╚ßst 39 - CW 4/98

BezpeΦnost poΦφtaΦovΘ sφt∞

PoΦφtaΦovß sφ¥ a zvlßÜt∞ Internet -- to je to, co Φinφ poΦφtaΦovou bezpeΦnost zvlßÜ¥ aktußlnφ. Jedinφ, kte°φ na dobu uzav°en²ch v²poΦetnφch st°edisek v dobrΘm vzpomφnajφ, jsou prßv∞ bezpeΦnostnφ ·°ednφci: D∞rnΘ Ütφtky, resp. pßsky u₧ivatel podal s vypln∞nou ₧ßdankou okΘnkem operßtorce v bφlΘm plßÜti a (obvykle) druh² den si p°iÜel pro zaevidovanΘ v²stupnφ sestavy. Kterß organizace, podnik Φi instituce dnes nemß svou (alespo≥ lokßlnφ) sφ¥, kdo z pracovnφk∙ v oblasti °φzenφ dnes nekomunikuje v rßmci Internetu? Problematice sφ¥ovΘ bezpeΦnosti bude v∞novßno v tomto serißlu n∞kolik dφl∙, z nich₧ tento je ·vodnφ.

Internet i jako informaΦnφ sφ¥ hacker∙ i jejich protivnφk∙

Internet vytvß°φ synergick² efekt mezi sv²mi ·Φastnφky, samoz°ejm∞ hackery nevyjφmaje.

80 % poΦφtaΦov²ch zloΦin∙ vyÜet°ovan²ch FBI se dnes t²kß Internetu. PoΦφtaΦovΘ incidenty exponencißln∞ nar∙stajφ, v poslednφch p∞ti letech °ßdov∞ stouply z tisφc∙ na statisφce. Nap°φklad Pentagon zaznamenal p°es 250 000 ·tok∙ v roce 1996 a z toho 65 % ·sp∞Ün²ch.

Internetovß komunita se takΘ brßnφ -- ji₧ v roce 1988 vzniklo f≤rum FIRST (Forum of Incident Response and security), kterΘ nynφ sdru₧uje vφce ne₧ 30 bezpeΦnostnφch t²m∙ na celΘm sv∞t∞. Nejznßm∞jÜφ z nich jsou CERT (Computer Emergency Response Team) a CIAC (Computer Incident Advisory Capability). CERT je koordinaΦnφ centrum s nep°etr₧itou slu₧bou, s cφlem kdykoliv pomoci administrßtor∙m systΘmu p°i vzniku problΘm∙ v oblasti poΦφtaΦovΘ bezpeΦnosti a poskytovat rady, jak t∞mto problΘm∙m p°edchßzet. CIAC p°edevÜφm vydßvß bezpeΦnostnφ bulletiny, ve kter²ch informuje o nov²ch problΘmech v oblasti bezpeΦnosti Internetu.

Hrozby v sφti

Zßkladnφmi hrozbami, resp. riziky jsou v oblasti informaΦnφch systΘm∙ obecn∞:

- ·nik informace,

- naruÜenφ integrity dat,

- v²padek slu₧by,

- neoprßvn∞nΘ pou₧itφ.

KonkrΘtnφ hrozby poΦφtaΦovΘ sφti lze z t∞chto zßkladnφch hrozeb odvodit zp∙sobem naznaΦen²ch na obr. 1.

NejΦast∞jÜφm terΦem ·toku jsou protokoly sady TCP/IP, kterß dnes ovlßdla sv∞t sφtφ. Na ·rovni protokolu IP se jednß o nßsledujφcφ ·toky:

- odposlechem; tento pasivnφ typ ·toku ₧ßdn² paket nepoÜkodφ, ale nelze ho takΘ obvykle zjistit,

- p°ehrßvßnφm, nap°φklad odchycenφm a opakovan²m vysφlßnφm paketu s legßlnφm p°φkazem k platb∞,

- zm∞nou paketu s odpovφdajφcφ opravou kontrolnφho pole,

- niΦenφm paket∙, nap°. zßsahem do k≤du, resp. filtraΦnφch pravidel sm∞rovaΦ∙,

- zahlcenφm sφt∞ zßplavou odchycen²ch anebo um∞le generovan²ch paket∙,

- kradenφm paket∙, nap°. p°ihlßÜenφm se do sφt∞ s adresou n∞kterΘ doΦasn∞ odpojenΘ stanice,

- hledßnφm cest k obejitφ filtrujφcφch sm∞rovaΦ∙ zßplavov²m sm∞rovßnφm,

- zm∞nou nastavenφ sm∞rovaΦ∙ p°φkazem pro ICMP p°esm∞rovßnφ.

