Winter
2005

IT Security Workshop

Organizers: Prof. J.-P. Redlich, Dr. J.-P. Bell, M. Bell (CMS)
September 5.-9. and 12.-14. (Mo-Fr), 09:00-16:00

Computer Science Department
Systems Architecture Group

Um ein IT-System vor einem Angreifer schützen zu können, reicht die Kenntnis der theoretischen Grundlagen der einzelnen IT-Sicherheitskomponenten (Firewalls, Kryptographie, Passwort, etc.) allein nicht aus. Es ist vielmehr notwendig, dass das Zusammenspiel der einzelnen Sicherheitskomponenten untereinander erkannt und verstanden wird. Die Sicherheit einer Komponente hängt meist direkt von der Verwendung bzw. Sicherheit einer oder mehrer anderer Komponenten und nicht zuletzt auch von der Erfahrung und dem Verständnis des Benutzers ab. So nützt beispielsweise eine verschlüsselte Kommunikationsverbindung zwischen zwei Rechnern nur dann etwas, wenn die Endsysteme selbst gegen Missbrauch oder Manipulation geschützt sind und eine Authentifizierung untereinander möglich ist. Diese Abhängigkeiten sind komplex, vielschichtig und abstrakt kaum erfassbar. Nach unseren Auffassungen lassen sich die Zusammenhänge einfacher verstehen und erfassen, wenn sie selbst innerhalb eines IT-Systems beobachtet und ausprobiert werden können. Um ein IT-System "verteidigen" zu können, muss der Verteidiger in der Lage sein, das IT-System aus der Sicht des Angreifers zu sehen und zu verstehen. Ziel ist es deshalb den Teilnehmern den Begriff IT-Security praxisnah und möglichst vielseitig zu erläutern und die Teilnehmer sowohl in die Rolle des Angreifers, als auch in die Rolle eines Verteidigers zu versetzen, um die jeweiligen Verhaltensmuster und Möglichkeiten zu vermitteln.

Program:

Es gibt eine bestimmte Auswahl an Themen, die auf verschiedene IT-Security-Bereiche abgestimmt sind. Die Teilnehmer werden in einem kurzen Vorbereitungstreffen, ca. vier Wochen vor dem Beginn des Seminars, ihre Themen wählen und dementsprechend Arbeitsgruppen bilden (die Arbeitsgruppen bearbeiten ihr Thema dann in den zwei Seminarwochen).

Die teilnehmenden Studenten müssen zum Erhalt eines Scheines ihr Thema in der zweiten Woche vormittags in einer Präsentation vorstellen und erörtern, zusätzlich wird eine kurze Themenzusammenfassung in Form eines Handouts in englischer Sprache erwartet. Das Handout soll eine Checkliste enthalten, die auch fachlich unerfahrenen Personen ein schnelles und strukturiertes Vorgehen ermöglicht. Bei der Präsentation muss jedes Teammitglied einen Beitrag leisten. Die Präsentation muss den anwesenden Teilnehmern den Nutzen (Anwendungsgebiet), die Theorie und die allgemeinen Funktionsabläufe des bearbeiteten Themas verdeutlichen. Anschliessend muss das jeweilige Team dem anwesenden Auditorium in einer Fragerunde Rede und Antwort stehen.

Place:

Humboldt-Universität zu Berlin - Institut für Mathematik - J.v.Neumann-Haus (Rudower Chaussee 25) - 12489 Berlin - In den Poolräumen der Informatik (Treffpunkt: Haus 3, 4. Etage, Poolraum rechts hinter der Glastür).

Pro Pool-Raum 4-6 Teilnehmer. Es stehen zwei Pool-Räume zur Verfügung, d.h. es können 8-12 Personen teilnehmen.

Credits:

• Seminar-Schein wird mit Note (auf Wunsch ist auch ohne Note möglich) vergeben.
• Bedingungen für den Schein sind:
  • Präsenation des Themas (Konzepte, Grundlagen) ... theoretisch
  • Vorführung der praktischen Umsetzung/Anwendung in einer Demonstration ... praktisch
• Die Note ergibt sich auch aus dem rhetorischen Teil; vor jeder Präsentation werden ZWEI Zuhörer auserkoren, die stellvertretend für alle anwesenden Studenten eine Gewichtung der vorgetragenen Leistung erstellen. Siehe dazu: Bewertungskriterien-Seminarvortrag.pdf

Prerequisites:

• Grundlagen der Netzwerktechnik
• Kenntnisse in der Systemadministration
• Grundkenntnisse in der Kryptologie

Der Workshop richtet sich an (werdende) System- und Netzwerkadminstratoren. Er ist stark in Richtung Sicherheit fokussiert. Der Besuch der Vorlesungen von Dr. Bell, Prof. Redlich und Dr. Müller ist eine gute Voraussetzung.

