Kontakt Impressum Datenschutz

Online Bibliographien

Externe Online Bibliographien

Forschung     Projekte

Projekte

Ongoing Projects and Activities

Finished Projects and Activities

Cooperations and project partnerships (in alphabetical order)

Ongoing Projects and Activities

Economic Principle Oriented Security Management

Modern security mangaement should be based upon economic principles. For this purpose organisations need data, tools and techniques for the cost-benefit-analysis of security investments as well as methods to integrate the results of that kind of analysis into their overall information security management systems. Our research in this area has three main goals:
  1. Identifying methods for providing organisations with accurate data for evaluating security investments and building a system for the sharing of information security relevant data among organisations.
  2. Evaluation and development of metrics, tools and techniques for an economically oriented security management.
  3. Integrating economic principles into information security management and building a new process model for information security management.

Security in Vehicular Ad Hoc Networks 

Vehicular ad hoc networks (VANETs) have the potential to increase road safety and comfort. Especially because of the road safety functions, there is a strong demand for security in VANETs. Simply using digital signatures and a public key infrastructure (PKI) to protect message integrity is insufficient taking into account multilateral security. Our main goal is to develop a security architecture for VANETs that balances security requirements of all participants. We also try to identify and - if necessary - develop feasible mechanisms that fit in this architecture. Finally, we evaluate the architecture and mechanisms in simulations.

EFRE "IT-Sicherheit"

Ziel des Projektes ist der Ausbau der Kompetenzpartnerschaft zum Themenschwerpunkt „IT-Sicherheit“ an den beiden Standorten Passau und Regensburg, sowie den drei beteiligten Hochschulen (Universität Passau, Universität Regensburg und Hochschule Regensburg) und der Strategischen Partnerschaft IT-Sicherheit. Die Kooperation und gegenseitige Unterstützung der Projektpartner erfolgt in drei Bereichen: Forschung, Anwendung und Beratung, Aus- und Weiterbildung.

Website Fingerprinting and User Linkability

It is rather easy to protect the confidentiality of the contents of messages using encryption techniques. It is fundamentally more difficult to hide the relationship between sender and receiver of messages, though, because addresses may be required for message routing and thus cannot be encrypted. Protecting communication relationships is especially important on the Internet and similar networks as destination addresses often reveal a lot about the actual contents of the messages.
Our goal is to protect users against traffic analysis attacks infringing users' privacy. Those attacks may allow a passive observer on a network to induce communication relationships and contents of messages via pattern matching and classification techniques from the data mining field. Such attacks may constitute a serious risk for users' privacy as they are difficult to detect and counter. We analyse the extent and risks of two particular attacks, namely website fingerprinting attacks, which allow the identification of websites retrieved over an encrypted line, and user linkability attacks, which enable an attacker to track individual users over multiple sessions solely based on the users' characteristic surfing behaviour. Early results indicate that both attacks can be perpetrated under certain circumstances successfully. We measure the effectiveness of the two attacks for various systems and circumstances using real-life datasets.
Designing and deploying countermeasures that protect users from such attacks is challenging: effective protection usually involves additional traffic or considerably delays, which is inacceptable in many cases. Wide-spread adoption of privacy-enhancing techniques depends on good usability and high efficiency, though. We approach this challenge from two sides: on the one hand we analyse the integration of protective measures like padding and dummy traffic into protocols and systems that already exist today; on the other hand we propose next generation systems that are incompatible with legacy technologies, but may offer superior privacy properties to their users.

Finished Projects and Activities

Introduction of an S/MIME infrastructure in a security-related corporation
sponsored by Dallmeier electronic (2005-2006)

The internet as a communication infrastructure in inherently insecure, as others may read, modify or fake messages very easily. For companies that highly depend on the confidentiality and integrity of messages sent to and received from their customers, this fact may lead to severe losses if they do not secure their messages in any way. We developed a concept for an S/MIME e-mail infrastructure in such a company and helped with its introduction.

AN.ON: Anonymity.Online (Starke Unbeobachtbarkeit und Anonymität im Internet)
sponsored by BMWI (2001-2006)

The realization of anonymous and unobservable communication in the Internet is a difficult problem. Most existing systems reduce the security to achieve higher performance. To evaluate the feasibility and costs of anonymity in the Internet and to explore several deployment opportunities we are developing an anonymity system that withstands traffic analysis. Our goal is to develop, implement, evaluate and provide a secure and scaleable technical infrastructure for anonymous communication.

