Sunteți pe pagina 1din 136

UNIVERSITATEA DIN BACAU F a c u l t a t e a d e I n g i n e r i e

P OPA S ORIN E UGEN

SECURITATEA SISTEMELOR
INFORMATICE
note de curs i aplicaii pentru studenii Facultii de Inginerie

2007

Cuvnt nainte,

Cursul "Securitatea sistemelor informatice" se adreseaz studenilor de la specializarea Tehnologia informaiei anul III. Cursul este structurat pe dou pri, prima de teorie conine 8 capitole referitoare la definiii, clasificri, proceduri, programe i sisteme de asigura re a securitii sistemelor informatice i a informaiilor i a doua parte conine 6 lucrri practice de laborator. Partea teoretic ncepe cu noiuni generale privind securitatea informaiilor, cu definirea noiunilor privind securitatea i prezentarea standardului de securitate ISO / lEC 17799. n al doilea capitol se prezint clasificarea modern a informaiilor, criteriile de clasificare funcie de domeniul de activitate, principii de clasificare, declasificare i degradare a informaiilor. Al treilea capitol trateaz aspecte privind accesul personalului n sistemele informatice, cu tipuri de control al accesului, metode de autentificare i identificare a utilizatorilor. Capitolul patru, intitulat "Criptografia" trateaz aspecte ale metodelor de ascundere a informaiilor astfel nct acestea s fie accesibile doar destinatarului acestora. Se prezint definiiile de baz a criptografiei, steganografiei, filigranrii, principiile de criptare prin cheie public i prin cheie privat, noiuni privind semntura digital i a sistemelor de certificare a cheilor publice. n al patrulea capitol, intitulat "Modele i programe de securitate", se prezint modelele de securitate multinivel i multilateral, precum i programe, politici, norme i standarde de securitate. Capitolul ase face o introducere n securitatea reelelor de calculatoare, prezentndu-se principalele mecanisme utilizate n securitatea reelelor de calculatoare: DHCP, firewall, servere proxy, filtrele de pachete, precum i tehnica reelelor VPN. Capitolul al aptelea prezint tehnici, servicii i soluii de securitate pentru Intranet-uri i portaluri, cu detalierea unor aspecte prinvind tehnicile de criptare i a funciilor folosite pentru transmiterea securizat a cheilor de criptare, autentificarea Kerberis 5, SSL/TTL, NTLM, SSH, S/MIME i prezentarea firewall-urilor. Ultimul capitol, al optulea, prezint Strategii de securitate ale rzboiului informaional.

A doua parte a volumului conine ase lucrri practice de laborator n care se vor experimenta i verifica noiunile i tehnicile de securitate predate n cadrul cursului. Cele ase lucrri de laborator trateaz urmtoarele probleme: criptarea i steganografia, instalarea i configurarea firewall-urilor, instalarea i configurarea serverelor proxy sub Windows i sub Linux, realizarea unei reele VPN printr-un tunel OpenVPN.

Autorul

1. Noiuni privind securitatea informaiilor


1.1. Introducere
Societatea mbrieaz din ce n ce mai mult tehnologia informaiei. Informaia care pn nu de mult avea la baz hrtia, mbrac acum forma electronic. Informaia pe suport de hrtie mai este nc rezervat documentelor oficiale, acolo unde este necesar o semntur sau o stampil. Adoptarea semnturii electronice deschide ns perspectiva digitizrii complete a documentelor, cel puin din punct de vedere funcional. Acest nou mod de lucru, n care calculatorul a devenit un instrument indispensabil i un mijloc de comunicare prin tehnologii precum pota electronic sau Internetul, atrage dup sine riscuri specifice. O gestiune corespunztoare a documentelor n format electronic face necesar implementarea unor msuri specifice. Msurile ar trebui s asigure protecia informaiilor mpotriva pierderii, distrugerii sau divulgrii neautorizate. Cel mai sensibil aspect este acela de a asigura securitatea informaiei gestionat de sistemele informatice n noul context tehnologic. Securitatea informaiei este un concept mai larg care se refer la asigurarea integritii, confidenialitii i disponibilitii informaiei. Dinamica tehnologiei informaiei induce noi riscuri pentru care organizaiile trebuie s implementeze noi msuri de control. De exemplu, popularizarea unitilor de inscripionat CD-uri sau a memoriilor portabile de capacitate mare, induce riscuri de copiere neautorizat sau furt de date. Lucrul n reea i conectarea la Internet induc i ele riscuri suplimentare, de acces neautorizat la date sau chiar frauda. Dezvoltarea tehnologic a fost acompaniat i de soluii de securitate, productorii de echipamente i aplicaii incluznd metode tehnice de protecie din ce n ce mai performante. Totui, n timp ce n domeniul tehnologiilor informaionale schimbarea este exponenial, componenta uman rmne neschimbat. Asigurarea securitii informaiilor nu se poate realiza exclusiv prin msuri tehnice, fiind n principal o problem uman. Majoritatea incidentelor de securitate sunt generate de o gestiune i organizare necorespunztoare, i mai puin din cauza unei deficiene a mecanismelor de securitate. Este important ca organizaiile s contientizeze riscurile asociate cu utilizarea tehnologiei i gestionarea informaiilor i s abordeze pozitiv acest subiect printr -o contientizare n rndul angajailor a importanei securitii informaiilor, nelegerea tipologiei ameninrilor, riscurilor i vulnerabilitilor specifice mediilor informatizate i aplicarea practicilor de control. Organizaia Internaionala pentru Standardizare (ISO) mpreuna cu Comisia Internaional Electrotehnic (lEC) alctuiesc un forum specializat pentru standardizare. Organismele naionale care sunt membre ale ISO i IEC particip la dezvoltarea standardelor internaionale prin intermediul comitetelor tehnice. Statele Unite ale Americii, prin Institutul Naional de Standardizare, ocup poziia de Secretar, 24 de ri au statut de Participani (Brazilia, Frana, Regatul Unit al Marii Britanii, Coreea, Cehia, Germania, Danemarca, Belgia, Portugalia, Japonia, Olanda, Irlanda, Norvegia, Africa de Sud, Australia, Canada, Finlanda, Suedia, Slovenia, Elveia, Noua Zeeland i Italia) i alte 40 de ri au statut de Observatori.

Securitatea sistemelor informatice

Prin activitatea susinuta de Ministerul Comunicaiilor i Tehnologiei Informaiei (MCTI) de adoptare la nivel naional a standardelor europene i internaionale recunoscute, standardul ISO/IEC 17799 - Tehnologia Informaiei - Cod de bun practic pentru managementul securitii informaiei a fost adoptat i n Romnia de ctre Asociaia de Standardizare din Romnia (ASRO), din toamna anului 2004. Standardul este recunoscut n rezoluiile Consiliului Europei, implementarea acestuia la nivelul organizaiilor fiind opional.

1.2.

Definirea noiunii de securitatea Informaiilor


9 9

Ca i aciunile prin care o organizaie i apr angajaii i bunurile, securitatea informaiilor este folosit n primul rnd pentru a oferi asigurri c drepturile care deriv din proprietatea intelectual sunt protejate n mod corespunztor. Obiectivul principal al unui program pentru protecia informaiilor l reprezint asigurarea ncrederii partenerilor de afaceri, avantajul competitiv, conformitatea cu cerinele legale i maximizarea investiiilor. Indiferent de forma pe care o mbrac, mijloacele prin care este memorat, transmis sau distribuit, informaia trebuie protejat. ISO/IEC 17799 trateaz securitatea informaiilor prin prisma a trei elemente principale: Confidenialitatea - informaiile sunt accesibile doar persoanelor autorizate; Integritatea - asigurarea acurateei i completitudinii metodelor prin care se realizeaz prelucrarea informaiilor; Disponibilitatea - utilizatorii autorizai au acces la informaii i la activele asociate n momente oportune. Pentru a putea realiza un program de securitate eficient este nevoie de politici, proceduri, practici, standarde, descrieri ale sarcinilor i responsabilitilor de serviciu, precum i de o arhitectur general a securitii. Aceste controale trebuie implementate pentru a se atinge obiectivele specifice ale securitii i pe cele generale ale organizaiei. Dependena din ce n ce mai mare de sistemele informaionale conduce la creterea tipologiei vulnerabilitilor crora organizaiile trebuie s le fac fa. Mai mult, problema protecie trebuie s aib n vedere de multe ori interconectarea reelelor private cu serviciile publice. Dac la acest aspect mai adugam i problema partaj rii informaiilor se contureaz un tablou destul de complicat n care implementarea unor controale eficiente devine o sarcin dificil pentru specialistul IT&C. Multe din sistemele existente pe pia au fost proiectate dup metodologia structurat dar nu au avut ca principal obiectiv i asigurarea unui anumit grad de securitate pentru c la momentul respectiv tehnologia nu era att de dezvoltat i nici att de accesibil neiniiailor. Odat ns cu proliferarea Internetului ca i mijloc important al comunicrii moderne nevoia unor mecanisme de securitate proactiv a devenit o certitudine. n practic remarcm c multe instituii apeleaz la soluii tehnice externe care s le rezolve problemele de securitate fr a cuta s-i identifice nevoile i cerinele specifice. Identificarea controalelor interne care s asigure un grad corespunztor de securitate activelor informaionale ale unei instituii presupune o planificare riguroas i identificarea exact a obiectivelor respectivei instituii. Pentru a fi ns eficiente aceste

Cap 1 - Noiuni privind securitatea informaiilor

controale trebuie s aib n vedere pe toi angajaii i nu doar pe cei din compartimentul IT sau care au legtur direct cu acest domeniu. Securitatea informaiilor nu este doar o problem tehnic. Ea este n primul rnd o problem managerial. Standardul de securitate ISO/IEC 17799 rspunde nevoilor organizaiilor de orice tip, publice sau private, printr-o serie de practici de gestiune a securitii informaiilor. Standardul poate fi folosit n funcie de gradul de expunere a fiecrei organizaii n parte, pentru a contientiza la nivelul conducerii aspectele legate de securitatea informaiei, sau pentru a crea o cultur organizaional n ceea ce privete securitatea informaiilor, sau pentru a obine certificarea sistemului de securitate. Gradul de expunere a sistemelor informaionale variaz cu industria n care activeaz fiecare organizaie. Cu ct acest risc este mai mare, atenia care trebuie acordat securitii datelor ar trebui s fie mai mare. Instituiile financiare, industria aprrii, aerospaial, industria tehnologiei informaiei, industria electronic sunt sectoarele cu cel mai mare grad de risc n ceea ce privete securitatea informaiilor. Tot n aceast categorie de risc ridicat intr i instituiile guvernamentale, motiv pentru care adoptarea unei culturi organizaionale pe baza standardului ISO/IEC 17799 are un rol fundamental. Stabilirea cerinelor Este important ca fiecare organizaie s poat s-i identifice propriile cerine de securitate. Pentru aceasta ea trebuie sa fac apel la trei surse principale: analiza riscurilor; legislaia existent; standardele i procedurile interne. Folosind o metodologie corespunztoare pentru a analiza riscurile organizaia i poate identifica propriile cerine legate de securitate. Un astfel de proces presupune n general patru etape principale: identificare activelor care trebuie protejate; identificarea riscurilor/ameninrilor specifice fiecrui activ; ierarhizarea riscurilor; identificarea controalelor prin care vor fi eliminate/diminuate riscurile Nu trebuie ns trecute cu vederea nici aspectele financiare. Fiind un obiectiv comun, dictat de cerinele de afacere, pentru c pn la urm orice activitate derulat de o organizaie are o raiune economica, n implementarea unei arhitecturi de securitate trebuie puse n balan costurile i beneficiile. Un mecanism de control nu trebuie s coste organizaia mai mult dect bunul ce trebuie protejat. Stabilirea cerinelor de securitate, a msurilor necesare pentru a asigura nivelul de control dorit, are o component deseori subiectiv, fiind dificil de cuantificat n temeni monetari pierderea suferit n cazul unui incident de securitate. Aspectele intangibile precum alterarea imaginii organizaiei pe pia, credibilitatea n faa clienilor sau efectele indirecte ale unui incident de securitate major, sunt cel mai greu de apreciat. Aceasta este raiunea i pentru care adoptarea unor standarde i practici general acceptate, susinute de evaluri periodice independente este de recomandat.

Securitatea sistemelor informatice

Acest proces nu este unul static, altfel spus trebuie avute n permanenta n vedere schimbrile care intervin n viata organizaiei pentru a fi reflectate corespunztor n planul de securitate. Dac spre exemplu apare o modificare legislativ cu impact asupra instituiei, trebuie avut n vedere din nou modelul folosit pentru evaluarea riscurilor pentru a vedea dac acesta reflect riscurile aprute ca urmare a acestei modificri. n acest sens, ISO/IEC 17799 propune o serie de obiective de securitate i controale din rndul crora profesionitii le pot selecta pe acelea care corespund afacerii n care funcioneaz. Pe de alt parte acest standard nu trebuie considerat un panaceu al securitii in formaiilor att timp ct el ofer doar recomandri celor care rspund de implementarea i managementul unui sistem de securitate n cadrul unei organizaii. De unde se ncepe Controalele interne pot fi considerate principiile care stau la baza implementrii unui sistem de management al securitii. Chiar dac sursele unor astfel de msuri pot fi destul de variate, punctul de plecare ntr-un astfel de demers l reprezint legislaia aplicabil. Este foarte important ca cel care se ocup de implementarea unui sistem de management al securitii s aib cunotine despre actualele cerine legislative: Legea nr. 161 din 19 aprilie 2003 privind unele masuri pentru asigurarea transparentei n exercitarea demnitarilor publice, a funciilor publice si n mediul de afaceri, prevenirea si sancionarea corupiei. Legea nr. 506 din 17 noiembrie 2004 privind prelucrarea datelor cu caracter personal si protecia vieii private n sectorul comunicaiilor electronice. Legea nr. 677 din 21 noiembrie 2001 pentru protecia persoanelor cu privire la prelucrarea datelor cu caracter personal si libera circulaie a acestor date. Legea nr. 455 din 18 iulie 2001 privind semntura electronica. Legea nr. 544 din 12 octombrie 2001 privind liberul acces la informaiile de interes public. Hotrrea nr. 1259 din 13 decembrie 2001 privind aprobarea Normelor tehnice si metodologice pentru aplicarea Legii nr. 455-2001 privind semntura electronica. Ordinul Avocatului Poporului nr. 52 din 18 aprilie 2002 privind aprobarea Cerinelor minime de securitate a prelucrrilor de date cu caracter personal. Ordinul Avocatului Poporului nr. 53 din 18 aprilie 2002 privind aprobarea formularelor tipizate ale notificrilor prevzute de Legea nr. 677/2001 pentru protecia persoanelor cu privire la prelucrarea datelor cu caracter personal si libera circulaie a acestor date. Ordinul Avocatului Poporului nr. 54 din 18 aprilie 2002 privind stabilirea unor situaii n care nu este necesara notificarea prelucrrii unor date cu caracter personal care cad sub incidenta Legii nr. 677/2001 pentru protecia persoanelor cu privire la prelucrarea datelor cu caracter personal si libera circulaie a acestor date. Hotrrea nr. 781 din 25 iulie 2002 privind protecia informaiilor secrete de serviciu. Legea nr. 182 din 12 aprilie 2002 privind protecia informaiilor clasificate.

Cap 1 - Noiuni privind securitatea informaiilor

Pe lng legislaia intern trebuie avute n vedere i Conveniile internaionale i Reglementrile comunitare semnate de Romnia sau n care Romnia este parte. Selectarea controalelor trebuie s in cont de specificul organizaiei. Nu toate recomandrile pot fi aplicate, cum nu toate sunt justificate din punct de vedere al costurilor. Eficacitatea sistemului de securitate depinde de: stabilirea unor obiective de securitate care s reflecte cerinele organizaiei; sprijinului conducerii; existena abilitilor necesare realizrii analizei riscurilor, a vulnerabilitilor i a analizei de impact; instruirea angajailor; monitorizata controalelor implementate.

ISO/IEC 17799 a fost dezvoltat ca punct de plecare n dezvoltarea unui sistem de management al securitii specific fiecrei instituii n parte. De aici rezult caracterul su general, controalele prezentate n standard putnd fi luate ca exemple pentru situaii specifice fiecrei instituii n parte. Primele dou seciuni ale standardului prezint Scopul respectiv Termeni i Definiii. Scopul standardului ISO/IEC 17799 stabilete rolul acestui document ca fiind un ghid pentru domeniul securitii informaionale. Prin prezentarea Termenilor i Definiiilor din seciunea a doua, standardul asigur un limbaj comun pentru profesionitii domeniului. Urmtoarele seciuni prezint obiectivele de control i msurile prin care se pot atinge aceste obiective.

1.3.

Seciunile standardului de securitate ISO / IEC 17799.


9

1.3.1. Politica de securitate Obiectivul politicii de securitate este s ofere managementului instituiei sprijinul necesar asigurrii securitii informaiilor din cadrul organizaiei. Conducerea oricrei instituii trebuie s ofere suportul necesar prin elaborarea unui document intitulat Politica de Securitate, document care trebuie adus la cunotin tuturor angajailor. Fr un astfel de document exist riscul ca rolurile i responsabilitile relative la asigurarea securitii informaionale s fie greit nelese. Nedezvoltarea unui astfel de document i neaducerea la cunotina angajailor a politicii de securitate a companiei induce de cele mai multe ori o stare de superficialitate n tratarea acestor aspecte. Existenta unei viziuni clare a conducerii i o comunicare efectiv a acesteia ctre angajai este fundamental pentru asigurarea eficienei oricror proceduri i msuri de securitate specifice. 1.3.2. Organizarea securitii Organizarea securitii are ca obiectiv asigurarea unei administrri unitare n cadrul organizaiei. Fiecare utilizator al sistemului informaional este responsabil cu asigurarea securitii datelor pe care le manipuleaz. Existena unei structuri organizatorice unitare

Securitatea sistemelor informatice

care s iniieze i s controleze implementarea mecanismelor de securitate n cadrul organizaiei, presupune un punct central de coordonare - responsabil cu securitatea. Rolul i atribuiile persoanei care ocup poziia de responsabil cu securitatea informaiilor se refer la coordonarea i urmrirea respectrii procedurilor i politicilor de securitate. Organizarea securitii nu se limiteaz doar la personalul intern, trebuie avute n vedere i riscurile induse de teri sau subcontractori care au acces la sistemul informaional. Acest risc nu este deloc de neglijat, ultimele tendine ale pieei globale ne arat o reconsiderare a poziiei companiilor fa de externalizarea funciilor IT, tocmai datorit riscului mare indus de subcontractarea acestora. Obiectivul organizrii securitii, aa cum este documentat n standard este i meninerea securitii tuturor facilitilor IT i activelor informaionale accesate de ctre tere persoane, fiind recomandat stabilirea unui proces prin care accesul terilor s fie controlat. 1.3.3. Clasificarea i controlul activelor Msurile de protecie sunt proiectate n funcie de gradul de senzitivitate, i de semnificaia economic a resurselor vizate. Perimetrele n care sunt amplasate echipamentele de procesare, vor fi protejate cu bariere de acces suplimentare. La fel i telecomunicaiile cu un nivel ridicat de confidenialitate ar trebui criptate. Pentru a avea totui o abordare coerent asupra msurilor specifice de protecie, n funcie de gradul de senzitivitate al fiecrei resurse n parte se practic o clasificare a informaiilor. Clasificarea informaiilor este necesar att pentru a permite alocarea resurselor necesare protejrii acestora, ct i pentru a determina pierderile poteniale care pot s apar ca urmare a modificrilor, pierderii/distrugerii sau divulgrii acestora. Obiectivul clasificrii este crearea premizelor necesare asigurrii unei protecii corespunztoare valorii activelor instituiei. Toate activele organizaiei trebuie s aib asociat un proprietar. Politica de securitate trebuie s identifice angajaii cu rol de proprietar, custode, client, utilizator. 1.3.4. Securitatea personalului Cele mai multe incidente de securitate sunt generate de personal din interiorul organizaiei, prin aciuni ru intenionate sau chiar erori sau neglijen n utilizarea resurselor informaionale. Standardul ISO/IEC 17799 trateaz riscurile de natur uman ce pot fi induse din interiorul organizaiei prin msuri specifice precum includerea responsabilitilor legate de securitatea informaiilor n descrierea i sarcinile de serviciu ale postului, implementarea unor politici de verificare a angajailor, ncheierea unor acorduri de confidenialitate i prin clauze specifice n contractele de munc. Securitatea informaiilor este un aspect ce trebuie avut n vedere nc din etapa de selecie a angajailor. Angajaii trebuie monitorizai pe ntreaga perioad de valabilitate a contractului de munc i trebuie s aib cunotin de prevederile politicilor de securitate. Clauzele de confidenialitate, definirea conflictelor de interese, distribuirea i divulgarea informaiilor trebuie avute n vedere pentru fiecare post n parte. Pentru a evita neglijena sau greelile de operare, utilizatorii ar trebui informai cu privire la ameninrile la care sunt supuse informaiile manipulate. Instruirea ar

10

Cap 1 - Noiuni privind securitatea informaiilor

trebui s ofere cunotinele necesare asigurrii securitii acestora n timpul programului normal de lucru. Utilizatorii trebuie instruii cu privire la procedurile de securitate ce trebuie urmate i utilizarea facilitilor IT n conformitate cu politica organizaiei. Ar trebui s existe un program coerent de instruire a angajailor pe diverse niveluri de interes, pe lng o instruire general n gestiunea securitii fiind necesare i specializri pentru administratorii sistemului informatic n tehnologii de securitate specifice. Chiar dac securitatea unei anumite zone IT, cum ar fi securitatea reelei revine unei entiti externe, este o practic bun ca i n interiorul organizaiei s existe competenele i abilitatea de a evalua cum sunt satisfcute cerinele de securitate. Instruirea este necesar i pentru a crea abilitatea de reacie la apariia unor incidente de securitate. Raportarea incidentelor de securitate are ca obiectiv minimizarea efectelor negative sau a incorectei funcionri a echipamentelor. Monitorizarea unor astfel de incidente permite determinarea performantei sistemelor de securitate i mbuntirea continu. Politicile i procedurile de securitate trebuie implementate astfel nct s asigure un rspuns consistent la astfel de incidente. 1.3.5. Securitatea fizic Delimitarea zonelor securizate are ca obiectiv prevenirea accesului neautorizat sau afectarea facilitilor oferite de sistemul informaional. Aceasta seciune vizeaz mecanismele prin care se asigur securitatea fizic a imobilului n care organizaia i desfoar activitatea. Alt aspect important al securitii fizice este cel legat de protecia echipamentelor, prin prevenirea pierderii, distrugerii sau compromiterii funcionrii echipamentelor care pot afecta funcionarea organizaiei. Echipamentele de calcul trebuie s fie protejate fizic mpotriva ameninrilor voite sau accidentale. n acest sens trebuie dezvoltate standarde i proceduri pentru securizarea att a serverelor, ct i a staiilor de lucru ale utilizatorilor. Msurile de control al accesului, implementate la nivelul aplicaiei, bazelor de date sau reelei pot deveni inutile dac exist i o protecie fizic corespunztoare. 1.3.6. Managementul comunicaiilor i al operrii Operarea calculatoarelor trebuie s asigure funcionarea fr riscuri i n bune condiii a resurselor organizaiei. Aceast funcie vizeaz att echipamentele i aplicaiile software, ct i celelalte elemente necesare procesrii informaiei i susinerii funciilor de afacere. Practicile de control recomandate pentru asigurarea operrii de o manier corect i sigur, constau n documentarea procedurilor de operare, controlul modificrilor aduse sistemului informatic, att la nivel hardware ct i software, formalizarea tratrii incidentelor de securitate i separarea responsabilitilor. Dinamica mediului informaional dat de schimbrile tehnologice continue ct i de apariia de noi cerine din partea afacerii supune sistemul informatic la noi dezvoltri. Dezvoltarea i testarea modificrilor aduse sistemului existent pot cauza probleme serioase operrii curente. Pentru a controla aceste riscuri sunt recomandate separri

11

Securitatea sistemelor informatice

clare ale responsabilitilor ntre dezvoltare, testare i exploatare susinute i de o separare a mediilor folosite pentru aceste activiti. Accesul programatorilor pe mediul de producie nu ar trebui permis, iar dac anumite situaii excepionale o cer, atunci ar trebui controlat ndeaproape. Planificarea capacitii sistemului este un alt obiectiv al operrii calculatoarelor care are ca obiectiv minimizarea riscurilor ntreruperii sistemului ca urmare a atingerii capacitii maxime de procesare. Asigurarea unei capaciti corespunztoare de procesare implic o planificare riguroas a activitilor sprijinite de sistemul informaional. Trebuie dezvoltate proceduri i mecanisme de raportare care s identifice utilizarea necorespunztoare a resurselor precum i perioadele de utilizare. Protecia mpotriva software-ului maliios este un aspect important ntruct cea mai mare ameninare a activelor informatice este dat de pierderea sau indisponibilitatea datelor ca urmare a infestrii cu virui informatici. n toate sondajele, viruii se afl printre primele locuri ca surs a incidentelor de securitate. Milioane de virui informatici sunt raportai anual. Protecia mpotriva viruilor nu o asigur doar administratorul sistemului, ci i utilizatorul. Asigurarea integritii datelor i a aplicaiilor software necesit msuri de protecie prin care s se previn i s se detecteze introducerea unor aplicaii ilegale n sistemul organizaiei. Aplicaiile tip antivirus trebuie instalate pe toate calculatoarele din sistem iar utilizatorii trebuie instruii cu privire la folosirea acestora. Alte aspecte ce fac obiectul managementului operrii i comunicaiilor vizeaz: ntreinerea sistemului, incluznd realizarea copiilor de siguran, ntreinerea jurnalelor de operare, meninerea nregistrrilor cu erori de operare i execuie. managementul reelei, necesar asigurrii reelelor de calculatoare. manipularea i securitatea mediilor de stocare, pentru a preveni ntreruperea activitilor afacerii. schimbul de aplicaii i date ntre organizaii, pentru a preveni pierderea, alterarea sau utilizarea improprie a informaiei. ntreinerea sistemului are ca obiectiv meninerea disponibilitii i integritii serviciilor IT. Trebuie dezvoltate proceduri specifice care s descrie aciunile prin care se realizeaz ntreinerea serviciilor i echipamentelor IT. ntreinerea sistemului trebuie s fie un proces continuu care s includ obligatoriu instalarea coreciilor de securitate a aplicaiilor, sistemelor de operare i sistemelor de gestiune a bazelor de date, realizarea copiilor de siguran, jurnalizarea activitilor realizate n i de ctre sistem. Managementul reelei are ca obiectiv asigurarea proteciei datelor transmise prin reea i a infrastructurii fizice a reelei. Pentru protecia reelei sunt disponibile tehnologii specializate ce pot fi folosite n implementarea msurilor de securitate i atingerea obiectivelor de control: filtru - set de reguli implementate la nivelul unui router sau firewall prin care acesta permite tranzitarea sau nu a traficului ctre i dinspre reeaua unei companii; firewall - dispozitiv prin care este controlat traficul dintre reeaua companiei i reelele externe acesteia;

12

Cap 1 - Noiuni privind securitatea informaiilor

Sistem pentru Detectarea Intruziunilor (IDS - Intrusion Detection System), dispozitiv (hardware sau software) dedicat inspectrii traficului unei reele cu scopul identificrii automate a activitilor ilicite; criptare comunicaii - procesul prin care datele sunt aduse ntr-o form neinteligibil persoanelor neautorizate; Reea Virtual Privat (VPN - Virtual Private Network) - o reea care permite comunicarea ntre dou dispozitive prin intermediul unei infrastructuri publice (nesigure) zona demilitarizat (DMZ) este o parte a reelei care permite accesul controlat din reeaua Internet. Mainile dependente de accesul direct la reeaua Internet, cum ar fi serverele de email i cele de web sunt adesea plasate n astfel de zone, izolate de reeaua intern a organizaiei.

Msurile tehnice singure nu pot asigura nivelul de protecie necesar, fr un management corespunztor. Standardul ISO/IEC 17799 prezint controalele necesare gestiunii corespunztoare a securitii comunicaiilor. Prevenirea distrugerii mediilor de stocare al crei efect s-ar concretiza n ntreruperea serviciilor sistemului informatic s-ar putea asigura prin controlarea i protejarea mediilor de stocare. Trebuie dezvoltate proceduri prin care este controlat accesul la orice mediu de stocare i la documentaia sistemului. 1.3.7. Controlul accesului Confidenialitatea vizeaz protejarea informaiilor mpotriva oricrui acces neautorizat. Uneori este interpretat n mod greit ca aceast cerin este specific domeniului militar i serviciilor de informaii care trebuie s-i protejeze planurile de lupt, amplasamentul depozitelor de muniie sau al rachetelor strategice, notele informative. Este ns la fel de important pentru o organizaie care dorete s-i apere proprietatea intelectual, reetele de producie, datele despre personalul angajat, etc. Pentru o instituie public, datorit caracterului informaiei pe care o gestioneaz este important s asigure n primul rnd integritatea i disponibilitatea datelor. Controlul accesului ncepe cu stabilirea cerinelor de acordare a drepturilor de utilizare a informaiilor. Accesul la facilitile i serviciile oferite de sistemul informaional trebuie controlat n funcie de specificul i cerinele mediului n care i desfoar activitatea organizaia. Pentru a rspunde acestor cerine sunt n general definite o serie de reguli de acces corelate cu atribuiile fiecrui utilizator al sistemului informatic. Meninerea acestor reguli n linie cu cerinele organizaiei implic un proces de gestiune a accesului utilizatorilor sistemului. Obiectivul acestui proces este s previn utilizarea neautorizat a calculatoarelor. Trebuie s existe proceduri formale prin care s se controleze alocarea drepturilor de acces la serviciile i resursele IT. Utilizatorii autorizai trebuie instruii cu privire la maniera n care trebuie raportate activitile sau aciunile considerate suspecte. Fiecare component a sistemului informaional trebuie s fac obiectul msurilor de control al accesului, datele trebuie protejate indiferent de forma sau starea care le caracterizeaz, fie c este vorba de aplicaii software, sisteme de operare, baze de date sau reele de comunicaii. Tehnologiile mai vechi de gestiune a bazelor de date precum

Securitatea sistemelor informatice

Fox Pro, de exemplu, nu pot asigura o protecie a informaiilor la nivelul bazei de date, acestea fiind stocate n fiiere necriptate, accesibile oricrui utilizator, indiferent de drepturile de acces care i-au fost atribuite la nivelul aplicaiei. Sistemele de operare precum DOS sau Windows 95/98 nu au mecanisme de control al accesului, nefiind posibil restricionarea drepturilor de utilizare a datelor la acest nivel. Standardul prevede ns msuri de control pentru fiecare nivel al sistemului informaional: controlul accesului la serviciile reelei - conexiunile la serviciile reelei trebuie controlate iar pentru obinerea accesului la astfel de servicii este recomandat implementarea unei proceduri formale. controlul accesului la nivelul sistemului de operare - sistemul de operare trebuie s prevad msuri de restricionare a accesului la date existente pe calculatore. controlul accesului la aplicaii - prevenirea accesului neautorizat la informaiile gestionate de aplicaiile software. Orict de elaborate ar fi msurile de control al accesului exist totdeauna posibilitatea unei intruziuni, sau utilizarea inadecvat a resurselor existente. Pentru a detecta potenialele activiti neautorizate este necesar monitorizarea accesului i utilizrii sistemului informatic. Monitorizarea are un caracter continuu i implic pstrarea i revizuirea periodic a nregistrrilor cu evenimentele de sistem, i a activitii utilizatorilor.

1.3.8. Dezvoltarea i ntreinerea sistemului Aproape mereu, atunci cnd e vorba de dezvoltarea i implementarea unui sistem informatic, cerinele de securitate sunt neglijate. Eforturile sunt ndreptate mai mult spre aspectele funcionale i mai puin pe controlul riscurilor de integritate i confidenialitate a informaiilor. Organizaiile se expun la riscuri majore de operare ce pot rezulta n pierderi financiare semnificative prin neglijarea unor msuri minimale de control al procesului de dezvoltare i implementare. Testarea aplicaiilor nu este formalizat, ceea ce nu garanteaz calitatea dezvoltrilor, programatorilor li se permite accesul la mediul de producie pentru corectarea unor erori nedetectate n procesul de testare, inducnd riscuri de integritate i disponibilitate a datelor. Aspectele de securitate nu trebuie neglijate n partea de dezvoltare i implementare, dei acestea s-ar putea s deranjeze i s nu aduc aparent nici un beneficiu. Fr a ine cont de recomandrile de control ale acestui proces, organizaia risc s investeasc ntr-o aplicaie sau echipament care s nu-i ofere nici o garanie asupra informaiilor gestionate. Obiectivele de control prevzute n aceast seciune a standardului sunt menite s asigure c noile sisteme dezvoltate au prevzute mecanisme de securitate, prin: dezvoltarea cerinelor i analiza specificaiilor de securitate; validarea datelor de intrare controlul procesrii interne autentificarea mesajelor transmise electronic validarea datelor de ieire utilizarea tehnicilor de criptare utilizarea mecanismelor de semnare electronic

14

Cap 1 - Noiuni privind securitatea informaiilor

protejarea codului aplicaiilor i a fiierelor sistemului de operare

De asemenea, este necesar i asigurarea securitii mediilor de dezvoltare i a serviciilor suport. Mediile n care se dezvolt aplicaii sau proiecte noi trebuie strict controlate. Mediul de testare trebuie separat de mediul de producie, datelor de test asigurndu-li-se protecia corespunztoare. 1.3.9. Planificarea continuitii afacerii Un plan de continuitate a afacerii reprezint o serie de msuri de reacie n caz de urgen, de operare alternativ i de restaurare a situaiei n caz de dezastru pentru a asigura disponibilitatea resurselor critice i pentru a permite continuarea activitii n cazul unor incidente majore. Majoritatea companiilor nu au un astfel de plan de continuitate, de cele mai multe ori aceste aspecte sunt neglijate sau sunt limitate la achiziionarea unor echipamente de rezerv sau tolerante la defecte. Scopul unui plan de continuitate este de a asista organizaiile n a continua s funcioneze atunci cnd activitatea normal este ntrerupt. Este mult mai bine ca acest lucru s fie planificat n avans, printr-o atitudine proactiv. Planurile pentru continuitatea afacerii trebuie s asigure disponibilitatea proceselor considerate critice pentru funcionarea organizaiei n cazul apariiei unor dezastre sau ntreruperi de funcionare. Asigurarea continuitii afacerii presupune parcurgerea etapelor de documentare, testare i implementare a planului de continuitate a afacerii. Implementarea presupune instruirea personalului i dezvoltarea unor procese speciale de gestiune a situaiei de criz, precum i de actualizare periodic. 1.3.10. Conformitatea Proiectarea, operarea sau gestiunea sistemelor informaionale pot face obiectul unor reglementari, legi sau angajamente contractuale n ceea ce privete securitatea. Pentru a evita nclcarea dispoziiilor statutare sau legale, standardul prevede o serie de msuri precum: identificarea legislaiei aplicabile utilizarea adecvat a licenelor software sau a materialelor protejate de drepturi de autor protejarea nregistrrilor organizaiei (nregistrri contabile, chei de criptare, jurnale de activitate, medii de stocare, proceduri de lucru) Pentru a asigura conformitatea cu politicile i standardele de securitate ale organizaiei, securitatea sistemului informaional trebuie revizuit periodic pentru a reflecta schimbrile tehnologice sau organizatorice.

15

2. Clasificarea informaiilor
f

2.1. Noiuni introductive privind clasificarea modern a informaiilor


9

Clasificarea nseamn etichetri cresctoare ale documentelor sau informaiilor, de la cel mai de jos nivel, unde se situeaz informaiile deschise su neclasificate, la cele confideniale, urcnd spre informaii secrete i strict secrete. n clasificarea informaiilor s-a plecat de la ideea c informaiile care prin compromitere pot costa viei umane sunt marcate drept secret, n timp ce informaiile a cror compromitere cost pierderea multor viei umane sunt definite strict secrete. Personalul din domeniu securitii sistemelor sunt investii cu drepturi diverse, de a lucra cu anumite categorii de informaii. Pe lini accesului la unele categorii de informaii, pentru exercitarea controlului lucrurile sunt destul de clare: un angajat poate citi documentele dintr-o anumit categorie numai dac el are cel puin dreptul de accesare a informaiilor din acea categorie sau din una superioar. Regula este c informaiile pot circula doar n sus, de la confidenial la secret i strict secret, n timp ce n sens invers, de sus n jos, pot circula doar dac o persoan autorizat ia decizia de declasificare a acestora. Se utilizeaz dou strategii de baz privind securitatea naional, i anume: tot ceea ce nu este interzis este permis; tot ceea ce nu este permis este interzis. Se apeleaz la dou tactici de implementare a strategiei fundamentale privind protejarea informaiilor deosebite: controlul discreionar al accesului; controlul legal al accesului. Prima tactic de control al accesului implementeaz principiul celui mai mic privilegiu: nici o persoan, n virtutea rangului sau poziiei ce o deine, nu are drepturi nelimitate de a vedea informaiile deosebite, iar persoanele care au o astfel de facilitate trebuie s le vad n umai pe cele care intr n sfera lor de activitate. Controlul discreionar al accesului este aplicat printr-o matrice de control, conform modelului prezentat n figura 2.1. Pentru fiecare persoan aflat pe list i pentru fiecare informaie, matricea arat ceea ce poate face fiecare subiect cu obiectele din list: citire, scriere, execuie, aprobare etc.

Subiect Subiect 1 Subiect 2 Subiect 3 Subiect 4 Subiect 5

Obiect 1 Obiect 2 Obiect 3 Execut Citete Citete Citete Citete/Scrie Aprob Citete/Scrie Aprob Citete/Scrie Aprob Execut Execut Execut Citete Aprob Fig. 2.1: Matricea de control al accesului.

16

Cap 2 - Clasificarea informaiilor

Controlul legal al accesului i exercit fora pe baza legilor existente (legea securitii naionale), prin care sunt stabilite dou tipuri de structuri de control: ierarhizate i neierarhizate. Structura ierarhizat ncadreaz informaiile senzitive n patru categorii: strict secrete, secrete, confideniale i neclasificate; n structura neierarhizat, sunt dou categorii: compartimentate i cu obiecii sau ascunse vederii unor categorii de persoane. Compartimentrile pot avea nume scurte, sugestive, care s scoat n relief anumite aspecte. Categoria cu obiecii privete n special naionalitatea potenialilor cititori i autori ai obiectelor. Informaiile strict secrete, care sunt ntr-o anumit msur compartimentare, se numesc informaii senzitive compartimentate i presupun o atenie deosebit la ntrebuinare. D oar o categorie de informaii este superioar acesteia din urm, i anume despre informaiile din planul operativ integrat unic sau rspunsul naional n caz de rzboi.

2.2.

Clasificarea informaiilor
9

Guvernele pleac de la o clasificare mai larg a informaiilor, i anume: informaii subiective i informaii obiective (fa de mprirea n clasificate i neclasificate). 2.2.1. Informaiile subiective
f

Informaiile subiective au mai fost caracterizate i ca "secrete adevrate" sau informaii operaionale. Aceste informaii sunt unice pentru guvern, n sensul c el decide asupra modului n care se vor derula principalele activitii ce-i revin. Ct timp guvernul controleaz i protejeaz informaiile pe baza crora ia decizii, acele informaii nu pot fi dezvluite independent de ctre adversar. Aceste informaii au urmtoarele caracteristici: dimensiune reduc - secretul poate fi exprimat doar prin cteva cuvinte; din care cauz poate s fie uor furat i distribuit altora; perceptibilitate universal - nu este nevoie de pregtire special pentru a nelege secretul, oricine poate s-l fure; supuse arbitrarului - pentru a intra n posesia lor un adversar le poate fura, secretul nu poate fi descoperit independent; coninutul poate fi schimbat - secretul poate fi modificat i n ultima clip; sunt perisabile dup scurt timp - secretele au o via scurt, el poate fi inut doar pentru o perioad scurt de timp. 2.2.2. Informaii obiective Informaiile obiective sunt acelea care chiar dac sunt descoperite, dezvoltate sau controlate de ctre guvern, pot fi deja cunoscute sau descoperite independent de o alt ar. n aceast categorie intr informaiile tiinifice sau secretele tiinifice. Aceste informaii nu pot avea un control absolut, ele in de natura lucrurilor nu de un secret. Informaiile obiective au urmtoarele caracteristici: sunt confuze - de regul, nu se bazeaz pe o formul magic, pentru descrierea informaiilor tiinifice sunt necesare rapoarte lungi, din aceast cauz ele nu se pot transmite uor; pot fi nelese numai de oamenii de tiin;

17

Securitatea sistemelor informatice

nu sunt supuse arbitrarului - i alii pot s afle rspunsul la o anumit ntrebare tiinific, dac formuleaz ntrebarea respectiv; nu sunt supuse schimbrii - au caracter etern; un fenomen natural are o singur valoare; pot avea o via lung ca secret - alii pot descoperi informaiile n mod independent, dar o astfel de descoperire necesit mult timp, ceea ce va conduce la pstrarea secretului pentru o lung perioad de timp.