Wiki:

• Es gibt eine WiKi-Seite zu diesem Workshop: http://sarwiki.informatik.hu-berlin.de/W2005-ITS .

Assignments (Themenvergabe):

Syllabus (Themenvorschläge):

Alle Teilnehmer sind aufgefordert mit Themenvorschlägen zu glänzen. Hier soll die Möglichkeit gegeben werden, schon im Vorfeld des Workshops Themenvorschläge geltend zu machen und so einen Überblick über die mögliche Vielfalt zu geben.
 

0.  Smartcard basiertes login unter Linux (neu)
Die benutzerseitige Authentifizierung gegenüber einem IT-System erfolgt oft über Passworte. Dieses Verfahren weist jedoch Schwachstellen auf (Bruteforce, Wörterbuchangriffe, schwache Passworte). Wünschenswert ist ein stärkeres Verfahren.
Programme: openSC, pam
Erwartungen: Erstellen von Nutzerzertifikat, Initialisierung der Smartcard, Login auf Linuxmaschine mittels RSA Key auf Smartcard + PIN

Beratung durch Michael Bell, CMS, HUB

1.  Firewall+Proxy Scenario
Eine Organisation mit 50 Rechnern (auf denen verschiedene Betriebssysteme verwendet werden) ist über eine Standleitung mit dem Internet verbunden. Jeder Rechner hat dabei eine weltweit eindeutige IP-Adresse. Entwerfen Sie eine Lösung, welche die Firma möglichst weitgehend vor Angriffen aus dem Internet schützt, ohne jedoch großen Umstellungsaufwand zu verursachen. Nur www, ftp und e-mail (für Kundenkontakte) werden wirklich dringend benötigt.
Programme: iptables, squid
Erwartungen: transparentes Proxying, restriktives Firewalling, Mail-Forwarding, DMZ (Demilitarised Zone)

2.  File Permissions Scenario
In einer Organisation müssen öfters neue Rechner für verschiedene Aufgaben eingerichtet werden. Schlecht gesetzte Datei-Rechte (SUID, SGID, world-writeable) vereinfachen oft das Ausweiten von Privilegien (zum Super-User) oder ermöglichen gar das Eindringen. Sie machen den Rechner und damit womöglich auch das Netzwerk der Organisation unsicherer. Forschen Sie nach Möglichkeiten, (z.B. neu installierte) Systeme weitgehend automatisiert zu prüfen und abzusichern.
Programme: chkstat, chown, chmod, chattr, setfacl
http://www.bastille-linux.org

3.  Plaintext Password Scenario
Plaintext Password Scenario: Eine größere Organisation mit hunderten von Rechnern verwendet im LAN telnet (z.B. zum Zugriff auf Datenbank-frontends) und ftp.
a) demonstrieren Sie die Unsicherheit dessen mit automatisierten Sniffern (z.B. dsniff).
b) zeigen Sie Alternativen auf.
Programme: ssh, scp, rsync, (IPSec), OTP (S/Key)...

4.  VPN Scenario
Eine Organisation mit weltweit verteilten Aussenstellen (z.B. in Berlin, Washington, Tokyo) und Aussendienstmitarbeitern wünscht, dass diese auf sichere Weise über das Internet auf Resourcen im Firmen-Netzwerk zugreifen können.
Programme: tinc, vtun, (IPSec)

5.  Intrusion Detection Scenario (Erkennung von Einbrüchen)
Eine Organisation will möglichst schnell, zuverlässig und umfassend von Einbrüchen (und eventuellen Versuchen) auf kritischen Rechnern (z.B. www-Server) erfahren, um entsprechend reagieren zu können. Bearbeitung durch 2 Teilgruppen möglich.
1.) integrity check, logfile analysis
2.) NIDS, honeypot
Programme:
1.) AIDE/tripwire, rpm --verify, debsums, chkrootkit
2.) snort, portscand, honeyd

6.  Secure Authentication Scenario
In einer größeren Organisation wird zur zentralen Authentifizierung NIS verwendet. Leider ist es somit möglich, mit 'ypcat passwd' eine Liste der Nutzer sowie deren mit DES- oder MD5-crypt verschlüsseltes Passwort zu erhalten. Zeigen Sie sicherere Alternativen auf.
Programme: LDAP

7.  Physical Security Scenario
Erstellen Sie eine möglichst umfassende Sammlung einfacher, aber wirksamer Schutzmassnahmen gegen Hardwarefehler und Angriffe, die physikalischen Zugang benötigen. Programme: lilo, (BIOS), losetup, ...
Programme:
Erwartungen:
URI: http://www.keyghost.com/, http://www.tldp.org/HOWTO/HOWTO-INDEX/os.html#OSRAID, http://www.tldp.org/HOWTO/UPS-HOWTO/index.html

8.  Reliable Backup Scenario
In einer Organisation sind durch ein defektes Backup-Band nach einem Server-Absturz mehrere Tage Arbeit verloren gegangen. Erarbeiten Sie eine zuverlässige Backup-Lösung...

