Kriha / Schmitz Sichere Systeme

Konzepte, Architekturen und Frameworks
2009
ISBN: 978-3-540-78959-8
Verlag: Springer Berlin Heidelberg
Format: PDF
Kopierschutz: 1 - PDF Watermark

E-Book, Deutsch, 639 Seiten

Reihe: Xpert.press

Heute entsteht Software meist auf der Basis von Frameworks, die bereits Sicherheitstechniken enthalten. Diese zu verstehen, ist essentiell für Applikationsentwickler und Systemingenieure, die Frameworks verwenden, um Applikationen mit der jeweiligen Firmeninfrastruktur zu verbinden. Ein Schwerpunkt dieses Bandes ist die Absicherung von Enterprise-Software durch existierende Frameworks wie z. B. J2EE. Darüber hinaus werden grundsätzliche Fragen der Zuverlässigkeit von Software behandelt, etwa Safety, sicheres Funktionieren von Software und Usability.

Roland Schmitz 1986 - 1991 Studium der Mathematik an der TU Braunschweig, 1994 Promotion 1995 - 1997 Wissenschaftlicher Mitarbeiter in der Abteilung 'Software-Engineering' am Technologiezentrum der Deutschen Telekom in Darmstadt (heute Teil der T-Nova Innovationsgesellschaft Deutsche Telekom mbH) 1997 - 2001 Tätigkeit am Technologiezentrum in der Abteilung 'Sicherheitskonzepte und Kryptologie' mit den Hauptgebieten Sicherheit mobiler Kommunikation sowie Standardisierung digitaler Signaturen Seit 2001 Professor für Internet-Security an der Hochschule der Medien, Stuttgart   Walter Kriha 1979 - 1986 Doppelstudium Soziologie, Germanistik und Geschichte an der Ludwig-Maximilians Universität München, 1986 Diplom in Soziologie 1986 - 1989 Systementwickler für Sinix Betriebssysteme im Forschungs- und Entwicklungszentrum der Firma Siemens in  München 1089 - 1991 Systemarchitekt für Firma Siemens in Santa Clara, Californien 1992 - 1994 Systemarchitekt bei Firma Litef, Freiburg. Design und Implementierung eines mobilen Multiprozessorsystems unter Berücksichtigung von Fehlertoleranz und Realtime-Anforderungen 1994 - 1996 Leiter der Software-Entwicklung der Firma IP Info Process in Buchenbach bei Freiburg. Entwicklung eines verteilten Systems für Dokument-Management 1997 - 2001 Beratertätigkeit für des Finanzkonzern UBS. Entwurf von verteilten Backbone Systemen und Unternehmensportalen Seit 2002 Professor für Verteilte Systeme und Internet Technologien an der Hochschule der Medien, Stuttgart.

Autoren/Hrsg.

