News

Click here to browse and edit the security ontology online.

Mar 2, 2010 @SBA:

17:30 - 17:50, SBA: “Cloud-Tools” und Auswirkungen auf Sicherheitsanforderungen
17:50 - 18:25, SBA-Partner Security Research: Sicherheit und Virtualisierung
18:25 - 19:00, SBA-Partner factline: Bedeutung der Verlässlichkeit und Sicherheit für Zusammenarbeit über Web-Plattformen

(program)

The ‘Explore, Investigate and Correlate’ (EIC) Conceptual Framework for Digital Forensics Information Visualisation
by Grant Osborne, University of  Adelaide, South Australia

From March to May and from August to December 2010 Martin Mulazzani will work on his research in Privacy and Forensics at Purdue University in Elisa Bertino’s group.

G.Müller

Titel: Löst die aktuelle Sicherheitsforschung nur die bekannten Probleme?

Abstrakt:

Sicherheit war bisher Zugangskontrolle. Statistiken zeigen, dass dieses Paradigma immer weniger ausreicht und dass dadurch die Anwendungen des Cloud Computing und der Service-orientierung gefährdet sind. Man will n icht nur Zugang haben, sondern auch die Gewissheit, dass Vereinbarungen zu jeder Zeit eingehalten werden. Diese so geannte Nutzungskontrolle ist eigentlich die bekannte Zuverlässigkeit verstanden als die Sicherheit ergänzt um die Korrektheit der Dienste. Sicherheitslücken ermöglichen durch die unvermeidlichen Interferenzen die Ableitung von Informationen, die nur durch unzulässige Informationsflüsse möglich sind.

Der Vortrag stellt die gegenwärtige Ausgangs- und Sicherheitslage anhand von Statistiken über Sicherheitsverletzungen vor. Gerade durch die Defizite der Sicherheitsforschung ist es zu Schwachstellen gekommen, die man heute unter dem Begriff “Compliance” zusammengefasst nur sehr aufwändig bekämpfen kann. Es handelt sich dabei um Sicherheitsprpobleme bei Prozessen. Hierzu hat die DFG (Deutsche Forschungsgemeinschaft) unter dem Titel “zuverlässig sichere Systeme” ein Schwerpunktprogramm eingerichtet, das den Vortragende mitverantwortet. Es geht darum die Sicherheitsfrage über die Zugangskontrolle hinaus um die Zuverlässigkeit zu erweitern. Die praktischen und technischen Herausforderungen dazu stehen im Mittelpunkt des Vortrages.

Guest lecture by Prof. Rinderle-Ma on “Evolution von organisatorischen Strukturen und deren Effekte in prozessorientierten Informationssystemen”  (Feb 2, 10 am, SBA)

SBA Research received a research grant to develop guidelines for forensic analysis of Web 2.0 technologies.

From January to March 2010, Stefan Fenz will work as a visiting scholar at the Stanford Center for Biomedical Informatics Research at Stanford University. He will develop and implement novel methods for the ontology-based generation of Bayesian networks.

SBA Research co-organizes the conference with the University of Klagenfurt. See www.syssec.at/dachsecurity2010 for more details.

Today, Stefan Fenz attends the European Security Round Table in Brussels. The European Security Round Table is a neutral platform between the EU Institutions, NATO and other relevant actors to discuss European security and defence issues.

Edgar Weippl presents the opening talk at this year’s ADV security event (IT-Sicherheit für Fortgeschrittene). (more…)

112 People visited our information security-specific program at Lange Nacht der Forschung 2009. The program hosted by Secure Business Austria comprised privacy issues, wireless security, password security, and forensics. EVVA supported our program by presenting the latest lock innovations to our visitors.

We are happy to announce that our SBA2 proposal has been accepted by the jury. The research grants enable us to continue our research till 2014. German press releases can be found at APA and FFG.

Martin Mulazzani & Edgar Weippl, Aktuelle Herausforderungen in der Datenbankforensik (more information)

Our paper “Ontology-based Generation of IT-Security Metrics” has been accepted at the 25th ACM Symposium on Applied Computing (SAC’2010).

On November 7 2009 16:27 - 00:00 Secure Business Austria hosts an information security-specific program at Lange Nacht der Forschung. The program comprises live demonstrations and awareness training in the fields of

• wireless security,
• password security,
• social engineering,
• privacy,
• lockpicking,
• mobile storage security,
• credit card fraud, and
• digital forensics.

We invite everybody to join us at Favoritenstrasse 16 1040 Wien.

SBA managing director Markus Klemen presents social engineering cases at this years’ “IKT-Sicherheitsseminar” of the Austrian Armed Forces Security Agency. See the program for further details.

SBA managing director Markus Klemen was interviewed and cited in Wednesdays’ “Die Presse” concerning the organizational and technical limitations of website blockers. Link to the online version: http://diepresse.com/home/panorama/oesterreich/512034/index.do?from=suche.intern.portal

Peter Kleissner (http://www.peterkleissner.com/) presented his Stoned Bootkit and new research directions to circumvent full disk encryption.

