Professional Audio | Video | Mediaproduktion

Internet

Security Engineering – A Guide to Building Dependable Distributed Systems

Daniel BlumDaniel Blum2015-06-12 22:49:52+0200 – Updated: 2015-06-12 22:49:52+0200
Gut geschrieben

Originally shared by Kristian Köhntopp

Identifikation, Authentisierung, Autorisierung

Wenn ich mit einem Computersystem arbeite, dann tu ich das ja nicht direkt, sondern der Rechner repräsentiert mich intern mit einer Kennung, einer User-ID oder einem Namen. Ich bin etwa der User mit der UID 500 und dem Namen „kris“. Programme, die ich starte, laufen unter dieser Kennung und führen Operationen im System in meinem Auftrag aus.

Solche Identifier, Usernamen und User-IDs, müssen eindeutig sein, damit User voneinander unterscheidbar sind. Sie sind natürlich nicht global eindeutig – Du kannst auf Deinem System UID 500 haben und „kris“ heißen und ich auf meinem. Aber sie müssen innerhalb eines Namensraumes und einer Verwaltungseinheit (‚administrative domain‘) eindeutig sein.

Wenn mein Rechner alleine läuft und keine Medien mit anderen Rechnern tauscht, dann bin ich „hier“ halt kris und Du dort. Wenn wir beide aber unsere Rechner zusammenschalten und etwa ein gemeinsames Netzwerklaufwerk verwenden, dann sind wir beide Teil eines größeren Systems und müssen uns entscheiden, wer hier UID 500 und wer 501 hat und wer hier „kris“ und wer „kkoehntopp“ ist.

Solche Umbenennungen und Umnummerierungen sind häufig und problematisch, wann immer Verwaltungseinheiten zusammengelegt werden, etwa im Rahmen von Firmenaufkäufen, Systemvernetzungen und anderen Dingen, die Netze und Netzwerkstrukturen verändern.

Vielfach schreibt man dann auch nicht den unqualifizierten Usernamen („kris“), sondern den Namen der Verwaltungseinheit mit dazu – je nach System mit Punkten, Strichen oder @-Zeichen abgetrennt. Dann ist man halt KOEHNTOPP\KRIS und ANDEREFAMILIE\KRIS oder man ist kris@koehntopp.de und kris@anderefamilie.ch oder was immer die Konvention im verwendeten System ist.

Wenn ich mich bei einem System anmelde, dann tu ich das mit diesem Namen. Ich behaupte, kris zu sein. Das ist meine Identifikation.

Natürlich glaubt die Karre mir das nicht. Sie will, daß ich beweise kris zu sein. Das ist die Authentisierung. Ich muß also zeigen, daß ich der wahre, echte und reine Kris bin und nicht irgendein zweitklassiger Ersatz.

Das kann ich tun, indem ich ein Geheimnis weiß, daß ich und nur ich kenne – das Paßwort, die PIN, das Sesame-öffne-Dich, das Zauberwort. Das ist das übliche Login mit einem Paßwort.

Ich kann das auch tun, indem ich etwas habe und vorzeige, das nur ich habe und das schwer zu duplizieren ist. Das kann eine Chipkarte sein, oder etwa mein Haustürschlüssel.

Wenn ich den nicht dabei habe, dann komme ich bei mir daheim nicht rein: Ich muß mich an meiner Wohnungstür durch Besitz (und korrekten Gebrauch, Du Saufnase!) des Schlüssels authentisieren. Meine Wohnungstür unterscheidet dabei nicht zwischen verschiedenen Identitäten – meine Frau und ich haben identische Schlüssel und die Tür öffnet sich für jeden, der einen passenden Schlüssel hat.

Bei Türkarten an einer Uni ist das zum Beispiel anders – solche Schlüsselkarten sind alle unterschiedlich und die Tür hat eine Liste von ‚passenden‘ Schlüsseln für diese Tür. Jede Tür kann eine andere Liste von Schlüsseln haben, die ‚passen‘.

