P301 - Sicherheit 2020 - Sicherheit, Schutz und Zuverlässigkeit
Autor*innen mit den meisten Dokumenten
Auflistung nach:
Neueste Veröffentlichungen
- TextdokumentVorwort(SICHERHEIT 2020, 2020) Reinhardt, Delphine; Langweg, Hanno; Witt, Bernhard C.; Fischer, Mathias
- KonferenzbeitragUrheberrecht ./. Sicherheitsanalyse(SICHERHEIT 2020, 2020) Müller, Nico; Müller, Tilo; Freiling, Felix2007 hat die Bundesregierung im Rahmen des 41. Strafrechtsänderungsgesetzes zur Bekämpfung von Computerkriminalität den umstrittenen Tatbestand des Ausspähens und Abfangens von Daten, inklusive deren Vorbereitung, unter Strafe gestellt. Durch das schon damals äußerst umstrittene Gesetz drohte die Tätigkeit von Sicherheitsforschern kriminalisiert zu werden, weswegen eine Klarstellung der Gesetzeslage durch eine Verfassungsbeschwerde erzwungen wurde. Jedoch wird neben der strafrechtlichen Relevanz von Sicherheitsanalysen oftmals die zivilrechtliche Seite des Urheberrechts übersehen, die eine beinahe ebenso große Bedrohung für Forscher darstellt, die sich kritisch mit der Sicherheit von Software auseinandersetzen. Im Folgenden soll daher die rechtliche Lage zu Sicherheitsanalysen kommerzieller Software für Forschungszwecke erörtert und die existierenden Grauzonen rechtlicher Unsicherheit ausgeleuchtet werden.
- KonferenzbeitragInformationssicherheit für KRITIS-Betreiber: Kritische Dienstleistungen systematisch schützen(SICHERHEIT 2020, 2020) Greven, FraukeDer Aufbau und Betrieb eines erfolgreichen Informations-Sicherheits-Management-Systems beginnt mit der passgenauen Festlegung des zu schützenden Geltungsbereichs und der Definition konkreter Schutzziele. Sie sind der Ausgangspunkt für eine ganzheitliche Risikobeurteilung und die Auswahl sowie Umsetzung geeigneter Schutzmaßnahmen. Seit 2017 sind Betreiber Kritischer Infrastrukturen verpflichtet, gegenüber dem Bundesamt für Sicherheit in der Informationstechnik (BSI) die Umsetzung angemessener technischer und organisatorischer Maßnahmen zum Schutz ihrer kritischen Dienstleistungen (kDl) nachzuweisen. Eine wichtige Arbeitshilfe stellen dabei die von KRITIS-Betreibern bzw. Branchenverbänden entwickelten und vom BSI als geeignet festgestellten Branchenspezifischen Sicherheitsstandards (B3S) dar. Das BSI unterstützt Interessierte mit einem Workshop-Konzept dabei, den Geltungsbereich auf die branchenspezifischen kDl zu fokussieren und entsprechende KRITIS- und IT-Schutzziele abzuleiten. Die Ergebnisse erleichtern KRITIS-Betreibern, ihren individuellen Geltungsbereich für die alle zwei Jahre erforderlichen Nachweise gemäß §8a (3) BSIG festzulegen. Damit kann erreicht werden, dass notwendige Prüfungen wie Sicherheitsaudits und Zertifizierungen zielgerichtet mit möglichst wenig personellem und finanziellem Aufwand durchgeführt werden können.
- KonferenzbeitragA Survey on Sender Identification Methodologies for the Controller Area Network(SICHERHEIT 2020, 2020) Kneib, MarcelThe connectivity of modern vehicles is constantly increasing and consequently also the amount of attack vectors. Researchers have shown that it is possible to access internal vehicle communication via wireless connections, allowing the manipulation of safety-critical functions such as brakes and steering. If a Electronic Control Unit (ECU) can be compromised and is connected to the internal vehicle bus, attacks on the vehicle can be carried out in particular by impersonating other bus participants. Problematic is that the Controller Area Network (CAN), the most commonly used bus technology for internal vehicle communication, does not provide trustworthy information about the sender. Thus ECUs are not able to recognize whether a received message was sent by an authorized sender. Due to the limited applicability of cryptographic measures for the CAN, sender identification methods were presented that can determine the sender of a received message based on physical characteristics. Such approaches can increase the security of internal vehicle networks so that, for example, the manipulations can be limited to a single bus segment, thus preventing the propagation of the attack. This paper presents the different methodologies, which can mainly be divided into the categories time- and voltage-based, identifies problems as well as open questions and compares the existing approaches. The work thus offers an introduction into the topic, identifies possible research fields and enables a quick evaluation of the existing technologies.