SBA managing director Markus Klemen was interviewed and cited in Sundays’ “Die Presse” concerning the technical difficulties behind DNS-based website blockers. Link to the online version: http://diepresse.com/home/techscience/internet/509459/index.do?from=suche.intern.portal

Today we attend the highly prestigious International Conference on Business Process Management (BPM’2009) and present our paper “Business Process-based Resource Importance Determination” in the main track.

The IPICS academic summer school (http://www.ipics-school.eu/)  is a two weeks course for Master`s students in their final year, PhD students and IT professionals interested in a comprehensive overview and broad coverage of recent developments in “Information and Communication Security”. Speakers include Prof. Preneel, Prof. Lopez, Prof. Samarati and many more (http://ipics.securityresearch.at/?page_id=64)

Using security patterns to develop secure systems

Eduardo B. Fernandez

Florida Atlantic University

Boca Raton, FL, USA

http://www.cse.fau.edu/~ed

A security pattern is a special type of software architectural pattern that describes solutions to security problems. We describe our recent results in methodologies to apply security patterns, where we are now and where we are going. In particular we are working on:

Secure software development methodology—This is a general methodology to build secure systems. We have worked in the methodology itself and we are developing now specific aspects of it.

Modeling and Classification of security patterns—We have tried to provide a precise characterization of security patterns that can be used as a basis for classification. A good classification makes the application of the pattern much easier along the software lifecycle.

Misuse patterns– A misuse pattern describes, from the point of view of the attacker, how a type of attack is performed (what units it uses and how), analyzes the ways of stopping the attack by enumerating possible security patterns that can be applied for this purpose, and describes how to trace the attack once it has happened by appropriate collection and observation of forensics data. They can be used in the lifecycle to prevent the occurrence of known types of attacks.

Eduardo B. Fernandez (Eduardo Fernandez-Buglioni) is a professor in the Department of Computer Science and Engineering at Florida Atlantic University in Boca Raton, Florida. He has published numerous papers on authorization models, object-oriented analysis and design, and security patterns. He has written four books on these subjects, the most recent being a book on security patterns. He has lectured all over the world at both academic and industrial meetings. He has created and taught several graduate and undergraduate courses and industrial tutorials. His current interests include security patterns and web services security and fault tolerance. He holds a MS degree in Electrical Engineering from Purdue University and a Ph.D. in Computer Science from UCLA. He is a Senior Member of the IEEE, and a Member of ACM. He is an active consultant for industry, including assignments with IBM, Allied Signal, Motorola, Lucent, and others. More details can be found at http://www.cse.fau.edu/~ed

Titel

===

Schutz Privatsphäre bei der Weitergabe von persönlichen Daten in Geschäftsprozessen

Abstract

=====

Der Schutz der Privatsphäre in Geschäftsprozessen für personalisierte Dienstleistungen basiert momentan auf das Vertrauen der Nutzer in die Diensteanbieter. Diese Geschäftsprozesse erfordern nicht nur eine Erhebung sondern auch eine Weitergabe persönlicher Daten ihrer Nutzer. Allerdings können Nutzer die Verarbeitung und Weitergabe ihrer Daten nicht kontrollieren.

Beispiele sind Kundenkartensysteme und medizinische Dienstleistungen mit der elektronischen Patientenakte.

Derzeit delegieren Nutzer ihre Privatsphäre an die Diensteanbieter, indem sie zu deren Datenschutzrichtlinie pauschal einwilligen und ihre Einhaltung jedoch nicht kontrollieren können. Gegenwärtige Mechanismen zum Schutz der Privatsphäre decken den Zugriff auf persönliche Daten bei ihrer Erhebung ab, jedoch nicht ihre Nutzung und damit deren Weitergabe. Der Vortrag stellt ein System mit einer nicht-verkettbaren Delegation von Rechten für den Datenzugriff und einem modifizierten digitalem Watermarkingschema zur nachvollziehbaren Durchsetzung dieser Rechte zur Datenweitergabe vor, so dass Nutzer den Diensteanbietern nicht mehr vertrauen müssen.

Bio

==

Dr. Sven Wohlgemuth promovierte bei Prof. Dr. Günter Müller am Institut für Informatik und Gesellschaft der Albert-Ludwigs-Universität Freiburg im Breisgau. Neben der Promotion war er Koordinator des Schwerpunktprogramms “Sicherheit in der Informations- und Kommunikationstechnik” der Deutschen Forschungsgemeinschaft (DFG) und der Arbeitsgruppe “Privacy in Business Processes” des europäischen Network of Excellence “Future of Identity in the Information Society (FIDIS)” des 6. Rahmenprogramms der Europäischen Union.

Derzeit ist er Gastwissenschaftler am National Institute of Informatics in Tokyo, Japan. Dort beschäftigt er sich mit der Durchsetzung von Obligationen zum Schutz der Privatsphäre bei der Weitergabe persönlicher Daten.

Our paper “A Reference Model for Risk-Aware Business Process Management” has been accepted at the 4th International Conference on Risks and Security of Internet and Systems (CRISIS2009).