V03 - Sicherheit und Digitale Identitäten Flashcards
Was ist eine digitale Identität? (V03F06)
○ Die Erstanmeldung (Registrierung) führt technisch zur Einrichtung einer digitalen Identität, die in der Nutzerdatenbank des Dienstes hinterlegt wird
○ Ein Nutzer (physische Identität) kann im Internet viel verschiedene digitale Identitäten haben
○ Ist eine Sammlung elektronischer Daten zur Charakterisierung eines Nutzers (physische Identität)
Sind digitale Identitäten auf eine Person beschränkt? (V03F06)
Nein, eine digitale Identität kann auch von einer Gruppe von Nutzern oder von anderen Objekten oder Diensten (Entitäten) zum Zugang eines Dienstes genutzt werden
Sind die Informationen der digitalen Identität unveränderlich? (V03F06)
Nein, bei jedem Registriervorgang können neue Daten eingegeben werden (Nutzername, Bankverbindung, Passwort)
Welche Modellfamilien gibt es bei digitalen Identitäten? (V03F12)
○ Isolierte Modelle
○ Zentrale Modelle
Warum werden unterschiedliche Modelle für digitale Identitäten entwickelt? (V03F12)
○ Mit jedem neuen Modell sollte der Umgang mit digitalen Identitäten einfacher und sicherer werden
○ Verschiedene Modelle unterscheiden sich darin, wer und wo digitale Identitäten speichert/verwaltet
Was sind Vorteile des Isolierten Modells? (V03F14)
○ Dienst hat volle Kontrolle über die Identitäten, die den Dienst nutzen
○ Digitale Identitäten sind für den Dienst vertrauenswürdig, weil sie über den Dienst direkt erfasst wurden
Was sind Nachteile des Isolierten Modells? (V03F14)
○ Nutzt Anwender viele Dienste, hat er viele verschiedene Identitäten
○ Gleiche Attribute, z.B. Adresse, Bankverbindung, … müssen oft wiederholt werden.
○ Dies bedeutet einen hohen Aufwand bei der Änderung eines Attributes, z.B. Adresse, Bankverbindung, usw..
○ Jeder Dienst muss sich selbst um Sicherheit kümmern: Schutz vor falscher Autorisierung, Schutz vor Zugriffen auf und Hacking der (Kunden-)Datenbank
Was sind Vorteile des Zentralen Modells? (V03F16)
○ Es gibt einen dedizierten Dienst, der sich nur um die digitalen Identitäten und deren Sicherheit kümmert.
○ Andere Dienste konsumieren interne digitale Tokens und können sich nur auf ihre Funktionalitäten konzentrieren.
○ Anwender haben nur eine (1) digitale Identität.
Was sind Nachteile des Zentralen Modells? (V03F16)
○ Single-Point-of-Failure
○ Ausfall des Identitätsprovider macht alle Dienste unbrauchbar (Verfügbarkeit).
○ Identitätsprovider braucht hohe Sicherheit/Schutz, weil alle Dienste (einfaches Forum, Provider, Bankapplikationen) davon abhängig sind.
○ Dienste müssen Identitätsprovider vertrauen, dass genutzte Tokens gültige und valide Daten enthalten
Was sind Vorteile des Dezentralen Modells? (V03F18)
○ Nutzer können sich ihren ID-Provider aussuchen
○ Onlinedienste können auch wählen, welchem ID-Provider sie vertrauen und mit welchem sie zusammenarbeiten wollen.
Was sind Nachteile des Dezentralen Modells? (V03F18)
○ Anwender müssen ihre Identitäten bei mehreren ID-Providern hinterlegen, weil Onlinedienste mit unterschiedlichen ID-Providern zusammenarbeiten.
○ Partielle Single-Points-of-Failure: Wenn der ID-Provider eines Nutzers nicht erreichbar ist, kann der Nutzer die nachgelagerten Onlinedienste nicht mehr verwenden. Nutzer anderer ID-Provider dagegen haben noch Zugang.
Durch welchen Prozess werden digitale Identitäten nachgewiesen, um sie nutzen zu können? (V03F20)
○ Durch einen Prozess, der aus Authentisierung und Authentifizierung besteht
○ Authentisierung: Vorzeigen des Beweises zum System
○ Authentifizierung: System prüft den Beweis
Was ist die gängigste Authentisierungsmethode? (V03F20)
Passworteingabe
Wie können Passwörter sicher gespeichert werden? (V03F29)
○ Speicherung der Passwörter mit kryptographischem Hash-Verfahren: irreversible “Verschlüsselung” in einem String fester Länge
○ Häufige verwendete Hash-Verfahren sind MD5 und SHA1: gelten inzwischen als unsicher, weil sie mit der heute zur Verfügung stehenden Rechnerpower umkehrbar sind
○ Als sicher gelten die neueren Hash-Verfahren SHA2 und SHA3
Was sind Anforderungen an sichere Passwörter? (V03F33)
○ Ausreichende Länge der Passwörter wählen (mindestens 10 Zeichen lang, oder gemäß Unternehmens-Policy)
○ Keine Informationen aus privaten Zusammenhängen (Nutzerkontext) verwenden, also keine Informationen, die ein Angreifer über ein Opfer recherchieren kann, z.B. Name, Vorname, Geburtsdatum, Haustier, Lieblingsband, …
○ Passwortzeichen aus verschiedenen Zeichengruppen wählen: Sonderzeichen, Groß- und Kleinbuchstaben, Ziffern
○ Keine Wörter aus einem Wörterbuch oder Sprichwörter verwenden
○ Unterschiedliche Passwörter für unterschiedliche Accounts einsetzen
○ Keinesfalls alte Passwörter wiederverwenden
○ → Die Einhaltung dieser Regeln erschwert den Missbrauch sämtlicher Accounts im Internet!
