Sicherheit in Rechnernetzen: - Professur Datenschutz und ...

370
A. Pfitzmann: Datensicherheit und Kryptographie; Lösungen, TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
369
A. Pfitzmann: Datensicherheit und Kryptographie; Lösungen, TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
Vertraulichkeit kann dadurch gefährdet werden, daß Daten weitgehend frei bewegt werden
können, was eine Kontrolle erschwert und sogar in Frage stellt, daß es zu jedem Zeitpunkt
eine juristisch verantwortliche Instanz, im Datenschutzrecht „speichernde Stelle“ genannt, gibt.
Integrität und Verfügbarkeit können dadurch gefährdet werden, daß für Fehler und Angriffe
mehr Ansatzpunkte bestehen. Man denke an Verbindungsleitungen oder gar Funkstrecken, die
physisch schwer zu schützen sind, oder an die vielen Rechner, die größtenteils an nicht
überwachten Plätzen stehen.
b) Räumliche Verteilung unterstützt besonders die Verfügbarkeit trotz physischer Gewalt.
Verteilung bzgl. Kontroll- und Implementierungsstruktur unterstützt besonders Vertraulichkeit
und Integrität.
Lösungen
Lösungen zur Einführung
1-3 Vor- und Nachteile eines offenen Systems bzgl. Sicherheit
a) Vorteile:
Offene Systeme können leichter zu kooperierenden verteilten Systemen verbunden werden.
Dadurch können die oben ausgeführten Vorteile eines verteilten Systems bzgl. Sicherheit leichter
erreicht werden. Insbesondere wird durch das kompatible äußere Verhalten offener
(Sub-)Systeme der Aufbau eines Gesamtsystems aus bzgl. Entwerfer, Produzent und
Wartungsdienst diversitären (Sub-)Systemen erleichtert. Wie in §1.2.2 erläutert, kann
Diversität die Sicherheit stark erhöhen.
Nachteile:
Offene Systeme können leichter zu kooperierenden verteilten Systemen verbunden werden.
Dadurch können die oben ausgeführten Nachteile eines verteilten Systems bzgl. Sicherheit
leichter erreicht werden. Insbesondere wird ein Benutzer eines offenen Rechnernetzes nicht
wissen, wer alles in welcher Rolle an diesem offenen System welche Rechte (oder auch
illegale Möglichkeiten) hat.
b) Sie verstärken sich gegenseitig, d.h. alles für verteilte Systeme oder offene Systeme Gesagte
gilt für verteilte offene Systeme besonders.
1-1 Zusammenhang zwischen räumlicher Verteilung und Verteilung bzgl. Kontrollund
Implementierungsstruktur
Räumlich verteilte IT-Systeme erlauben üblicherweise Eingaben an mehreren Stellen. Diese
Eingaben haben (werden sie nicht ignoriert) Auswirkungen auf den Systemzustand. Wollte man
eine zentrale Kontrollstruktur mittels einer Instanz mit globaler Systemsicht realisieren, müßte ihr
jede Eingabe mitgeteilt und erst dann der Zustandsübergang vollzogen werden. Da die Geschwindigkeit
der Übermittlung von Information durch die Lichtgeschwindigkeit (etwa 300000 km/s)
begrenzt ist und heutige Rechner Verarbeitungsgeschwindigkeiten jenseits von 107 Befehl/s
erreichen, wird bereits ab
300000 km/s
107 = 30 m/Befehl,
Befehl/s
also einer Übertragungsentfernung von nur 30 m, potentiell mehr Zeit für die Informationsübertragung
als für die Informationsverarbeitung benötigt. 140 Da die Verarbeitungsgeschwindigkeit
weiter steigt (wozu bekanntlich die Strukturgrößen kleiner werden), es sich bei der Lichtgeschwindigkeit
aber um eine Naturkonstante handelt, wird dieses Argument immer wichtiger.
Physische Wartung ist in einem räumlich verteilten IT-System besonders aufwendig, insbesondere
wenn sie direkt nach einem Ausfall erfolgen muß. Bezüglich ihrer Kontroll- und Implementierungsstruktur
verteilt realisierte IT-Systeme bieten, da bei Ausfall einzelner Subsysteme nicht
das ganze IT-System ausfällt, die Möglichkeit, Wartungsmaßnahmen zu einem geeigneten
Zeitpunkt später durchzuführen.
