Slides Thema 8

Unsichere Webprotokolle

... im Netzwerk des Unternehmens.

🎯 Sie lernen welche Protokolle unsicher sind.

Business LAN

Bei der Arbeit bewegt man sich meistens im Local Area Network (LAN) des Unternehmens.

🤔 Welcher Datenaustausch ist bei eurem Unternehmen sicherer?

Austausch innerhalb LAN
Austausch ausserhalb LAN mit Internet

Unsichere Protokolle

Im Netzwerk des Unternehmens sind oftmals unsichere Protkolle im Einsatz:

LDAP: Authentisierung von Benutzern
SMTP: Mail-Versand
SNMP: Verwaltung von Netzwerkgeräten
HTTP: Websites ohne Zertitifikate

🤔 Könnt Ihr das bestätigen?

Aufgaben

🎬 Lösen Sie die Aufgaben 1 in Gruppen oder Breakout-Rooms.

Vernetzung der Geräte

Die Geräte im Spital werden immer vernetzter (oder sind es schon). Neuere Standards wie HL7 kommen zu Einsatz. Diese regeln das Nachrichtenformat, aber nicht die sichere Übertragung.

FHIR steht für Fast Healthcare Interoperability Resources, und ist wie der Name schon sagt mit dem Ziel angetreten, schnelle und einfache Interoperabilität in medizinischen Anwendungen zu ermöglichen.

Sicherheit in FHIR

Sicherheit ist optional.

Fast Healthcare Interoperability Resources (FHIR) is not a security protocol, nor does it define any security related functionality.

https://www.hl7.org/fhir/security.html

Kommunikationssicherheit: Jegliche Kommunikation soll durch Transport Layer Security (TLS) beziehungsweise Secure Sockets Layer (SSL) verschlüsselt erfolgen.

Authentifizierung: BenutzerInnen sollten sich authentifizieren. OAuth ist hier empfohlen.

Zugriffskontrolle: FHIR hat eine auf Sicherheitsmarkierungen basierte Infrastruktur (Security Label) definiert, um Zugriffskontrolle prinzipiell zu ermöglichen.

Digitale Signaturen: FHIR unterstützt Signaturen.

🤔 Wer ist verantwortlich für die sichere Übertragung?

Analyse Schutzziele

Kurze Analyse der Schutzziele bezl. FHIR:

Schutzziel	Status
Vertraulichkeit 😈	Nachrichten können mitgelesen werden
Integrität 💎	Nachrichten werden signiert
Authentitzität 🙋‍	Authentisierung mit OAuth
Verbindlichkeit 📝	Gelöst mit Protokollierung

Ein Aufruf

Stellt in eurem Unternehmen sicher, dass:

Geräte und Computer über sichere Kanäle kommunzieren
Der Zugriff auf eine Schnittstelle authorisiert ist
Nachrichten signiert werden