Bezpečnost počítačové sítě

Počítačová síť a zvláště Internet to je to, co činí počítačovou bezpečnost zvlášť aktuální. Jediní, kteř...


Počítačová síť a zvláště Internet to je to, co činí počítačovou bezpečnost
zvlášť aktuální. Jediní, kteří na dobu uzavřených výpočetních středisek v
dobrém vzpomínají, jsou právě bezpečnostní úředníci: Děrné štítky, resp. pásky
uživatel podal s vyplněnou žádankou okénkem operátorce v bílém plášti a
(obvykle) druhý den si přišel pro zaevidované výstupní sestavy. Která
organizace, podnik či instituce dnes nemá svou (alespoň lokální) síť, kdo z
pracovníků v oblasti řízení dnes nekomunikuje v rámci Internetu? Problematice
síťové bezpečnosti bude věnováno v tomto seriálu několik dílů, z nichž tento je
úvodní.
Internet i jako informační síť hackerů i jejich protivníků
Internet vytváří synergický efekt mezi svými účastníky, samozřejmě hackery
nevyjímaje.
80 % počítačových zločinů vyšetřovaných FBI se dnes týká
Internetu. Počítačové incidenty exponenciálně narůstají, v posledních pěti
letech řádově stouply z tisíců na statisíce. Například Pentagon zaznamenal přes
250 000 útoků v roce 1996 a z toho 65 % úspěšných.
Internetová komunita se také brání již v roce 1988 vzniklo fórum FIRST (Forum
of Incident Response and security), které nyní sdružuje více než 30
bezpečnostních týmů na celém světě. Nejznámější z nich jsou CERT (Computer
Emergency Response Team) a CIAC (Computer Incident Advisory Capability). CERT
je koordinační centrum s nepřetržitou službou, s cílem kdykoliv pomoci
administrátorům systému při vzniku problémů v oblasti počítačové bezpečnosti a
poskytovat rady, jak těmto problémům předcházet. CIAC především vydává
bezpečnostní bulletiny, ve kterých informuje o nových problémech v oblasti
bezpečnosti Internetu.
Hrozby v síti
Základními hrozbami, resp. riziky jsou v oblasti informačních systémů obecně:
lúnik informace,
lnarušení integrity dat,
lvýpadek služby,
lneoprávněné použití.
Konkrétní hrozby počítačové síti lze z těchto základních hrozeb odvodit
způsobem naznačeným na obr. 1.
Nejčastějším terčem útoku jsou protokoly sady TCP/IP, která dnes ovládla svět
sítí. Na úrovni protokolu IP se jedná o následující útoky:
odposlechem; tento pasivní typ útoku žádný paket nepoškodí, ale nelze ho také
obvykle zjistit,
přehráváním, například odchycením a opakovaným vysíláním paketu s legálním
příkazem k platbě,
změnou paketu s odpovídající opravou kontrolního pole,
ničením paketů, např. zásahem do kódu, resp. filtračních pravidel směrovačů,
zahlcením sítě záplavou odchycených anebo uměle generovaných paketů,
kradením paketů, např. přihlášením se do sítě s adresou některé dočasně
odpojené stanice,
hledáním cest k obejití filtrujících směrovačů záplavovým směrováním,
změnou nastavení směrovačů příkazem pro ICMP přesměrování.
Oproti tomu na úrovni TCP již byly použity tyto útoky:
záplava příkazů pro navázání spojení (SYN), po kterých "klekaly" servery díky
obsazení všech vyhražených TCP soketů,
odhad správného číslování nedostupné odpovědi stanice ve vnitřní síti na příkaz
pro navázání spojení a tedy správné potvrzení této odpovědi.
Na aplikační úrovni jsou nejoblíbenější útoky založeny na přepisování webových
stránek, kradení a falšování pošty a spousta dalších. Největším nebezpečím však
obvykle nejsou hackeři, nýbrž špatně připravená nebo nezodpovědná obsluha a
účastníci (chyby v nastavení směrovačů, špatně zvolená hesla atd.).
Bezpečnostní služby sítě
Cílem bezpečnostního systému je poskytnout služby, které by eliminovaly, resp.
minimalizovaly jednotlivé hrozby a rizika viz obr. 2. ISO (Mezinárodní
organizace pro standardizaci) se pokusila standardizovat služby a mechanismy
počítačových sítí v rámci dodatku ke standardu otevřených systémů OSI (Open
Systems Interconnection) ISO 7498 z roku 1988 viz tabulka 1. Bezpečnostní
služby byly obecně probrány v předchozích dílech seriálu. Co zvláštního pro ně
přináší síťové prostředí?
Autentizace (viz 12. díl): V síti se jedná nejen o jednostrannou či vzájemnou
autentizaci entit, ale také o zdroje posílaných dat. Přitom je zřejmé, že tato
služba díky otevřenému síťovému prostředí neochrání data před zdvojením nebo
modifikací.
Řízení přístupu (25. díl): Řídit přístup lze nejen k samotným datům, ale i k
síťovým zdrojům. Zjemnění autentizace tímto typem služby se v rámci síťového
řízení používá běžně; jako příklad lze uvést seznam síťových adres, resp. čísel
TCP portů akceptovatelných pro daný fyzický port směrovače, resp. přepínače.
Důvěrnost informací (viz 13. díl): V síti je třeba službu zajištění důvěrnosti
dat rozšířit o službu zajištění důvěrnosti spojení a ochranu před pasivním
sledováním provozu sítě, např. jeho intenzity (důvěrnost provozu).
Integrita (viz 14. díl): Pokud je v síti realizován přenos s navázáním spojení,
je třeba kromě datových celků (bloků, polí) zajišťovat celé toky dat
(číslováním, spolehlivým označováním času, digitálním podpisem).
Nepopiratelnost (viz 35. díl): Využívá se pouze v mimořádně důležitých
aplikacích, např. v bankovnictví a vojenství. Je to náročná služba, protože
souvisí s právní problematikou a realizační mechanismy se obvykle opírají o
koncepci (nezávislé) důvěryhodné třetí strany. Na rozdíl od předchozích služeb
je to služba, která je poskytována výhradně v rámci sítě. Lze na ni velmi
zjednodušeně nahlížet jako na silnější verzi autentizace a řízení přístupu.
Autentizace, integrita a důvěrnost, to jsou tři základní bezpečnostní služby;
zbývající dvě se dají považovat za z nich odvozené. Tři základní bezpečnostní
služby lze označit jako za k sobě ortogonální. Svědčí o tom i to, že každá z
těchto služeb může používat samostatné klíče. Platí to i tehdy, když jsou tyto
klíče získány stejným kryptografickým mechanismem, např. dvojice klíčů pro
zajištění důvěrnosti a autenticity.
Příklad výběru konkrétních bezpečnostních mechanismů (technologií) v závislosti
na zajišťovaných bezpečnostních službách ukazuje tabulka 2.
V příštím pokračování seriálu navážeme na probírané téma podrobným rozborem
síťové architektury z hlediska bezpečnosti.
Seriál je rovněž k dispozici na www.idg.cz/computerworld/bvs/
8 0025 / ram









Komentáře
K tomuto článku není připojena žádná diskuze, nebo byla zakázána.