Informaiile tehnice - secrete obiective O alt categorie de informaii nu se ncadreaz perfect n categoriile cunoscute, obiective sau subiective, ele fiind informaiile tehnice, de genul proiectelor i execuiilor tehnice ale unor noi arme (de exemplu), diferite de caracterul tiinific al proiectrii, i sunt cunoscute ca informaii tehnice vzute ca secrete obiective. Caracteristicile informaiilor tehnice sunt asemntoare celor tiinifice, dar exist unele diferene. Fa de informaiile tiinifice, informaiile tehnice nu sunt fenomene naturale, ci nseamn o metod, un proces, o tehnic sau un echipament angajate n crearea unui produs. Se poate afirma c informaiile tehnice sunt utilizate pentru exploatarea informa iilor tiinifice. Secrete comerciale Secretele comerciale includ informaiile despre procesele de fabricaie, reetele unor produse, precum i alte informaii obiective care pot fi descoperite independent de ctre alii. Multe secrete comerciale sunt asemntoare informaiilor tiinifice i tehnice. 2.2.3. Determinarea necesitii clasificrii informaiilor
ff

n cazul procesului de clasificare a informaiilor se parcurg trei etape: stabilirea nevoii de clasificare; determinarea nivelului clasificrii; determinarea duratei clasificrii. Etapa de stabilire a nevoii de clasificare se realizeaz n cinci pai, astfel: definirea cu exactitate a informaiilor de clasificat (opional, dar recomandat); stabilirea dac informaiile se ncadreaz n unul din domeniile supuse clasificrii; verificarea dac informaiile se afl sub control guvernamental; determinarea dac dezvluirea informaiilor poate conduce la producerea de daune pentru securitatea naional; specificarea precis a nevoii de clasificare a informaiilor.

Determinarea nivelurilor clasificrii La clasificarea unei informaii, acesteia i se va atribui un nivel de clasificare, care va evidenia importana relativ a informaiei clasificate. Un sistem de clasificare eficient se bazeaz pentru niveluri de clasificare definite cu mare claritate. n legea 182/2002 privind protecia informaiilor clasificate, din Romnia, informaiile clasificate din clasa secretelor de stat sunt ncadrate pe trei niveluri:

18

Cap 2 - Clasificarea informaiilor

strict secrete de importan deosebit - sunt informaii a cror divulgare neautorizat este de natur s produc daune de o gravitate excepional securitii naionale; strict secrete - sunt informaiile a cror divulgare neautorizat este de natur s produc daune grave securitii naionale; secrete - sunt informaiile a cror divulgare neautorizat este de natur s produc daune securitii naionale;

Determinarea duratei clasificrii Guvernele clasific informaiile i aplic proceduri de securitate special documentelor i materialelor ce le conin sau sunt purttoare ale acestor informaii pentru a prentmpina obinerea lor de ctre adversari, cu intenia de a le folosi mpotriva deintorului autorizat. n consecin, se folosete metoda clasificrii informaiilor pentru a asigura pstrarea secretului. n general, informaiile, orict ar fi de preioase, nu pot fi pstrate o perioad nelimitat de timp fr s fie aflate de adversari. Chiar dac informaiile pot fi pstrate ani muli fr a fi aflate de adversari, nu este, de regul, recomandat s se pstreze perioade ndelungate. Clasificatorii informaiilor sunt cei ce vor hotr dac este cazul s se specifice timpul de pstrare a informaiei clasificate sau s se indice momentul n care va interveni declasificarea automat. Durata informaiilor clasificate trebuie s fie att de scurt ct s nu genereze costuri fr rost cu pstrarea lor. Nici duratele prea scurte nu sunt recomandate, deoarece adversarii ar intra prea devreme n posesia lor i ar putea aciona pentru ubrezirea ntregului sistem de securitate naional. Deci, doar clasificatorul trebuie s aib grija stabilirii duratei de clasificare. Durata clasificrii informaiilor se determin prin una din urmtoarele metode: ca perioad de timp msurat de la data emiterii documentului; n funcie de un eveniment viitor ce poate s apar naintea operaiunii de declasificare; dac data, respectiv evenimentul nu pot fi specificate, atunci documentul coninnd informaii clasificate va fi marcat, pentru a se identifica instituia aflat la originea lui, ce va avea i sarcina declasificrii.

2.3.

Declasifcarea i degradarea informaiilor clasificate

Atunci cnd se realizeaz clasificarea informaiei se au n vedere anumite cerine. Cnd, din diferite cauze, se schimb circumstanele, firesc, i cerinele ndeplinite iniial se modific, caz n care informaiile clasificate se declasific sau trec pe un nivel inferior de clasificare. Declasificarea informaiilor se efectueaz de ctre reprezentani ai guvernului, crora le revine misiunea de declasificare. Trebuie fcut diferena ntre declasificarea informaiilor i declasificarea documentelor sau materialelor. Ultima categorie poate fi efectuat i de ctre contractorii guvernamentali. Degradarea informaiilor clasificate nseamn reducerea nivelului clasificrii. n acest mod, informaiile stric secrete pot fi degradate la nivelul secret sau confidenial. Informaiile secrete pot fi degradate n informaii confideniale, iar cele confideniale pot fi declasificate sau, dac este cazul, ridicate pe un nivel superior.

19

Securitatea sistemelor informatice

Degradarea se efectueaz de ctre persoanele care au clasificat iniial informaiile, de ctre succesorii acestora, efii lor sau s ctre ali oficiali

2.4.

Principiile protejrii informaiilor speciale

Pentru protejarea informaiilor speciale se pot defini zece principii: 1. principiul delimitrii autorizrii - repartizarea informaiilor pe tipuri va consta ntr-o grupare ierarhic plus suma compartimentrilor n care se regsete informaia. Autorizarea unei persoane presupune stabilirea sferei de exercitate a funciei i ea const din autorizarea pe criteriul ierarhic al persoanei plus suma autorizrilor compartimentrilor persoanelor din subordinea sa. 2. principiul securitii simple - nici o persoan, dintr-o anumit subordonare, nu trebuie s vad informaia unei categorii care depete autorizarea sa. 3. principiul stea - nici o persoan nu va scrie ceva pe obiectele dintr-o categorie inferioar celei la care persoana are acces. 4. primul principiu al integritii - nici un program de calculator nu va accept informaii de la un program inferior lui, pe linia privilegiilor; 5. al doilea principiu al integritii - nici un program pentru calculator nu va scrie ceva ntrun program superior lui, prin prisma privilegiilor; 6. principiul etichetrii - fiecare purttor de informaii va fi etichetat clar cu categoria informaiilor coninute, n format accesibil omului i n format sesizabil de ctre echipamentele periferice; 7. principiul clarificrii - nici o persoan sau procedur nu va schimba categoriile existente ale informaiilor i nici autorizrile existente, conform unor proceduri n vigoare; 8. principiul inaccesibilitii - nici o informaie nu va fi lsat la dispoziia altor persoane sau procese, cu excepia celor consemnate prin norme interne; 9. principiul verificabilitii - pentru toate activitile semnificative pe linia securitii se vor crea nregistrri imposibil de ters, cu rolul facilitrii verificrii sistemului. 10. principiul ncrederii n software - ct timp nici un calculator nu poate controla perfect respectarea principiilor anterioare, dar, totui, efectueaz activiti utile, ncrederea n software va permite apariia unor excepii de la regul, dac este cazul. Exist patru moduri de funcionare prin care sistemele de prelucrare automat a datelor pot asigura protecia informaiilor speciale: modul dedicat - toate informaiile prelucrate de sistem fac parte din aceeai categorie, iar persoanele sistemului posed autorizaie de acces la categoria respectiv; modul sistem superior - informaiile prelucrate de sistem pot s aparin unor categorii diferite, dar toate persoanele angajate n aceast operaiune posed autorizaii care s le ofere accesul la nivelul cel mai ridicat al informaiilor prelucrate; modul controlat - un sistem poate prelucra informaii din categorii diverse i persoanele s aib autorizaii diferite, iar sistemul se va baza pe restricii fizice, prin care s se respecte toate principiile securitii informaiilor - operaiune destul de dificil.

20

Cap 2 - Clasificarea informaiilor

Modul securitii stratificate - sistemele prelucreaz informaii aparinnd diverselor categorii, iar personalul, de asemenea, dispune de autorizaii diferite. Conceptul credibilitii componentelor informatice (hardware, software i firmware - softul aflat n memoria ROM) rezolv o astfel de problem a "turnului Babel" al securitii sistemului, asigurndu-se realizarea tuturor principiilor enunate anterior.

2.5.

Protejarea mediilor de stocare a informaiilor

Toate mediile de stocare care conin informaii obinute n urma prelucrrii automate a datelor trebuie s fie catalogate ca documente ale prelucrrii automate a datelor. Acestea pot fi CD-uri, DVD-uri, benzi magnetice, diskete, hardiscuri, circuite electronice etc. Regimul lor de lucru trebuie s fie similar documentelor ce ar conine aceleai date n condiiile prelucrrii tradiionale. Toate materialele intermediare i informaiile obinute n timpul prelucrrii automate a datelor trebuie s fie considerate ca materiale auxiliare. Acestea includ materiale anulate (benzi i discuri magnetice, hrtie tiprit, benzi tuate etc.) i trebuie s fie supuse clasificrilor n funcie de informaiile ce le conin. tergerea informaiilor clasificate este o operaie de importan deosebit. Persoanele care autorizeaz operaiuni de prelucrare automat a datelor trebuie s verifice existena unei fie de securitate, care s conin categoria persoanei executante, categoria informaiilor prelucrate i instruciuni privind statutul informaiilor rezultate. Se vor consemna, de asemenea, date privi nd durata prelucrrii, timpul de utilizare a componentelor bazei de date, generaiile reinute (fiu, tat, bunic) astfel nct s poat fi reconstituit baza de date n caz de avarii, precum i alte cerine pe linia pstrrii copiilor de siguran. 2.5.1. Marcarea materialelor cu regim special Documentele aflate sub regim special trebuie s fie numerotate i nregistrate pentru a se putea ti ce s-a folosit sau ce s-a vzut din ele. Toate documentele obinute din prelucrarea automat a datelor (hrtia de imprimant) trebuie s fie marcate astfel nct s fie vizibil categoria din care fac parte, prin plasarea marcajului n colul din dreapta sus, precum i n partea inferioar a fiecrei pagini, la care se va aduga i numrul de exemplare al fiecrui document. n cazul prelucrrii automate a datelor, un ecran cu informaii este tratat ca o pagin de document, i ncadrarea ntr-o categorie sau alta se va face pe o linie distinct a acestuia. Marcarea n cod main trebuie s se efectueze prin coduri sesizabile de echipamente, astfel nct s rezulte foarte clar din ce categorie fac parte informaiile prelucrate i la ce operaiuni pot fi supuse. Codul trebuie s fie una dintre primele informaii ce vor fi date sistemului, astfel nct s nu fie posibil accesare altor date nainte de a se ti statutul lor. Codul poate fi ultimul caracter al numelui fiierului, iar caracterul folosit s aib valorile: S - special; C - confidenial; P - private; R - cu restricii; N - neclasificate.

21

Securitatea sistemelor informatice

Marcarea fizic se refer la toate suporturile supuse prelucrrii automate a datelor. Marcajul trebuie s reziste n timp i s nu fie afectat sau s afecteze prelucrarea automat a datelor. Marcarea se poate realiza chiar pe suport sau pe ambalajul care-l conine. Suporturile reutilizabile trebuie s fie marcate cu etichete adezive sau creioane ce pot fi terse ulterior. Marcarea suporturilor de hrtie au marcajul prin culori distincte: orange - control special, roz - confidenial, verde - privat, galben - cu restricii, albe - comune. Dac numai o parte a pachetului conine informaii protejate, tot volumul va cpta acelai statut. Marcarea cutiilor i a carcaselor este necesar atunci cnd suporturile de memorare sunt pstrate n astfel de condiii, care n care se impune etichetarea clar a acestora, precum i scrierea fiierelor coninute de suporturile din interior. Marcarea benzilor magnetice se face cu etichete lipite chiar pe band, fr s afecteze prelucrarea datelor. Marcarea pachetelor de discuri se realizeaz cu carioca n mijlocul acestora. Marcarea microfilmelor se face pe prima imagine cadru sau pe cutie, cu carioca. 2.5.2. Pstrarea i distrugerea mediilor de pstrare a informaiilor Mediile pe care pstreaz date supuse prelucrrii automate a datelor i cele auxiliare se pstreaz n camere speciale. Documentele ce conin informaii aflate sub un control special se pstreaz n seifuri sau n locuri protejate prin sisteme speciale. Operaiunea de distrugere trebuie s urmeze proceduri speciale. Cea mai bun cale de distrugere este arderea, folosit, de regul, pentru gunoaie informatice adunate n pungi speciale. La operaia de distrugere vor participa dou persoane, care vor ine un registru special de consemnare a materialelor ce se distrug. Cenua trebuie s fie mprtiat pentru eliminarea oricrei posibiliti de reconstituire a datelor distruse. Transformarea n past este posibil doar pentru reziduurile din hrtie. Frmiarea se aplic pentru hrtie, indigo, band magnetic, microfilme. naintea acestei operaiuni, n cazul benzilor magnetice trebuie tiat ntreaga rol. Procedurile internaionale prevd ca particulele rezultate n urma acestei operaii s nu fie mai mari de 1/32inch (0,0125mm). Procedura de frmiare se aplic, de obicei, naintea arderii. n cazul mediilor magnetice refolosibile, dac acestea de refolosesc n aceeai unitate, noul utilizator trebuie s aib cel puin aceeai autorizare pe linia accesului la informaii ca i precedentul. Dac se utilizeaz n afara unitii emitente, vor fi luate msuri suplimentare i nu se va declara utilizarea anterioar.

2.6.

Clasificarea informaiilor organizaiilor

La nivelul unei organizaii, informaiile se ncadreaz pe mai multe categorii, n acelai mod ca i informaiile naionale. Aceste categorii sunt: Informaii care necesit un control special - sunt acele informaii cunoscute ca fiind strict secrete. La nivelul organizaiei acestea se numesc speciale, i sunt marcate cu S. n aceast categorie intr informaiile i materialele a cror dezvluire ar duce la pierderea a 10% din profitul brut anual.

22

Cap 2 - Clasificarea informaiilor

Informaii confideniale la nivel de unitate, notate cu C, i care corespund informaiilor secrete la nivel naional. Aceast ncadrare se atribuie informaiilor i materialelor a cror compromitere ar duce pa pierderea unui procent din profitul anual net. Informaiile private, notate cu P, cuprind informaiile i materialele a cror compromitere poate prejudicia statutul unei persoane din unitate sau al corporaiei. Informaii de uz intern, notate cu R, nu fac parte din categoriile anterioare, dar prezint restricii n utilizare. Informaii publice, sau informaii neclasificate, sun notate cu N. La nivel guvernamental, orice informaie nencadrat ntr-una din categoriile speciale, sub incidena legii accesului liber la informaiile publice, poate fi publicat de orice organ de pres scris, video sau audio, sub motivaia c "tot ceea ce nu este interzis este permis". La nivelul organizaiilor private, lucrurile stau invers, doar informaiile care sunt specificate "pentru public" pot fi fcute publice, mergndu-se pe principiul "tot ceea ce nu este permis este interzis". Un tratament special l au informaiile solicitate de organismele guvernamentale de la unitile private. 2.6.1. Criterii de clasificare a informaiilor la nivelul organizaiilor Valoarea - constituie criteriul principal de clasificare. Dac o informaie este valoroas pentru o organizaie sau pentru concurenii ei, atunci ea trebuie s fie clasificat. Vrsta - conduce la stabilirea unei valori difereniale. Cu ct vechimea este mai mare, cu att informaiile pierd din valoare. De regul, n domeniul aprrii, informaiile clasificate se declasific dup un anumit numr de ani. Uzura moral - ca i la mijloacele fixe, atunci cnd informaiile sunt nlocuite de altele noi, sau cnd n organizaie s-au produs modificri radicale, vechea clasificare devine perimat i va fi nlocuit cu alta. Asocierea cu persoanele - are influen n procesul de clasificare n funcie de importana persoanelor care reglementeaz regimul datelor personale. 2.6.2. Proceduri de clasificare a informaiilor
f

n procesul de clasificare, trebuie urmrii anumii pai, dup o anumit ordine de prioritate, astfel: identificarea administratorului/custodelui; specificarea criteriilor dup care vor fi clasificate i etichetate informaiile; clasificarea datelor dup proprietar, care devine subiect supus auditrii efectuate de un superior; precizarea i documentarea oricror excepii de la politicile de securitate; precizarea controalelor aplicate fiecrui nivel de clasificare; specificarea procedurilor de declasificare a informaiilor sau pentru transferarea custodiei unei alte entiti; crearea unui program de contientizare la nivel de organizaie despre controalele pe linia clasificrii informaiilor.

23

Securitatea sistemelor informatice

2.6.3. Roluri i responsabiliti n procesul de clasificare a informaiilor Principalele roluri n procesul de clasificare le au proprietarul, utilizatorul sau custodele datelor clasificate. Proprietarul informaiilor poate fi administratorul sau directorul unei organizaii. O astfel de persoan rspunde de averile informaionale ncredinate. Spre deosebire de custode, proprietarul are responsabilitatea final a proteciei datelor i rspunde n faa legii n cazul neachitrii de aceast obligaie. Cu toate acestea, tendina actual este de deplasare n afara unitii, de externalizare, prin semnarea actelor de custodie. Printre responsabilitile unui proprietar se afl: ntreprinde demersuri pentru stabilirea nivelului de clasificare a informaiilor, care nseamn, de fapt, cerinele organizaiei de protejare a acestora; efectueaz verificri periodice ale clasificrilor existente, n vederea adaptrii la cerinele organizaiei; deleg responsabilitatea protejrii datelor ctre un custode specializat i autorizat. Custodele informaiilor este cel care presteaz un serviciu externalizat organizaiei, delegndu-i-se responsabilitile pe linia protejrii informaiilor. Acest rol este ndeplinit de specialiti n tehnologii informaionale. Dintre obligaiile acestuia, amintim: efectueaz copii de siguran periodice i teste de rutin a validitii datelor; efectueaz restaurri de dare din copiile de siguran, cnd este cazul; ntreine datele nregistrate, n concordan cu politicile de clasificare a informaiilor. De multe ori, custodele are i obligaia alctuirii schemei de clasificare a informaiilor, prelund aceste prerogative de la proprietarul lor. Utilizatorul. Un utilizator final este considerat orice persoan, operator, angajat, persoan din afar, care folosete informaiile. El este considerat consumator de date care are nevoie, zilnic, s acceseze informaii pentru a-i duce la ndeplinire obligaiile de serviciu ce i revin. Obligaiile utilizatorilor sunt: de a urma ntocmai procedurile de funcionare, definite prin politicile de securitate ale organizaiei, i s respecte normele publicate privind utilizarea informaiilor; s acorde toat atenia meninerii informaiilor n timpul activitii prestate, dup cum se stipuleaz n politicile de utilizare a informaiilor emise de organizaia proprietar. Ei trebuie s asigure protejarea mpotriva accesului neautorizat la informaiile clasificate; s foloseasc resursele informaionale ale firmei numai n scopul urmrit de aceasta, nu i n scop personal.

24

3. Controlul accesului n sistemele informatice


3.1. Tipuri de control al accesului n sistem
Controlul accesului n sistem este implementat pentru reducerea riscului la care sunt supuse sistemele i pentru reducerea eventualelor pierderi. Controlul poate fi preventiv, detectiv sau corectiv. Controlul preventiv are ca scop prentmpinarea apariiei unor incidente n sistem. Controlul detectiv presupune descoperirea unor apariii ciudate n sistem, iar controlul corectiv este folosit pentru readucerea la normalitate a sistemului dup anumite incidente la care a fost expus. Pentru a putea fi atinse obiectivele enumerate mai sus, controalele pot fi administrative, logice sau tehnice i fizice. Controlul administrativ este exercitat prin politici i proceduri, instruire cu scop de contientizare, verificri generale, verificri la locul de munc, verificarea pe timpul concediilor i o supraveghere exigent. Controlul logic sau tehnic cuprinde restricii la accesarea sistemului i msuri prin care se asigur protecia informaiilor. Din aceast categorie fac parte sistemele de criptare, cardurile de acces, listele de control al accesului i protocoalele de transmisie. Controlul fizic este reprezentat de grzile de paz i protecie, securitatea cldirilor: sisteme de ncuiere a uilor, securizarea camerelor cu servere, protecia cablurilor, separarea atribuiilor de serviciu, i nu n ultimul rnd realizarea copiilor de siguran a fiierelor. Controalele vizeaz responsabilizarea persoanelor care acceseaz informaii sensibile. Responsabilizarea este nfptuit prin mecanisme de control al accesului care necesit, la rndul lor, exercitarea funciilor de identificare, autentificare i auditare. Controalele trebuie s fie n deplin concordan cu politica de securitate a organizaiei, iar procedurile de asigurare au scopul de a demonstra c prin mecanismele de control se implementeaz corect politicile de securitate pentru ntregul ciclu de via a sistemului informaional. 3.1.1. Modele de control al accesului Controlul accesului de ctre un subiect asupra unui obiect presupune stabilirea unor reguli de acces. Aceste reguli pot fi clasificate n trei categorii sau modele: controlul obligatoriu al accesului, controlul discreionar al accesului i controlul nediscreionar al accesului. Controlul obligatoriu al accesului - n acest caz, autorizarea accesului unui subiect la un obiect depinde de etichet, care va specifica nivelul de autorizare al subiectului precum i clasificarea sau senzitivitatea obiectului. Controlul bazat pe reguli de acces este un tip aparte de control obligatoriu al accesului, pentru c el este posibil doar pe baz de reguli i nu doar pe baza identitii subiecilor i obiectelor. (un subiect trebuie s aib i dreptul s acceseze un ob iect anume). Controlul discreionar al accesului - n acest caz subiectul are autoritatea n cadrul unor limite bine stabilite, s specifice obiectele care pot fi accesibile. Se poate

25

Securitatea sistemelor informatice

folosi o list de control al accesului al subiecilor la obiect. Acest tip de acces este folosit n situaii locale, dinamice, n care se las la discreia subiecilor specificarea tipurilor de resurse permise utilizatorilor s le acceseze. Cnd un utilizator, n condiii bine specificate, are dreptul s modifice controlul accesului pentru anumite obiecte, se spun c avem un "control discreionar al accesului direcionat ctre utilizator". Un control bazat pe identitate este un alt tip de control discreionar al accesului care se bazeaz pe identitatea unei persoane. Controlul nediscreionar al accesului - o autoritate central stabilete subiecii care pot s aib acces la anumite obiecte, n funcie de politica de securitate organizaional. Controlul accesului poate s se bazeze pe rolul individual ntr-o organizaie (control bazat pe sarcini). Acest tip de control nu necesit schimbri atunci cnd un rol va fi jucat de o alt persoan. 3.1.2. Forme combinate de control Prin combinarea controlului preventiv i detectiv cu mijloacele celorlalte tipuri de control - administrativ, tehnic (logic) i fizic - se obin urmtoarele combinaii: preventiv - administrativ; preventiv - tehnic; preventiv - fizic: o detectivadministrativ; o detectiv-tehnic; detectiv - fizic. prezint Fig.3.1: Combinarea formelor de control

n figura 3.1 se schematic aceste perechi.

Controlul preventiv - administrativ n acest caz accentul se pune pe mecanismele software care contribuie la atingerea obiectivelor controlului accesului. Aceste mecanisme cuprind politicile i procedurile organizaionale, verificrile de fond nainte de angajare, practicile de ncetare a contractului d e munc n condiii normale i anormale, planificarea plecrilor n concediu, etichetarea sau marcarea materialelor speciale, supravegherea mai exigent, cursuri de instruire n scopul contientizrii importanei securitii, contientizarea modului de comportare precum i procedurile de semnare a contractului n vederea obinerii accesului la sistemul informaional i la reea. Controlul preventiv - tehnic Acest tip de control vizeaz utilizarea tehnologiilor pentru consolidarea politicilor de control al accesului. Controlul tehnic se mai numete i control logic i poate fi realizat prin sistemele de operare, prin aplicaii sau printr-o component suplimentar hard/soft. Dintre aceste controale, fac parte: protocoalele, criptarea, cardurile de acces inteligente, biometria, pachetele software pentru realizarea controlului local sau de la distan, parolele, meniurile , softul de scanare a viruilor etc. Protocoalele, criptarea i cardurile inteligente sunt mecanisme tehnice de protejare a informaiilor i parolelor mpotriva eventualelor deconspirri.

26

Cap. 3 - Controlul accesului n sistemele informatice

Biometria apeleaz la tehnologii precum amprenta digital, a retinei, irisului pentru autentificarea solicitanilor de accesare a resurselor sistemului. Pachetele software ce realizeaz controlul accesului gestioneaz accesul la resursele ce dein informaii aflate pe plan local sau la distan. Controlul preventiv - fizic Aceste msuri de control sunt de tip intuitiv. Ele vizeaz restricionarea accesului fizic n zonele ce conin informaii sensibile ale sistemului. Zonele respective sunt definite printr -un aa zis perimetru de securitate, aflat sub controlul accesului. n aceast categorie intr mprejmuirile cu gard, ecusoanele, uile multiple (dup trecerea printr-o u, aceasta se blocheaz automat, iar la urmtoarea trebuie cunoscut sistemul de deschidere, persoana fiind captiv ntre dou ui - ui capcan), sisteme de intrare pe baz de cartel magnetic, aparatura biometric pentru identificare, serviciul de paz, sisteme de control al mediului, schia cldirii i a cilor de acces, locurile special amenajate pentru depozitarea mediilor de stocare a datelor. Controlul obiectiv - administrativ n parte, acest tip de control se suprapune peste controlul preventiv- administrativ, pentru c acestea pot fi exercitate cu scopul prevenirii posibilelor nclcri ale politicilor de securitate sau pentru detectarea celor n curs. Din aceast categorie fac parte procedurile i politicile de securitate, verificrile de fond, planificarea plecrilor n concediu, marcarea sau etichetarea documentelor speciale, instruiri i cursuri, revizuirea nregistrrilor cu scop de auditare. Controlul detectiv - fizic Acest tip de control urmrete evidenierea violrii politicii de securitate folosind mijloacele tehnice. Aceste msuri se refer la sistemele de detectare a intruilor i la rapoartele privind violrile securitii, generate automat pe baza informaiilor colectate. Rapoartele pot evidenia abaterile de la funcionarea normal sau s detecteze semnturi cunoscute al unor episoade de acces neautorizat. Datorit importanei lor, informaiile folosite n auditare trebuie s fie protejate la cel mai nalt nivel posibil din sistem. Controlul detectiv - fizic Acest tip de control necesit intervenia omului pentru evaluarea parametrilor pe care i ofer senzorii sau camerele video pentru a stabili dac exist un pericol real pentru sistem. n acest caz, controlul se exercit prin camere video, detectoare termice, de fum i de micare.

3.2.

Identificarea i autentificare

n orice sistem de bariere fizice, sistemul de securitate trebuie s discearn care sunt persoanele autorizate, care sunt vizitatori i care sunt categoriile neautorizate. Autentificarea poate fi realizat de corpul de paz, de alte persoane care se ocup de controlarea accesului sau de sisteme automate specializate. Identificarea i autentificarea persoanelor se efectueaz n patru moduri: ceva aflat n posesia persoanei - chei, cartele magnetice, cartele speciale, echipamente de identificare personal i jetoane. Acestea permit un prim pas de accesare a sistemului i exist marele pericol al pierderii lor sau de nstrinare spre utilizarea de ctre alte persoane. ceva care individualizeaz persoana - aceast metod presupune identificarea biometric, care poate fi dat de: amprenta digital, a buzelor, semntura, vocea, forma minii, imaginea retinei, venele de pe faa extern a

27

Securitatea sistemelor informatice

minii, liniile din palm, imaginea feei etc. Toate aceste tehnici sunt foarte scumpe, n comparaie cu cele clasice, i deseori sunt incomode sau neplcute la utilizare. ceva ce persoana tie - o parol, doar c aceasta se afl la discreia oamenilor i securitatea sistemului depinde de modul de pstrare a secretului ei sau de uurina cu care poate fi aflat. locul geografic - unde este nregistrat calculatorul.

Metodele de control al accesului trebuie s se bazeze pe cel puin dou din cele patru enumerate mai sus, de cele mai multe ori se apeleaz la combinaiile cartel- parol, cheieparol, jeton-parol. n ultimul timp se recomand s se foloseasc i un al treilea elemente - cel biometric. 3.2.1. Principiile de baz ale controlului accesului Ca principiu general, simpla posesie a unui element de control al accesului nu trebuie s constituie i proba accesului privilegiat la informaiile importante ale firmei, ntruct el poate fi dobndit i pe ci ilegale dau poate fi contrafcut. Un al doilea principiu arat c atunci cnd valorile patrimoniale sunt deosebit de importante i mecanismul de protecie trebuie s fie pe msur, iar persoanele cu drept de acces s fie ct mai puine. Al treilea principiu, de regul aplicat informaiilor secrete, este acela c nici unei persoane nu trebuie s i se garanteze accesul permanent, gestiunea sau cunoaterea informaiilor secrete numai pe motivul poziiei ierarhice pe care o deine. Fiecare centru de prelucrare automat a datelor cu mai mult de 25 de angajai trebuie s apeleze la sistemul ecusoanelor i la biometrie, ca msuri suplimentare fa de proteciile realizate prin alte metode privind accesul n cldire. Locurile care nu dispun de ui ce pot fi ncuiate trebuie s aib intrrile supravegheate, iar o persoan s rspund de aceast operaiune. Cu acelai scop, poate fu utilizat i televiziunea cu circuit nchis, cu condiia ca o persoan s nu supravegheze mai mult de trei monitoare. Controlul accesului prin obiecte Una din metodele folosite pentru accesul n cldiri sau sli este utilizarea unei cartele de plastic sau a unui jeton, care ofer informaii despre purttor, cum ar fi: numele, adresa, codul cardului, contul bancar, informaii medicale, drepturi de acces. Toate aceste informaii pot fi codificate prin coduri de bar, pelicul magnetic, microprocesor. Unele carduri conin i fotografia titularului. Exist i carduri inteligente care se utilizeaz pentru criptarea i decriptarea datelor, semnarea mesajelor i introducerea de pli electronice. Aceste carduri controleaz accesul n cldire, la locurile de parcare, n sli, la calculator i la alte date personale ale deintorului. Se mai pot folosi i ecusoane active, care realizeaz identificarea prin frecvene radio, sau prun infrarou, putndu-se citi cartele de la civa metri. Majoritatea cartelelor sunt auto-exprinate, cu ajutorul unor tehnologii termice sau a unor vopsele speciale.

28

Cap. 3 - Controlul accesului n sistemele informatice

Controlul accesului prin biometrie Principalele elemente ale corpului uman care se folosesc pentru identificarea individului sunt: recunoaterea feei, amprenta digital, recunoaterea irisului i recunoaterea formei minii. n tabelul 3.1 se prezint o comparaie a celor patru tehnologii biometrice funcie de performane i costuri.

Tabelul 3.1 Compararea principalelor tehnologii biometrice Caracteristici Rata respingerilor eronate Rata acceptrilor eronate Timpul pentru o verificare Mrimea probei culese Preul echipamentelor Factorii care afecteaz probele luate Recunoaterea feei 3,3-70% 0,3-5% 10 sec 84-1300 KB Moderat Lumina, orientarea feei ochelarii Amprenta digital 0,2-36% 0-8% 9-19 sec 250-1000 KB Mic Murdria, degetele deshidratate sau accidentele Recunoaterea irisului 1,9-6% < 1% 12 sec 512 Bytes Mare Vederea slab, ncruntarea, reflexia Forma minii 0-5% 0-2,1% 6-10 sec 9 Bytes Moderat Rni, artrit, umflturi

Controlul accesului prin parole Parolele sunt utilizate pentru a permite accesul la un calculator, fie ca utilizator, fie sub forma grupurilor de utilizatori, fie ca personal al sistemului de prelucrare automat a datelor. Dup identificarea persoanei i eventual oferirea unei cartele de acces, utilizatorul prezint sistemului parola proprie, fie prin tastarea la un terminal fie prin introducerea unei cartele care conine parola. Calculatorul compar parola introdus cu o list aprobat i i permite sau nu utilizatorului accesul i i garanteaz respectarea drepturilor definite la anumite resurse ale sistemului, drepturi care pot fi: execuie - poate lansa n execuie un program, dar nu i se permite s umble la configurarea acestuia, prin adugarea sau modificarea unor linii; citire - poate citi un fiier dar nu mai poate realiza nici o alt operaie; scriere - se pot scrie date n acel fiier, dar far alte drepturi; citire-scriere - se poate citi fiierul i se poate scrie n el; adugare - se pot doar aduga date la fiier, nu se pot modifica datele introduse i nici citi; tergere - d dreptul de a terge date din fiier. Orict de complex ar fi sistemul cu parole, el nu realizeaz i o securitate sigur, ea depinznd de modul de pstrare a integritii parolei. Problema principal a parolelor este alegerea nejudicioas a acestora de ctre utilizatorii lor, i anume: numele unor eroi din filme sau basme, al soiei, a soului sau a copiilor, numrul de nmatriculare etc., toate vulnerabile n faa unor sprgtori calificai. O alt greeal major este notarea parolelor de teama de a nu fi uitate, i lsarea acestor notie la vedere, astfel nct orice poate vedea parola. Parolele trebuie s fie eliberate doar persoanelor autorizate i nu trebuie s fie un proces generalizat dndu-se tuturor celor care dein funcii de conducere n firm; ele trebuie date doar celor care lucreaz cu datele protejate. Parolele pot fi create i de utilizatori pentru datele mai puin importante, dar exist unele probleme des ntlnite, i anume:
29

Securitatea sistemelor informatice

utilizatorii nu-i schimb periodic parolele, iar dac o fac nu aduc modificri importante n structura lor; utilizatorii i pstreaz parolele scrie pe suporturi lsate n vzul tuturor; utilizatorii folosesc nume asocieri nume-cuvinte cunoscute (nume de persoane dragi) ceea ce le face extrem de vulnerabile. Dintre cuvintele utilizate n mod eronat de utilizatori drept parol amintim: PASSWORD, PAROLA, SECRET, SMART, CLEVER, DUMMY, CRAZY, sau chiar GHICI. Deoarece parolele sunt nite chei de acces la valorile proprii, trebuie protejate cu grij, i trebuie respectate cteva reguli de baz la alegerea lor: parolele trebuie schimbate cel puin odat la ase luni, iar pentru datele deosebit de importante i mai des; parolele comune (utilizate de mai muli) trebuie schimbate imediat ce o persoan prsete grupul sau i se retrage dreptul utilizrii ei; parolele se vor schimba imediat ce apare bnuiala cunoaterii ei de ctre persane neautorizate sau dac din motive de for major secretul lor a trebuit dezvluit pentru redresarea unei stri anormale temporare; parolele trebuie s fie memorate i nu scrise pe orice, cu excepia urmtoarelor cazuri: o vor fi scrise pentru situaii de urgen; o fiecare parol scris va fi introdus ntr-un plic sigilat i marcat n exterior cu scurte detalii privind calculatorul la care poate fi folosit i numele celor autorizai a le folosi; o plicul respectiv are tratament asemntor averilor protejate sau al categoriilor de informaii accesate prin parol. Dup ruperea sigiliului, pe plic vor fi trecute data i numele celor care au fcut-o; o plicurile cu parole se pstreaz de ctre responsabilul cu securitatea sistemului i seif. dac parolele duplicat se pstreaz prin intermediul calculatorului, astfel de fiiere trebuie s fie protejate mpotriva accesului neautorizat i create copii de siguran. Accesul la acest fiier trebuie s fie nlesnit doar persoanelor autorizate, respectndu-se principiul "niciodat singur". Listele cu parole vor fi memorate sub form criptat; parolele nu vor fi afiate niciodat pe echipamentele din configuraia sistemului, iar la introducerea lor nu trebuie s se afle persoane strine n preajm; parolele, n cele mai multe cazuri, au cel puin opt caractere. Ele sunt caractere alfa numerice, folosite n ordine aleatoare, ceea ce ar nsemna cteva mii de cuvinte de opt sau mai puine caractere, care pot fi testate cu ajutorul calculatorului, n doar cteva minute, deci sunt suficient de vulnerabile pentru sprgtorii profesioniti; pentru blocarea operaiunilor de ncercare repetat, de ordinul miilor, calculatoarele trebuie s permit un numr limitat de ncercri de introducere a parolelor, de obicei trei. Dac limita este depit de utilizator, intenia este raportat conductorului sistemului sau responsabilului cu securitatea. n acest timp trebuie s se blocheze terminalul de la care s-au efectuat prea multe ncercri nereuite. n cazul sistemelor speciale se recomand i blocarea slii sau a locului de unde s-a ncercat ptrunderea n sistem prin parole eronate repetate, pentru identificarea persoanei respective.

30

Cap. 3 - Controlul accesului n sistemele informatice

odat ptruns n sistem, utilizatorului nu trebuie s i se permit s -i schimbe identitatea cu care a deschis sesiunea i nici s nu poat ptrunde n partiiile alocate altor utilizatori; dac un termina funcioneaz o perioad lung de timp, procesul de autentificare trebuie s aib loc la intervale regulate de timp pentru a se asigura c nu folosete altcineva sistemul. Dac terminalul rmne neutilizat dar deschis, el trebuie s se nchid automat dup un anumit interval de timp (10 minute); la deschiderea unei noi sesiuni de lucru, utilizatorului trebuie s i se aduc la cunotin ultimul timp de accesare a sistemului cu parola respectiv, pentru a verifica dac altcineva a folosit-o ntre timp.

Pentru prentmpinarea unor aspecte vulnerabile din sistemul de protecie prin parole, se recomand aplecarea la un sistem special sau la o dovad de recunoatere a utilizatorului. Acestea pot fi: o cheie de descuiere a consolei, o cartel magnetic cu microprocesor. Costul foarte ridicat, reduce utilizarea acestui sistem. Accesului n sistem prin controlul poziiei geografice Autentificarea pe baz de localizare geografic este o metod de autentificare a entitilor din spaiul cibernetic bazat pe localizarea geodezic (latitudine, longitudine i altitudine a unui loc geografic bine definit). Acest lucru va avea ca efect delimitarea poriunii din spaiu cibernetic de unde se declaneaz un anumit eveniment. Aceast autentificare se face pe baza sistemului GPS i a unui senzor SSL (senzor al semnturii locale) aflat n posesia utilizatorului. Caracteristicile principale ale autentificrii geodezice sunt: asigur o protecie continu mpotriva celor ru intenionai aflai la distan; semntura locaiei poate fi folosit ca un mijloc comun de autentificare; prin cunoaterea poziie unui utilizator, se poate identifica uor un intrus, dar se pot oferi i probe c o persoan nu a fost n locaia respectiv n momentul svririi unei infraciuni. O asemenea protecie este recomandat site-urilor fixe. Ca dezavantaj al autentificrii geodezice se menioneaz: refuzul serviciului (accesului la sistem) n cazul bruierii semnalului sau al furtului senzorului; uurina n localizarea unei persoane n caz de rzboi informaional, de aici rezult c accesul la datele geodezice trebuie s fie restricionat.

31

4. Criptografia
4.1. Definiii i noiuni de baz
Scopul criptografiei este de a proteja informaiile transmise far s poat fi citite i nelese dect de ctre persoanele crora le sunt adresate. Teoretic, persoanele neautorizate le pot citi, ns practic, citirea unei comunicaii criptate este doar o problem de timp - egal cu timpul aferent necesar persoanei neautorizate de a decripta mesajul citit. Algoritmul criptografic este o procedur pas-cu-pas utilizat pentru cifrarea unui text clar i descifrarea textelor cifrate. Cheia sau variabila de criptare este o informaie sau o secven prin care se controleaz cifrarea i descifrarea mesajului. Cifrarea este o transformare criptografic a unor caractere sau bii. Criptograma sau textul cifrat reprezint un mesaj neinteligibil Cifrul bloc se obine prin separarea textului iniial n blocuri de cte n caractere fiecare (bii) i aplicarea unui algoritm i a unei chei identice, k, pentru fiecare bloc. Codurile sunt o transformare care opereaz la nivelul cuvintelor sau frazelor. Criptanaliza este actul obinerii textului clar sau a cheii din textul cifrat, care este folosit pentru obinerea informaiilor necesare acestui scop. Criptarea nseamn realizarea formei neinteligibile a unui mesaj pentru a nu fi utilizat de persoanele neautorizate s-l acceseze. Criptarea end-to-end - n acest caz informaiile criptate sunt transmise din punctul de origine la destinaia final. Cheie simetric - att expeditorul ct i destinatarul folosesc aceeai cheie de criptare. Cheie asimetric - expeditorul i destinatarul folosesc chei de criptare diferite. Criptarea nlnuit - mesajul circul prin mai multe noduri ntre expeditor i destinatar. Un nod intermediar primete mesajul, l decripteaz cu aceeai cheie cu care a fost cripta, l recripteaz cu o alt cheie i l trimite la urmtorul nod unde procesul se repet pn cnd mesajul ajunge la destinatar. Criptografia este arta i tiina ascunderii semnificaiei unei comunicri mpotriva unor interceptri neautorizate. Cuvntul vine din limba greac, care nseamn criere ascuns: kryptos graphein. Criptologia reunete criptografia i criptanaliza. Decriptarea este procesul prin care un text cifrat este transformat ntr-un mesaj inteligibil. Sistemul de criptare este un set de transformri din spaiul mesajului clar la cel al textului cifrat. Steganografia este o form de comunicare secret prin care se ncearc ascunderea mesajului secret ntr-o imagine digital. Textul clar este forma inteligibil de prezentare a unui mesaj, astfel nct el s fie accesibil oricui.

