Search

Unsichere Standardwerte in Softwareeinstellungen können von Angreifern ausgenutzt werden, um das System, auf dem die Software läuft, zu kompromittieren. Als Gegenmaßnahme gibt es Richtlinien für die Sicherheitskonfiguration, die detailliert angeben, welche Werte für welche Einstellung sicher sind. Die meisten Administratoren sehen jedoch immer noch davon ab, bestehende Systeme zu härten, weil sie befürchten, dass sich die Systemfunktionalität verschlechtert, wenn sichere Einstellungen verwendet werden. Um die Anwendung von Sicherheitskonfigurationsrichtlinien zu fördern, müssen diejenigen Regeln identifiziert werden, die die Funktionalität einschränken würden. In diesem Artikel wird unser Ansatz vorgestellt, mithilfe von Combinatorial Testing problematische Regelkombinationen zu finden und mit Techniken des maschinellen Lernens die problematischen Regeln innerhalb dieser Kombinationen zu identifizieren. Die Administratoren können dann nur die unproblematischen Regeln anwenden und so die Sicherheit des Systems erhöhen, ohne dessen Funktionalität zu beeinträchtigen. Um die Nützlichkeit unseres Ansatzes zu demonstrieren, haben wir ihn auf reale Probleme aus Gesprächen mit Administratoren bei Siemens angewandt und die problematischen Regeln in diesen Fällen gefunden. Wir hoffen, dass dieser Ansatz mehr Administratoren dazu motiviert, ihre Systeme zu härten und damit die allgemeine Sicherheit ihrer Systeme zu erhöhen.

Dieser Vortrag wurde auf der 37. IEEE/ACM International Conference on Automated Software Engineering (ASE) präsentiert. Um Computerinfrastrukturen zu sichern, müssen die verantwortlichen Administratoren alle sicherheitsrelevanten Einstellungen konfigurieren und sichere Werte einsetzen. Hierbei stützen sie sich auf Sicherheitsexperten, die die sicherheitsrelevanten Einstellungen identifizieren und in Sicherheitskonfigurationsrichtlinien dokumentieren. Das Identifizieren der sicherheitsrelevanten Einstellungen ist allerdings zeitaufwändig und teuer, weshalb ihm oft keine Priorität beigemessen wird. Um dieses Problem zu lösen, nutzen wir aktuelle Verfahren der Computerlinguistik, um Einstellungen auf der Grundlage ihrer Beschreibung in natürlicher Sprache als sicherheitsrelevant zu klassifizieren. Allerdings zeigt unsere Evaluation, dass die trainierten Klassifikatoren nicht gut genug sind, um die menschlichen Sicherheitsexperten vollständig zu ersetzen sondern höchstens bei der Klassifizierung der Einstellungen helfen können. Durch die Veröffentlichung unserer gelabelten Datensätze und all unserer Modelle wollen wir Sicherheitsexperten bei der Analyse von Konfigurationseinstellungen unterstützen und weitere Forschung in diesem Bereich ermöglichen.

Um Systeme vor Angriffen zu schützen, müssen Administratoren alle sicherheitsrelevanten Einstellungen ihrer Systeme kennen und sichere Werte wählen; hierbei setzen sie Sicherheitskonfigurationsrichtlinien um. In vielen Fällen wollen Unternehmen jedoch nicht nur externe Richtlinien verwenden, sondern basierend auf diesen eigene erstellen und verwalten. Der aktuelle Prozess zur Administration solcher Richtlinien ist überwiegend auf manuelle Übertragungen und Überprüfungen angewiesen, wodurch er fehleranfällig und teuer wird. Um den Prozess von der Erstellung bis hin zur Überprüfung und Umsetzung von Richtlinien auf den Zielsystemen schneller und effizienter zu machen, haben wir den Scapolite-Ansatz entwickelt. Hierbei nutzten wir bereits bekannte Methoden aus der Softwaretechnik wie beispielsweise Versionsverwaltung oder Continuous Integration, um Richtlinien, ähnlich wie Code, zu verwalten und zu testen. Unseren Ansatz haben wir in einer qualitativen Fallstudie bei der Siemens AG erfolgreich umgesetzt. Hierbei konnten wir zeigen, dass mithilfe des Scapolite-Ansatzes Fehler in den Richtlinien deutlich früher gefunden werden können, wodurch die Systemhärtung vereinfacht wird. Zudem konnten wir Schlüsselfaktoren identifizieren, die Aufschluss darüber geben, ob ein Unternehmen seine Richtlinien eher traditionell oder mit dem Scapolite-Ansatz verwalten sollte. Wir hoffen, dass die jeweiligen Administratoren durch die effizientere Anwendung der Richtlinien mehr Systeme sicher konfigurieren und so besser vor Angriffen schützen können.

