Inhalt

3.1 Einleitung

Die folgenden Seiten unterteilen sich dabei in folgende Unterbereiche:

3.2.1 Datenschutz: Warum und Wie?

Im Rahmen des Projektes werden dem Benutzer eine große Anzahl von Daten zur Information, zur reinen Ansicht und zur Modifikation zur Verfügung gestellt. Diese Daten werden in einer Datenbank festgehalten und grafisch aufbereitet.

Durch das Internet können viele Prozesse kostengünstig abgebildet werden, sofern sie maschinell umsetzbar sind. Aufgrund der Tatsache, daß diese nicht überwacht werden müssen, ermöglichen sie ein großes Spar- und Ausbaupotential.

Bei der Nutzung der Computersysteme fallen eine Fülle von Einzeldaten über den Nutzer an. Diese elektronischen Spuren sind geeignet, persönliche Profile über den Einzelnen hinsichtlich seines Verhaltens zu bilden.
Aus diesen Gründen entwachsen jedoch gleichermaßen große Gefahren für die Systemsicherheit. Wenn ein unsicheres Glied der Prozeßkette geknackt wird, dann ist möglicherweise das ganze System in Gefahr. Informationen, die elektronisch gespeichert und übertragen werden, können - stelleweise sogar unbemerkt - kopiert, manipuliert und gelöscht werden.

Insbesondere der Anschluß an das Internet ist mit erheblichen Gefährdungen des Datenschutzes und der Datensicherheit verbunden. Die Rechner und Übertragungswege dieses weltweiten Computernetzes sind nicht kontrollierbar. Welchen Weg eine Nachricht nimmt oder in welchem Vermittlungsrechner die Nachricht bearbeitet wird, ist nicht transparent. Denn das Internet wurde ursprünglich nur unter Verfügbarkeitsaspekten entwickelt - auch wenn neuere Entwicklungen versuchen, weiteren Sicherheitsbedürfnissen Rechnung zu tragen. Deshalb wird den Risiken für Vertraulichkeit, Integrität und Zurechenbarkeit vielfach nicht in der gebotenen Weise begegnet. Schwächen finden sich in den Protokollen für die Datenübertragung, in den Implementierungen und Installationen der Programme für die Internet-Dienste und in den angeschlossenen Rechnersystemen. Ohne besondere Schutzmaßnahmen kann sich ein Angreifer oft mit wenig Aufwand unter Ausnutzung der Sicherheitslücken unberechtigten Zugang zu fremden Rechnern verschaffen und dort Daten ausspähen oder sogar manipulieren oder zerstören. Dies ist besonders gravierend, weil angesichts von mehreren hundert Millionen Internet-Teilnehmern auch die Zahl der potentiellen Angreifer, die diese Sicherheitslücken ausnützen und somit die am Internet angeschlossenen Verwaltungsrechner bedrohen, sehr groß ist.
 
 

Grundbedrohungen

Abhängig vom Zweck gibt es Bedrohungen, denen eine Kommunikation ausgesetzt ist:
- Verlust der Vertraulichkeit
Unter Vertraulichkeit von Informationen versteht man die Tatsache, daß die Informationen nur Befugten zugänglich sind und kein unbefugter Informationsgewinn stattfinden kann.
- Verlust der Integrität
Unter Integrität von Informationen versteht man die Tatsache, daß Informationen nur von Befugten in beabsichtigter Weise verändert und nicht unzulässig modifiziert werden können.
- Verlust der Verfügbarkeit
Mit Verfügbarkeit bezeichnet man den Tatbestand, daß Funktionen eines IT-Systems ständig innerhalb einer vorgegebenen Zeit, die von Funktion zu Funktion unterschiedlich sein kann, zur Verfügung stehen und die Funktionalität des IT-Systems nicht vorübergehend oder dauerhaft beeinträchtigt ist.
- Verlust der Verbindlichkeit
Verbindlichkeit bedeutet in diesem Zusammenhang, daß Informationen korrekt sind, die Nachweisbarkeit des Sendens und Empfangens gegeben ist, elektronische Unterschriften geleistet werden können und neutrale Gutachter existieren. Die Methoden und Verfahren müssen auch juristisch akzeptiert werden. Dies betrifft insbesondere vertragliche Transaktionen, die über Kommunikationssysteme zustande kommen.
- Verlust der Anonymität
Anonymität bedeutet die Möglichkeit, Transaktionen durchzuführen, ohne den anderen Institutionen die eigene Identität preisgeben zu müssen. Bei Streitigkeiten müssen die Transaktion und die beteiligten Partner rekonstruierbar sein. Die theoretische Möglichkeit, so zu verfahren, wurde nachgewiesen. Diese - aus Sicht des Datenschutzes wesentliche - Grundbedrohung wird oft nicht gesondert aufgeführt, sondern auch unter den "Verlust der Vertraulichkeit" gefaßt.

