Diskussion:X.800

ToDo

Habe mich mal der ersten beiden Abschnitte angenommen. Doch insgesamt könnte der Artikel mehr Struktur und klarere Gedankengänge vertragen. Ganz davon ab erscheinen mir einzelne Formulierungen nicht scharf, evtl. gar falsch. Wer macht weiter? Den Link zur Original-Recommendation habe ich am Ende des Artikels eingesetzt. --MAS 10:22, 26. Sep 2006 (CEST)

Welche Formulierungen sind deiner Meinung nach falsch? Ich habe mich beim erstellen des Artikels ziemlich eng an das Buch 'Open Internet Security' (siehe Quellen) gehalten. Hab vor noch den Abschnitt 'Die X.800-Dienste im OSI-Modell' zu bearbeiten und die Umsetzung der Sicherheitsdienste auf den verschiedenen Schichten zu beschreiben. -- Katja Graefenhain 18:03, 27. Sep 2006 (CEST)

Pheww ok, ich liste mal die ersten paar aus meiner Sicht auf

• "Im Rahmen von X.800 werden folgende Aspekte der Informationssicherheit definiert:" Die klassischen "Eckpfeiler" der IT-Sicherheit sind: Vertraulichkeit, Integrität, Authentizität und Authorisierung. Genau deshalb wählte ich auch das Wort "Aspekte" vorübergehend. Dieser Satz und dieser Abschnitt müssten schärfer sein und klarer abgrenzen. Ausserdem hast Du hier 5 Betrachtungsfelder aufgelistet, wo es doch nur 4 gibt, oder? Was zum nächsten Punkt führt:
• Was soll Datenannahme sein? Wenn der zugreifende Benutzer authentifiziert und authorisiert ist und natürlich auch den Absender eindeutig kennt.... Was ist dann Datenannahme? Angenommen man braucht die Datenannahme, dann muss der Artikel diese aber auch eindeutig definieren.
• Authentifizierung: Schicht N garantiert Schicht N+1,... Klar ist das ein Ansatz, aber: ist das immer so in x.800? Denn: es gibt ja Szenarien insgesamt, wo Schicht N auf Schicht N authentifiziert und authorisiert wird. Denkbar wäre auch, dass Schicht N die Schicht N-1 authentifiziert. Beispiel: broadcast-Szenarien von Chiffraten. Mir ist nicht klar, was davon x.800 ist oder von x.800 "erzwungen" wird (liegt wohl auch daran, daß ich den Original-Artikel nur überflogen habe).
• Ab dem Kapitel "Sicherheitsmechanismen in x.800" wird der Artikel unscharf. Wörter wie "können",... haben da eigentlich nichts zu suchen (siehe Beispiel).

Beispiel:

• Der einleitende Satz heisst: "Um diese Dienste umzusetzen können die folgenden Mechanismen verwendet werden:"
• Alternative: "Zur Umsetzung von IT-Sicherheit definiert x.800 folgende Mechanismen:"

Ich hoffe, dass ich meinen Standpunkt nachvollziehbar darlegen konnte und fände es klasse, wenn jemand (Du @Katja Greafenhain) sich darum kümmert oder mir einfach nur sagt, wo ich falsch liege.--MAS 11:20, 28. Sep 2006 (CEST)

Auch empfehle ich zu dem Thema die Lektüre unseres "geliebten" (ja, manchmal verhassten) Bruce Schneier Angewandte Kyrptographie (er sagt da auch einiges zur IT-Sicherheit an sich), leichte und immer wieder geliebte Lektüre als quasi-Roman: "Moths to the flame" von Rawlins - der IT-Sicherheitsabschnitt macht Spass zu lesen.

• Zu den 5 Sicherheitsdiensten, die X.800 definiert: Datenannahme wird explizit aufgelistet (unter 5.2.5 Non-repudiation im Originaldokument). Werde diesen Punkt noch genauer definieren.
• Authentifizierung: In X.800 steht "This service, when provided by the (N)-layer, provides corroboration to the (N + 1)-entity that the peer entity is the claimed (N + 1)-entity." So wie ich das Konzept eines Sicherheitsdienstes in X.800 allgemein verstanden habe, wird er für eine Schicht N definiert und stellt seine Dienste den darüberliegenden Schichten bereit. M.E. befasst sich X.800 nur mit den Sicherheitsdiensten zwischen den Schichten.
• "Um diese Dienste umzusetzen können die folgenden Mechanismen verwendet werden:" Was spricht gegen das können? Die definierten Dienste können auf verschiedenen Wegen mit Hilfe der aufgelisteten Mechanismen realisiert werden. Ich geb dir allerdings Recht, dass es dann nicht viel Sinn macht die Mechanismen hier aufzulisten. Werde mich noch damit beschäftigen, wie die Sicherheitsdienste auf den einzelnen Schichten realisiert werden können und dort schreiben, welche Mechanismen verwendet werden. --Katja Graefenhain 20:21, 28. Sep 2006 (CEST)

Finde ich klasse: es war als konstruktive Kritik gemeint und ich hoffe, daß es auch so ankam. Bin gespannt auf das Ergebnis. --MAS 10:37, 29. Sep 2006 (CEST)

Datenannahme

Ist die Bezeichnung "Datenannahme" üblich? Zumindest bin ich dieser noch nicht begegnet. Außerdem entspricht dies auch nicht der Beschreibung, wie sie in der ITU-Empfehlung angeführt wird. (Die Unterscheidung von Non-repudiation mit Nachweis des Absenders (with proof of origin) und Non-repudiation mit Nachweis des Empfängers (with proof of delivery)). Es geht also um die Nichtabstreitbarkeit des Versendens bzw. des Empfangs von Daten. Meines Erachtens würden die Begriffe "Verbindlichkeit", den ich bei Claudia Eckert ([1]) gefunden habe, oder "Zurechenbarkeit" (vgl. [2]) oder "Nicht-Anfechtbarkeit" (vgl. [3])diesen Sachverhalt besser wiedergeben. --Freischlad 13:53, 20. Feb. 2008 (CET)