©e-commerce monitoring gmbh 2010 e-commerce monitoring gmbh Smart Metering & IT-Sicherheit...
-
Upload
hroda-wibbenmeyer -
Category
Documents
-
view
109 -
download
0
Transcript of ©e-commerce monitoring gmbh 2010 e-commerce monitoring gmbh Smart Metering & IT-Sicherheit...
e-commerce monitoring gmbh ©e-commerce monitoring gmbh 2010
Smart Metering & IT-SicherheitBedrohungsszenarien und Lösungsansätze
Hans G. Zeger, Michael Löffler, e-commerce monitoring gmbhWien, Österreichische Energieagentur, 28. Oktober 2010
e-commerce monitoring gmbh ©e-commerce monitoring gmbh 2010
IT-Sicherheit bei SM
Sicherheit gem. §14 DSG 2000
Sonderbestimmungen zur IT-Sicherhheit
Bedrohungsszenarien
Lösungsansätze
e-commerce monitoring gmbh ©e-commerce monitoring gmbh 2010
Smart Metering
Was ist Smart Metering?Begriff hat in Öffentlichkeit sehr breite Ausdehnung - "alles was keine Ferraris-Zähler sind"
Smart Metering im Rahmen dieses Workshops:
- Elektronische Lastaufzeichnung- Speicherkapazität für mehrere (viele) Datensätze- zeitliche Synchronisation, frei wählbare
Zeitintervalle und Preismodelle- bidirektionaler Datenverkehr- WAN - Anbindung, Bereitstellung verschiedener
Kommunikationsschnittstellen- Modular erweiterbar, inkl. Anschluss weiterer SM-
tauglicher Geräte- Möglichkeit Lastnutzung remote steuerbar
Die Funktionalität muss nicht zwangsläufig im Endgerät lokalisiert sein!
e-commerce monitoring gmbh ©e-commerce monitoring gmbh 2010
IT-Sicherheit
Was ist IT-Sicherheit?- Sicherung der Authentizität- Sicherung der Integrität- Sicherung der Vertraulichkeit- Sicherung der Verfügbarkeit
- allgemeine Betriebssicherheit (OS, Applikationen, Geräte, Netzwerk, Operating, Prozesse, ...)
- Katastrophenschutz
Deliktschutz: betrifft alle SicherheitsbereicheDelikte sind nur als ein Auslöser unter vielen anzusehen (andere sind etwa Fahrlässigkeiten, Unwissenheit der Mitarbeiter, Fehleinschätzungen der Geschäftsführung, technische Gebrechen, ...
e-commerce monitoring gmbh ©e-commerce monitoring gmbh 2010
IT-Sicherheit
Verhältnis von Datensicherheit (IT-Sicherheit) und Datenschutz (Privacy)
IT-Sicherheit behandelt vorrangig technische FragenWas ist machbar? Was ist möglich?Im Zentrum stehen Abwehrszenarien
Datenschutz behandelt vorrangig (grund)rechtliche Fragen
Was ist erwünscht?Im Zentrum stehen
Gestaltungsszenarien
Sicherheitsmaßnahmen ohne direkte Datenschutzrelevanz: Katastrophenschutz, wie Blitz-, Feuer-, Erdbebenschutz
Datenschutz
Zugriffsschutz, Protokollierung,
Rechteverwaltung, Ausspähen von
Daten, Datenbeschädigun
g,Passwörter
IT-Sicherheit
Grundrechtliche Fragen ohne direkten IT-Bezug:
Zweckbindung, Melde- und Offenlegungspflichten,
Beobachtungsschutz, infomationelle
Selbstbestimmung
e-commerce monitoring gmbh ©e-commerce monitoring gmbh 2010
Sicherheitsbestimmungen (§14)
Sicherheitsmaßnahmen haben einen Ausgleich zwischen folgenden Punkten zu finden:
Stand der Technik entsprechend
wirtschaftlich vertretbar
angemessenes Schutzniveau muss erreicht werden
In Österreich gibt es seit 2003 ein "offizielles" IT-Sicherheitshandbuch,
das 2007 in Version 2.3 vom Ministerrat empfohlen wurde
DSG 2000 - Sicherheitsbestimmungen
e-commerce monitoring gmbh ©e-commerce monitoring gmbh 2010
DSG 2000 - Sicherheitsbestimmungen
rechtlich-organisatorische Sicherheitsmaßnahmen
- ausdrückliche Aufgabenverteilung- ausschließlich auftragsgemäße Datenverwendung- Belehrungspflicht der Mitarbeiter- Regelung der Zugriffs- und Zutrittsberechtigungen- Vorkehrungen gegen unberechtigte Inbetriebnahme von Geräten
- Dokumentationspflicht zur Kontrolle und Beweissicherung
- ProtokollierungspflichtInsgesamt können die Maßnahmen als Verpflichtung zu einer Security-Policy
verstanden werden!z.B. gemäß BSI M 2.192 Erstellung einer IT-
Sicherheitsleitlinie
e-commerce monitoring gmbh ©e-commerce monitoring gmbh 2010
Protokollierung des IT-Betriebs (§ 14 DSG 2000)
- Protokolldaten dürfen nur eingeschränkt verwendet werden(zur Kontrolle der Zulässigkeit der Verwendung)
- zulässig ist die Verwendung zur Aufklärung von Straftaten, die mit mehr als fünfjähriger Freiheitsstrafe bedroht sind
- Aufbewahrungsdauer ist drei Jahre, sofern gesetzliche Bestimmungen nichts anderes vorsehen
- Frühere Löschung zulässig, wenn betroffener Datenbestand ebenfalls gelöscht ist
DSG 2000 - Sicherheitsbestimmungen
e-commerce monitoring gmbh ©e-commerce monitoring gmbh 2010
DSG 2000 - Verschwiegenheitsverpflichtung
Verpflichtung zum Datengeheimnis (§ 15)Mitarbeiter sind - sofern nicht andere berufliche Verschwiegenheitspflichten gelten - vertraglich zu binden.
Mitarbeiter dürfen Daten nur aufgrund einer ausdrücklichen Anordnung übermitteln.