Datenübertragungen von einem Computer zu einem anderen erfolgen in der Regel über Netzwerke und im zunehmenden Maße über das Internet, dem weltweiten Zusammenschluß von vielen Netzwerken.
Insbesondere der Anschluß an das Internet ist mit erheblichen Gefährdungen des Datenschutzes und der Datensicherheit verbunden, denn die Rechner und Übertragungswege dieses weltweiten Computernetzes sind kaum kontrollierbar.

Unsichere und sichere Datenuebertragungswege
Aufgrund der Struktur des Internets ergeben sich zwei wesentliche Ursachen, die die Datenübertragung so unsicher machen:
Das ist zum einen die Tatsache, dass der Weg der Datenpakete oftmals nicht ohne weiteres voraussagbar ist. Die Datenpakete koennen ihren Weg ueber viele Zwischencomputer gehen, welche nicht unbedingt als vertrauenswuerdig anzusehen sind, weil sie die Datenpakete eventuell unbemerkt umleiten oder manipulieren koennen. Absender und Empfaenger eines Datenpaketes muessen diesen Vorgang noch nicht einmal bemerken, wenn der Zwischenhost diesen Vorgang geschickt verschleiert.
Der zweite Grund ist ebenso gravierend und stellt in Kombination mit dem ersten Grund ein grosses Sicherheitsproblem dar: Sofern keine Sicherheitsmassnahmen getroffen werden, ist die Kommunikation offen, so dass die uebertragenen Informationen von jeder Stelle auf dem Uebertragungsweg einsehbar sind.

Der erste Punkt ist kaum zu beeinflussen. Das Problem der offenen Datenuebertragung kann hingehen dadurch eingedaemmt werden, indem die Informationen verschluesselt uebertragen werden. Die Daten bleiben dadurch zunaechst weiterhin lesbar, sind aber durch die Verschluesselung nicht mehr interpretierbar. Zudem kann eine Authentifizierung der Kommunikationspartner angefordert werden, d.h. es wird sichergestellt, dass die Kommunikation wirklich mit der gewuenschten Gegenstelle erfolgt und nicht mit einem Angreifer, der die Identitaet der eigentlichen Gegenstelle nur vortaeuscht.

Es existieren eine Reihe von Verschluesselungs- und Authentifizierungsmechanismen, von denen nur SSL angesprochen werden soll:

SSL: Secure Sockets Layer

3.2.3.1 Abruf von Daten

3.2.3.2 Ändern von Daten

3.2.3.3 Metadaten

3.3.1 Einleitung

---

Gedanken zur Implementierung - der Bezug zum Projekt

Im Rahmen des Projektes sind viele Stellen zu finden, bei denen die Fragestellung Anwendung findet, wem in welchem Maße Zugriff auf Daten gestattet werden soll.
Konkret geht es um folgende Informationen:
• Wem "gehört" der Raum?
• Wer darf den Raum betreten?
• Wer darf anderen den Zutritt zu einem Raum gewähren?
• Wer darf Änderungen am Aufbau des Raumes vornehmen?
Anhand der Fragestellungen sieht man, daß sich die Betrachungen auf zwei Entitäten konzentrieren:
• auf Räume innerhalb des Gebäudes
• auf Benutzer, also "Inhaber" eines Raumes (o.ä.) oder Besucher eines Raumes
Man kann noch eine dritte Entität in die Betrachung einbeziehen:
• Gruppen von Benutzern
Gruppen können andere Eigenschaften und Verhältnis- und Zutrittsrechte haben, als ein Benutzer m einzelnen betrachtet.

---

Die Konsequenz daraus ist die Einführung einer Benutzerverwaltung.

• Beschränkung des Zutritts zu Räumen
• Beschränkung der Änderung des Rauminventars
• Weitergabe von Zugriffsrechten unter den Benutzern

• "Entity-Tabellen"

  Die Entities User, Gruppe und Raum aus dem ER-Modell werden im physikalischen Modell auf die Tabellen User, Gruppe und Raum abgebildet, jede der drei Entitäten wird durch eine eigene Tabelle repräsentiert.
  

  User   UID int name char(30) username char(16) password char(16)

  Gruppe   GID int name char(30)

  Raum   RID int name char(30)

  • Die Spalten UID, GID und RID stellen die Primärschlüssel der jeweiligen Tabelle dar.
  • Die Spalten name sind natürlichsprachliche Bezeichnungen der einzelnen Tabellenelemente.
  • Die Spalten username und password ermöglichen den benutzerabhängigen Zugriff auf das System, denn diese Felder werden beim Aufruf der Benutzerverwaltung auf korrekte Eingabe überprüft. (Aufgrund der Sicherheitsrelevanz ist die Tabelle User selbstverständlich nur für den System-Administrator einsehbar und editierbar).



