SPOOFING - das Grundproblem im Internet?

Zu einem Grundproblem im Internet wurde "Spoofing" speziell beim Spamming mit dem Ziel, naive Benutzer zur Herausgabe von Passwörtern und Transaktionscodes ("TANs") zu motivieren.

Ein wesentlicher Schutz gegen Angriffe dieser Art auf Bankkonten oder allgemein kritische Informationen ist die Bewusstseinsbildung der Netzwerkbenutzer, die sogenannte Awareness-Bildung.

Darunter versteht man die Sensibilisierung der User beim Umgang mit heiklen Daten - oft reicht schon der Einsatz des "gesunden Menschenverstandes". Kein verantwortungsbewusster Administrator (oder auch keine Bank) wird jemanden auffordern, Zugangsdaten per E-Mail zu versenden oder im Web TANs nur bei einfacher Kontoabfrage (die KEINE Transaktion ist!) einzugeben.

Leider werden die Tricks der Hacker immer raffinierter, die Aufforderungen immer glaubwürdiger (und zunehmend auch in einem besseren Deutsch verfasst).

Firmenzugänge schützen!

Für Firmenzugänge per Internet werden zum Schutz vor Hackern andere Methoden notwendig: Der User benötigt ein "Stück Hardware", einen "Token" und einen Code, der zusammen mit einer Zufallszahl (die z.B. der Token im Minutentakt wechselt) erst den Zugang zu kritischen Daten ermöglicht. Zusätzlich kann dieser Token auch verwendet werden, die übertragenen Daten zu verschlüsseln - der Token "öffnet einen VPN-Tunnel" zur Firma.

Außerdem kann die USB-Schnittstelle auch für die Login-Absicherung des Notebook verwendet werden, oder - von anderen Herstellern - bis zur vollständigen Kryptisierung der Notebookfestplatte führen (inkl. "Pre-Boot-Authentication" - d.h. der User wird identifiziert bevor der Notebook das Betriebssystem hochfährt).

Mit einem Token kann ein kleiner - aber wesentlicher Teil von SPOOFING-Attacken abgewehrt werden, Absender können im kritischen Umfeld eindeutig identifiziert werden - aber wie sieht das vergleichsweise mit einer Chipcard aus? Dazu mehr in der nächsten Folge mit dem Thema : "Digitale Signatur - mit oder ohne Zusatzhardware?"

Sollten Sie Fragen zum beschriebenen Thema oder allgemein zu Securityfragen haben, senden Sie eine kurze E- Mail an die Redaktion.

Dr. Manfred Wöhrl, ist seit mehr als 25 Jahren im Bereich der EDV mit den Spezialgebieten Computervernetzung und Security (CCSE - Checkpoint Certified Security Engineer) tätig. Er ist Lehrbeauftragter an der Wirtschaftsuniversität Wien, Vortragender der Donau-Universität in Krems und Geschäftsführer der R.I.C.S. EDV-GmbH (Research Institute for Computer Science, www.rics.at), spezialisiert auf Securitychecks und Security-Consulting. Dr. Wöhrl ist Vortragender und Betreuer bei einer Reihe von Seminaren und Tagungen und gerichtlich beeideter und zertifizierter Sachverständiger. Manfred.Woehrl@rics.at

Sie haben Security-Probleme - Fragen Sie Dr.Wöhrl

Sollten Sie Fragen zum Thema Spoofing haben, senden Sie eine kurze E-Mail an die MONITOR-Redaktion, troger@monitor.co.at, wir leiten Ihre E-Mail gerne an Dr. Manfred Wöhrl weiter.