • e9725616@student.tuwien.ac.at
2
Agenda
  • Einführung
  • SSL – Verschlüsselung im Protokoll
  • Digitale Zertifikate
  • SET & Co
  • Ende / Diskussion
3
Einführung Agenda
  • Warum Sicherheit in Protokollen
  • Gesetzliche Grundlagen
  • Sicherheit mit Zertifizierung
4
Einführung – Warum Sicherheit
  • Verschlüsselung sensibler Daten
    Beispiel: SV-Card, Online-Banking
  • Staatssicherheit
    Beispiel: Nachrichtenübermittlung im Kriegsfall
  • Verifizierung des Ursprungs von Nachrichten, z.B. Verträge
5
Einführung - Gesetz
  • Verschlüsselung fällt unter das Waffengesetz
  • Exportprobleme aus Amerika, z.B. mit „Schurkenstaaten“ generell kein Handel mit Waffen erlaubt.
  • Importprobleme in Frankreich (40 Bit)
6
Einführung - Zertifizierung
  • Verschlüsselung auch mit Zertifizierung verbunden
  • SSL-Verschlüsselung wird oftmals mit einer Zertifizierung des Handelspartners verbunden (ähnlich wie Gewerbeschein)
  • Mehr dazu später
7
Agenda
  • Einführung
  • SSL – Verschlüsselung im Protokoll
  • Digitale Zertifikate
  • SET & Co
  • Ende / Diskussion
8
SSL Agenda
  • Was ist SSL
  • Public/Private Key Prinzip
  • Derzeitige Einsatzgebiete
9
SSL – Was ist SSL
  • Wurde eingeführt von Netscape zur Verschlüsselung des Transportes von Daten im Internet (siehe http://home.netscape.com/eng/ssl3/)
  • Setzt direkt auf TCP auf
  • „Verpackt“ darüberliegende Protokolle, z.B. http, smtp, imap, …
10
SSL – Was ist SSL
  • Wird von allen modernen Clients unterstützt, meistens eingesetzt im Web-Bereich
  • Im Web-Browser: Erkennbar an https://... Und einem Symbol für Verschlüsselung
  • Implementiert, um das „Mitlauschen“ von Daten zu verhindern.
11
SSL – Public/Private Key
  • Verschlüsselung der Daten mit Public/Private Key Prinzip
  • Verwendung dieses Prinzips vor allem auch wegen möglicher Implementierung von Zertifizierung und digitalen Signaturen
  • Bitlänge bestimmt Güte der Verschlüsselung (derzeit: 128 Bit)
12
SSL – Public/Private Key
  • Jeder Rechner erstellt ein Public/Private Key Paar, was zwei Primzahlen sind.
  • Wenn etwas mit dem Public Key verschlüsselt wird, kann es mit dem Private Key entschlüsselt werden, und andersrum.
  • Die Public Keys werden gegenseitig ausgetauscht
13
SSL – Public/Private Key
  • Rechner A will Daten zu Rechner B schicken – er verschlüsselt die Daten mit dem Public Key von Rechner B und sendet ihm diese.
  • Nur Rechner B kann Daten entschlüsseln – ein „Mitlauscher“ ist außen vor.
  • Von Rechner B zu Rechner A das gleiche.
14
Einsatzgebiete
  • Intranet-Web-Applikationen von außerhalb zugänglich machen (z.B. Webmail)
  • Online-Banking
  • Allgemein alle e-commerce-Transaktionen.
15
Agenda
  • Einführung
  • SSL – Verschlüsselung im Protokoll
  • Digitale Zertifikate
  • SET & Co
  • Ende / Diskussion
16
Zertifikate Agenda
  • Was sind digitale Zertifikate
  • Technische Grundlagen
  • Wie bekommt man ein Zertifikat für seine Website
  • Rechtliche Grundlagen
  • Einsatzgebiete
17
Zertifikate – Was sind …
  • Digitale Zertifikate bestätigen den Ursprung der Website / der E-Mail / des auszuführenden Codes
  • Ermöglicht sicheren Handel bzw. sicheres Ausführen von Code
  • Zentrale Zertifizierungsstellen vergeben die Zertifikate
18
Zertifikate – Was sind …
  • Funktioniert wieder nach dem Public/Private Key Prinzip
  • Daten sind mit dem Private Key der vertrauenden Instanz (z.B. Verisign) signiert und können nur mit dem dazugehörigen Public Key decodiert werden
  • Immer nur auf begrenzte Zeit gültig, muss jährlich oder zweijährlich verlängert werden
19
Zertifikate – Technische Grundlagen
  • Wurzelzertifikate von allen Major Thrusting Authorities sind in Browsern mitgeliefert
  • Wenn Wurzelzertifikat fehlt, wird Website als nicht vertrauenswürdig eingestuft
20
Zertifikate – Einrichtung Web
  • Am Web-Server einen Request erzeugen
  • Vorgehensweise je nach Webserver verschieden. Genauere Anleitungen unter http://www.thawte.com/support/server/softwaredocs.html.
