Sicherheit in Rechnernetzen: - Professur Datenschutz und ...

24
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
23
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
2.2.2 Zugangskontrolle
?
Unter Zugangskontrolle versteht man, daß ein IT-System die Identitäten seiner Kommunikationspartner
erfragt, prüft und nur mit berechtigten Partnern weiterkommuniziert. Es verhindert so
unbefugte Inanspruchnahme seiner Betriebsmittel und ggf. auch noch wesentlich Schlimmeres.
Es ist bemerkenswert, daß diese Identitäten für viele Dienste nicht an die Identität einer natürlichen
Person gekoppelt sein müssen, sondern daß mit sogenannten Pseudonymen gearbeitet werden kann
[Chau_87, PWP_90]. Wie dies möglich ist, wird in §6 erläutert.
Es sei darauf hingewiesen, daß es sich wie bei Identifikation auch bei Zugangskontrolle um ein
symmetrisches Problem handelt. Auch der Mensch wird in der Regel Interesse daran haben, seine
Zeit nicht mit ihn nasführenden IT-Systemen zu verbringen oder ihnen gar seine Geheimnisse zu
verraten.
Gehäuse
Siegel
Hologramm
Verschmutzung
Paßwort
Antworten auf Fragen
Rechenergebnisse für Zahlen
ist
Was es
2.2.3 Zugriffskontrolle
weiß
Unter Zugriffskontrolle versteht man, daß ein IT-System auch berechtigten Partnern nicht alles
erlaubt: Jedes Subjekt (Mensch, IT-System, Prozeß) hat nur bestimmte Rechte, Operationen auf
Objekten (Prozesse, Daten, Peripherie-Geräte, etc.) auszuführen. Ein möglichst kleiner und gut
abgegrenzter Teil des IT-Systems kontrolliert vor Ausführung aller Operationen, ob ihr Urheber die
dafür nötigen Rechte hat. Dieser Teil des IT-Systems wird Zugriffsmonitor genannt, vgl. Bild 2-5.
Der Zugriffsmonitor merkt sich ihm vorgelegte oder implizit entstehende Rechte und muß auch deren
Ungültigwerden erkennen.
Die Rechtevergabe selbst wird üblicherweise Autorisierung (authorization) genannt. Sie muß
natürlich mindestens so gut geschützt werden wie der eigentliche Zugriff auf die Objekte.
Da man leider meist nicht im voraus genau genug weiß oder formal spezifizieren will, wer unter
welchen Umständen was darf, und deshalb die Rechte im IT-System eigentlich zu großzügig
einräumt, hat der Zugriffsmonitor oftmals auch die Aufgabe, alle oder zumindest eine geeignete
Auswahl der Operationen zu protokollieren. Hat ein Datenschutzbeauftragter19 geeignete Programme
zur Auswertung der Protokolle zur Verfügung, so kann man hoffen, daß er Übertretungen der nur in
der Umwelt des IT-Systems definierten Rechte erkennen und ggf. Konsequenzen veranlassen kann.
steht
Wo es
Bild 2-3: Identifikation von IT-Systemen durch Menschen
Ein IT-System kann ein anderes IT-System daran erkennen, was es weiß und woher die Leitung
kommt, vgl. Bild 2-4. Letzteres mag zwischen ICs auf derselben Platine eine genügend wirksame
Identifikation sein, ist in offenen Kommunikationsnetzen aber völlig unzureichend.
Wichtig ist, daß zwischen IT-Systemen nicht nur vergleichsweise unsichere Verfahren wie Paßwort,
Frage-Antwort-Dialoge und Challenge-Response-Systeme wie „Geschickt wird Zahl, erwartet
wird Rechenergebnis“ möglich sind, sondern auch kryptographische Protokolle hoher Komplexität
und Sicherheit. Ein Beispiel für letzteres:
IT-System 1 generiert eine Zufallszahl, sendet sie IT-System 2 und erwartet eine Verschlüsselung
mit einem nur diesen beiden IT-Systemen bekannten Schlüssel einer vereinbarten symmetrischen
Blockchiffre18 . Hat IT-System 1 die erwartete Verschlüsselung erhalten, „kennt“ es
IT-System 2. Entsprechend kann IT-System 2 das IT-System 1 identifizieren. (In Aufgabe 3-
18a finden Sie einen Hinweis auf Angriffe, die hierdurch nicht abgewehrt werden.)
Zugriffsmonitor
Benutzer-
Prozeß
?
Daten,
Programme
Berechtigung
prüfen;
Urheber und
Operation
protokollieren
Paßwort
Antworten auf Fragen
Rechenergebnisse für Zahlen
Kryptographie
weiß
Was es
Bild 2-5: Zugriffskontrolle durch Zugriffsmonitor
woher
Leitung
Zweierlei sei hervorgehoben:
Bild 2-4: Identifikation von IT-Systemen durch IT-Systeme
können, ohne daß dadurch selbst einem adaptiven aktiven Angreifer (vgl. §3.1.3.2) ein Brechen des Systems
gelingen sollte.
19
Wenn es nicht um personenbezogene Information geht und Datenschutz eng verstanden wird, sollte man den weniger
18
Bei gegebenem Alphabet ver- bzw. entschlüsselt eine Blockchiffre Blöcke fester Länge, während eine
Stromchiffre dies mit Zeichenketten beliebiger Länge kann, vgl. §3.8. Blockchiffren haben in der Regel
Schlüssel fester Länge (z.B. 128 Bit lang), mit denen Millionen von Blöcken ver- bzw. entschlüsselt werden
üblichen Begriff Sicherheitsbeauftragter verwenden.