Mitarbeiter sind über die Folgen der Verletzung des Datengeheimnisses zu belehren.
Mitarbeitern darf aus der Verweigerung der Befolgung einer Anordnung einer rechtswidrigen Datenübermittlung kein Nachteil erwachsen.
Bereitstellungspflicht der Datensicherheitsmaßnahmen (§ 14 Abs. 6)
e-commerce monitoring gmbh ©e-commerce monitoring gmbh 2010
spezifische Sicherheitsbestimmungen
Bestehende Sicherheitsanforderungen in Ö- Verschlüsselung bei Webapplikationen / in der
DatenübertragungGrundlage: ePrivacy-RL 2002/58/EG
- Besondere Sicherheitsmaßnahmen bei GesundheitsdatenGrundlage: GTelG + GTelVO
- Sicherheit in der elektronischen RechnungslegungGrundlage: EG-RL 2001/115/EG, BMF-Verordnung BGBl 583/2003
- Sicherheitsbestimmungen + Genehmigungsverfahren bei Digitaler SignaturGrundlage: EG-RL 1999/93/EG, SigG, SigV
- Einsatz der BürgerkarteGrundlage: E-GovG
e-commerce monitoring gmbh ©e-commerce monitoring gmbh 2010
spezifische Sicherheitsbestimmungen
Bestehende Sicherheitsanforderungen in Ö II
- Medikamentenabrechnung der Apotheken, VideoüberwachungGrundlage: StMV 2004 des Bundeskanzleramtes
- Webapplikationen der BehördenGrundlage: Portalverbundprotokoll pvp 1.8.9, eine privatrechtliche Vereinbarung
- BankomatkassenGrundlage: privatrechtliche Vorgaben des Betreibers
- e-card/GINA-Box + Peering-Point der ÄrzteGrundlage: privatrechtliche Vereinbarungen
- ?????????Grundlage: ?????????
e-commerce monitoring gmbh ©e-commerce monitoring gmbh 2010
Datenverschlüsselung von WebapplikationenKeine ausdrückliche Anordnung, jedoch gilt: Stand der Technik, Wirtschaftlichkeit, Angemessenheit (siehe 2002/58/EG Kommunikations-Datenschutz-RL, EG 20, Art. 4)
128bit-SSL/TLS-Verschlüsselung kann heute als defacto-Standard / Stand der Technik angesehen werden, die DSK schreibt ihn in mehreren Fällen vor)
Verwendung von verschlüsselter Datenübertragung bei Webformularen (Analyse 03/2009)
- Webseiten österreichische Anbieter: 6%(!!) [ausgewertet: 944 Server]
- Webseiten internationale Anbieter: 15% [ausgewertet:120 Server]
Server in ausgewählten Bereichen:
- Finanzdienstleister (73): verschlüsselt 11 (15%), unverschlüsselt kritisch 13 (18%), unverschlüsselt sonstige 49 (67%)
- Gesundheit (46): V 4 (9%), uV kritisch 7 (15%), uV sonstige 35 (76%)
- Telekom/IT-Dienstleister (729): V 51 (6%), uV kritisch 159 (19%), uV sonstige 591 (75%)
Online - Sicherheit
e-commerce monitoring gmbh ©e-commerce monitoring gmbh 2010
spezifische Sicherheitsbestimmungen
Besondere Sicherheitsmaßnahmen bei Gesundheitsdaten
- Regelung im Gesundheitstelematikgesetz GTelG (2005)
- Umfasst Gesundheitsdaten inkl. Abrechnungsdaten und soziale Daten
- Datenaustausch durch Serverzertifikate abgesichert
- Identitätsnachweis durch Zertifikate oder Zugangsberechtigung
- Datenübertragung im Internet muß verschlüsselt erfolgen
- Dateien sind zu signieren (Integritätsnachweis)
Umsetzung derzeit (Ende 2010) de facto nicht gegeben, da viele Ausnahmen und GTelVO aus 2008 erlaubt
Abweichen
e-commerce monitoring gmbh ©e-commerce monitoring gmbh 2010
spezifische Sicherheitsbestimmungen
Sicherheit in der elektronischen Rechnungslegung
- 2001: EU-RL 2001/115/EG (Mehrwertsteuerrichtlinie)
- 2003: Verordnung 583/2003 des BMF zur elektronischen Rechnungslegung
elektronische Rechnungen sind fortgeschritten zu signieren oder
falls mittels EDI-Verfahren übermittelt, ist Sammelrechnung ebenfalls zu signieren oder ausgedruckt zu übermiteln
- 2005: Erlass des BMF zur Verordnung regelt u.a. Gültigkeit von Massensignatur, automatisierte
Signatur, Signatur durch Dienstleister, ...
- 20??: Ende der unsignierten Fax-Rechnung
- 2011: Ende spezifischer Sicherheitsanforderungen in der Rechnungslegung??
e-commerce monitoring gmbh ©e-commerce monitoring gmbh 2010
spezifische Sicherheitsbestimmungen
Digitale SignaturRechtsgrundlagen:
EG-RL 1999/93/EG "Rahmenbedingungen für elektronische Signaturen"SigG BGBl. I Nr. 190/1999 + SigVO BGBl. II Nr. 3/2008E-GovG BGBl. I Nr. 10/2004 "Erleichterung des elektronischen Verkehrs mit öffentlichen Stellen"
Zielsetzung:Regelt Rechtswirksamkeit digitaler Signaturen: grundsätzliche Zulässigkeit aller technischer Verfahren, besondere Rechtswirkung bestimmter Verfahren (§ 3)
Inhalt:Genehmigungspflicht und Aufsicht durch Behörde bei bestimmten Verfahren ("qualifiziertes Zertifikat"),Verordnung schreibt bestimmte Techniken vor (Hashfunktionen, Signaturalgorithmen, Erzeugung von Zufallszahlen)
e-commerce monitoring gmbh ©e-commerce monitoring gmbh 2010
spezifische Sicherheitsbestimmungen
Einsatz der BürgerkarteRechtsgrundlagen:
E-GovG BGBl. I Nr. 10/2004 "Erleichterung des elektronischen Verkehrs mit öffentlichen Stellen"
Zielsetzung:Regelt Form der "rechtserheblichen" elektronischen Kommunikation (vorrangig mit Behörden)
Inhalt:Bürgerkarte als "digitaler Ausweis": verknüpft Identitätsdaten, Sicehrheitsdaten und "qualifizierte" digitale Signaturmit besonderen Bestimmungen der Prüfung des Antragstellers ("Stammregisterbehörde", "Personenbindung")jedoch: kein Sicherheitskonzept in der Anwendung!Anwendung der Bürgerkarte nicht geregelt!
