Auflistung nach Autor:in "Pohl, Hartmut"
1 - 6 von 6
Treffer pro Seite
Sortieroptionen
- KonferenzbeitragBedrohungsmodellierung (Threat Modeling) in der Softwareentwicklung(Sicherheit 2010. Sicherheit, Schutz und Zuverlässigkeit, 2010) Schwab, Fabian; Findeisen, Alexander; Sakal, Peter; Pohl, HartmutThreat Modeling ermöglicht als heuristisches Verfahren die methodische Überprüfung eines Systementwurfs oder einer Softwarearchitektur, um Sicherheitslücken kostengünstig und frühzeitig - idealerweise in der Design Phase - im Software-Entwicklungsprozess zu identifizieren, einzugrenzen und zu beheben. Threat Modeling lässt sich aber auch noch erfolgreich in der Verifikationsphase oder noch später - nach dem Release - zur Auditierung der Software einsetzen. Durch die Früherkennung von Sicherheitslücken können die Kosten zur Behebung bis auf ein Hundertstel reduziert werden. Die auf dem Markt verfügbaren Threat Modeling Tools werden identifiziert, analysiert und hinsichtlich Ihrer Eignung zur Erstellung komplexer, vollständiger Threat Models mit entwickelten Bewertungsparametern einem einfachen Bewertungsverfahren unterworfen.
- KonferenzbeitragCivil war in cyberspace – Ziviler Ungehorsam, innere Unruhen und Bürgerkrieg in der Informationsgesellschaft(Informatik bewegt: Informatik 2002 - 32. Jahrestagung der Gesellschaft für Informatik e.v. (GI), 2002) Pohl, HartmutIn der Informationsgesellschaft nehmen auch in Deutschland aggressive und kriminelle Handlungen (Computermißbrauch) ausweislich der jährlichen Kriminalstatistik [BMI02] zu. Weniger Bedeutung wird in Deutschland bisher politisch-motivierten Aktionen beigemessen. Weltweit werden klassische Verfahren wie ziviler Ungehorsam, innere Unruhen und Bürgerkrieg zunehmend durch IT-gestützte Verfahren ergänzt und ersetzt (Transformation). Durch die weltweite Verfügbarkeit der IT-gestützten Verfahren und des Internet muß der – auf einen Staat begrenzte – Begriff des zivilen Ungehorsams genauso wie der der inneren Unruhen und der des klassischen Bürgerkriegs transformiert werden in den ubiquitären Cyberspace. Angesichts zunehmender gewalttätiger Aktivitäten unterhalb der Kriegsschwelle im Cyberspace muß die Sensibilität für die Auswirkungen dieser Aktivitäten dringend geschaffen werden und angemessene Reaktionen müssen auf allen Ebenen (Private, Unternehmen und Behörden) erarbeitet werden.
- ZeitschriftenartikelDie Vorstandsperspektive(Informatik-Spektrum: Vol. 36, No. 2, 2013) Günther, Oliver; Leng, Christof; Pohl, Hartmut
- ZeitschriftenartikelEnterprise Key Recovery Vertrauenswürdige Server mit skalierbarer Sicherheit zur Archivierung von Konzelationsschlüsseln(Informatik-Spektrum: Vol. 22, No. 2, 1999) Pohl, Hartmut; Cerny, DietrichIm Electronic Commerce und in der digitalen Welt der zukünftigen globalen Informationsinfrastruktur (GII), bzw. dem Internet als deren Vorläufer, sollen Daten (Nachrichten und Dokumente) zwischen Kommunikationspartnern vertraulich, integer und rechtsverbindlich ausgetauscht und aufbewahrt werden können. Zur Erreichung des Sachziels ‘Vertraulichkeit’ werden Daten bei der Speicherung in unsicherer Umgebung und bei der Übertragung über unsichere Kanäle häufig von Endanwendern verschlüsselt. Dies setzt neben den erforderlichen Verschlüsselungsmechanismen geeignete Verfahren für das Management der Schlüssel voraus, die die Verfügbarkeit der verschlüsselt gespeicherten (oder übertragenen) Daten sicherstellen – auch wenn der originäre Besitzer des Schlüssels nicht verfügbar ist. Enterprise Key Recovery Server stellen Berechtigten bei Bedarf die Konzelationsschlüssel zur Entschlüsselung von Daten zur Verfügung. Ihre Funktionen werden zusammen mit angemessenen Sicherheitsmaßnahmen dargestellt. Für unterschiedliche Anforderungen an das Sicherheitsniveau wird eine skalierbare Sicherungsinfrastruktur für Enterprise Key Recovery Server vorgeschlagen. Die Nutzung von Enterprise Key Recovery Servern für das Management von Schlüsseln für den Nachrichtenaustausch und für