Wie trifft man eine ethisch richtige Entscheidung? Aufgrund des zunehmenden Einsatzes von Softwaresystemen in immer mehr gesellschaftlichen Bereichen kommt dieser Frage bei der Entwicklung von Softwaresystemen eine wachsende Bedeutung zu. Ethische Entscheidungen, die sich auch in Algorithmen abbilden, haben durch ihre Anwendung im Maschinellen Lernen oder in autonomen Systemen oft Auswirkungen auf sehr viele Menschen. Es ist daher wichtig, dass Entscheidungen, die das Design der Softwareanwendung bedingen, klar argumentiert und nachvollziehbar sind. Derzeit gibt es für aktuelle Softwareentwicklungsprozesse keine Methoden, um ethische Deliberationen zu integrieren. In diesem Papier stellen wir mit dem EDAP-Schema (Ethische Deliberation für agile Prozesse) ein Tool vor, dass es agilen Teams erlaubt, die ethische Dimension ihrer Entwicklungsentscheidungen zu strukturieren, klar zu kommunizieren und schlüssig zu deliberieren. Dadurch können diese Entscheidungen von Dritten nachvollzogen und geprüft werden.

Die wachsende Komplexität moderner Informationssysteme erschwert die Nachvollziehbarkeit der Speicherung und Verarbeitung personenbezogener Daten. Der einzelne Bürger ist den Systemen quasi ausgeliefert. Das Datenschutzrecht versucht dem entgegenzuwirken. Transparenz, das Recht zu wissen, wer was wann und bei welcher Gelegenheit über einen selbst weiß, ist ein fundamentales Grundrecht. Ein Werkzeug des Datenschutzes zur Herstellung von Transparenz ist der Auskunftsanspruch. Da bisher jedoch eine technische Unterstützung für die Erteilung von Auskünften fehlt, erhalten Betroffene meist nur statische Datenbankauszüge und keine aussagekräftigen Informationen über vergangene Datenerhebungen, Weitergaben und Informationsflüsse. Die neuere Forschung arbeitet auf automatisierte Trackingmechanismen für personenbezogene Daten hin. Aus der entstehenden Personal-Data-Provenance kann dann eine vollständige Datenschutzauskunft abgeleitet und auf einer elektronischen Auskunftsplattform bereitgestellt werden. Dieses Ziel wurde allerdings noch nicht vollständig erreicht. Die Anforderungen des Datenschutzes an eine elektronische Datenschutzauskunft wurden bislang nicht ausreichend systematisch berücksichtigt und umgesetzt. Die Struktur der Personal-Data-Provenance, deren konfigurierbare, verteilte Erfassung und die Zusammenführung der Personal-Data-Provenance zum Zeitpunkt eines Auskunftsersuchens sind ungeklärt. Die Datenschutzauskunft und die übrigen Betroffenenrechte sind bis dato nicht miteinander verwoben. Die durch die zusätzlichen Trackingdaten entstehenden Profilbildungsrisiken automatisierter Auskunftssysteme werden nicht adressiert. Diese Arbeit unterzieht das Recht auf Auskunft einer kritischen Würdigung als Teil des datenschutzrechtlichen Transparenzgedankens und schafft umfassende technische Voraussetzungen für die Wahrnehmung des Rechts auf Auskunft. Die Beiträge dieser Arbeit sind wie folgt: (1) Die Einbindung des Rechts auf Auskunft in die verfassungsrechtliche und einfachgesetzliche Struktur des Datenschutzes wird diskutiert. Die Bedeutung des Auskunftsrechts wird eingeordnet. Die Herausforderungen durch die Verabschiedung der Datenschutz-Grundverordnung, insbesondere das Recht auf Datenübertragbarkeit, werden mitberücksichtigt. Datenschutzrechtliche Anforderungen an eine automatisierte Beantwortung von Auskunftsersuchen werden unter Zuhilfenahme eines strukturierten Vorgehensmodells systematisch abgeleitet. (2) Ein verteiltes, datenzentriertes, integriertes und betroffenenfokussiertes Datenschutzauskunftssystem wird entworfen und implementiert. Es erlaubt ein schichtenunabhängiges, semantisch konfigurierbares Provenance-Tracking über Systemgrenzen hinweg. Kombiniert mit Usage-Control-Technologien können weitergehende Datenschutzrechte wie der Löschanspruch durchgesetzt werden. Die entwickelte Auskunftsplattform erlaubt die interaktive und schrittweise Wahrnehmung des Auskunftsrechts. (3) Entstehende Profilbildungsrisiken werden mittels einer generischen, instanziierbaren und berechenbaren Metrik für Unverkettbarkeit, der Unmöglichkeit des In-Bezug-Setzens personenbezogener Daten, sichtbar gemacht. Bestehende Konzepte für informationstheoretische Unverkettbarkeitsmetriken werden auf beliebige Verkettungsrelationen verallgemeinert. Das Schema wird für vier Relationen mit Bezug zum entwickelten Datenschutzauskunftssystem instanziiert. Das A-priori- und A-posteriori-Wissen eines Angreifers wird formalisiert und in die Metrik integriert. Die Metrik wird als Grundlage einer informierten Entscheidung des Betroffenen bezüglich des