e-commerce monitoring gmbh ©e-commerce monitoring gmbh 2010
Medikamentenabrechnung der Apotheken / Videoüberwachung - Verschlüsselung
Rechtsgrundlagen:StMV 2004 des Bundeskanzleramts (BGBl. II Nr. 312/2004 idgF)
Zielsetzung:Einhaltung der Sicherheitsbestimmungen gem. § 14 DSG 2000
Inhalt:SA026 "Verrechnung ärztlicher Verschreibungen für Rechnung begünstigter Bezieher durch Apotheken": Übermittlung der Datensätze an den Empfänger in sicherer, verschlüsselter FormSA032 "Videoüberwachung": Verschlüsselte Videoüberwachung [gemeint wohl: verschlüsselte Aufbewahrung]
spezifische Sicherheitsbestimmungen
e-commerce monitoring gmbh ©e-commerce monitoring gmbh 2010
Portalverbund im Rahmen des eGovernment
Viele Anwendungen können über eine einheitliche Schnittstelle benutzt werden.
Quelle Graphik: Portalverbund Whitepaper
spezifische Sicherheitsbestimmungen
e-commerce monitoring gmbh ©e-commerce monitoring gmbh 2010
Was ist der Portalverbund?- Zusammenschluss verschiedenster
eGovernmentanwendungen
- Betreiber: Länder, Ministerien, Körperschaften, ...
- Vorteile:- Single Point of Administration: zentrale
Verwaltung der Benutzerrechte
- Single Sign On (SSO): ein Benutzerkennzeichen für alle Anwendungen
- einheitliches technisches Konzept und einheitliche Betreuung, vereinfachter Betrieb
- angebotene Dienste (Beispiele):- BMI/ZMR, EKIS, BRZ/Führerscheinregister,
Firmenbuch, BMWA/Gewerberegister
Portalverbund bei eGovernment
e-commerce monitoring gmbh ©e-commerce monitoring gmbh 2010
Was ist der Portalverbund? II
konzeptionell: "Web of Trust"
technisch: ein Extranet, Umsetzung durch das Portalverbundsprotokoll (derzeit pvp 1.8.9)
datenschutzrechtlich: - Datenübermittlung im Sinne des §4 Z12- Informationsverbundsystem gem. § 50 DSG 2000
Rechtsgrundlage: privatrechtliche Vereinbarung
Vereinbarung pvv 1.0 sieht im §9 Sicherheitsbestimmungen vor, insbeondere Konzept der Sicherheitsklassen
Portalverbund bei eGovernment
e-commerce monitoring gmbh ©e-commerce monitoring gmbh 2010
Smartmeter als IT-System
Besonderheiten von Smart Meter- SM ist grundsätzlich ein IT-System, wie viele andere
- muss wartungs- und bedienungsfrei sein
- extrem hohe Zuverlässigkeitsanforderungen, da Fehler-/Ausfall weitreichende Konsequenzen hat
- nicht bloß passives Zähl- und Messsystem, sondern interaktives Steuersystem
- im Gegensatz zum Ferraris-Zähler (keine Datenübertragung) findet bei SM bidirektionale Datenübertragung statt
- Millionenfache Verbreitung praktisch identer Geräte ("Monokultur"), siehe GSM, Satelliten-Dekoder, Spielkonsolen- Unterschiedliche Interessenslage von Benutzer und Betreiber
e-commerce monitoring gmbh ©e-commerce monitoring gmbh 2010
Bedrohungsszenarien
Unzureichende technische Verfügbarkeit- Defekt des Smart Meters:
Ausfall einzelner Komponenten, mangelnde Stromversorgung, Kurzschluss, sonstige elektromagnetische Störungen, ...
- Probleme bei Datenübertragung:Powerline-Kommunikation (PLC): Entfernung zur Trafostation (300m), FunkstörungFestnetz (POTS, xDSL, ISDN): Verfügbarkeit einer fixen Anbindung, Abhängigkeit von Dritt-BetreiberMobilnetz (GSM, GPRS, UMTS): Funkstörungen, "Funklöcher", Abhängigkeit von Dritt-Betreiber
- Datenverlust bei der Weiterverarbeitung:Absturz/Ausfälle der Webapplikationen/Hardware, Bedienfehler der Mitarbeiter (z.B. Löschung von Datensätzen, ...),
[- Kommunikation von Endgeräten mit Smartmeter:Funkstörungen]
e-commerce monitoring gmbh ©e-commerce monitoring gmbh 2010
Bedrohungsszenarien
Manipulationen durch den BenutzerZiel(e): Manipulation (Senkung) des Stromverbrauchs, Wiedereinschaltung von Geräten, Erhöhung des zulässigen Verbrauchs, Veränderungen der Verbrauchsmuster (Blindstromanteil), Vortäuschen einer Rückspeisung
- hardwartechnische ManipulationenBeispiele: Kurzschluss des Zählers mit Besteck, Kabel
- softwaretechnische ManipulationenBeispiele: Abfangen von übermittelten Zählerständen, Rücksetzen von Zählerständen
- energietechnische ManipulationenBeispiele: Absenken der Versorgungsspannung des SM auf 160-180V (Manipulationen der Zuleitungen)
e-commerce monitoring gmbh ©e-commerce monitoring gmbh 2010
Bedrohungsszenarien
Manipulationen durch Betreiber (Mitarbeiter)Ziel(e): Ausgleich von Verbrauchsschwund, Frustabbau, Optimierung von Erlösen, ...