32

Cap. 4 - Criptografia

4.1.1. Tehnici utilizate n criptografie n prezent exist dou tipuri principale de tehnici utilizate n criptografie, i anume: criptografia prin cheie simetrice (chei secrete sau chei private) i, criptografia prin chei asimetrice (chei publice). n cazul cheii simetrice, att expeditorul ct i destinatarul mesajului folosesc o cheie comun secret. n cazul cheii asimetrice, expeditorul i destinatarul folosesc n comun o cheie public i, individual, cte o cheie privat.

Substituia Cea mai simpl metod de criptare, prin substituie, este cunoscut n zilele noastre sub denumirea de cifrul lui Cezar, dup numele mpratului roman care a inventat-o. n acest cifru, caracterele mesajului i numrul de repetiii ale cheii sunt nsumate laolalt, modulo 26. n adunarea modulo 26, literelor alfabetului latin, de la A la Z, li se dau valori de la 0 la 25 (vezi tabelul 4.1). Pentru cheie trebuie s se ofere doi parametri: D - numrul literelor ce se repet, reprezentnd chei; K - cu rol de cheie.

Tabelul 4.1 Corespon( enta litere-numere Litera A B C D E F G H I J K L M N O P Q R S T U V W X Y Z Numr 0 1 2 3 4 5 6 7 8 9 10 n| 12 1 1 1 1 1 1 1 20 2 22 23 24 25 3 4 5 6 7 8 9 1


O

Pentru a nelege modul de funcionare, s presupunem c D=3 i K = BEC, iar mesajul secret este "PAROLA MEA". Atribuind valori numerice mesajului, din tabelul valorii literelor, avem: P A R O L A M E A 15 0 17 14 11 0 12 4 0 Valorile numerice ale cheii sunt: BEC=142 Dup aceste corespondene, cheia criptat 142 se adaug literelor mesajului, astfel: Cheia reperat Mesajul Echivalentul numeric al textului criptat Textul criptat 1 15 16 Q 4 0 4 E 2 17 19 T 1 14 15 P 4 11 15 P 2 0 2 C 1 12 13 N 4 4 8 I 2 0 2 C

Convertirea numerelor n literele aferente alfabetului conduce la textul criptat, aa cum se vede mai sus: "QETPPC NIC" n cazul cifrului lui Cezar, D = 1 i cheia este D (3), adic fiecare liter este nlocuit de a treia liter de dup ea din alfabet - literele sunt deplasate la dreapta cu trei poziii, (A cu D, B cu E .a.m.d.). Criptnd mesajul dat n exemplul anterior cu cifrul lui Cezar, obinem:

Securitatea sistemelor informatice

Cheia reperat Mesajul Echivalentul numeric al textului criptat Textul criptat

3 15 18 S

3 0 3 D

3 17 20 U

3 14 17 R

3 11 14 O

3 0 3 D

3 12 15 P

3 4 7 H

3 0 3 D

Dac sumele valorilor cheii i ale numrului aferent literelor sunt mai mari sau egale cu 26, se determin modulo 26 din sum, adic rezultatul final este obinut prin scderea din sum a numrului 26. Exemplu: D=3, K=PIC, mesajul este SECRET, rezultatul va fi: - valorile numerice atribuie mesajului: SECRET 18 4 2 17 4 19 - valorile numerice ale cheii sunt: P I C = 15 8 2 Cheia reperat Mesajul Echivalentul numeric al textului criptat criptat Textul 15 18 33 i8 II 8 4 12 M 2 2 4 E 15 17 32 i9I J 8 4 12 M 2 19 21 V

Valorile 32 i 33 nu au echivalent n alfabetul latin, caz n care se calculeaz modulo 26 din 32 i 33, rezultnd valorile 8 i 9, iar noul echivalent numeric al textului criptate este 8 12 4 9 12 21, iar textul criptat este: IMEJMV. Cifrurile de mai sus pot fi descrise prin ecuaia general: C = (M + b)mod N unde: b = un numr ntreg fix; N = numrul literelor din alfabet (26 pentru alfabetul latin); M = mesajul textului clar n forma numeric; C = textul criptat scris n forma numeric. Cifrul lui Cezar, bazndu-se pe substituia simpl sau monoalfabetic este uor de spart, pentru c un caracter este nlocuit de altul i aceast schimbare este valabil n tot textul, iar analiza frecvenelor de apariie a literelor din textele scrise ne va conduce la caracterele adevrate ale textului. Cifrurile polimorfice sunt realizate prin apelarea la cifruri bazate pe substituia multipl. De exemplu, dac se folosesc trei alfabete pentru substituie, definite de cel ce intenioneaz s cripteze, prima liter din textul clar este nlocuit cu prima liter din primul alfabet, a doua liter a textului clar este nlocuit cu prima liter din al doilea alfabet, a treia liter a textului clar este nlocuit cu prima liter din al doilea alfabet, a patra liter din textul clar este nlocuit de a doua liter din primul alfabet .a.m.d.

34

Cap. 4 - Criptografia

4.1.2. Permutarea sau transpoziia Prin aceast metod n loc s se nlocuiasc un caracter cu un altul, se nlocuiete ordinea caracterelor. Astfel, se elimin posibilitatea de descifrare a mesajului prin analiza frecvenei de apariie a caracterelor. Totodat, cheia pentru un asemenea cifru nu este standard, n loc de o list a substituirilor se va folosi o schem a ordinii. De exemplu, dac ordinea ntr-un cuvnt clar este 1,2,3,4,5, ntr-un text criptat prin transpoziie ordinea poate fi 5,4,1,2,3. de exemplu, cuvntul parola poate fi scris RALOPA. Permutrile unui astfel de ciclu acioneaz ntr-o matrice bloc, ceea ce nseamn c va fi o matrice de tip "patul lui Procust", n care tot ceea ce nu ncape pe o linie se va alinia n cea urmtoare .a.m.d. De exemplu mesajul CITESTE SI DA MAI DEPARTE, ntr-o matrice cu cinci coloane devine:
CITES TESID AMAID EPART E

n aceast variant, citindu-se n ordinea liniilor, mesajul criptat va fi:


CITES TESID AMAID EPART E

Dac se va lucra la coloane, prin folosirea transpoziiei controlate prin chei, rezult altceva. De exemplu, dac asupra coloanelor se aplic regula 1,2,3,4,5 = 5,3, 1,4,2 - exemplul anterior devine:
E AMAID CITES EPART TESID

de unde rezult c textul criptat i citit pe linie va fi:


E AMAID CITES EPART TESID

Aceleai reguli se pot aplica asupra coloanelor sau asupra liniilor i coloanelor. Combinarea transpoziiei cu substituia poate s conduc la variante aproape imposibil de spart.

4.1.3. Cifrul lui Vernam Cifrul lui Vernam const ntr-o cheie constituit dintr-un ir se caractere aleatoare nerepetitive. Fiecare liter a cheii se adaug modulo 26 la o liter a mesajului clar. n aceast variant, fiecare liter a cheii se folosete o singur dat pentru un singur mesaj i nu va mai putea fi folosit niciodat. Lungimea irului de caractere a cheii este egal cu lungimea mesajului. Metoda este foarte util pentru criptarea mesajelor scurte. Exemplu: criptarea mesajului: LA MULTI ANI

35

Securitatea sistemelor informatice

LAMULTIANI Mesaj clar Cheie Vernam VIDAGTSROL Suma aparent Modulo 26 din sum Textul criptat

11 21 32 6 G

0 8 8 8 I

12 3 15 15 P

20 0 20 20 U

11 6 17 17 R

19 19 38 12 M

9 18 27 1 B

0 17 17 17 R

13 14 27 1 B

8 11 19 19 T

Cifrul carte Acest tip de cifru apeleaz la diverse surse, de obicei o carte, pentru a cripta un text. Cheia, cunoscut de expeditor i destinatar, poate fi format din pagina crii i numrul rndului de pe pagina n care se afl textul. Codurile Codurile sunt folosite pentru a transmite construcii predefinite din anumite domenii. (cum se foloseau la pagere). De regul, sunt dou rnduri de cri, una conine semnificaia n clar a mesajelor n ordinea alfabetic i codul corespunztor, cealalt conine ordinea cresctoare a codurilor i n dreptul lor semnificaia n clar.

4.1.4. Ascunderea informaiilor Ascunderea informaiilor se practic din cele mai vechi timpuri, iar n zilele noastre mesajele secrete pot fi ascunse n fiiere audio MP3, n fiiere video, imagini sau n instruciunile executabile ale unui program.

4.1.4.1. Steganografia Steganografia este arta ascunderii existenei unui mesaj pe un anumit suport. Termenul vine din cuvintele greceti steganos care nseamn acoperit i graphien - a scrie. Prin Steganografia se exprim interesul pentru confidenialitate, deoarece scopul ei este de a include mesaje ntr-un anumit mediu astfel nct s rmn insesizabil. n prezent, o tehnic frecvent utilizat este ascunderea mesajului printre biii imaginilor digitale. Imaginile sunt reprezentate printr-o form matriceal de pixeli (picture x elements), nsemnnd puncte din care se realizeaz imaginea. O imagine "modest" poate avea 400^300 pixeli. Fiecare pixel este codificat printr-o secven de bii care stabilete culoarea. Cea mai simpl form de codificare este sistemul RBG (red blue, green) prin 24 de bii, adic cte 8 bii pentru fiecare culoare. Cei 8 bii determin realizarea a 256 de variante, prin combinarea lor rezult aproximativ 17 milioane de nuane de culori. Unora dintre bii li se poate da o alt destinaie, pentru a codifica mesaje, fr a fie afectat semnificativ calitatea imaginii. Ultimul bit, cel mai din dreapta, nu are un rol semnificativ n stabilirea culorii, el schimb culoarea cu un spectru, echivalent cu modificarea orei cu o secund (ct reprezint o secund dintr-o or ?). Biii succesivi ai mesajului vor fi plasai pe poziia biilor cel mai puin semnificativi ai octeilor, fr a fi afectat semnificativ imaginea. Fcnd un calcul simplu, pentru o imagine de 400^300 pixeli, fiecare cu cte trei octei, de la care se pot mprumuta 3 bii, rezult 400^300^3 = 360.000 bii alocai pentru mesajul nostru secret. Un caracter poate fi scris pe 8 bii, deci 360.000 / 8 = 45.000 de caractere poate avea mesajul nostru.

36

Cap. 4 - Criptografia

4.1.4.2. Filigranarea Un filigran este un model distinct ncapsulat ntr-un document, imagine, video sau audio de ctre cel care se afl la originea datelor. Filigranul poate avea cteva scopuri, printre care: indicarea proprietarilor datelor; inerea evidenei copiilor datelor; verificarea integritii datelor.
Filigranele folosite n bancnote au scopul de a ntri ncrederea posesorilor c se afl n faa banilor originali i nu a unora contrafcui, scopul fiind de securizare mpotriva falsificrii. Un filigran poate fi invizibil cu ochiul liber sau insesizabil de ureche, dar exist mijloace de detectare i extragere a lui pentru a se verifica autenticitatea datelor sau sursa lor. Datele filigranate sunt o funcie a unui identificator i/sau cheie care este unic pentru autor. Aceste valori sunt necesare pentru detectarea sau extragerea filigranului. Dac mai multe copii ale datelor surs au fost filigranate separat, fiecare ele va fi prelucrat cu o cheie proprie, deci fiecare copie are amprenta ei. Prin inerea evidenei fiecrei chei folosite pentru fiecare beneficiar este uor de urmrit cine a nclcat drepturile de autor. Filigranele pot fi de dou tipuri: fragile sau solide. Filigranele fragile sunt mai uor de schimbat, dar sunt folosite doar pentru a vedea dac datele au fost schimbate, n timp ce filigranele solide rezist tuturor manipulrilor i manevrelor la care sunt supuse. Filigranarea este similar cu steganografia i se bazeaz pe tehnici de proiectare apropiate. n spaiul cibernetic, filigranele sunt folosite pentru stabilirea nclcrii dreptur ilor de autor. Digimarc Technologies 1 are un produs pentru protejarea imaginilor puse de proprietar n site-ul propriu. Deintorii copyright-ului insereaz filigranul lor, folosind PhotoShop de la Adobe, sau un alt editor de imagine care nglobeaz tehnologia Digimarc. Cnd receptorul folosete acelai editor pentru vizualizarea imaginilor va fi afiat simbolul de copyright al autorului. Prin selectarea simbolului se realizeaz legtura cu Digimarc, de unde vor afla cine este deintorul dreptului de autor. De asemenea, Digimarc are un motor de cutare, MarcSpider, care caut imagini filigranate furate de la autorii lor. n domeniul pirateriei muzicii, firma Aris Technologies Inc 2 a realizat aplicaia MusiCode, care ncapsuleaz informaii surs (titlul, artistul, compania de nregistrare) n fiierul audio. Softul este folosit pe Internet ntr-un motor de cutare care combate piraii de melodii.

4.1.4.3.

Securitatea n domeniul tipriturilor

n categoria securizrii produselor tiprite intr o gam larg de produse, printre care , cele mai importante sunt: banii, documente oficiale ale guvernelor, componente de avioane sau calculatoare, pn la igri, buturi alcoolice sau rcoritoare etc.

2 id.com

www.digimarc.com i www.digimarcwww.aris-techni.fr/
37

Securitatea sistemelor informatice

Majoritatea produselor de securizare nu au pretenia c vor putea stopa pirateria, sau falsificarea, dar scopul acestora este a dovedi nclcarea unor nome comerciale i juridice. Se consider c n cazul bancnotelor false, exist trei nivele de verificare prin care falsurile pot sau nu s treac. Acestea sunt: nivelul primare de verificare - realizat de persoanele neinstruite sau cu puin experien n actele de vnzare-cumprare; nivelul secundar de verificare - exercitat de personal competent i motivat, operatorii de la ghieele bncilor sau inspectorii calificai ai produselor industriale marcate cu etichete i/sau timbre fiscale. Acetia dispun de echipamente speciale (lmpile cu ultraviolete, creioane cu reactivi chimici, scannere sau PC-uri specializate). Aceste echipamente nu pot fi prea numeroase i nici prea costisitoare, iar falsificatorii le cunosc capacitile; nivelul trei de verificare - efectuat n laboratoarele speciale ale productorilor de elemente de securitate pentru bncile ce realizeaz emisiuni monetare. Aceste echipamente sunt foarte scumpe i destul de rare, dar nu pot da rateuri. Ele se folosesc doar n cazuri speciale. Documentele speciale, hrtiile de valoare folosesc, de regul, urmtoarele produse de tiprire: intaglio sau gravura cu acizi - se utilizeaz pentru fixarea cu mare for a cernelii pe hrtie. Aceasta tehnic produce o imprimare n relief cu o mare rezoluie - se utilizeaz la tiprirea banilor i a paapoartelor; liter presat - cerneala este depus prin rularea caracterelor n relief i presarea hrtiei pe care se realizeaz tiprirea, astfel nct s rmn urmele presrii. Tehnica se folosete pentru imprimarea numerelor ce indic valoarea bancnotelor. procesarea simultan - este tehnica prin care cerneala se transfer simultan pe ambele fee ale bancnotei, ceea ce duce o suprapunere perfect a tipririi; tampilele de cauciuc - se folosesc pentru andosarea documentelor sau pentru tampilarea fotografiilor pe documente; gofrarea i laminarea - adic scrierea n relief i laminarea se folosesc pentru marcarea caracterelor pe carduri i fixarea fotografiilor, scumpindu-se astfel costurile contrafacerii. Gofrarea se realizeaz fie fizic sau cu ajutorul laserului pentru fixarea fotografiilor pe documentele de identificare. filigranele - sunt zone transparente sau marcate cu materiale speciale pentru protejarea hrtiilor de valoare. Se pot utiliza i fire fluorescente.

Dintre tehnicile cele mai moderne de securizare a documentelor se enumr: cernelurile schimbtoare optic - i pot schimba culoarea (de la verde la galben) funcie de unghiul sub care este privit documentul. Tehnica se mai numete "gt de roi" sau "gu de porumbel". cerneala cu proprieti magnetice sau fotoacustice imprimarea unor semne vizibile doar cu echipamente speciale microtiprirea, tiprirea cu cerneluri ultraviolete, infraroii sau magnetice.

38

Cap. 4 - Criptografia

firele sau foile metalice - fire cu irizri simple, holograme (realizat optic i reprezint obiecte ntregi pe un plan ndeprtat) sau kinegramele (realizate pe calculator, ofer imagini diferite funcie de unghiul de privire). marca digital a copyright-ului - este recunoscut de copiatoare i scanere, care se opresc la ntlnirea ei, mpiedicnd reproducerile ilegale. unicitatea - este asigurat prin dispunere aleatoare de fibr magnetic pe hrtie.

n ceea ce privete realizarea elementelor de securitate a elementelor tiprite, trebuie s se in cont i de urmtoarele: elementele de securitate trebuie s spun ceva, s fie purttoare ale unui mesaj reprezentativ pentru produs. trebuie s-i gseasc locul potrivit, s se ncadreze n mod firesc n ansamblul documentului, astfel nct fixarea n mintea utilizatorului s fie natural. efectul lor trebuie s fie evident, distinct i inteligibil. nu trebuie s intre n concuren cu alte produse realizate ct de ct similar, pentru a nu da curs imitrilor sau confuziilor. trebuie s fie standardizate. n cazul bancnotelor, sunt necesare 20 de elemente de securizare care nu sunt mediatizate. Doar cteva dintre ele sunt aduse la cunotina inspectorilor de specialitate, dar cu timpul acestea sunt aflate i de falsificatori. Dup un timp mai ndelungat se afl aproape toate cele 20 de elemente de siguran, moment n care bancnotele sunt retrase i sunt nlocuite cu un alt model.

4.2.

Sisteme de criptare prin chei simetrice (private)

Acest tip e criptografie apeleaz la o singur cheie att la expeditor ct i la destinatar. Expeditorul (emitorul) cripteaz textul clar cu ajutorul unei chei secrete, iar destinatarul (receptorul) l va decripta cu aceeai cheie. Reuita criptrii este dat de secretizarea cheii. Ideal ar fi ca o cheie simetric s se foloseasc o singur dat. Un sistem de criptare prin cheie secret are n structura sa informaie public i informaie privat. Informaia public cuprinde: un algoritm folosit pentru criptarea textului clar n mesaj criptat; posibil, un exemplar al textului clar i textul criptat corespunztor; posibil, o variant criptat a textului clar care a fost aleas de ctre un receptor neintenionat. Informaia privat poate fi: cheia sau variabila de criptare; o anumit transformare criptografic dintr-o mulime de transformri posibile. Succesul sistemului se bazeaz pe dimensiunea cheii. Dac are mai mult de 128 bii este una destul de sigur, deci sigur n exploatare. Ea se adaug la rapiditatea cu care se efe ctueaz criptarea i volumul mare de date asupra crora poate opera.

39

Securitatea sistemelor informatice

Cele trei caracteristici eseniale ale sistemelor bazate pe chei simetrice sunt: siguran; rapiditate; volum mare de date criptate. Singura problem a sistemului const n folosirea n comun a cheii de criptare de ctre emitor i receptor, ceea ce nseamn c emitorul trebuie s foloseasc o palet larg de chei pentru o mare diversitate a utilizatorilor. Sistemele bazate pe chei publice nu ofer mecanismele necesare autentificrii i nerepudierii.

4.3.

Sisteme de criptare prin chei asimetrice (publice)

Spre deosebire de sistemele de criptare bazate pe chei secrete, care presupun o singur cheie cunoscut de emitor i receptor, sistemele bazate pe chei publice folosesc dou chei: una public i una privat. Cheia public este pus la dispoziia oricrei persoane care dorete s trimit un mesaj criptate; Cheia privat este utilizat pentru decriptarea mesajului, iar nevoia de a face schimb de chei secrete este eliminat. Funcionarea sistemului: cheia public nu poate decripta un mesaj criptat; se recomand ca o cheie privat s nu derive dintr-o cheie public; un mesaj care a fost criptat printr-o anumit cheie poate fi decriptat cu alt cheie; cheia privat nu este fcut public. Criptografia prin chei publice este posibil n aplicaiile care funcioneaz ntr - un singur sens. O funcie n sens unic este aceea care este uor de calculat ntr-o direcie, dar dificil de calculat n sens invers. Pentru o asemenea funcie, y = f(x), este simplu de calculat valoarea lui y dac se tie x, dar este foarte greu s-l determinm pe x dac-l cunoatem pe y (de ex. cartea telefonic, dac tim un numr de telefon, este foarte greu s gsim persoana). Pentru ca funciile cu sens unic s fie utile, ele trebuie s aib o trap, adic un mecanism secret care s permit realizarea cu uurin a funciei inverse, astfel nct s se poat obine x dac se tie y. n contextul criptografiei bazate pe chei publice este foarte dificil s se calculeze cheia privat din cheia public dac nu se tie trapa. De-a lungul anilor sa-au dezvoltat mai muli algoritmi pentru cheile publice. Unii dintre ei se folosesc pentru semntura digital, pentru criptare sau n ambele scopuri. Din cauza calculelor numeroase solicitate de criptarea prin chei publice, aceasta este de la 1000 la 10.000 ori mai lent dect criptarea prin chei secrete, au aprut metode hibride, care folosesc criptografia prin chei publice pentru transmiterea sigur a cheilor secrete utilizate n criptografia prin chei simetrice. Dintre algoritmii importani ai cheilor publice, amintim Diffie-Hellman, RSA, El Gamal Knapsak i curba eliptic,.

40

Cap. 4 - Criptografia

4.3.1. Semntura digital Inventarea criptografiei prin chei publice a adus dou mutaii importante. Prima permite transmiterea unui secret ctre o alt persoan fr s fie nevoie de o a treia persoan de ncredere sau de un canal de comunicaie off-line pentru a transmite cheia secret. A doua mutaie s-a produs pe planul calculrii semnturii digitale. Definiie: O semntur digital este un bloc de date (cifre binare) ce se ataeaz unui mesaj sau document pentru a ntri ncrederea unei alte persoane sau entiti, legndu-le de un anumit emitor. Legtura este realizat astfel nct semntura digital poate fi verificat de receptor sau de o ter persoan i nu se poate spune d a fost uitat. Dac doar o cifr binar nu corespunde, semntura va fi respins n procesul de validare. Semntura digital stabilete autenticitatea sursei mesajului. Dac o persoan nu-i divulg cheia personal privat nimeni nu poate s-i imite semntura. O semntura privat nu nseamn i recunoaterea dreptului de proprietate asupra textului transmis, ci ea atest faptul c persoana semnatar a avut acces la el i l a semnat. Atunci cnd semnarea este cuplat cu crearea documentului, semntura digital poate oferi o prob evident a originii documentului. n aceast categorie intr fotografiile fcute cu camere digitale bazate pe chei private, caz n care proba este de necontestat. Procedeul este folosit cnd se dorete realizarea proteciei mpotriva manipulrii imaginilor cu calculatorul. n acelai mod pot lucra i camerele video sau ali senzori care-i pot semna ieirea pentru a-i certifica originea. Dei semntura digital este implementat prin sistemul criptografiei cu chei publice, n cazul acesteia componenta privat este folosit pentru semnarea mesajelor n timp ce componenta public este folosit pentru a verifica semntura. Iat care este mecanismul realizrii semnturii digitale: Dac (A) vrea s semneze un mesaj, va calcula o valoare rezumat a mesajului, care este determinat printre-o funcie public de dispersie (hashing). n acest moment nu se folosesc chei. n pasul urmtor (A) va utiliza o cheie privat pentru semntur KS Apriv. pentru a calcula o transformare criptografic a valorii rezumat a mesajului. Rezultatul, care este semntura sa pe mesaj, se ataeaz mesajului. Din acest moment, mesajul poate fi transmis unei alte persoane, de exemplu (B), sau poate fi stocat ntr-un fiier. Cnd (B) primete mesajul, valideaz semntura lui (A) cu ajutorul cheii ei publice pentru semnturi KSApubl, ce va fi folosit ca intrare ntr-o funcie criptografic prin care se va testa dac valoarea rezumat determinar de (B) este aceeai cu valoarea codificat prin semntura lui (A). Dac valoarea coincide, (B) va accepta semntura. De remarcat c nici o cheie a lui (B) nu a fost utilizat n procesul de validare a semnturii transmise de (A), ci doar cheile lui (A). Dac (A) transmite cheia unui mesaj secret ctre (B), va folosi doar cheile lui (B). Dac (A) dorete s trimit un mesaj, semnat i criptat, ctre B, procesul presupune utilizarea cheilor pentru semnturi ale lui A (KSApriv i KSApub), a cheilor lui B de criptare (KBpub) i o cheie a mesajului, K. n sintez, procesul este urmtorul: (A) genereaz o cheie aleatoare a mesajului, K. (A) cripteaz mesajul M cu cheia K, obinnd mesajul criptat MC; (A) cripteaz cheia K folosind cheia public a lui (B) de criptare K Bpub, rezultnd cheia criptat KC;

41

Securitatea sistemelor informatice

(A) realizeaz o semntur S folosind cheia sa privat pentru semntur KS Apriv.; (A) trimite ctre (B) urmtoarele: KS, MC i S; (B) folosete cheia sa privat de criptare, KBpriv, pentru a decripta KC i a obine cheia K; (B) folosete K pentru decriptarea MC i obine textul clar M; (B) folosete cheia public pentru semntur a lui (A), KS Apub, pentru validarea semnturii S.

Tot acest proces este utilizat de procesul de criptare a e-mail-urilor, aa c (A) i (B) nu vor efectua manual operaiunile de mai sus, ci le va face calculatorul. Pentru a dispune de aceste servicii este necesar contactarea unor firme specializate, de exemplu Verisign (www.verisign.com). Oricum este necesar obinerea unui ID digital 3. 4.3.2. Sisteme de certificare a cheilor publice Un sistem criptografic bazat pe chei publice poate fi compromis de o persoan (A) care transmite o cheie public altei persoane (B) ctre un alt partener (C). n acest caz (C) va folosi cheia public a lui (B) pentru a cripta mesajul, cu intenia de a ajunge napoi la (B), numai c (A), folosindu-i propria cheie privat, va face ca receptorul s fie el, reuind astfel s decripteze mesajul care era adresat lui (B). Pentru a evita o astfel de ciudenie, se recurge la procesul certificrii, prin care persoanele sunt legate de cheile lor publice. Documentul oferit de o "Autoritate de Certificare" acioneaz ca orice alt emis de un notar i se efectueaz dup aceleai reguli, adic pe baza verificrii identitii persoanei solicitante, concretizndu-se prin atribuirea unei chei publice pentru persoana respectiv. Unitatea de certificare semneaz certificatul cu propria cheie privat. Din aceast cauz, persoana este verificat ca emitor dac este necesar cheia ei public pentru deschiderea sesiunii de transmitere a mesajelor criptate i/sau a semnturilor electronice. Certificatul conine numele subiectului, cheia lui public, numele autoritii de certificare, perioada de valabilitate a certificatului. Pentru a verifica semntura autoritii de certificare, cheia ei public trebuie s fie verificat ncruciat cu o alt autoritate de certificare. Certificatele sunt pstrate ntr-un Registru, alturi de lista certificatelor revocate. n principiu, operaiile pentru obinerea certificatelor digitale i validarea tranzaciilor sunt redate n figura 4.1:

Fig. 4.1: Prezentarea unei tranzacii cu certificate digitale.


3

cadrul legal de utilizare a semnturii electronice n Romnia se gsete la www.legi- internet.ro/lgsemel.htm


42

Cap. 4 - Criptografia

4.3.3. Infrastructura cheilor publice (PKI) Infrastructura cheilor publice (PKI - Public Key Infrastructure) i propune s rezolve probleme manageriale din domeniul cheilor publice, integrnd semnturi i certificate digitale cu o mare diversitate de alte servicii specifice comerului electronic, prin care se solicit oferirea integritii, controlului accesului, confidenialitii, autentificrii i a nerepudierii tranzaciilor electronice. Infrastructura cheilor publice cuprinde certificatele digitale, autoritile de certificare, autoritile de nregistrare, politici i proceduri cu chei publice, revocarea certificatelor, nerepudierea, marcarea timpului, certificarea ncruciat, aplicaii de securitate, LDAP (Lightweight Directory Acces Protocol). Certificatele cheilor publice pot fi eliberate n regim on-line sau off-line. n sistem offline, o persoan trebuie s se legitimeze cu un act de identitate. n varianta on-line, certificatele se pot oferi ca rspuns al unei cereri formulate prin e-mail sau direct de pe un site specializat. Compania Verising ofer trei clase de certificate personale, numite ID digital, toate legate de e-mail: clasa 1 de certificate - verific adresa de e-mail a utilizatorului, fr s solicite alte elemente de autentificare. Dup exprimarea interesului pentru un certificat, sistemul trimite o confirmare cu un PIN pe adresa de e-amil a persoanei. Utilizatorul se ntoarce la site-ul anterior (al companiei) i ofer PIN-ul, dup care este generat un ID digital i se memoreaz n calculatorul utilizatorului. clasa 2 de certificare - cere utilizatorului s mai introduc i Social Security Number, adresa i seria carnetului de ofer; clasa 3 de certificare - este destinat companiilor ce public software, oferindu-le un grad mult mai mare de securitate, dar exist i o variant pentru persoane fizice ocupate cu transferuri bancare i contracte.

43

5. Modele i programe de securitate


5.1. Modele de securitate multinivel

Din punct de vedere al securitii, un sistem este divizat n straturi, prin linii orizontale, realizndu-se aa-zisa securitate pe nivele multiple (multinivel) prin care se realizeaz o delimitare net ntre diferite categorii de informaii din sistem (publice, confideniale, secrete, strict secrete). Aceast delimitare asigur certitudinea accesrii informaiilor dintr-o anumit clasificare numai de persoanele care au autorizaia de acelai nivel (sau mai mare) cu clasificarea informaiilor accesate. Schematic, sistemul multinivel poate fi reprezentat ca n figura 5.1. Politicile de controlare a accesului sunt foarte clare: o persoan poate accesa un document numai dac autorizarea sa este cel puin egal cu nivelul de clasificare al informaiei citite. Ca efect, informaiile vor circula doar de jos n sus, de la nivelul CONFIDENIAL, la SECRET, STRICT SECRET a., iar de sus n jos nu au voie s circule dect dac o persoan autorizat le declasific. Fig. 5.1: Modelul de securitate multinivel

5.1.1. Modelul Bell-LaPadula

Unul din cele mai cunoscute modele al politicilor de securitate este cel propus de David Bell i Len LaPadula, n 1973, i este cunoscut sub numele Bell-LaPadula sau modelul de securitate multinivel. Sistemele ce le adopt sunt numite i sigure multinivel sau MLS (MultiLevel Secure). Proprietatea de baz a acestor sisteme este aceea c informaiile pot circula n jos. Formal, modelul Bell-LaPadula a introdus trei principii: principiul (sau proprietatea) securitii simple, prin care nu-i este permis nici unui proces s citeasc date aflate pe un nivel superior lui. Este cunoscut i ca Nu citi deasupra (No Read Up, NRU); principiul * (se citete stea): nici un proces nu poate s scrie date pe un nivel aflat sub el. Este cunoscut i ca Nu scrie dedesubt (No Write Down, NWD); principiul securitii discreionare introduce o matrice de acces pentru a specifica controlul accesului discreionar. Este cunoscut i ca Trusted Subject (subiect de ncredere). Prin acest principiu, subiectul de ncredere violeaz principiul *, dar nu se abate de la scopul su. Cele trei principii sunt redate n figura 5.2.

44

Cap. 5 - Modele i programe de securitate

Fig. 5.2: Modelul Bell-LaPadula, cu cele trei principii

5.1.2. Modelul matricei de control al accesului Printr-o matrice de acces se ofer drepturi de acces pentru subiecte de ncredere la obiectele sistemului. Drepturile de acces sunt de tipul citete, scrie, execut .a. Un subiect de ncredere este o entitate activ care i caut drepturile de acces la resurse sau obiecte. Subiectul poate fi o persoan, un program sau un proces. Un obiect este o entitate pasiv, cum sunt fiierele sau o resurs de stocare. Sunt cazuri n care un element poate fi, ntr-un anumit context, subiect i, n alt context, poate fi obiect. Un exemplu de matrice de acces este redat n figura 5.3. Coloanele se numesc Liste de control al accesului, iar liniile, Liste de competene. Modelul matricei de control al accesului accept controlul discreionar al accesului pentru c intrrile n matrice sunt la discreia persoanelor care au autorizaia de a completa tabelul. n matricea de control al accesului, competenele unui subiect sunt definite prin tripleta (obiect, drepturi, numr aleator).

''''\Gbiecte Subiecte''"\ Subiect 1 Subiect 2 Subiect 3 Subiect 4

Fiier_1

Proces_1

Fiier_2 Citete Nimic Citete/scrie Scrie al accesului.

Fiier_3 Scrie Citete Nimic Scrie

Citete/scrie Execut Scrie Execut Citete/scrie Execut Scrie Nimic Fig. 5.3: Matrice de contro

5.1.3. Modelul Biba n multe cri, este amintit i modelul Biba, al lui Ken Biba, ocupndu -se doar de integritatea sistemelor, nu i de confidenialitate. El se bazeaz pe observaia c n multe cazuri confidenialitatea i integritatea sunt concepte duale: n timp ce prin confidenialitate se impun restricii celor ce pot citi un mesaj, prin integritate sunt controlai cei ce pot s scrie sau s modifice un mesaj.
45

Securitatea sistemelor informatice

n unele organizaii guvernamentale sau comerciale exist aplicaii n care integritatea datelor este mult mai important dect confidenialitatea, ceea ce a fcut s apar modele formale ale integritii. Integritatea vizeaz trei scopuri principale: protejarea datelor mpotriva modificrilor efectuate de utilizatorii neautorizai; protejarea datelor mpotriva modificrilor neautorizate efectuate de utilizatori autorizai; asigurarea consistenei interne i externe a datelor. Modelul a fost realizat n 1977 ca unul al integritii datelor, aa cum modelul BellLaPadula este cunoscut ca modelul confidenialitii datelor. Modelul Biba este unul de tip reea i folosete relaia mai mic sau egal. O structur a reelei este definit ca un ansamblu parial ordonat cu cea mai mic limit superioar, LUB (Least Upper Bound), i cea mai mare limit inferioar, GLB (Greatest Lower Bound). O reea reprezint un ansamblu de clase de integritate (CI) i de relaii ordonate ntre aceste clase. Ea poate fi definit astfel: (CI <= LUB, GLB). Aa cum Bell-LaPadula opereaz cu niveluri diferite de sensibilitate, modelul Biba clasific obiectele n diferite niveluri de integritate. Modelul enun trei axiome ale integritii: axioma integritii simple. Ea stabilete c unui subiect aflat pe un anumit nivel de integritate nu-i este permis s observe (citeasc) un obiect de o integritate mai joas (No ReadDown, Nu citi dedesubt). axioma integritii * (se citete stea) stabilete c unui obiect situat pe un anumit nivel de integritate nu-i este permis s modifice (scrie) alt obiect situat pe un nivel mai nalt de integritate (No Write Up, Nu scrie deasupra); un subiect de pe un anumit nivel de integritate nu poate solicita un subiect situat pe un nivel de integritate superior.

Axiomele i modelul Biba sunt redate n figura 5.4.

Fig.5.4 : Modelul Biba

46

Cap. 5 - Modele i programe de securitate

n practic au fost implementate mai multe tipuri de sisteme de securitate multinivel, cum sunt SCOMP, Blocker, MLS Unixe, CMWs, NRL Pump, MLS Logistics, Purple Penelope .a.

5.2. Modele ale securittii multilaterale


Deseori, n realitate, preocuprile noastre s-au concentrat nu ctre prevenirea curgerii n jos a informaiilor, ci ctre stoparea fluxurilor ntre diferite compartimente. n astfel de sisteme, n locul frontierelor orizontale, aa cum recomand modelul Bell-LaPadula, s-au creat altele verticale, conform figurii 5.5. Modelul a p e a p p e e Date partajate

Fig. 5.5: securitii multilaterale

Acest control al fluxurilor informaionale laterale este unul organizaional, aa cum este cel al organizaiilor secrete, pentru pstrarea n tain a numelor agenilor care lucreaz n alte ri, fr s fie cunoscui de alte departamente speciale. La fel se ntmpl i n companii, unde separarea vertical a compartimentelor, dup funciile ndeplinite (producie, comercial, personal-salarizare .a.), conduce la o situaie identic. Exist cel puin trei modele diferite de implementare a controlului accesului i de control al fluxurilor informaionale prin modelul securitii multilaterale. Acestea sunt: compartimentarea, folosit de comunitatea serviciilor secrete; zidul chinezesc, folosit la descrierea mecanismelor utilizate pentru prevenirea conflictelor de interese n practicile profesionale; BMA (British Medical Association), dezvoltat pentru descrierea fluxurilor informaionale din domeniul sntii, conform cu etica medical. Compartimentarea i modelul reea Ani muli acest model a servit ca practic standard, n SUA i guvernele aliate, pentru restricionarea accesului la informaii, prin folosirea cuvintelor-cod i a clasificrilor. Este arhicunoscut cuvntul-cod Ultra, folosit n cel de-al doilea rzboi mondial, de ctre englezi i americani, pentru decriptarea mesajelor criptate de germani cu maina Enigma. Cercul persoanelor cu acces la mesajele decriptate fiind foarte redus, numrul autorizrilor pentru informaii de pe cel mai nalt nivel de clasificare era mult mai mare. Prin folosirea cuvintelorcod se creeaz o puternic subcompartimentare, chiar a categoriei strict secret i deasupra ei. Cuvintele-cod sunt folosite pentru crearea grupurilor de control al accesului printr -o variant a modelului Bell-LaPadula, numit modelul reea. Clasificrile, mpreun cu cuvintelecod, formeaz o reea, conform figurii 5.6. Potrivit modelului, o persoan autorizat s aib acces la informaii SECRETE nu poate accesa informaii SECRETE CRIPTO, dac nu are i autorizaie pentru CRIPTO. Ca un sistem s rspund acestor cerine, va trebui ca problemele clasificrii informaiilor, ale autorizrii persoanelor i ale etichetelor ce nsoesc informaiile s se transfere n politica de securitate pentru a defini intele securitii, modul de implementare i evaluare.

47

Securitatea sistemelor informatice

(Strict secret, [cripto, luna ]) (secret, [cripto, luna ]) ^ (Strict secret, [cripto])

(secret, [cripto]) (j

Q (Strict secret []) (secret, []) (neclasificate, [])

Fig. 5.6: Model reea cu etichete de securitate. Modelul zidului chinezesc Modelul a fost realizat de Brewer i Nash. Numele provine de la faptul c firmele care presteaz servicii financiare, cum sunt bncile de investiii, au normele lor interne pentru a preveni conflictul de interese, norme numite de autori zidul chinezesc. Aria de aplicare este, ns, mai larg. Se poate spune c toate firmele prestatoare de servicii au clienii lor i pentru a-i pstra se afl ntr-o veritabil competiie. O regul tipic este urmtoarea: un partener care a lucrat recent pentru o companie dintr-un anumit domeniu de activitate nu poate s aib acces la documentele companiilor din acel domeniu, cel puin pentru o perioad controlat de timp. Prin aceasta, caracteristica modelului zidului chinezesc const ntr-un mix de libertate de opiune i de control obligatoriu al accesului, oricine este liber s lucreze la orice companie, dar ndat ce a optat pentru una, se supune restriciilor ce opereaz n domeniul respectiv de activitate. Modelul zidului chinezesc introduce principiul separrii obligaiilor de serviciu: un utilizator anume poate s prelucreze tranzaciile A sau B, nu amndou. Aadar, putem spune c modelul zidului chinezesc aduce elemente noi pe linia controlrii accesului. Modelul BMA (British Medical Association) n domeniul medical sunt confruntri serioase privind tocmai sistemele de securitate a datelor pacienilor. n efortul multor ri de a introduce carduri inteligente cu datele medicale personale, se nregistreaz o puternic opoziie din partea publicului. Acesta invoc vulnerabilitatea individului prin trecerea informaiilor despre anumite boli foarte grave, purtate pn acum pe brara de la mn, pe cartela inteligent, ceea ce va face ca atunci cnd se va afla n avion, n ri strine, s fie foarte greu sau chiar imposibil s i se citeasc informaiile respective. O alt problem se refer la pstrarea secretului datelor personale sau a unei pri dintre acestea. Cea mai mare temere vine din cauza proliferrii practicilor de inginerie social, putnduse afla cu mult uurin date personale din baze de date medicale. Scopul modelului politicii de securitate BMA este acela de consolidare a principiului consimmntului pacientului i de a preveni accesul prea multor persoane la datele personale din bazele de date ce le conin. Totul s-a rezumat la un nou sistem de codificare. Politica BMA se bazeaz pe nou principii, formulate foarte pe scurt astfel:

48

Cap. 5 - Modele i programe de securitate

controlul accesului, deschiderea nregistrrilor, c ontrolul modificrilor din liste, consimmntul i notificarea clientului, persistena, marcarea accesului pentru a servi ca prob n justiie, urmrirea fluxului informaiilor, controlul agregrii informaiilor, ncrederea n sistemele informatice.