9.  Strategical & Tactical Security Planings Scenario
Sie arbeiten für ein Consulting-Unternehmen, welches auch IT-Security Dienstleistungen in seinem Portfolio hat. Entwerfen sie ein Ideenkonzept für IT-Security Richtlinien auf strat. & takt. Ebene für kleine (z.B. Arztpraxis), mittlere (z.B. Spedition) und grosse Unternehmen (z.B. Supermarktkette). Beachten Sie, Kosten / Nutzen spielen eine entscheidende Rolle im jeweiligen Verhältnis zu der Priorität der gespeicherten Daten. Stellen Sie auch Überlegungen zu den rechtlichen Aspekten an und erörtern sie diese.

10.  eMail Server Scenario
Sie beaufsichtigen in einem mittelständigen Unternehmen einen eMail-Server mit einem hohen eMail-Aufkommen. Das hohe eMail-Aufkommen besteht hauptsächlich aus Spam. Da sie nicht einfach ihre virenverseuchten Kunden blockieren können, verlangt ihr Abteilungsleiter einen Lösungsvorschlag gegen Spam und außerdem ein Konzept um SMTP über SSL zu realisieren. Aufgrund dieser neuen Sicherheitsmassnahmen wird auch erwogen PKI zu implementieren. Entwerfen sie ein Konzept, sie haben 1-2 Wochen.

11.  System Security Scenario
Sie haben den Auftrag erhalten eine Linux Installation für normale Office Tätigkeiten zu installieren. Ihre Installation soll als Basis dienen für alle anderen PCs, wo dann nur noch die Festplatten von Ihrer Installation gespiegelt werden sollen. Beachten Sie, dass sie für ein Finanzinstitut arbeiten und ihre Installation tlw. auch im kundennahen Bereich eingesetzt wird. Möglichst hohe Systemsicherheit wird gefordert.

12.  Testing of Network and System Security Scenario
Sie arbeiten für eine Sicherheitsfirma mit Spezialisierung für Netzwerkinfrastrukturen. Sie haben von einem Kunden den Auftrag erhalten sein Netzwerk und seine Systeme auf Zugriffssicherheit zu überprüfen. Probieren sie alles um über Netzwerk Zugriff auf eines oder alle der Systeme zu erhalten. Zerstören Sie dabei auf keinen Fall sensitive Datenbestände. Höchste Feinfühligkeit ist gefragt.

13.  Secure Programming Scenario
Man liest regelmäßig von neu entdeckten "Sicherheitslücken" in Software. Erklären Sie das. Warum treten diese besonders bei in C geschrieben Programmen auf? Wie kann ein Programmierer diese finden oder gleich vermeiden?
Programme: efence, stabilizer, libsafe, ...
Erwartungen: heap/buffer-overflow, format-string-bug, double-free
URI: http://www.dwheeler.com/secure-programs

14.  Zentrales Verschlüsselungssystem Scenario
Möglichkeiten und Lösungen in kleinen Unternehmen automatisch (über einen zentralen Server) eMails zu signieren und/oder zu verchlüsseln + Mails automatisch ENTSCHLÜSSELN damit diese nicht im Mailprogramm verschlüsselt vorliegen und in 10 Jahren unlesbar sind.

15. Wireless Risk Potential Scenario
Neue Funkbasierte Protokolle (zB. 802.11x, IrDA, Bluetooth, UMTS, Jini(?)) bieten viele neue Möglichkeiten ... und neue Gefahrenpotentiale, da nun ein möglicher Eindringling keinen physikalischen Zugang mehr benötigt. Anaylisieren Sie diese neue mögliche Gefahrenquelle und versuchen Sie eine realistische Bewertung zu dem Gefahrenpotential zu erstellen und wie kann die Vorteile dieser neuen Technologie maximieren und gleichzeitig das Risiko minimieren.

16. Secure DNS, Opportunistic Encryption
Selbstgewähltes Thema.
 

Suggested Readings (Books):

• Ross Anderson. Security Engineering: A Guide to Building Dependable Distributed Systems.
• Bruce Schneier. Applied Cryptography: Protocols, Algorithms, and Source Code in C, Second Edition.