Eine weitere Möglichkeit zu beweisen wer man ist, wäre die Eigenschaften von mir zu messen und mich an meinem blenden Aussehen, meinen strahlenden Augen, den markanten Linien meines Kinns oder meiner Fingerkuppen zu erkennen oder andere einmalige Eigenschaften von mir zu wissen und mich daran zu erkennen und von anderen, billigen Imitationen von mir zu unterschieden.

Damit haben wir unterschiedliche Faktoren zur Authentisierung – durch geheimes Wissen, durch Besitz schwer fälschbarer Dinge und durch bestimmtes, einmaliges Sein.

Wenn ich mich bei einem Rechner durch Behauptung („Ich bin kris!“) und Beweis („Das geheime Paßwort heißt ‚Flipperwaldt gersput‘!“) anmelde, dann ist das eine Einfaktor-Authentisierung. Brauche ich außerdem noch zusätzlich einen bestimmten https://www.amazon.de/Plug-up-FIDO-U2F-U2F-SK-01-Security/dp/B00OGPO3ZS, dem ich dem Rechner reinstecke, dann ist das eine Zweifaktor-Authentisierung.

Das ist eine feine Sache, weil sie verhindert, daß jemand anders mit Kenntnis meines Paßwortes einfach meinen Account übernehmen kann. Stattdessen bräuchte ein Angreifer mein Paßwort und müßte mir den Fido-Key stehlen. Das ist insbesondere für einen physisch nicht anwesenden Angreifer sehr schwer, das heißt, solche Zweifaktor-Authentisierung wendet sich insbesondere gegen https://de.wikipedia.org/wiki/Phishing.

Wenn Ihr Google-Dingsi verwendet und noch keinen solchen Fido-Key habt, pausiert ihr hier mal mit dem Lesen und kauft eben schnell so einen. Das Ding ist spottbillig und verhindert sehr sicher, daß Euch der Account abgephisht wird. Ich warte mit dem Text hier solange auf Euch.

Hier ist noch einmal die URL:
https://www.amazon.de/Plug-up-FIDO-U2F-U2F-SK-01-Security/dp/B00OGPO3ZS

Wieder da? Gut.

Wenn ich jetzt also behauptet habe, kris zu sein und mir die Möhre das endlich glaubt, dann muß sie sich entscheiden, was ihr das Wert ist. Also, wo darf kris ran und was darf kris machen – das ist meine Autorisierung.

Solche Berechtigungen, die kris hat, kann man nett in Dreiergruppen notieren, also als Sätze mit einem Subjekt, einem Verb und einem Objekt. Da heißt es dann, „kris (subjekt) darf ~/notizen.txt (objekt) vi’en (Verb, ‚mit dem Editor vi bearbeiten‘)“, oder kürzer (kris, vi, ~/notizen.txt). Wir lernen: Subjekte sind immer User-Identitäten, Objekte sind Dinge im Rechner, meist Files, auf die zugegriffen wird und Verben sind Programme, mit denen der Zugriff erfolgt.

In den meisten Fällen ist das Verb ein Wildcard, also ‚mit jedem beliebigen Programm‘. „Kris darf mit ~/notizen.txt machen was immer er will“. Manchmal ist das nicht der Fall. Ich darf zum Beispiel mein Userpasswort in /etc/shadow nicht mit vi ändern, denn ich darf als kris /etc/shadow weder lesen noch schreiben. Aber ich kann das Paßwort darin mit dem Programm passwd ändern.

Es ist also (kris, *, ~/notizen.txt), aber es ist nur (kris, /bin/passwd, /etc/shadow). Und es ist dann so, daß /bin/passwd durch nur das Paßwort von kris ändern wird, wenn ich, kris, das Programm aufrufe, aber nicht das Paßwort von anderen Usern. Dumm gelaufen, denn mit vi könnte ich in der Shadow-Datei nach belieben rum treckern und auch Dein Paßwort ändern.

Ich kann die Rechte, die kris hat, jetzt entweder am Objekt notieren, dann sind das Permissions. An der Datei ~/notizen.txt steht dann halt „kris darf die lesen und schreiben und sonst keiner“ und an der Türsteuerung jedes Schlosses steht eine Liste von Schlüsselcodes, die die Tür öffnen (auf der Schlüsselkarte steht nur eine Türkarten-Nummer, eine Identität).

