FB18 - Das Forum für Informatik

fb18.de / Diplom Informatik / Angewandte Informatik (HS)

GBI - Unterschied Proxy - Application Gateway - Bastion

GBI - Unterschied Proxy - Application Gateway - Bastion 2004-07-15 16:20
Matix
Moin moin,

Frage steht ja schon im Betreff. Kann mir jemand den genauen Unterschied zwischen diesen Dreien erklären??
Hab mich schon halb tot gegoogelt, aber nix gescheites gefunden.

Danke & viele Grüße

Mathias

Re: GBI - Unterschied Proxy - Application Gateway - Bastion 2004-07-16 13:26
Anonymer User
packetscreen: filtert ip header
(mehrere packetscreens bilden bastion)

proxy: authentifizierung

application gateway: autorisierung

————–

meine Fragen:
1.Der IDEA benötigt 8 Runden oder(Prüfungsprotokll ist falsch)???
2.Folie 3.9e) Was hat Superposition mit der Realisierung von SN SC zu tun?
3.ist der Refernzmonitor=Zugriffsmatrix???
4.gilt im Bell LaPadula Modell MAC und DAC (oder nur MA)???
5.Sicheres Architekturprinzip - MULTICS
hat da jemand ein Link gefunden - oder - was ist das genau???
6. Hatte jemand schon die Prüfung und kann ein paar Infos geben???



Re: GBI - Unterschied Proxy - Application Gateway - Bastion 2004-07-16 13:50
El-B
Mit IDEA habe ich auch so meine Probleme.
Auf Brunnsteins Folien steht etwas von 17 Runden. (Folie 191 im zweiten Kryptologieteil) In einem Prüfungsprotokoll wird behauptet es wären 32. Von 8 Runden hatte ich noch gar nichts gehört *g.

Referenzmonitor:
Nach Pfleeger ist ein Referenzmonitor im allgemeinen der Teil des Kernels der die Objektzugriffe steuert bzw. kontolliert. Wie dieses jeweils implementiert wird ist von System zu System verschieden. Gleichsetzen würde ich Referenzmonitor und Zugriffmatrix daher auf keinen Fall. Der Referenzmonitor kann aber im Kern natürlich mit einer Zugriffsmatrix arbeiten.

Das *- und ss-property werden durch MAC realisiert. Außer im Brunnstein-Skript habe ich nirgends etwas vom ds-Property bei bei Bell-La Padula gelesen. Ich finde es widerspricht den anderen beiden auch und ist einfach ein anderes Modell. Ob man das aber in der Prüfung sagen sollte ? Man weiß es nicht *g…

Nochmal zu den Firewalls:
Ist eine Bastion nicht ein Application Gateway zwischen zwei Firewalls ausserhalb des eigentlichen internen Netzes? Ich bin in der Vorlesung auch total durcheinander gekommen :(

aktuelle Prüfungsberichte würden mich natürlich auch mal interessieren…

Re: GBI - Unterschied Proxy - Application Gateway - Bastion 2004-07-16 14:13
Slater
Mit IDEA habe ich auch so meine Probleme.
Auf Brunnsteins Folien steht etwas von 17 Runden. (Folie 191 im zweiten Kryptologieteil) In einem Prüfungsprotokoll wird behauptet es wären 32. Von 8 Runden hatte ich noch gar nichts gehört *g.
in meinem Buch zum Thema ist von 8 Runden die Rede bei der jeweils 6 Teilschlüssel benutzt werden
-> mit gewisser Unterteilung kommt man dann auf 16 ~ 17 Runden wie im Skript (mit 4 bzw. 2 Teilschlüsseln) ;)

Das *- und ss-property werden durch MAC realisiert. Außer im Brunnstein-Skript habe ich nirgends etwas vom ds-Property bei bei Bell-La Padula gelesen. Ich finde es widerspricht den anderen beiden auch und ist einfach ein anderes Modell. Ob man das aber in der Prüfung sagen sollte ? Man weiß es nicht *g…
bedeutet die ds-Proerty nicht ganz einfach, dass die Rechte, die in b enthalten sind,
auch in die Matrix mij eingetragen werden müssen?