digitale Signaturen ist nicht Thema dieser Arbeit. Erst der konsequente Einsatz von Key Recovery Servern sichert bei der Anwendung von Verschlüsselung die Vertraulichkeit und Verfügbarkeit von Daten und die Integrität der benutzten Schlüssel durchgängig ab. Key Recovery Server schließen damit eine empfindliche – bislang nicht genügend berücksichtigte – Sicherheitslücke in der Sicherheitsarchitektur von Unternehmen.Summary In Electronic Commerce and in the digital world of the future Global Information Infrastructure (GII), respective the Internet as it´s predecessor, it is necessary that data (messages and documents) can be exchanged and stored between communicating partners confidentially, correctly and legally binding. To reach the objective of ‘confidentiality’, data will be encrypted by the enduser if they have to be stored in an insecure environment or have to be transmitted over insecure channels. In addition to the necessary cryprographic mechanisms, procedures for the management of keys are required which provide for the availability of the data which are stored (or transmitted) encrypted even if the original owner of the key is not available. On request, Enterprise Key Recovery Servers provide authorized users with the encryption key to decrypt data. The functionality of these servers is described together with adequate security measures. In order to support different security requirements a scalable security infrastructure for Enterprise Key Recovery Servers is proposed. The employment of Enterprise Key Recovery Servers for managing communication keys or keys for Digital Signatures is not part of this work. Only the systematic establishment of Key Recovery Servers provides for thourough confidentiality and availability of data and integrity of keys if encryption is used. Key Recovery Servers therefore close a severe security gap in the security architecture of enterprises, which has not been adequately addressed up to now.
- KonferenzbeitragRapid in-Depth Analysis für Telematikanwendungen im Gesundheitswesen - Identifizierung nicht erkannter Sicherheitslücken mit Threat Modeling und Fuzzing(perspeGKtive 2010. Workshop „Innovative und sichere Informationstechnologie für das Gesundheitswesen von morgen“, 2010) Schwab, Fabian; Lübbert, Jörg; Sakal, Peter; Pohl, HartmutDie Normen DIN EN 61508 und DIN EN 62304 beschreiben Sicherheitsanforderungen für die Entwicklung von Software im medizinischen Umfeld. Diese beinhalten u.a. Vorschriften zur Verifikation und Diagnose (Kapitel C5, DIN EN 61508-7 [Di09]), zur Beurteilung der funktionalen Sicherheit (Kapitel C6, DIN EN 61508-7 [Di09]), zur Implementierung und Verifikation von Software-Einheiten (Kapitel 5.5, DIN EN 62304 [Di07]) und zur Prüfung des Softwaresystems (Kapitel 5.7, DIN EN 62304 [Di07]). Durch die kosteneffektiven Verfahren Threat Modeling und Fuzzing wird diesen Forderungen entsprochen und insbesondere die Identifizierung unveröffentlichter Sicherheitslücken ermöglicht. In einem Forschungsprojekt1 werden Tools für beide Verfahren analysiert und bewertet. Im Projekt werden mit beiden Verfahren sehr erfolgreich bislang nicht identifizierte (unveröffentlichte) Sicherheitslücken in Individualund Standardsoftware identifiziert und auch behoben. Im Rahmen der Gesundheitstelematik können durch beide Verfahren die Anforderungen zur Softwareentwicklung und -verifizierung erfüllt und darüber hinaus kann ein weit höheres Sicherheitsniveau erreicht werden.
- ZeitschriftenartikelVerfassungsmäßigkeit des § 202c StGB(Informatik-Spektrum: Vol. 31, No. 5, 2008) Pohl, HartmutGemäß dem 2007 in Kraft getretenen § 202c StGB wird mit Freiheitsstrafe bis zu einem Jahr oder mit Geldstrafe bestraft, ,,Wer eine Straftat nach § 202a oder § 202b (Ausspähen und Abfangen von Daten) vorbereitet, indem er ... Computerprogramme, deren Zweck die Begehung einer solchen Tat ist, herstellt, sich oder einem anderen verschafft, verkauft, einem anderen überlässt, verbreitet oder sonst zugänglich macht ...“.