Offene Systeme und Verlässlichkeit

1. Grundprobleme von Datenschutz und Datensicherheit

1.6 Offene Systeme und Verlässlichkeit

Informationstechnik heute: Offene und verteilte Systeme

Hardware (PCs - auch als Server, Workstations)
Betriebssysteme (UNIX, MS-Windows, MacOS)
Netze (lokale und globale Netze)

Ziele der Offenheit:

Herstellerunabhängigkeit,
Austauschbarkeit von Komponenten,
Einhalten von Standards,
Integrierbarkeit.

Nachteile:

Mangelnde Sicherheit,
kein Schutz durch Unwissenheit - die Systeme sind allgemein bekannt bis zum letzten Bit -,
leichte Zugänglichkeit,
ungeschützte Datenspeicherung und -übertragung.

Offene und geschlossene Systeme

[keine exakte Definition]

Geschlossenes System:

Auf jeder Ebene wird wirksam und zuverlässig verhindert, dass Unbefugte am System manipulieren können.
Es ist alles verboten und auch unmöglich, was nicht ausdrücklich erlaubt ist.
Es herrscht das Prinzip der minimalen Rechte (`need to know').

Offenes System:

Manipulationen werden nicht wirksam verhindert.
Es ist alles erlaubt, was nicht ausdrücklich verboten ist,
... und möglich ist sogar einiges mehr - Der kriminellen Energie werden keine nennenswerten Hindernisse in den Weg gestellt.

Verteilte Systeme

Programme und Daten über mehrere Rechner verteilt.

Beispiele:

Client-Server-Architekturen,
Netz-Dateisysteme (NFS, MS-Shares), SAN = Storage Area Networks, Internet-Filesystem, Auslagerung der Datenhaltung oder des Backups zu Internet-Dienstleistern,
verteilte Datenbanken,
elektronische Patientenakte im Krankenhaus-Informationssystem oder Ärztenetz,
Groupware,
World Wide Web,
Mobile Agenten,
Microsofts ».NET«.

Probleme:

Datenübertragung per Netz.
Echtheit der Kommunikationspartner.
Mangelnde technische Absicherung des »Besitzes«:
- Wo stehen die Daten physikalisch?
- Je weiter die Informationen verteilt sind, desto schwieriger wird ihr Schutz.
Komplizierte Vertrauensbeziehungen (Prinzip des schwächsten Gliedes).

... und noch mehr Probleme:

Mit der Verteilung der Informationsverarbeitung auf mehrere Systeme wird auch die Sicherheits-Verantwortlichkeit verteilt und schwerer zu überblicken.

Der Versuch, die Performanz des Gesamtsystems durch engere Kopplung der Teilsysteme zu verbessern, führt unweigerlich zu einer Erhöhung der Komplexität und damit zu geringerer Verlässlichkeit.

Die Fehlerbehandlung in einem verteilten System ist sehr komplex.

Verteilte Systeme sind sehr anfällig für DoS = »Denial-of-Service«-Attacken (Angriffe auf die Verfügbarkeit).
Leslie Lamport: A distributed system is one in which the failure of a computer you didn't even know existed can render your own computer unusable.

Verteilte Systeme sind sehr anfällig für die Verbreitung von Schadprogrammen (»Würmern«, »Viren«, »Trojanischen Pferden«).

Siehe auch:

Bruce Schneier: The Trojan Horse Race.
Mobile Object Systems.
Cryptographically Protected Objects.
prima - Privacy through Mobile Agents.
Uwe Georg Wilhelm: A Technical Approach to Privacy based on Mobile Agents Protected by Tamper-resistant Hardware.

Sicherheitsanforderungen in offenen und verteilten Systemen

Verschlüsselte Datenspeicherung.
Verschlüsselte Kommunikation (Datenübertragung).
Überprüfbare Zugriffskontrolle:
- systemweit definierte Zugriffsmatrix,
- dezentrale Rollenzuweisung.
Verbindlichkeit und Integrität von
- Informationserzeugung und -speicherung,
- Leistungsanforderungen an Server,
- Kommunikationsbeziehungen.
Abhör- und fälschungssichere Authentisierung von Kommunikationspartnern (Menschen und Maschinen).
Kontrolle der internen und externen Netzverbindungen.
Minimierung der Vertrauensannahmen.
Sicherheitsarchitektur (z. B. auf CORBA-Basis):
- Verteilte Objekte und Dienste, die
- mit Objekten kommunizieren, die Sicherheitsdienste anbieten
- auf der Basis kryptographischer Protokolle

Szenario:

Ein Server-Objekt erhält von einem Client-Objekt eine Anfrage nach einem Datensatz.
Das Client-Objekt weist sich mit Hilfe eines kryptographischen »Credentials« aus.
Das Server-Objekt prüft, ob das »Credential« von einer vertrauenswürdigen Instanz ausgestellt worden ist (TTP = Trusted Third Party Service) und ob der Client authentisch ist.
Das Server-Objekt fragt einen Berechtigungs-Dienst ab, ob der Client aufgrund von Zugriffsmatrix und Rollenzuweisung die nötigen Rechte hat (z. B. diensthabender Arzt)
... holt gegebenenfalls die angefragten Daten aus seinem verschlüsselten Datenspeicher
... und gibt sie über eine verschlüsselte Kommunikationsverbindung heraus.

Zusammenfassung

Daten- und Informationsverarbeitung sowie Kommunikation finden heute überwiegend in offenen Systemen statt. Diese Systeme sind ohne weitere Maßnahmen zunächst völlig unsicher.

Verarbeitung und Speicherung von Daten in solchen offenen Systemen ist mit den Datenschutzvorschriften und den Vorstellungen von Verlässlichkeit nicht zu vereinbaren.

Die wesentliche Grundlage für die Lösung dieser Probleme liegt in der Kryptologie.