- unberechtigte Abschaltungen/SM-Eingriffe
- Manipulationen an den übermittelten Datensätzen
- Manipulation an den Systemzeiten
e-commerce monitoring gmbh ©e-commerce monitoring gmbh 2010
Bedrohungsszenarien
Manipulationen durch DritteZiel(e): Störung der Verfügbarkeit der Energieversorgung allgemein, Vertrauensverlust gegenüber Stromlieferanten, gezielte Schädigung "unliebsamer" Personen
- DoS- oder DDoS-Attacken gegen SM-GeräteRisiko/Relevanz: hoch (bisher keine direkten Erfahrungen)
- direkte Manipulation der Software des SM-GerätsRisiko/Relevanz: hoch (vergleichbare Systeme werden durch Ausspähen hardcodierter Passwörter geknackt)
- Unterdrücken der Datenübertragung vom SM-GerätRisiko/Relevanz: hoch (bisher keine Erfahrungen, Konsequenz? Stromabschaltung?)
- Wurm-/Trojaner-Angriffe auf SM-Steuerung (SCADA-Schnittstelle)Risiko/Relevanz: hoch (mit STUXNET seit 7/2010 erste Erfahrungen, Gegenmaßnahmen derzeit schwer zu implementieren)
e-commerce monitoring gmbh ©e-commerce monitoring gmbh 2010
Bedrohungsszenarien
Manipulationen durch Dritte II- Ausspähen/Manipulieren der Kommunikation zwischen
Endgeräten und SM-GerätZigBee-Standard ähnlich leicht zu knacken wie WLAN-WEPRisiko/Relevanz: hoch
- Manipulation der übertragenen DatenRisiko/Relevanz: derzeit gering (keine Vorfälle bekannt, ist technisch gut beherrschbar)
- DoS- oder DDoS-Attacken gegen Web-Portale / Weiterverarbeitung der DatenRisiko/Relevanz: hoch (häufiges Phänomen, kann durch technische Maßnahmen gut abgefangen werden)
- SQL InjectionRisiko/Relevanz: hoch (häufiges Phänomen, kann durch Softwareengineering vermieden werden)
e-commerce monitoring gmbh ©e-commerce monitoring gmbh 2010
Bedrohungsszenarien
Manipulationen durch Dritte III- Phishing-Attacken gegen Infoportale
Risiko/Relevanz: hoch (häufiges Phänomen, kann durch organisatorische Maßnahmen vermieden werden)
- Spam-Attacken über InfoschnittstellenRisiko/Relevanz: hoch (kann durch geeignete Protokolle/Signaturen vermieden werden)
e-commerce monitoring gmbh ©e-commerce monitoring gmbh 2010
Sicherheitstechnische Konsequenzen
Beobachtungen bei Einführung vergleichbarer Techniken
- GSM-Daten mithörenSchwachstelle: verwendete A5/1-Verschlüsselung kann vorberechnet werden (2 TB-große Tabelle mit allen Schlüsseln)
- WLANSchwachstelle: WEP schwache Verschlüsselungsverfahren
- eMailSchwachstelle: keinerlei Authentifizierungs-, Integritäts- und Vertraulichkeitsmechanismen
- BluetoothSchwachstelle: Session-Schlüssel kann angestoßen / mitgeschnitten werden, Brutforce-Attacke besonders bei Handys mit bloß 4-Ziffern-Passwort leicht; Handys von Nokia, Panasonic, Siemens und Sony Ericsson wiesen Sicherheitslücken auf
e-commerce monitoring gmbh ©e-commerce monitoring gmbh 2010
Sicherheitstechnische Konsequenzen
Beobachtungen bei Einführung vergleichbarer Techniken II
- TV-/Satelliten-Decoder/Spielkonsolen/KopierschutzSchwachstelle(n): hardcodierte Schlüssel/Passwörter, zu kurze Passwörter, zu viele Passwörter, Insiderinformationen, umgehen des Passwortschutzes
- DVD: 40-bit Schlüssel aller Hersteller auf allen DVDs vorhanden, 1. Schlüssel durch Insiderinformationen bekannt, Gesamtsystem wegen unverschlüsselter Abspeicherung auf Software eines DVD-Players (Dauer: einige Wochen nach Markteinführung)Siehe auch Siemens SCADA-System: hardcodiertes PSW im Internet jahrelang veröffentlicht
- iPhone: (starke) 256-Bit-AES-Verschlüsselung kann umgangen werden, wen iPhone vorab mit Ubuntu-Linux-Distribution hochgefahren wird
- digitale Signatur nach X.509v3, Verschlüsselung RSA, ECSchwachstelle: bisher keine bekannt
e-commerce monitoring gmbh ©e-commerce monitoring gmbh 2010
Sicherheitstechnische Konsequenzen
niedrig
hoch
hoch
hoch
Authentifizierung
Integrität
Vertraulichkeit
WLAN WLAN (WEP) WLAN (WPA)
Verschlüsselung
Signatur
GSM
Wo soll sich SM positionieren?
