Je internet v dneτní podob╪ bezpeƒn∞? Tuto otázku si klade pravd╪podobn╪ kaºd∞, kdo je napojen na celosv╪tovou sí£ a prost²ednictvím internetu získává i zve²ejσuje n╪jaké informace. Seznámíme vás proto s moºn∞mi útoky, které poƒítaƒov∞m systémàm hrozí, a také se zpàsoby, jak se proti t╪mto útokàm bránit.
Pozor, útok!
Druhy útokà
Jestliºe je naτe p²ítomnost na webu obchodní ƒi jinou nutností, urƒit╪ se vyplatí znát moºná rizika p²ipojení interního informaƒního systému k internetu. Mezi nejv╪tτí nebezpeƒí pat²í poτkození ƒi kompletní zniƒení dat, neoprávn╪ná modifikace dat, poτkození softwaru, poτkození operaƒního systému a zneuºití dat neoprávn╪nou osobou.
Chceme-li b∞t dob²e p²ipraveni na tyto hrozby, je vhodné také v╪d╪t, k jak∞m útokàm na náτ systém màºe dojít. Existuje jich celá ²ada, proberme si tedy alespoσ ty nejƒast╪jτí.
? Θtoky na hesla uºivatelà. Nejsnadn╪jτí zpàsob, p²i n╪mº se postupn╪ generují ràzná p²ístupová hesla. Jsou to zpravidla automatizované útoky pomocí pom╪rn╪ jednoduch∞ch, cyklicky se opakujících programà, známé rovn╪º pod názvem slovníkov╪ zaloºené útoky.
? Θtoky zaloºené na p²edstírání IP adresy. P²edstírá se IP adresa hostitele interní sít╪. Tento zpàsob umoºσuje tedy získat vnit²ní p²ístup k systému.
? Náhodné prohlíºení p²enáτen∞ch paketà (také tzv. monitorování sít╪ ). Je to pom╪rn╪ obtíºn∞ zpàsob, kdy se útoƒníci snaºí zachytit a zkopírovat pakety p²edávané mezi jednotliv∞mi místy na internetu, tedy mezi komunikaƒními uzly (viz obr. 1).
? P²ivlastn╪ní sezení. Jde o p²ivlastn╪ní IP adresy ²ádného klienta a jeho následné odpojení. Umoºσuje jak import, tak export dat do systému.
? Θtoky na sdílené objekty v poƒítaƒové síti. Θtoƒník se snaºí p²epsat nebo jinak modifikovat sdílené knihovny podle sv∞ch p²edstav a zám╪rà.
? Nevhodná ƒi nedostateƒná autorizace uºivatelà. V╪tτina serverà stále umoºσuje p²ipojit se do systému jako anonymní uºivatelé (Anonymous, Guest, Host), coº dovoluje útoƒníkàm monitorovat strukturu serveru a dat na n╪m obsaºen∞ch.
? Θtoky, jejichº cílem je poτkodit pov╪st tvàrce softwaru. Jde o snahu prolomit bezpeƒnostní ochrany daného softwarového produktu a tak autora tohoto softwaru zdiskreditovat, poτkodit ƒi zesm╪τnit.
? P²edstírání admi-nistrátorà systému (také tzv. spoleƒenské monitorování). V tomto p²ípad╪ se útoƒník vydává za administrátora sít╪ a vyºaduje po uºivatelích dàv╪rné informace, nap²íklad hesla.
? P²edpoklad po²adov∞ch ƒísel paketà. Tento útok se pouºívá v sítích Unix. V n╪kter∞ch verzích Unixu se totiº po²adová ƒísla paketà vypoƒítávají podle zjistitelného algoritmu.
? Θtoky vedené pomocí neautorizovaného softwaru. Jednoduchá forma útoku, kdy tvàrce softwaru v╪dom╪ naprogramuje bezpeƒnostní trhliny svého produktu, které pak následn╪ zneuºívá ke svému prosp╪chu.
Secure Socket Layer
Kdyº uº te╘ známe rizika p²ipojení k internetu a také nejƒast╪jτí druhy útokà sm╪²ujících proti bezpeƒnosti poƒítaƒov∞ch sítí, je vhodné se zmínit o moºnostech ochrany proti n╪kter∞m z nich.
Pom╪rn╪ ƒast∞m zpàsobem, jak zv∞τit bezpeƒnost p²ipojení k internetu, je vyuºívání bezpeƒnostních protokolà. Jedním z t╪chto protokolà je tzv. bezpeƒná soketová vrstva, nazvaná Secure Socket Layer (SSL).
Protokol SSL byl pàvodn╪ vyvinut firmou Netscape pro úƒely bezpeƒn∞ch p²enosà. Jedná se o nekomerƒní protokol, tzn. ºe jeho tvàrce (firma Netscape) souhlasí s jeho neomezen∞m vyuºíváním pro úƒely tvorby internetov∞ch aplikací.
P²i návrhu této vrstvy se ²eτila mimo jiné i otázka, jak vhodn╪ vyuºít existujících standardà internetové komunikace (HTTP, FTP, SMTP a dalτích). Na obrázku 2 je vid╪t ²eτení tohoto problému - bezpeƒnostní protokol SSL je umíst╪n mezi aplikaƒní a transportní vrstvu.
