Usability challenges of PKI [Elektronische Ressource] / von Tobias Straub

Tobias Straub

Sujets

• Informatik

Informations

• Publié par: technischen_universitat_darmstadt
• Publié le: 01 janvier 2006
• Nombre de lectures: 36
• Langue: English
• Poids de l'ouvrage: 2 Mo

Extrait

Usability Challenges of PKI
Vom Fachbereich Informatik
der Technischen Universit¨at Darmstadt
genehmigte
Dissertation
zur Erlangung des akademischen Grades
Doctor rerum naturalium (Dr. rer. nat.)
von
Dipl.-Math. Tobias Straub
aus Tu¨bingen
Referenten: Prof. Dr. J. Buchmann (TU Darmstadt)
Prof. Dr. G. Mu¨ller (Universit¨at Freiburg)
Tag der Einreichung: 13. Dezember 2005
Tag der mu¨ndlichen Pru¨fung: 24. Januar 2006
Darmstadt, 2005
Hochschulkennziffer: D 17To JudithDasscho¨nsteGlu¨ckdesdenkendenMenschenist,dasErforschliche
erforscht zu haben und das Unerforschliche zu verehren.
– Johann Wolfgang von Goethe
Acknowledgements
First and foremost, I am greatly indebted to Prof. Dr. Johannes Buchmann
forproposingtheresearchtopicofthisdissertation,offeringmeascholarship
of the Graduiertenkolleg e-Commerce, and promoting and encouraging me
while I was working on this thesis. I would also like to thank Prof. Dr.
Gu¨nter Mu¨ller for accepting the task of the second referee.
Ihadtheopportunitytoworkinaveryfriendlyandinspiringatmosphere
at TU Darmstadt. I am grateful to all my colleagues, especially my room-
mate Vangelis Karatsiolis for everlasting discussions and to Marita Skrobic
and Ralf-Philipp Weinmann for their kindness and support. It was a plea-
sure for me to co-author papers with Harald Baier, Manuel Hartl, Andreas
Heinemann, Johannes Ranke, Kai Richter, Volker Roth, and Markus Rup-
pert. Thanksalottothepeoplewhoproof-readdraftsofthisthesis: Manuel
Hartl, Andreas Heinemann, Carola Klink, and Ulrich Vollmer.
I would also like to thank my family for making possible my academic
education and permanently sustaining me. Finally, I thank Judith for her
love and patience during the long course of this project. This dissertation
is dedicated to her.Zusammenfassung
Benutzbarkeit ist kritisch fu¨r das Funktionieren von Sicherheitsmechanis-
men. Dies gilt im Besonderen fu¨r Verfahren basierend auf Public-Key-
Infrastrukturen (PKI). Gerade letztere besitzen eine hohe Komplexita¨t und
erwiesen sich daher in der Praxis als Quelle von Bedienfehlern, die schnell
zu Sicherheitslu¨cken fu¨hren k¨onnen. Umgekehrt bremsen aber auch Be-
nutzbarkeitsprobleme die Nutzung und Verbreitung von PKI-fa¨higen An-
wendungen und Diensten.
Gegenstand der vorliegenden Arbeit ist die Darstellung der spezifischen
Herausforderungen von PKI-Technologie in Bezug auf Benutzbarkeit sowie
das Aufzeigen von Lo¨sungsans¨atzen. Dazu wird ein allgemeines Schichten-
modell zur Verbesserung der Benutzbarkeit von Sicherheitsanwendungen
sowie ein generisches Werkzeug zur Analyse beliebiger PKI-fa¨higer Soft-
wareeingefu¨hrt. DieArbeitzeigtsodannbeispielhaftmehrereAnwendungen
dieser Konzepte auf:
NebentechnischenMaßnahmenderIT-SicherheitkommtgeradederSen-
sibilisierung und Schulung von Anwendern eine große Bedeutung zu, denn
viele Sicherheitsprobleme lassen sich auf menschliche Irrtu¨mer oder Nach-
la¨ssigkeit zuru¨ckfu¨hren. Wir entwickeln daher ein neues Konzept fu¨r Secu-
rity Awareness-Kampagnen, die durch gezieltes Einbeziehen der Benutzer
langfristige und nachhaltige Verhaltens¨anderungen bewirken sollen.
Das Delegieren von sicherheitskritischen Aufgaben ist eine Mo¨glichkeit,
Benutzbarkeitsproblemenzubegegnen. HierwirdspeziellPKIOutsourcing,
d.h. der Betrieb eines Trustcenters durch einen Dienstleister, untersucht.
In diesem Fall ist besonders die Sicherheit beim Certificate Enrolment zu
gew¨ahrleisten. Wir zeigen eine Sicherheitslu¨cke des Standardprotokolls auf
und beheben diese mit Hilfe von verteilten digitalen Signaturen, die ein
Vieraugenprinzip kryptografisch umsetzen. Unser Protokoll beno¨tigt eine
verteilte Schlu¨sselerzeugung zwischen zwei Parteien. Wir stellen dazu einen
neuen, effizienten und beweisbar sicheren Algorithmus fu¨r RSA vor.
Die meisten Emailprogramme unterstu¨tzen bereits Verschlu¨sselung und
digitale Signaturen, doch diese Funktionen werden kaum genutzt. Grund
dafu¨r ist die ungu¨nstige Kosten-Nutzen-Relation fu¨r den Anwender. Wir
zeigen, wie sich diese verbessern la¨sst. Dies geschieht durch den Einsatz op-
portunistischer Sicherheit, welche Public-Key-Kryptografie ohne Zertifikate
und den damit verbundenen Aufwand realisiert.Ein Problem von PKI-basierten Authentifikationsverfahren ist, dass aus
Sicherheitsgru¨nden kryptografische Schlu¨ssel nicht tempora¨r an einen Stell-
vertreter, etwa w¨ahrend eines Urlaubs, weitergegeben werden k¨onnen. Wir
beschreiben eine, fu¨r den Benutzer transparente, einheitliche Lo¨sungsplatt-
form fu¨r den Anwendungsfall World Wide Web, die alle gebr¨auchlichen Au-
thentifikationsverfahren unterstu¨tzt.1Wissenschaftlicher Werdegang des Verfassers
10/1995 – 9/1997, Studium der Mathematik mit Nebenfach Informatik
4/1998 – 7/2001 an der Universit¨at Tu¨bingen
10/1997 – 3/1998 Gaststudium an der ETH Zu¨rich
18.07.2001 Abschluss der Diplom-Pru¨fung (Dipl.-Math.)
8/2001 – 3/2002 Wiss. Mitarbeiter am Lehrstuhl Prof. C. Hering,
Fachbereich Mathematik, Universit¨at Tu¨bingen
5/2002 – 4/2005 Promotionsstipendiat im Graduiertenkolleg
e-Commerce, Technische Universit¨at Darmstadt
seit 9/2005 Wiss. Mitarbeiter, Fraunhofer-Institut fu¨r Sichere
Informationstechnologie, Darmstadt
2Erkl¨arung
Hiermit erkl¨are ich, dass ich die vorliegende Arbeit – mit Ausnahme der in
ihr ausdru¨cklich genannten Hilfen – selbst¨andig verfasst habe.
1gem¨aß §20 Abs. 3 der Promotionsordnung der TU Darmstadt
2gem¨aß §9 Abs. 1 der Promotionsordnung der TU Darmstadt