Werden bei Einführung eines Dienstes Sicherheitstechniken
"vergessen", sind sie nachträglich de facto nicht mehr, nur partiell, mit
hohen Kosten oder nur unsicher implementierbar
e-commerce monitoring gmbh ©e-commerce monitoring gmbh 2010
Lösungsansätze
Sicherheitsstandards (IT-seitig)- Kryptographische Verfahren (Bauteile)
Standard (Beispiel): NIST FIPS 140-2 (Level 2)Beschreibt soft- und hardwaretechnische Anforderungen beim Erzeugen, Verwalten und Verwenden von kryptographischen Systemen (Level 2 = geeigneter Algorithmus + manipulationsgeschützte Hardware)
- GerätesicherheitStandard (Beispiel): CommonCriteria V3.1 (EAL 4)Bewertet die Qualität und Funktionalität eines IT-Systems, wobei verschiedene Prüftiefen definiert werden (EAL 4 = System wurde methodisch entwickelt, getestet und durchgesehen)
e-commerce monitoring gmbh ©e-commerce monitoring gmbh 2010
Lösungsansätze
Sicherheitsstandards (IT-seitig) II- Betriebssicherheit
Standard (Beispiel): ISO 27001Beschreibt ein Sicherheitsmanagementsystem und umfasst sowohl technische, als auch organisatorische Aspekte
- Kommunikations-/ÜbertragungssicherheitStandard (Beispiel): SSL/TLS (rfc2818), WPA/WPA2 (IEEE 802.11i), ...SSL/TLS beschreibt auf Transportebene Sicherheitsanforderungen und dient zur Absicherung der Datenüebrtragung, heute bei Internetverbindung "defacto"-StandardWPA/WPA2 beschreibt die Übertragungssicherheit in WLAN-Netzen
e-commerce monitoring gmbh ©e-commerce monitoring gmbh 2010
spezifische Sicherheitsbestimmungen
Sicherheitsstandards (IT-seitig) IIISicherheit von Web ApplikationÖNORM A 7700 ("Sicherheitstechnische Anforderungen an Webapplikationen")Regelt unter anderem
- Architektur der Web-Applikation- Authentisierung und Sitzungsmanagement- Formulare und andere Benutzereingaben- Ausführung externer Programme- Datenbanken- System-/Fehlermeldungen- Kryptographie
ÖNORM A 7700 ist Nachfolge der ONR 17700
Es kann auch ein staatlich anerkanntes Zertifikat erlangt werden
derzeit sind drei Anwendungen nach ONR 17700 und zwei nach ÖNORM A 7700 zertifiziert (Stand FJ 2010)
e-commerce monitoring gmbh ©e-commerce monitoring gmbh 2010
Lösungsansätze
Sicherheit und Smart-Meter im Blickwinkel bestehender RegelungenRegelungen:
- Richtlinie 2009/72/EG - gemeinsame Vorschriften für den Elektrizitätsbinnenmarkt
- Elektrizitätswirtschafts- und –organisationsgesetz - ElWOG - StF: BGBl. I Nr. 143/1998 (inkl. Entwurf 2010)
- Maß- und Eichgesetz - MEG - StF: BGBl. Nr. 152/1950
Sicherheitshinweise:- Sicherheit meist auf Versorgungssicherheit reduziert- sonstige Sicherheit abstrakt beschrieben: Art. 2 Z 28
2009/72/EG bzw. § 7 Z 35b ElWOG "„Sicherheit“ sowohl die Sicherheit der Elektrizitätsversorgung und -bereitstellung als auch die Betriebssicherheit;"
- 2009/72/EG Art. 42 Ermächtigung für nationale Sicherheitsmaßnahmen
e-commerce monitoring gmbh ©e-commerce monitoring gmbh 2010
Lösungsansätze
Sicherheit und Smart-Meter im Blickwinkel bestehender Regelungen IISicherheitshinweise:
- ElWOG neu: Verordnungsermächtigung (§ 19, jedoch ohne Informationssicherheit)
Smart-Meter:- ElWOG neu: SM als bidirektionales System definiert (§ 7 Z
33)- ElWOG neu: Verordnungsermächtigung der
Regulierungsbehörde bei SM-Einsatz + Vorgaben zur Ausstatung (§ 83, jedoch keine Hinweise auf IT-Sicherheitsvorgaben)
- ElWOG neu: Informationsverpflichtung bei SM-Einsatz über das Internet (§ 84, jedoch keine Sicherheitsvorgaben)
Berichtspflicht & Messdaten:- ElWOG neu: Mindestverpflichtung in Ablese +
Plausibilitätskontrolle bei Benutzerablesung (§ 57 Abs. 4, jedoch keine Sicherheitsmaßnahmen bei elektronischer Üebrtragung)
- ElWOG neu: Bereitstellung von Angaben zur Datenqualität (§ 40 Z 17, jedoch keine Vorgaben zur Mindestqualität)
e-commerce monitoring gmbh ©e-commerce monitoring gmbh 2010
Lösungsansätze
Rahmen einer rechtliche Regelung- grundsätzliche Regelung des SM-Einsatzes im ElWOG
- laufende Anpassung der technischen Sicherheitsanforderungen durch Verordnung (analog SigV oder GTelVO)
- Verpflichtung zu bestimmten organisatorischen Maßnahmen (2 * 4-Augen-Prinzip bei zentralen Verarbeitungsbereichen)
- Typisierung und Zulassung der Systeme durch Aufsichtsstelle (analog: Signaturerstellungseinheiten und Zertifizierungsdienstanbieter)
Mögliche sonstige Problemstellungen- Vertragsprobleme bei Nutzung des Internetanschlusses
des Strombeziehers für Übertragung der SM-Daten
Derzeit existiert keine Gesamtkonzeption zur IT-Sicherheit bei Smart Meter
Geregelt ist etwa die Mess- und die Störungssicherheit bei PLC
e-commerce monitoring gmbh ©e-commerce monitoring gmbh 2010
Lösungsansätze
Alternative zu Smartmeter?- Verwendung "einfacher"/"halb"intelligenter elektronischer
Zähler
- Beispiel: Zähler modular konzipiert, Basis ist der "EDL21"-Zähler gemäß Spezifikation EnWG § 21b (D)
reduzierte Funktionalität:- beschränkte Aufzeichnungsmöglichkeiten (im Stundentakt),
Summierungsmöglichkeiten (1 Tag, 1 Woche, 30 Tage, 1 Jahr)
- vereinfachte Tarifmodelle (nur zwei möglich)- keine Zeitsynchronisation- keine Anbindung an Datenleitungen
jedoch:- HMI-Interface für PIN-Eingabe, Sperren usw ("optischer"
Taster)- maschinelles Auslesen der Daten möglich (Infrarot-
Schnittstelle)- Integrität wird durch Signaturverfahren gesichert
(asymetrisch, ECC192Bit)- 2 getrennte Schnittstellen (für Betreiber und für Kunden)
e-commerce monitoring gmbh ©e-commerce monitoring gmbh 2010
Umsetzung Sicherheitsanforderungen
Konsequenzen mangelhafter SM-Sicherheit- Verwaltungsstrafe: nach DSG §52 Abs. 2
Verwaltungsübertretung mit Strafe bis 10.000 Euro
- Zivilrechtliche Haftung: Unternehmen bzw. Dienstnehmer könnten für Folgeschäden haften, auch Gehilfenhaftung
- UWG-Verfahren: Mitbewerber könnten fehlende Sicherheitsmaßnahmen als Versuch eines unlauteren Wettbewerbsvorteils einklagen
- immaterieller Schadenersatz: bei prangerartigen oder bloßstellenden Folgen §33 DSG, §1328a ABGB, Medienrecht
- Strafrecht: bei vorsätzlichen Handlungen (es genügt Schaden wird bewusst in Kauf genommen), z.B. §51 DSG, §§ 302/310 StGB, §§ 119/a StGB
- Imageschaden: Vertrauensverlust von Kunden und Öffentlichkeit
e-commerce monitoring gmbh ©e-commerce monitoring gmbh 2010
Ich danke für Ihre Aufmerksamkeit
e-commerce monitoring gmbh ©e-commerce monitoring gmbh 2010
http://www.cert.org/
http://www.antiphishing.org/
http://www.netcraft.com
http://www.bsi.bund.de/
http://www.cert.dfn.de/
allgemeine Onlineinformation
e-commerce monitoring gmbh ©e-commerce monitoring gmbh 2010
Sonstige Seiten
e-commerce monitoring gmbh ©e-commerce monitoring gmbh 2010
Sicherheitsanforderungen Portalverbund- durch vier Komponenten definiert
- Authentifizierung- Identifizierung- IT-Grundschutz/Sicherheitskonzept- Personelle Maßnahmen (Schulung/Verpflichtung)
- Art der Authentifizierung des Anwendersgeheimes Wissen (Passwort), Besitz, Biometrie
- Art der Identifizierung des AnwendersIdentifizierung mit Ausweis, ZMR-Abfrage des Anwenders, ...
