Zentrum für sichere Informationstechnologie – Austria

Kontextbezogener Datenaustausch

Kategorie: Cloud Computing, eGovernment, IT-Sicherheit

In diesem Projekt wurde eine Token-Struktur definiert, die eine multilaterale und flexible Definition von Autorisierungsanforderungen ermöglicht. Insbesondere zielt diese Struktur, die fortgeschrittene Anforderungen im Bezug auf die Expressivität, Kontextsensitivität sowie die Anpassbarkeit von Autorisierungen zu unterstützen. Weiters haben wir die entsprechende Softwarekomponenten entwickelt, die die Gestaltung, die Analyse sowie die Integration von dieser Struktur unterstützen. Anhand eines Prototyps und einer Fallstudie demonstrieren wir die praktische Anwendung sowie die Vorteile unseres Vorschlags für das Sicherheitsmanagement von domainübergreifenden Datenaustausche.

Flexible Zweifaktor-Authentifizierung mit FIDO

Kategorie: Elektronische Signatur, IT-Sicherheit

FIDO Universal Second Factor (U2F) ist ein Industriestandard für eine generell verwendbare Zweifaktor-Authentifizierung. Unter Verwendung eines USB-Security-Tokens können sich BenutzerInnen gegenüber einer Vielzahl von Webdiensten authentifizieren. Ein wesentliches Merkmal des U2F-Konzepts besteht darin, dass das entsprechende Hardware-Element zum Zeitpunkt eines Anmeldeverfahrens physisch mit dem Computer verbunden ist, sodass der Web-Browser über eine geeignete Schnittstelle damit unmittelbar interagieren kann.
Der weiten Anwendbarkeit von FIDO U2F steht entgegen, dass für die Verwendung bislang zwingend ein zertifiziertes Hardware-Element benötigt wird. Dies tritt beispielsweise bei einer U2F-Anmeldung über Smartphones in den Vordergrund, mit welchen sich typischerweise keine USB-Tokens verbinden lassen. Oft ist mangels Unterstützung auch ein Zugriff über NFC keine probate Alternative.
Weiter lesen…

13

Juli

2016

Serverlösungen zu Cloud-based Mobile Augmentation

Kategorie: Cloud Computing, IT-Sicherheit

Trotz der Tatsache, dass mobile Endgeräte immer leistungsfähiger werden, sind sie nach wie vor in ihrer Funktionalität eingeschränkt. Eine erhöhte Leistungsfähigkeit geht einher mit erhöhtem Stromverbrauch und führt somit zu einer erheblichen Reduktion der Gerätelaufzeit. Aus diesem Grund wurden in den letzten Jahren Frameworks bekannt, die es ermöglichen, dynamisch Rechenleistung von anderen Recheneinheiten zu verwenden in den letzten Jahren bekannt. Diese verfügbaren Frameworks nutzen aber bei Weitem nicht das Potential dieser Technologie aus. Bestehende Lösungen sind meist nur mit einer (Cloud-basierten) Recheneinheit fix verbunden und verwenden diese bei Bedarf.
Weiter lesen…

14

Juni

2016

Dynamische Schlüsselverwendungsrichtlinien

Kategorie: Cloud Computing, IT-Sicherheit

Immer mehr Daten und Ressourcen werden in die Cloud ausgelagert. Auch kryptografische Schlüssel profitieren mittlerweile von den Vorteilen der Cloud. Aktuell verwendete Authentifizierungsmethoden und Abwehrstrategien schaffen es aber oft nicht, Angriffe abzuwehren aber gleichzeitig dem rechtmäßigen Benutzer weiterhin das Service anzubieten. Vielmehr muss der Benutzer oft manuelle Schritte unternehmen, um das Service wieder nutzen zu können. Dadurch bleiben Denial-of-Service Angriffe gegen Benutzer wirksam.

Weiter lesen…

Zertifikats-Status

Kategorie: Elektronische Signatur

Das Zertifikatsstatustool ermöglicht das einfache Abfragen und Anzeigen von Status- bzw. Widerrufsinformationen von Zertifikaten basierend auf manuell konfigurierbaren Trust-Anchor und der EU Trusted Lists of Certification Service Providers (TSL). Zusätzlich sind LDAP Verzeichnisabfragen nach Personen und Seriennummern von Zertifikaten möglich. Die verwendeten LDAP-Verzeichnisdienste sind konfigurierbar, wobei eine Reihe vorkonfigurierter Dienste bereits mitgeliefert wird (insbesondere jene, die bei österreichischen Bürgerkarten eingesetzt werden). Die Liste der konfigurierten Dienste kann zentral über eine Online-Updatefunktion gewartet werden. Unabhängig davon, kann die Konfiguration auch lokal geändert und erweitert werden. Weiters können Widerrufslisten lokal gespeichert werden. Version 3.2.0 integriert einen interaktiven TSL-Explorer