wie soll denn dieser simple Umstand ein Widerspruch sein?

ob das nun zu MAC dazugehört oder nicht ist eher müßig,
irgendwie müssen die Rechte ja gespeichert sein und da bietet sich doch die Matrix an,

ich hab sowieso ein Echo im Ohr, dass in Vorlesung drankam 'MAC Teilmenge von DAC',
da ja durch (1)+(2) ein Teil der Rechte eingeschränkt werden
während bei DAC alle Rechte (alle Einträge in der Matrix) prinzipiell möglich sind





ein zweiter Aspekt sind die Autosierungsstrategien
bei DAC gibts ja üblicherweise Eigentümern für alle Objekte,
die ihre Rechte weitergeben können (auch mit Grant-Option)

das ist ja nun mit MAC gar nicht mehr zu vergleichen,


muss man bei DAC immer diese Rechtevergabe im Blick haben
oder kann man das getrennt sehen?,
kompliziert, komliziert


Re: GBI - Unterschied Proxy - Application Gateway - Bastion 2004-07-16 15:12
Anonymer User
ich denke das BLP ist nur MAC. D beim DAC read up und write down erlaubt werden.
Konsens?

Re: GBI - Unterschied Proxy - Application Gateway - Bastion 2004-07-17 16:33
Slater
homophone Substitution:
für die meisten einfachen Verschlüsselungen stehen im Skript Wege zur Kryptanalyse
bzw. kenne ich sie aus einem Buch,

aber wie kann man denn homophone Substitution brechen,
das mit der Häufigkeitsanalyse von Di- und Trigrammen erscheint mir irgendwie unrealistisch
wenn 'TH' auf 20 verschiedene Kombinationen abgebildet wird..,



zu Kerberos:
wozu benötigt man dort einen TGS?,

der scheint ja nichts anderes zu machen,
als das Kerbros-Ticket zu überprüfen und dann ein Serverticket zu erstellen,
der Server muss dann genauso dieses Serverticket überprüfen

was spricht dagegen von Kerberos direkt das Serverticket erzeugen zu lassen?,

kann der TGS noch mehr?
vielleicht abhängig von der Last nur ab und zu Servertickets ausgeben oder ähnliches?

Re: GBI - Unterschied Proxy - Application Gateway - Bastion 2004-07-17 17:37
Anonymer User
packetscreen: filtert ip header
(mehrere packetscreens bilden bastion)

proxy: authentifizierung

application gateway: autorisierung

Ich glaube, so hat er das in der Vorlesung gesagt. Im Skript steht aber etwas anderes. Zu Kapitel 3 auf der 6 Folie schreibt er, dass der Proxy Zugriffskontrolle macht. Und ist Autorisierung nicht Zugriffskontrolle?

Re: GBI - Unterschied Proxy - Application Gateway - Bastion 2004-07-17 17:46
Anonymer User
homophone Substitution:

zu Kerberos:
wozu benötigt man dort einen TGS?,

der scheint ja nichts anderes zu machen,
als das Kerbros-Ticket zu überprüfen und dann ein Serverticket zu erstellen,
der Server muss dann genauso dieses Serverticket überprüfen

was spricht dagegen von Kerberos direkt das Serverticket erzeugen zu lassen?,

kann der TGS noch mehr?
vielleicht abhängig von der Last nur ab und zu Servertickets ausgeben oder ähnliches?

Ich bin mir zwar nicht sicher, aber ich denke, der Sinn, der dahinter steht, ist die Trennung von Autentisierung (Kerberos-Server) und Authorisierung (Ticket-Granting-Server).

