Sicherheit

Einleitung

In diesem Artikel geht es nicht speziell um die Sicherheit in NeuroomNet sondern, da NeuroomNet ja ein Web basiertes Tool ist, um die Sicherheit von Web basierten Tools im Allgemeinen. Also darum, was man bedenken sollte, um ein System wie NeuroomNet sicher zu betreiben. Wir stehen Ihnen dabei in allen Fragen gerne mit Rat und Tat zur Seite, aber unten können sie sich schon einmal Anregungen einholen, was zu bedenken ist.

 

In Teil 2 (NeuroomNet Sicherheit Teil 2 ) geht es noch allgemeiner um die Aspekte von Web-Sicherheit.

Und in Teil 3 (Warum Daten verschlüsseln? [Link]) geht es ganz allgemein um die Philosophie dahinter.

 

Sicherheit ist ein zweischneidiges Schwert: Ist die Sicherheit zu hoch, wird der*die befugte Benutzer*in bei den Aufgaben so massiv behindert, dass die Akzeptanz deutlich leidet. Ist sie aber zu niedrig, kann das zu sehr ernsten Konsequenzen führen.
Das Internet ist in diesem Punkt auch wieder Fluch und Segen zugleich.
Die Verbreitung von Wissen ist eine große Stärke, damit wird aber auch die Kenntnis, wie man eine Sicherung eines Systems aushebeln kann, schnell verbreitet. Ebenso wie der Anschluss ans Internet selbst schon die Möglichkeit schafft, ein System bequem angreifen zu können. So können auf der anderen Seite bestimmte Teilsysteme automatisiert über das Internet aktuell gehalten und vor schädlichen Einflüssen bewahrt werden.
Wenn man also auf der sicheren Seite sein will, muss man mit der Zeit gehen und sein System den stetig steigenden Anforderungen entsprechend anpassen. Dabei gibt es Bereiche mit etwas Verschnaufpause, weil das Konzept schon sehr viel Sicherheit mitbringt. Andere Bereiche, passen sich automatisiert an (wenn es denn einen Zugang zum Internet gibt) und schließlich gibt es Bereiche, da muss man regelmäßig schauen, ob alles wie vorgesehen funktioniert oder passend reagieren.

Verschlüsseln

Ein sehr erfolgreiches und langlebiges Verfahren ist es, die Kommunikation zweier Parteien zu verschlüsseln. Damit kann ein*e Angreifer*in weder Rückschlüsse ziehen, noch die eigentlichen Daten ergattern. Wer hier mitlesen will, muss schon enormen Aufwand betreiben und hat es viel leichter z.B. an den Endpunkten der Kommunikation anzusetzen, also bevor es ver-/entschlüsselt wird. Denn moderne Verschlüsselung lässt sich immer noch nicht in kurzen Zeiträumen knacken. So können dann auch Daten über Verbindungen, die über das Internet, WLAN, Mobilfunk oder andere öffentlich einsehbare Netzwerke laufen ohne schlechtes Gewissen übertragen werden. Und dank ausgefeilter Mechanismen zur Etablierung der Verschlüsselung bekommt der*die Anwender*in das im besten Fall nicht einmal mit und stört sich auch nicht am täglichen Ablauf. Mit Ausnahme, wenn ein zeitliches Limit zur Erneuerung einer gesicherten Verbindung abgelaufen ist. Denn ein Teilaspekt der gesicherten Kommunikation ist es, die zugrunde liegenden Schlüssel zu erneuern, damit die langatmigen Angriffe erfolglos bleiben.

Firewall

Ein weiterer Teilaspekt eines langlebigen Sicherheitskonzeptes ist der Schutz der Endpunkte durch Firewalls. Eine Firewall ist ein Sicherungssystem, das ein Rechnernetz und einzelne Computer vor unerwünschten Netzwerkzugriffen schützt. Kurzum, ein modernes System muss mit verschlüsselter Kommunikation und geschützten Netzwerken umgehen können. Wenn die Haustür und die Fenster in Ihrem Haus die Firewall wären, dann wäre der Tresor, in dem Sie Ihre wertvollsten Dinge ablegen, die Verschlüsselung. 