- IT-Grundschutz/SicherheitskonzeptSchutz der IT-Infrastruktur, Aufstellung Geräte
- Personelle MaßnahmenGrundschulung + Spezialschulung, Verpflichtung
Portalverbund bei eGovernment
e-commerce monitoring gmbh ©e-commerce monitoring gmbh 2010
Grundzüge Sicherheitskonzept Portalverbund- Rollenkonzept
- strukturierte Anwenderverwaltung im Stammportal
- zusätzliche Benutzerverwaltung in der Anwendung
- limitierter Zugang mittels Client-Zertifikate (TLS-Verbindung)
- Nutzung mittels Sicherheitsklassen
- technische Umsetzung liegt in der Veranwortung des jeweiligen Auftraggebers!
- nicht geregelt:Verwendung technischer Komponenten
Portalverbund bei eGovernment
e-commerce monitoring gmbh ©e-commerce monitoring gmbh 2010
Lösungsansätze
Kryptographische Sicherheit NIST FIPS 140-2
e-commerce monitoring gmbh ©e-commerce monitoring gmbh 2010
Lösungsansätze
Gerätesicherheit CommonCriteria V3.1 EAL 4-
e-commerce monitoring gmbh ©e-commerce monitoring gmbh 2010
Lösungsansätze
Betriebssicherheit ISO 27001-
e-commerce monitoring gmbh ©e-commerce monitoring gmbh 2010
Lösungsansätze
Übertragungssicherheit TLS/SSL, WPA- .........
e-commerce monitoring gmbh ©e-commerce monitoring gmbh 2010
Umsetzung Sicherheitsanforderungen
60
70
85
95
136
385
444
3480
32
495
347
106
0 500 1000 1500 2000 2500 3000 3500 4000
Österreich
Italien
Ungarn
Tschechien
USA
Südkorea
Deutschland
China
Taiwan
Großbritannien
Indien
Japan
Gesamtzahl der bis 22. April 2010 durchgeführten Zertifizierungen: 6385(Quelle: http://www.iso27001certificates.com)
Zertifizierungen ISO 27001 weltweit (Stand 4/2010)
Stark wachsende Länder
e-commerce monitoring gmbh ©e-commerce monitoring gmbh 2010
SPAM-Problem - Ausmaß
Quelle: Symantec
Internet-Sicherheit
e-commerce monitoring gmbh ©e-commerce monitoring gmbh 2010
2002/58/EG (Kommunikations-Datenschutz-RL, EG20, Art. 4)
- grundsätzliche Anforderung ähnlich der allg. DS-Richtlinie:angemessen, Stand der Technik, wirtschaftlich vertretbar
zusätzlich: - Ausdehnung (auf gesamte Kommunikation)- Informationspflicht des Nutzers/Teilnehmers über
besondere Sicherheitsrisken und deren Vermeidung- Information hat kostenfrei zu erfolgen (abgesehen von
Empfangskosten)
Stand der Technik- im Zusammenhang mit Internet sind SSL128 (TSL) und
VPN "Stand der Technik"
- Hochgradige Standardisierung im Internet erleichtert sowohl Angriffe und als auch Behebung der Lücken
EU-Kommunikations-Datenschutzrichtlinie
e-commerce monitoring gmbh ©e-commerce monitoring gmbh 2010
Datenschutz und Sicherheit
Themenkreis Privatsphäre & Internet- Grundsätzlich gelten dieselben DSG-Bestimmungen
(+ TKG-Regeln)
Spezifische Internetprobleme
Auftraggeberproblem, Zweckbindung
- Wer verwendet welche Daten zu welchen Zweck?
- Umfang der zulässig verwendeten Daten
Identifikationsproblem (Authentisierung)
- die Gegenseite kennen (Anbieter/Nutzer)
- Identifikation von Benutzern (und Anbietern)
Rechtsdurchsetzungsproblem
- Datenfluss in Nicht-EU-Staaten
e-commerce monitoring gmbh ©e-commerce monitoring gmbh 2010
Haftung bei Phishing-Attacken?Was ist Phishing?- Diebstahl der Benutzeridentität unter Vorspiegelung einer
falschen Anbieteridentität
Verantwortung des Benutzers- Prüf- und Sorgfaltspflichten bei der Benutzung einer Website
oder der Bekanntgabe von persönlichen (identifizierenden) Merkmalen
Verantwortung des Anbieters- Durchschaubare Präsentation seines Dienstangebots,
insbesondere was URL-name, Seitendesign (keine Frames!), Mailversand, SSL-Zertifikat betrifft
Abhilfe- Digitale Client-ZertifikateIn der Regel wird keine Haftung, in Einzelfällen jedoch Mitverantwortung bestehen
Datenschutzfragen Internettechniken
e-commerce monitoring gmbh ©e-commerce monitoring gmbh 2010
Einsatz von Tracking-Techniken - Tracking: Instrumente um Benutzer(verhalten) zu
identifizieren, zu verfolgen und zu analysieren
- verschiedenste Namen/Techniken: Web-Bugs, Cookies, Web-Beacons, Hidden Identifiers, Spyware, ...