Oder ich kann solche Dinge am User notieren, dann sind es Capabilities. Am User steht dann halt dran „kris darf die folgenden Dateien lesen: $LISTE“ (so eine C2-Security Extension für OS/2 hat das mal so herum aufgezogen) oder auf der Schlüsselkarte steht signiert und unfälschbar hinterlegt eine Liste der Türen-Nummern, also Objektidentitäten, durch die Kris durchgehen darf. An der Tür muß nichts hinterlegt sein außer dem Root-Cert der Signatur, damit die Daten auf der Karte geprüft werden können.

„Da will ich mehr drüber lernen“ Guckst Du hier: https://www.cl.cam.ac.uk/~rja14/book.html Die Second Edition. Das ist spannend, lehrreich und gut geschrieben, was bei diesem Thema in dieser Combo eher selten ist.

Security Engineering – A Guide to Building Dependable Distributed Systems

Geteilt mit: Öffentlich

Thomas Bindewald – 2015-06-12 23:25:13+0200

und von allem: Das Buch ist frei downloadbar. …..

Beware: Free Antivirus Isn’t Really Free Anymore

Daniel BlumDaniel Blum2015-06-07 13:34:45+0200 – Updated: 2015-06-07 13:34:45+0200

Kostenfreie Antiviren-Tools? – Naja, nicht wirklich …

Geteilt mit: Öffentlich

Jawbone sues Fitbit for poaching employees with access to confidential information

Daniel BlumDaniel Blum2015-05-28 07:35:08+0200 – Updated: 2015-05-28 07:35:08+0200
genau deshalb share ich keine Daten mit anderen Apps…
Edit: man prüft sowieso als erstes was die App für Berechtigungen will und dann, egal wie hippster das ist, überlegt man bitte genau ob das sinnvoll ist Daten freizugeben. Egal ob das Freunde oder die Krankenkasse ist die einem da billigere Tarife anbietet – die Daten sind Geld wert und sagen viel über das leben des Menschen aus. Es ist dumm zu meinen da wird schon nix passieren

Originally shared by Android Central

Jawbone has sued Fitbit over claims of poaching employees with access to sensitive information. Fitness wearable maker Jawbone has sued rival company Fitbit over claims that the latter poached employees with access to sensitive information about Jawbone’s upcoming products. #android

Jawbone sues Fitbit for poaching employees with access to confidential information

Geteilt mit: Öffentlich

Daniel BlumDaniel Blum2015-06-23 15:13:40+0200 – Updated: 2015-06-23 15:13:40+0200

Lesenswert

Fitness Tracker im Sicherheitstest

Test: Fitness-Armbänder legen Daten offen

Straußeneier…

Daniel BlumDaniel Blum2015-05-18 06:48:45+0200 – Updated: 2015-05-18 08:14:46+0200
Moin – jetzt erst mal ein paar Straußeneier… roh natürlich ^.^
Geteilt mit: Öffentlich

Sebastian Schmidt – 2015-05-18 07:08:14+0200

Bei der Vorstellung bekommt auch jeder Arzt nen nervenzusammenbruch 🙂
Die Cholesterinwerte 😛

Daniel Blum – 2015-05-18 08:15:18+0200

+Mike Henniger issmir doch glatt das u abgehaun ^.^

Malware Mumblehard missbraucht Linux-Server als Spambots

Daniel BlumDaniel Blum2015-05-01 06:39:22+0200 – Updated: 2015-05-01 06:39:22+0200

Loool – gibt ja keine Viren für Linux gell

ZDNet.de: Malware Mumblehard missbraucht Linux-Server als Spambots. https://google.com/newsstand/s/CBIw552IzSE

ZDNet.de | Alle Seiten der IT

Geteilt mit: Öffentlich, Daniel Blum, Roland Tapken
+1’d by: Jens

Jens – 2015-05-01 06:42:56+0200 – Updated: 2015-05-01 06:43:20+0200

„Dazu sucht sich die Malware gezielt mit Linux oder BSD betriebene Server, auf denen veraltete Installationen von WordPress oder Joomla laufen.“ Drecks WordPress 😀