Dadurch können die Benutzer und die Information, was sie machen dürfen, getrennt verwaltet werden. Außerdem könnte dadurch die Skalierbarkeit verbessert werden, da bei der Überlastung des Kerberos-Servers die bereits autentisierten Benutzer weiter arbeiten können….

Re: GBI - Unterschied Proxy - Application Gateway - Bastion 2004-07-17 17:53
El-B
kerberos:
sehe ich genauso wie mein Vorgänger.
Man könnte so auch für jeden Server einen eigenen Ticket-Granting Server verwenden und die Verwaltung anderen Admins überlassen.
Jeder mit einem info-account kann sich erstmal anmelden. Wer dann auf welchen Server darf entscheidet der jeweilige TGS.

Möglich ist es aber bestimmt den Kerberos-Server gleichzeitig als TGS zu verwenden… entspricht dann halt aber nicht den Idealvorstellungen.

Re: GBI - Unterschied Proxy - Application Gateway - Bastion 2004-07-17 17:54
Tzwoenn
zu Kerberos:
wozu benötigt man dort einen TGS?,

der scheint ja nichts anderes zu machen,
als das Kerbros-Ticket zu überprüfen und dann ein Serverticket zu erstellen,
der Server muss dann genauso dieses Serverticket überprüfen

was spricht dagegen von Kerberos direkt das Serverticket erzeugen zu lassen?,

kann der TGS noch mehr?
vielleicht abhängig von der Last nur ab und zu Servertickets ausgeben oder ähnliches?
Kerberos, bzw der KDS (=Key Distribution Server) authentifizieren nur, d.h. sie prüfen nur, ob jemand eine Workstation nutzen darf.
Der TGS ist für den Zugriff auf "höhere" Dienste (z.B. Fileserver) da, indem er mit Hilfe des TGT die Authentzität des Users sicher stellt, und dann ein Ticket für den autorisierten Zugriff auf den Service ausgibt.
Wo nun die Daten gespeichert werden, auch welche Services ein Benutzer zugreifen kann, ist mir aber auch noch nicht ganz klar. Dem Konzept entsprechend würd ich sagen beim TGS, so dass Authentifikation und Authorisation getrennt sind. Nur frag ich mich dann, warum man schon dem KDS mitteilt, auf welchen Service man zugreifen will…

Re: GBI - Unterschied Proxy - Application Gateway - Bastion 2004-07-17 18:01
Anonymer User
Nur frag ich mich dann, warum man schon dem KDS mitteilt, auf welchen Service man zugreifen will…

Dem KDS teilt man nur mit, welchen TGS man benutzern will. Dies macht man, um den entsprechenden Key zu bekommen….

Re: GBI - Unterschied Proxy - Application Gateway - Bastion 2004-07-17 18:04
Slater
ok, das zu Kerberos macht Sinn, danke

Nur frag ich mich dann, warum man schon dem KDS mitteilt, auf welchen Service man zugreifen will…
ein Schlüssel/Ticket für jeden TGS, nicht alle gleich,
sicherlich Sicherheitsvorteile?

packetscreen: filtert ip header
(mehrere packetscreens bilden bastion)

proxy: authentifizierung

application gateway: autorisierung

Ich glaube, so hat er das in der Vorlesung gesagt. Im Skript steht aber etwas anderes. Zu Kapitel 3 auf der 6 Folie schreibt er, dass der Proxy Zugriffskontrolle macht. Und ist Autorisierung nicht Zugriffskontrolle?
wie bei Kerberos unterscheidet man mit Authorisation (= RechteVERGABE) und Authentifikation (= RechteÜBERPRÜFUNG),
wenn ich jetzt nicht alles verdrehe

Zugriffskontrolle beim Proxy kann man doch durchaus als reine Rechteüberprüfung ansehen,
dann käme es hin

