Modellbasierte Entwicklung sicherer Software Flashcards

Question

UMLsec Rollenbasierte Zugriffkontrolle «rbac»

Answer 1

* Verwendbar auf Subsystemen, die Aktivitätsdiagramme enthalten. * Erzwingt rollenbasierte Zugriffskontrolle im durch das Aktivitätsdiagramm spezifizierten Geschäftsprozess. * Tags: {protected}, {role}, und {right}. * {protected} enthält Zustände im Aktivitätsdiagramm, bei denen der Zugriff kontrolliert werden soll. * {role} Liste von Paaren (actor; role) * actor ist ein Akteur im Aktivitätsdiagramm, * role ist eine Rolle. * {right} Liste von Paaren (role; right) role ist eine Rolle. * right repräsentiert das Zugriffsrecht zu einer geschützten Ressource. * Setzt voraus, dass Akteure (actors) im Aktivitätsdiagramm nur die Aktivitäten ausführen für die sie die Rechte (rights) haben.

Answer 2

* s ∈ {«wire»; «encrypted»; «LAN»; «smart card»; «POS device»; «Internet» «issuer node»; }

Answer 3

## Footnote Threats_A(s) ⊆ {delete; read; insert; access}:

Answer 4

* «secrecy», {secrecy} * markiert Ausdrücke, Attribute oder Argumentvariablen von Objekten deren Geheimhaltung sichergestellt werden soll; markiert Operationen, bei denen sichergestellt werden soll, dass deren Argumente und Rückgabewerte geheim gehalten werden sollen. * s = «secrecy», dann read ∉ Threats (t).

Answer 5

* {integrity} * hat als Wert Paare (v;E) * v: Variable eines Objekts, bei welchem die Integrität geschützt werden soll. * E: Menge von in Verbindung zu v stehenden Ausdrücken, die akzeptiert werden * s = «integrity», dann insert ∉ Threats (t).

Answer 6

* {fresh} * atomare Daten (Elemente der Menge Data ⋃ Keys) die neu generiert werden sollten.

Answer 7

## Footnote Stellt sicher, dass unter Beachtung des Angreifermodells die Sicherheitsanforderungen bei der Kommunikation zwischen den Komponenten von der physikalischen Ebene unterstützt werden.

Answer 8

* Kennzeichnet Subsystem welches statische Strukturdiagramme beinhaltet * Stellt sicher, dass «call»- und «send»-Abhängigkeiten zwischen Komponenten Sicherheitsanforderungen für versendete Daten respektieren. * Mit Tags {secrecy}, {integrity} vom Stereotyp «critical». * Genauer: für «call»- oder «send»-Abhängigkeiten zwischen einem Objekt oder Subsystem C und einem Interface I eines Objekts oder Subystems D müssen folgende Bedingungen erfüllt sein: * Nachricht in I ist mit {secrecy} (bzw. mit {integrity} oder {high}) in C markiert gdw. sie auch in D markiert ist. * Wenn Nachricht in I als {secrecy} (bzw. als {integrity} oder {high}) in C markiert ist, dann ist die Abhängigkeit mit«secrecy» (bzw. mit «integrety» oder «high») markiert.

Answer 9

## Footnote Stellt sicher, dass die Sicherheit auf der Verhaltensebene gegeben ist

Answer 10

* Zugriffschutz auf bestimmte Objekte * GuardImplementierung gibt an ob der Anfragende Zugriffsrecht hat * Zugang über getObject Methode. * checkGuard Methode in java.security.Guard kontrolliert Zugang. * Gibt Referenz oder SecurityException zurück

Answer 11

* Stellt sicher: in Java «guarded» Klassen nur durch {guard} Klassen aufrufbar. * Constraints: * Referenzen der «guarded» Objekte: geheim. * Jede «guarded» Klasse durch zugehörige {guard} Klasse abgesichert.

Answer 12

* Jedes «guarded» Objekt im Teilsystem kann nur durch {guard} spezifizierte Objekte an den «guarded» Objekt angebracht, zugegriffen werden * Formal: Nehme an name ∉ K^p_A für Gegnertyp A unter Berücksichtigung das jeder Name name einer Instanz von einem «guarded» Objekt ist bedeutet, dass eine Referenz öffentlich nicht verfügbar ist. * Annahme: für jeden «guarded» Objekt gibt es eine Statechart Spezifikation eines Objekts dessen Name in {guard} gegeben ist. =\> Um Weitergabe von Referenzen zu modellieren.

Answer 13

* Stelle sicheren Informationsfluss sicher. Bedingung * Jeder als {secrecy} spezifizierter Datenwert beeinflusst nur als {secrecy} spezifizierte Datenwerte. * Man kann keine Informationen über mit secrecy definierte Dateien durch nicht secrecy Variablen erhalten.

Answer 14

* Sicherheitsanforderungen der als \<> markierten Daten gegen Bedrohungsszenarien von Verteilungsdiagramm durchgesetzt. * Einschränkungen: Als {secrecy}, {integrity}, {authenticity}, {fresh} markierte Daten erfüllen jeweilige formalisierte Sicherheitsanforderungen. * Einschränkung mit «data security» erfordert, dass diese Anforderungen bzgl. Angegebenes Gegnermodell erfüllt sind.

Answer 15

* Schwache Kryptographie. * Zentraler Nachrichten-Austausch. * Schnittstellen, * Prologe, * Epiloge. * Verwendung. * Implementierungsfehler.