Weiter lesen…

12

Mai

2016

Sicherheitsmanagement von API-basiertem Datenaustausch

Kategorie: Cloud Computing, IT-Sicherheit

Sicherheitsanforderungen – insbesondere jene zur Vertraulichkeit – erfordern IT-Prozesse mit dem Least-Privilege-Prinzip. Das aktuell breit verwendete Autorisierungsprotokoll OAuth 2.0 entspricht diesen Anforderungen nur teilweise. Etwa entfällt wegen frei definierbarer und dienstleisterabhängiger Darstellung von Access-Scopes praktisch die Möglichkeit, die Zugriffsbeschränkungen und -Autorisierungen strukturiert, granular und interoperabel darzustellen. Dieses Problem betrifft insbesondere domänenübergreifenden Datenaustausch, da die Sicherheitsmaßnahmen in verschiedenen Organisationen nur teilweise angewandt werden können.

Im Rahmen des DISSECT Workshops bei der IEEE/IFIP NOMS Konferenz hat Bojan Suzic eine Architektur, sowie erste Ergebnisse präsentiert. Der vorgeschlagene Ansatz behandelt das Sicherheitsmanagement von API Interaktionen. Die Perspektiven von Dienstanbietern, Klienten und Dateninhaber werden in betrachtet, um die kontextuelle Abhängigkeit bei Datenaustausch, sowie die Granularität und Interoperabilität bei Sicherheitsmanagementprozessen, zu ermöglichen.

30

April

2016

Ontologien im E-Government

Kategorie: eGovernment

Ontologie-basierte Konzepte finden vor allem im Kontext von Semantic-Web-Anwendungen starke Verbreitung und sind darüber hinaus im Fokus zahlreicher Forschungsaktivitäten. Deren Fähigkeit, gespeicherte und verarbeitete Daten um eine semantische Komponente zu erweitern, ermöglicht zahlreiche Einsatzmöglichkeiten und Anwendungsszenarien.
Weiter lesen…

18

April

2016

Sichere Integration in der Cloud

Kategorie: Cloud Computing, IT-Sicherheit

Neue Produkte zu Cloud-Integrationsplattformen (iPaaS) leisten einen Mehrwert durch die Integration von diversen Cloud-Diensten von Drittparteien. Somit bietet ein Dienstleister einen Cloud-Dienst an, der die verschiedenen Produkte oder Dienste von anderen Anbietern und Organisationen zusammenfasst, verwendet und orchestriert. Dieses Konzept setzt voraus, dass die Interaktionen, Datenflüsse, Austausche und Dienstverwendungen in einer komplexen, durch verschiedene Domäne fließenden Umgebung stattfinden. Jedoch breitet die daraus resultierende Komplexität die sämtliche Angriffsoberfläche aus und erhöht das Sicherheitsrisiko von gesamten Interaktionen.

Im Rahmen von der Konferenz ACM SAC 2016 hat Bojan Suzic am 7. April 2016 eine Veröffentlichung präsentiert, die das Thema von Sicherer Integration in der Cloud, und insbesondere aus den Perspektiven von Protokollen, Integrationsplattformen sowie Sicherheitsanforderungen, analysiert.

17

März

2016

Privatsphäre-Auswirkungen neuer Web-Technologien

Kategorie: IT-Sicherheit

In dieser Kurzstudie werden bestehende Web-Tracking Technologien und Methoden aufgezeigt. Basierend auf diesen Methoden werden zwei neue Web Technologien, Web Sockets und WebRTC analysiert, mit Hinblick auf Auswirkungen auf die Privatsphäre von Benutzerinnen und Benutzern. Unter Verwendung dieser neuen Web Technologien werden vier Szenarien entwickelt, die einerseits die Privatsphäre von Benutzerinnen und Benutzern gefährden und andererseits die unbemerkte Identifikation von einzelnen Benutzerinnen und Benutzern erheblich „verbessern“ können.
Weiter lesen…

Sicherheitsempfehlungen für Behörden

Kategorie: eGovernment, IT-Sicherheit

Kryptographie ist ein mächtiges Werkzeug, das – richtig eingesetzt – die Vertraulichkeit, Integrität und Authentizität elektronisch gespeicherter, verarbeiteter und übertragener Daten gewährleistet. Elektronische internetbasierte Dienste aus sicherheitskritischen Bereichen wie E-Government oder E-Banking wären ohne die Verwendung kryptographischer Methoden unmöglich. Die korrekte Verwendung kryptographischer Methoden ist daher unter anderem auch für Behörden von zentraler Bedeutung.
Weiter lesen…