Kriha, Walter

Schmitz, Roland

Inhaltsverzeichnis

1;Inhaltsverzeichnis;6
2;Einführung und Motivation;15
2.1;Literatur;23
3;Angriffe;24
3.1;2.1 Eine Übersicht der Attacken;25
3.2;2.2 Die Attacken im Einzelnen;31
3.3;2.3 Grundlagen der Input-Validierung;51
3.4;2.4 Attacken auf Ebene der Semantik;74
3.5;2.5 WEB2.0-Techniken und ihre Problematik;82
3.6;2.6 Zur Psychologie der Verteidigung;97
3.7;Literatur;101
4;Grundprinzipien des Designs sicherer Systeme;104
4.1;3.1 Economy of Mechanism (KISS);106
4.2;3.2 Fail-Safe-Defaults;107
4.3;3.3 Complete Mediation;107
4.4;3.4 Open Design: The Design Should Not Be Secret;110
4.5;3.5 Separation of Privilege;111
4.6;3.6 Principle of Least Privilege (POLP);112
4.7;3.7 Least Common Mechanism;113
4.8;3.8 Psychological Acceptability;116
4.9;3.9 Zusammenfassung der Prinzipien von Saltzer und Schroeder;117
4.10;3.10 Principle of Least Authority – POLA;118
4.11;Literatur;127
5;Platform Security;128
5.1;4.1 Platform Security heute;129
5.2;4.2 Die „Immutable Laws of Security“: Schadensbegrenzung unmöglich?;134
5.3;4.3 Sicherheit und Zuverlässigkeit von Betriebssystemen;139
5.4;4.4 Kapselung durch virtuelle Maschinen;152
5.5;4.5 Softwarebasierte Isolation am Beispiel Singularity;158
5.6;4.6 Das Least Authority (POLA) Prinzip beim Bau von Systemen;164
5.7;4.7 Die Sicherheit von Servern;173
5.8;4.8 Administration;187
5.9;Literatur;193
6;Java Sprach- und Plattformsicherheit;195
6.1;5.1 Die Evolution der Java-Sicherheit;196
6.2;5.2 Sprachbasierte Sicherheit;199
6.3;5.3 Access Control Policies und ihre Implementation;207
6.4;5.4 Designaspekte der Umstellung auf Java 2 Security;230
6.5;5.5 Code Security für Enterprise-Applikationen;235
6.6;Literatur;238
7;Enterprise Security;240
7.1;6.1 Grundlagen von Enterprise Security;241
7.2;6.2 Problematik der Ende-zu-Ende-Sicherheit;250
7.3;6.3 JAVA EE und EJB;259
7.4;6.4 Struts;289
7.5;6.5 Light-weight Container Security: Das Spring Security ( Acegi) Framework;306
7.6;6.6 Grids;314
7.7;6.7 Integration von Conventional-off-the-Shelf (COTS) Applikationen;320
7.8;Literatur;321
8;Application Server Security;323
8.1;7.1 Vom Socket-Server zur Container-Architektur;324
8.2;7.2 Beispielarchitektur eines Applikationsservers;330
8.3;7.3 Security-Interfaces zwischen Server und Applikationen;338
8.4;7.4 Repräsentation von Identität: Die Erstellung eines Subjects;341
8.5;7.5 Probleme zwischen JAAS und JAVA EE;354
8.6;7.6 Absichern von Application-Servern („Hardening“);357
8.7;7.7 Zusammenfassung;371
8.8;Literatur;372
9;Sichere Multi-Vendor Komponentensysteme;373
9.1;8.1 Dynamische Services und ihre Isolation in OSGI;374
9.2;8.2 Sichere Transaktionen mit FINREAD;380
9.3;Literatur;393
10;Web-Services und objektbasierte Sicherheit;394
10.1;9.1 Modelle sicherer Kollaboration;395
10.2;9.2 Objektbasierte Sicherheit;399
10.3;9.3 SOAP Security;405
10.4;9.4 SOA-Security;420
10.5;Literatur;422
11;Sichere Software: Mechanismen und Konstruktionsprinzipien;423
11.1;10.1 Rahmenbedingungen sicherer Software;425
11.2;10.2 Grundlegende Mechanismen sicherer Software;427
11.3;10.3 Sicherheit und Softwarearchitektur;440
11.4;10.4 Concurrency;470
11.5;10.5 Gegenkräfte;481
11.6;10.6 Sicherheit der Applikation;485
11.7;10.7 Sind Sicherheit und Nebenläufigkeit „Aspekte“?;489
11.8;Literatur;491
12;Fehleranalyse;493
12.1;11.1 Fehleranalyse als didaktisches Prinzip;493
12.2;11.2 Fehleranalyse als theoretisches Prinzip;494
12.3;11.3 Datenbasis und Hypothesenbildung;495
12.4;11.4 Die Fehler im Einzelnen;497
12.5;11.5 Klassifikation der Schwachstellen im Mozilla- Firefox- Browser;510
12.6;11.6 Browserarchitektur und Sicherheitskonzepte;512
12.7;Literatur;525
13;Browsersicherheit durch Object Capabilities;526
13.1;12.1 Beschreibung des Experiments;527
13.2;12.2 Architektur, Design und Implementation der Lösung;529
13.3;12.3 Sicherheitsanalyse;535
13.4;Literatur;538
14;Security und Usability;539
14.1;13.1 Zum Verhältnis von Usability und Security;540
14.2;13.2 Lokale vs. fremdvermittelte Sicherheit;542
14.3;Literatur;567
15;Bestimmung der Sicherheit durch formale Ansätze;569
15.1;14.1 Zur Frage der Entscheidbarkeit von Sicherheit;570
15.2;14.2 Der Scoll-Ansatz in der Sicherheitsanalyse (Fred Spiessens);586
15.3;14.3 Prüfung Operationaler Umgebungen;608
15.4;Literatur;619
16;Schlussbetrachtungen;621
16.1;15.1 Security vs. Safety;621
16.2;15.2 Security vs. Usability;622
16.3;15.3 Mehr Sicherheit durch Einschränkung der Nutzer?;624
16.4;15.4 Prozessorientierte Security;624
16.5;15.5 Modellbasierte, integrierte Security;625
16.6;15.6 Zuverlässigkeit und Verfügbarkeit;626
16.7;Literatur;627
17;Index;628