Provenance-Trackings vorgeschlagen. Die Plausibilität des Ansatzes wird anhand eines durchgehenden Beispiels gezeigt. Das Datenschutzauskunftssystem wird darüber hinaus auf seine Skalierbarkeit hin evaluiert. Die Ergebnisse zeigen, dass eine passgenaue, datenschutzgerechte Datensammlung und eine gute Speicherskalierbarkeit miteinander Hand in Hand gehen. Für die Unverkettbarkeitsmetrik wird eine heuristische Berechnung demonstriert. Die Genauigkeit hängt vom Schwellwert des Abbruchkriteriums ab. Schließlich wird die Akzeptanz der Auskunftsplattform durch Nutzer anhand einer Studie gezeigt. Die entwickelte Plattform PrivacyInsight stellt sich gegenüber existierenden Formen der Visualisierung als überlegen heraus. The ever-growing levels of complexity of modern information systems complicate the traceability of processed and stored personal data. The individual citizen is at the mercy of the systems. Data protection law tries to counteract this. Transparency - the right to know who knows what, when, and on which occasion about oneself - is a fundamental right of the German constitution. The right to information is one instrument of data protection to establish transparency. Since there still is a lack of functionality in regards to transparency, the person concerned usually merely receives a static database snapshot. Obtaining no meaningful information about collection, transfer, and other flows of personal data. Recent research efforts evolve around automated tracking mechanisms for personal data. All information required can be derived from the resulting personal data provenance. This information must be visualized comprehensible for the person concerned. However, this objective has not yet been fully achieved. The data protection requirements for an electronic response to an information request have not yet been systematically considered. The data structure of personal data provenance is unclear. Its configurable, distributed collection and its aggregation at the time of an information request prove to be research gaps. It is an established fact that the right to information and other rights of the person concerned have not yet been technically interwined. The resulting tracking data raises new issues of data protection law itself. They allow extensive profiling which has not been addressed. In the work at hand the right to information is critically assessed with a focus on the notion of transparency. Furthermore, the technical requirements to exercise the right to information are created. The contributions of this work are as follows: (1) The implementation of the right to information in constitutional and legal structures of data protection is examined. The relevance of the right to information is evaluated. The challenges arising from the adoption of the General Data Protection Regulation, especially the right to data portability, are inspected. Data protection requirements for an automated response to information requests are systematically derived using a structured approach. (2) A distributed, data-centric, integrated and user-focused data protection information system is designed and implemented. It allows layer-independent, semantic-configurable provenance tracking across system boundaries. Combined with usage control, further data protection rights such as the right to erasure can be enforced. The implemented privacy dashboard allows the interactive and gradual exercise of the right to information. (3) Profiling risks are visualized by means of a generic, instantiable and calculable metric for unlinkability, the impossibility to interrelate personal data. Existing concepts for information-theoretic unlinkability metrics are generalized to arbitrary linkage relations. The schema is instantiated for four relations related to the data protection information system. A priori and a posteriori knowledge of an attacker is formalized and integrated into the metric. This metric is proposed as the basis for an informed decision of the person concerned regarding the provenance tracking. The plausibility of the approach is demonstrated by means of a continuous example. In addition, the scalability of the data protection information system is evaluated. The results show that a precise data collection and a good memory scalability go hand in hand. A heuristic calculation is performed for the unlinkability metric. The accuracy depends on the threshold value of the termination criterion. Finally, user acceptance of the privacy dashboard is verified by a study. The developed platform platform turns out to be superior to existing visualizations.