Typische Tracking-Informationen- Wie lang wurde welche Seite, in welcher Reihenfolge
angesehen ("Surfverhalten")?
- Welche Artikel wurden in welcher Kombination bestellt?
Probleme- Umfang- Durchschaubarkeit (wird sich auch an Kenntnis des
Zielpublikums orientieren müssen)- Zustimmung (ausdrückliche / konkludente Zustimmung)- unternehmensübergreifendes Tracking- Vermeidung der nachträglichen Benutzerzuordnung
Datenschutzfragen Internettechniken
e-commerce monitoring gmbh ©e-commerce monitoring gmbh 2010
Tracking II
2002/58/EG (TK-Datenschutzrichtlinie, EG24/25)
- gem. EU-Richtlinie grundsätzlich zulässig- "klare und genaue Information über den Zweck"- Ablehnung muss möglich sein (Einstellbarkeit einmalig im
Browser genügt)- in Verbindung mit Verpflichtung zu Sicherheitsmaßnahmen:
defacto-Verbot der Speicherung vertraulicher Daten im Klartext
nicht konfigurierbare Browser in Cybercafes können Richtlinie widersprechen!
Datenschutzfragen Internettechniken
e-commerce monitoring gmbh ©e-commerce monitoring gmbh 2010
Cookie-Verwendung
Privacy-Gefährdungspotentiale- bei gemeinsamer Nutzung des Computers durch mehrere
Personen könnten persönliche Informationen von Dritten verwendet werden
- Ausspähen von Interessensprofilen
- Einsatz von Cookie-Servern / Cookies in Werbebannern erlauben User-Traking
2002/58/EG (TK-Datenschutzrichtlinie)- dürfen nicht überrumpelnd eingesetzt werden
- Bei Übergang auf Seiten mit Cookies ist das (browserunabhängig) anzuzeigen
- Aus unserer Sicht ist die Verwendung von Cookies schon auf der "Homepage" unzulässig
Datenschutzfragen Internettechniken
e-commerce monitoring gmbh ©e-commerce monitoring gmbh 2010
eMail im Blickwinkel der Privatsphäre- TKG-SPAM-Regelung §107, Abwehrrechte
- Filtersoftware oft problematisch und schlecht zu konfigurieren
- Blocking- ("Blacklist"-) Server können zu Haftungsproblemen führen
- SPAM & Würmer als "siamesische Zwillinge"
- Mail als unerwünschte Nachricht ist nicht immer SPAM
Ausblick und Entwicklung von Mail- professionelle Filter-Dienstleister
- Verstärkte Nutzung von Formularen
- Einsatz sicherer (TLS-basierter) und zertifizierter Mailserver
- Verstärkter Einsatz von Clientenzertifikaten
- Verstärkte Nutzung von "einmal"-Mailadressen
- datenbankbasierter Mailverkehr und P2P-Kommunikation
Datenschutzfragen Internettechniken
e-commerce monitoring gmbh ©e-commerce monitoring gmbh 2010
Intranet/Extranet
Themen aus der betrieblichen Praxis
- Hat die Betriebsführung Anspruch auf Bekanntgabe von Passwörtern?
- Ist der Einsatz von Filtersoftware zustimmungspflichtig?
- Dürfen Fotos der Mitarbeiter im Intranet / Internet veröffentlicht werden?
- Dürfen Daten der Mitarbeiter zu persönlichen Ereignissen im Intranet veröffentlicht werden (Hochzeit, Geburtstag, ...)
- Muss bei Datenzugriffen von Außen (Vertriebsmitarbeiter, ...) verschlüsselt werden?
- Muss innerbetrieblich verschlüsselt werden (VPN-Pflicht)?
e-commerce monitoring gmbh ©e-commerce monitoring gmbh 2010
Digitale Signatur
Ziele
Technik
Signaturarten
e-commerce monitoring gmbh ©e-commerce monitoring gmbh 2010
Problemstellung digitale Signatur
Digitales Zertifikat ist ein Ausweis, der den Signator für ein bestimmtes Signaturverfahren
als nutzungsberechtigt ausweist
Signatur: technisches Verfahren zur Kennzeichnung von Dateien
Zertifikat: Zuordnung eines bestimmten technischen verfahrens zu einem Inhaber
Ziel(e) digitaler Signatur- Nicht Bestreitbarkeit eines Rechtsvorgangs- Vermeidung von Medienbrüchen- weitestgehend automatisierte Abwicklung (Bestellungen,
Sachbearbeitung, ...)- Nachweisbarkeit der Durchführung einer Transaktion /
Zustellung / Hinterlegung
e-commerce monitoring gmbh ©e-commerce monitoring gmbh 2010
Grundlagen SigG
Signaturgesetz 2000
- jeder kann Signaturverfahren nach eigenem Ermessen einsetzen
- Signaturdienste für Dritte sind registrierungs- bzw aufsichtspflichtig
- Verschiedene Signaturformen- gewöhnliche Signatur- "fortgeschrittene" Signatur- Verwaltungssignatur- Amtssignatur- "sichere" (qualifizierte) Signatur
- Gültigkeit der Signatur richtet sich nach gesetzlichen Bestimmungen oder privatrechtlicher Vereinbarung
e-commerce monitoring gmbh ©e-commerce monitoring gmbh 2010
Arten der digitalen Signatur
"gewöhnliche" Signatur- jede Form der elektronischen Kennzeichnung zum
Verfasser eines Dokuments
"fortgeschrittene" Signatur- bestimmte, sichere Hash- und Signaturverfahren
zwingend vorgeschrieben- bestimmte Form der Identiätsbestimmung des
Signators und Vergabeform des Zertifikats durch Aufsichtsbehörde vorgeschrieben
- keine besonderen Hardwareverwendungen vorgesehen
"qualifizierte" Signatur- wie "fortgeschrittene" Signatur, jedoch bestimmte
