Sicherheitsrisiken mobiler Systeme für den M-Business-Einsatz und Aspekte einer angepaßten IT-Sicherheitspolitik

Diplomarbeit von Kay Fiolka

Einleitung:

Die verstärkte und intensivierte Nutzung mobiler Endgeräte durch Privatleute und insbesondere Unternehmen, wirft Fragen über die Sicherheit der Kommunikation und Datenhaltung auf. Viele unabhängig voneinander durchgeführte Untersuchungen, Einschätzungen und Umfragen zeigen immer wieder deutlich die Relevanz dieses Themas auf, so sei exemplarisch dafür die IBM-Information „Mobile Office“ erwähnt. M-Business kann und wird nach allgemeiner Auffassung erst dann auf breiter Basis eingesetzt werden, wenn die Sicherheit hinreichend gewährleistet werden kann.

Verschiedenste Verfahren zur Verbesserung der unterschiedlichen Sicherheitsaspekte, wie beispielsweise Vertraulichkeit und Datenintegrität, versuchen den zahlreichen Angriffsmethoden und -arten entgegenzuwirken.

Auch um die Gefahrenpotentiale, Verhaltensweisen und Gegenmaßnahmen für jeden Mitarbeiter offensichtlich zu machen, sollte zumindest jedes größere Unternehmen heutzutage eine geschriebene und ausformulierte IT-Security Policy haben. In Deutschland ist das allerdings bei ungefähr zwei Drittel der hier ansässigen Unternehmen nicht der Fall. Dieses Problem zu lösen ist jedoch nicht Gegenstand dieser Arbeit.

Diese Ausarbeitung untersucht, analysiert und beschreibt die prominentesten Technologien für Mobilkommunikation, zeigt welche Schwächen sie haben und welche Angriffsmöglichkeiten dazu bestehen. Sie soll zur Steigerung der Sensibilität gegenüber der ubiquitären Gefahr durch Angriffe und der bestehenden Sicherheitsdefizite der verwendeten Systeme beitragen. Durch die Aufführung der gängigsten Angriffe und ihrer Beschreibung soll dem Leser bewusst gemacht werden, wie einfach es potentiellen Angreifern bei fehlenden Sicherheitsvorkehrungen gemacht wird, unautorisiert Zugriff auf Informationen und Daten zu bekommen. Die Notwendigkeit einer gedanklichen Veränderung beim Einsatz mobiler Systeme in sicherheits-relevanter Umgebung wird zusätzlich durch die Beschreibung und Untersuchung ihres Einflusses auf IT-Security Policies verdeutlicht.

Diese Arbeit beinhaltet keine vollständige technische Beschreibung en detail der Technologien, Verfahren und Angriffe, statt dessen sollen die entscheidenden Kernpunkte benannt werden, die für die obige Zielerreichung notwendig sind.

Die Zielgruppe dieser Arbeit sind IT-Verantwortliche auf Managementebene, für die weniger das exakte Detail, sondern der wesentliche Zusammenhang wichtig ist. Ihnen soll die Möglichkeit gegeben werden, anhand dieser Arbeit einen umfassenden Einblick in die Technik und die Sicherheit bei der Mobilkommunikation zu gewinnen und die Auswirkungen des Einsatzes mobiler Systeme einschätzen zu können, um somit Veränderungen oder Ergänzungen ihres Sicherheitskonzeptes kompetent entscheiden zu können.

Die Theorien werden in einer Tiefe behandelt, die diese Arbeit auch für ein wissenschaftlich orientiertes Publikum interessant machen sollte.

Sie nutzt das streckenweise weit fortgeschrittene Wissen in umfassenden Bereichen wie der Kryptographie, der Protokolle, Angriffsabwehr und anderen tangierenden Themen.

Gang der Untersuchung:

Die Gliederung der Arbeit ergibt sich aus dem Ziel heraus, zuerst ein grundlegendes Verständnis für die Thematik zu erzeugen, danach den hauptsächlichen Gegenstand der Arbeit, die mobilen Systeme, detailliert zu beschreiben, ihre bestehenden Schwachstellen aufzuzeigen, um dann die theoretischen Erkenntnisse anhand praktischer Beispiele zu manifestieren und den Gesamtbetrachtungsraum einer abschließenden Analyse zum Zwecke der Darstellung und Beschreibung gewonnener Erkenntnisse zu unterziehen. Im einzelnen werden in der Arbeit die folgenden Punkte behandelt:

Kapitel 2 stellt die in dieser Arbeit entscheidenden Begriffe wie Mobilität, M-Commerce, M-Business, Mobile Systeme, Dienste und das Thema Sicherheit kurz und prägnant vor, um ein grundlegendes Verständnis, das für den weiteren Verlauf der Arbeit notwendig ist, zu erzeugen.

Danach werden in Kapitel 3 die vorherrschenden Basistechnologien erläutert. Als erste Erklärung für die spezifischen Anforderungen bei mobilen Systemen wird auf die Charakteristika drahtloser Kommunikation per se eingegangen. Danach werden zum Zwecke eines grundlegenden Verständnisses die am häufigsten verwendeten Technologien, ihre Verfahren und Funktionsweisen beschrieben. Dazu gehören nicht nur die zugrundeliegenden Netze, sondern insbesondere auch die verwendeten mobilen Endgeräte und die Server. Dieses Kapitel ist angemessen detailliert geschrieben, da für den intelligenten Einsatz von Sicherheitsverfahren nicht nur das Produkt, sondern auch die Technologie auf der sie aufsetzen soll, verstanden sein muss. Durch ihre ausführliche Beschreibung soll zum einen die Basis für die Darstellung der Defizite in Kapitel 6 und zum anderen die Möglichkeit nicht nur zum Verstehen der Symptome, sondern auch der Ursachen geschaffen werden.

Das Kapitel 4 schließt dieses technische Basisverständnis in einem gesonderten Kapitel ab, in dem die besonderen Anforderungen mobiler Systeme an ein IP-basiertes Netz erläutert werden. Neben den aktuellen Entwicklungen wird auch auf die Absicherung der Kommunikation mittels IPSEC näher eingegangen.

Kapitel 5 beschreibt die verschiedenen Dimensionen der Sicherheit, die in jeweils unterschiedlichen Situationen auch eine unterschiedlich hohe kontextuelle Relevanz haben.

Kapitel 6 gibt nach einem allgemeinen Überblick über die Sicherheitsdefizite der Technologien eine Unterweisung in die Gefährdung der Sicherheit mobiler Systeme durch Vorstellung der Angriffe und der verwendeten Werkzeuge, ihrer Wahrscheinlichkeit und abschließend neben ihrem Einfluss auf die Sicherheitsdimensionen, die gängigsten Gegenmaßnahmen.

Kapitel 7 beschreibt mobile Systeme in der praktischen Verwendung eines Unternehmens, bei dem Sicherheitsentscheidungen bezüglich des Umgangs und der Soft- und Hardware anhand eines eingeführten Szenarios plausibel und greifbar gemacht werden.

Das Kapitel 8 stellt unter Zugrundelegung des aus den vorherigen Kapiteln erarbeiteten Wissens neben der problemorientierten Einführung in IT-Security Policies, eine Untersuchung der Auswirkungen durch den Einsatz mobiler Systeme, unter Berücksichtigung der möglichen Konfrontation von Sicherheit und Flexibilität, auf die IT-Security Policy dar.

Das diese Arbeit abschließende Kapitel 9, gibt neben einer Zusammenfassung noch einen sicherheitsbezogenen Ausblick auf die naheliegende Zukunft.

Inhaltsverzeichnis: