Java «» CGI bezüglich Datensicherheit

[Holger Hahn]

Hallo erstmal zusammen,

beim chatten kam eine einfach zu stellende aber hoffentlich nicht ganz so einfach zu beantwortende Fragen auf:

Man stelle sich eine Firma vor, die gegenüber dem Staat(Bund, Land, etc) meldepflichtig ist.

Bei diesen meldepflichtigen Daten handelt es sich nicht nur um Peanuts, sondern um harte Zahlen (gewinne, Umsätze, etc)

Bislang wird diese ganze meldeproblematik via Papier gemacht.
D.h. Meldebögen an Firmen verschicken, in den Unternehmen die Bögen anhand im PC gespeicherter Daten ausfüllen, die gefüllten Bögen zurück an die Behörde schicken und dort die aus dem PC extrahierten Daten wieder von Paper in den Rechner füttern.

Einziger Vorteil: SICHERHEIT.

Jetzt versucht man in Zukiunf die ganze Sache direkt online mit Hilfe von JAVA-Applets zu bewerkstelligen.

Lange Rede kurzer Sinn:

Reichen nicht CGI- (Perl-)Scripte aus um ein Maximum an Datensicherheit zu erlangen??

In der Hoffnung auf eine "Riesendiskussion",

Holger

[Daniel Thoma]

Hallo Holger

Nun, natürlich kann man sowas auch mit Perl machen, aber mit Java kann man
auch sehr schöne Webanwendugen schreiben.
Für die sicherheit ist wichtig, daß man SSL verwendet.
Mit Java-Applets kann man verschlüßelte verbindungen aufbauen, ohnen das man sich um die verschiedenen
implementierungen der Verschiedenen Browser kümmern muß.
(Das wird warscheinlich der grund für java sein)

Ein große diskusion wirst du wahrscheinlich nicht bekommen, so viel zu streiten gibt es bei dem Thema
nähmlich nicht.

Tschüs

Daniel

[Wolfgang Wiese]

Hi,

Bei diesen meldepflichtigen Daten handelt es sich nicht nur um Peanuts, sondern um harte

Zahlen (gewinne, Umsätze, etc)

Bislang wird diese ganze meldeproblematik via Papier gemacht.
D.h. Meldebögen an Firmen verschicken, in den Unternehmen die Bögen anhand im

PC gespeicherter Daten ausfüllen, die gefüllten Bögen zurück an die Behörde schicken
und dort die aus dem PC extrahierten Daten wieder von Paper in den Rechner füttern.

Einziger Vorteil: SICHERHEIT.

Da wird dir der Verfassungsschutz aber was anderes erzaehlen!!

Jetzt versucht man in Zukiunf die ganze Sache direkt online mit Hilfe von JAVA-Applets

zu bewerkstelligen.

Lange Rede kurzer Sinn:

Reichen nicht CGI- (Perl-)Scripte aus um ein Maximum an Datensicherheit zu erlangen??

NEIN!
CGI beschreibt nur die Art und Weise wie ein Webserver Daten an
ein Programm weitergibt, nicht aber die Sicherheit.
Im Normalfall werden alle daten uebers Netz unverschluesselt
uebertragen.
Es ist heutzutage kein Problem einen Sniffer in einem Backbone-Knoten
einzubauen, der dann alles was von und zu dir geht, mithoert.
Ebenso -und das bestaetigt der Verfassungsschutz- kann man davon ausgehen,
das alles was durch die Luft uebertragen wird abgehorcht werden kann und wird.
Laut Aussage des (Bayerischen) Verfassungsschutz ist es kein Problem die
entsprechenden Messages zu decoden. (Und das trotz CDMA und/oder FDMA.)

Wenn du ein Webinterface machst, dann ist es erst sicher, wenn
du die Uebertragung sicher machst. Dies kriegst du derzeit mit SSL oder
HTTPS zustande.

Das Problem das ich bei dir eher sehe ist die Organisation.
Bedenke das du es mit einem Amt zu tun hast, welches Richtlinien fuer sowas
hat, die vom Amt fuer Verfassungsschutz gemacht wurden.
Diese Richtlinien muessen nunmal dort eingehalten werden. Das heisst was immer du
machst muss erst auf diese abgestimmt sein.

Was die Technik selbst angeht wuerde ich es nicht direkt ueber
CGI/JAVA machen sondern nur ein CGI machen, das ein anderes Programm
'anstoesst', eine E-Mail an eine feste Adresse zu senden welche
alle Daten enthaelt.
Die E-Mail muss auf alle Faelle verschluesselt sein, wobei entweder
S/MIME oder PGP in Frage kommt. Sobald PGP/MIME sich durchgesetzt hat,
ist dies natuerlich noch besser zu nutzen.

Ciao,
Wolfgang

[Thomas Kallwass]

Ebenso -und das bestaetigt der Verfassungsschutz- kann man davon ausgehen,
das alles was durch die Luft uebertragen wird abgehorcht werden kann und wird.
Laut Aussage des (Bayerischen) Verfassungsschutz ist es kein Problem die
entsprechenden Messages zu decoden. (Und das trotz CDMA und/oder FDMA.)

Wozu so umstaendlich? Mittels der vom Monitor abgegebenen Strahlung kann man auch das Monitorbild rekonstruieren. Ist doch viel einfacher als etwas zu entschluesseln.

MfG
Thomas

[Wolfgang Wiese]

Hi,

Laut Aussage des (Bayerischen) Verfassungsschutz ist es kein Problem die
entsprechenden Messages zu decoden. (Und das trotz CDMA und/oder FDMA.)

Wozu so umstaendlich? Mittels der vom Monitor abgegebenen Strahlung kann man auch das Monitorbild rekonstruieren. Ist doch viel einfacher als etwas zu entschluesseln.

»»

Weil das direkte anfangen von Monitorstrahlung viel komplizierter und auffaelliger ist.
Du musst relativ nah am Objekt sein, dazu noch unerkannt, etc. pp.
Da ists viel einfacher einen Satelliten auf einer tiefen Umlaufbahn zu schicken, oder nach dem Vorbild
der DDR einfach zwischen Richtfunkstrecken ein Horchposten zu bauen (zw. Berlin und München z.B.).
(Wenn es sich um Wirtschaftsinfos handeln würde)

Und so den Funk abzuhorchen ist auch nicht durch Bremsspuren vor dem Gebäude nachweisbar :)

Ciao,
Wolfgang

P.S.: Nein, ich arbeite nicht für den Verfassungsschutz

[Calocybe]

Hallo!

Was bei den bisherigen Antworten meines Erachtens noch nicht so deutlich ausgesprochen wurde ist, dass es absolut egal ist, ob Du nun Perl oder Java verwendest. Sind die Daten erstmal beim Server, ist die Sicherheit allein davon abhaengig, was Dein Programm damit macht, nicht aber von der verwendeten Programmiersprache. Wichtig ist natuerlich der Weg der Daten zum Server, der wie schon gesagt wurde, auf jeden Fall ueber ein verschluesseltes Protokoll fuehren muss.

So long