Unii autori susin c politicile de securitate deseori nseamn un abuz de mijloace pur manageriale, neglijndu-se trei termeni precii, utilizai pentru descrierea specificaiilor tehnice ale cerinelor sistemelor de securitate, prezentai n continuare. Modelul politicii de securitate este o declaraie succint a proprietilor sau principiilor securitii, ca un sistem sau ca un tip generic de sistem. Punctele sale eseniale pot fi consemnate n scris, pe cel mult o pagin, iar documentul respectiv prevede scopurile proteciei unui sistem, agreate de ntreaga comunitate sau de linia managerial a clienilor. Un astfel de model constituie baza de pornire a analizelor formale matematice. inta securitii este o descriere mult mai detaliat a mecanismelor de protecie oferite de o anumit variant de implementare, precum i a modului n care ele concur la atingerea obiectivelor de control ale sistemului. inta securitii formeaz baza testrii i evalurii produsului implementat. Profilul proteciei, ca i inta securitii, exprim o cale independent de implementare, care s permit evaluri comparative ale produselor sau versiunilor lor.

5.3. Programul de securitate


Programul de securitate al unei companii trebuie s se supun unor elemente constitutive, i anume: efectuarea structurrii programului de securitate, definirea politicilor de securitate, a standardelor, normelor i a procedurilor. Fr politici riguroase, programele de securitate vor fi aproape fr suport, ineficiente i nu se vor alinia strategiei i obiectivelor organizaiei. Politicile, standardele, normele i procedurile constituie fundaia programului de securitate al organizaiei. Politicile eficiente, clar formulate, vor servi proceselor de auditare i eventualelor litigii. Combinnd elementele specificate, o entitate poate implementa controale specifice, procese, programe de contientizare i multe altele, tocmai pentru a i aduce un plus de linite. Spune romnul: paza bun trece primejdia rea. 5.3.1. Politicile de securitate Atunci cnd ne referim la securitate informaional, noiunea de politic de securitate poate avea mai multe nelesuri, iat cteva dintre ele: politica de firewall-uri, utilizate pentru controlarea accesului i a traseelor pe care circul informaiile; lactele, cardurile de acces, camerele de luat vederi ce nregistreaz totul din perimetrele controlate.

49

Securitatea sistemelor informatice

La implementarea politicilor de securitate, trebuie pornit de la vrful piramidei manageriale, unde se afl top managerii. Acetia au misiunea de a formula Declaraia politicii organizaiei. Aceasta este o formulare general, o declaraie din care s reias: importana resurselor informaionale pentru atingerea obiectivelor strategice ale organizaiei; formularea clar a sprijinului acordat tehnologiilor informaionale n unitate; angajamentul top managerilor de a autoriza sau coordona activitile de definire a standardelor, procedurilor i normelor de securitate de pe nivelurile inferioare. n afara declaraiei politicii de securitate la nivelul top managerilor, exist i politici obligatorii, politici recomandate i politici informative. Politicile obligatorii sunt politici de securitate pe care organizaiile sunt obligate s le implementeze ca efect al acordurilor, regulamentelor sau al altor prevederi legale. De regul, aici se ncadreaz instituiile financiare, serviciile publice sau orice alt tip de organizaie care servete interesului public. Aceste politici sunt foarte detaliate i au elemente specifice, n funcie de domeniul de aplicare. De regul, politicile obligatorii au dou scopuri de baz: asigurarea c o organizaie urmeaz procedurile standard sau politicile de baz din domeniul ei de activitate; de a oferi ncredere organizaiilor c ele urmeaz standardele i politicile de securitate din domeniul de activitate. Politicile recomandate, prin definiie, nu sunt obligatorii, dar sunt puternic susinute, cu prezentarea consecinelor foarte dure n cazul nregistrrii eecurilor. O organizaie este direct interesat ca toi angajaii ei s considere aceste politici ca fiind obligatorii. Cele mai multe politici se ncadreaz n aceast categorie. Ele sunt foarte clar formulate la toate nivelurile. Cei mai muli angajai vor fi riguros controlai prin astfel de politici, definindu -le rolurile i responsabilitile n organizaie. Politicile informative au scopul de a informa cititorii. Nu poate fi vorba de cerine specifice, iar interesaii de aceste politici pot s se afle n interiorul organizaiei sau printre partenerii ei. Elementelor comune tuturor politicilor de securitate, astfel: domeniul de aplicare: declararea domeniului de aplicare nseamn prezentarea inteniei vizate de politic i ea va scoate n relief i legturile existente cu ntreaga documentaie a organizaiei. Formularea trebuie s fie scurt i se plaseaz la nceputul documentului; declararea politicii top managerilor se include la nceputul documentului i are dimensiunea unui singur paragraf, specificnd scopul global al politicii; responsabilitile constituie coninutul unei seciuni distincte i cuprind persoanele implicate n asigurarea bunei funcionri a politicii; consecinele: printr-o astfel de formulare se prezint pierderile posibile dac politica nu va fi respectat; monitorizarea: se specific modul n care se monitorizeaz respectarea i actualizarea continu a politicii; excepiile: se menioneaz cazurile n care apar excepii i modalitile de tratare a lor; de regul, au o durat limitat de aplicare, de la un caz la altul.

50

Cap. 5 - Modele i programe de securitate

5.3.2. Standardele, normele i procedurile de securitate Pe nivelul inferior politicilor se afl trei elemente de implementare a politicii: standardele, normele i procedurile. Ele conin detaliile politicii, cum ar fi posibilitile de implementare, ce standarde i proceduri s fie ntrebuinate. Ele sunt fcute publice la nivel de organizaie, prin manuale, Intranet, cri, cursuri .a. De cele mai multe ori, standardele, normele i procedurile sunt tratate laolalt, dar nu este cea mai inspirat idee, fiindc tratarea separat a lor este justificat de urmtoarele argumente: fiecare dintre ele servete unei funcii diferite i are propria audien; chiar i distribuia lor fizic este mai lejer; controalele securitii pe linia confidenialitii sunt diferite pentru fiecare tip de politic; actualizarea i ntreinerea politicii ar deveni mai anevoioase, prin prisma volumului documentaiei, dac s-ar trata nedifereniat. Standardele Standardele specific utilizarea anumitor tehnologii, ntr-o viziune uniform. De regul, standardele sunt obligatorii i sunt implementate la nivel de unitate, tocmai pentru asigurarea uniformitii. Elementele principale ale unui standard de securitate informaional sunt: scopul i aria de aplicare, prin care se ofer o descriere a inteniei standardului (realizarea unui tip de server pe o anumit platform); roluri i responsabiliti la nivel de corporaie pe linia definirii, execuiei i promovrii standardului; standardele cadrului de baz, prin care sunt prezentate declaraiile de pe cel mai nalt nivel, aplicabile platformelor i aplicaiilor; standardele tehnologiei conin declaraiile i descrierile aferente (configuraia sistemului sau serviciile nesolicitate de sistem); standardele administrrii reglementeaz administrarea iniial i n timpul exploatrii platformei i aplicaiilor. Normele Normele sunt oarecum asemntoare standardelor, referindu-se la metodologiile sistemelor securizate, numai c ele sunt aciuni recomandate, nu obligatorii. Sunt mult mai flexibile dect standardele i iau n considerare naturile diverse ale sistemelor informaionale. Ele specific modalitile de dezvoltare a standardelor sau garanteaz aderena la principiile generale ale securitii. Elementele principale ale unei norme de securitate informaional sunt: scopul i aria de aplicare, descriindu-se intenia urmrit prin regula respectiv; roluri i responsabiliti pe linia definirii, execuiei i promovrii normei; declaraii de orientare: este un proces pas-cu-pas de promovare a tehnologiilor respective; declaraii de exploatare: se definesc obligaiile zilnice, sptmnale sau lunare pentru o corect exploatare a tehnologiei respective. Procedurile Procedurile prezint paii detaliai ce trebuie s fie parcuri pentru execuia unei activiti. Se descriu aciunile concrete pe care trebuie s le efectueze personalul. Prin

51

Securitatea sistemelor informatice

ele se ofer cele mai mici detalii pentru implementarea politicilor, standardelor i normelor. Uneori se folosete n locul acestui concept cel de practici. 5.3.3. Aspecte practice ale politicii de securitate informaional Realizarea propriei politici de securitate presupune acoperirea mai multor domenii diferite, iar conform standardului internaional de definire a politicii de securitate, ISO 17799, acestea sunt: 1. Planificarea funcionrii nentrerupte a unitii, cu obiectivul contracarrii ntreruperilor de activitate ale unitii i ale proceselor principale ca efect al unor accidente majore sau dezastre. 2. Controlul accesului n sistem, cu obiectivele: a. controlarea accesului la informaii; b. prevenirea accesului neautorizat n sistemul informaional; c. asigurarea proteciei serviciilor prestate n reea; d. prevenirea accesului neautorizat la calculatoare; e. detectarea activitilor neautorizate; f. asigurarea securitii informaiilor cnd se folosesc comunicaiile mobile i tele activitile. 3. Dezvoltarea i ntreinerea sistemului, cu obiectivele: a. asigurarea securitii prin sistemul operaional; b. prevenirea pierderilor, modificrilor sau folosirii inadecvate a datelor din aplicaiile sistemului; c. protejarea confidenialitii, integritii i autenticitii informaiilor; d. asigurarea c proiectele informatice i activitile colaterale se deruleaz dup proceduri sigure; e. meninerea securitii softului i datelor din aplicaiile sistemului. 4. Securitatea fizic i a mediului, cu obiectivele: a. prevenirea accesului neautorizat, a distrugerilor i interferenelor cu informaiile i celelalte componente ale sistemului; b. prevenirea pierderilor, distrugerilor sau compromiterilor valorilor patrimoniale, precum i stoparea ntreruperilor de activitate; c. prevenirea compromiterii sau furtului de informaii i al altor resurse informaionale. 5. Maleabilitatea, cu obiectivele: a. prentmpinarea nclcrii cadrului juridic, a celui statutar, regulamentar sau a oricrei obligaii contractuale, precum i a cerinelor pe linia securitii; b. asigurarea maleabilitii sistemului la politicile i standardele organizaionale pe linia securitii; c. maximizarea eficienei procesului de auditare a sistemului i minimizarea interferenelor cu acesta. 6. Securitatea personalului, cu obiectivele: a. diminuarea riscurilor provocate de factorul uman, fraud sau folosirea ilegal a componentelor sistemului; b. asigurarea c utilizatorii sunt contieni i preocupai de prentmpinarea sau diminuarea ameninrilor asupra securitii informaiilor, susinnd politica de securitate a organizaiei prin tot ceea ce fac zi de zi; c. minimizarea pagubelor provocate de incidentele aprute n sistem sau de proasta funcionare a acestuia, precum i reinerea incidentelor ca lecii
52

Cap. 5 - Modele i programe de securitate

pentru viitor. 7. Organizarea securitii, cu obiectivele: a. asigurarea managementului securitii informaionale n cadrul organizaiei; b. asigurarea securitii componentelor folosite n prelucrarea informaiilor organizaiei accesate de ctre teri; c. asigurarea securitii informaiilor cnd responsabilitatea prelucrrii acestora revine unei alte organizaii, ca serviciu externalizat. 8. Managementul resurselor informatice i al exploatrii lor, cu obiectivele: a. asigurarea funcionrii corecte i sigure a componentelor sistemului informatic; b. minimizarea riscului cderii sistemului; c. protejarea integritii softului i a informaiilor; d. asigurarea integritii i disponibilitii informaiilor prelucrate i comunicate; e. asigurarea ncrederii n informaiile din reele i protejarea infrastructurii corespunztoare; f. prevenirea pierderilor de valori patrimoniale i a ntreruperilor de activitate; g. prevenirea pierderilor, modificrilor sau utilizrilor ilegale n schimburile de informaii cu alte organizaii. 9. Clasificarea i controlarea valorilor patrimoniale, cu obiectivele: a. meninerea unei protecii corespunztoare a valorilor patrimoniale ale organizaiei; b. oferirea ncrederii c valorile patrimoniale informaionale au asigurat un nivel de protecie corespunztor . 10. Politica de securitate, cu obiectivele: a. oferirea de direcii manageriale; b. sprijinirea aciunilor ntreprinse pe planul securitii informaionale. Fiecare dintre cele zece seciuni are n structur descrieri detaliate prin care se definete standardul ISO 17799. 5.3.4. Exemple de politici de securitate De remarcat c nu exist dou organizaii care s aib politici de securitate identice. Din analizarea mai multor politici de securitate se poate realiza o structur general a acestora, care va fi prezentat n continuare. Astfel, se ncepe cu un program de securizare a sistemelor informaionale, situaie n care se folosete conceptul de politica programului de securitate informaional. Ea este acoperiul sub care se vor realiza politici tehnice de securitate, standarde i norme de aplicare. ntr-o unitate sunt necesare politici speciale pentru utilizarea Internetului i a e -mail-ului, pentru accesarea de la distan a sistemului, pentru modurile de utilizare a unui sistem informatic, pentru protecia informaiilor .a. Aadar, se poate spune c printr-o politic a programului de securitate informaional se definete politica de ansamblu a organizaiei n acest domeniu, precum i responsabilitile din sistem. n aceste condiii, politicile ce se vor emite sunt componente eseniale ale programului i ele trebuie s rspund la cinci obiective majore: prevenire: abilitatea de prevenire a accesului neautorizat la valorile patrimoniale ale organizaiei; asigurare: asigurarea c politicile, standardele i normele sunt n concordan cu

53

Securitatea sistemelor informatice

inteniile organizaiei pe linia protejrii valorilor patrimoniale informaionale; detectare: abilitatea de a detecta intruii din sistem i de a lansa arsenalul de contramsuri corespunztoare; investigare: capacitatea de a folosi tehnici adecvate pentru obinerea informaiilor despre posibilii intrui din sistem; continuitate: posibilitatea de a garanta funcionarea nentrerupt prin existena unui plan de aciune n cazul dezastrelor, dezvoltat i testat n organizaie.

n continuare, vom face o descriere succint a ctorva politici Politica utilizrii adecvate O astfel de politic trebuie s analizeze i s defineasc utilizarea corespunztoare a resurselor informatice din organizaie. Utilizatorii trebuie s o citeasc i semneze atunci cnd i exprim intenia de deschidere a unui cont de utilizator. Responsabilitile utilizatorului pentru protejarea informaiilor, memorate n conturile lor, trebuie s fie formulate explicit, ca i nivelurile de utilizare a Internetului i e-mail-ului. Politica, de asemenea, trebuie s rspund urmtoarelor ntrebri: Trebuie ca utilizatorii s citeasc i copieze fiiere care nu sunt ale lor, dar la care au acces? Trebuie ca utilizatorii s modifice fiierele la care au drept de scriere, dar nu sunt ale lor? Trebuie ca utilizatorii s fac copii ale fiierelor de configurare a sistemului, n scopul folosirii personale sau s le dea altora? Trebuie ca utilizatorii s foloseasc n comun conturile deschise? Trebuie ca utilizatorii s aib dreptul de a face oricte copii de pe softul care e procurat cu licen de utilizare? Politica privind conturile utilizatorilor Politica vizeaz normele dup care se formuleaz cererile de deschidere a conturilor din sistem i cum se efectueaz ntreinerea lor. Este foarte util n organizaiile mari, n care utilizatorii au conturi n mai multe sisteme. Este recomandat modalitatea de citire i semnare a politicii de ctre utilizator. O astfel de politic trebuie s ofere rspunsuri la ntrebri de genul: Cine are autoritatea aprobrii cererilor de noi conturi-utilizator? Cui (angajailor, soiilor/soilor, rudelor, copiilor, vizitatorilor .a.) i este permis s foloseasc resursele informatice ale organizaiei? Poate un utilizator s aib mai multe conturi n acelai sistem? Pot folosi utilizatorii n comun aceleai conturi? Care sunt drepturile i obligaiile utilizatorilor? Cnd va fi dezactivat i arhivat un cont?

Politica accesului de la distan Prin ea se definesc modalitile de conectare de la distan la reeaua intern a organizaiei. Ea este necesar n organizaiile care au utilizatori i reele dispersate geografic. Politica trebuie s rspund urmtoarelor ntrebri: Cine poate s aib dreptul accesrii de la distan?
54

Cap. 5 - Modele i programe de securitate

Ce metode sunt acceptate de organizaie (dial-up, modem)? Este permis accesul din afar la reeaua intern prin modem? Se impun anumite condiii, cum ar fi soft antivirus i de securitate, pentru accesarea de la distan? Pot ali membri ai familiei s acceseze reeaua? Sunt restricii privind tipul datelor ce pot fi accesate de la distan?

Politica proteciei informaiilor Printr-o astfel de politic se aduc la cunotina utilizatorilor condiiile prelucrrii, stocrii i transmiterii informaiilor sensibile. Scopul principal al acestei politici este asigurare a c informaiile sunt protejate, n mod corespunztor, mpotriva modificrilor sau dezvluirii neautorizate. O astfel de politic trebuie semnat de toi angajaii. Ea trebuie s dea rspuns cel puin la urmtoarele ntrebri: Care sunt nivelurile de sensibilitate ale informaiilor? Cine poate s aib acces la informaiile sensibile? Cum sunt stocate i transmise informaiile sensibile? Ce niveluri de informaii sensibile pot fi listate pe imprimante publice? Cum trebuie s fie terse informaiile sensibile de pe suporturi (tocarea i arderea hrtiilor, curirea discurilor .a.)? Politica gestionrii firewall-urilor Politica gestionrii firewall-urilor descrie modul n care sunt gestionate hardul i softul i cum sunt formulate i aprobate cererile de schimbare din sistem. O astfel de politic trebuie s dea rspuns la urmtoarele ntrebri: Cine are acces la sistemele firewall? Cine trebuie s primeasc solicitrile de efectuare a schimbrilor n configuraia firewall urilor? Cine trebuie s aprobe efectuarea schimbrilor n configuraia firewall-urilor? Cine poate s vad normele i listele de acces la configuraia firewall-ului? Ct de des trebuie efectuat revizia firewall-urilor? Politica accesului special Prin ea se definesc condiiile formulrii cererilor de obinere a dreptului de utilizare a unor conturi speciale din sistem (root, Administrator .a.). Ea trebuie s ofere rspunsurile la urmtoarele ntrebri: Cine trebuie s primeasc cererile pentru acces special? Cine trebuie s aprobe cererile pentru acces special? Care sunt regulile parolelor pentru conturile cu acces special? Ct de des se schimb parolele? Care sunt motivele sau situaiile ce vor conduce la revocarea privilegiului de a avea acces special? Politica de conectare la o reea local Prin ea se definesc condiiile adugrii de noi echipamente la reea i trebuie s rspund la ntrebrile: Cine poate instala o resurs nou n reea? Cine trebuie s aprobe instalarea de noi echipamente?

55

Securitatea sistemelor informatice

Cui trebuie s i se aduc la cunotin faptul c au fost adugate noi echipamente n reea? Sunt unele restricii pe linia securitii n legtur cu echipamentele adugate n reea? Politica partenerului de afaceri O astfel de politic stabilete ce msuri de securitate trebuie s respecte fiecare companie partener. Ea este o politic cu att mai necesar acum cnd organizaiile ofer reeaua lor intern partenerilor, clienilor, furnizorilor. Dei o astfel de politic este diferit de la o organizaie la alta, ea, totui, trebuie s ofere rspunsuri la urmtoarele ntrebri: I se cere fiecrei organizaii s aib scris o politic de securitate? Trebuie ca fiecare organizaie s aib un firewall sau alte echipamente de securitate a perimetrului? Cum se vor realiza comunicaiile (linie nchiriat, VPN prin Internet .a.)? Cum se vor formula cererile pentru accesarea resurselor partenerului? Politica managementului parolelor Deseori este inima politicilor de securitate dintr-o organizaie. De regul, ea reglementeaz problemele expirrii parolelor, ale lungimii lor i altor verificri necesare. Iat cteva recomandri de surprins printr-o astfel de politic: lungimea minim a unei parole trebuie s fie de cel puin opt caractere; parola nu trebuie s fie un cuvnt din dicionar; ea trebuie s fie o combinaie de litere i simboluri speciale; parola trebuie s expire dup o anumit perioad de timp predeterminat; parolele administratorilor de reele trebuie s expire mult mai repede i trebuie s fie mai lungi; parolele din organizaie trebuie s difere de cele folosite n alte sisteme; trebuie s fie pstrat o list cu vechile parole pentru a preveni reutilizarea (ultimele ase parole nu trebuie s se repete); parolele utilizatorilor noi trebuie s fie unice i greu de ghicit. Politica folosirii Internetului Politica utilizrii Internetului, referit deseori prin acronimul I-AUP (Internet Acceptable Use Policy), este documentul prin care se detaliaz modurile n care utilizatorii unei reele a organizaiei trebuie s foloseasc serviciul public Internet. Politica va descrie softul folosit pentru filtrare i blocare, cu scopul protejrii organizaiei, dar i activitile specifice permise, precum i cine sunt beneficiarii acestor drepturi de acces i cui i se interzic. Ea este bine s se refere i la metodele de autentificare naintea accesrii Internetului n afara organizaiei/rii pentru a preveni personalul c folosete reeaua organizaiei n scopuri ilegale. Protocoalele specifice acoperite printr-o politic de utilizare a Internetului sunt urmtoarele: Pota electronic. Aceasta vizeaz toate formele de e-mail utilizate de o organizaie, definindu-se ceea ce se accept a se folosi, declarndu-se softul utilizat pentru filtrare i scanare. Ea trebuie s sublinieze cerinele specifice referitoare la datele ce nu pot fi transmise prin e-mail i procedurile de urmat n cazul n care un utilizator primete mesaje cu date de acest gen. Prin aceast politic trebuie prevzute i msurile luate n cazul nerespectrii condiiilor de utilizare a e-mail-ului;

56

Cap. 5 - Modele i programe de securitate

Web. Politica va prevedea condiiile specifice de realizare a traficului Web. Ct timp WWW (World Wide Web) folosete HTTP-ul (HyperText Transport Protocol) pentru transferarea informaiilor, prin politica de fa vor fi definite clar tipurile de site -uri Web care sunt strict interzise, de genul celor porno, jocurilor de noroc .a.; FTP. Permind utilizatorilor accesul la FTP (File Transfer Protocol), se deschide calea descrcrii cu uurin n sistemul organizaiei a viruilor, dar i transmiterea pe serverele din afara orgnizaiei a unor informaii confideniale. Pentru specialitii organizaiei trebuie s se asigure un nivel de acces FTP pentru efectuarea unor descrcri de fiiere n vederea actualizrii softului existent, dar politica de fa trebuie s stabileasc autorizrile de utilizare FTP; Chat/IRC. IRC-ul (Internet Relay Chat) este mai puin folosit n mediul organizaional fa de alte programe de chat (dialoguri Internet), cum sunt Yahoo, ICQ i AOL Instant Messenger (AIM). Astfel de programe sunt foarte riscante pentru organizaie deoarece informaiile sunt transmise unor servere externe fr o protecie corespunztoare. Politica de fa trebuie s stabileasc n ce msur produsele de tip chat servesc intereselor organizaiei. n general, prin politica Internet se face referire la urmtoarele aspecte: acceptarea folosirii i condiiile de accept pentru: o descrcrile de fiiere; o newsgroup-uri; o comunicarea datelor sensibile; o tipurile de fiiere ataate; o dimensiunea mesajelor; o softul f r licen; o pachete de aplicaii soft neaprobate; o exportul informaiilor sensibile; o protecia fi ierelor; o protecia mpotriva viruilor; managementul schimbrilor din sistem; practicile de stocare a datelor; siguran i disponibilitate; protecia informaiilor prin clasificarea lor; controlul accesului; e-mail-ul i datele ce pot fi reinute/stocate n unitate; monitorizarea; excepiile i amendamentele politicii Internet.

57

6 Securitatea reelelor de calculatoare


f

6.1 Mecanisme utilizate n securizarea reelelor


9

Dynamic Host Configuration Protocol - DHCP - este o modalitate rapid i simpl de a asigna adrese IP unui numr mare de clieni. Exist nevoia de a defini un interval de IP-uri valide i de a le asigna automat clienilor din reea; de asemenea, a aprut nevoia de a defini o durata de viata unui IP. 6.1.1 Functionarea DHCP

DHCP implementeaz un model client-server i un agent cu rol de releu (relay agent). Acest agent gestioneaz interaciunea dintre clieni i server. Deoarece clientul este principalul partener de comunicaie n aceast situaie, el iniiaz toate sesiunile cu serverul, lucru care are loc n faza de bootare. DHCP are urmtoarele faciliti: suport alocarea dinamic; suport alocarea static; repartizeaz adrese; suporta repartizarea persistenta reintegreaz repartiiile expirate. n esen, DHCP este nsrcinat cu manipularea a dou seturi de date: repartiiile (IP urile alocate) i fondul de adrese (IP-uri disponibile). Repartiiile sunt alocate clienilor conform unei proceduri, care este destul de simpl. Cum primesc clienii numere IP Iat modul de funcionare a DHCP din acest punct de vedere: 1. Clientul cere un IP printr-o difuzare de tip DhcpDiscover. Dac clientul are o repartiie persistent, poate cere iniial acea repartiie. 2. Serverul alege un IP din fondul de adrese i ntoarce un pachet DhcpOffer cu un IP disponibil ataat. 3. n cazul n care clientul dorete mai multe oferte IP, o va alege pe prima sau pe cea cu repartiia dorit. 4. Clientul difuzeaz un pachet DhcpRequest cu un identificator pentru un server i trece n ateptare 5. Fiecare server care analizeaz pachetul i nu i detecteaz identificatorul va ignora pachetul. Dup ce serverul cu identificatorul corespunztor primete pachetul, el va trimite un DhcpAck (sau DhcpNak - daca IP-ul cerut este deja alocat, ceea ce nseamn c repartiia a expirat). 6. Dup ce clientul primete pachetul DhcpAck, el ncepe s foloseasc IP -ul alocat. n cazul n care primete DhcpNak, va rula de la nceput secvena de cerere a unui IP. Dac IP -ul reprezint o problema din punct de vedere al clientului, acesta trimite un pachet DhcpDecline ctre server i reia secvena de cerere a unui IP.

58

Cap. 6 - Securitatea reelelor de calculatoare

Funcionarea ntr-o reea LAN: n etapa de lansare a sistemului de operare se emite o cerere de alocare IP nsoit de adresa MAC a emitorului ctre toat reeaua va primi un rspuns de la primul server DHCP mpreuna cu o adresa IP, masca, gateway-ul i serverele DNS. Dac DHCP aloc unui utilizator nou o adres IP nerutabil cu care nu poate face mai nimic. Trebuie luat legtura cu administratorul de sistem i memorat adresa sa ntr -un tabel NAT. NAT - Networking Addressing Table - tabel de adresare n reea - este o soluie care permite ca n zona reelei locale s se utilizeze exclusiv adrese private. Routerul convertete toate cererile modificnd headerul care nsoete pachetul de date astfel nct acestea s apar originate de ctre router i nu de sistemul din spatele lui. Avantaje : exist o singura adresa IP public i se pot deservi oricte adrese IP private; ofer protecie pentru flood - ignora informaiile care nu adreseaz o adres din tabela de NAT-are; toi cei din reeaua local nu exist pentru reeaua Internet un sistem local nu poate oferi un serviciu n afara zonei locale, cum ar fi un setarea unui server Se poate defini un DMZ - zona demilitarizat - astfel ncz toate sistemele s primeasc informaii din reeaua WAN indiferent de coninutul tabelei de NAT-are. n cazul n care ntr-un LAN exist 2 sau mai multe sisteme cu aceleai adrese IP routerul le ignor cererile ceea nseamn ca nu va funciona nici unul dintre sisteme.

6.1.2

Noiuni privind securizarea reelei

Firewall-urile i serverele proxy, ca i criptarea i autentificarea, sunt proiectate pentru asigurarea securitii datelor. Motivaia este simpl: dac se dispune de o conexiune la Internet, teoretic, oricine, oriunde s-ar afla n lume, poate accesa reeaua (n anumite condiii, evident). Dac nu exist nici un mecanism de securitate, orice persoan care are acces la Internet, de oriunde din lume, poate folosi TCP/IP pentru a trece prin gateway-ul reelei locale, ctre orice maina din reea. Ideea este de a proteja dou lucruri: datele stocate n reea i echipamentele hardware, conectate la reea. Intruii sau hackerii pot intra n reea i pot modifica orice, pot accesa orice fel de date sau chiar pot cauza deteriorri fizice ale sistemelor. Exist multe moduri n care intruii pot accesa o reea: exploatnd bree de securitate din sistemele de operare i aplicaii; pin "inginerie social", care const n convingerea cuiva, sub diferite pretexte, s comunice nume i parole asociate. Rolul unui firewall este s previn ptrunderile neautorizate. O alta problem de securitate: blocarea serviciului (denial of service). Are loc cnd hackerii nu v permit folosirea normal a propriilor sisteme. Blocare serviciului are multe forme. Un exemplu tipic este inundarea unui serviciu (gen email), adic acelui serviciului i sunt trimise att de multe date nct devine suprancrcat i se blocheaz sau ruleaz n bucl infinit. Exist mai multe modaliti de protejare a reelei.

59

Securitatea sistemelor informatice

O metod ar fi anonimatul: dac nimeni nu tie nimic despre reeaua dv, atunci datele sunt n siguran. ns este o fals securitate, pentru c exista o mulime de moduri prin care se poate afla ce se afl pe Internet. Cea mai rspndit form de securitate se numete securitatea la nivel de gazd (host security) i se refer la securizarea separat a fiecrei maini din reea. V bazai pe acest tip de securitate cnd setai permisiunile de acces n Windows sau permisiunile UNIX pentru fiiere i directoare. Este suficient ns o singur bre pentru ca ntreaga reea s fie deschis hackerilor. De asemenea, pentru c securitatea la nivel de gazd nu este aplicat egal tuturor mainilor, pot fi exploatate serviciile unei maini slab protejate pentru a accesa o main cu securitate puternica.

6.1.3

Firewalls

Un firewall este un computer, un router sau orice alt dispozitiv de comunicaie care controleaz fluxul de date ntre reele. n general, un firewall este prima linie mpotriva atacurilor din afara reelei. Poate fi implementat: hardware - este un router special cu filtre adiionale i capaciti de management; software - ruleaz pe un sistem de operare oarecare i transform un PC ntr- un firewall.

Conceptual, dispozitivele firewall pot aciona la : nivelul "Retea" - sunt de obicei foarte rapide. Ele controleaz traficul pe baza adreselor surs i destinaie, precum i a numerelor de port; nivelul "Aplicaie" - nu permit traficul direct ntre reele. De obicei ele sunt computere care ruleaz servere proxy. Acestea pot implementa proceduri de securitate specifice. De exemplu, se poate configura aa nct s permit funcionarea numai a protocolul de email. Din cadrul aplicaiilor firewall ce ofer o protecie bun la atacurile tipice din reea putem aminti de Zone Alarm, Agnitum Outpost i Firewall-urile integrate din Windows XP i unele variante din Linux. De exemplu n Windows XP se deschide icoana ce reprezint conexiunea curent spre Internet i se activeaz firewall-ul, aa cum se poate observa n figura 6.1. Din opiunea Settings se pot configura serviciile ce pot fi accesate de utilizatorii de pe Internet.

Fig. 6.1: Activarea firewall-ului din WindowsXP


60

Allow incoming mask request [ZI

Allow incoming rcuter request

Cap. 6 - Securitatea reelelor de calculatoare

Advanced Settings
Services | Security Logging || ICMP

['? II X| Advanced Settings


Services II Secrjritji Lcgghg [ ICMP ]

Select the services running onyour network that Internet users can access. Services

Internet Ccntrol Message Prctcccl (ICMP) ailows t(ie computers cn a tietwork to share error and status itiformation. Select the requests for Information fronn the Internet that this computer will respond to:

m
0 0

FTP Server Incoming Connection VPN (L2TP) Incoming Connection VPN (PPTP) Internet Mail Access Protcccl Vetsion 3 (IMAP3) Internet Mail Access Protcccl Versicn 4 (IMAP4) ? Allow outgoing destination unreachable Internet Mail Server (SMTP) IP Securitv (IKE) Post-O fflce Protocol Version 3 (P0P3) Pemote Desktcp Secure Web Server (HTTPS) Telnet Server Web Server (HTTP) Description: Data sent over the Internet that fails tc reach this computer due to an error will be discarded and ackncwledged with a "destination unreachable" message explaining the failure. [3 Allow outgoing source quench [ZI Allow incoming echo request Allow incoming timestamp request

[ZI Allow outgoing parameter problem Allow outgoing time eKceeded Allow redirect

Add...

Edit..

Delete

DK

Cancel

DK

Cancel

Fig. 6.2: Serviciile ce pot fi accesate prin Firewall i suportul pentru mesaje ICMP Rolul firewall-urilor Tipul de securitate important este securitatea la nivel de reea. Presupune securizarea tuturor punctelor de acces la reea. Componenta cheia este acest firewall - o main care se comport ca o interfa ntre reea i Internet, avnd doar preocuparea securitii. Un firewall are mai multe roluri: permite accesul la reea numai din anumite locaii; interzice utilizatorilor neautorizai s obin acces la reea; foreaz traficul dinspre reea spre Internet s treac prin anumite puncte securizate; previne atacurile de tipul blocarea serviciului; impune restricii asupra aciunilor pe care un utilizator de pe Internet le poate face n reea. Conceptul de firewall presupune canalizarea ntregului trafic ctre i dinspre ree a prin unul sau mai multe puncte care sunt configurate pentru a controla accesul i serviciile. Utilizarea firewall-urilor Multe persoane consider un firewall ca fiind o singur main, ceea ce uneori este adevrat. Exist maini dedicate doar acestei funcii. Totui, termenul firewall se refer mai mult la funciile ndeplinite dect la un dispozitiv fizic. Un firewall poate consta din mai multe maini care conlucreaz, sau pot fi folosite mai multe programe cu funcie de firewall. Firewall -urile pot s ndeplineasc i alte funcii dect simpla monitorizare a accesului la reea.

61

Securitatea sistemelor informatice

Firewall-urile nu sunt invincibile. Ele sunt vulnerabile din cauza defectelor de proiectare, sau a implementrii (care necesit timp i bani pentru instalare i configurare). Un firewall ofer un singur punct de implementare a securitii din reea, deci eventualele schimbri se fac pe o singur main i nu pe toate celelalte din reea (de ex, se poate interzice accesul FTP anonim). Firewall-urile pot aplica politici de securitate la nivelul ntregii reele, interzicnd de exemplu accesul la anumite servicii de pe Internet pentru toi utilizatorii din reea. Totui, orice firewall are limitri. Ele sunt utile doar pentru conexiunea reea- Internet. Ele nu opresc persoanele din reea s fac orice vor altor maini din reea. Ele nu pot proteja mpotriva ptrunderilor neautorizate dac avei alte conexiuni, ca un calculator care este conectat printr-un modem la Internet prin intermediul unui ISP (conexiune care nu trece printr-un firewall). Un firewall nu poate preveni multe probleme distribuite prin Internet, cum sunt viruii i caii troieni. Exist dou moduri principale de implementare: construirea unui firewall propriu din servicii de reea elementare. cumprarea unui produs comercial. La instalarea unui firewall, manual sau comercial, se pot controla mai multe faete, depinde de administrator dac dorete sau nu activarea lor. Unele din aceste faete ar fi: serverele proxy filtrele de pachete.

6.1.4

Proxy-uri

Soluie care permite accesarea informaiei de dup un router logic. Reprezint un sistem de intermediere a traficului, adic primete cererile, identific rspunsurile, le memoreaz i le trimite solicitantului. Posed o adresa IP public i una privat - deci este un sistem cu dou placi de reea. Avantajul este CACHE-ul folosit de proxy. Fiecare pagin are o dat i o or de expirare. De asemenea se poate folosi un proxy transparent n sensul c cererea din router este redirectat ctre un proxy. Serverele proxy Un astfel de server este plasat ntre reea i Internet i accept cereri pentru un serviciu, le analizeaz i le trimite mai departe, n funcie de permisiuni. Serviciul de proxy ofer o conexiune cu rol de nlocuitor pentru acel serviciu, motiv pentru care se comport ca un intermediar (proxy). Serverul proxy se plaseaz la mijloc, ascunde anumite informaii, dar permite desfurarea serviciului prin el. Ideea este c, far proxy, adresa IP a mainii gazd este trimis n pachete, prin Internet. Hackerii pot determina dimensiunea reelei, de exemplu. Un server proxy schimb adresa IP cu adresa lui i folosete o tabel intern pentru a redirecta traficul care sosete i care pleac spre destinaiile corecte. Pentru exterior va fi vizibil o singur adres IP (a serverului proxy).

62

Cap. 6 - Securitatea reelelor de calculatoare

Serverele proxy sunt ntotdeauna implementate prin software i nu trebuie s fac parte dintr-un pachet de firewall, dei sunt de obicei incluse. Windows XP suport mprirea conexiunii la Internet (Internet Sharing) folosind opiunea Network Setup Wizard din Start/Settings/Network Connections. ns soluia aceasta nu funcioneaz ntotdeauna. O soluie mult mai bun pentru un server proxy este aplicaia software FreeProxy (www.handcraftedsoftware.org)
S FreeProxy Control Centre [C:\temp\FreeProxy\Default.cfg]
File Defire Start/Stop Help

Ports

RA5

IP Service Calendars Users Cache Options 5tart/5top

I Nam e
Internet Us ers O 'Dptio ns Oplions

I Det ails
Protoc ol: HTT P ProKy, IP/Port :Not b ound/ 8080 2 Us ers def ired |PQuble Click

Se configureaz programul prin crearea unui serviciu IP n care se alege placa de reea ce face legtura la Internet. Sistemul pe care funcioneaz aceast aplicaie are dou plci de reea i se comport ca un gateway.

to change or delete a row, FI For help,]

Fig. 6.3: Interfaa aplicaiei FreeProxy

DeMne / Change Internet Service


internet ^eb Ser ver

Nam e: Ser vic e: Lis tening Pori: Loc al binding:

1080

00-D0-5S-3G-AD-7A: Intel(R) PRO /100+ MiniPCI

O.O.O.O

C:\
Rool palh: Def ault W eb Pag e; |indew.htm Allow Inc oming ? Inc oming Path: Addres s Alias : FLORIN

|Q|
1

Log Fil e:

l
Non e

30

Rep ort all c onn ec ts ? Cal end ar;

Us eHTT PAuthentic ation ?

HTTP Authentication Chi


! B a s i c I IDiges t Reairii.

Idie

T imeout

(s ec onds ):

Read T imeout (s ec onds ):

30

ntlm
Permis s ions ..

Canc el

Don e

Fig. 6.4: Setarea unui gateway Opiunea Permissions ofer selecia unui serviciu Proxy i a drepturilor ce pot fi oferite diverilor utilizatori. Pornirea serverului Proxy se execut prin selectarea opiunii Start/Stop. Odat executat, aplicaia Proxy rmne rezident n memorie i pornete automat la deschiderea calculatorului i iniializarea sistemului de operare. Pe celelalte calculatoare, care au acces prin acest proxy server trebuie realizate cteva setri. Astfel din Control Panel avem Internet Options, Connections i apoi Lan Settings unde trebuie bifat opiunea de folosire a unui server Proxy i introdus adresa IP mpreuna cu portul de acces al acestuia.

63

Securitatea sistemelor informatice


A FreeProxy / FreeWeb
Stait / Stop FieePioxv Seivice
Current status

6.1.5

Filtrele de pachete

Un astfel de sistem permite pachetelor s treac din reea ctre Internet i invers, dar selectiv, Pachetele sunt identificate dup tipul aplicaiei care
1 1 r - m - v \

service: ngi instaiied

consoie: NGtrunning
Ser vic e m od e

le-a construit (unele mtormaii se aria in antet). Antetul unui pachet TCP/IP conine adresele IP surs |, startF,eeP,o.,a.aSe,vice j i destinaie, porturile surs i destinaie i aa maiI stop and Remove FreHjstart: Freepmxy seivice departe. Dac se decide blocarea oricrui trafic FTP, consoiemode de exemplu, software-ul de filtrare a pachetelor va ^sta,tFreeProyin consoieMode] detecta toate pachetele care au numrul de port 20 sau 21 i le va interzice trecerea. ' Unii cred c se poate ocoli un sistem de g, [ --------- -----filtrare schimbnd numrul portului, lucru posibil , _ . ,. , ,, , Fig. 6.5: Pornirea serverului Proxy ntr-o oarecare msura. Totui, deoarece software-ul de filtrare este rezident n reeaua dv, el poate determina ctre ce interfa se ndreapt pachetul i de unde provine. n consecin, chiar dac numerele de port TCP sunt diferite, software -ul de filtrare poate uneori s blocheze corect traficul. Se poate folosi software-ul de filtrare a pachetelor n mai multe moduri. Cel mai obinuit, se blocheaz un serviciu, gen FTP sau Telnet. Se pot desemna de asemenea maini care trebuiesc mpiedicate sau lsate s acceseze reeaua - de exemplu, dac se constat ca o anumit reea a fost sursa unor probleme, se poate comanda software-ul aa nct s resping orice pachet de la acea reea. n unele cazuri se pot bloca toate serviciile, sau se poate permite numai anumitor servicii, gen e-mail, se treac prin filtru.