• "Relationen-Tabellen"

  Die Relationen ist_Mitglied, (User) hat_Rechte und (Gruppe) hat_Rechte aus dem ER-Modell werden aufgrund Ihrer Kardinalität (n:m) ebenfalls in Tabellen überführt.
  Zur besseren Unterscheidung werden die Tabellen umbenannt in
  member, userpermission und grouppermission.
  

  member   UID int GID int

  userpermission   UID int RID int r enum('0','1') w enum('0','1') x enum('0','1')

  grouppermission   GID int RID int r enum('0','1') w enum('0','1') x enum('0','1')

• Die Spaltenpaare UID/GID, UID/RID bzw. GID/RID sind die zusammengesetzten Primärschlüssel der jeweiligen Tabellen und gleichzeitig Referenzen auf die Primärschlüssel der von ihnen verknüpften "Entity"-Tabellen.
• Die Spalten r,w und x sind die Attribute, anhand derer die Zugriffsrechte auf die Räume festgelegt wird.
  Die Namensvergabe lehnt sich an die Bezeichnungen aus dem UNIX-Bereich an, hier haben die Buchstaben folgende Bedeutung:
  

  r	Hat die Spalte r den Wert '1', dann ist der User bzw. die Gruppe berechtigt, den Raum zu betreten (->Browser-Modus)
  w	Hat die Spalte w den Wert '1', dann ist der User bzw. die Gruppe berechtigt, Dinge,die dem Raum zugeordnet sind, zu verändern, also z.B. den Raum neu einzurichten (->Editormodus) oder ihm einen anderen Namen zu geben (->Administrator-Modus).
  x	Hat die Spalte x den Wert '1', dann ist der User bzw. die Gruppe berechtigt, Zugriffsrechte an andere Benutzer weiterzugeben, d.h. für diesen Raum die Werte der Spalten r,w oder x auf '1' zu setzen.

Es existieren folgende Klassen:

User	Die Klasse User stellt Methoden zur Verfügung, die direkt mit einem einzelnen Benutzer zusammenhängen, wie z.B. die Abfrage der Zugriffsrechte dieses Benutzers auf einen bestimmten Raum oder die Ausübung von Zugriffsänderungsoperationen.
Group	Die Klasse Group stellt Methoden für Gruppen von Benutzern zur Verfügung, wie z.B. die Abfrage der Zugriffsrechte dieser Gruppe auf einen bestimmten Raum oder die Auflistung der Mitglieder dieser Gruppe.
Access	Die Klasse Access bietet eine generelle Sicht auf die Benutzerverwaltung. Sie stellt sozusagen die oberste Zugriffsschicht auf die Benutzerverwaltung dar. Ein Benutzer wird beispielsweise über die Klasse Access am System angemeldet.

Benutzung

• Jedes Programm, welches die Benutzerverwaltung benutzen sollte, also auch Editor und Browser, sollten eine Instanz dieser Klasse erzeugen.
  

  Access access=new Access();

• Die Anmeldung eines Benutzers erfolgt mittels der Methode
  

  User user1=access.login(username, passwd)
  // (username, passwd sind Strings)

  (momentan existiert der Benutzer "test" mit dem Passwort "test".)
  Die Methode login() gibt ein User-Objekt zurück, mit dem dann gearbeitet werden kann.
• Die Methode getAllUserIDs() in der Klasse Access gibt die UIDs aller vorhandenen Benutzer aus.
  

  int[] IDs=access.getAllUserIDs();

  
  
• Mittels der UID kann auch das login von statten gehen:
  

  User user2=access.login(IDs[0],passwd);

• Aus Verwaltungsgründen existiert ein besonderer Benutzer: "root".
  Er wird gesondert angemeldet und hat mehr Rechte:
  

   User root=access.root_login(root_passwd);

  
  
• War das Login eines Benutzers erfolgreich, dann wird hauptsächlich mit den Methoden aus der Klasse User gearbeitet:
  Es existieren die Methoden
  

  boolean canEnterRoom(int RID),
  boolean canChangeRoom(int RID)

  und

  boolean canGivePermissionsOnRoom(int RID)
  

  mittels derer die Rechte eines Users auf einen bestimmten Raum abgefragt werden können.
  
  Z.B.:
  

  if (user1.canEnterRoom(3)) // 3 ist die logische ID eines bestimmten Raums
  // user1 kann den Raum mit der ID 3 betreten

• Diese Rechte ändern kann nur root oder ein Benutzer, für den
  roomowner1.canGivePermissionsOnRoom(RID)==true gilt.
  
  Geändert werden die Rechte folgendermassen:
  - Es muss mit dem User-Objekt des Änderers gearbeitet werden.
  - Die Rechte werden nach einem Bit-Muster codiert:
  - r-Bit: Wenn gesetzt, dann Rechte+=1;
  - w-Bit: Wenn gesetzt, dann Rechte+=2;
  - x-Bit: Wenn gesetzt, dann Rechte+=4;
  - D.h. die Variable Rechte kann einen Wert zw. 0 und 7 annehmen.
  
  - Insgesamt sieht das so aus:
  

  roomowner1.changePermissionsOnRoom(RID,user1,Rechte)

Das Administrationstool wird als Applet in einem Appletviewer ausgeführt. Es wird gestartet mit dem Befehl

appletviewer Administrationstool.html