Daniel Blum – 2015-05-01 06:59:05+0200 – Updated: 2015-05-01 06:59:42+0200

naja .. es sucht nicht nach windows wo ein wordpress drauf läuft…

Axel Pöppel – 2015-05-01 08:03:32+0200

Es gab auch lange keine oder fast keine Viren für Apple …

Roland Tapken – 2015-05-01 08:23:20+0200 – Updated: 2015-05-01 08:23:48+0200

Eigentlich gab es Viren AKA Rootkits schon immer für Linux. Sie schaffen es nur nicht sonderlich gut sich in diesem Ökosystem zu verbreiten. Denn selbst wenn sie Zugang zur Maschine erlangen müssen sie dort in der Regel noch ihre Privilegien eskalieren um wirklich effektiv zu sein. Auch Mumblehard hat ja offenbar nur ein paar tausend Server befallen, das ist im Verhältnis gesehen gar nichts.

Daniel Blum – 2015-05-01 08:32:01+0200

+Roland Tapken es gibt immer noch „IT Profis“ die meinen das eine Schutzsoftware für Lunix Derivate totaaal überflüssig ist und denen könnte ich den Arsch aufreißen und solche News ins Hirn implantieren – Verbreitung könnte wesentlich eingedämmt werden wenn sich nicht jeder Admin dagegen wehren würde

Es geht auch nicht darum jeden X beliebigen Zero Day Patch einzuspielen

Aber es würde warnen und blocken und das reicht ja meistens schon

Admins sind faul das weiß jeder …

Daniel Blum – 2015-05-01 08:34:12+0200

Und wenn ich ein WordPress auf einem Hoster installiere gehe ich davon aus dass der verfickte Hoster seinen Scheiß pflegt

Roland Tapken – 2015-05-01 10:22:54+0200

+Daniel Blum​ Schutzsoftware ist tatsächlich nur mäßig effektiv. Entweder sie funktioniert wie ein klassischer Virenscanner, kann dann aber nur mehr oder weniger bekannte Schädlinge identifizieren. Oder es ist ein generischer Ansatz wie SELinux, der einen sehr hohen administrativen Aufwand erfordert bis alles läuft.

Eine ordentlich durchdachte Konfiguration mit separaten Rechten für die Prozesse, ggf chroot und mount-Parameter wie noexec für durch den Prozess beschreibbare Verzeichnisse, das deaktivieren nicht benötigter Dienste und das einigermaßen zeitnahe Einspielung von Updates hält einem auch ohne separate Schutzsoftware das meiste vom Hals.

Daniel Blum – 2015-05-01 10:42:27+0200

+Roland Tapken mag sein aber es soll ja auch solche Software geben welche Bot Artige Aktivitäten aufspüren kann … auch für Lunix

Nur wer will schon Logs ansehen

Vorsicht vor den mobilen Assistenzsystemen

Daniel BlumDaniel Blum2015-04-28 16:27:20+0200 – Updated: 2015-04-28 16:27:20+0200

Egal was man davon hält (ob Gut oder Schlecht) – Blindes Vertrauen ist nie gut!

ZITAT :
Ein beliebtes Sprichwort in der IT lautet: Wenn es nichts kostet, dann bist du die Ware….

Vorsicht vor den mobilen Assistenzsystemen – PC-WELT

Geteilt mit: Öffentlich, Sebastian Schmidt

Sebastian Schmidt – 2015-04-28 17:08:26+0200

Wobei mn oft leider bei denen die wahre ist wenn es was kostet.

Ich sag immer „was zu Geld gemacht werden kann, wird auch zu Geld gemacht egal wie moralisch verwerflich es ist“

Daniel Blum – 2015-04-28 17:11:24+0200 – Updated: 2015-04-28 17:15:02+0200

+Sebastian Schmidt​​ ist ja richtig aber egal wie toll diese Assistenzsysteme sind und wie bequem das alles ist sollte man trotzdem nicht alles Preisgeben – Google will nicht böse sein aber wenn sich jemand an die Daten kommt kann der …

Ich bin fleißig hinter her nicht zu viel bei Google (o.Ä.) zu speichern – schon gar nicht meine WLAN Passwörter


https://androidmag.de/news/apps-news/google-now-holt-sich-informationen-von-70-android-apps/

Kategorien