Skip to main content
Fachgebiete
Automobil + Motoren Bauwesen + Immobilien Business IT + Informatik Elektrotechnik + Elektronik Energie + Nachhaltigkeit Finance + Banking Management + Führung Marketing + Vertrieb Maschinenbau + Werkstoffe Versicherung + Risiko
DE
EN
Bücher
Zeitschriften
Themenseiten
Organisationspsychologie Projektmanagement Marketing Smart Manufacturing
Weitere Formate
Podcasts Webinare Technik Webinare Wirtschaft Kongresse Veranstaltungskalender Awards
Jetzt Einzelzugang starten
Zugang für Unternehmen
Referenzkunden
SLX-Digitalkonferenz: Zukunftswerkstatt 2024

Mehr Umsatz mit Top-Kontakten

Am 7. Mai erfahren Sie, wie Vertriebsteams Leadgenerierung, Leadnurturing und Leadstrategien effizient steuern können.
Erweiterte Suche
Anmelden
nach oben
Erschienen in:
Herausforderung Datenschutz und Datensicherheit in der Cloud Kapitel lesen Erstes Kapitel lesen

2020 | OriginalPaper | Buchkapitel

4. Modellierung der Sicherheit im Cloud-Computing

verfasst von : Hubert A. Jäger, Ralf O. G. Rieken, Edmund Ernst, Jaro Fietz

Erschienen in: Manipulationssichere Cloud-Infrastrukturen

Verlag: Springer Fachmedien Wiesbaden

Einloggen

Aktivieren Sie unsere intelligente Suche, um passende Fachinhalte oder Patente zu finden.

search-config
loading …

Zusammenfassung

In diesem Kapitel wird ein probabilistisches Modell der Sicherheit im Cloud-Computing vorgestellt. Dabei steht ein Maß für die Gewährleistung der Vertraulichkeit der Daten im Fokus. Die Wahrscheinlichkeit, mit der innerhalb eines gegebenen Zeitraums keine Verletzung der Vertraulichkeit auftritt, ist als die probabilistische Vertraulichkeit definiert. In einem umfassenden Angriffsbaum steht jeder Zweig für eine Angriffsmöglichkeit. Welche Analysemöglichkeiten sich durch ein solches Modell ergeben, ist am Ende des Kapitels skizziert.

Sie haben noch keine Lizenz? Dann Informieren Sie sich jetzt über unsere Produkte:

Springer Professional "Wirtschaft+Technik"

Online-Abonnement

Mit Springer Professional "Wirtschaft+Technik" erhalten Sie Zugriff auf:

  • über 102.000 Bücher
  • über 537 Zeitschriften

aus folgenden Fachgebieten:

  • Automobil + Motoren
  • Bauwesen + Immobilien
  • Business IT + Informatik
  • Elektrotechnik + Elektronik
  • Energie + Nachhaltigkeit
  • Finance + Banking
  • Management + Führung
  • Marketing + Vertrieb
  • Maschinenbau + Werkstoffe
  • Versicherung + Risiko

Jetzt Wissensvorsprung sichern!

Jetzt informieren

Springer Professional "Technik"

Online-Abonnement

Mit Springer Professional "Technik" erhalten Sie Zugriff auf:

  • über 67.000 Bücher
  • über 390 Zeitschriften

aus folgenden Fachgebieten:

  • Automobil + Motoren
  • Bauwesen + Immobilien
  • Business IT + Informatik
  • Elektrotechnik + Elektronik
  • Energie + Nachhaltigkeit
  • Maschinenbau + Werkstoffe




 

Jetzt Wissensvorsprung sichern!

Jetzt informieren

Springer Professional "Wirtschaft"

Online-Abonnement

Mit Springer Professional "Wirtschaft" erhalten Sie Zugriff auf:

  • über 67.000 Bücher
  • über 340 Zeitschriften

aus folgenden Fachgebieten:

  • Bauwesen + Immobilien
  • Business IT + Informatik
  • Finance + Banking
  • Management + Führung
  • Marketing + Vertrieb
  • Versicherung + Risiko




Jetzt Wissensvorsprung sichern!