Infrastruktur

Voraussetzung für das Verschlüsseln ist die Möglichkeit, den legitimen Teilnehmer*innen die Schlüssel sicher zukommen zu lassen und regelmäßig zu aktualisieren. Das wird mit Zuhilfenahme von sogenannten Zertifikaten erledigt. Ein Zertifikat kann mit einer Unterschrift (Signatur) glaubhaft machen, von wem, für wen und bis wann es ausgestellt wurde. Dabei unterscheidet man, ob ein Zertifikat öffentlich zugänglich sein muss oder ob es innerhalb eines abgeschlossenen Systems zum Einsatz kommt. Die zugrunde liegende Technik, und damit die Sicherheit, ist aber bei beiden Varianten identisch. 

Öffentliche Anwendung (CA-signed certificates)

Bei öffentlichen Anwendungen mit öffentlich zugänglichem Zertifikat, kommen spezialisierte Unternehmen zum Einsatz. Diese erteilen Zertifikate nur durch geprüfte und kostenpflichtige Anträge. So ein Zertifikat kann dann für einen bestimmten Zeitraum weiter verwendet werden, um eigene Systeme abzusichern und bedarf keiner besonderen Vorbereitung auf den Computern, die den*die Aussteller*in bereits kennen.
Die Laufzeit eines solchen Zertifikats ist derzeit auf 2 Jahre begrenzt und soll sogar auf 13 Monate verkürzt werden. 

Interne Anwendung (Self-signed certificates)

Bei internen Anwendungen kann ein selbst ausgestelltes Zertifikat genommen werden. Beim Ausstellen dieser Zertifikate kann man dann gewisse Grenzen überschreiten, um den administrativen Aufwand in seiner Häufigkeit zu verringern. Bei solchen internen Anwendungen muss aber zunächst eine Verwaltung dieser Zertifikate etabliert werden, sowie der*die Aussteller*in den Teilnehmer*innen bekannt gemacht werden. Dies ermöglicht den Anwender*innen (bzw. Computern) zu überprüfen, ob ein Zertifikat (noch) gültig ist oder mit einem neuen Zertifikat versorgt zu werden. Oft kommen sogar beide Zertifizierungssysteme (intern und extern) zum Einsatz, damit der Aufwand für die Anwender*innen möglichst gering bleibt oder weil es technisch sogar notwendig ist. 

Kosten und Nutzen

Grundsätzlich könnte alles über öffentliche Zertifizierungsstellen laufen, würde aber mehr Kosten verursachen. Auch könnte man alles mit internen Zertifizierungsstellen abwickeln, würde aber dann höhere Aufwände bei der Verteilung der Zertifikate im öffentlichen Raum verursachen. Davon abgesehen wäre das Installieren der internen Zertifikate ein zusätzlicher Aufwand für die Anwender*innen. Die Akzeptanz würde sehr schnell auf Null zurück gehen. 

Fazit

Damit alles möglichst reibungslos funktioniert, muss eine sogenannte PKI (Private-Key-Infrastructure) etabliert werden. Diese hilft bei der Verwaltung, Kontrolle und kann einzelne Aspekte automatisieren. Unterschiede gibt es durch die jeweils verwendeten Hersteller*innen. Ebenso bedarf es entsprechend geschultem Personal, das alles einzurichten und wie oben beschrieben, alle paar Jahre oder Monate zu erneuern. Die regelmäßige Installation erneuerter Zertifikate muss sichergestellt sein, da diese sich nicht selbst ersetzen können.

Je komplexer ein System wird, umso eher steigt die Notwendigkeit eine eigene Zertifizierungsstelle nebst PKI einzurichten. Die Zeiten von „Wir stecken mal eben alles in den Netzwerk-Switch“ sind vorbei, denn sonst kann jeder sich in die Verbindung schalten, alles nebst Anmeldedaten mitlesen und diese sogar während der Benutzung manipulieren (s. a. Man-in-the-Middle Attacke).