6.2 Reele VPN


9

O soluie alternativ o constituie o reea VPN (Virtual Private Network). Reelele VPN sunt bazate pe o infrastructur accesibil n mod public, cum ar fi Internetul sau reeaua de telefonie. Ele prezint diferite forme de criptare i au de obicei procedee solide de autentificare a utilizatorului. n esen, VPN este o form de WAN; diferena este utilizarea de reele publice mai degrab dect linii private (nchiriate). O reea VPN are aceleai servicii Intranet ca i WAN, dar suport i servicii de acces la distan (liniile nchiriate, din cazul WAN, nu se extind de obicei la case particulare i nu se aplic n cazul cltoriilor). Un utilizator VPN se poate conecta printr-un ISP (Internet Service Provider) n modul obinuit, eliminnd costurile legate de accesul la distante mari. Utilizatorul poate iniia o cerere "tunnel" ctre serverul destinaie. Serverul autentific utilizatorul i creeaz celalalt capt al "tunelului". Softul VPN cripteaz datele, le formateaz n pachete IP (pentru compatibilitate Internet) i le trimite prin "tunel", unde sunt decriptate la celalalt capt. Exista cteva "tunneling protocol": Point-to-Point Tunneling Protocol (PPTP) Layer 2 Tunneling Protocol (L2TP) IP security (IPsec)

64

Cap. 6 - Securitatea reelelor de calculatoare

6.2.1

Point-to-Point Tunneling Protocol (PPTP)

Este rezultatul cooperrii dintre mai multe firme (3Com, US Robotics, Microsoft etc). Utilizatorii pot s se conecteze telefonic (dial-in) la furnizorul de servicii Internet (ISP) local i apoi s se conecteze securizat printr-un tunel virtual la reeaua corporaiei lor. PPTP este un protocol orientat pe modelul client/server, proiectat special pentru asigurarea de tuneluri virtuale prin reele IP utiliznd PPP i nivelul 2. PPTP suport mai multe conexiuni PPP printr-un singur tunel PPTP. Aceste tuneluri virtuale sunt denumite n general reele virtuale private (VPN - Virtual Private Networks).
Legaturi PPP grupate

Clieni PPP 1

=^

Server RAS

Fig. 6.6: Structura PPTP Cea mai uzual implementare este de a oferi serviciul prin un punct de prezen (Point of Presence - POP) dial-up. Dup ce conexiunea fizic a fost stabilit i utilizatorul autentificat, PPTP se bazeaz pe PPP pentru crearea diagramelor. Apoi PPTP ncapsuleaz pachetele PPP pentru transmisia prin tunelul IP. Canalul de control separat PPTP folosete dou canale pentru a suporta conexiunea: un canal de date un canal de control - ruleaz peste legtura TCP, portul 1723. Acest canal conine informaii referitoare la starea legturii i mesaje de management. Mesajele de management sunt responsabile cu stabilirea, gestionarea i nchiderea tunelului PPTP. Suportul pentru mai multe protocoale O facilitate interesanta a PPTP este suportul pentru protocoale gen NetBEUI, IPX sau AppleTalk. Deoarece PPTP este un protocol de nivelul 2, el include i un antet de mediu de transmisie care i permite s opereze prin Ethernet sau conexiuni PPP. Autentificarea i securitatea datelor Criptarea i autentificarea datelor nu fac parte din PPTP. Acesta se bazeaz pe funciile protocolul PPP. Tipuri de tuneluri PPTP Calculatorul utilizatorului va determina captul tunelului: fie un server de acces de la distan (Remote Access Server - RAS) al ISP-ului ,

65

Securitatea sistemelor informatice

fie chiar calculatorul respectiv. Exist tuneluri voluntare i tuneluri obligatorii. ntr-un tunel voluntar, utilizatorul iniiaz conexiunea PPTP ctre un calculator din corporaie. n acest caz, ISP nu trebuie dect s asigure servicii IP elementare. Dac ISP asigur un server RAS, clientul are nevoie doar de PPP. n orice caz, utilizatorul nu are control asupra tunelului. n cazul tunelurilor obligatorii, avantajul este c folosirea Internetului poate fi controlat de corporaii; de asemenea, au capacitatea de a grupa traficul, mai muli clien i PPP putnd fi grupai ntr-o singur conexiune PPTP ctre Intranetul companiei. 6.2.2 Layer 2 Tunneling Protocol (L2TP)

Este asemntor cu PPTP, combinnd PPTP cu protocolul Layer 2 Forwarding (L2F) de la firma Cisco. Avantajul este c poate fi compatibil cu alte medii de transfer, precum ATM, i cu alte reele pe baza de pachete, gen X.25. L2F La fel ca i PPTP, L2F a folosit PPP ca suport pentru asigurarea conexiunii iniiale i a serviciilor precum autentificarea. Spre deosebire de PPTP, L2F a folosit Terminal Access Controller Access-Control System (TACACS) - protocol brevetat de Cisco, care ofer autentificare, autorizare i administrare. L2F folosete i el definiii de conexiuni tunel. Suport i un nivel suplimentar de autentificare. L2F ofer autentificare la nivel de gateway sau firewall. Suportul pentru IPsec IPsec difer de celelalte servicii pentru c este o specificaie deschis care suport nu numai autentificarea, dar i securitatea. Ca i PPTP, L2TP apeleaz la PPP pentru stabilirea conexiunii. L2TP se ateapt ca PPP s stabileasc conexiunea fizic, s fac autentificarea iniial, s creeze datagramele i, dup terminarea sesiunii, s nchid conexiunea. Dar L2TP va comunica cu celalalt nod pentru a determina dac nodul care face apelul este autorizat i dac punctul final dorete s suporte conexiune L2TP. Dac nu, sesiunea este nchis. Ca i PPTP, L2TP definete dou tipuri de mesaje: de date de control - folosite pentru a stabili i menine tunelul virtual i pentru a controla transmisia i recepia datelor. Spre deosebire de PPTP, care necesit dou canale, L2TP combin canalele de date i de control ntr-un singur flux. ntr-o reea IP, acest lucru se prezint sub forma mpachetrii datelor i a mesajelor ntr-o datagrama UDP. Datele utile constau n esen din pachetul PPP, minus elementele de ncadrare specifice mediului de transmisie. Deoarece L2TP este de nivel 2, el trebuie s nclud un antet pentru mediul de transmisie cu scopul de a-i indica nivelului superior modul n care trebuie transmis pachetul. Aceasta transmisie poate avea loc pe Ethernet, reele frame relay, X.25, ATM, sau prin legtur PPP iniial. Pentru reducerea congestionrii reelei, L2TP suport controlul fluxului. Acesta este implementat ntr-un concentrator de acces L2TP (L2TP Access Concentrator - LAC), care funcioneaz ca server de acces la reea, i un server L2TP de acces la reea (L2TP Network Access Server - LNS), care are rolul de a asigura

66

Cap. 6 - Securitatea reelelor de calculatoare

accesul la reeaua corporaiei. Mesajele de control conin informaii privind ratele de transmisie i parametrii zonelor tampon. Comunicndu-i reciproc aceste informaii, serverele LAC i LNS pot controla fluxul de date.
Conexiune prin Internet


clieni PPP

I
LNS

Fig. 7: Structura L2TP O alt metod pentru reducerea ncrcrii reelei este compresia anteturilor pachetelor. L2TP suport tot dou clase de conexiuni, ntr-o manier asemntoare cu PPTP: tuneluri voluntare i obligatorii. 6.2.3 IPsec

Deoarece protocolul TCP/IP nu ofer nici un fel de protecie, au aprut mai multe metode de a umple acest gol. De aceea, s-a lucrat la un set de protocoale numite IPsec. Documentele pentru aceste standarde au fost gndite pentru standardul IPv6 (publicate n 1995), dar au fost modificate pentru adaptarea lor la IPv4. Arhitectura IPSec este compus dintr -un set de protocoale pentru autentificarea pachetelor (AH), criptarea i/sau autentificarea pachetelor (eSp) i mecanisme pentru stabilirea parametrilor conexiunilor (SA-Security Associations) folosind IKE. IPSec folosete un algoritm pentru schimbarea cheilor ntre pri, numit Internet Key Exchange (IKE), care permite calculatoarelor s negocieze o cheie de sesiune n mod securizat, folosind protocoalele ISAKMP pentru crearea de Security Associations i OAKLEY bazat pe algoritmul Diffie-Hellman pentru schimbarea cheilor ntre cele dou pri. IKE se poate folosi n conjuncie cu Kerberos, certificate X.509v3 sau chei preshared. Authentication Header (AH) este ataat fiecrei datagrame i conine semntura sub form de hash HMAC cu MD5 sau HMAC cu SHA-1. Encapsulated Security Payload (ESP) cripteaz coninutul pachetelor n dou moduri: transport (protejeaz doar coninutul pachetului, nu i header-ul) sau tunel (ntreg pachetul este criptat). ESP folosete de asemenea hash-uri HMAC cu MD5 sau HMAC cu SHA-1 pentru autentificare i DES-CBC pentru criptare. Regulile de baz pentru securizarea traficului cu IPSec Crearea unei hri a traficului n reea ce include traficul care trebuie permis sau blocat, punctele surs destinaie i informaiile despre protocoalele folosite. Se creeaz filtre care corespund traficului de reea identificat anterior

67

7. Tehnici, servicii i soluii de securitate pentru Intranet-uri i portaluri


7.1. Introducere
Cele mai multe aplicaii de securitate pot fi privite n termeni de servicii generale pe care le pot oferi. Aplicaiile de securitate sunt instalate pentru a oferi un nivel de baz al securitii sau funcii care mbuntesc securitatea operaional dintr-o organizaie. ntre serviciile de securitate sunt cuprinse i urmtoarele: auditarea - un mecanism (de obicei un sistem de jurnalizare) care nregistreaz evenimentele care pot s includ accesul utilizatorilor i al fiierelor; autentificarea - un mecanism prin care se identific n mod pozitiv un utilizator prin cererea unor date de identificare (parol, smart card, amprente, date biometrice, etc.); autorizarea - resursele pe care un utilizator le poate accesa dup ce a fost autentificat; disponibilitatea - disponibilitatea unei resurse. Un atac mpotriva disponibilitii unui sistem este cunoscut sub numele de Denial of Service (DoS); confidenialitatea - protecia informaiilor private sau sensibile; integritate - protecia datelor mpotriva modificrilor neautorizate. Acest lucru este important mai ales n instituiile financiare; nerepudiere - un mecanism de prevenire a fraudelor prin care se dovedete c un utilizator a executat o anumit aciune; Toate aceste aplicaii obin nivelul dorit de protecie prin utilizarea criptografiei.

7.2. Criptografia
Criptografia este arta i tiina de a ine secrete datele, prin utilizarea criptrii folosind un algoritm specific. Un algoritm (numit i cifru) este un proces matematic sau o serie de funcii prin care se amestec datele. Cei mai muli algoritmi utilizeaz chei, astfel nct algoritmii pot s nu fie unici pentru o tranzacie, iar detaliile algoritmilor utilizai s nu fie secrete. Termenul cheie se refer la informaia necesar pentru a cripta sau decripta datele. Securitatea unei chei este deseori discutat n termeni de lungime sau bii ai acesteia, dar o cheie de mrime mare nu garanteaz securitatea de ansamblu a sistemului. Exist dou tipuri generale de criptografie, definite n funcie de tipul de cheie utilizat: criptografia cu cheie secret i criptografia cu cheie public. Cele mai multe aplicaii utilizeaz principiile unuia sau a ambelor tipuri de criptografie.

68

Cap. 7 - Tehnici, servicii i soluii de securitate pentru Intranet-uri i portaluri 7.2.1. Criptografia cu cheie secret Criptarea cu cheie secret, cunoscut sub numele de criptare simetric, utilizeaz o singur cheie pentru a cripta sau decripta datele. Securitatea algoritmului cu cheie secret este deseori legat de ct de bine este pstrat sau distribuit cheia secret. Algoritmii de chei secrete sunt mprii n algoritmi de bloc (block cipher), care proceseaz datele n blocuri msurate la un moment dat, sau algoritmi de iruri (stream cipher), care proceseaz la un moment dat un singur byte. Algoritmii de bloc exceleaz n criptarea datelor de lungime fix, n timp ce algoritmii de stream-uri sunt utilizai ndeosebi la criptarea stream-urilor aleatoare de date, precum traficul de reea ntre dou routere. ntre avantajele criptrii cu cheie simetric se numr rapiditatea procesului de criptare i simplitatea utilizrii acestuia. Dezavantajele sunt legate de distribuirea n siguran a cheii secrete i de managementului cheilor. Printre exemplele cele mai ntlnite de algoritmi cu cheie simetric cu criptare n bloc se numr Data Encryption Standard (DES), International Data Encryption Algorithm (IDEA), CAST128 (numit dup inventatorii acestuia - Carlisle, Adams, Stafford, Tavares) i Blowfish. Printre algoritmii de criptare a stream-urilor se numr Ron 's Cipher 4 (RC4) i SoftwareOptimizedEncryption Algorithm (SEAL). 7.2.2. Criptografia cu cheie public Criptografia cu cheie public sau criptografia asimetric utilizeaz o pereche de chei. Una dintre aceste chei, cheia public, este distribuit i publicat, n timp ce cealalt cheie trebuie inut secret. Dat fiind numai cheia public, este imposibil s se determine cheia secret. Chiar i cu cel mai modern hardware, algoritmii de generare a cheilor publice utilizeaz intensiv procesorul. Datorit acestei probleme legate de rapiditatea algoritmului, acetia nu sunt utilizai pentru a cripta datele brute. n schimb, datele sunt criptate cu un algoritm simetric. Multe din tehnologiile prezentate utilizeaz o combinaie de algoritmi cu cheie public i secret n care criptografia cu cheia public este utilizat pentru a securiza cheia simetric care este utilizat la criptarea datelor brute. O cheie simetric care a fost securizat utiliznd un algoritm cu cheie public se numete plic digital. Cheile private corespunztoare cheilor publice trebuie ntotdeauna securizate. Unul dintre mecanismele utilizate pentru stocarea cheii private este smart card-ul - un dispozitiv electronic asemntor unei cri de credit. Un smart card criptografic are abilitatea de a genera i stoca chei n el nsui, asigurndu-se astfel faptul c cheia privat nu este expus ctre maina local. Smart card-urile pot fi vulnerabile la atacuri, dar ofer o mult mai mare securitate fa de stocarea cheilor private pe o main local. Printre algoritmii cu cheie public se numr RSA, ElGamal i Diffie-Hellman Hey Exchange. 7.2.3. Managementul cheilor i distribuia acestora Una din problemele fundamentale att n sisteme de criptografie cu cheie public ct i n cele cu cheie secret este modalitatea de distribuire i meninere a cheilor utilizate pentru criptare i decriptare, n mod securizat. Algoritmii cu cheie secret depind de obinerea n mod securizat a cheii de ctre toate prile implicate. De exemplu, e-mail-ul nu este considerat un mecanism securizat de distribuire a cheilor, deoarece tere pri l pot intercepta n tranzit.

69

Securitatea sistemelor informatice

O alt problem a criptografiei cu cheie secret este faptul c nu este un sistem la fel de scalabil ca i criptarea cu cheie public. De exemplu, n cazul n care se dorete trimiterea unui mesaj criptat cu o cheie secret ctre mai muli destinatari, toi trebuie s primeasc cte o cheie prin care s se poat decripta mesajul. Astfel, expeditorul trebuie s se asigure de faptul c toi destinatarii recepioneaz cheia, c aceasta nu este interceptat sau compromis n timpul tranzitului i c este pstrat n mod securizat n momentul atingerii destinaiei finale. Pentru fiecare mesaj nou trimis, procesul trebuie s se repete, cu excepia faptului cnd se dorete reutilizarea cheii iniiale. Reutilizarea cheii originale sporete ansele ca aceasta s fie compromis, iar n cazul n care se dorete ca fiecare destinatar s aib o cheie secret, sistemul de distribuie nu mai este gestionabil. Prin utilizarea criptografiei cu cheie public are loc un singur schimb de chei publice pentru fiecare destinatar, iar acest lucru poate fi uurat prin plasarea acestora ntr -un director precum Lightweight Directory Access Protocol (LDAP). Totui, cheia public trebuie schimbat printr-un mecanism de ncredere i securizat, avnd grij ca acea cheie s aparin ntr-adevr unei anume persoane i nu unui ter care impersoneaz persoana real. 7.2.4. Funciile Hash O funcie hash ofer un mijloc de a crea un coninut cu lungime fix prin utilizarea unor date de intrare cu lungime variabil. Acest lucru mai este cunoscut i sub numele de luarea unei amprente a datelor, iar datele de ieire sunt cunoscute sub numele de message digest sau hash. n cazul n care datele se modific dup ce a fost calculat funcia hash, aceast valoare nu se va mai potrivi la o a doua calculare. Prin utilizarea unui algoritm hash criptografic, chiar i o mic modificare precum tergerea sau adugarea unei virgule dintr-o propoziie va crea mari diferene ntre valorile hash. De asemenea, la polul opus, avnd la dispoziie un mesaj hash criptat cu un algoritm criptografic puternic, nu este posibil determinarea mesajului iniial. Valorile hash rezolv problema integritii mesajelor, deoarece prin aceste valori se poate verifica dac datele au fost sau nu modificate. ntre algoritmii de tip hash se numr Secure Hash Algorithm 1 (SHA-1) i Message Digest 5 (MD 5). Securitatea general att a cheilor publice ct i a celor private poate fi discutat i n termeni de lungime. O cheie de mrime mare nu garanteaz securitatea de ansamblu a sistemului sau gestiunea securizat a cheilor. De asemenea, aceasta nu rezolv alte probleme, precum generarea de numere aleatoare (slaba utilizare a generrii de numere aleatoare a compromis implementarea SSL original n browser-ul Netscape). Lungimea unei chei n sine indic numai faptul c algoritmul de criptare utilizat este unul puternic. Trebuie notat faptul c lungimea cheilor publice i secrete difer din punct de vedere al mrimii i securitii. De exemplu, o cheie RSA de 512 bii ofer o securitate mai mic dect o cheie de 128 bii de tip Blowfish. Tabelul 7.1 rezum anumite relaii agreate ntre cheile publice (RSA) i cele secrete, din punct de vedere al lungimii.

70

Cap. 7 - Tehnici, servicii i soluii de securitate pentru Intranet-uri i portaluri

Tabelul 7.1 Relaii agreate ntre lungimea cheii publice i cea a __________________ cheii private Lungime cheie secret (cifru bloc) Cheie RSA 56 bii 80 bii 112 bii 128 bii 256 bii 512 bii 1024 bii 2048 bii 3072 bii 15360 bii

7.2.5. Utilizarea semnturilor digitale. Riscuri de securitate Prin semnarea de ctre Preedintele SUA a The Electronic Signatures in Global and National Commerce Act n 30 iunie 2000, semnturile digitale au devenit un subiect din ce n ce mai important. Termenul de semntur electronic are interpretri mai largi, pornind de la semnturi criptografice digitale pn la o imagine scanat a unei semnturi de mn. n ambele cazuri, se definete calea pentru utilizarea legal a semnturilor digitale n comunicaiile electronice. Semnturile digitale pot ajuta la identificarea i autentificarea persoanelor, organizaiilor i a calculatoarelor prin Internet, putnd fi utilizate i pentru a verifica integritatea datelor dup terminarea tranzitului. Semnturile digitale sunt asemntoare semnturilor de mn, care sunt utilizate zilnic pentru a identifica un individ ntr-o manier legal. De exemplu, n momentul n care o persoan se decide asupra termenilor unui contract, includerea unei semnturi de mn indic faptul c acea persoan este de acord cu termenii acelui contract. n continuare, persoana respectiv nu ar mai trebui s nege faptul c a semnat acel document sau c termenii acelui contract nu corespund dorinelor lui, dect n caz de falsificare. n mod asemntor, semnturile digitale pot identifica persoana care a semnat o tranzacie sau un mesaj, dar spre deosebire de semnturile de mn, o semntur digital poate ajuta n verificarea faptului c un document sau o tranzacie nu a fost modificat fa de starea original din momentul semnrii. Deosebirea principal fa de semntura de mn este aceea c, n cazul n care sistemul a fost implementat corespunztor, semntura digital nu se poate falsifica. n condiii ideale, acest lucru poate nsemna faptul c un mesaj semnat digital trebuie s aparin persoanei a crei semntur apare n mesaj. Incapacitatea de a nega faptul c un mesaj sau o tranzacie a fost executat (semnat, n acest caz) se numete nerepudiere. Semntura digital ofer trei servicii de securitate de baz: autentificare, integritate i nerepudiere. Semnturile digitale obin un grad ridicat de securitate prin utilizarea a dou tehnici de criptografie: criptarea cu cheie public i hashing. Crearea unei semnturi digitale presupune hashing-ul datelor, apoi criptarea mesajului rezultat cu o cheie privat. Orice persoan care deine cheia public corespondent va fi capabil s verifice faptul c mesajul hash corespunde mesajului original. Scopul semnturilor digitale este acela de a identifica n mod pozitiv expeditorul unui mesaj i de a asigura faptul c datele nu au fost modificate. Dar, exist i probleme

71

Securitatea sistemelor informatice

care pot aprea n timpul instalrii i utilizrii acestei tehnologii n mod securizat. De exemplu, utilizarea unui algoritm de hash slab ofer o securitate sczut n combinaie cu un algoritm de criptare puternic. Din nefericire, simpla vizualizare a unui mesaj hash nu este suficient pentru a detecta utilizarea unui algoritm slab. nelegerea riscurilor asociate cu utilizarea semnturilor digitale presupune nelegerea limitrilor acestei tehnologii. Astfel, o semntur digital, cnd nu este legat de numele utilizatorului printr-un certificat digital, nu are nici o semnificaie. Distribuirea securizat a semnturii digitale este singura garanie a securitii ei. n cazul n care este nevoie de o distribuire la scar a cheilor publice pentru verificarea semnturilor digitale, trebuie creat o baz de date la care persoanele interesate s aib acces de citire, n timp ce scrierea trebuie restricionat cu cele mai puternice tehnologii. Poate cel mai mare risc al semnturilor digitale este acordarea unei prea mari ncrederi acestei tehnologii. Semnturile de mn pot fi falsificate sau fotocopiate ntr- un nou document, dar acest lucru nu ar trebui s fie valabil ntr-un sistem de semnturi digitale implementat n mod corespunztor. O semntur de mn poate s ofere o certitudine pn la ruperea modelului de ncredere. Problema cu semnturile digitale este aceea c nu se tie nc unde i cnd nu se mai poate vorbi de ncrederea acordat sistemului.

7.2.6. Certificate digitale. Riscuri de securitate O semntur digital n sine nu ofer o legtur puternic cu o persoan sau o entitate. Cum se poate ti c o cheie public utilizat pentru a crea o semntur digital aparine ntr adevr unui individ anume i c acea cheie este nc valid? Pentru acest lucru este necesar un mecanism care s ofere o legtur ntre cheie public i un individ real, funcie ndeplinit de certificatele digitale. Certificatele digitale pot oferi un nivel ridicat de ncredere asupra faptului c persoana al crei nume apare pe acel certificat are ca i corespondent o anumit cheie public. Aceast ncredere este realizat prin utilizarea unei tere pri, cunoscut sub numele de Autoritate de Certificare (Certificate Authority - CA). O autoritate de certificare semneaz un certificat n calitate de garant pentru identitatea unei persoane al crei nume apare pe certificatul respectiv. Formatul curent acceptat pentru certificate digitale este X.509v3. Standardul X.509v3 definit n RFC 2459 descrie un format agreat de certificate digitale. Acest standard definete elementele unui certificat: Certificate Version - indic versiunea formatului unui certificat; Serial Number - un numr unic asignat de ctre autoritatea de certificare, utilizat pentru urmrirea certificatelor; Signature - identific algoritmul de criptare i funciile de tip message digest suportate de CA; Issuer name - numele emitentului (al CA); Period of Validity - datele ntre care certificatul este valid. Aceast perioad nu exclude ca certificatul s fie revocat; Subject - numele proprietarului certificatului; Subject's Public Key Info - cheia public i algoritmul asociat cu cmpul Subject;

72

Cap. 7 - Tehnici, servicii i soluii de securitate pentru Intranet-uri i portaluri

Issuer Unique ID - un cmp opional utilizat pentru a identifica emitentul certificatului sau autoritatea de certificare. Utilizarea acestui cmp nu este recomandat n RFC 2459; Extensions - cmp opional utilizat pentru extensii proprietare. Acest cmp nu este definit dar cuprinde articole precum: alte denumiri ale subiectului, informaii pentru utilizarea cheilor i punctele de distribuie a listelor de revocare a certificatelor (Certificare Revocation List - CRL); Encrypted - acest cmp conine semntura n sine, identificatorul algoritmului, hashul securizat al celorlalte cmpuri din certificat i o semntur digital a hash -ului.

Formatul certificatului digital este relativ uor de neles, dar schimbul de certificate ntre persoane poate ridica anumite dificulti. Asigurarea faptului c un certificat aparine unui utilizator anume este dificil de realizat. De exemplu, ntr-o organizaie pot exista mai multe persoane cu numele Ioan Popescu, dar numai unul dintre ei este utilizatorul vizat al certificatului. Certificatele necesit mijloace de gestionare a crerii acestora, distribuirea lor, stocarea centralizat, revocarea, backup-ul cheilor i actualizarea acestora. Acest sistem de management este cunoscut sub numele de infrastructura de chei publice ( Public Key Infrastructure - PKI). O infrastructur de chei publice este o arhitectur de securitate creat pentru a facilita instalarea tehnologiei de chei publice. ntre componentele unui P KI se pot numra un depozit de certificate (de obicei un serviciu director compatibil LDAP), certificatele digitale, listele de revocare a certificatelor (CRL), software-ul pentru aceste aplicaii, precum i aspectul uman al acestor proceduri. O PKI cuprinde cteva servicii de baz de securitate ntre care se numr autentificarea utilizatorilor, confidenialitatea i integritatea, ajutnd de asemenea la implementarea nerepudierii. O autoritate de certificare este o component a infrastructurii generale de chei publice i este o component critic pentru o implementare la scar a acestei infrastructuri. Funcia principal a unei autoriti de certificare este aceea de a certifica faptul c perechea cheie public / cheie privat aparine ntr-adevr unui individ anume. Obinerea certificatelor digitale se poate face n mai multe moduri, n funcie de scopul acestora. De exemplu, se poate utiliza Microsoft Certificate Services din Windows 2000/2003 pentru a instala certificate auto-emise. O alt opiune este obinerea unor certificate de la un distribuitor de certificate. Unul dintre cei mai mari distribuitori este VeriSign. Acesta ofer certificate pentru S/MIME, SSL (client i server), Server Gated Cryptography (SGC) pentru instituii financiare, certificate de tip Authenticode pentru publicarea de software, etc. Certificatele digitale pot reprezenta un mecanism puternic de autentificare, n special n momentul n care sunt stocate pe smart card-uri. Dar, pentru ca certificatele digitale s reprezinte o securitate adecvat, trebuie rezolvate mai nti problemele de ncredere. De exemplu, o autoritate de certificare trebuie s posede mecanisme de securitate puternice pentru a identifica n mod pozitiv toi participanii care doresc asemenea certificate. ntrebarea "ct de bine identific o autoritate de certificare un viitor posesor?" determin securitatea de ansamblu a infrastructurii de chei publice. Dac scopul unui certificat este de a lega un individ de o semntur digital, cum se poate cunoate c certificatul aparine ntr-adevr persoanei reale i nu unui

73

Securitatea sistemelor informatice

impostor? Poate c certificatul aparine unui utilizator neintenionat cu acelai nume ca i al utilizatorului real. Multe certificate se bazeaz pe numele care apar n cmpul Subject pentru a identifica posesorul. n cazul n care funcia unei autoriti de certificare este aceea de a certifica identitatea unui individ i de a oferi servicii de nerepudiere, acest lucru ridic i probleme de rspundere sau obligaie. O alt problem cu certificatele digitale este reprezentat de faptul c listele de revocar e a certificatelor (CRL) sunt verificate foarte rar, inclusiv de ctre browser-ele Web. Un certificat poate fi revocat din mai multe motive, ntre care se numr compromiterea cheii, compromiterea autoritii de certificare sau o schimbare a autoritii de certificare. Problemele legate de distribuirea listelor de revocare a certificatelor nu au fost nc rezolvate pe deplin.

7.2.7. Autentificarea Kerberos V5 Kerberos V5, protocolul principal de securitate pentru autentificare ntr-un domeniu, verific att identitatea utilizatorului ct i a serviciilor de reea. Aceast dubl verificare este cunoscut i sub numele de autentificare reciproc. Acest protocol, dezvoltat iniial la MIT, este capabil s ofere servicii puternice de autentificare ntr-un mediu de calcul distribuit. Totodat, prin includerea lui ca protocol de autentificare implicit ntr-un domeniu Windows 2000/2003, a fost accelerat procesul de dezvoltare a aplicaiilor bazate pe acesta. Modelul Kerberos se bazeaz pe faptul c aplicaia client i aplicaia server nu trebuie neaprat s-i acorde reciproc ncredere, ci ambele trebuie s acorde ncredere unui centru de distribuie a cheilor (Key Distribution Center - KDC). Kerberos ofer un sistem de mesaje criptate numite tichete, care asigur n mod securizat ncrederea reciproc dintre dou maini din reea. Utiliznd Kerberos, parolele nu mai sunt transmise n reea, nici chiar n format criptat. n cazul n care un tichet Kerberos este interceptat, acesta rmne protejat deoarece este criptat. Odat ce o main client obine un tichet ctre un anume server, tichetul este pstrat pe maina local pn la expirare, fcnd astfel Kerberos un sistem de autentificare foarte eficient. n funcie de implementare, un tichet Kerberos expir de obicei dup opt ore. n mod implicit Kerberos utilizeaz criptarea cu cheie simetric. O implementare Kerberos standard are de obicei urmtoarele componente: Principal - un calculator, utilizator sau entitate care va fi autentificat; Realm (domeniu n Windows 2000/2003) - o grupare logic de obiecte de tip principal care va fi protejat de Kerberos. Toate conturile utilizatorilor i resursele protejate rezid n interiorul unui realm Kerberos; Key Distribution Center (KDC) - partea din implementarea Kerberos care autentific obiectele de tip principal. KDC distribuie chei secrete i mediaz comunicaia securizat ntre un calculator client i resursele din reea. Cheile secrete sun t stocate n Key Distribution Center; Ticket Granting Service (TGS) - ofer tichete de tip sesiune pentru accesarea altor resurse dintr-un realm Kerberos. De obicei TGS ruleaz n Key Distribution Center; Ticket Granting Ticket (TGT, sau tichet utilizator n Windows 2000/2003 ) - un jeton de securitate care verific faptul c o entitate a fost autentificat.

74

Cap. 7 - Tehnici, servicii i soluii de securitate pentru Intranet-uri i portaluri TGT asigur faptul c utilizatorii nu mai trebuie s reintroduc parola dup un login iniial, pn la expirarea tichetului. Session Ticket (ST, sau tichet de serviciu n Windows 2000/2003) - un jeton de securitate care permite unui obiect de tip principal s acceseze resurse protejate. Pentru accesarea oricrei aplicaii care utilizeaz Kerberos este necesar un tichet de sesiune valid.

Cum funcioneaz Kerberos V5 Mecanismul de securitate din Kerberos V5 emite tichete pentru accesarea serviciilor de reea. Aceste tichete conin date criptate, inclusiv o parol criptat care confirm identitatea utilizatorului fa de serviciul accesat. Un serviciu important n Kerberos V5 este Key Distribution Center (KDC) care ruleaz pe fiecare controler de domeniu parte a Active Directory, n care se stocheaz toate parolele clienilor precum i alte informaii. Procesul de autentificare Kerberos V5 urmeaz paii: utilizatorul unui sistem client, utiliznd o parol sau un smart card, se autentific fa de KDC; KDC emite clientului un tichet de tip Ticket Granting Ticket. Sistemul client utilizeaz acest jeton TGT pentru a accesa Ticket Granting Service (TGS), care este parte a mecanismului de autentificare dintr-un controler de domeniu; TGS emite un tichet de serviciu ctre client; clientul prezint acest tichet serviciului de reea accesat. Tichetul de serviciu dovedete att identitatea utilizatorului ctre serviciu, ct i a serviciului fa de client. 7.2.7.1.
n Windows 2000/2003 serviciile Kerberos V5 sunt instalate pe fiecare controler de domeniu, iar clientul Kerberos este instalat pe fiecare staie de lucru i server. Fiecare controler de domeniu se comport ca i un Key Distribution Center. Un client utilizeaz Domain Name Service (DNS) pentru a localiza cel mai apropiat controler de domeniu, care va funciona ca i KDC preferat pentru utilizator n timpul sesiunii de logon. n cazul n care KDC nu mai este disponibil, sistemul localizeaz un KDC alternativ, pentru autentificare.

7.2.7.2.

Riscuri de securitate n Kerberos Principala slbiciune a Kerberos este aceea c rmne vulnerabil la atacurile date prin "ghicirea" parolei. Dac utilizatorul alege o parol "slab", este posibil ca tichetul s fie colectat i decriptat, impersonndu-se astfel utilizatorul. Parolele statice sunt cel mai mare punct de slbiciune n orice sistem de securitate, deoarece utilizatorii nu aleg de obicei parole greu de gsit. Prin mariajul tehnologiei de criptare cu cheie public cu Kerberos se face un pas important n nlturarea acestei slbiciuni. De asemenea, Kerberos presupune faptul c gazdele nu au fost compromise. n esen, Kerberos este un model al gazdelor cu relaii de ncredere (sigure) ntr-o reea nesigur. n cazul n care viaa tichetului este setat prea lung, protocolul devine nesigur prin expunerea unui tichet de serviciu pentru o perioad de timp prea mare. Iar dac viaa tichetulu i este prea scurt, aceasta poate avea un impact negativ asupra performanelor i utilizrii.

75

Securitatea sistemelor informatice

Utilizarea DES n Kerberos poate fi de asemenea o problem, deoarece DES nu mai este considerat un algoritm sigur. Dar Kerberos permite i utilizarea altor algoritmi de criptare, mai puternici, precum Triple-DES. Alte riscuri de securitate mai pot fi considerate i relaiile tranzitive de ncredere i abilitatea de a nainta tichetele. 7.2.8. Autentificarea SSL/TLS Secures Sockets Layer (SSL), tehnologia care permite utilizarea certificatelor digitale, este un protocol din nivel transport care ofer o securitate deosebit de tip end- to-end, prin securizarea sesiunii din punctul de origine pn n punctul destinaie. SSL se refer n general la securitatea comunicrii ntre dou pri. Acest lucru poate nsemna comunicarea dintre un browser Web i un server Web, o aplicaie e-mail i un server email sau chiar canalele de comunicaie dintre dou servere. SSL poate de asemenea s autentifice un server i, n mod opional, un client. SSL a devenit astfel, metoda de facto pentru securizarea comerului electronic prin Internet. SSL este un protocol orientat pe conexiuni care necesit ca att aplicaia client ct i serverul s cunoasc acest protocol. n cazul n care este necesar SSL la nivelul unui server, aplicaiile care nu pot s utilizeze acest protocol nu vor putea comunica cu acesta. SSL ofer servicii de securitate printre care se numr: confidenialitatea (privacy), autentificarea i integritatea mesajului. SSL ofer integritatea mesajului prin utilizarea unei verificri de securitate cunoscut sub numele de codul de autentificare al mesajului (message authentication code - MAC). MAC asigur faptul c sesiunile criptate nu sunt modificate n timpul tranzitului. SSL ofer autentificarea serverului prin utilizarea tehnologiei de criptare cu cheie public i, n mod opional, poate autentifica anumii clieni prin necesitatea existenei de certificate digitale la nivel de client. n practic, certificatele pentru clieni nu sunt disponibile pe scar larg deoarece nu sunt uor portabile ntre maini, pot fi uor pierdute sau distruse, fiind n trecut i dificil de instalat n aplicaiile reale. De asemenea, multe site-uri Web au gsit satisfctoare din punct de vedere al securitii pentru cele mai multe cazuri, combinaia de SSL utilizat mpreun cu un nume de utilizator i o parol. Internet Engineering Task Force (IETF) este organizaia responsabil pentru dezvoltarea standardului SSL. Noul standard este cunoscut sub numele de Transport Layer Security (TLS), dezvoltat iniial de Netscape Communications Corporation. TLS 1.0 definit n RFC 2246, ofer mbuntiri minore fa de SSL 3.0. n realitate TLS este SSL 3.1 Noile mbuntiri cuprind: raportarea unui numr de versiune, diferene n tipurile de protocoale, tipuri de mesaje de autentificare, generarea cheilor i verificarea certificatelor. n plus, TLS elimin suportul pentru algoritmul Fortezza, o familie de produse de securitate care cuprinde soluiile de securitate Personal Computer Memory Card International Association (PCMCIA). Deoarece TLS este un standard deschis, este de ateptat ca ntreaga comunitate Internet s coopereze pentru mbuntirea performanei i securitii acestuia.

76

Cap. 7 - Tehnici, servicii i soluii de securitate pentru Intranet-uri i portaluri Legtura SSL-HTTP Sesiunile Web standard utilizeaz HyperText Transfer Protocol (HTTP) pentru a stabili canale de comunicaie prin reelele TCP/IP. SSL a fost creat ca i un protocol de securitate separat, care mbuntete standardul HTTP. Din punct de vedere logic, SSL se insereaz ntre protocolul aplicaie HTTP i nivelul de conversaie TCP, din punctul de vedere al TCP SSL fiind doar un alt nivel protocol de nivel aplicaie. Deoarece SSL se comport ca o mbuntire, adugarea SSL la protocoalele existente este simpl, nemainecesitnd rescrierea protocoalelor de baz. Din cauza acestui design flexibil, SSL este capabil s cripteze aproape ntregul trafic bazat pe TCP. Mai mult, SSL a fost utilizat pentru a oferi securitate la nivel de sesiune pentru e mail (SMTPS, POP3S, IMAPS), news (NNTPS), LDAP (LDAPS), IRC (IRCS), Telnet (Telnets), FTP (FTPS). Dar SSL nu poate s mbunteasc transmisiunile prin UDP. n general traficul Web bazat pe SSL este configurat s utilizeze portul 443 n locul portului standard 80. Browser-ele Web vor crea o sesiune SSL prin utilizarea HTTPS n locul HTTP.

7.2.8.1.

Cum funcioneaz SSL Pentru funcionarea unei sesiuni bazat pe SSL, trebuie luate n calcul o serie de elemente. Astfel, serverul Web necesit un certificat digital mpreun cu o cheie privat corespunztoare. Cel mai mare distribuitor de certificate pentru server este VeriSign. Obinerea i instalarea unui certificat SSL de la VeriSign presupune un proces n mai muli pai: generarea unei cereri, trimiterea unui Certificate Signing Request (CSR), completarea unui formular prin care se autentific un utilizator sau o afacere, instalarea identificatorului de server i activarea SSL pentru serverul Web. Autentificarea prin VeriSign presupune i verificarea datelor trimise de organizaia care necesit un certificat. nainte de stabilirea unei sesiuni SSL, clientul trebuie s cunoasc de asemenea acest protocol. n momentul existenei elementelor necesare, clientul i serverul pot stabili o conexiune securizat. Procesul prin care se stabilete o conexiune ntre un client i un server (de exemplu cumprare online), se desfoar n mai muli pai. SSL utilizeaz o combinaie de criptri cu chei publice i secrete. Datele brute ale unei sesiuni SSL sunt ntotdeauna criptate cu cheia secret, fiind mult mai puin consumatoare de resurse din punct de vedere al procesrii dect criptarea cu cheie public. Protocolul SSL/TLS suport mai muli algoritmi de criptare cu cheie secret, printre care DES, Triple-DES, IDEA, RC2 i RC4. Algoritmii cunoscui pentru schimbarea cheilor cuprind Diffie- Hellman i RSA. O sesiune SSL cuprinde urmtorii pai: ClientHello - n acest pas, clientul trimite un mesaj ctre server (ClientHello) cernd opiuni de conectare SSL, ntre care numrul de versiune al SSL, setrile cifrului, date generate n mod aleator care stau la baza calculelor criptografice i metoda de compresie utilizat; ServerHello - dup primirea mesajului ClientHello, serverul ia la cunotin recepia prin trimiterea unui mesaj ServerHello care conine numrul de 7.2.8.2.