Answer 16

1. Application 2. Presentation 3. Session 4. Transport 5. Network 6. Data Link 7. Physicak

Answer 17

* Keys: Folge mit partieller injektiver Abbildung: * ( )^-1 : Keys → Keys * Schlüssel: unabhängig (Keine Gleichungen wie K = K' + 1 für zwei verschiedene Schlüssel K, K' ε Keys). * Öffentlicher Schlüssel für Verschlüsselung und Überprüfung der Signatur benutzbar. * Schlüssel, die für sicher gehalten werden, für Entschlüsselung und Unterzeichnung benutzbar. * Schlüssel: entweder Verschlüsselungs- oder Entschlüsselungs-schlüssel (asymmetric), oder beides falls k k^-1 = k0 zufriedenstellt (symmetric). * Zahlen von symmetrischen & asymmetrischen Schlüssel: unendlich.

Answer 18

## Footnote eine unendliche Folge von Variablen.

Answer 19

eine unendliche Folge von Datenwerten

Answer 20

* Exp: Menge der Krypto-Terme * Bildung aus Symbolen in Mengen Data, Keys, Var * Unter Verwendung der Operationen: * \_::\_ (Konkatenation), head(\_), tail(\_), * (\_)^-1 (K^-1: zum Verschlüsselungsschlüssel K gehöriger Entschlüsselungsschlüssel). * { _ }\_ ({M}_K: Verschlüsselung der Nachricht M mit Schlüssel K) . * Dec\_( ) (Dec_K(C): Entschlüsselung der Daten C mit Schlüssel K). * Sign\_( ) (Sign_K(M): Signatur der Nachricht M mit Schlüssel K). * Ext\_( ) (Ext_K(S): Extrahieren der Signatur S mit Schlüssel K).

Answer 21

* \_::\_ * A::B ⇒ AB * Assoziativität gilt * E1::E2::E3 für E1::(E2::E3) und fst(E1::E2) für head(E1::E2) etc.

Answer 22

* (\_)^-1 (K^-1: zum Verschlüsselungsschlüssel K gehöriger Entschlüsselungsschlüssel). * ∀E,K. Dec_K^-1({E}_K)=E

Answer 23

* {\_}\_ ({M}_K: Verschlüsselung der Nachricht M mit Schlüssel K * ∀E,K. Dec_K^-1({E}_K)=E

Answer 24

* Sign\_( ) (Sign_K(M): Signatur der Nachricht M mit Schlüssel K). * ∀E,K. Ext_K(Sign_K^-1(E))=E

Answer 25

* Ext\_( ) (Ext_K(S): Extrahieren der Signatur S mit Schlüssel K). * ∀E,K. Ext_K(Sign_K^-1(E))=E

Answer 26

* ∀E1,E2. head(E1::E2)=E1 * fst(E) =^def head(E) * snd(E) =^def head(tail(E)) * thd(E) =^def head(tail(tail(E)))

Answer 27

* ∀E1,E2. tail(E1::E2)=E2 * snd(E) =^def head(tail(E)) * thd(E) =^def head(tail(tail(E)))

Answer 28

* Secure Links wird verwendet, um die Sicherheit physikalischer Verbindungen zu modellieren. Ein Beispiel dafur findet sich in Deployment-Diagrammen, in denen die tatsachliche Verteilung von Softwarekomponenten auf Teilsysteme modelliert wird. * Secure Dependency wird dazu verwendet die Sicherheitsanforderungen zwischen einzelnen Klassen und deren Interaktion, mit anderen Worten deren Aufrufe und den Informationsfluss zu modellieren. Ein typisches Beispiel ist das Erzeugen von Zufallszahlen uber eigene Klassengrenzen hinweg. Dabei muss die Zufallszahl geheim bleiben.

Answer 29

## Footnote In den Avionik- oder Automobil- Domänen bedeutet der Begriff Sicherheit eher Zuverläßig- keit und die einwandfreie Funktionsweise. Diese Anforderungen dienen dazu, das menschliche Leben zu schützen bzw. nicht zu gefährden. In der IT-Sicherheit bedeutet Sicherheit eher Schutz von Informationen, z.B. durch die Verschlüsselung von Nachrichten zum Schutz vor unbefugtem Lesezugriff. Im Englischen existieren dazu auch die beiden Begriffe “Safety” und “Security”.

Answer 30

## Footnote Es geht hier um die unterschiedlichen physikalischen Gesetze in der realen und der digitalen Welt. Für das Kopieren oder das Manipulieren von Objekten in der realen Welt braucht man normalerweise spezielle Geräte und Materialien/Ersatzteile. Sogar dann ist es gar nicht so einfach eine exakte Kopie zu erstellen (Es sei hier auf das Fa ̈lschen von Geld hingewiesen). In der digitalen Welt dagegen ist alles auf 0 und 1 aufgebildet, was das Erstellen von identischen Kopien ermöglicht. Diese Eigenschaft macht z.B. die Gewährleistung von Zu- rechenbarkeit und Nichtabstreitbarkeit zu einer schwierigen Aufgabe.

Answer 31

## Footnote Bei hybrider Verschlüsselung wird mittels asymmetrischer Verschlüsselung ein Session-Key (symmetrischer Schlüssel) ausgetauscht. Die eigentliche Datenverbindung wird dann mit dem symmetrischen Schlüssel verschlüsselt. Auf diese Art kann man die Vorteile asymmetrischer Verschlüsselung beim Schlüsselmanagement mit den Performanzvorteilen symme- trischer Verfahren kombinieren. Da die Datenverbindung dann mit einem symmetrischen Schlüssel erfolgt, erhält der Angreifer so auch nur recht wenig Daten mit denen er versu- chen kann das asymmetrische Verfahren zu brechen.