Kapitel 4: „Digitale Signatur, elektronische Zertifikate sowie Public Key Infrastruktur (PK - Prof. Dr. Norbert Pohlmann

Kapitel 4: „Digitale Signatur, elektronische Zertifikate sowie Public Key Infrastruktur (PKI) und PKI-enabled Application (PKA)“

Übungsaufgabe 1 (digitale Signatur)

Was ist der Unterschied zwischen einer eigenhändigen Unterschrift und einer digitalen Signatur bezüglich der Verifizierung des Inhaltes?

Lösung:

Jedes Bit des Inhaltes ist durch die Nutzung einer One-Way-Hashfunktion in die digitale Signatur eingeschlossen.

Übungsaufgabe 2 (elektronische Zertifikate)

Welche Cyber-Sicherheitsbedürfnisse können mit Hilfe von elektronischen Zertifikate umgesetzt werden?

Lösung:

Integrität und Authentizität des Inhaltes eines elektronischen Zertifikates.

Übungsaufgabe 3 (PKI)

Mit welchem PKI Dienst wird das Sperren von eigentlich gültigen Zertifikaten umgesetzt?

Lösung:

Certificate Revocation List (CRL).

Übungsaufgabe 4 (PKI)

Die digitale Signatur wird mit einem Public-Key-Verfahren unter Verwendung des geheimen Schlüssels durchgeführt. Kann ein Angreifer die Nachricht „entschlüsseln“, d.h. im Klartext lesen?

Lösung:

Ja, weil die digitale Signatur nicht verschlüsselt!

Übungsaufgabe 5 (E-Mail-Sicherheit)

Welche Sicherheitsfunktion wird bei der E-Mail-Sicherheit als erstes durchgeführt und warum?

Lösung:

Zuerst wird die E-Mail Nachricht signiert, weil sie dann noch im Klartext vorhanden ist. Die Signatur einer verschlüsselten Nachricht kann nicht als Willensbekundung angesehen werden. Nachdem die Nachricht von einem oder mehreren signiert worden ist, wird sie für einen oder mehrere verschlüsselt.

Übungsaufgabe 6 (E-Mail-Sicherheit)

Welche Cyber-Sicherheitsbedürfnisse können mit der E-Mail Sicherheit befriedigt werden?

Lösung:

Gewährleistung der Vertraulichkeit, da die Daten während der Übertragung verschlüsselt sind und nur der rechtmäßige Nutzer in der Lage ist, diese zu entschlüsseln. Gewährleistung der Authentizität, der Integrität und der Verbindlichkeit, da die Nachricht digital signiert worden ist.

Übungsaufgabe 7 (Lotto)

Mit welchem Sicherheitsdienst kann die Ankunftszeit einer Transaktion manipulationssicher bewiesen werden?

Lösung:

Zeitstempeldienst

Übungsaufgabe 8 (Vertrauensmodelle)

Welches PKI Vertrauensmodell würden Sie in den folgenden Situationen vorschlagen?

Fall 1:

Sie beraten einen Verband, der für seine Mitglieder eine PKI zur Verfügung stellen möchte. Welches Vertrauensmodell würden Sie für den Verband vorschlagen?

Lösung:

Übergeordnete CA, die von dem Verband als Dienstleistung zur Verfügung gestellt wird.

Fall 2:

In einem Forschungsvorhaben mit drei teilnehmenden Unternehmen, von denen keines mehr Rechte haben sollte als die anderen, soll eine PKI aufgebaut werden. Welches Modell würden Sie wählen?

Lösung:

n:n-Cross-Zertifizierung, weil dies einfach zwischen gleichwertigen Unternehmen umzusetzen ist.

Fall 3:

Sie wollen ein Geschäftsmodell aufbauen, bei dem sehr viele Unternehmen mit sehr vielen Nutzern Daten vertrauenswürdig austauschen wollen. Alle Unternehmen haben schon eine PKI. Zukünftig werden noch weitere Unternehmen dazukommen. Welches Vertrauensmodell würden Sie wählen?

Lösung:

1:n Cross-Zertifizierung (Bridge CA), weil der Abstimmungsaufwand am geringsten ist.

Übungsaufgabe 9 (PKI)

Beschreiben Sie, was eine Personal Security Environment ist, welche sicherheitsrelevanten Daten dort gespeichert sind und welche Realisierungsformen es gibt!

Lösung:

Personal Security Environment (PSE): Sammlung aller sicherheitsrelevanten Daten eines Nutzers.
Geheimer Schlüssel des Nutzers, öffentlicher Schlüssel der Zertifizierungsinstanz, ggf. Zertifikate seiner Kommunikationspartner.
Mögliche Formen: Software, Smartcards, USB-Token, allgemeine Sicherheits-Module, SIM-Karte im Smartphones, TPM, usw.

Übungsaufgabe 10 (PKI)

Welche Kategorien von Kartenlesegeräten gibt es, wo liegen die Unterschiede und wie ist deren Sicherheit/Vertrauenswürdigkeit zu bewerten?

Lösung:

Es können drei Kategorien an Lesegeräten unterschieden werden, die einen unterschiedlichen Level an Sicherheit und damit an Wirkung gegen Angriffe zur Verfügung stellen:

1. Basisleser:
Anzeige und Eingabe über das selbe IT-System des Nutzers, z.B. Nootbook.
Hohes Restrisiko durch Malware (Abfangen der PIN im IT-System)

2. Standardleser
Anzeige und Eingabe über externes IT-System
(PIN-PAD – Anzeige und eigene Tastatur)

3. Komfortleser
Zertifizierter Standardleser mit Anzeige und Tastatur.
Höheres Vertrauenswürdigkeitslevel (Evaluierung und Zertifizierung).

Übungsaufgabe 11 (PKI)

Erläutern Sie die Komponenten und deren Aufgaben einer PKI!

Lösung:

Registration Authority (RA):
Schnittstelle zwischen dem PKI-Nutzer und der Certification Authority (CA).
Private oder öffentliche Einrichtung (z.B. Berufsverbände, Unternehmen, Behörden und öffentliche Dienstanbieter).
Anträge auf Zertifizierung erfassen.
Identität der Antragsteller gemäß des Regelwerks prüfen.

Certification Authority (CA):
Vergabe von eindeutigen vertrauenswürdigen digitalen Identitäten.
Erzeugung von Zertifikaten.
Verwaltung von Schlüsselpaaren pro Nutzer.

Directory Service (DIR):
Verzeichnisdienst zur Verwaltung der Zertifikate.
Öffentlich zugreifbar.

Certificate Revocation List (CRL):
Sperrliste für zurückgezogene oder kompromittierte Schlüssel/Zertifikate.
Vor jeder Verifikation sollte ein Abgleich mit der Sperrliste erfolgen.

Time Stamping Service:
Erstellung von gesicherten Zeitsignaturen gemäß des Regelwerks (Zeitstempel).

Kapitel 4: „Digitale Signatur, elektronische Zertifikate sowie Public Key Infrastruktur (PKI) und PKI-enabled Application (PKA)“ Prof. Dr. Norbert Pohlmann - Cyber-Sicherheitsexperten