77

Securitatea sistemelor informatice

versiune al protocolului, setrile cifrului, date generate aleator, metoda de compresie i identificatorul de sesiune; ServerKeyExchange - imediat dup trimiterea ServerHello, serverul trimite un mesaj de tip ServerKeyExchange ctre client care conine certificatul cu cheia public. n cazul n care sunt necesare i certificate din partea clienilor, este generat o cerere n acest sens; ServerHelloDone - dup ServerKeyExchange, serverul trimite un mesaj final prin care se indic finalizarea negocierii iniiale; ClientKeyExchange - dup recepionarea mesajului de tip ServerHelloDone, clientul rspunde cu mesajul ClientKeyExchange care const n cheia simetric a sesiunii, criptat cu cheia public a serverului, primit n pasul 3; ChangeCipherSpec - n acest pas clientul trimite ctre server un mesaj de tip ChangeCipherSpec n care specific ce setri de securitate ar trebui invocate /utilizate; Finished - clientul trimite mesajul Finished, prin care se permite determinarea finalizrii cu succes a negocierii i dac opiunile de securitate au fost sau nu compromise n orice stagiu anterior; ChageCipherSpec - serverul trimite ctre client un mesaj de tip ChangeCipherSpec, prin care se activeaz opiunile de securitate invocate; Finished - serverul trimite un mesaj de tip Finished, permind clientului s verifice opiunile de securitate activate. Dup trimiterea acestui mesaj, negocierea este finalizat, iar conexiunea este stabilit. n continuare, toate comunicaiile sunt criptate, pn la terminarea sau finalizarea sesiunii.

Performana SSL Dac SSL ofer o asemenea securitate, de ce nu se cripteaz ntregul trafic? Dei este o idee bun, n procesul de criptare i stabilire a unei conexiuni SSL este implicat i foarte mult trafic adiional, din cauza naturii protocolului HTTP care creeaz o nou sesiune pentru fiecare obiect cerut dintr-o pagin Web. De exemplu, ntr-o simpl tranzacie n care browser-ul cere o singur pagin de text cu patru imagini, genereaz cinci cereri GET (una pentru pagin i patru pentru imagini). Prin utilizarea SSL, pentru fiecare din aceste sesiuni trebuie negociate chei separate de criptare. Pentru a nrutii i mai mult lucrurile, utilizatorii frustrai de timpul de rspuns rencarc pagina n browser-ul Web (refresh), genernd i mai multe conexiuni SSL. Pentru mbuntirea performanelor SSL se pot aplica urmtoarele: utilizarea de acceleratoare de criptare hardware, proces care nu necesit rescrierea paginilor Web sau achiziionarea de servere adiionale; utilizarea de pagini SSL simple, cu ct mai puine imagini; utilizarea SSL numai pentru anumite pagini Web selectate, precum acelea prin care se trimit informaii privitoare la crile de credit; cache-ingul conexiunilor SSL permite de asemenea mbuntirea performanelor, deoarece stabilirea unei noi conexiuni necesit de cinci ori mai mult timp dect reconectarea la o sesiune pstrat n cache. Cu toate acestea, activarea sesiunilor SSL n cache este dificil de implementat - dac timpul de expirare este stabilit prea mare, serverul poate consuma prea mult memorie prin pstrarea conexiunilor neutilizate. De asemenea, cache-ul 7.2.8.3.

78

Cap. 7 - Tehnici, servicii i soluii de securitate pentru Intranet-uri i portaluri conexiunilor nu ar putea fi dezirabil din punct de vedere al securitii paginilor dintr-un site. De exemplu, o aplicaie bancar online ar trebuie s favorizeze securitatea i s nu activeze cache-ingul conexiunilor.

7.2.8.4.

Riscuri de securitate n SSL

SSL nu ofer nici o protecie n afara sesiunilor, iar serverele Web care permit utilizarea SSL nu pot s ofere protecie pentru date care sunt stocate n format text n server. SSL nu ofer protecie mpotriva atacurilor bazate pe Web precum exploatarea diverselor puncte slabe prin scripturi CGI. De asemenea, SSL nu ofer nici un mecanism pentru controlarea drepturilor de securitate (ceea ce i este permis unei persoane s fac dup autentificarea pe un server). n cele din urm, SSL nu protejeaz mpotriva atacurilor de tip Denial of Service i rmne vulnerabil la analiza traficului. Pentru a oferi un nivel de securitate adecvat, serverele care lucreaz cu SSL ar trebui s suporte criptarea pe 128 bii i o cheie public pe 1024 bii. Certificatele la nivel de server auto-semnate pot oferi securitate, dar nu i autentificare. Un certificat auto-semnat nu este considerat sigur de ctre maina client fr a executa anumii pai adiionali. 7.2.9. Autentificarea NTLM ntr-un mediu de reea, NTLM este utilizat ca i protocol de autentificare pentru tranzaciile dintre dou calculatoare n care unul dintre ele ruleaz Windows NT 4.0 sau mai mic iar cellalt Windows 2000 sau mai mare. n exemplele urmtoare se utilizeaz NTLM ca mecanism de autentificare: un client Windows 2000 sau Windows XP Professional care se autentific ntr- un controler de domeniu Windows NT 4.0; o staie de lucru client Windows NT 4.0 Workstation care se autentific ntr -un domeniu Windows 2000 sau Windows 2003; o staie de lucru Windows NT 4.0 Workstation care se autentific ntr-un domeniu Windows NT 4.0; utilizatorii dintr-un domeniu Windows NT 4.0 care se autentific ntr-un domeniu Windows 2000 sau Windows 2003. Pe lng acestea, NTLM este protocolul de autentificare pentru calculatoarele care nu particip ntr-un domeniu, precum staiile de lucru sau serverele independente. 7.2.10. Comparaie Kerberos - NTLM Pe msur ce a crescut popularitatea Windows NT 4.0, a crescut i interesul de securizare a sistemului, iar prin adugarea autentificrii Kerberos n Windows 2000, Microsoft a crescut n mod semnificativ facilitile sistemului de operare. n versiunile Windows 2000/2003 NT LAN Manager (NTLM) este oferit numai pentru compatibilitate napoi, cu Windows NT, i ar trebui dezactivat ndat ce clienii din reea se pot autentifica utiliznd Kerberos. Kerberos are anumite beneficii fa de NTLM. Astfel, Kerberos se bazeaz pe standarde n vigoare, deci permite Windows 2000/2003 s interacioneze cu alte reele care utilizeaz Kerberos V5 ca mecanism de autentificare. NTLM nu poate oferi aceast

79

Securitatea sistemelor informatice

funcionalitate deoarece este un protocol proprietate a sistemelor de operare de la Microsoft. Conexiunile la serverele de aplicaii i fiiere sunt mai rapide n momentul utilizrii autentificrii bazate de Kerberos, deoarece serverul Kerberos trebuie s verifice numai datele oferite de client pentru a determina dac i permite accesul. Aceleai date oferite de client pot fi utilizate n ntreaga reea, pe ntreaga durat a sesiunii de logon. n momentul utilizrii NTLM, aplicaiile i serverele trebuie mai nti s contacteze un controler de domeniu pentru a determina dac clientului i este permis accesul. Autentificarea Kerberos este oferit att pentru client ct i pentru server, n timp ce NTLM ofer numai autentificare pentru client. Astfel, clienii NTLM nu tiu cu siguran dac serverul cu care comunic nu este unul fals. Kerberos ofer i posibilitatea relaiilor de ncredere, fiind baza pentru relaiile tranzitive dintre domenii din Windows 2000/2003. O relaie tranzitiv de ncredere este o relaie n dou sensuri deoarece este creat o cheie inter-domenii, partajat de ambele domenii. Exist i consideraii asupra faptului c implementarea Kerberos a Microsoft nu este una standard, mai ales din cauza modificrilor i extensiilor care au fost aduse protocolului. Aceste modificri privesc mai ales utilizarea Kerberos cu tehnologia de criptare cu cheie public, fcnd astfel posibil autentificarea prin smart card, care este mult mai sigur dect o parol static. 7.2.11. SSH UNIX este un sistem de operare sofisticat i matur care a fost dezvoltat de Bell Labs la nceputul anilor 1970. Pe msura trecerii anilor, Unix a avut partea sa de probleme de securitate, multe dintre ele fiind rezolvate. n general, Unix este considerat a fi un sistem de operare sigur i stabil cnd este configurat n mod corect. Cu toate acestea, exist o serie de protocoale care continu s defimeze securitatea sistemelor Unix, printre acestea numrndu-se Telnet, FTP precum i faimoasele comenzi de la Berkley de tip r*" (rcp, rsh, rlogin). Programe i protocoale nesigure continu s ofere acces uor la sistem att pentru administratori ct i pentru utilizatori ruvoitori. Aceste protocoale rmn vulnerabile n mare parte datorit faptului c datele de autentificare sunt trimise prin reea sub form de text clar, acesta semnificnd c oricine poate s obin numele de utilizator i parola, exploatnd apoi un serviciu prin impersonarea utilizatorului legitim. Dezvoltat de Tatu Ylonen n 1995, Secure Shell (SSH) ofer servicii de securitate la nivel de sesiune precum i confidenialitatea datelor n reele nesigure, oferind o nlocuire sigur a comenzilor rsh, rlogin, rcp, telnet, rexec i ftp. Securitatea SSH este dependent de criptarea sesiunii de lucru de tip end-to-end ntre un client i un server. SSH are de asemenea posibilitatea s autentifice n mod sigur mainile nainte de a trimite informaiile de login. SSH este utilizat n general pentru a accesa un calculator de la distan i pentru a executa comenzi. SSH ofer de asemenea securizarea transferului de fiiere ntre maini prin executarea copierii securizate (SCP) i a transferului de fiiere securizat (SFTP). SSH poate ajuta de asemenea n securizarea traficului X11 prin trimiterea acestuia printr-un tunel criptat. n acest fel SSH a fost utilizat pentru a defini o form primitiv de reea privat virtual ntre gazde.

80

Cap. 7 - Tehnici, servicii i soluii de securitate pentru Intranet-uri i portaluri Componentele SSH cuprind serverul (SSHD), clientul (SSH), copierea (SCP) securizat a fiierelor i ssh-keygen - o aplicaie utilizat pentru a crea chei publice i private utilizate pentru autentificarea mainilor. SSH ofer faciliti de baz pentru translatarea porturilor, prin aceasta permindu -se utilizatorilor s creeze tuneluri pentru protocoalele existente prin conexiunile SSH existente. De exemplu, transferul de date prin POP (care n mod normal trimite numele de utilizator i parola sub form de text clar), pot fi securizate prin SSH. Exist i limitri ale translatrii porturilor, deoarece nici intervalele de porturi, nici porturile dinamice nu pot fi specificate. Dei translatarea porturilor ajut n securizarea protocoalelor, precum POP, exist i riscuri prin activarea acestei opiuni - de exemplu, prin activarea unei conexiuni SSH de ieire se poate permite unui utilizator s traverseze un firewall prin transformarea protocoalelor (tuneluri) de intrare care nu sunt permise de firewall prin sesiuni criptate SSH. Utilizarea opiunilor de autentificare a SSH protejeaz utilizatorii i mainile mpotriva atacurilor de tip IP Spoofing, rutarea sursei IP, spoofing DNS, etc. SSH const n trei niveluri: nivelul protocolul de transport, nivelul de autentificare precum i nivelul conexiune. Protocolul transport este responsabil pentru gestionarea negocierii cheilor de criptare, cererilor de regenerare a cheilor, mesajelor de cereri de servicii precum i a mesajelor de deconectare a serviciilor. Protocolul de autentificare este responsabil pentru negocierea tipurilor de autentificare, verificarea canalelor securizate naintea trimiterii informaiilor de autentificare precum i pentru cererile de modificare a parolelor. Protocolul de conectare controleaz deschiderea i nchiderea canalelor precum i a translatrii porturilor. Exist dou versiuni de SSH - v1 i v2, iar clieni SSH exist pentru mai multe platforme - Unix, Windows, Machintosh, OS/2. Exist i versiuni de componente de server pentru Windows NT/2000.

7.2.11.1. Autentificarea prin SSH SSH ofer cteva mecanisme pentru autentificarea utilizatorilor n funcie de versiunea SSH utilizat. Cea mai slab form de autentificare este realizat prin intermediului fiierelor .rhosts, aceast metod nefiind recomandat a fi selectat deoarece este foarte puin sigur. Alt metod de autentificare este oferit de criptarea prin RSA. Utiliznd aceast metod, utilizatorul creeaz o pereche public/privat de chei prin utilizarea programului sshkeygen, cheia public fiind stocat n directorul printe al utilizatorului. n momentul n care clientul se autentific n faa serverului, trimite numele de utilizator i cheia public spre gazda de la distan. Serverul returneaz cheia de sesiune criptat cu cheia public a utilizatorului. Aceast cheie de sesiune va fi decriptat cu cheia privat a utilizatorului. Metoda principal de autentificare n SSH este prin intermediul fiierelor .rhosts combinat cu autentificarea RSA. Aceast metod autentific clientul i serverul i le protejeaz mpotriva atacurilor curente de tip IP Spoofing, DNS Spoofing, etc. Exist i posibilitatea instalrii de TCPWrapper n locul utilizrii fiierelor .rhosts, existnd astfel un control mai mare asupra utilizatorilor care ncearc s se conecteze la un serviciu. n cele din urm, unui utilizator i poate fi cerut o combinaie de nume de utilizator / parol printr-un canal criptat. De asemenea, n diverse implementri exist suport pentru Kerberos, S/KEY i SecurID.

81

Securitatea sistemelor informatice

Stabilirea unei conexiuni SSH este iniiat de comenzile slogin sau ssh, fapt care duce la verificare autentificrii cu cheia public att pentru server ct i pentru client apoi fiind stabilit un canal de comunicaie sigur.

7.2.11.2. SSH1 Versiunea original a SSH, versiunea 1, este distribuit n mod gratuit pentru utilizare necomercial, mpreun cu codul surs. SSH1 are i variante majore (1.2, 1.3 i 1.5). Dei s -au descoperit cteva probleme de securitate, SSH este considerat n continuare sigur, dat fiind atenia acordat metodei de autentificare i cifrului utilizat. De exemplu, SSH1 este vulnerabil la atacurile prin inserarea datelor, deoarece acesta utilizeaz CRC pentru verificarea integritii datelor. Dar utilizarea algoritmului de criptare Triple-DES rezolv aceast problem. SSH 1 suport o mai mare varietate de metode de autentificare fa de versiunea 2, ntre care se numr AFS (bazat pe Andrew File System dezvoltat la Carnegie- Mellon) i Kerberos. 7.2.11.3. SSH 2 SSH 2 este o rescriere complet a SSH1 prin care se adaug noi faciliti, inclusiv suport pentru protocoalele FTP i TLS. Din cauza diferenelor de implementare a protocoalelor, cele dou versiuni nu sunt compatibile n ntregime. SSH2 ofer mbuntiri n ceea ce privete securitatea i portabilitatea. SSH2 necesit mai puin cod care s ruleze cu privilegii de root, fiind mai puin expus exploatrilor de tip buffer overflow; astfel este mai puin probabil ca un atacator s rmn pe server cu drepturi de root. SSH2 nu ofer aceleai implementri de reea ca i SSH 1, deoarece cripteaz pri diferite ale pachetelor. SSH2 nu suport metoda de autentificare prin fiierele .rhosts. De asemenea, n SSH2 algoritmul RSA este nlocuit de Digital Signature Algorithm (DSA) i de Diffie-Hellman, dar, deoarece patentele RSA au expirat, este de ateptat suportul n continuare pentru algoritmul RSA n versiunile urmtoare. SSH2 suport Triple-DES, Blowfish, CAST-128 i Arcfour. Din cauza diferenelor ntre SSH 1 i SSH 2 i din cauza restriciilor de liceniere, ambele versiuni vor continua s fie utilizate pentru o perioad de timp. 7.2.11.4. Algoritmii de criptare utilizai

n momentul stabilirii unei sesiuni SSH, att clientul ct i serverul SSH negociaz un algoritm de criptare. Identitatea serverului este verificat nainte de trimiterea numelui de utilizator i a parolei, fiind un proces care protejeaz mpotriva aplicaiilor de tip cal troian care ar accepta conexiuni i ar putea s fure" informaii de autentificare. Pentru ca un client s se poat conecta la un server utiliznd autentificarea prin cheie public, aceast cheie trebuie distribuit n mod securizat. n funcie de versiune, SSH suport mai muli algoritmi de criptare, dup cum se poate observa n Tabelul 7.2.

82

Cap. 7 - Tehnici, servicii i soluii de securitate pentru Intranet-uri i portaluri

Tabelul 7.2. Comparaie ntre SSH1 i SSH2 SSH1 Triple - DES 128bitRC4 Blowfish IDEA - algoritm implicit DES RSA SSH 2 Triple - DES - algoritm implicit 128bitRC4 Blowfish Twofish Arcfour CAST 128 DSA Transferul cheilor prin Diffie Hellman

7.2.11.5. Ce poate proteja SSH. Riscuri de securitate ale SSH n cazul existenei conexiunilor de sosire ctre un server, SSH ofer un mecanism sigur i eficient prin care se poate face accesul. Deoarece SSH este uor de instalat, acesta ar trebui s fie singurul mecanism prin care s se ofere funcionalitate de tip FTP, Telnet sau rlogin ntr -un mediu securizat, pentru utilizatorul final, SSH fiind aproape transparent. SSH este o alternativ la programele care execut autentificarea n funcie de adresa IP, iar n momentul utilizrii autentificrii cu cheie public protejeaz mpotriva programelor care utilizeaz parole reutilizabile. Prin criptarea sesiunii ntre client i server se face protecia mpotriva intercepiei parolelor trimise sub form de text clar. SSH sufer i de cteva limitri, ntre care imposibilitatea de a specifica un interval de porturi sau aceea de a translata porturi dinamice. n plus, versiunea de Windows nu implementeaz copierea securizat a fiierelor.

7.2.12. PGP. Riscuri de securitate Trimiterea mesajelor de e-mail prin Internet este foarte asemntoare cu trimiterea crilor potale - n mod similar, un mesaj de e-mail poate fi citit de oricine care acceseaz transmisia. Acest lucru se poate ntmpla fr a fi cunoscut de expeditor sau de ctre destinatar. n plus, un mesaj poate fi interceptat, modificat i retrimis. Pretty Good Privacy (PGP) este un program de securitate care pune la dispoziia utilizatorilor securitate avansat pentru mesaje de e-mail i fiiere, prin utilizarea semnturilor digitale i a criptrii. Implementat n mod corespunztor, PGP ofer servicii de confidenialitate, integritate i autentificare. Programul original PGP a fost creat de Philip Zimmermann. Intenia PGP a fost aceea de a oferi un mecanism pentru comunicare securizat ntre mai multe persoane cunoscute. Acest program utilizeaz att tehnologia de criptare cu cheie public ct i pe cea de criptare cu cheie privat. PGP folosete algoritmul de 128 bii IDEA pentru criptarea simetric a mesajelor. Versiunea 5 i mai mari suport algoritmii CAST i Triple-DES, iar versiunea 7 implementeaz o versiune a Twofish. Cheia secret este generat pentru fiecare mesaj sau fiier criptat. Prin faptul c nu reutilizeaz cheia secret, reduce ansele de reuit ale cript-analizei (studierea recuperrii unui text dintr- un format criptat fr accesul la cheie).

83

Securitatea sistemelor informatice

PGP suport algoritmii de criptare cu cheie public RSA, DSA i Diffie - Hellman. Algoritmii de hash suportai sunt MD5, RACE Integrity Primitives Evaluation-Message Digest (RIPEMD) i SHA-1. Aplicaia PGP Desktop Security cuprinde o serie de faciliti de securitate mult mai avansate dect ar fi necesare unui sistem de e-mail, printre care sunt cuprinse un sistem personal de detecie a intruilor, un firewall personal, comunicare bazat pe VPN sau IP Security (IPSec), criptarea discului cu PGP i suport pentru certificate digitale X.509v3. n momentul de fa, PGP trece prin procesul de standardizare al IETF sub forma OpenPGP, definit prin RFC 2440. Expedierea mesajelor PGP nu este complicat - n primul rnd, mesajul este criptat cu o cheie aleatoare simetric a sesiunii. Cheia sesiunii este criptat apoi cu cheia public a destinatarului. n cazul n care mesajul este semnat, acesta este semnat cu cheia privat a expeditorului. Cheia criptat a sesiunii este apoi trimis destinatarului mpreun cu mesajul criptat. n momentul recepionrii mesajului criptat cu PGP se desfoar procesul invers. PGP utilizeaz cheia privat a destinatarului pentru a decripta cheia sesiunii. n cele din urm cheia sesiunii este utilizat pentru a decripta mesajul, iar clientul de e-mail afieaz textul clar al mesajului. Una din problemele privitoare la cheia public de criptare este aceea de ncredere n acea cheie public. Pentru ca o criptare cu cheie public s ofere securitatea adecvat, utilizatorii trebuie s fie siguri de faptul c cheia public cu care se face criptarea aparine ntr-adevr destinatarului intenionat. PGP ncearc s rezolve aceast problem prin utilizarea unui model n care persoanele se ncred reciproc. Aceast ncredere (trust) este exprimat prin semnarea cheii PGP aparinnd altei persoane. n realitate, orice utilizator PGP devine Certificate of Authority prin semnarea altor chei pentru ali utilizatori. n modelul de ncredere PGP nu exist nici o diferen ntre semnarea unei chei n calitate de CA sau de utilizator, lucru care difer semnificativ n scenariul infrastructurii cu cheie public, n care numai o autoritate de certificare poate s-i exprime ncrederea ntr-o cheie public. Pe msur ce ali utilizatori semneaz cu cheia unui utilizator anume i acel utilizator semneaz alte chei, se creeaz o plaj de ncredere. Aceast ncredere este bazat att pe ncrederea acordat unei chei publice ca fiind sau nu autentic ct i pe ncrederea acordat altor persoane care au semnat cheia. Acest lucru poate ridica probleme, deoarece cheile ar trebui s prezinte ncredere numai n cazul n care exist o persoan cunoscut i de ncredere care a semnat deja cheia. n alte cazuri, singura posibilitate de a ti c o cheie este autentic este obinerea acesteia printr-un mecanism foarte sigur, precum o ntlnire fa n fa. Acest model de ncredere este potrivit pentru mesajele informale trimise prin Internet, dar nu se potrivete ntr-un scenariu de afaceri n care se cere nerespingerea i contabilizarea utilizatorilor. Revocarea cheilor PGP care nu mai prezint ncredere poate fi de asemenea o problem. Singura modalitate de prevenire a utilizrii unei chei PGP compromise este trimiterea unui certificat de revocare a cheii ctre toate persoanele care ar putea utiliza acea cheie. Acest certificat de revocare ar putea fi plasat pe un keyserver pentru a avertiza utilizatorii n privina cheii. Deoarece cheile pot fi stocate i ntr-un inel de chei (key ring) pe maina local, nu exist nici o garanie c toate persoanele vor primi avertismentul i nu vor mai utiliza acea cheie compromis.

84

Cap. 7 - Tehnici, servicii i soluii de securitate pentru Intranet-uri i portaluri Versiunea 7 a PGP Desktop Security introduce i suport pentru certificatele digitale X.509v3, permind astfel PGP s participe n infrastructura de chei publice i s se deprteze (eventual) de modelul de securitate al PGP (plaja de ncredere). Dei criptografia utilizat de PGP este puternic, exist o mulime de atacuri ce se pot aplica mpotriva acestuia. Un tip de atac este cel reprezentat de atacurile prin dicionare asupra frazei de trecere din PGP, prin ncercarea fiecrui cuvnt din dicionar i a combinaiilor. Securitatea central a PGP este dat de puterea frazei de trecere i de protecia cheii private. Pentru ca fraza de trecere s prezinte securitatea adecvat, ar trebui s aib o lungime suficient, nu ar trebui s utilizeze cuvinte comune din dicionare i ar trebui schimbat frecvent. n ceea ce privete cheia privat, ct timp aceasta este stocat pe un calculator (i nu pe un smart card, de exemplu), protecia acesteia este de asemenea important. Pe lng acestea, modelul de ncredere reciproc n cheile PGP este predispus la erori, iar pentru ca acesta s lucreze n mod corect trebuie ca expeditorul s cread c cheia public este autentic, aparine utilizatorului real i nu a fost modificat. 7.2.13. S/MIME Ca i PGP, Secure / Multipurpose Internet Mail Extensions (S/MIME) ncearc s rezolve problema trimiterii de mesaje ntre pri care nu s-au ntlnit niciodat prin intermediul criptrii. De asemenea, rezolv problema integritii mesajului, verificrii mesajului i a nerepudierii prin utilizarea semnturilor digitale. S/MIME nu ofer criptarea la nivel de sesiune precum SSL, ci securizeaz mesajele individuale. Acest protocol este de preferat n utilizarea e-mail, n care destinatarul nu este disponibil n momentul n care mesajul a fost trimis. Utiliznd S/MIME, un mesaj poate fi criptat, semnat digital sau se pot alege ambele variante. Dei S/MIME nu este limitat la securizarea mesajelor de e-mail, aceasta a fost principala sa utilizare pn n momentul de fa. S/MIME a fost aplicat de asemenea n Electronic Data Interchange (EDI), tranzacii online i mesagerie securizat n aplicaii. Modelul S/MIME este bazat pe tehnologia creat n 1995 de ctre RSA Data Security mpreun cu un grup de dezvoltatori de software, ntre care Netscape, VeriSign i alii. S/MIME este bazat pe Standardul de criptografie cu cheie public nr. 7 (PKCS#7 - un set de standarde utilizat pentru implementarea sistemelor de criptare cu cheie public) pentru trimiterea mesajelor i pe X.509v3 pentru certificate digitale. S/MIME ofer mbuntiri de securitate fa de standardul MIME. Ambele sunt definite prin RFC-uri: RFC 1847: Securizarea Multiparte pentru MIME; RFC 2045: MIME partea nti: formatul corpurilor de mesaje din MIME; RFC 2046: MIME partea a doua: tipurile media; RFC 2047: MIME partea a treia: extensiile antetelor de mesaje pentru text Non- ASCII; RFC 2048: MIME partea a patra: procedurile de nregistrare; RFC 2049: MIME partea a cincia: criterii de conformare i exemple; RFC 2183: comunicarea informaiilor de prezentare n mesajele Internet; RFC 2630: sintaxa mesajelor criptate; RFC 2632: gestiunea certificatelor S/MIME V3 ;

85

Securitatea sistemelor informatice

RFC 2633: specificaiile S/MIME V3; RFC 2634: servicii mbuntite de securitate pentru S/MIME.

S/MIME extinde MIME prin oferirea de servicii de securitate ntre care se numr autentificarea i integritatea prin utilizarea semnturilor digitale i confidenialitatea prin utilizarea criptrii. MIME este standardul pentru trimiterea fiierelor prin e-mail n Internet prin care se permite trimiterea de mesaje avnd diferite seturi de caractere i codarea i decodarea obiectelor de tip multimedia i de tip binar pentru a putea fi trimise prin email. Tipurile predefinite MIME cuprind documente Word, fiiere PostScript sau fiiere audio WAV. Codarea MIME este fcut utiliznd diferite metode n momentul trimiterii mesajului, la recepie aceste pri fiind decodate n formatul original. Pentru aceasta se adaug fiecrui fiier cte un antet n care sunt descrise datele coninute precum i metoda de codare utilizat. Deoarece MIME este o specificaie matur i bogat utilizat pentru trimiterea de coninut diferit prin Internet, mbuntirea acestuia are sens prin adugarea de faciliti de securitate n locul crerii unui nou standard, complet diferit.

7.2.13.1. Funcionarea S/MIME Pentru a putea trimite mesaje securizate de tip S/MIME, att expeditorul ct i destinatarul trebuie s utilizeze clieni care cunosc acest standard, precum Outlook, Outlook Express sau Netscape Communicator. n plus, fiecare utilizator trebuie s obin un certificat digital mpreun cu cheie privat corespunztoare. S/MIME este un sistem de criptare hibrid care utilizeaz att algoritmul de criptare cu cheie public ct i pe cel de criptare cu cheie privat. Criptografia cu cheie public este prea lent pentru criptarea datelor brute, dar, n acelai timp, este dificil de distribuit cheia privat n mod securizat fr criptografia cu cheie public. n standardul S/MIME criptografia cu cheie public este utilizat pentru schimbarea cheilor simetrice i pentru semnturi digitale (necesit certificatele X.509). De asemenea, specificaiile S/MIME recomand utilizarea a trei algoritmi de criptare: DES, Triple-DES i RC2. Securitatea unui mesaj criptat cu S/MIME depinde n principal de mrimea cheii utilizate de algoritmul de criptare. Un aspect interesant al S/MIME este acela c destinatarul unui mesaj, i nu expeditorul acestuia, determin metoda de criptare utilizat, bazndu-se pe informaiile oferite de certificatele digitale. Trimiterea mesajelor S/MIME presupune o serie de pai. In primul rnd, mesajul este criptat cu o cheie de sesiune generat n mod aleator. Apoi, cheia sesiunii este criptat utiliznd cheia public a destinatarului. Aceast cheie a fost fie schimbat n prealabil, fie a fost regsit ntr-un serviciu director de tip LDAP. Pasul urmtor este constituit de mpachetarea mesajului criptat, a cheii de sesiune a identificatorilor de algoritm precum i a altor date ntr -un obiect binar de formatat n concordan cu tipul PKCS#7. Acest obiect astfel creat este codat ntr -un obiect MIME utiliznd tipul de coninut application/pkcs7-mime, dup care mesajul este expediat. La recepionare, plicul digital este desfcut, iar cheia privat a destinatarului decripteaz cheia de sesiune, care este utilizat pentru a decripta mesajul. Datorit suportului dat de dezvoltatori, S/MIME se pare c va fi standardul de securitate al e-mail. S/MIME joac de asemenea, un rol cheie n strategia Microsoft Windows 2000/Exchange 2000.

86

Cap. 7 - Tehnici, servicii i soluii de securitate pentru Intranet-uri i portaluri S/MIME i PGP ofer ambele metode eficiente de securitate pentru criptarea mesajelor de e-mail. Spre deosebire de PGP, care s-a bazat pn la versiunea 7.0 pe modelul de securitate al plajei de ncredere, S/MIME are ca avantaj principal utilizarea infrastructurii cu chei publice (PKI) i a certificatelor digitale. De asemenea, S/MIME este integrat n mai muli clieni de email, n timp ce PGP necesit descrcarea i instalarea unui plug-in.

7.2.13.2. Riscuri de securitate ale S/MIME Pentru a funciona eficient, S/MIME trebuie s utilizeze chei de lungime mare i algoritmi de criptare puternici, precum Triple-DES. n multe cazuri n care se expediaz mesaje de e-mail prin aplicaii care suport S/MIME, singurul format de criptare disponibil este RC4 (40 bii), care nu ofer o lungime suficient pentru securitatea minim. De asemenea, S/MIME are aceleai probleme ca i PGP - pentru o comunicaie securizat, trebuie s existe un nivel de siguran asupra cheii cu care se face criptarea. La fel ca i la PGP, cheia secret trebuie s fie securizat din punct de vedere fizic.
7.2.14. Utilizarea firewall-urilor n intraneturi Zidurile de protecie joac un rol semnificativ n managementul securitii unui intranet. Un zid de protecie este un dispozitiv sau o aplicaie care controleaz cursul comunicaiei ntre reeaua intern i o reea extern precum Internetul. Un zid de protecie (Figura 7.1) ser vete ctorva scopuri: acioneaz ca filtru de intrare pentru traficul Internet ctre serverele organizaiei, prevenind ajungerea pachetelor neautorizate n serverele de web i de aplicaii; ofer conexiuni prin proxy ctre Internet, meninnd autentificarea utilizatorilor interni; jurnalizeaz traficul, oferind un suport pentru audit, raportare, ca i pentru planificare.

Fig. 7.1: Amplasarea Firewall-ului Firewall-urile nu funcioneaz fr riscuri. Acestea sunt n general dificil de penetrat, dar dac au fost depite, reeaua intern este deschis pentru intrus. n plus, un firewall nu poate rezolva compromisurile din reeaua intern. Aproximativ 70% din breele de securitate au loc n interiorul companiei, adic sunt create de persoane de
87

Securitatea sistemelor informatice

dincolo de zidul de protecie. Un exemplu poate fi utilizarea unui modem i a unei conexiuni dial up. n practic au fost observate urmtoarele riscuri cu privire la firewall-uri: porturile - regulile de filtrare sunt bazate pe porturi surs i destinaie. O main care utilizeaz TCP/IP are 65535 porturi virtuale, din care unele sunt utilizate de ctre anumite servicii; rutarea - aceast opiune IP permite utilizatorilor s defineasc modalitatea de rutare a pachetelor. SOCK - reprezint o bibliotec de aplicaii proxy utilizate pentru a permite ca anumite servicii s fie utilizate i pentru a ine intruii n afar; scanare RPC direct - portmapper este un serviciu care permite utilizatorilor s identifice porturile pe care rezid apelurile de proceduri la distan; scanare ascuns - un intrus nu ncearc s stabileasc o conexiune ci utilizeaz pachete la nivel de interfa. Aceste pachete ne dau rspunsuri diferite, n funcie de calitatea portului (deschis sau nu). protocoale fr conexiune - firewall-urile au dificulti n detectarea pachetelor utilizate n servicii care nu necesit stabilirea unei conexiuni, precum UDP; Pentru Intraneturi este necesar existena unui sistem de detectare a intruziunilor cu scopul protejrii perimetrului reelei de atacuri. Sistemele de detectare a intruilor pot fi instalate ca i sonde sau ca ageni. Sondele sunt mult mai eficiente n ceea ce privete detectarea intruziunilor deoarece minimizeaz impactul asupra sistemelor existente prin ascultarea pasiv i raportarea ctre consola central, far ntrerupere. Serviciile de detectare a intruilor execut la nivel de dispozitiv de reea urmtoarele funcii: inspecteaz irul de date care trec prin reea, identific semnturile activitilor neautorizate i activeaz procedurile de aprare; genereaz alarme n cazul detectrii evenimentelor, notificnd personalul necesar de securitate; activeaz un rspuns automat n cazul anumitor probleme. Pe lng detectarea intruilor mai poate fi luat n considerare i un agregator proxy de tip TCP care va mbuntii securitatea prin firewall prin limitarea porturilor expuse. Tunneling-ul i criptarea sunt utilizate pentru a crea reele punct-la-punct, n general fiind utilizate protocoale precum Layer 2 Tunneling Protocol (L2TP), Point-to- Point Tunneling Protocol (PPTP), IPSec, precum i standarde de criptare cum sunt DES, MD5, Triple DES, etc. Codurile mobile de program precum Java i ActiveX creeaz o ameninare n cretere. Aplicaiile care inspecteaz coninutul trebuie s: ofere control asupra codului mobil Java, ActiveX sau altul; previn atacurile prin cod mobil; activeze navigarea n siguran, utiliznd n acelai timp facilitile Java i ActiveX. n concluzie, managementul securitii are o necesitate din ce n ce mai ridicat, att n reele de tip intranet ct i n alte tipuri de reele de colaborare, datorit mulimii punctelor de acces n reea. n acelai timp sunt necesare noi unelte i tehnici, ct i o combinare a acestora pentru a oferi sigurana maxim posibil.

88

8. Strategii de achiziie pentru aprare


8.1. Introducere
Informaiile despre comerul electronic Business-to-Business (B-B) i croiesc drum n ziare, reviste economice sau n tirile de la televiziuni. Majoritatea acestor informaii sunt centrate pe achiziii electronice (e-procurement) sau partea de cumprare a comerului electronic pentru c analitii au confirmat faptul c firmele ce au implementat sisteme de achiziii electronice au nregistrat economii. Indiferent din ce domeniu este o firm, achiziiile sunt o important funcie economic, acest lucru este valabil i pentru unitile din domeniul aprrii. Deoarece achiziiile intervin la nceputul lanului valoric, impactul deciziilor de aprovizionare se amplific pe msur ce un produs curge spre destinaia final: utilizatorul. Achiziiile implic dou tipuri de cheltuieli. O categorie se refer la costul materialelor cumprate. A doua se refer la costul procesului de achiziie. Acesta cuprinde costurile tranzaciei, adic cele cu personalul implicat n proces, cheltuieli indirecte aferente cutrii, comparrii, negocierii de surse de achiziie. Soluiile de achiziie electronice pot avea un efect substanial asupra ambelor categorii. Comerul electronic reprezint schimbul de informaii de afaceri, fr ajutorul hrtiei, utiliznd schimbul electronic de date (Electronic Data Interchange), pota electronic (e-mail), buletinele electronice, transferul electronic de fonduri (Electronic Funds Transfer), precum i alte tehnologii similare. Schimbul electronic de date reprezint schimbul, ntre calculatoare, a informaiilor privind tranzaciile din afaceri, folosind un format standard public. Introducerea conceptului de e-business permite organizaiilor militare s considere comerul electronic nu numai n viziunea tradiional de achiziie i plat prin utilizarea tranzaciilor standard. Conceptul permite luarea n considerare a relaiilor dintre un consumator i un furnizor i ofer avantajele date de mbuntirea semnificativ a procesului, disponibil prin implementarea conceptelor i tehnologiilor de afaceri electronice i comer electronic. Acest lucru duce la extinderea aplicaiilor funcionale de la furnizare, achiziie i contabilitate, la cele legate de alte domenii cum ar fi sntatea, personalul, sistemul de achiziii i tiina i tehnologia. Politica organizaiilor militare n ceea ce privete introducerea n activitatea curent a conceptelor e-business i e-commerce trebuie s aib n vedere: utilizarea conceptelor i tehnologiilor de e-business i e-commerce n mbuntirea proceselor de afaceri i n eforturile de reinginerie; acest lucru permite introdu cerea procedeelor de pe piaa comercial n diseminarea informaiilor n form electronic persoanelor n drept, la momentul potrivit, n scopul reducerii duratei procesului; n acest sens, organizaiile militare vor desfura urmtoarele activiti: o implementarea iniiativelor e-business i e-commerce care ncorporeaz cele mai bune practici n afaceri n vederea obinerii eficienei i pentru promovarea eficacitii operaionale pentru reducerea semnificativ a timpilor de rspuns; o facilitarea utilizrii n comun a datelor i integrarea proceselor de afaceri ntre organizaiile militare i partenerii de afaceri;

89

Securitatea sistemelor informatice

o implementarea de soluii deschise flexibile i interoperabile care s nu interzic


sau s ngreuneze utilizarea pe scar larg de soluii tehnologice noi sau competitive; utilizarea pe scar larg de standarde e-business i e-commerce industriale i a produselor comerciale - COTS {commercial-off-the-shelf); implementarea soluiilor de securitate ebusiness i e-commerce care vor permite securitatea datelor pe baza cerinelor statutare i ale utilizatorilor, fr degradarea proceselor curente pe care le nlocuiesc; stabilirea i utilizarea de oportuniti de afaceri electronice care angajeaz principii, concepte i tehnologii de e-business i e-commerce n conducerea i administrarea proceselor militare i de afaceri; aplicarea proceselor de e-business i e-commerce n vederea interoperabilitii cu partenerii de afaceri pentru integrarea cu sectorul privat; protejarea proprietii intelectuale; garantarea integritii datelor i dreptul la confidenialitatea lor; cooperarea cu alte ministere i agenii pentru dezvoltarea i implementarea unei arhitecturi operaionale e-business i e-commerce n sprijinul programelor guvernului din domeniu; asigurarea conformitii cu politica de achiziie a M.Ap.N. i a instruciunilor de achiziie.

8.2.

Strategii de securitate ale rzboiului informaional

Securitatea este recunoscut ca fiind un concept multidimensional aa nct, toate domeniile de activitate (politic, diplomaie, economie, aprare, cultur, tiin etc.) i iau msuri care s asigure promovarea intereselor specifice fiecreia. Aceste sectoare de activitate nu exist independent unul de celalalt, legturile dintre ele fiind vitale pentru funcionarea optim. n acest context, politica de securitate naional este obligat s in cont de aceast realitate. Fiind vorba de un sistem al crui echilibru i funcionare optim este de dorit, politica n acest domeniu va trebui s fundamenteze, n plan teoretic i s ntreprind n plan practic, acele msuri necesare pentru promovarea intereselor naionale fundamentale i aprarea lor mpotriva oricror agresiuni, pericole, ameninri, riscuri. Faptul c informaia i tehnologia schimb natura conflictelor nu este un lucru nou, dar accentuarea, n prezent, a rolului informaiei, ca instrument de putere, determin modificri extrem de importante nu numai n activitatea unui serviciu de informaii, ci i la nivelul politicii de aprare, n activitatea organizaiilor militare i n dezvoltarea infrastructurii informaionale militare. Rzboiul i operaiile informaionale sunt realiti deja consacrate n spaiul euroatlantic, i nu numai. Capacitile n acest domeniu constituie, pentru ri cum este i Romnia, soluii de contrabalansare a asimetriilor de putere. Aciunile de natur informaional (n practic, operaii informaionale) au i vor avea loc pe tot parcursul ciclului pace-criz-conflict-pace. Este, aadar, esenial ca Romnia s dispun de capaciti permanente de avertizare, evaluare, analiz i ripost, precum i s ntrein o stare continu de ajustare structural i doctrinar, care s-i permit realizarea intereselor naionale n acest mediu informaional.