Visual Cryptography (2005)

Visual cryptography was introduced by Moni Naor und Adi Shamir in 1994. In 2005 we dedicated theoretical and practical student projects to this fascinating topic. The projects analysed the underlying mechanisms as well as potential applications for visual cryptography. In addition to that an easy to use GUI-based java program has been developed that can be used to demonstrate the mechanisms behind visual cryptography. The program encrypts and decrypts user-defined images and supports various encryption modes (including threshold schemes as well as encryption of colour and greyscale images) which makes it an ideal choice for teaching and experimenting.

Biometrische Authentifizierung (2005)

Bereits seit Jahren wird im Bereich der Biometrie intensiv an Verfahren gearbeitet, die zum Zweck der merkmalsbasierten Authentifizierung eingesetzt werden. Ein Anwendungsbeispiel dafür ist ein Zugangskontrollsystem, das berechtigte Personen anhand biometrischer Eigenschaften erkennt und nur diesen Zugang gewährt.
In diesem Projekt wurde untersucht, welche Anforderungen an Authentifizierungsverfahren abhängig von deren Einsatzzweck gestellt werden. Konkret wurde geprüft, ob die bekannten Verfahren der Gesichtserkennung die erarbeiteten Anforderungen erfüllen und wo die Schwächen dieser Verfahren liegen. Zu Demonstrationszwecken wurde ein Prototyp eines Gesichtserkennungssystems entwickelt und getestet. Darüber hinaus wurden Fingerabdrucksysteme des Consumer-Segments auf ihre Überwindbarkeit hin geprüft.

Conference: Sicherheit 2005
sponsored by Gesellschaft für Informatik e.V.(GI) (2005)

We organised the annual meeting and conference of the Gesellschaft für Informatik e.V.(GI) in Regensburg. It included workshops, tutorials, talks and discussions from, with and for IT professionals and was held in the University and in the University Hospital of Regensburg.

Schutzmöglichkeiten gegen Phishing (2005)

Im Jahr 2004 war eine starke Zunahme von Phishing-Versuchen zu beobachten, weswegen dieses Projekt die vorhandenen Möglichkeiten zum Schutz gegen Phishing kategorisieren, analysieren und bewerten sollte. Darauf aufbauend wurde auch ein Vorschlag für ein neues Schutzverfahren erarbeitet.

Workshop/Arbeitsgespräch: Begriffsbildung Sicherheit
des Fachbereichs Sicherheit -- Schutz und Zuverlässigkeit der Gesellschaft für Informatik e.V.(GI) (2004)

Ziel des Arbeitsgesprächs war es, ein gemeinsames Verständnis der Security- und Safety-Communities zu erreichen. Dies ermöglicht nicht nur einen gemeinsamen begrifflichen Überbau, sondern legt auch den Blick auf noch ungelöste Aufgaben frei, die nur durch das Zusammenlegen der erworbenen Erkenntnisse und Methoden gelöst werden können.

Scientific Evaluation of Digital Rights Management (DRM) Systems
sponsored by DMMV and VPRT (2001-2002)

Inzwischen existiert eine Vielzahl von Techniken zum Schutz von Rechten an digitalen Inhalten. Die meisten verfügbaren Systeme bieten allerdings keinen oder nur sehr begrenzten Schutz gegen starke Angriffe und machen bestenfalls Gelegenheitstätern das Leben schwer. Verfahren, die ausschließlich in Software realisiert sind, erreichen nie den Schutz von hardware-basierten Systemen. Dies zeigen auch die Erfahrungen beim Kopierschutz im Softwarebereich. Selbst Verfahren, die in oder zumindest unter Verwendung von ausforschungssicherer Hardware realisiert sind, bieten keinen perfekten Schutz, sind aber nur deutlich aufwendiger zu knacken.

Effiziente und skalierbare Realisierung von unbeobachtbarer und anonymer Kommunikation im Internet.
sponsored by Deutsche Forschungsgemeinschaft DFG (1999-2003)

Die Realisierung von unbeobachtbarer und anonymer Kommunikation in verteilten Systemen geht in existierenden Konzepten entweder zu Lasten einer effizienten Nutzung der Kommunikationsnetze, oder es wird nur von schwachen Angreifern ausgegangen. Ziel der Arbeiten ist die Entwicklung, Implementierung und Evaluierung eines umfassenden und effizienten Konzeptes zur Realisierung von unbeobachtbarer Kommunikation gegen starke Angreifer im Internet. Das System soll dabei benutzerbestimmt skalierbar sein bezüglich der erreichbaren Sicherheit vs. Performance. Als Optimierungskriterien sollen insbesondere die benötigte Bandbreite und die Verzögerungszeit dienen. Dabei wird von einem Angreifer ausgegangen, der in der Lage ist, Verkehrsanalysen durchzuführen und alle Kommunikationsverbindungen zu überwachen.

