Sicherheitsforschung

Die allermeisten uns bekannten Kompromittierungen beginnen mit einem Geheimnis, das nicht dort hätte liegen dürfen, wo es lag: ein privater Schlüssel in einem Synchronisationsdienst für Privatkunden, ein Schnittstellenmerkmal in einem Code-Repository, ein Passwort in einer versionierten Konfigurationsdatei. Die Suchprogramme, die solche Quellen abgrasen, werden innert Stunden fündig.

Wir wenden eine Regel ohne Ausnahme an: Geheimnisse liegen in einem im Ruhezustand verschlüsselten, versionierten Tresor, der mit einem offline verwahrten Hauptschlüssel geöffnet wird. Ein aus dem Tresor entnommenes Geheimnis hat eine Lebensdauer und einen Geltungsbereich. Ein Wechsel beschränkt sich nie auf das Ändern eines Werts, er umfasst die Suche nach allen Stellen, an denen der alte Wert verwendet wurde.

• Im Ruhezustand verschlüsselter, versionierter Tresor mit Hauptschlüssel
• Striktes Verbot von Geheimnissen in Anwendungs-Repositories
• Bestandsaufnahme der Verwendungen vor jedem Wechsel
• Namentliche, widerrufbare und protokollierte Zugänge

Eine ernsthafte Vorfallsreaktion folgt einer nicht verhandelbaren Reihenfolge: isolieren vor verstehen, Spuren sichern vor bereinigen, neu aufbauen statt flicken, und erst auf einer Maschine wieder in Betrieb gehen, deren Zustand man zusichern kann.

Der häufigste Fehler besteht darin, neue Schlüssel auf einer noch kompromittierten Maschine zu erzeugen, womit man die neuen demselben Angreifer übergibt. Wir dokumentieren diese Abläufe, wir üben sie, und wir bewahren die angetroffenen Kompromittierungsmerkmale auf, um andernorts danach zu suchen.

• Isolierung, Spurensicherung, Auswertung, Neuaufbau
• Zugänge von einem sauberen Arbeitsplatz aus gewechselt, nie von der betroffenen Maschine
• Merkmale in der gesamten Umgebung gesucht
• Nachbetrachtung und Vorkehrung gegen Wiederholung

Auf einer Handelsplattform ist Betrug kein Ausnahmefall, sondern ein ständiger Strom. Wir bauen messbare Signale statt Vermutungen: Übereinstimmung von Rechnungs- und Lieferadresse, Wiederverwendung von Zugangsdaten, Geschwindigkeit der Versuche, Abstand zwischen Warenkorb und Kontoverlauf.

Diese Signale dienen der Entscheidung, nicht der Anschuldigung. Ein Punktwert speist einen ausdrücklichen, überprüfbaren und protokollierten Entscheid, damit eine Ablehnung der Kundschaft stets erklärt werden kann.

• Messbare Signale statt unausgesprochener Regeln
• Ausdrückliche, protokollierte und überprüfbare Entscheide
• Bearbeitung von Streitfällen und Aufbau der Beweisakten
• Formulare gegen missbräuchliche Automatisierung geschützt

Wir betreiben angewandte Arbeiten zur Echtheitsprüfung in zwei Richtungen. Die erste betrifft Bewertungen und Reputationssignale, von denen ein erheblicher Teil künstlich erzeugt wird. Die zweite betrifft die Authentifizierung physischer Produkte und die Nachverfolgung ihrer Besitzkette.

Diese Arbeiten stützen sich auf Datenauswertung, Bildverarbeitung und angewandte Elektronik. Sie fliessen unmittelbar in unsere übrigen Bereiche zurück, die ihre ersten Nutzer sind.

• Erkennung künstlicher Reputationssignale
• Produktauthentifizierung und Nachverfolgung der Besitzkette
• Angewandte Datenauswertung und Bildverarbeitung
• Angewandte Elektronik und Messtechnik