90

Cap. 8 - Strategii de achiziie pentru aprare

In societatea informaional, informaia ca arm, int i materie prim strategic st la baza tuturor deciziilor. Adaptarea la acest nou mediu (n care fluxul de informaii, n timp real, este n continu cretere) presupune nelegerea unor riscuri n zona managementului informaional. O exemplificare a acestui lucru este faptul c operaiile informaionale, aa cum sunt ele conceptualizate n doctrinele euro-atlantice, au ca int de baz ciclul decizional. Evoluia rapid a tehnologiei informaiei a mrit discrepana dintre capacitatea de producere i cea de utilizare a informaiei. Sporirea cantitii informaiilor nu atrage dup sine i creterea calitii lor, iar deinerea unor informaii de calitate nu este sinonim cu capacitatea de valorificare a lor. Din perspectiv civil, conceptul de rzboi informaional atrage dup sine o multiplicare a raporturilor de for, n timp ce n plan militar exist o aparent limitare a acestora (restrngerea puterii militare, datorit reducerii caracterului violent al confruntrilor). ntre cele dou perspective exist i puncte comune. n primul rnd, un aliat poate fi n acelai timp i adversar (de unde natura dual cooperare - concuren). n al doilea rnd, rzboiul informaional stabilete un nou raport ntre realitile de ordin strategic, tehnic (prezena tot mai mare a informaticii i a reelelor informaionale) i simbolice. n sens larg, rzboiul informaional presupune integrarea a apte forme diferite de domenii i discipline: rzboiul de comand i control (forma exclusiv militar a rzboiului informaional) - are menirea s anihileze comanda i sistemele de comand i control ale unui adversar prin integrarea operaiilor psihologice, a securitii operaiilor, a inducerii n eroare, a rzboiului electronic i a distrugerii fizice; rzboiul bazat pe informaii (intelligence) - const n proiectarea, protecia i anihilarea sistemelor care conin suficiente cunotine pentru a domina un spaiu de conflict; rzboiul electronic - utilizeaz tehnologie electronic i tehnici criptografice pentru dominaia spaiului electromagnetic; rzboiul psihologic - utilizeaz informaia pentru a modifica atitudinile i opiunile amicilor, neutrilor i adversarilor; rzboiul hacker-ilor - const n atacuri pasive i active, cu software malign, asupra sistemelor informatice; rzboiul n sfera informaiilor economice - urmrete blocarea sau canalizarea informaiilor, n scopul obinerii supremaiei economice; rzboiul n spaiul realitii virtuale - creeaz, n prezent, imagini ale "realitilor"potrivit intereselor actorilor implicai. In contextul rzboiului informaional, securitatea informaional (INFOSECInformation Security) reprezint protecia i aprarea informaiilor i sistemelor informaionale mpotriva accesului neautorizat, a modificrii coninutului informaiilor aflate n faza de stocare, prelucrare sau transport i pentru asigurarea accesului utilizatorilor autorizai ctre aceste informaii. INFOSEC cuprinde acele msuri destinate pentru descoperirea, informarea i contracararea acestor tipuri de aciuni. Componentele INFOSEC sunt: securitatea echipamentelor de calcul (COMPUSEC - Computer Security);

91

Securitatea sistemelor informatice

securitatea comunicaiilor (COMSEC - Communications Security i TRANSEC Transmission Security).

COMPUSEC cuprinde acele msuri i elemente de control care asigur confidenialitatea, integritatea i disponibilitatea informaiilor prelucrate i stocate cu ajutorul calculatoarelor. Aceste msuri includ proceduri i instrumente hardware i software necesare pentru protejarea sistemelor informatice i a informaiilor stocate n cadrul acestora. COMSEC cuprinde acele msuri destinate mpiedicrii accesului neautorizat la informaiile care pot fi preluate din sistemele de comunicaii, precum i asigurarea autentici tii corespondenilor pe aceste linii. Folosete scramblarea sau tehnicile criptografice pentru a face informaia neinteligibil pentru personalul neautorizat care intercepteaz comunicaia. Criptografierea este procesul de criptare (translatare) a informaiei ntr-un mesaj aparent aleator la emitor, i apoi de descifrare a mesajului aleator prin decriptare la receptor. Tehnologiile electronice actuale permit desfurarea automat a procesului de criptare/decriptare. Procesul implic folosirea unui algoritm matematic i a unei chei, pentru translatarea informaiei din clar n stare criptat. n sistemele de comunicaii vocale, care nu necesit securitate ridicat, informaia poate fi protejat mpotriva interceptrii i prelucrrii prin scramblarizare. n acest caz, scramblarea, ca tehnic COMSEC analogic, implic separarea semnalului vocal ntr-un numr de sub-benzi i translatarea fiecreia ntr-un alt domeniu al spectrului de audiofrecven, urmat de combinarea sub-benzilor ntr-un semnal audio compus, care moduleaz emitorul. n criptarea digital, datele sunt reduse la un flux de date binar. Mecanismul criptografic creeaz un flux de numere binare ne-repetitiv, extrem de lung, pe baza unei chei de criptare a traficului (TEK - Traffic Encryption Key). Fluxul de date este adugat celui criptografic, crend datele criptate sau textul cifrat. Un flux binar creat n acest mod este inerent impredictibil, furniznd de aceea o metod foarte sigur de protejare a informaiei. Toate semnalele analogice sunt mai predictibile i de aceea mai puin sigure. Eficacitatea criptrii datelor, care este gradul de dificultate n determinarea coninutului mesajului, este funcie de complexitatea algoritmului matematic i de chei. Cheia este o variabil care modific resincronizarea algoritmului, protejarea acesteia fiind vital. Chiar n situaia n care se realizeaz accesul la informaia criptat (i se cunoate algoritmul), de ctre persoane neautorizate, este imposibil decriptarea informaiei dac nu se cunoate i cheia. Acesta este unul din considerentele pentru care e necesar dezvoltarea unor proceduri riguroase de management al cheilor, n scopul protej rii, distribuirii, stocrii i folosirii cheilor. Un tip de sistem de management al cheilor, folosit n sectorul comercial public, este criptografia cu chei publice. Conform acestui standard, fiecare utilizator genereaz dou chei. Una este cheia public "Y" iar cealalt este cheia privat "X". Utiliznd acest sistem se poate transmite de oriunde un mesaj criptat cu cheia Y, care ns poate fi decriptat numai de ctre operatorul care deine cheia X. Astfel, ntr-o reea care folosete acest sistem de chei publice, sunt posibile comunicaii secretizate pe dou nivele, acesta fiind denumit sistem de chei asimetric. Alternativa sa este sistemul de chei simetric, n care cu aceeai cheie se cripteaz i decripteaz datele. Deoarece att cel

92

Cap. 8 - Strategii de achiziie pentru aprare

care emite mesajul ct i toi cei care l primesc trebuie s aib aceleai chei, acest sistem ofer cel mai nalt nivel de securitate. O soluie recent dezvoltat, aplicabil reelelor radio folosete reprogramarea prin legtur radio (OTAR - Over The Air Rekeying).Aceast tehnic aproape elimin necesitatea ncrcrii manuale a cheilor i realizeaz un management sigur al cheilor. OTAR este un sistem de distribuire a cheilor i include o cheie de criptare a cheii (KEK - Key Encryption Key), folosit pentru criptarea cheii de criptare a traficului i oricror altor chei operaionale COMSEC sau TRANSEC. Acest proces mai este denumit i "mpachetare" pentru a fi difereniat de criptarea traficului. Singura cheie care trebuie ncrcat iniial att n unitile emitoare ct i n cele receptoare este cheia KEK. Dup "mpachetare", distribuirea, procesul care urmeaz, poate folosi orice mijloace fizice sau electronice. ntr-un sistem OTAR, cheile "mpachetate"sunt introduse ntr-un mesaj i trimise prin legtur radio staiei dorite, folosind protocoale de transmisie fr erori (deoarece orice eroare ar face cheile de nefolosit). Legtura folosit pentru transmisie este n general secretizat cu ajutorul cheii de criptare a traficului (TEK) utilizat. Astfel, coninutul cheii este dublu protejat la transmisia prin legtur radio, eliminndu-se practic orice posibilitate de compromitere. Pentru un grad de securitate mai ridicat, se obinuiete s se digitizeze prin intermediul unui vocoder, semnalul digital rezultant fiind apoi tratat ca orice flux de date. TRANSEC folosete un numr de tehnici pentru a preveni detecia sau bruierea semnalului pe traseul de transmisie. Aceste tehnici includ fie "ascunderea" canalului, fie transformarea acestuia ntr-o int n continu micare. Pe termen mediu i lung, o strategie coerent de aciune pentru operaionalizarea securitii informaionale va trebui s vizeze dezvoltarea conceptual i metodologic a domeniului, cu accent pe: delimitarea granielor conceptuale (caracteristici, forme, aspecte etc.) i definirea cadrului epistemologic de abordare; studierea dinamicii modelelor formale ale rzboiului informaional i adaptarea acestora la contextul geopolitic, la interesele i resursele Romniei; identificarea factorilor de risc n raport cu slbiciunile actuale ale Sistemului Naional de Securitate; fundamentarea teoretic a unui ansamblu de structuri care s permit abordarea instituionalizat a domeniului rzboiului informaional; formularea unei strategii integratoare, la nivel naional, care s ofere coordonatele pe termen lung ale dezvoltrii domeniului securitii informaionale.

93

Securitatea sistemelor informatice

Aplicaii practice

94

Laborator Securitatea sistemelor informatice

Lucrarea nr.1

1
1.1

Criptarea ca metod de securitate a informaiilor


Obiective: nelegerea i familiarizarea cu tehnica de criptare prin cheie secret; realizarea criptrii i decriptrii mesajelor folosind metoda cifrului lui Cezar; realizarea criptrii i decriptrii mesajelor folosind metoda cifrului lui Vernam;

n prezent exist dou tipuri principale de tehnici utilizate n criptografie, i anume: criptografia prin cheie simetrice (chei secrete sau chei private) i, criptografia prin chei asimetrice (chei publice).

n cazul cheii simetrice, att expeditorul ct i destinatarul mesajului folosesc o cheie comun secret. n cazul cheii asimetrice, expeditorul i destinatarul folosesc n comun o cheie public i, individual, cte o cheie privat. 1.2 Cifrul lui Cezar Cea mai simpl metod de criptare, prin substituie, este cunoscut n zilele noastre sub denumirea de cifrul lui Cezar, dup numele mpratului roman care a inventat-o. n acest cifru, caracterele mesajului i numrul de repetiii ale cheii sunt nsumate laolalt, modulo 26. n adunarea modulo 26, literelor alfabetului latin, de la A la Z, li se dau valori de la 0 la 25 (vezi tabelul 4.1). Pentru cheie trebuie s se ofere doi parametri: D - numrul literelor ce se repet, reprezentnd chei; K - cu rol de cheie.

Corespon( Litera A B C D E F G H I J K Numr 0 1 2 3 4 5 6 7 8 9 10

Tabelul 4.1 en a litere-numere t M N O P Q R S T U V W X Y Z L 1 12 1 1 1 1 1 1 1 20 2 22 23 2 25 1 3 4 5 6 7 8 9 1 4

Pentru a nelege modul de funcionare, s presupunem c D=3 i K = BEC, iar mesajul secret este "PAROLA MEA". Atribuind valori numerice mesajului, din tabelul valorii literelor, avem: P A R O L A M E A 15 0 17 14 11 0 12 4 0 Valorile numerice ale cheii sunt: BEC=142 Dup aceste corespondene, cheia criptat 142 se adaug literelor mesajului, astfel: Cheia reperat Mesajul Echivalentul numeric al textului criptat Textul criptat 1 15 16 Q 4 0 4 E 2 17 19 T
95

1 14 15 P

4 11 15 P

2 0 2 C

1 12 13 N

4 4 8 I

2 0 2 C

Laborator Securitatea sistemelor informatice

Lucrarea nr.1

Convertirea numerelor n literele aferente alfabetului conduce la textul criptat, aa cum se vede mai sus: "QETPPC NIC" n cazul cifrului lui Cezar, D = 1 i cheia este D (3), adic fiecare liter este nlocuit de a treia liter de dup ea din alfabet - literele sunt deplasate la dreapta cu trei poziii, (A cu D, B cu E .a.m.d.). Criptnd mesajul dat n exemplul anterior cu cifrul lui Cezar, obinem:

Cheia reperat Mesajul Echivalentul numeric al textului criptat Textul criptat

3 15 18 S

3 0 3 D

3 17 20 U

3 14 17 R

3 11 14 O

3 0 3 D

3 12 15 P

3 4 7 H

3 0 3 D

Dac sumele valorilor cheii i ale numrului aferent literelor sunt mai mari sau egale cu 26, se determin modulo 26 din sum, adic rezultatul final este obinut prin scderea din sum a numrului 26. Exemplu: D=3, K=PIC, mesajul este SECRET, rezultatul va fi: - valorile numerice atribuie mesajului: SECRET 18 4 2 17 4 19 - valorile numerice ale cheii sunt: P I C = 15 8 2 Cheia reperat Mesajul Echivalentul numeric al textului criptat Textul criptat 15 18 33 (8) I 8 4 12 M 2 2 4 E 15 17 32 (9) J 8 4 12 M 2 19 21 V

Valorile 32 i 33 nu au echivalent n alfabetul latin, caz n care se calculeaz modulo 26 din 32 i 33, rezultnd valorile 8 i 9, iar noul echivalent numeric al textului criptate este 8 12 4 9 12 21, iar textul criptat este: IMEJMV. Cifrurile de mai sus pot fi descrise prin ecuaia general: C = (M + b)mod N unde: b = un numr ntreg fix; N = numrul literelor din alfabet (26 pentru alfabetul latin); M = mesajul textului clar n forma numeric; C = textul criptat scris n forma numeric. Cifrul lui Cezar, bazndu-se pe substituia simpl sau monoalfabetic este uor de spart, pentru c un caracter este nlocuit de altul i aceast schimbare este valabil n tot textul, iar analiza frecvenelor de apariie a literelor din textele scrise ne va conduce la caracterele adevrate ale textului. Cifrurile polimorfice sunt realizate prin apelarea la cifruri bazate pe substituia multipl. De exemplu, dac se folosesc trei alfabete pentru substituie, definite de cel ce intenioneaz s cripteze, prima liter din textul clar este nlocuit cu prima liter din primul alfabet, a doua liter a textului clar este nlocuit cu prima liter din al doilea
96

Laborator Securitatea sistemelor informatice

Lucrarea nr.1

alfabet, a treia liter a textului clar este nlocuit cu prima liter din al doilea alfabet, a patra liter din textul clar este nlocuit de a doua liter din primul alfabet .a.m.d. 1.3 Cifrul lui Vernam Cifrul lui Vernam const ntr-o cheie constituit dintr-un ir se caractere aleatoare nerepetitive. Fiecare liter a cheii se adaug modulo 26 la o liter a mesajului clar. n aceast variant, fiecare liter a cheii se folosete o singur dat pentru un singur mesaj i nu va mai putea fi folosit niciodat. Lungimea irului de caractere a cheii este egal cu lungimea mesajului. Metoda este foarte util pentru criptarea mesajelor scurte. Exemplu: criptarea mesajului: LA MULTI ANI

Mesaj clar LAMULTIANI Cheie Vernam VIDAGTSROL Suma aparent Modulo 26 din sum Textul criptat

11 21 32 6 G

0 8 8 8 I

12 3 15 15 P

20 0 20 20 U

11 6 17 17 R

19 19 38 12 M

9 18 27 1 B

0 17 17 17 R

13 14 27 1 B

8 11 19 19 T

Metod proprie de criptare Mircea i Vasilic vor s-i trimit mesaje pe care alii s nu le neleag. Au citit ei despre spioni i modaliti de a scrie mesaje i, n final, au imaginat un mod de criptare a unui mesaj care folosete cuvnt cheie. Alegndu-i un cuvnt cheie format numai din litere distincte, ei numr literele acestuia i mpart mesajul n grupe de lungime egal cu numrul de litere ale cuvntului cheie, i le aeaz una sub alta. Desigur, se poate ntmpla ca ultima grup s fie incomplet, aa c o completeaz cu spaii. Apoi numeroteaz literele cuvntului cheie n ordinea apariiei lor n alfabetul englez. n final, rescriu mesajul astfel: coloana de sub litera numerotat cu 1, urmat de coloana de sub litera numerotat cu 2, etc. nlocuind totodat i spaiile cu caracterul * (asterisc). 1.4

Exemplu: cuvntul cheie mesaj de criptat cuvntul cheie numerotare deoarece, avem, n ordine mprire n grupe: codificare

criptam Incercam sa lucram cu coduri si criptari. criptam are 7 litere 2635714 abcdefghijklmnopqrstuvwxzy 1 234567 Incerca | m sa lu | cram cu | coduri | si cri | ptari. 2635714 Incerca m*sa*lu cram*cu *coduri *si*cri ptari.*
97

Laborator Securitatea sistemelor informatice ______________________________________________ Lucrarea nr.1

mesaj criptat

clcrr.Imc**pcsaoiaauuii*eamd*rn*rcstr**uci col1 col2 col3 col4 col5 col6 col7

Cerin Fiind date un cuvnt cheie i un mesaj criptat, decodificai mesajul trimis de Mircea pentru Vasilic. Date de intrare Fiierul de intrare criptare.in conine pe prima linie mesajul criptat iar pe linia a doua cuvntul cheie. Date de ieire Fiierul de intrare criptare.out conine pe prima linie mesajul decriptat. Restricii lungimea mesajului este de minim 20 i maxim 1000 caractere cuvntul cheie are minim 5 i maxim 20 de caractere cuvntul cheie conine numai litere mici ale alfabetului

Desfurarea lucrrii Studenii vor forma dou sau patru echipe, care vor cripta un text dat de ndrumtorul lucrrii, dup care vor schimba mesajele criptate ntre ele, i vor ncerca s le decripteze, cunoscnd cheile de criptare. De remarcat, c n mesajele n clar nu se ia n considerare spaiul dintre cuvinte. 1.5

98

Laborator Securitatea sistemelor informatice

Lucrarea nr.2

2
2.1

Steganografia ca metod de securitate a informaiilor


Obiective: nelegerea i familiarizarea cu tehnica de ascundere a informaiilor prin steganografie; familiarizarea i utilizarea unei aplicaii de ascundere a informaiilor n imagini steganography;

2.2

Introducere Cuvntul steganografie (steganography) vine din limba greac unde steganos nseamn ascuns i graph scris (scriere ascuns). Prin urmare putem spune c steganografia este tiina sau arta de a scrie mesaje ascunse astfel nct existenta lor s fie cunoscut numai de destinatar i expeditor. Acest concept i are originea n vremuri istorice. De exemplu grecii sau romanii foloseau steganografia pentru a transmite mesaje ascunse, i anume rdeau prul celui care trebuia s transmit mesajul, scriau mesajul pe pielea capului i ateptau ca prul s-i creasc la loc. Mesajul putea fi transmis prin intermediul trimisului, nimeni dect cei care tiau unde se afl putndu-l citi. Steganografia este folosit pentru a ascunde mesaje (fiiere) n alte fiiere mai mari i anume n imagini de tip jpg, bmp, png, n fiiere audio (mp3 sau wav) sau chiar video (avi) fr a exista posibilitatea ca o ter persoan s tie sau s afle de existena lor. Totui una dintre cele mai cunoscute tehnici de steganografie este "cerneala simpatic" (nscrisul devine vizibil dup un procedeu - lampa UV, nclzire, etc.). Steganografia nu trebuie confundat cu criptografia. Acesta din urma face ca un mesaj s devin indescifrabil, dar existenta lui este vizibil, pe cnd steganografia ascunde existena mesajului i nu mesajul i face ca steganografia s fie completarea perfect pentru codificare. Aplicaia poate fi descrcat de la http://www.securekit.com/. Dup instalare, studenii vor efectua ascunderea unui fiier text n spatele unei imagini, care poate fi jpg, bmp, tif, pgn etc. Lansarea n execuie a aplicaiei se poate face astfel: Start ^ Programs ^ Steganography ^ Steganography Moment n care se va deschide fereastra de mai jos:

99

Laborator Securitatea sistemelor informatice

Lucrarea nr.2

2.3

Ascunderea unui fiier

Pasul 1: Selectarea fiierului cru n acest prim pas se va alege fiierul (imaginea) n care se va ascunde mesajul (sau fiierul) secret. .1/ Click pe butonul , i se va alege imaginea care va ascunde mesajul.

Pasul 2: Adugarea/nlturarea mesajului sau a fiierului n acest pas se selecteaz un fiier existent n calculator sau se creeaz un mesaj nou care va fi ascuns. Pot fi ascunse mai multe fiiere sau mesaje n acelai timp. Add Click pe butonul mesaje sau fiiere: ______
Select a file or create a new message: File New Message

, dup care se deschide fereastra de adugat

Cancel

100

Laborator Securitatea sistemelor informatice

Lucrarea nr.2

1. Pentru a ascunde un fiier deja existent se apas "File" i apoi "Next" , selectndu -se de pe hard disc fiierul dorit. 2. Pentru a ascunde un mesaj, se apas "New Messge" i apoi "Next", deschizndu-se fereastra "InstantMessage":
Add Instant Message
Subject: Subiectul mesajului secret Text

si. 0^ I Cancel

Paii de mai sus se repet dac dorim s ascundem mai multe fiere.

Pentru a ndeprta un fiier sau un mesaj ce trebuia ascuns, se selecteaz din tabel i apoi se apas butonul Remove, Pasul 3: Specificarea parolei

La final, se d click pe butonul

pentru a porni procesul de

ascundere. Cnd procesul de ascundere este complet, salvai fiierul rezultat. Descoperirea unui fiier ascuns Pasul 1: Alegerea fiierului purttor iTV

2.4

Se d click pe butonul

din dreapta i se selecteaz fiierul cru;

Pasul 2: Introducerea parolei de acces Dac la ascunderea fiierului original s-a introdus o parol, acum ea trebuie cunoscut i introdus.
Unhid

Se apas butonul ____________ pentru a ncepe procesul de descoperire a fiierului ascuns. Dup ce procesul este terminat, n tabelul de dedesubt va apare fiierul ascuns n form clar. Pentru al deschide se d dublu clic pe el.

101

Laborator Securitatea sistemelor informatice

Lucrarea nr.3

3
3.1

Firewall-uri
Obiective: nelegerea funcionrii i a rolului unui firewall n securitatea sistemelor informatice; pornirea i configurarea firewall-ului sistemului de operare Windows XP; Generaliti/Definiii Firewall

3.2

Un paravan de protecie poate ine la distan traficul Internet cu intenii rele, de exemplu hackerii, viermii i anumite tipuri de virui, nainte ca acetia s pun probleme sistemului. n plus, un paravan de protecie poate evita participarea computerului la un atac mpotriva altora, fr cunotina dvs. Utilizarea unui paravan de protecie este important n special dac suntei conectat n permanen la Internet. Un firewall este o aplicaie sau un echipament hardware care monitorizeaz i filtreaz permanent transmisiile de date realizate ntre PC sau reeaua local i Internet, n scopul implementrii unei "politici" de filtrare. Aceast politic poate nsemna: protejarea resurselor reelei de restul utilizatorilor din alte reele similare - Internetul > sunt identificai posibilii "musafiri" nepoftii, atacurile lor asupra PC-ului sau reelei locale putnd fi oprite. Controlul resurselor pe care le vor accesa utilizatorii locali.

Funcionarea firewall-urilor De fapt, un firewall, lucreaz ndeaproape cu un program de routare, examineaz fiecare pachet de date din reea (fie cea local sau cea exterioar) ce va trece prin serverul gateway pentru a determina dac va fi trimis mai departe spre destinaie. Un firewall include de asemenea sau lucreaz mpreun cu un server proxy care face cereri de pachete n numele staiilor de lucru ale utilizatorilor. n cele mai ntlnite cazuri aceste programe de protecie sunt instalate pe calculatoare ce ndeplinesc numai aceast funcie i sunt instalate n faa routerelor. Soluiile firewall se mpart n dou mari categorii: prima este reprezentat de soluiile profesionale hardware sau software dedicate proteciei ntregului trafic dintre reeaua unei ntreprinderi (instituii -> ex.: Universitatea "Alexandru loan Cuza", Iai) i Internet; iar cea de a doua categorie este reprezentat de firewall-urile personale dedicate monitorizrii traficului pe calculatorul personal. Utiliznd o aplicaie din ce-a de a doua categorie vei putea prentmpina atacurile colegilor lipsii de fair-play care ncearc s acceseze prin mijloace mai mult sau mai puin ortodoxe resurse de pe PC-ul dumneavoastr. n situaia n care dispunei pe calculatorul de acas de o conexiune la Internet, un firewall personal v va oferi un plus de siguran transmisiilor de date. Cum astzi majoritatea utilizatorilor tind s schimbe clasica conexiune dial-up cu modaliti de conectare mai eficiente (cablu, ISDN, xDSL sau telefon mobil), pericolul unor atacuri reuite asupra sistemului dumneavoastr crete. Astfel, mrirea lrgimii de band a conexiunii la Internet faciliteaz posibilitatea de "strecurare" a intruilor nedorii. 3.2.1

102

Laborator Securitatea sistemelor informatice ________________________________ Lucrarea nr.3 Astfel, un firewall este folosit pentru dou scopuri: pentru a pstra n afara reelei utilizatorii ru intenionati (virui, viermi cybernetici, hackeri, crackeri) ; pentru a pstra utilizatorii locali (angajaii, clienii) n reea . 3.2.2 Politica Firewall-ului nainte de a construi un firewall trebuie hotrt politica sa, pentru a ti care va fi funcia sa i n ce fel se va implementa aceast funcie. Politica firewall-ului se poate alege urmnd civa pai simpli: alege ce servicii va deservi firewall-ul desemneaz grupuri de utilizatori care vor fi protejai definete ce fel de protecie are nevoie fiecare grup de utilizatori pentru serviciul fiecrui grup descrie cum acesta va fi protejat scrie o declaraie prin care oricare alte forme de access sunt o ilegalitate Politica va deveni tot mai complicat cu timpul, dar deocamdat este bine s fie simpl i la obiect. 3.2.3 Clasificri Firewall-urile pot fi clasificate dup: Layerul (stratul) din stiva de reea la care opereaz Modul de implementare

n funcie de layerul din stiva TCP/IP (sau OSI) la care opereaz, firewall-urile pot fi: Layer 2 (MAC) i 3 (datagram): packet filtering. Layer 4 (transport): tot packet filtering, dar se poate diferenia ntre protocoalele de transport i exist opiunea de "stateful firewall", n care sistemul tie n orice moment care sunt principalele caracteristici ale urmtorului pachet ateptat, evitnd astfel o ntreag clas de atacuri Layer 5 (application): application level firewall (exist mai multe denumiri). n general se comport ca un server proxy pentru diferite protocoale, analiznd i lund decizii pe baza cunotinelor despre aplicaii i a coninutului conexiunilor. De exemplu, un server SMTP cu antivirus poate fi considerat application firewall pentru email. Dei nu este o distincie prea corect, firewallurile se pot mpri n dou mari categorii, n funcie de modul de implementare: dedicate, n care dispozitivul care ruleaz software-ul de filtrare este dedicat acestei operaiuni i este practic "inserat" n reea (de obicei chiar dup router). Are avantajul unei securiti sporite. combinate cu alte faciliti de networking. De exemplu, routerul poate servi i pe post de firewall, iar n cazul reelelor mici acelai calculator poate juca n acelai timp rolul de firewall, router, file/print server, etc.

103

Laborator Securitatea sistemelor informatice ________________________________ Lucrarea nr.3 3.2.4 Ce "poate" i ce "nu poate" s fac un firewall? Un firewall poate s: monitorizeze cile de ptrundere n reeaua privat, permind n felul acesta o mai bun monitorizare a traficului i deci o mai uoar detectare a ncercrilor de infiltrare; blocheze la un moment dat traficul n i dinspre Internet; selecteze accesul n spaiul privat pe baza informaiilor coninute n pachete. permit sau interzic accesul la reeaua public, de pe anumite staii specificate; i nu n cele din urm, poate izola spaiul privat de cel public i realiza interfaa ntre cele dou. De asemeni, o aplicaie firewall nu poate: interzice importul/exportul de informaii duntoare vehiculate ca urmare a aciunii rutcioase a unor utilizatori aparinnd spaiului privat (ex: csua potal i ataamentele); interzice scurgerea de informaii de pe alte ci care ocolesc firewall-ul (acces prin dialup ce nu trece prin router); apra reeaua privat de utilizatorii ce folosesc sisteme fizice mobile de introducere a datelor n reea (USB Stick, dischet, CD, etc.) preveni manifestarea erorilor de proiectare ale aplicaiilor ce realizeaz diverse servicii, precum i punctele slabe ce decurg din exploatarea acestor greeli Informaii despre firewall sun Windows XP

3.3

3.3.1 Cum ncep s utilizez un firewall?


Un firewall este ncorporat n Microsoft Windows XP. Este posibil s ncepei chiar astzi, utiliznd caracteristica "Paravan de protecie Windows XP pentru conexiunea Internet". n majoritatea situaiilor, paii din pagina despre protejarea PC- ului v ajut s activai firewall-ul pentru conexiunea Internet n Windows XP i trebuie utilizat dac avei un singur computer cu care v conectai la Internet. Cteva opiuni suplimentare pentru firewall mai sunt disponibile, acestea fiind soluii software i hardware. Acestea ar trebui luate n considerare dac avei o versiune mai veche de Windows, dac avei probleme de compatibilitate cu firewall-ul din Windows XP sau dac intenionai s utilizai un firewall cu caracteristici diferite. Versiunile de Windows anterioare Windows XP nu se livrau cu un firewall pentru conexiunea Internet. Dac avei un computer cu o versiune mai veche de Windows i acesta este conectat direct la Internet, ar trebui s cumprai i s utilizai un firewall.

3.3.2 Cum aflu ce versiune de Windows utilizez?


1. Facei clic pe Start, apoi pe Run. 2. n caseta de dialog Executare, tastai winver. Facei clic pe OK. O caset de dialog v va spune ce versiune de Windows executai. Utilizatorii de Windows XP care doresc caracteristici diferite ntr-un firewall pot s utilizeze, de asemenea, un firewall hardware sau unul software de la un alt

104

Laborator Securitatea sistemelor informatice

Lucrarea nr.3

productor. n unele situaii, utilizatorii avansai pot opta pentru utilizarea n reea att a unui firewall software ct i a unuia hardware. Verificarea strii Windows Firewall Pentru a verifica dac verify that Windows Firewall este pornit se efectueaz urmtorii pai: 1. Click Start, and then click Control Panel. 2. From the Control Panel, click Windows Firewall.

3.3.3

General | Enceoions | Advanced |

|[ Generali Exceptions | Advanced |

Windows Firewall is helping to protect your PC

Windows Firewall is blocking incoming network connections, except for the programs and services selected below. Adding exceptions ailows some programs to work bettet but might increase ^lour securitul risk.

Windows Firewall heips protect your computer by preventing unauthorized users Irom gaining acoess toyour computer through the Internet or a network. Programs and Services:
(* iQn (rccommcndcd

Name ...................................................... 0Apache HTTP Server 0 Cisco TFTP Server 0File and Printer Sharing 0 java 0 javaw

This setting blocks all outside sources from connecting to this computer, with the exception of those selected on the Exceptions tab.

|~ Don't allow exceptions Select this when you connect to public networks in less secure locations, such as airports. You will not be notified when Windows Firewall blocks programs. Selections on the Exceptions tab will be ignored.
r 0|f (noi recDmmended)

0 LabVIEW 7.1 Development System 0 National Instruments Example Finder 0 OMNotebook 0OMShell 0 Remote Assistance _________________

Avoid using this setting. Turning off Windows Firewall may make this computer more vulnerable to viruses and intruders.

Add d Progra Program...

| ] Add PorL. 11[ Edil...

W Display a notification when Windows Firewall blocks a program


What else shouid I know about Windows Firewall? What are the risks of allowinq exceptions?

OK

Cancel

J.

3. Dac Windows Firewall este On, atunci este pornit. 4. Dac Windows Firewall este Off, atunci el este nchis, pentru al porni click pe On.

3.3.4 Adugarea unei excepii n Windows Firewall


Uneori, Windows Firewall blocheaz un program care este folosit pentru conectarea la Internet. Dac dorim ca acest program s aib acces la Internet, putem aduga n Windows Firewall o excepie pentru acesta, lucru care se efectueaz astfel: 1. Dm clik pe tab-ul Exceptions )figura de mai sus); 2. Clik pe Add Program _ 3. n Add a Program dialog box, click Browse.

105

Laborator Securitatea sistemelor informatice


Add a Program

Lucrarea nr.3

To allGW CGmmunications with a program biJ adding it to the Exceptions list. select the program, or click Browse to search for one that is not listed. ^rograms: ^1-2-3 Ke]^ ^ABBYY FineReader G.O Corporate Edition ^ABBYY FormFiller ACDSee ^ACDSeeUninstall 1^ Acrobat Ke^) @Act Key ^Agent Manager ^Ambulatorii &AMCap Audio Mixing Recorder Path: C:\Program Files\Passware\123kei).ewe

-zi Browse...

Change scope...

Cancel

4. i cutm aplicaia creia dorim s-i permitem s treac de Firewall; 5. Windows Firewall va aduga o excepie pentru programul selectat. i i va permite s se conecteze pe Internet cu un alt calculator. (de exemplu Yahoo Messenger).

3.3.5 Probleme de compatibilitate cu ISP, hardware sau software


Conexiunile la Internet ale unor distribuitori ISP nu apar n folderul Conexiuni n reea. De exemplu, versiunile mai vechi ale programelor de conexiune AOL sau MSN nu sunt compatibile cu firewall-ul din Windows XP. Dac v confruntai cu aceast incompatibilitate, luai legtura direct cu distribuitorul ISP pentru asisten. n anumite cazuri, distribuitorii ISP furnizeaz un firewall personal alternativ, fie software, fie hardware. n anumite cazuri, conexiunea pentru ISP poate aprea n folderul Conexiuni n reea, ns nu vei vedea fila Complex n caseta de dialog Proprieti conexiune sau nu vei vedea caseta de selectare Paravan de protecie a conexiunii la Internet. Aceasta nseamn c software -ul de conexiune ISP nu este compatibil cu firewall-ul. Firewall-ul poate s interfereze cu anumite programe i utilitare de reea de pe computer. n majoritatea cazurilor, avei posibilitatea s corectai selectiv aceste incompatibiliti reglnd funcionarea firewall-ului sau cernd asisten furnizorului de software sau ISP. Uneori, o versiune nou de software va corecta aceast problem. 3.4 Desfurarea lucrrii Studenii vor efectua urmtoarele operaii: vor verifica dac Windows Firewall este pornit, iad dac acesta este nchis l vor porni; vor aduga o excepie pentru aplicaia "Windows Messenge", a crei locaie pe hard disc este "C:\Program Files\Messenger\msmsgs.exe";

106

Laborator Securitatea sistemelor informatice

Lucrarea nr.3

Pclirea Firewall/IDSurilor i ascunderea identitii Muli pionieri ai internetului au prevzut o reea global deschis cu un spaiu universal de adrese IP permind conexiuni virtuale ntre oricare dou noduri. Acest lucru permite hosturilor s acioneze ca parteneri n comunicaie, s serveasc i s obin informaii unul de la celalalt. Oamenii pot accesa sistemele de acas, s schimbe temperatura n cas sau s deschid ua pentru oaspeii grbii. Viziunea conectivitii universale a fost nbuit de micorarea spaiului de adrese i de problemele de securitate. La nceputul anilor 90, organizaiile au nceput implementarea firewallurilor cu scopul precis de reducere a conectivitii. Reele uriae au fost separate de Internetul nefiltrat prin aplicaii proxy, traduceri de adrese de reea (NAT) i filtre de pachete. Fluxul nerestricionat de informaii a fcut loc canalelor de comunicaie aprobate i supuse unor anumite reguli, precum i controlului datelor ce trece prin ele. Obstacolele din reea cum ar fi firewallurile pot face din maparea reelei o operaie extrem de dificil. Nu va deveni mai uor din moment ce constrngerile aplicate reelei reprezint adesea un scop al implementrii noilor echipamente n reea. Nu e mai puin adevrat ca Nmap ofer multe opiuni pentru nelegerea acestor reele complexe i s verifice dac filtrel e funcioneaz aa cum trebuie. Chiar suport mecanisme de depire a sistemelor de aprare prost implementate. Punei-v n pielea unui atacator i aplicai tehnici din aceasta seciune n reeaua dumneavoastr. Lansai un atac srit FTP, o scanare Idle, o fragmentare a atacului sau ncercai realizarea unui tunel printr-un proxy de-al dumneavoastr. n plus fa de restriciile reelelor, companiile au nceput s monitorizeze traficul cu sisteme de detecie a intruziunilor (IDS). Toate IDSurile cunoscute sunt livrate cu reguli care s detecteze scanrile Nmap deoarece acestea preced de obicei un atac. Multe dintre acestea sau transformat n sisteme de prevenirea intruziunilor (IPS) care blocheaz n mod activ traficul presupus maliios. Din pcate pentru administratorii de reea i vnztorii IDSurilor, detectarea n mod corect a relelor intenii prin analizarea pachetelor este o problem dificil. Atacatorii cu rbdare, ndemnare i ajutor din partea anumitor opiuni Nmap pot n mod normal s treac de IDS nedetectai. ntre timp, administratorii au de a face cu o mulime de alerte false cnd trafic inocent este greit diagnosticat i se emite o atenionare sau este chiar blocat. Cteodat oamenii sugereaz ca Nmap nu ar trebui s ofere funcii de pclire a regulilor firewallurilor sau de trecerea nedetectata de IDS. Argumenteaz prin faptul c pot fi folosite de atacatori. Problema n acest raionament este c atacatorii tot vor gsi instrumente sau patchuri pentru Nmap pentru a realiza acest lucru. ntre timp, administratorii pot descoperii c munca lor este mult mai dificil. Instalarea numai a serverelor FTP moderne, cu patchurile aplicate la zi este o metod mult mai bun de protecie dect prevenirea distribuirii instrumentelor ce implementeaz atacurile srite FTP. Nu exist nici o opiune magic n Nmap pentru detectarea i pclirea firewallurilor si a sistemelor IDS. Acest lucru ia ndemnare i experien O prezentare detaliat este dincolo de scopul acestei lucrri de laborator, care listeaz doar opiunile relevante i descrie ce fac ele. 3.1 -f (fragmenteaz pachetele); mtu (foloseste MTU specificat - Unitatea Maxima de Transmitere)

107

Laborator Securitatea sistemelor informatice ______________________________________________ Lucrarea nr.3

Opiunea -f face ca scanarea cerut (incluznd scanarea ping) s foloseasc fragmente mici de pachete IP. Ideea este mprirea headerului TCP n mai multe pachete pentru a ngreuna misiunea filtrelor de pachete, sistemelor de detectare a intruziunilor i a altor elemente de detectare a activitii. Atenie cu aceasta opiune! Unele programe au probleme n manevrarea acestor pachete mici. De exemplu Sniffit eua dup primirea primului fragment. Specificai aceast opiune o dat i Nmap va mpri pachetul n fragmente de opt bytes sau mai puin dup headerul IP. Astfel, un header TCP de 20 bytes va fi mprit n 3 pachete. Dou de opt bytes i unul cu ultimii patru. Desigur, fiecare fragment are propriul header TCP. Specificai -f nc o dat pentru folosirea a 16 bytes pe fragment (reducnd numrul de fragmente). Sau putei specifica propriile dimensiuni cu opiunea--mtu. Nu specificai i -f dac folosii -- mtu. Dimensiunea trebuie s fie un multiplu de 8. Pachetele fragmentate nu vor trece de filtrele de pachete i firewallurile care interogheaz toate fragmentele IP, cum ar fi opiunea CONFIG_IP_ALWAYS_DEFRAG din kernelul Linuxului, unele reele nu-i pot permite pierderea de performan cauzat de aceste configurri i le dezactiveaz. Altele nu pot activa configurrile de acest gen deoarece fragmentele pot intra pe rute diferite n reea. Unele sisteme defragmenteaz pachetele de ieire n kernel. Linux cu modulul de urmrire a conexiunii din iptables este un exemplu. Realizai o scanare i rulai n acelai timp un sniffer de gen ul Ethereal pentru a v asigura c pachetele sunt fragmentate. Dac sistemul de operare v creaz probleme, ncercai opiunea send-ethde srire a nivelului IP i de trimitere de cadre ethernet brute. -D <momeaiai [,momeaia2][,ME (EU)],...>(Scanare acoperita de momeli) Face ca o scanare acoperit de momeli s fie executat, ceea ce face ca inta s cread c momelile specificate ca argument scaneaz i ele reeaua. Astfel IDS poate raporta 5-10 scanri de porturi de la adrese IP unice, dar nu va tii care adres scaneaz cu adevrat i care sunt momeli inocente. Cu toate ca aceasta tehnica poate fi contrat prin urmrirea cii prin routere, ignorarea rspunsului i alte mecanisme active, ea reprezint o tehnic eficient de ascundere a adresei IP. Separai fiecare momeal prin virgule i folosii opional ME (adic propria adresa IP) ca una dintre momeli pentru a reprezenta adevrata poziie a adresei IP reale. Daca punei ME n a asea poziie sau mai trziu, unele detectoare de scanri de porturi (cum ar fi Solar Design) pot s nici nu afieze adresa IP real. Dac nu folosii ME, nmap l va pune ntr-o poziie aleatoare. Reinei faptul c intele pe care le folosii ca momeli trebuie s fie active sau altfel riscai s inundai cu pachete SYN inta. n aceeai ordine de idei, este uor de determinat cine face scanarea dac o singur adres IP este activ. E de preferat s utilizai adrese IP n loc de nume (astfel nct numele hostului dumneavoastr s nu apar n logurile DNSului int). Momelile sunt folosite att n pingul iniial (folosind ICMP, SYN, ACK sau orice altceva) i n timpul scanrii efective de porturi. Momelile sunt de asemenea folosite la detectarea sistemului de operare (- O ). Momelile nu funcioneaz cu detecia versiunii sau scanarea TCP connect(). Nu folosii prea multe momeli deoarece pot ncetini scanarea i o pot face mai puin corect. De asemenea, unii ISP vor filtra pachetele false, dar muli nu restricioneaz pachetele IP de loc. -S <Adresa_IP>(Seteaza adresa IP sursa)