Anonymity & unobservability in the Internet.
sponsored by Deutscher Akademischer Austauschdienst, research project at International Computer Science Institute Berkeley

The objective of the research is to provide a theoretical background for the development and implementation of anonymity services for open communication systems, i.e. the Internet. The special objectives of the research proposal are to increase the privacy using the Internet and to avoid the traceability and observability of users, to provide a theoretical background for the efficient implementation of anonymity services in the Internet, to develop a statistical model of the user behaviour as a basis for the creation (or rather "formation") of the anonymity group.

Steganographie in Rechnernetzen. (1996-1998)

Mit Steganographie können geheime Nachrichten über offene, unsichere Datennetze übermittelt werden, ohne daß deren Existenz für Außenstehende überhaupt nachweisbar ist. Hierzu werden die geheimen Nachrichten in einer offenen, unverdächtigen Kommunikation versteckt. Die Diskussionen um ein Kryptoverbot führten zu einer verstärkten Beachtung der "Wissenschaft vom Verstecken von Nachrichten". Neben der politischen Bedeutung gewinnt sie zunehmend auch an Bedeutung für den Urheberrechtsschutz digitaler Daten.

Gestaltung von sicheren Kommunikationsinfrastrukturen in Mobilität unterstützenden Netzen. Kolleg Sicherheit in der Kommunikationstechnik
sponsored by Gottlieb Daimler- und Karl Benz-Stiftung (1996-1998)

Ziel des Projektes war es, aus einem speziellen Verfahren zum Schutz von Verkehrsdaten in Mobilfunknetzen ein allgemein in Mobilkommunikationsnetzen, d.h. auch Festnetzen, die Teilnehmermobilität unterstützen, anwendbares Verfahren zur Signalisierung zu entwickeln. Besonderer Schwerpunkt war dabei das Verbergen des Aufenthaltsorts von Mobilteilnehmern.

Verletzlichkeit von Public key Infrastructuren und Mehrseitig sichere Schlüsselerzeugung für die digitale Signatur (1995-1997)

Die digitale Signatur im elektronischen Rechtsverkehr basiert auf kryptographischen Verfahren mit öffentlichen und geheimen Schlüsseln. Es ist im Interesse aller Beteiligten, diese Schlüssel so sicher wie möglich zu generieren. Das Ziel der mehrseitig sicheren Schlüsselgenerierung ist es, dass alle Beteiligten der sicheren Generierung vertrauen können, da ohne dieses Vertrauen keine rechtsverbindliche Kommunikation möglich ist.

Technischer Datenschutz in künftigen Mobilkommunikationssystemen.
sponsored by Deutsche Forschungsgemeinschaft DFG (1994-1997)

Ausgehend von den stärksten bisher formulierten Anforderungen an den technischen Datenschutz in Mobilkommunikationssystemen soll untersucht werden, ob bzw. mit welchen Einschränkungen und wie bzw. mit welchem Aufwand sie in künftigen Mobilkommunikationssystemen erfüllt werden können. Hierzu ist einerseits zu analysieren, inwieweit dies ohne grundlegende Eingriffe in die geplante Organisations- und Protokollstruktur möglich ist. Andererseits ist herauszuarbeiten, welche zusätzlichen Datenschutzforderungen durch welche tiefergehenden Eingriffe ermöglicht werden. Migrationspfade von den heutigen Mobilkommunikationssystemen hin zu "datenschutzfreundlichen" sind aufzuzeigen, wobei im günstigsten Fall eine Architektur angestrebt wird, innerhalb derer auch im laufenden Betrieb durch Erweiterungen der Mobilkommunikationssysteme um weitere Sicherheitsmechanismen den stärksten technischen Datenschutzforderungen entsprochen werden kann.

Erreichbarkeitsmanagement und Notrufdienst auf der Basis datensparsamer Adressierung. Kolleg Sicherheit in der Kommunikationstechnik
sponsored by Gottlieb Daimler- und Karl Benz-Stiftung (1994-1996)

Ziel der Arbeiten war es, einen alternativen Ansatz zu der in GSM-Mobilfunknetzen üblichen zentralen Verwaltung von Aufenthaltsorten zu entwickeln, der entweder ganz ohne Heimatregister auskommt oder es bis auf einige datenschutzrechtlich unbedenkliche Einträge entschlackt, trotzdem ein beliebiges Erreichbarkeitsmanagement unterstützt, einen Notrufdienst (mit Lokalisierungsmöglichkeit für den Notfall) bereitstellt und eine dezentrale und beidseitig manipulationssichere Abrechnung erlaubt.