- KonferenzbeitragSchwachstellen und Angriffsketten in der Wertschöpfungskette der Fleischproduktion(SICHERHEIT 2020, 2020) Hofmeier, Manfred; Lechner, UlrikeIm Rahmen des Deutsch-Österreichischen Forschungsprojekts NutriSafe (Sicherheit in der Lebensmittelproduktion und -logistik durch die Distributed-Ledger-Technologie) wurde eine Analyse zur Identifikation von relevanten Schwachstellen und Angriffsketten in Wertschöpfungsketten von Lebensmitteln durchgeführt. Die vorliegende Arbeit beschreibt die Analyse der IT-Infrastrukturen von fiktiven, aber der Realität nachempfundenen Akteuren der Wertschöpfungskette, basierend auf einem der Szenarien des NutriSafe-Projekts. Ergebnisse sind Beziehungen von Gefährdungen zu IT-Infrastrukturen und Modelle von Angriffsketten in Form von Attack Trees.
- KonferenzbeitragCryptoCAN – Ensuring Confidentiality in Controller Area Networks for Agriculture(SICHERHEIT 2020, 2020) Zimmermann, Till; Bauer, Jan; Aschenbruck, NilsThe Controller Area Network (CAN) bus is widely used in existing machinery. Facing more and more vertical integration with more complex devices and integration into public communication networks, its nature as a broadcast-only system without security measures poses serious risks to confidentiality of transmitted data. In this paper, we propose a Lightweight, Length Preserving and Robust Confidentiality Solution (LLPR-CS) to retrofit encryption in existing systems, while maintaining full interoperability with these systems. The overhead of our approach is negligible. Therefore, it can be used with existing hardware. By reinterpreting unused bits in the CAN frame format of the ISO 11898 standard, it is possible to build a fully transparent encrypted tunnel in non-confidential network parts, while keeping the ability to decrypt all traffic in an out-of-band-system without knowledge of specific cryptographic state details. By conducting a performance evaluation, we highlight the benefits of LLPR-CS and discuss its advantages compared to existing approaches.
- KonferenzbeitragAnalyzing PeerFlow – A Bandwidth Estimation System for Untrustworthy Environments(SICHERHEIT 2020, 2020) Mitseva, Asya; Engel, Thomas; Panchenko, AndriyTor is the most popular low-latency anonymization network comprising over 7,000 nodes run by volunteers. To balance the user traffic load over the diverse resource capabilities of these nodes, Tor guides users to choose nodes in proportion to their available bandwidth. However, self-reported bandwidth values are not trustworthy. Recently, a new bandwidth measurement system, PeerFlow, has been proposed aiming to solve the Tor bandwidth estimation problem. In this work, we introduce the first practical analysis of PeerFlow. We proposed a set of strategies for the practical realization of probation periods in PeerFlow and showed that many Tor nodes cannot recover to their normal state after one measuring period. We also demonstrated that low-bandwidth adversaries gain significantly higher bandwidth estimates exceeding the theoretically defined security boundaries of PeerFlow.
- KonferenzbeitragPassive Angriffe auf kanalbasierten Schlüsselaustausch(SICHERHEIT 2020, 2020) Walther, Paul; Knauer, Robert; Strufe, ThorstenIm Bereich der Physical Layer Security stellt der Schlüsselaustausch auf Basis von Kanalreziprozität eine effiziente Methode der Schlüsselaushandlung dar. Eine zentrale Annahme ist, dass die gemessenen Kanaleigenschaften ein geteiltes Geheimnis darstellen, worauf die Schlüsselgenerierung basiert. In dieser Arbeit wird diese Grundannahme angegriffen, in dem mit Hilfe von deterministischen Kanalmodellen und dem Wissen über Raumgeometrie und Terminalpositionen diese Kanaleigenschaften approximiert werden. Es wird eine Methodik entwickelt, um derartige Angriffe zu bewerten und auf Basis des Kunisch-Pamp Modells werden Approximationen durchgeführt. Die Resultate zeigen, dass die rekonstruierten Kanaleigenschaften trotz nicht-optimaler Voraussetzung sehr stark mit den tatsächlichen korrelieren und dies einen validen Angriffsvektor darstellt.
- KonferenzbeitragContext-based Access Control and Trust Scores in Zero Trust Campus Networks(SICHERHEIT 2020, 2020) Lukaseder, Thomas; Halter, Maya; Kargl, FrankResearch networks are used daily by thousands of students and scientific staff for education and research and therefore have a large number of sensitive and valuable resources. The currently predominant perimeter security model is failing more and more often to provide sufficient protection against attackers. This paper analyses to what extent the zero trust model that is popular in some commercial networks can also be applied to the open and heterogeneous research network of a German university. The concept presented herein to implement such an identity-based network model focuses in particular on the components which are necessary for authentication and authorization. The feasibility of the model is demonstrated by a self-implemented prototype that protects access control to a prominent eLearning system called Moodle. Non-functional performance tests show an increase in performance compared to the current system where access control is only conducted inside the web application. The Zero Trust Model enables the determination of the trustworthiness of individual identities and thus offers valuable new ways to secure a research network.
- KonferenzbeitragSICHERHEIT 2020 - Komplettband(SICHERHEIT 2020, 2020)