Digitale Sicherheit: Verschlüsselung, OSI-Modell und Angriffsarten

Digitale Signatur und Verschlüsselung

Die digitale Signatur nutzt kryptographische Verfahren, um die Identität des Absenders in Nachrichten und Dokumenten zu gewährleisten. Sie verwendet zwei Schlüssel: einen öffentlichen und einen geheimen Schlüssel (KS). Eine Nachricht wird mit dem privaten Schlüssel (KS) signiert: F(M, Ks) = S.

Das PGP (Pretty Good Privacy) System dient zur Verschlüsselung und Entschlüsselung von Informationen zum Schutz über das Internet (einschließlich E-Mail) und anderer Dateien (z.B. auf Festplatten). Das System basiert auf öffentlichen Schlüsseln. Die IETF hat auf dieser Grundlage den OpenPGP-Standard geschaffen.

Triple DES (3DES oder TDES) ist ein Algorithmus, der eine dreifache DES-Verschlüsselung durchführt, was ihn deutlich sicherer als die einfache DES-Verschlüsselung macht. Er wurde 1978 von IBM entwickelt. Triple DES ist nicht unabhängig, da es nicht alle Unterklassen abdeckt. Da DES eine mathematische Gruppeneigenschaft besitzt, erhöht sich die effektive Schlüsselgröße, wenn derselbe Block zweimal mit zwei unterschiedlichen Schlüsseln verschlüsselt wird.

Das OSI-Modell und Sicherheitslücken

6. Präsentationsschicht: Ermöglicht der Anwendung, die Bedeutung der ausgetauschten Informationen zu deuten. Dies beinhaltet Formatkonvertierungen, die durch die Kommunikation zwischen Geräten erreicht werden.

5. Sitzungsschicht: Verwaltet den Dialog zwischen zwei Anwendungen und erbringt die notwendigen Dienstleistungen zur Schaffung, zum Datenfluss und zur Beendigung der Kommunikation.

4. Transportschicht: Stellt die Kontrolle und den Informationsaustausch von Ende zu Ende sicher. Sie ist das Herzstück der Protokollhierarchie, die den sicheren und wirtschaftlichen Datentransport ermöglicht.

Sicherheitslücken (Transportschicht): SYN-Flood - Ein Angreifer kann Pakete mit gesetztem SYN-Flag senden, um die Tabelle der halb geöffneten Verbindungen des Betriebssystems zu sättigen. Dies kann zu einem Denial-of-Service (DoS) führen.

3. Vermittlungsschicht: Stellt die Mittel zur Einrichtung, Pflege und zum Abbau von Verbindungen zwischen Endbenutzersystemen bereit. Sie ist die unterste Schicht, die sich mit der Ende-zu-Ende-Übertragung von Daten befasst.

Sicherheitslücken (Vermittlungsschicht): IP-Spoofing - Die Quell-IP-Adresse wird verzerrt (Datagramm), oft über eine private Adresse. Andere Angriffe sind: Injection von Routenpräfixen, IP-Fragmentierungsangriffe.

2. Sicherungsschicht: Sorgt für eine zuverlässige Übertragung über das Medium, Fehlerkontrolle, Flusskontrolle durch Sequenzierung und nutzt die Kapazitäten der Vermittlungsschicht.

Sicherheitslücken (Sicherungsschicht): MAC-Flooding - Sättigung des CAM (Content Addressable Memory) eines Switches, um ihn zum Verhalten eines Hubs zu zwingen. DHCP-Server-Spoofing - Ein Angreifer kann sich als DHCP-Server ausgeben und Netzwerkadressen zuweisen sowie als Router fungieren. ARP-Spoofing - Es werden gefälschte ARP-Nachrichten gesendet, um den Verkehr eines bestimmten Hosts umzuleiten.

1. Bitübertragungsschicht: Verantwortlich für die elektrischen, mechanischen, funktionalen und prozeduralen Sicherheitsvorkehrungen, die für die Übertragung von Datenbits zwischen den Endpunkten einer Kommunikationsverbindung erforderlich sind.

Arten von Angriffen

• MAC-Flooding: Sättigung des CAM (Content Addressable Memory) eines Switches, um ihn zum Verhalten eines Hubs zu zwingen.
• DHCP-Server-Spoofing: Ein Angreifer kann Auslöser eines DHCP-Servers sein, Netzwerkadressen zuweisen und sich als Router ausgeben.
• ARP-Spoofing: ARP-Nachrichten werden gefälscht gesendet, um den Verkehr eines bestimmten Hosts umzuleiten.
• WEP-Crack: Erlangung des Schlüsselwerts eines Wireless-Netzwerks, um Zugriff zu erhalten.
• IP-Spoofing: Die Quell-IP-Adresse wird verzerrt (Datagramm), in der Regel über eine private Adresse.
• Route-Präfix-Injektion: Durch Angriffe auf Routing-Protokolle wird ein Router dazu verleitet, Verkehr an falsche Netze zu leiten.
• IP-Fragmentierungsangriff: Spezielle Pakete mit inkonsistenten Fragmentwerten werden verwendet, um Firewalls zu umgehen.
• SYN-Flood: Ein Angreifer sendet Pakete mit gesetztem SYN-Flag, um die Tabelle der halb geöffneten Verbindungen des Betriebssystems zu sättigen. Dies kann zu einem Denial-of-Service (DoS) führen.
• Brute-Force-Angriff: Auf Servern mit Diensten wie SSH, FTP, HTTP (offen) wird häufig versucht, durch Ausprobieren von Benutzernamen (z.B. root, admin, ftp) und Passwörtern Zugriff zu erlangen.