Jetzt informieren
Vorheriges Kapitel Grundsätzliches zu Sicherheit und Datenschutz
Nächstes Kapitel Wie viel Sicherheit ist genug?
Fußnoten
1
Die Definition der informationssicherheitstechnischen Integrität ist in der Literatur nicht einheitlich. Die hier verwendete Definition folgt der so genannten ITSEC-Definition [1], wonach Integrität der Daten bedeutet, dass keine unautorisierte Modifikation von Information stattgefunden hat. Diese Definition wird ergänzt durch die Integrität der Systeme. Abweichende Definitionen überlappen gelegentlich mit dem Begriff der Verfügbarkeit der Daten.
 
2
Beispielsweise müssen für hohe Verfügbarkeit Datensicherungen, so genannte ,,Backups“, erstellt werden. Wenn nun aus Gründen der Vertraulichkeit eine Datenlöschung vom Nutzer vorgenommen wird, so ist es sehr schwierig diese Löschungen auch in den verschiedenen Backups umzusetzen. Die Löschung bleibt i. d. R. unvollständig. Bei Sealed Cloud wurde das Problem durch den so genannten ,,Sealed Backup“ gelöst.
 
3
Diese zweite Annahme trifft auf staatliche Akteure nicht immer zu. Politisch motiviert kann es vorkommen, dass aus ökonomischer Sicht unverhältnismäßig großer Aufwand in bestimmte Angriffsoptionen gesteckt wird. Auch kann es vorkommen, dass durch staatliche Akteure Angriffe durchgeführt werden, bei denen der Wert der ,,Beute“ einen mit dem Aufwand des Angriffes vergleichsweise geringen Wert aufweist.
 
4
Mit einer ,,brute-force“-Attacke werden Angriffe bezeichnet, bei denen versucht wird Passwörter, Schlüssel oder anderes kryptographisches Material einfach ,,brutal“ durch Ausprobieren herauszufinden. Das geschieht natürlich nicht manuell, sondern mit Hilfe des Computers, der – falls keine Schutzmaßnahmen ihn davon abhalten – viele Millionen Versuche pro Sekunde durchführen kann.
 
5
Auch beim Werfen eines Würfels sind die einzelnen Würfe statistisch voneinander unabhängig. Die Wahrscheinlichkeit eine ,,Eins“ zu werfen beträgt 1∕6. Dennoch ist die Wahrscheinlichkeit in sechs Würfen genau eine ,,Eins“ zu werfen nicht 6 ⋅ 1∕6 = 100 %. Es muss die Wahrscheinlichkeit sechsmal keine ,,Eins“ zu werfen (1 − 1∕6)6 von 100 % abgezogen werden. Solche Wahrscheinlichkeiten heißen Verbundwahrscheinlichkeiten. Die resultierende Wahrscheinlichkeit in sechs Würfen mindestens eine ,,Eins“ zu würfeln beträgt demnach ca. 66 %.
 
6
Es sind zahlreiche Tipps für solche Schemata öffentlich verfügbar. Jedoch Vorsicht! Um wirklich das Passwortraten zu erschweren, muss der Nutzer sich ein individuelles Schema selbst zurechtlegen und sollte sich nicht zu sehr an vielfach zitierten Beispielen orientieren.
 
7
Die bekannteste Skiptsrache ist z.Zt. ,,Java Script“, in der viele Webseiten programmiert sind.
 
8
Durch die Versiegelung kann eine sichere Dreiteilung eines Geheimnisses zwischen einem Authentitäts-Provider, einem personalisierten Endgerät und der Sealed Cloud vorgenommen werden. Bei einem passwortlosen Anmeldevorgang werden diese drei Teilgeheimnisse eingesammelt und damit der Zugang zum Cloud-Dienst vermittelt. Mit einem solchen Verfahren kann ein Zugang bei höherer Sicherheit ohne Passwort gewährt werden.
 
9
Besitzt der Innentäter die Zugangsberechtigung zu den Speichermedien und gleichzeitig zu den Leseschlüsseln für die verschlüsselt gespeicherten Daten, dann ist der Angriff nicht der Option (D,5) sondern der Angriffsoption (D,1) oder (D,2) zuzuordnen.
 
10
Als ,,exploits“ werden sowohl Angriffsmöglichkeiten bezeichnet, die von Angreifern bereits genutzt wurden, als auch dokumentierte Konzepte eines Angriffs, deren Erstellungszweck die Ausmerzung des konkreten ,,exploit“ ist.
 