Jak pracuje SSL?
Bezpeƒnost protokolu SSL je zajiτt╪na t²emi základními prvky: 1. Spojení je soukromé, nebo£ p²enáτená data jsou zaτifrována pomocí symetrického τifrování (nap². DES). 2. Server, p²ípadn╪ i klient jsou autentizováni (pro TCP/IP). 3. Spojení je spolehlivé. Integritu p²enáτen∞ch dat totiº zajiτ£ují haτovací algoritmy (nap². SHA, MD5 a dalτí).
Komunikace mezi prohlíºeƒem klienta na stran╪ jedné a bezpeƒn∞m serverem na stran╪ druhé probíhá zjednoduτen╪ podle následujícího postupu:
1. Klient poτle poºadavek na p²ipojení k bezpeƒnému serveru spolu se sv∞m ve²ejn∞m klíƒem (public key). Tento jedineƒn∞ klíƒ je generován p²i instalaci prohlíºeƒe.
2. Server poτle svàj certifikát klientskému prohlíºeƒi spolu se sv∞m ve²ejn∞m klíƒem. Tyto informace jsou zaτifrovány pomocí ve²ejného klíƒe prohlíºeƒe.
3. Klientsk∞ prohlíºeƒ prozkoumá, zda je certifikát platn∞. V p²ípad╪, ºe není vystaven certifikaƒní autoritou (n╪kdy oznaƒovanou jako VeriSign), màºe prohlíºeƒ postupovat dv╪ma zpàsoby: bu╘ pokraƒuje v∞zvou uºivateli, nebo automaticky p²eruτí spojení se serverem.
4. Prohlíºeƒ porovná informace obsaºené v certifikátu se jménem domény serveru a se serverov∞m ve²ejn∞m klíƒem. V p²ípad╪ shody je server akceptován jako autentick∞.
5. Prohlíºeƒ zaτle serveru seznam ƒíslic.
6. Pokud je serveru umoºn╪na autentizace klienta, klient zaτle svàj certifikát. Server prozkoumá, zda je tento certifikát platn∞ a zda je vystaven certifikaƒní autoritou. Pokud tomu tak není, je spojení s klientem p²eruτeno.
7. Server vybere ƒíslice a zaτle je klientskému prohlíºeƒi.
8. Prohlíºeƒ pouºívá vybrané ƒíslice k vytvo²ení klíƒe relace (session key), následn╪ zaτifruje tento klíƒ relace pomocí ve²ejného klíƒe serveru a takto zaτifrovan∞ klíƒ zaτle serveru.
9. Server p²ijme klíƒ relace a rozτifruje jej pomocí svého soukromého klíƒe (secret key).
10. Server a klient pouºívají dále tento klíƒ relace k τifrování a deτifrování p²enáτen∞ch dat.
Poznámka: V n╪kter∞ch modifikacích màºe proces tvorby klíƒe relace probíhat na stran╪ serveru.
Bezpeƒné p²ipojení
Jak zjistíme, ºe jsme p²ipojeni na bezpeƒn∞ server? Snadno. Jednoduchou metodou je podívat se na URL adresu serveru. Pokud zaƒíná https://, jedná se o bezpeƒné spojení - p²íkladem je server https://www.verisign.com.
Navíc jsme jeτt╪ informováni naprostou v╪tτinou prohlíºeƒà, ºe následující p²enos bude probíhat zabezpeƒenou formou. Na obrázku 3 je vid╪t dialogové okno prohlíºeƒe Microsoft Internet Explorer, které nás o zabezpeƒném p²ipojení informuje.
Analogicky p²i odchodu na jinou URL adresu (nezabezpeƒenou) budeme varováni, ºe opouτtíme zabezpeƒen∞ server (viz obr. 4).
MS Internet Explorer nás dále informuje o existenci bezpeƒného spojení pomocí malé ikonky visacího zámku (viz obr. 5).
O zabezpeƒeném p²ipojení jsme obdobn∞m zpàsobem informováni také v p²ípad╪, ºe pouºíváme prohlíºeƒe od jin∞ch spoleƒností.
Záv╪r
Protokol SSL podstatn╪ zvyτuje úroveσ zabezpeƒení p²enosu dat v rámci internetu. Podporuje vyuºívání τifrovacích mechanismà pro v∞m╪nu informací, dále podporuje firewally i proxy servery, coº jeτt╪ o n╪jak∞ stupeσ zvyτuje úroveσ bezpeƒnosti.
S dalτími moºnostmi zv∞τení bezpeƒnosti na internetu se seznámíme p²íτt╪.
Ing. Milan Pinte
Infotipy:
Netscape
home.netscape.com/eng/ssl3/index.html
What is
www.whatis.com/ssl.htm
VeriSign
http://www.verisign.com
Slovníƒek:
DES - Data Encryption Standard - metoda τifrování uºívající ve²ejné nebo soukromé klíƒe.
FTP - File Transfer Protocol - standardní protokol umoºσující v∞m╪nu souborà v rámci internetu.
HTTP - Hypertext Transport Protocol - mnoºina pravidel pro v∞m╪nu souborà na webu.