Re: GBI - Unterschied Proxy - Application Gateway - Bastion 2004-07-17 18:14
Anonymer User
wie bei Kerberos unterscheidet man mit Authorisation (= RechteVERGABE) und Authentifikation (= RechteÜBERPRÜFUNG),
wenn ich jetzt nicht alles verdrehe
Das sehe ich anders. Die Authentifikation ist die IDENTITÄTSüberprüfung und stellt nur die Korrektheit der Identität sicher. Die Authorisierung ist dann die Zuordnung der zugehörigen Rechte. (Also Zugriffskontrolle? )

siehe auch: http://de.wikipedia.org/wiki/Authentifikation

ciao,
Malko

Re: GBI - Unterschied Proxy - Application Gateway - Bastion 2004-07-17 19:24
Slater
ärgerlich ;)

bei Kerberos ist Authentisierung ja auch nicht Rechteüberprüfung sondern nur Identitätsprüfung..,

Re: GBI - Unterschied Proxy - Application Gateway - Bastion 2004-07-17 21:15
Slater
Kriterienkataloge:

ein oft erwähntes Detail ist ja die Trennung
von Funktionalität und Qualität bei ITSEC (schlecht)
(oder Green Book? ist da ein Unterschied?)

bei TCSEC dagegen zusammengehörend (gut)

wie sieht das bei Common Criteria aus?

Re: GBI - Unterschied Proxy - Application Gateway - Bastion 2004-07-17 21:27
Anonymer User
Dieses in den deutschen IT-Sicherheitskriterien erstmals eingeführte Konzept der Trennung von Funktionalität und Prüftiefe (Qualitätsstufe) findet sich sowohl in ITSEC als auch in Common Criteria wieder.
siehe http://www.bsi.de/zertifiz/itkrit/dtitsec.htm

Trotzdem hatte ich das Gefühl, dass er die CC irgendwie gut fand…

ciao,
Malko

Re: GBI - Unterschied Proxy - Application Gateway - Bastion 2004-07-17 21:34
Slater
Vergleich CC - ITSEC

Wie die ITSEC erlauben die CC eine getrennte Prüfung und Bewertung der Funktionalität und der Vertrauenswürdigkeit.
im Text zu CC auch gerade gesehen ;)
http://www.bsi.de/literat/faltbl/f06cc.htm

Re: GBI - Unterschied Proxy - Application Gateway - Bastion 2004-07-17 21:49
Anonymer User
hat jemand von euch ne Folie über RBAC? Hab ich die nicht?
was gibt es da noch wichtiges zu wissen ausser Rollenbasiert,Transaktionen und Integrität?
Hat jemand ein paar Regeln wie beim BLP für mich?
In einem Prüfungsprotokoll steht etwas von:
"Hab alle 9 Punkte aufgezählt."
Was geht?

Re: GBI - Unterschied Proxy - Application Gateway - Bastion 2004-07-17 22:00
Slater
die Folien dazu gabs jedenfalls nicht (vergessen?)

Re: GBI - Unterschied Proxy - Application Gateway - Bastion 2004-07-17 22:31
Matix
Viel mehr würden mich die Folien über das Clark-Wilson Modell interessieren. Die fehlen mir nämlich.
Ich finde auch im Netz so gut wie Nix dazu. [img]http://www.fb18.de/gfx/5.gif[/img]

RBAC hab ich hier, wenn jemand interesse hat, kann ich die auch einscannen.

Grüße
Mathias

Re: GBI - Unterschied Proxy - Application Gateway - Bastion 2004-07-17 22:41
Slater
den anderen Thread mit den Links hast du aber schon gesehen oder?
Interesse an RBAC-Originalfolien?: natürlich

Re: GBI - Unterschied Proxy - Application Gateway - Bastion 2004-07-17 22:48
Matix
So etwa 5 Sekunden, nachdem ich den Beitrag geschrieben hab… [img]http://www.fb18.de/gfx/28.gif[/img]
RBAC –> kommt gleich…

Edit: http://www.geile-karre.de/Uni/RBAC%20-%20Seite%201.JPG und hier http://www.geile-karre.de/Uni/RBAC%20-%20Seite%202.JPG

Re: GBI - Unterschied Proxy - Application Gateway - Bastion 2004-07-17 22:51
El-B
Die RBAC-Folien würde ich auch gerne haben ;-)

danke schonmal
el-b

Re: GBI - Unterschied Proxy - Application Gateway - Bastion 2004-07-17 22:58
Anonymer User
mach mal bitte ein link auf deine Folien.

