Der Begriff Kommunikationssicherheit wird häufig mit den folgenden drei Prozessen verbunden: Authentifizierung (engl. authentication), Vertraulichkeit (engl. confidentiality) und Integrität (engl. integrity) [1].
Die Authentifizierung stellt sicher, dass Knoten wirklich diejenigen sind, als die sie sich ausgeben.
Die Authentifizierung basiert typischerweise auf eine Überprüfung von Zugriffsdaten, wie zum Beispiel Benutzername und Passwort, durch eine beauftragte Autorität. In komplexeren Systemen kann die Authentifizierung für den Nachweis auf den Besitz eines gewissen Schlüssels oder Tokens beruhen, das schwieriger gestohlen oder gefälscht werden kann, als ein Zertifikat oder eine Chipkarte.
Vertraulichkeit stellt sicher, dass ein Lauscher den Netzverkehr nicht abhören kann.
Die Vertraulichkeit wird typischerweise durch Verschlüsselung des Nachrichteninhalts geschützt. Die Verschlüsselung verwendet eine bekannte reversible Transformationsmethode (auch Chiffre oder Verschlüsselungsalgorithmus bezeichnet) für den Inhalt der ursprünglichen Nachricht (auch Klartext oder Plaintext bezeichnet), um den Schlüsseltext (auch Chiffretext bezeichnet) durch Scrambling oder Maskieren zu generieren. Nur diejenigen, die wissen, wie der Prozess umgekehrt werden kann (d. h. wie die Nachricht entschlüsselt werden kann), können den ursprünglichen Text rekonstruieren. Zu den bekanntesten Verschlüsselungsmethoden gehören mathematische Transformationen, die als Variable einen Schlüssel verwenden, der einen unteilbaren Bestandteil des Transformationsprozesses schafft. Der Empfänger muss dann das richtige Verfahren und den verwendeten Schlüsselwert kennen, so dass er die Nachricht entschlüsseln kann. Für kommerzielle Verschlüsselungsverfahren sind die Methoden allgemein bekannt. Die Geheimhaltung des Schlüssels ist entscheidend.
Integrität stellt sicher, dass die Nachrichten ohne Änderungen zugestellt werden.
In Hinblick auf Kommunikationssicherheit bedeutet Integrität die Garantie, dass die empfangene Nachricht keineswegs geändert wurde und identisch mit der gesendeten Nachricht ist. Bytes in Blockprüfzeichenfolge FCS sind ein Beispiel für ein Datenintegritätsverfahren, aber sie sind als nicht sicher zu betrachten. Die üblichen FCS-Bytes werden für den Inhalt der Nachricht nicht berechnet und auch nicht durch Verschlüsselung geschützt. Stattdessen werden sie von dem Schlüsseltext mit einer bekannten Methode berechnet und in einer direkten, d. h. nicht verschlüsselten Form gesendet. Die FCS-Bytes helfen bei der Identifikation der Pakete, die zufällig bei der Übertragung beschädigt werden. Der Angreifer könnte jedoch die richtigen Werte der FCS-Bytes berechnen, um zum Beispiel eine absichtliche Änderung eines empfangenen und weitergeleiteten Pakets zu maskieren. Je schwieriger für den Angreifer die richtige Berechnung der Integritätsprüfzeichenfolge oder der Sicherheits-Hash-Funktion ist, desto zuverlässiger ist der Test der Nachrichtenintegrität.
Die Konzeption der Integrität wird manchmal durch eine Überprüfung ergänzt, dass die Quelle der Nachricht identisch mit der angegebenen Quelle der Nachricht ist. Zeitstempel (engl. timestamp) und Sequenznummern können einen erfolgreichen Schutz vor wiederholten Angriffen darstellen, aber noch einmal wiederholt, können Übertragungen ohne Verschlüsselung als unsicher betrachtet werden.
Der Begriff Sicherheit ist immer relativ, nie absolut. Für jede Verteidigung gibt es einen erfolgreichen Angriff (oder wird es bald geben). Und für jeden Angriff gibt es eine erfolgreiche Verteidigung (oder wird es bald geben). Es ist nur eine Frage von Zeit und Aufwand. Je besser die Verteidigung ist, desto mehr Zeit und Aufwand wird für einen Angriff benötigt.
Die richtige Verteidigung muss ausgewogen sein und dem erwarteten Ausmaß der Angriffe entsprechen. Die Ausgewogenheit muss aus zwei Aspekten beachtet werden. Erstens muss das schwächste Kettenglied ausreichend sicher sein. Zweitens müssen passive Elemente der Authentifizierung, Verschlüsselung und Integritätsprüfung mit aktiven Elementen ergänzt werden, wie z. B. Überwachung des Netzverkehrs, Verfolgung der Verletzungsversuche und Einhaltung von Sicherheitsregeln. Die richtige Verteidigung ist die Verteidigung, die nur ein wenig mehr Zeit und Mühe aufwendet, die ein Angreifer aufzuwenden gewillt ist. Sicherheitsmaßnahmen bedeuten Kosten und Beschränkungen für den Verteidiger. Wie bei anderen Geschäftsentscheidungen müssen auch hier Kompromisse unter Berücksichtigung von allen möglichen Gesichtspunkten getroffen werden.