Oproti tomu na ·rovni TCP ji₧ byly pou₧ity tyto ·toky:

- zßplava p°φkaz∙ pro navßzßnφ spojenφ (SYN), po kter²ch "klekaly" servery dφky obsazenφ vÜech vyhra₧en²ch TCP soket∙,

- odhad sprßvnΘho Φφslovßnφ nedostupnΘ odpov∞di stanice ve vnit°nφ sφti na p°φkaz pro navßzßnφ spojenφ a tedy sprßvnΘ potvrzenφ tΘto odpov∞di.

Na aplikaΦnφ ·rovni jsou nejoblφben∞jÜφ ·toky zalo₧eny na p°episovßnφ webov²ch strßnek, kradenφ a falÜovßnφ poÜty a spousta dalÜφch. Nejv∞tÜφm nebezpeΦφm vÜak obvykle nejsou hacke°i, n²br₧ Üpatn∞ p°ipravenß nebo nezodpov∞dnß obsluha a ·Φastnφci (chyby v nastavenφ sm∞rovaΦ∙, Üpatn∞ zvolenß hesla atd.).

BezpeΦnostnφ slu₧by sφt∞

Cφlem bezpeΦnostnφho systΘmu je poskytnout slu₧by, kterΘ by eliminovaly, resp. minimalizovaly jednotlivΘ hrozby a rizika -- viz obr. 2. ISO (Mezinßrodnφ organizace pro standardizaci) se pokusila standardizovat slu₧by a mechanismy poΦφtaΦov²ch sφtφ v rßmci dodatku ke standardu otev°en²ch systΘm∙ OSI (Open Systems Interconnection) ISO 7498 z roku 1988 -- viz tabulka 1. BezpeΦnostnφ slu₧by byly obecn∞ probrßny v p°edchozφch dφlech serißlu. Co zvlßÜtnφho pro n∞ p°inßÜφ sφ¥ovΘ prost°edφ?

Autentizace (viz. 12. dφl): V sφti se jednß nejen o jednostrannou Φi vzßjemnou autentizaci entit, ale takΘ o zdroje posφlan²ch dat. P°itom je z°ejmΘ, ₧e tato slu₧ba dφky otev°enΘmu sφ¥ovΘmu prost°edφ neochrßnφ data p°ed zdvojenφm nebo modifikacφ.

╪φzenφ p°φstupu (25. dφl): ╪φdit p°φstup lze nejen k samotn²m dat∙m, ale i k sφ¥ov²m zdroj∙m. Zjemn∞nφ autentizace tφmto typem slu₧by se v rßmci sφ¥ovΘho °φzenφ pou₧φvß b∞₧n∞; jako p°φklad lze uvΘst seznam sφ¥ov²ch adres, resp. Φφsel TCP port∙ akceptovateln²ch pro dan² fyzick² port sm∞rovaΦe, resp. p°epφnaΦe.

D∙v∞rnost informacφ (viz. 13. dφl): V sφti je t°eba slu₧bu zajiÜt∞nφ d∙v∞rnosti dat rozÜφ°it o slu₧bu zajiÜt∞nφ d∙v∞rnosti spojenφ a ochranu p°ed pasivnφm sledovßnφm provozu sφt∞, nap°. jeho intenzity (d∙v∞rnost provozu).

Integrita (viz. 14. dφl): Pokud je v sφti realizovßn p°enos s navßzßnφm spojenφ, je t°eba krom∞ datov²ch celk∙ (blok∙, polφ) zajiÜ¥ovat celΘ toky dat (Φφslovßnφm, spolehliv²m oznaΦovßnφm Φasu, digitßlnφm podpisem).

