Sicherheitsmodelle Flashcards
1
Q
Saltzer und Schröder?
A
- Grundprinzipien für sichere Systemdesigns
- Economy of Mechanism: Einfache und kleine Sicherheitsmechanismen
- Fail-Safe Defaults: Standardmäßige Verweigerung des Zugriffs, außer explizit erlaubt
- Complete Mediation: Jeder Zugriff muss überprüft werden
- Open Design: Sicherheit sollte nicht von Geheimhaltung abhängen
- Separation of Privilege: Aufteilung von Rechten für mehr Sicherheit
- Least Privilege: Minimale Rechte für Benutzer
- Least Common Mechanism: Teilen von Mechanismen minimieren
- Psychological Acceptability: Benutzerfreundlichkeit der Sicherheitsfeatures
2
Q
Clark-Wilson?
A
- Modell für Integritätssicherung in kommerziellen Transaktionssystemen
- Well-Formed Transactions: Transaktionen müssen bestimmten Regeln entsprechen
- Separation of Duty: Trennung von Verantwortlichkeiten
- Data Items: Unterteilung in Constrained Data Items (CDIs) und Unconstrained Data Items (UDIs)
- Integrity Verification Procedures (IVPs): Routinen zur Überprüfung der Datenintegrität
- Transformation Procedures (TPs): Operationen, die CDIs in einem gültigen Zustand halten
3
Q
OAuth 2.0?
A
- Authentifizierungsframework zur Gewährung von Zugriff
- Ressourcenbesitzer (User) erteilt Zugriff ohne Credentials zu teilen
- Verwendung von Access Tokens statt Benutzername/Passwort
- Tokens werden von Authorization Server ausgestellt
- Client-App fordert Zugriff bei Ressourcenbesitzer an
- Ressourcenbesitzer authentifiziert sich beim Authorization Server
- Authorization Server sendet Access Token an Client
- Client verwendet Token zur Authentifizierung bei Ressourcen-Server
- Access Tokens haben begrenzte Gültigkeit
- Unterscheidung zwischen Front-End und Back-End Flow
4
Q
Was ist zero trust?
A
- Sicherheitskonzept: “Vertraue niemandem, überprüfe alles.”
- Kein implizites Vertrauen nur aufgrund der Netzwerkposition
- Kontinuierliche Authentifizierung und Autorisierung für jeden Zugriff
- Minimale Zugriffsrechte, nur so viel wie nötig (Least Privilege)
- Mikrosegmentierung: Aufteilung von Netzwerken in kleine Zonen
- End-to-End-Verschlüsselung für Daten, intern und extern
- Echtzeitüberwachung und -analyse des Netzwerkverkehrs
- Sicherheitspolitiken basieren auf Nutzerverhalten und Risikobewertung