Weitere Argumente finden Sie bei der Lösung der Aufgabe 1-2.
1-4 Vor- und Nachteile eines diensteintegrierenden Systems bzgl. Sicherheit
a) Vorteile:
Diensteintegrierende Systeme dürfen, da ihre Kosten auf mehrere Dienste verteilt werden können,
mehr kosten. Dies erlaubt relativ mehr Aufwand bzgl. Sicherheit. Dies kann einerseits
einen sorgfältigeren Entwurf und dessen genauere Prüfung (z.B. auf Trojanische Pferde) ermöglichen.
Andererseits kann mit mehr Redundanz zur Steigerung der Verfügbarkeit gearbeitet
werden, etwa zusätzlichen alternativen Übertragungsleitungen oder gar Funkstrecken in
Kommunikationsnetzen. Auch sind die ziemlich aufwendigen Verfahren zum Schutz der
Anonymität von Sender und/oder Empfänger, vgl. §5, möglicherweise eher realisierbar.
Nachteile:
Wird in einem diensteintegrierenden System eine Sicherheitseigenschaft verletzt, so dürfte dies
gleich mehrere Dienste betreffen. Der Schaden ist also besonders groß. Dies ist katastrophal,
wenn es keine Ersatzsysteme mehr gibt, es sich also um ein total diensteintegrierendes (=
alternativloses) System handelt, vgl. [RWHP_89, Pfit_89 Seite 213ff].
Zugang zum diensteintegrierenden System muß grundsätzlich auch Teilnehmern gestattet sein,
die nur einen Teil der angebotenen Dienste nutzen. Für die nichtgenutzten Dienste stellen diese
Teilnehmer dann ein unnötiges Sicherheitsrisiko dar.
b) Diensteintegration eskaliert unabhängig vom Systemtyp alles Gesagte, insbesondere auch alles
über verteilte offene Systeme Gesagte.
1-2 Vor- und Nachteile eines verteilten Systems bzgl. Sicherheit
a) Vorteile:
Vertraulichkeit kann dadurch unterstützt werden, daß jeder seine Daten in seiner physischen
Verfügungsgewalt behalten kann – Ende der informationellen Fremdbestimmung: Es ist nicht
mehr nötig, die eigenen Daten wegzugeben und auf das Beste zu hoffen.
Integrität kann dadurch unterstützt werden, daß jeder seine Daten vor jedem Zugriff anderer
selbst vorgelegt bekommt und ihre Richtigkeit bestätigen oder ihre Falschheit belegen kann.
Dieses Vorlegen muß nicht unbedingt dem Menschen gegenüber geschehen, sein PC kann so
programmiert werden, daß er dies stellvertretend leistet. Außerdem kann Protokollierung verteilt
erfolgen, so daß eine Fälschung oder Unterdrückung der Protokollierung erschwert wird.
Verfügbarkeit kann dadurch unterstützt werden, daß es z.B. für Sprengstoffanschläge oder
logische Bomben keine zentralen und alle Daten gefährdenden Angriffspunkte mehr gibt.
Nachteile:
140
Hier kann mensch einwenden, es wären nicht die Befehle der Rechner, sondern die Befehle ihrer Benutzer, der
Menschen, zu betrachten, wodurch sich auch bei hektischer Bedienung ein deutlich anderes Bild ergäbe. Aus meiner
Sicht ist dies aber nicht angemessen: Da es nicht darum geht, ob aus der Sicht der Benutzer es sich um ein verteiltes
System handelt, sondern um die Implementierungsstruktur, also mindestens eine Betrachtungsebene tiefer, müssen
schon Maschinenoperationen als Einheiten genommen werden.
Ein weiterer Einwand könnte nun sein, daß nicht Maschinenbefehle, sondern etwa Plattenzugriffe als Operationen
genommen werden müssen, da erst sie den Zustandswechsel persistent (dauerhaft) machen und vorher aus Gründen
der Fehlertoleranz sowieso rückgesetzt werden können muß. Dies ist zwar eine richtige Sicht bzgl. der
Systemgestaltung – nur wurde dabei genau eine verteilte Kontroll- und Implementierungsstruktur einzelner Rechner
bzw. Prozesse eingeführt.