  • Ergebnis: Public/Private Key Paar und ein Certification Request File.
21
Zertifikate – Einrichtung Web
  • Anmeldung bei Major Authority, z.B. Thawte oder Verisign
  • Zur Anmeldung werden benötigt – Kontaktdaten, Gewerbeschein, Kreditkarte, …
  • Anmeldeprozedur bis zur Ausstellung des Zertifikats dauert ca. 4-5 Tage
22
Zertifikate – Einrichtung Web
  • Neues Zertifikat-File auf den lokalen Webserver einspielen
  • Zertifikat jährlich erneuern (jedes Zertifikat hat Ablaufdatum)
  • Fertig!
23
Zertifikate – Einrichtung Mail
  • Public/Private Key Paar wird komplett von der Thrusting Authority erstellt
  • Download über den eigenen Mail-Client (z.B. Outlook Express, Lotus Notes)
  • Benötigt wird: Kontaktdaten, Passnummer, Kreditkarte, viel Geduld
24
Zertifikate – Rechtliche Grundlagen
  • Signaturen von Thawte und Verisign sind in Österreich nicht rechtlich bindend – nur „Imagesache“
  • Datakom mit A-Sign in Österreich derzeit einziger Anbieter von rechtlich verbindenden Signaturen (http://www.datakom.at)
  • Aber: Root-Zertifikat nicht im Browser
25
Zertifikate – Einsatzgebiete
  • Website (https)
  • E-Mail (Signatur / Verschlüsselung) – wird von den meisten Mail-Clients unterstützt (Stichwort S/MIME)
  • Code-Signierung – für Ausführung aktiver Inhalte im Web-Browser
  • SV-Card („Bürgerkarte“)
26
Agenda
  • Einführung
  • SSL – Verschlüsselung im Protokoll
  • Digitale Zertifikate
  • SET & Co
  • Ende / Diskussion
27
SET & Co Agenda
  • Was ist SET
  • SET Implementierung
  • SET Vorteile
  • IP – Schwächen
  • IPv6 – was ist neu
  • IPv6 – Methoden
28
SET & Co – Was ist SET
  • Offener Sicherheitsstandard für Online Geld-Transaktionen
  • Entwickelt von VISA und Mastercard
  • Informationen über die Transaktion nur der Kreditkartenfirma und die Vertragspartner
  • Gültigkeit der Kreditkarte (Überziehung, prinzipielle Gültigkeit) wird garantiert
29
SET & Co – SET Implementierung
  • Clientlösung wie eine Art Bankomat – Software mit Anbindung über ISDN an Kreditkartenfirma
  • Serverlösung unter http://www.qenta.com verfügbar – spart Kosten, Kommunikation über HTTP-Requests
30
SET Vorteile
  • Garantiert dem Händler die Korrektheit der Buchung
  • Erspart manuelle Nachbuchung zur Kreditkartenfirma (wird online direkt gemacht)
  • Wird von VISA und Mastercard als Vertrauensmerkmal beworben
31
SET & Co – IP Schwächen
  • DNS-System kann umgeleitet werden
  • Connection Spoofing („Dazwischenhängen“ mit gefälschter Adresse)
  • Mails im Klartext übertragen (smtp)
  • Absenderadresse eines Paketes fälschbar => wirkt, als ob es aus dem Intranet kommt
32
SET & Co – IPv6 Neuerungen
  • Entwicklung seit 10 Jahren
  • Protokoll liefert Verschlüsselung mit auf Protokollebene (ipSEC)
  • Public/Private Key Prinzip auch auf Protokollebene (Internet Key Exchange, RFC2409)
33
SET & Co – IPv6 Methoden
  • AH – Authentication Header – entspricht der digitalen Signatur
  • ESP – Encapsulating Security Payload – entspricht der Verschlüsselung
34
Agenda
  • Einführung
  • SSL – Verschlüsselung im Protokoll
  • Digitale Zertifikate
  • SET & Co
  • Ende / Diskussion