Hardware zwingend vorgesehen
EU-weit dürfte "fortgeschrittene" Signatur zum gemeinsamen Rechtsstand werden
e-commerce monitoring gmbh ©e-commerce monitoring gmbh 2010
"fortgeschrittene" Signatur
Rechtsgrundlage fortgeschrittene Signatur- SigG §2 Z3 lit. a bis d definiert "fortgeschrittene"
Signatur
- RTR/TKK-Positionspapier vom 13.4.2004
Anerkennung durch EU-Richtlinie 2001/115/EG
- Umsetzung durch BMF-Verordnung Dezember 2003 (BGBl. II Nr. 583/2003)
Merkmale- ausschließliche Zuordnung zum Signator
- Identifizierung des Signators möglich
- alleinige Kontrolle durch Signator
- keine nachträgliche Änderung der Signatur möglich
einziger Unterschied zur "sicheren" Signatur: Verzicht auf bestimmte Hardware (Chipkarte)
e-commerce monitoring gmbh ©e-commerce monitoring gmbh 2010
digitale Signatur - Grenzen
Grundsätzliche Unterschiede digitaler/natürlicher Signatur
- keine unmittelbare Einsichtigkeit des Vorgangs (technische Vermittlung)
- Ablaufdatum der Gültigkeit- Abhängigkeit von technicher Infrastruktur Dritter
- Internet ist ein asynchrones Medium- keine Synchronität zwischen Ausweisleistung und
Willenserklärung
digitale Unterschriften werden niemals persönlichen Unterschriften gleichzusetzen
sein
e-commerce monitoring gmbh ©e-commerce monitoring gmbh 2010
technischer Ablauf - Schritt IAsynchrones und asymetrisches Verfahren
- Signiervorgang und Bestätigungsvorgang erfolgen mit unterschiedlichen Verfahren (Privat und Public Key)
- dadurch können sie asynchron stattfinden
Einsatzgebiete- Sicherung der Authentizität eines Dokuments- Änderungskontrolle (Änderungen werden erkannt, nicht
notwendigerweise verhindert)
Einsatz nicht notwendigerweise personenbezogen!
Technik digitale Signatur
e-commerce monitoring gmbh ©e-commerce monitoring gmbh 2010
Beispiel
Technik digitale Signatur
e-commerce monitoring gmbh ©e-commerce monitoring gmbh 2010
technischer Ablauf - Schritt II
PersonenbindungHashcode wird mit persönlichem Code ("privater Schlüssel") verknüpft
- Methode: asymetrische Verschlüsselung- Typische Techniken: RSA (eingesetzt in
Programmen wie PGP, S/MIME, ...), DSA
Technik digitale Signatur
e-commerce monitoring gmbh ©e-commerce monitoring gmbh 2010
technischer Ablauf - Schritt III
Verifikation (Übermittlung / Prüfung)Originaltext und Anhang werden gemeinsam (oder auch getrennt) übermittelt
- öffentliche Schlüssel zur Prüfung notwendig- öffentliche (sekundenaktuell) geführte
Verzeichnisse notwendig- vertrauenswürdige Bestätigungsstellen notwendig- einheitlicher Zeitstandard notwendig
Technik digitale Signatur
e-commerce monitoring gmbh ©e-commerce monitoring gmbh 2010
Datenschutz bei Authentisierungsmechanismen(Stellungnahme WP 68 29.1.2003)
Online-Authentifizierungssysteme- lokal (PC-orientiert)- dezentrale (Proxy-orientiert)- zentrale Authentisierungen (Microsoft)- vernetzte (Web-of-Trust)
gegenwärtig werden fast nur zentrale Authentiserungsmodelle diskutiert
Datenschutz und Authentisierung
e-commerce monitoring gmbh ©e-commerce monitoring gmbh 2010
Datenschutz und Identifikation
Identifikation von Benutzern - Vorfragen- Wann ist eine Identifikation zulässig?
- Welche Identifikationsdaten dürfen verwendet werden?
- Wie sind diese Daten einzuordnen?
Identifikationsmechanismen im Internet
- PIN / TAN - Verfahren
- Digitale Signatur und Zertifikate
Nachweis- und Willenserklärungsproblem
Neue Herausforderungen an Begriff "personenbezogene Daten" ("Identität einer Person")
- Problem der Alias-Identitäten
- Problem des Identitätsdiebstahls (Phishing)
e-commerce monitoring gmbh ©e-commerce monitoring gmbh 2010
Internet-Sicherheit
Sicherheit & Internet BenutzersichtProblembereiche
- Benutzung von Passwörtern
- Benutzung von Suchmaschinen
- Benutzung von Online-Formularen
- Aufzeichnung des Surfverhalten
Hilfsmaßnahmen- Verwendung von Proxy-Servern
- Verwendung verschiedener Rollen (Alias-Identitäten)
- Verwendung diverse Filter- und Scanersoftware
- Nutzung von Black- und White-Lists
- Lokale Sicherheitseinstellungen optimieren
Zur Diskussion: Klage nach Erhalt eines Mails mit Wurm?Welche Vorkehrungen kann/muss ein Benutzer treffen?
e-commerce monitoring gmbh ©e-commerce monitoring gmbh 2010
Datenschutzfragen Internet
Verwendung von WHOIS-Informationen
Beispiel WHOIS (Stellungnahme WP76 13.6.2003)
- mangelhafte Definition des Zweckes
- Zweck des Kontakts bei Fehlern auch mit anderen Mitteln erreichbar
- auch veröffentlichte Daten genießen Datenschutz
- zwangsweises Eintragen im WHOIS-Verzeichnis verstößt gegen Selbstbestimmungsrecht
- Selbstkontrollmaßnahmen auf WHOIS-Basis problematisch (NOWAK-Aktion)
- Direktmarketingaktionen jedenfalls unzulässig