Nepopiratelnost (viz. 35. dφl): Vyu₧φvß se pouze v mimo°ßdn∞ d∙le₧it²ch aplikacφch, nap°. v bankovnictvφ a vojenstvφ. Je to nßroΦnß slu₧ba, proto₧e souvisφ s prßvnφ problematikou a realizaΦnφ mechanismy se obvykle opφrajφ o koncepci (nezßvislΘ) d∙v∞ryhodnΘ t°etφ strany. Na rozdφl od p°edchozφch slu₧eb je to slu₧ba, kterß je poskytovßna v²hradn∞ v rßmci sφt∞. Lze na ni velmi zjednoduÜen∞ nahlφ₧et jako na siln∞jÜφ verzi autentizace a °φzenφ p°φstupu.

Autentizace, integrita a d∙v∞rnost, to jsou t°i zßkladnφ bezpeΦnostnφ slu₧by; zb²vajφcφ dv∞ se dajφ pova₧ovat za z nich odvozenΘ. T°i zßkladnφ bezpeΦnostnφ slu₧by lze oznaΦit jako za k sob∞ ortogonßlnφ. Sv∞dΦφ o tom i to, ₧e ka₧dß z t∞chto slu₧eb m∙₧e pou₧φvat samostatnΘ klφΦe. Platφ to i tehdy, kdy₧ jsou tyto klφΦe zφskßny stejn²m kryptografick²m mechanismem, nap°. dvojice klφΦ∙ pro zajiÜt∞nφ d∙v∞rnosti a autenticity.

P°φklad v²b∞ru konkrΘtnφch bezpeΦnostnφch mechanism∙ (technologiφ) v zßvislosti na zajiÜ¥ovan²ch bezpeΦnostnφch slu₧bßch ukazuje tabulka 2.

V p°φÜtφm pokraΦovßnφ serißlu navß₧eme na probφranΘ tΘma podrobn²m rozborem sφ¥ovΘ architektury z hlediska bezpeΦnosti.

Serißl je rovn∞₧ k dispozici na www.idg.cz/computerworld/bvsk/

Tabulka 1: Vztah mezi slu₧bami a mechanismy

mechanismus
slu₧ba	Üifrovßnφ	digitßnφ podpis	°φzenφ p°φstupu	integrita dat	autentizace	dopl≥ovßnφ tok∙	°φzenφ sm∞rovßnφ	ov∞°ovßnφ
autentizace dvojice entit	X	X			X
autentizace zdroje dat	X	X
°φzenφ p°φstupu			X
d∙v∞rnost p°enosu v rßmci navßzanΘho spojenφ	X						X
d∙v∞rnost p°enosu bez navßzßnφ spojenφ	X						X
d∙v∞rnost vybranΘho pole zprßvy	X
d∙v∞rnost provozu	X					X	X
integrita spojenφ s obnovou	X			X
integrita spojenφ bez obnovy	X			X
integrita vybranΘho pole v re₧imu s navßzßnφm spojenφ	X			X
integrita bloku dat v re₧imu bez navßzßnφ spojenφ	X	X		X
integrita vybranΘho pole v re₧imu bez navßzßnφ spojenφ	X	X		X
d∙kaz odeslßnφ		X		X				X
d∙kaz p°φjmu		X		X				X

Tabulka 2 P°φklad v²b∞ru bezpeΦnostnφch mechanism∙ v zßvislosti na zajiÜ¥ovan²ch bezpeΦnostnφch slu₧bßch

Slu₧ba	p°φklad mechanismu
d∙v∞rnost	Üifrovßnφ, ukrytφ vnit°nφ sφt∞ pomocφ NAT (Network Address Translation)
autentizace	hesla, Kerberos (pro u₧ivatele), digitßlnφ podpisy (pro zprßvy), IPv6 (sφ¥ovß slu₧ba)
°φzenφ p°φstupu	p°φstupovß prßva k soubor∙m
integrita	antivirov² software na firewallech, Triplewire (software, kter² monitoruje, zda nebyly klφΦovΘ soubory m∞n∞ny)
zamezenφ popφrßnφ	podpis t°etφ stranou