SiR Gedächtnisprotokol SS07

Gedächtnisprotokoll Sicherheit in Rechensystemen SS 2007

Welche Varianten er Zugangskontrolle zu einem Rechensystem kennen Sie?
Wie funktioniert der Passwortmechanismus bei Unix?

=> Ein neues Password wird mit einem Salt verkettet und mit Crypt(3) verschlüsselt gespeichert. Beim Vergleich wird m.H. der User-ID das Salt geholt und Crypt(3) des Passworts berechnet und mit dem gespeicherten Wert vergliechen.

Was ist zu beachten, wenn man sich über ein unsicheres Netz in seinen ,,Heimatrechner" einloggen möchte

=> Das Netz kann abgehört werden.

Welches formale Grundmodell haben wir zur Diskussion der Zugriffskontrolle zugrundegelegt?
Was sind die Vorzüge und Nachteile von Capabilities gegenüber Zugriffkontrolllisten?
Welche grundsätzlichen theoretischen Aussagen gibt es bezüglich der Frage, ob ein Subjekt in den Besitz eines Rechts an einem Objekt gelangen kann?
Was ist der Unterschied zwischen De-facto- und De-jure-Analyse im Take-Grant-Modell?

=> De-Facto prüft Zugriffsrechte => De-Jure prüft administrative Rechte

Erläutern Sie die Grundoperationen zur De-Facto- (De-Jure-) Analyse.
Welche Arten von Angriff sind auf eine Kommunikationsverbindung möglich und welche Gegenmaßnahmen kann man ergreifen?
Erläutern Sie und vergleichen Sie symmetrische und asymmetrische Verschlüsselungsverfahren?
Wie funktioniert die Schlüsselerzeugung beim RSA-Verfahren?

=> Man nimmt zuerst zwei Primzahlen P und Q => Dann berechnet man die Zahlen N und Z mit N = P*Q und Z = (P-1)*(Q-1) => Dann sucht man ein X, so dass X teilerfremd und kleiner Z => Dann sucht man ein Y, so dass es gilt: (X*Y)mod(Z)=Z', wo Z'={Z*0 + 1, Z*1 + 1, Z*2 + 1, ...} => SK ist dann das Paar (X, N) und PK ist das Paar (Y, N)

Wie kann man die Unverfälschtheit einer Nachricht sicherstellen?
Was versteht man unter einer Firewall und welche Typen kann man unterscheiden?
Wie sind die Regeln in einem Paketfilter aufgebaut?
Welche Ansatz verfolgt die Informationsflusskontrolle im Gegensatz zur Zugriffskontrolle?
Was versteht unter einem impliziten Informationsfluss?
Wie sollte ein ,,gutes" Passwort aussehen?
Wie kann man die Integrität von Capabilities im Speicher schützen?
Wie ist der Adressraumschutz in den Adressierungsmechanismus eingebaut?
Was ist ein Informationsflussmodell?
Was versteht man unter ,,Konfusion" und ,,Diffusion" bei einem Kryptoverfahren?
Wie funktioniert die Authentisierung in Kerberos?
Welche Anforderungen stellt man an die Sicherheit in vernetzten Systemen?
Was versteht man unter ,,Ringschutz"?
Erläutern Sie die Begriffe ,,Virus", ,,Wurm" und ,,Trojanisches Pferd".
Was sind die Bestandteile eines Sicherheitskonzepts?
Erläutern Sie den Authentisierungsmechanismus nach Needham-Schroeder.
Was leisten kryptographische Prüfsummen, was Hash-Funktionen?
Was versteht man unter code-basierter Zugriffskontrolle?
Nennen Sie einige allgemeine Prinzipien beim Entwurf sicherer Systeme (nach Saltzer und Schroeder).
Was versteht man unter Common Criteria (CC)?
Was ist die Idee einer Trusted Computing Base?
Erläutern Sie das Bell-LaPadula- Modell.
Was ist der Unterschied zwischen ECB und CBC bei der Verschlüsselung längerer Texte?
Was sind die Anforderungen an eine Digitale Signatur?
Was versteht man unter einer Public-Key-Infrastructure (PKI)?

Zusätzliche Fragen

An einem kleinen Beispiel soll vorgeführt werden wie imn Take-Grand-Modell ein Subjekt A von einem anderen Subjekt B sich ein Recht nehmen kann, obwohl B nur ein Take-Recht auf A hat.
Warum wird bei einer Firewall zusätzlich die Richtung des Pakets angegeben, lässt sich diese nicht aus der Sender- und Empfänger-IP-Adresse im IP-Header rekonstruieren?
Was sind Intrusion Detection Systeme? Welche Arten gibt es? Welche Vor- und Nachteile der unterschiedlichen Arten?