![]() Specializovaný týdeník o výpočetní technice |
|||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
![]() |
Seriál o bezpečnosti a informačním soukromí |
||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
Část 39 - CW 4/98
Bezpečnost počítačové sítěJaroslav Dočkal
Počítačová síť a zvláště Internet -- to je to, co činí počítačovou bezpečnost zvlášť aktuální. Jediní, kteří na dobu uzavřených výpočetních středisek v dobrém vzpomínají, jsou právě bezpečnostní úředníci: Děrné štítky, resp. pásky uživatel podal s vyplněnou žádankou okénkem operátorce v bílém plášti a (obvykle) druhý den si přišel pro zaevidované výstupní sestavy. Která organizace, podnik či instituce dnes nemá svou (alespoň lokální) síť, kdo z pracovníků v oblasti řízení dnes nekomunikuje v rámci Internetu? Problematice síťové bezpečnosti bude věnováno v tomto seriálu několik dílů, z nichž tento je úvodní. Internet i jako informační síť hackerů i jejich protivníků Internet vytváří synergický efekt mezi svými účastníky, samozřejmě hackery nevyjímaje. 80 % počítačových zločinů vyšetřovaných FBI se dnes týká Internetu. Počítačové incidenty exponenciálně narůstají, v posledních pěti letech řádově stouply z tisíců na statisíce. Například Pentagon zaznamenal přes 250 000 útoků v roce 1996 a z toho 65 % úspěšných. Internetová komunita se také brání -- již v roce 1988 vzniklo fórum FIRST (Forum of Incident Response and security), které nyní sdružuje více než 30 bezpečnostních týmů na celém světě. Nejznámější z nich jsou CERT (Computer Emergency Response Team) a CIAC (Computer Incident Advisory Capability). CERT je koordinační centrum s nepřetržitou službou, s cílem kdykoliv pomoci administrátorům systému při vzniku problémů v oblasti počítačové bezpečnosti a poskytovat rady, jak těmto problémům předcházet. CIAC především vydává bezpečnostní bulletiny, ve kterých informuje o nových problémech v oblasti bezpečnosti Internetu.
Hrozby v síti Základními hrozbami, resp. riziky jsou v oblasti informačních systémů obecně: - únik informace, - narušení integrity dat, - výpadek služby, - neoprávněné použití. Konkrétní hrozby počítačové síti lze z těchto základních hrozeb odvodit způsobem naznačených na obr. 1. Nejčastějším terčem útoku jsou protokoly sady TCP/IP, která dnes ovládla svět sítí. Na úrovni protokolu IP se jedná o následující útoky: - odposlechem; tento pasivní typ útoku žádný paket nepoškodí, ale nelze ho také obvykle zjistit, - přehráváním, například odchycením a opakovaným vysíláním paketu s legálním příkazem k platbě, - změnou paketu s odpovídající opravou kontrolního pole, - ničením paketů, např. zásahem do kódu, resp. filtračních pravidel směrovačů, - zahlcením sítě záplavou odchycených anebo uměle generovaných paketů, - kradením paketů, např. přihlášením se do sítě s adresou některé dočasně odpojené stanice, - hledáním cest k obejití filtrujících směrovačů záplavovým směrováním, - změnou nastavení směrovačů příkazem pro ICMP přesměrování. Oproti tomu na úrovni TCP již byly použity tyto útoky: - záplava příkazů pro navázání spojení (SYN), po kterých "klekaly" servery díky obsazení všech vyhražených TCP soketů, - odhad správného číslování nedostupné odpovědi stanice ve vnitřní síti na příkaz pro navázání spojení a tedy správné potvrzení této odpovědi. Na aplikační úrovni jsou nejoblíbenější útoky založeny na přepisování webových stránek, kradení a falšování pošty a spousta dalších. Největším nebezpečím však obvykle nejsou hackeři, nýbrž špatně připravená nebo nezodpovědná obsluha a účastníci (chyby v nastavení směrovačů, špatně zvolená hesla atd.).
Bezpečnostní služby sítě Cílem bezpečnostního systému je poskytnout služby, které by eliminovaly, resp. minimalizovaly jednotlivé hrozby a rizika -- viz obr. 2. ISO (Mezinárodní organizace pro standardizaci) se pokusila standardizovat služby a mechanismy počítačových sítí v rámci dodatku ke standardu otevřených systémů OSI (Open Systems Interconnection) ISO 7498 z roku 1988 -- viz tabulka 1. Bezpečnostní služby byly obecně probrány v předchozích dílech seriálu. Co zvláštního pro ně přináší síťové prostředí? Autentizace (viz. 12. díl): V síti se jedná nejen o jednostrannou či vzájemnou autentizaci entit, ale také o zdroje posílaných dat. Přitom je zřejmé, že tato služba díky otevřenému síťovému prostředí neochrání data před zdvojením nebo modifikací. Řízení přístupu (25. díl): Řídit přístup lze nejen k samotným datům, ale i k síťovým zdrojům. Zjemnění autentizace tímto typem služby se v rámci síťového řízení používá běžně; jako příklad lze uvést seznam síťových adres, resp. čísel TCP portů akceptovatelných pro daný fyzický port směrovače, resp. přepínače. Důvěrnost informací (viz. 13. díl): V síti je třeba službu zajištění důvěrnosti dat rozšířit o službu zajištění důvěrnosti spojení a ochranu před pasivním sledováním provozu sítě, např. jeho intenzity (důvěrnost provozu). Integrita (viz. 14. díl): Pokud je v síti realizován přenos s navázáním spojení, je třeba kromě datových celků (bloků, polí) zajišťovat celé toky dat (číslováním, spolehlivým označováním času, digitálním podpisem). Nepopiratelnost (viz. 35. díl): Využívá se pouze v mimořádně důležitých aplikacích, např. v bankovnictví a vojenství. Je to náročná služba, protože souvisí s právní problematikou a realizační mechanismy se obvykle opírají o koncepci (nezávislé) důvěryhodné třetí strany. Na rozdíl od předchozích služeb je to služba, která je poskytována výhradně v rámci sítě. Lze na ni velmi zjednodušeně nahlížet jako na silnější verzi autentizace a řízení přístupu. Autentizace, integrita a důvěrnost, to jsou tři základní bezpečnostní služby; zbývající dvě se dají považovat za z nich odvozené. Tři základní bezpečnostní služby lze označit jako za k sobě ortogonální. Svědčí o tom i to, že každá z těchto služeb může používat samostatné klíče. Platí to i tehdy, když jsou tyto klíče získány stejným kryptografickým mechanismem, např. dvojice klíčů pro zajištění důvěrnosti a autenticity. Příklad výběru konkrétních bezpečnostních mechanismů (technologií) v závislosti na zajišťovaných bezpečnostních službách ukazuje tabulka 2. V příštím pokračování seriálu navážeme na probírané téma podrobným rozborem síťové architektury z hlediska bezpečnosti. Seriál je rovněž k dispozici na www.idg.cz/computerworld/bvsk/
Tabulka 1: Vztah mezi službami a mechanismy
Tabulka 2 Příklad výběru bezpečnostních mechanismů v závislosti na zajišťovaných bezpečnostních službách
| COMPUTERWORLD - seriál o bezpečnosti | COMPUTERWORLD | IDG CZ homepage | |