11
Die DoS-Angreifer verwenden häufig Pakete des verbindungslosen Protokolls ,,UDP“, bei dem ganz einfach falsche Quelladressen eingetragen werden können (IP-Spoofing). Die echte Quelladresse wird mit der Adresse des Opfers ersetzt. Damit sind verteilte Angriffe durch die massenhafte Reflektion der Pakete zum Opfer hin möglich (Distributed-Reflected-Denial-of-Service-Angriff, DRDoS). Die Größe bzw. Länge von Angreiferpaketen kann durch bestimmte Reflektionen vergrößert, also verstärkt werden (z. B. DNS Amplification Attack). Dies ermöglicht den Angreifern mit kleineren Ressourcen einen großen Angriff zu lancieren. Abhilfe gegen DOS-Angriffe bieten neben der sorgfältigen Konfiguration aller Netzelemente letztlich nur filternde Netze, die entweder die Pakete nur aufgrund dessen Ursprung und Ziel (non-intrusive), oder aufgrund des Inhalts der Pakete (intrusive) aussortieren. Um ,,Intrusive Anti DoS Filtering“ datenschutzkonform umzusetzen, bietet das Konzept Sealed Cloud ein hohes Innovationspotential
 
12
Der Begriff ,,Sealed Computation“ wird vorzugsweise in wissenschaftlichen Publikationen benutzt, während ,,Sealed Computing“ mehr dem anwendungsnahen Jargon entspricht. Unter diesen Oberbegriff dürfen auch die unter ,,Confidential Computing“ vermarkteten Lösungen – sofern die Technik korrekt angewendet wird – gerechnet werden.
 
Literatur
1.
2.
P. Bitter. (1971). Technische Zuverlässigkeit: Problematik, Grundlagen, Untersuchungsmethoden. Herausgegeben von Messerschmitt-Bölkow-Blohm, Springer, ISBN 978-3-540-05421-4.CrossRef
3.
B. Schneier. (1999). Attack trees. Dr. Dobbś Journal of Software Tools 24, 21–29.
4.
5.
6.
7.
T. Schrödel. (2016). Passwörter & PINs. in Ich glaube, es hackt!: Ein Blick auf die irrwitzige Realität von Computer, Smartphone und IT-Sicherheit. Springer Fachmedien Wiesbaden pp. 65–95.
8.
9.
10.
GRAVEL et al. (2011). Secure Authentication System and Method. US Patent Application 20110197267A.
11.
Steve Mansfield-Devine. (2017). Fileless attacks: compromising targets without malware. Network Security, Volume 2017, Issue 4, Pages 7–11.CrossRef
12.
13.
14.
15.
16.
17.
J. Leach. (2003). Improving user security behaviour. Computers and Security. 22(8). 685–692.CrossRef
18.
A. Kollmus and J. Agyeman. (2002). Mind the gap: why do people act environmentally and what are the barriers to pro-environmental behavior?. J. Environmental Education Research. 8(3). 239–260.
19.
H. Jäger und K. Cinkler. (2018). Verfahren zur betreibersicheren Authentifizierung von Cloud-Nutzern ohne Passwort. Kooperation der Firmen Uniscon GmbH und Rempartec GmbH.
20.
K. M. Leisinger. (2003) Whistleblowing und Corporate Reputation Management. Hampp, München/Mering.
21.
A. Pols and P. Heidkamp. (2016). Bitkom Research. Cloud-Monitor 2016.
22.
A. Pols and M. Vogel. (2017). Bitkom Research. Cloud-Monitor 2017.
23.
A. Pols and P. Heidkamp. (2018). Bitkom Research. Cloud-Monitor 2018.
Metadaten
Titel
Modellierung der Sicherheit im Cloud-Computing
verfasst von
Hubert A. Jäger
Ralf O. G. Rieken
Edmund Ernst
Jaro Fietz
Copyright-Jahr
2020
Buch
Manipulationssichere Cloud-Infrastrukturen

Print ISBN: 978-3-658-31848-2

Electronic ISBN: 978-3-658-31849-9

Copyright-Jahr: 2020

DOI
https://doi.org/10.1007/978-3-658-31849-9_4