Re: GBI - Unterschied Proxy - Application Gateway - Bastion 2004-07-17 23:05
Slater
http://www.slaterb.de/GBI/rbac1.jpg
http://www.slaterb.de/GBI/rbac2.jpg

hoffentlich gibt das mal keinen Ärger mit einem gewissen Professor ;)

Re: GBI - Unterschied Proxy - Application Gateway - Bastion 2004-07-18 01:36
Zaphod
Mehr zu den ganzen Zugriffsmodellen findet man in der Dissertation von Kathrin Schier:

http://agn-www.informatik.uni-hamburg.de/papers/doc/diss_kathrin_schier.pdf

Re: GBI - Unterschied Proxy - Application Gateway - Bastion 2004-07-18 09:42
Anonymer User
Ich würde die Folien wieder aus dem Netz nehmen! Letztes Jahr hat er schon einen riesen Aufstand gemacht wenn wir uns die untereinander per mail zuschicken wollten, da wohl mal irgendein Prof von ner anderen Uni seine Folien kopiert hatte.
Und da er selbst und nicht das Gesetz über den Datenschutz am FBI wacht, kann ich das nur empfehlen [img]http://www.fb18.de/gfx/24.gif[/img]

Re: GBI - Unterschied Proxy - Application Gateway - Bastion 2004-07-18 10:23
Anonymer User
Mehr zu den ganzen Zugriffsmodellen findet man in der Dissertation von Kathrin Schier:

http://agn-www.informatik.uni-hamburg.de/papers/doc/diss_kathrin_schier.pdf
heftige Arbeit

Re: GBI - Unterschied Proxy - Application Gateway - Bastion 2004-07-18 11:51
Anonymer User
Zu RBAC steht hier einiges: http://csrc.nist.gov/rbac/
U.A. ist da auch das originale paper zu RBAC.
Die Regeln dort unterscheiden sich aber doch ein wenig von den auf den Brunnstein-Folien (hat er die dieses Semester überhaupt ausgegeben? ich war immer da und habe sie nicht bekommen.) Vielleicht kann man auch Brunnsteins Regeln aus den originalen ableiten, aber das nachrechnen will ich in den paar Stunden bis zur Prüfung nicht.

Re: GBI - Unterschied Proxy - Application Gateway - Bastion 2004-07-18 12:17
Matix
Also die Folien sind aus dem SS03. In diesem Semester hat er die glaub ich nciht ausgegeben.

Re: GBI - Unterschied Proxy - Application Gateway - Bastion 2004-07-18 12:45
Anonymer User
Gut, dann brauche ich diese 9 Regeln wohl nicht auswendig zu lernen

Re: GBI - Unterschied Proxy - Application Gateway - Bastion 2004-07-18 14:54
Matix
Wer von euch hat denn jetzt schon Prüfung gehabt und möchte einen kleinen Erfahrungsbericht schreiben?? [img]http://www.fb18.de/gfx/22.gif[/img]

Grüße

Re: GBI - Unterschied Proxy - Application Gateway - Bastion 2005-10-12 11:04
Anonymer User
packetscreen: filtert ip header
(mehrere packetscreens bilden bastion)

proxy: authentifizierung

application gateway: autorisierung

Könnte mir jemand diesen Zusammenhang vielleicht in natürliche Sprache fassen? Zumal in vielen Büchern zwischen proxy und ALG gar nicht unterschieden wird. Deshalb kann ich sie nicht so deu´tlich trennen.
DAnke