Computersicherheit

In diesem einleitenden Kapitel möchte ich Ihnen oder Dir einige Hintergründe zum Thema Computersicherheit liefern. Hierbei soll es sich aber nur um kurze Einführungen handeln und in keiner Weise erschöpfend sein. Wo es sinnvoll ist, versuche ich Sekundärliteratur zu empfehlen.

Allgemein beschreiben vier grundlegende Begriffe die Informationssicherheit. Diese sind zum Teil sogar in einem Standard festgelegt (ISO 17799, BS 7799). Da Computer Informationen (Daten) verarbeiten, können diese Begriffe direkt auf die Computersicherheit übertragen werden:

• Confidentiality
• Integrity
• Availibility

Diese Begriffe will ich kurz erläutern. Die Confidentiality beschreibt die Vertraulichkeit der Daten. Vertraulichkeit ist eines der vier wichtigsten Sachziele in der Informationssicherheit. Sie beschreibt die Eigenschaft eines Systems, berechtigten Subjekten den Zugriff auf bestimmte Objekte (häufig elektronische oder physische Dokumente) zu gestatten und unberechtigten Subjekten den Zugriff auf diese Objekte zu verwehren.

Unter Vertraulichkeit versteht man, dass eine Information nur für Befugte zugänglich ist, Unbefugte dagegen keinen Zugang zu der Information haben. So kann beispielsweise nur der Sender und Empfänger eine Nachricht im Klartext lesen.

Die Integrity (Integrität) beschreibt die Tatsache, dass Daten über einen bestimmten Zeitraum vollständig und unverändert sind. Eine Veränderung könnte absichtlich, unabsichtlich oder durch einen technischen Fehler auftreten.

Die Integrität von Daten ist also gewährleistet, wenn die Daten vom angegebenen Absender stammen und vollständig sowie unverändert an dem Empfänger übertragen worden sind.

Die Availability oder auch Verfügbarkeit bezeichnet die Fähigkeit auf die benötigten Daten jederzeit zugreifen zu können. Sie wird daher durch die Zuverlässigkeit des die Daten zur Verfügung stellenden Systems, als auch durch die Erreichbarkeit des Systems bestimmt.

Zusätzlich zu diesen drei Hauptzielen gibt es auch noch drei weitere Ziele, die hier nur kurz erwähnt werden sollen: Authentizität, Nichtabstreitbarkeit und Verbindlichkeit. Im weiteren will ich auf diese jedoch nicht mehr eingehen.

Allgemein werden diese Schutzziele bedroht. So kann es zu unautorisiertem Zugang kommen, falsche Daten können vorgetäuscht werden oder der Zugang zum System verhindert werden. Um diesen Bedrohungen zu begegnen, ist es zunächst erforderlich, diese genau zu ermitteln und dann eine Security Policy (Sicherheitsrichtlinie) zu erzeugen, die beschreibt, was erlaubt und verboten ist. Hierauf kann dann ein Sicherheitsmechanismus aufbauen und die Umsetzung der Sicherheitsrichtlinie erzwingen.

Computerbetriebssysteme verfügen seit vielen Jahren über die unterschiedlichsten Sicherheitsmechanismen, welche die Umsetzung von Sicherheitsrichtlinien erlauben. Hierbei handelt es sich meist um Discretionary Access Control Systeme. In einigen Umgebungen genügen diese einfachen Sicherheitsmechanismen nicht. Die hier gewünschten Security Policies erfordern umfangreichere und komplizierte Sicherheitsmechanimen. Hierzu gehören zum Beispiel militärische Anwendungen mit sehr hohen Geheimhaltungsanforderungen. Novell AppArmor und SELinux sind zwei konkurrierende Systeme, die derartige Security Policies umsetzen können. Dieses Buch beschäftigt sich mit der Erzeugung, Administration, Anpassung und Wartung dieser Security Policies.