108

Laborator Securitatea sistemelor informatice ______________________________________________ Lucrarea nr.3

n anumite circumstane, Nmap se poate afla n imposibilitatea determinrii adresei surs (Nmap va anuna dac acest lucru se ntmpla). n aceast situaie, folosii -s cu adresa IP a interfeei pe care dorii s trimitei pachetele. Alt posibil utilizare a acestei opiuni este s facei inta s cread c este scanata de altcineva. Imaginativ o companie permanent scanat de un competitor! Opiunea -e va fi n general necesar pentru astfel de utilizare si -po este de asemenea recomand. -e <interfata>(Foloseste interfata specificata) Spune Nmapului ce interfa s foloseasc pentru trimiterea i primirea pachetelor. Nmap ar trebui s poat determina automat acest lucru, dar v va anuna dac nu poate. --source-port <numarul_portului>;-g <numarul_portului>(Seteaza portul sursa) O greeal surprinztor de des ntlnit o reprezint configurarea relaiilor de ncredere n funcie de numrul portului surs. Este uor de neles cum stau lucrurile. Un administrator instaleaz un nou firewall i este apoi ngropat n plngeri din partea utilizatorilor nemulumii ale cror aplicaii nu mai funcioneaz. n particular, DNSul poate fi blocat deoarece rspunsurile UDP DNS de la serverele externe nu mai pot intra n reea. FTP este un alt exemplu. n transferurile FTP active, serverul ncearc s stabileasc o conexiune napoi la client pentru transferarea fiierului solicitat. Soluii securizate la aceste probleme exist, de obicei sub forma de proxiuri la nivelul aplicaie sau module firewall care analizeaz protocoalele. Din pcate exist i soluii mai simple i mai nesigure. Notnd faptul c rspunsurile DNS vin de la portul 53 i cele de la conexiunile FTP de la portul 20, muli administratori au czut n capcana permiterii necondiionate a traficului de la aceste porturi. Adesea ei presupun c nici un atacator nu va observa i exploata astfel de guri n firewall. n alte cazuri, administratorii consider aceasta rezolvare ca un a pe termen scurt pn cnd vor implementa o soluie mai sigur. Apoi ei uit s mai fac upgradeul de securitate. Administratorii reelelor suprancrcate nu sunt singurii care cad n aceast capcan. Numeroase produse au fost livrate cu aceste reguli nesigure. Chiar i Microsoft are partea ei de vina. Filtrele IPsec livrate cu Windows 2000 i Windows XP conin o regul implicit care permite traficul oricrui pachet UDP cu portul sursa 53 (DNS) sau 67 (DHCP). Nmap ofer opiunile -gsisource-port (care sunt echivalente) pentru exploatarea acestei slbiciuni. Specificai un numr ca argument i Nmap va trimite pachete de la acel port oricnd acest lucru este posibil. Nmap trebuie s foloseasc porturi diferite pentru anumite teste de detectare a sistemului de operare i cererile DNS ignor opiunea source-port deoarece Nmap se bazeaz pe librriile sistemului pentru a le manevra. Multe scanri TCP, incluznd -o pe cea SYN, suport aceast opiune, la fel ca i scanarea UDP. data-length <numar> (Adaug un numr aleator de date la pachetul trimis) n mod normal Nmap trimite pachete minimali ste coninnd doar headerul. Astfel pachetele TCP au n general 40 bytes i cererile de rspuns ICMP doar 28. Aceast opiune adaug un numrul dat ca argument de bytes, generai aleator, la majoritatea pachetelor trimise. Pachetele pentru detecia sistemului de operare (-O) nu

109

Laborator Securitatea sistemelor informatice ________________________________ Lucrarea nr.3 sunt afectate, dar majoritatea pingurilor i scanrilor de porturi sunt. Acest lucru ncetinete viteza de scanare, dar pachetele pot fi mai puin suspicioase. tti <vaioare>(Seteaza campul IP time-to-live - timp de viata) Seteaz cmpul IP time-to-live - timp de viata - la valoarea specificat. randomize-hosts(Scaneaza hosturile in ordine aleatoare) Spune Nmapului s aranjeze aleator grupuri de 8096 hosturi nainte de scanare. Aceast opiune poate face scanarea mai puin vizibil pentru anumite sisteme de monitorizare a reelei, n special cnd se combin cu un specificator mic de timp. Dac vrei ca aranjarea aleatoare s se realizeze pentru grupuri mai mari, cretei valoarea PING_GROUP_SZ dinnmap.hsi i recompilai. O soluie alternativ o reprezint generarea listei de IPuri ce urmeaz a fi scanat cu o scanre de tip lista (-sL -n - oNnumefisier), i s realizai aranjarea aleatoare a lor cu un script Perl, apoi s furnizai ntreaga list Nmapului cu opiunea -iL. --spoof-mac <adresa mac, prefix, numele vanzatorului >(Falsifica adresa MAC) Cere Nmapului s foloseasc adresa MAC furnizat pentru toate cadrele ethernet pe care le trimite. Aceast opiune implic send-eth pentru a se asigura c Nmap trimite pachetele la nivelul reea. MAC-ul specificat poate avea cteva formate. Dac spcificai irul 0, Nmap alege un MAC complet aleator pentru sesiunea respectiv. Daca irul furnizat este un numr par de digii hexa (cu perechile separate prin caracterul :), Nmap va folosi respectiva adresa MAC. Dac mai puin de 12 digii sunt furnizai, Nmap umple 6 bytes cu valori aleatoare. Dac argumentul nu este nici 0, nici ir hexa, Nmap caut n nmap-mac-prefixes pentru a gsi un productor care s conin irul dat (cutare insenzitiv). Dac o asemnare este gsit, Nmap folosete identificatorul unic al vnztorului (3 bytes) i completeaz cu 3 bytes alei aleator. argumentele valide ale opiunii --spoof-mac sunt Apple 0,01:02:03:04:05:06, deadbeefcafe, 0020F2, i Cisco.

110

Laborator Securitatea sistemelor informatice

Lucrarea nr.4

4
4.1

Proxy server
Obiective: nelegerea funcionrii i a rolului unui server proxy n securitatea sistemelor informatice; pornirea i configurarea unui server proxy sub sistemului de operare Windows XP; instalarea i configurarea WinGate.

4.2

Generaliti/Definiii Server Proxy

Probabil c muli dintre dumneavoastr, dac v vei hotr s instalai un astfel de server pentru reeaua la care suntei conectai, vei fi pui n faa unor decizii destul de grele, problema configurrii unui astfel de sistem fiind destul de complicat. n continuare se vor prezenta cteva soluii n acest sens, pentru mai multe variante de reea (Windows NT sau Windows 2000, Unix) pentru a v ajuta s instalai i s configurai cu succes un astfel de program. 4.3 Server Proxy pentru WINDOWS

Prima soluie se preteaz platformelor Windows NT sau Windows 2000 i poart numele de Microsoft Proxy 2.0. Dup ce v hotri s procedai la instalarea acestui proxy va trebui s validai pentru instalare (s bifai sau s debifai) opiunile necesare pentru ca serverul s funcioneze n parametrii dorii de dumneavoastr. Recomandate sunt opiunile de instalare a serverului propriu-zis, share-ul pentru clienii compatibili Windows NT i Windows 9x, uneltele de administrare i eventual documentaia i suportul pentru clienii ce folosesc Windows NT Alpha sau Windows 3.x. Stabilirea valorii cache Al doilea pas este configurarea cache-ului, pentru acest lucru avei nevoie de o partiie NTFS, celelalte tipuri nefiind suportate. Putei s nu selectai instalarea cache- ului, dar atunci nu vei beneficia dect de opiunile de securitate ale serverului. Va trebui s specificai valoarea cache-ului, pentru calculul acesteia fiind recomandat formula 0,5xC+100MB, unde C este numrul de clieni deservii de server. Tabela de adrese locale n a treia etap va trebui s configurai tabela de adrese locale (Local Address Table LAT). Prin intermediul acestei tabele clientul proxy va ti care sunt adresele locale din reea n scopul de a le contacta far a mai trece prin serverul proxy. Aici avei mai multe opiuni, putei aduga un interval de adrese (Add private ranges), dar trebuie avut n vedere c acestea vor fi acceptate ca fiind adrese interne referitor la Internet i procedura trebuie executat cu atenie pentru a nu se strecura vreo adres extern nedorit. De asemenea putei ncrca adresele existente n tabela de rutare (Load from NT internal Routing Table) ale tuturor adaptoarelor de reea sau le putei selecta doar pe cele dorite. n cazul n care exist adaptoare de reea conectate la o reea extern trebuie s selectai Load known address ranges from the following IP interface cards

111

Laborator Securitatea sistemelor informatice ______________________________________________ Lucrarea nr.4

i apoi s selectai doar dispozitivele interne. Putei, bineneles, s inserai sau s tergei adrese specifice din LAT, cu condiia de a nu introduce adrese IP externe. Configurarea clienilor Prima dat trebuie s stabilii cum se vor conecta clienii la server, aceasta fcndu-se n dou moduri, fie dup numele de host fie dup adresa IP. A treia opiune, configurarea manual, nu este disponibil dect dac reinstalai serverul proxy, caz n care putei pstra sau suprascrie configuraia deja existent. Apoi este recomandat s optai pentru configurarea automat a browserelor Web pentru a suporta proxy, deci validarea opiunii Automatically configure the clients Web browser during the client setup i configurarea automat definit n fiierul Array.dll. Valoarea pentru portul TCP nu trebuie modificat (portul prestabilit este TCP 80). Se poate renuna la folosirea configuraiei existente predefinite n Array.dll, putnd fi folosit un script de configurare, sau se pot modifica unele setri din Array.dll prin apelarea la configurarea avansat a clienilor (Advanced Client Configuration) disponibil ulterior accesrii proprietilor (Properties). n acest punct putei stabili dac browserele Web vor folosi proxy pentru serverele locale, opiune iniial nevalidat. De asemenea putei seta ca pentru anumite adrese IP conectarea s nu se fac prin intermediul proxy, adresele i mtile lor de subreea trebuind s le specificai n fereastra de mai jos. Poate s se renune la proxy n favoarea conectrii directe pentru anumite domenii i se poate modifica ruta de sigurana (n cazul n care serverul proxy nu mai este funcional se recurge la o rut alternativ care poate fi un alt proxy sau conectarea directa la Internet). Limitarea accesului n acest punct se stabilesc criteriile de limitare a accesului la unele protocoale sau servicii Internet. Putei dispune de controlul accesului pentru WinSock Proxy Service, pentru Web Proxy Service sau pentru amndou. Iniial, ambele sunt selectate i e bine de tiut c n configuraia prestabilit nu se ofer acces nimnui din reeaua intern ctre Internet prin serverul proxy. Dac optai pentru configuraia prestabilit trebuie apoi s creai drepturi (pentru grupuri, staii solitare sau pentru toata reeaua intern) privind conectarea la Internet prin intermediul serverului proxy. De asemenea se poate beneficia de opiunea filtrrii de pachete n cazul n care ai optat pentru instalarea uneltelor de administrare. Aceast filtrare de pachete limiteaz tipul de trafic i de conexiuni pe care utilizatorii externi le fac ctre reeaua intern. nainte de a apela la un server proxy trebuie avute n vedere configuraia i structura reelei i de software -ul de reea de pe staiile client folosit pentru a contacta reeaua extern. n momentul implementrii serverului se recomand s facei o list cu toate aplicaiile TCP/IP folosite de ctre clieni pentru conectarea la reeaua externa, n special trebuie avute n vedere browserele Web folosite deoarece fiecare aplicaie ce dorii s foloseasc serve-rul proxy trebuie configurat n acest sens. Browserele cunoscute, cum sunt Internet Explorer sau Netscape, pot fi configurate automat, dar poate fi nevoie de configurare manual pentru alte aplicaii. Integrarea serverului proxy n reea se afl n strns legtur cu modul n care clienii se conecteaz la Internet. De exemplu, dac dorii forarea conexiunii numai prin intermediul proxy, trebuie s avei grij s nu mai existe alte rute ctre Internet disponibile. n acest caz este esenial s dezactivai opiunea IP forwarding pentru serverul dumneavoastr. Acest lucru se poate face din pagina de proprieti pentru TCP/IP, i n cazul n care nu dezactivai aceast opiune serverul pe care este instalat proxy poate face rutarea de pachete fr a

112

Laborator Securitatea sistemelor informatice

Lucrarea nr.4

mai folosi proxy. De asemenea trebuie verificate i routerele existente ce pot oferi acces la Internet, dac acestea exist trebuie s satisfac aceleai condiii de control i securitate oferite de proxy. 4.4 4.4.1 Desfurarea lucrrii

Instalare l configurare server proxy WInGate Versiunea WinGate 6.2.1 se poate download-a i folosi timp de 30 de zile gratuit de pe http://www.wingate.com/download.php . Cele mai indicate moduri de instalare a WinGate sunt prezentate n figura 1, n care serverul WinGate are legtur direct la Internet sau prin intermediul unui modem sau router. Pe aceast interfa, Serverul are o adres IP public. Pentru conexiunea la reeaua local, poate avea o a doua interfa, conectat cu un switch pentru a permite accesul mai multor utilizatori.

Staie WinGa te [ 192.168.1.2 /24 Staie WinGate 192.168.1.3 /24 Staie WinGate 192.168.1.4 /24

LAN Switch Server WinGat e Modem / Router

WAN

192.168.1.1 /24 Gateway: empty empty DNS:

IP: auto DG: auto DNS: auto

Fig. 1: Instalarea i cofigurarea unui server proxy sub Windows. Configurarea adaptorului pentru LAN Placa de reea de pe Server care va fi conectat la LAN, va fi configurat static cu un IP privat (vezi figura 1), iar cmpurile pentru Default Gateway i DNS server for fi lsate goale. Configurarea adaptorului pentru WAN Placa de reea ce va face conexiunea cu Internetul va fi configurat astfel: 1. dac conexiunea este realizat direct la internet, se va da un IP static Public, care este oferit de ctre providerul de Internet (ISP); 2. dac conexiunea este realizat printr-un router (aa ca n laborator), care are pe el un server de DHCP pornit, atunci IP va fi obinut automat bifnd opiunea Obtain IP address automatically. Procesul de instalare Procesul de instalare este identic oricrei aplicaii sub Windows. La instalare trebuie s optm pentru una din variantele: Client WinGate sau Server WinGate.
-Installation T^ipe ---------------------------------------------------------------------------

C Configura this Computer as a WinGate Internet Client (* Configure this


Computer as the WinGate Server

Fig.2: Alegerea tipului instalrii: Server sau Client WinGate.


113

Laborator Securitatea sistemelor informatice

Lucrarea nr.4

WinGate Server va fi instalat doar pe un singur calculator, cel care va face legtura la Internet. Ferestrele care se deschid n procesul de instalare sunt urmtoarele: 1. Install directory 2. Important 3. NT Users and Authentication 4. Email 5. ENS 6. Auto Update 7. Activate WinGate 3. Begin Installation 9 Installation Completed . Procesul Post-instalare Odat ce WinGate Server a fost instalat, sunt cteva setri care trebuie fcute pentru a ne asigura de corectitudinea funcionrii WinGate. 1. WinGate Engine - este instalat i ruleaz ca serviciu numit Qbik WinGate Engine, i poate avea trei stri de funcionare: stating, running i stopped. 2. GateKeeper - ofer toate funcionalitile lui WinGate pentru a opera i ofer posibiliteatea de configurare a acestuia cu o interfa numit GateKeeper, vezi figura 2.
1 G a t e K e e p e r - connected to WinGate on File View Optiions Help ^^H GQ Online Go Offiine 5ave i^ol* Help Plugins localhost

Sj iste m Se rvic e s DHCP Se rvic e W inso c k Re d ire c to r S. . . GDP Se rvic e DN S Se rvic e Rem o te Co ntro l Se rvice ; ^P 0P 3 Se rve r SM TP Se rve r IM AP 4 Se rve r E m a il Cac h ing 1^ Sc he d ule r ^ Dia le r E w te nd ed N e tw o rkinq _ _ _ _ _ _

I P o rt *

ii Clie tit

a c tivit^ i

localhost: - ( eu - Aut:hent:icat:ed [NTLM])

2C

WinGate Login; Regislier for everylihing

. S j Jste rm inte rna i ac tivi ty

Ac tiv it iJ Ne tw o rkfS ^ M a il Que ue j @ Histo rij j F irew a ll

For Helpj press FI

Conexiunea la reea Dup conectarea la GateKeeper, urmtorul pas este se verifice dac WinGate a descoperit i clasificat corect conexiunea la reea, lucru care se face astfel: 1. se selecteaz tab-ul Network de pe partea dreapt a GateKeeper; 2. n seciunea network connection vor fi afiate toate interfeele descoperite de WinGate; 3. dublu click pe interfaa care conecteaz WinGate Server la reeaua local;
114

Laborator Securitatea sistemelor informatice

Lucrarea nr.4

4. n fereastra de dialog ce se deschide se alege General tab; 5. se verific dac interfaa este setat pe Auto sau Internai (trusted provate network); Interfaa Modem / Router - Internet 1. n fereastra Network connection, dublu click pe interfaa care conecteaz Serverul WinGate la Modem, Router sau direct la Internet; 2. n General tab, se selecteaz butonul radio External (untrusted network); 3. click OK pentru a salva modificrile. Astfel, aceast interfa va fi tratat de WinGate Server drept conexiunea extern care va fi folosit pentru accesarea Internetului. Testarea conectivitii cu clienii Odat conectai la GateKeeper i realizate setrile pentru conexiunile la reea, trebuie verificat c toate gazdele din LAN au acces la Internet. Implicit, oricine are acces la Internet prin WinGate, pn cnd vor fi definite restricii. Utilizatorii pot fi urmrii n Activity tab.

Instalare i configurare Client proxy WinGate Pe staiile din reea, care se vor conecta la Internet prin Proxy, se va instala aplicaia Client proxy WinGate, lucru realizabil prin selectarea n procesul de instalare a opiunii Client, vezi figura 2. WinGate Internet Client (WGCI) este un apllet care odat instalat pe staia client, ne ajut s comunicm cu toate cererile de navigare pe Internet adresate ctre Winsock Redirector Service de pe WinGate Server. Cnd o aplicaie bazat pe Winsock, cum ar fi un browser internet sau un program de e-mail, emite o cerere ctre o main client de pe Internet, WGIC va intercepta cererea i o va trimite la Winsock Redirector Service de pe WinGate Server care va trata cererea conform setrilor clientului. Appletul WGIC permite definirea modului n care Winsock Redirector Service de pe WinGate Server va trata cererea unei aplicaii client/server care ruleaz pe maina clientului. 4.4.2 Appletul WinGate Internet Client Pentru a lansa n execuie appletul WGIC: Start ^ Programs ^ WinGate Internet Client ^ WinGate Internet Client Applet i va apare fereastra de mai sus. WGIC va gsi automat orice server WinGate din reea, atta timp ct WinGate
115

Laborator Securitatea sistemelor informatice

Lucrarea nr.4

server ruleaz i are serviciul GDP pornit. Serviciul GDP este special proiectat s permit mainilor WGID s detecteze prezena serverelor WinGate din reea. n exemplul din figura de mai sus, sunt dou servere WinGate, 98setx i Witch, care au fost detectate n reea. Se poate seta appletul WGIC care din cele dou servere s fie folosit, manual sau automat. Server - este numele din reeaua Windows a PC-ului pe care ruleaz WinGate; Address - este adresa IP privat a Serverului WinGate; Port - este portul TCP pe care Winsock Redirector Service ruleaz pe serverul WinGate, WGIC folosete Winsock redirector Service pentru a oferi conectivitate la Internet prin WinGate, Implicit, WinGate folosete portul 2080 pentru a primit cererile WGIC. Apsnd butonul Add, se deschide fereastra de mai jos, prin care se pot aduga manual Servere WinGate. Aplicaii Utilizator - User Application Acest tab permite configurarea modului n care WGIc va trata aplicaiile clientului care vor rula pe maina WGIC. tipurile de acces pe care le pot avea aplicaiile sunt: Local Acces, Mixed Acces i Global Acces.
^WinGate Internet Client ^WinGate Internet Client

General User Applications

WinGate Servers

General User Applications

WinGate Servers

Siistem Application! | Advanced

System Applications Advanced

Ihe foilowing applications are treated speciallji: pplication

The foilowing appiications are treated specialii):

'

I T ^ipe of Access
Global Access Local Access

I
Application E USERINIT32.EXE l RASMAN.EXE l MSTASK.EXE l EXPLORER.EXE l RPCSS.EXE l SERVICES.EXE l LSASS.EXE 1 T we of Access Local Access Local Access Local Access MiKed Access Local Access Local Access Local Access 1 |A

1 INTERNETAPP.EXE l 1
STARTSOMETHING.EXE

Add

Remove

Edit

Add

Remove

Edit

Help

AppIiJ

DK

Cancel

Help

Applv

Cancel

System Aplication - sun listate aplicaiile sistemului i modului de acces al acestora. Majoritatea aplicaiilor listate au Local Access, care nchide WGIC pentru anumite aplicaii. n general, lista implicit nu necesit s fie modificat.

116

Laborator Securitatea sistemelor informatice ________________________________ Lucrarea nr.4 4.4.3 Modurile de lucru ale Winsock Redirection Application Aplicaiile care ruleaz pe un computer pot fi mrite n dou categorii: Aplicaiile client - majoritatea aplicaiilor care cer o conexiune exterioar cu alte computere aflate pe Internet (n afara propriei reel) pentru a obine anumite servicii. De exemplu, navigatorul web se conecteaz la un computer pe care ruleaz un server web i cere s-i trimit o pagin web n limbaj HTML. Similar este i serviciul de e-mail POP3. Aplicaii Server - aceste aplicaii ascult datele de intrare venite de la alte computere i ofer servicii ctre computerele cu care sunt conectate. Modurile Aplicaie Local Access Mode Dac setm aplicaia unui client la Local Access n WGIC, se suspend Winsock Redirector Service din WinGate de tratare a cererilor aplicaiilor. Aplicaiile din modul de acces local vor fi ignorate de WGIC i astfel trebuie s posede o metod de conexiune alternativ pentru ai completa cererile. Acest mod face accesul local ideal pentru aplicaiile clienilor care vor rula prin WGIC. n multe cazuri se dorete utilizarea vitezei i simplicitii WinGate NAT pentru aplicaiile client (acest lucru necesit doar o conexiune aut ctre Internet). Orice aplicaie care vrem s foloseasc NAT trebuie setat s ruleze n Local Acces Mode. Mixed Access Mode Acest mod este sigur dar funcional doar pentru aplicaiile server. Acest mod permite ntotdeauna aplicaiilor s fac orice conexiune ctre exterior cu Winsock redirector Service, dar va permite accesul doar a computerelor din aceeai reea. Este mai apropiat pentru aplicaiile server gen Intranet Web sau Ftp servers. Se numete mixt, deoarece ofer o aplicaie cu conectivitate att global ct i local. Modul de acces mixt este alocat automat oricrei aplicaii server care ncearc s asculte pe un port sistem (orice mai mic de 1024). Acesta este un mecanism de siguran al WGIC, care necesit n mod explicit setarea aplicaii n Modul global de Acces pentru a fi vizibil pe Internet. Global Access Mode Acest mod este utilizat cnd avem un server de aplicaie ce ruleaz pe WGIC n spatele serverului WinGate, care are trebuie s primeasc cereri de pe Internet (server Web sau Ftp). O aplicaie server poate asculta liber pe porturi sub 1024. Dar din motive de securitate a reelei, configuraia implicit pentru WGIC nu va permite nici unei aplicaii s asculte porturi sub 1024. Dac rulai un server cu un port sun 1024 i dorii s fie accesibil computerelor din Internet trebuie configurat n mdoul de acces global. De obicei, serverul Web ascult pe portul 80 iar un server FTP pe portul 21. http://www.youngzsoft.net/ccproxy/

117

Laborator Securitatea sistemelor informatice

Lucrarea nr.5

5
5.1

Proxy server Squid pe sistem de operare Linux


Obiective: nelegerea funcionrii i a rolului unui server proxy n securitatea sistemelor informatice; pornirea i configurarea unui server proxy sub sistemului de operare Linux;

5.2

Generaliti/Definiii Server Proxy

Probabil c muli dintre dumneavoastr, dac v vei hotr s instalai un astfel de server pentru reeaua la care suntei conectai, vei fi pui n faa unor decizii destul de grele, problema configurrii unui astfel de sistem fiind destul de complicat. n continuare se vor prezenta cteva soluii n acest sens, pentru mai multe variante de reea (Windows NT sau Windows 2000, Unix) pentru a v ajuta s instalai i s configurai cu succes un astfel de program. 5.3 Configurarea Squid pentru Linux Squid este un Web proxy destinat pentru a rula sub sistemele Unix, este un software open-source foarte capabil, ce ofer foarte multe opiuni administratorilor ce se decid s -l utilizeze, cu condiia de a fi instalat i configurat corespunztor pentru a satisface necesitile reelei. Vom ncerca s prezentam un ghid coninnd cele mai importante aspecte privind configurarea acestui server, clasate pe domeniul de interes. Opiuni de reea Setarea portului la care Squid va face apel pentru a primi cereri HTTP se face cu comanda http_port. Valoarea predefinit a acestui port este 3128. Pentru a suprascrie n fiierul de configurare (squid.conf) valoarea portului se apeleaz opiunea -a n linia de comand, adic #/usr/local/squid/bin/squid -a <numar_port>. Comanda http_port nlocuiete vechea tcp_ incoming_address. Pentru setarea portului prin care Squid trimite i primete mesaje ICP de la cache-urile vecine se folosete comanda icp_ port. Valoarea predefinit pentru acesta este 3130, iar pentru suprascriere se utilizeaz opiunea -u: #/usr/local/squid/bin/squid -u <numar_port>. Pentru a se altura unui grup multicast ca s primeasc mesaje multicasting ICP se folosete mcast_groups <Adresa_IP>. La aceasta opiune se recurge doar dac dorii s primii mesaje multicast, i predefinit Squid nu este setat pentru a primi astfel de mesaje. Pentru conectarea la distan cu alte servere i pentru comunicarea cu alte cache-uri folosind HTCP sau CARP este utilizat comanda tcp_outgoing_address <Adresa_IP>. Valoarea iniial este 255.255.255.255. Pentru a primi mesaje ICP de la alte cache-uri se seteaz udp_incoming_address <Adresa_IP>, a crui valoare predefinit este 0.0.0.0., iar pentru a trimite pachete ICP ctre celelalte cache-uri se folosete udp_outgoing_address <Adresa_IP>, a crui valoare este implicit 255.255.255.255. Urmtoarea seciune se ocup de cazul n care se implementeaz mai multe cache-uri Squid, i anume de opiunile de configurare ale algoritmului de selecie a cache -urilor vecine.

118

Laborator Securitatea sistemelor informatice ______________________________________________ Lucrarea nr.5

Pentru specificarea celorlalte cache-uri n ierarhie se apeleaz la comanda cache_peer. Aceasta se desfoar pe cinci cmpuri, primul este numele sau IP-ul cache-ului vecin ales, al doilea indic tipul de relaie cu acesta, al treilea seteaz portul HTTP al serverului destinaie iar al patrulea seteaz portul pentru ICP. Ultimul cmp este opional, conine unul sau mai multe cuvinte cheie ce vor fi specificate mai jos. Linia de comanda ar fi cache_peer <IP_number><relatie> <port_HTTP> <port_ICP> [<cuvant_cheie_1> <cuvant_cheie_2> ... <cuvant_cheie_n ]. Relaia n care cache-ul curent se poate afla cu celelalte cache-uri este parent (parinte), sibling (pe acelai nivel) sau multicast (pentru grup multicast). Cuvintele cheie sunt proxy -only (pentru a nu salva local obiectele gsite n cache-ul vecin), weight=n (ce seteaz gradul printelui, valoarea implicit pentru n este 1, cu ct n este mai mare cu att crete gradul de importan al cache-ului specificat), ttl=n (pentru a seta un timp de via al unui mesaj ICP pentru un grup multicast), no-query (pentru vecinii ce nu suporta ICP), default (n cazul n care cache-ul avut n vedere este vzut ca ultim soluie), round-robin (n cazul n care se doresc a fi folosite mai multe linii cache_peer), multicast-responder (ce privete cache-ul n cauz ca fiind un membru al unui grup multicast, iar mesajele ICP nu vor fi trimise direct ctre acesta dar rspunsurile ICP de la el vor fi acceptate), closest-only (pentru a primi doar mesajele Closest_Parent_Miss i nu First_Parent_Miss), no-digest (pentru a nu apela la acest vecin), nonetb-exchange (prin care se renun la cerinele ICMP RTT de la acest vecin), no-delay (pentru a nu permite accesul acestui vecin s influeneze ntrzierile), login=user:password (n cazul n care cache-ul printe necesit autentificare), connect- timeout=nn (pentru a specifica timpul de ateptare pentru realizarea conexiunii cu acest vecin, valoarea nn implicit fiind 30). De avut n vedere, dac ai compilat Squid pentru a suporta HTCP, c se va proceda la conectarea TCP pe portul 4827, nefiind nici o opiune de a schimba aceasta valoare. Pentru a limita domeniile pentru care se va apela la cache-urile vecine se folosete cache_peer_domain. Linia de comand este cache_peer_domain cache _host domain [domain ...]. Dac nainte de numele domeniului introducei ! se produce negarea domeniului n cauz. Se pot introduce oricte domenii dorii, n cazul mai multora apelul se va opri la primul ce va da rspuns pozitiv. De exemplu comanda cache_peer_domain parent.my.net.edu va trimite pachetele ctre serverul local doar dac obiectul cutat exist pe un server n domeniul .edu. Este posibil i modificarea tipului de vecin pentru unele domenii specifice. Putei trata cteva domenii diferit fa de tipul specificat n cache_peer. De exemplu neighbor_type_domain cache.mycache.com sibling .com .net. Tot n cadrul comenzilor folosite pentru mai multe cache-uri intr i icp_query_timeout, maximum_icp_ query_timeout, mcast_icp_query_timeout, dead_peer_timeout ce sunt urmate de o valoare reprezentnd numrul de milisecunde atribuite operaiunilor specificate n linia de comand, operaiuni pe care nu le vom mai explica, titlul lor fiind destul de sugestiv. O alt comand este hierarchy_stoplist ... , prin care se renuna la apelarea vecinilor pentru anumite iruri de caractere ce apar n URL-uri. De exemplu, hierarchy_stoplist asp jsp va verifica fiecare URL primit s vad dac exist aceste cuvinte, iar dac acestea apar nu se va apela la vecini ci se va contacta direct serverul aprut in URL. Ultima i poate cea mai important opiune de pe acest nivel este no_cache. Prin aceasta linie de comand se foreaz apelarea direct a anumitor obiecte. Se face apel la

119

Laborator Securitatea sistemelor informatice ______________________________________________ Lucrarea nr.5

lista de control a accesului, deci vor exista de fapt dou linii de comand. Starea prestabilit este: acl QUERY urlpath_regex cgi-bin \? no_cache deny QUERY Acl-ul QUERY asigur c URL-ul coninnd cgi-bin nu va fi apelat prin cache. Opiuni ce afecteaz dimensiunea cache-ului Aceste opiuni seteaz valoarea memoriei folosite pentru parametrii cache-ului. Acestea sunt cache_mem (predefinit 8MB), cache_swap_low i cache_swap_ high (parametri ce procedeaz la nlocuirea obiectelor din cache funcie de procentajul de utilizare a cache -ului, valoarea low prestabilit este 90 iar high 95), maximum_object_size, minimum_object_size i maximum_object_size_in_ memory (cu valori date n bytes), ipcache_size (implicit 1024), ipcache_low i ipcache_high (procentaje ce marcheaz limitele cachingului adreselor de IP, pentru low prestabilit 90, pentru high 95), i setul cache_replacement_policy i memory_replacement _policy ce stabilete modul n care obiectele vor fi nlocuite n cache cnd este nevoie de spaiu. Acest parametru poate fi LRU, GDSF (Greedy-Dual Size Frequency), LFUDA (Least Frequently Used With Dynamic Aging). n urmtoarea seciune ne vom ocupa de instruciunile ce privesc controlul accesului. Prima comand din acest set este acl, i se folosete pentru a defini o list de acces. Sintaxa este acl ... | fisier. Sunt muli parametri pentru , unul este src (mod prin care se specifica adresa IP). Sintaxa unei astfel de instruciuni este acl src IPaddress/netmask. Aproximativ acelai lucru se obine i cu dst ca parametru, cu diferena ca se face referire la ServerIPaddress. Pentru controlul unui domeniu specific se pot folosi ca parametri srcdomain, dstdomain (cnd se specific explicit domeniul) sau srcdom_regex, dstdom_regex pentru a cuta un domeniu al crui nume conine irul de caractere existent n comand. Se poate cuta i n URL, cu parametrii url_regex sau urlpath_regex, cu diferena c primul caut irul de caractere n ntreg URL-ul pe cnd cel de-al doilea l caut doar n seciunea ce nu conine protocolul sau numele de host. Aceste cutari sunt key-sensitive, lucru ce trebuie luat n calcul. Accesul poate fi controlat i prin adresa portului serverului destinaie, cu parametrul port. Sintaxa este acl port <numar_port>. De asemenea se pot lua n calcul i protocolul de transfer utilizat prin parametrul proto (urmat de tipul de protocol, de exemplu HTTP, FTP), sau metoda prin care se formuleaz cerina prin opiunea method (urmat de tipul metodei, de exemplu GET, POST). Se poate configura astfel nct s verifice browserul de la ca re vin cerinele (prin opiunea browser), de exemplu comanda acl browser MOZILLA se va referi la cerinele ce vin de la browserele ce conin MOZILLA n antet. Prin parametrul ident se pot forma liste bazate pe identitatea utilizatorilor, prin combinarea cu alte comenzi, de exemplu prin comanda acl friends ident dan adi gigi nicu combinat cu http_access allow friends i urmat de http_ access deny all. Ca i n cazurile anterioare exist parametrul ident_regex ce face o cutare (dup grupul de caractere spe cificat) n setul de nume al utilizatorilor. Setul de parametri proxy_auth i proxy_auth_regex asigur autentificarea utilizatorilor via procese externe. Aceti parametri necesit un program extern de autentificare s verifice combinaiile <nume_utilizator> + <parola>.

120

Laborator Securitatea sistemelor informatice ______________________________________________ Lucrarea nr.5

Comanda http_access garanteaz sau neag accesul HTTP bazndu-se pe listele de acces definite. Sintaxa este http_access , unde parametrul poate fi allow (aprob accesul) sau deny (neag accesul), de exemplu http_access allow manager localhost. Este foarte important ca ultima linie a unui set de comenzi http_access s fie deny all, deoarece dup stabilirea regulilor de acces, dac acesta nu e negat atunci este garantat, deci specificai ct mai multe reguli de acces (funcie de ce avei nevoie) iar la sfrit nu uitai linia http_access deny all. Fr aceast ultima linie accesul va fi stabilit de varianta implicit, care este allow. Dup acelai sistem lucreaz i comanda icp_access, cu aceeai parametri, allow sau deny, comanda referindu-se la ICP. Comanda miss_access foreaz cache-urile vecine vizate s devin cache de acelai nivel i nu prini, folosind aceiai parametri. De exemplu miss_access allow clientlocal nseamn c doar grupul specificat are voie s primeasc mesaje MISS, ceilali clieni pot primi doar HIT -uri. Valoarea implicit este miss_access allow all. Se mai poate seta cache_peer_access, comand similar cu cache_peer_domain, dar ce ofer mai mult flexibilitate folosind elementele acl. Mai exist ident_lookup_access, tot cu opiunile de allow sau deny, comand ce conine o lista de elemente acl i prin care putei, de exemplu, s recurgei la secvene de identificare pentru cerinele ce aparin staiilor folosite de mai muli utilizatori Unix, dar nu pentru celelalte staii. Implicit nu se recurge la secvene de identificare pentru nici o cerin. De asemenea se poate garanta sau restriciona accesul innd cont de dat i or. Setarea parametrilor administrativi Primul dintre aceti parametri este cache_mgr <persoana>, el poate fi configurat n scopul setrii persoanei care va primi mesaj n cazul cderii cache-ului. Valoarea implicit a cmpului <persoana> este webmaster. Prin comenzile cache_effective_user <utilizator> i cache_effective_group <grup> se pot seta numele utilizatorului sau grupului n cazul n care cache-ul ruleaz ca root. Valoarea implicit a parametrului din expresie este nobody. n cazul n care cache-ul nu ruleaz ca root se pastreaz numele curent de utilizator. De asemenea de notat c, dac nu se ruleaz ca root, nu putei seta pentru http_port o valoare mai mic dect 1024. Dac vrei s precizai un nume special de host n mesajele de eroare, definii visible_hostname . Altfel valoarea implicit este cea returnat de gethostname (). Acest lucru este important n cazul n care avei mai multe cache-uri i primii erori n legtur cu IPforwarding. Dac dorii s avei mai multe staii cu acelai nume vizibil de host, trebuie s setai pentru fiecare un nume unic diferit prin unique_hostname , pentru a se putea detecta buclele la forwarding. Unele servere cache pot funciona ca servere Web i viceversa. Acestea accept cerinele n ambele formate, n formatul Web standard, unde se dau doar calea i fiierul dorit, i n formatul proxy specific, unde este necesar ntregul URL. Proiectanii Squid - ului au decis s nu l lase s funcioneze n acest fel, pentru a reduce numrul de probleme ce pot aprea i a scdea complexitatea codului. Totui, dac se adaug un layer de translaie n Squid, se pot accepta i nelege cerinele de tip Web, deoarece formatul este n esen acelai. Layer-ul adiional rescrie cerinele Web, prin schimbarea serverului i portului destinaie. Aceast cerin rescris este apoi tratat ca una normal, serverul destinaie e contactat iar datele sunt scrise n cache. Acest lucru d Squid-ului o alura de Web server. Lucrul este necesar pentru caching transparent, Squid poate fi configurat s intercepteze cerinele Web cu scopul de a aduce datele cerute n

121

Laborator Securitatea sistemelor informatice ______________________________________________ Lucrarea nr.5

cache, lucru ce nu se poate face fr traducerea din format Web n format cache. Comanda httpd_accel_host <IPAdress>|virtual seteaz numele de host pentru serverul accelerat, n cazul n care dai adresa de IP a acestuia, iar dac dorii s realizai o procedura de caching transparent al traficului, trebuie s folosii opiunea virtual n locul adresei IP. Foarte important, n momentul n care recurgei la httpd_accel_host, se dezactiveaz proxy-caching-ul i ICP-ul, dar dac vrei n continuare s beneficiai de aceste opiuni, setai httpd_accel_with_ proxy normal on. Setarea portului se face cu httpd_accel_port <portnumber>. Cerinele accelerate pot fi transmise doar ctre un port, nu exist o tabel ce asociaz host-urile accelerate cu un port destinaie, deci acesta trebuie specificat. Nu exist valoare predefinit pentru numrul portului, acesta trebuie s corespund cu cel din squid.conf n cazul n care preluai informaiile de pe staia local, iar dac vrei s le transmitei ctre un set de servere din background n cele mai multe cazuri folosii portul 80, portul implicit pentru Web. Pentru suportul de port virtual setai numrul portului pe 0. Dac avei un singur server n background spre care dorii s transmitei informaia, setai httpd_accel_single_host pe on, dac avei mai multe astfel de servere, lsai pe default (off) i folosii o unealt de redirecionare pentru a mapa cerinele ctre serverele de rigoare. O cerina HTTP include un antet de host, care este de fapt numele de host ce apare n URL. Squid poate fi un accelerator pentru servere HTTP diferite folosindu-se de acest antet, dar Squid nu verific valoarea antetului de host i astfel se deschide o important gaur n securitate. Este recomandat s nu folosii httpd_ accel_uses_host_header dect dac suntei foarte n tem cu ceea ce facei. Din pcate suntei obligai s activai aceast opiune dac dorii s rulai Squid ca proxy transparent, altfel serverele virtuale ce au nevoie de antetul de host nu vor fi cache -uite eficient. Ar mai fi multe de spus, exist multe alte opiuni de configurare, pentru suportul de programe externe, pentru modul n care obiectele sunt pstrate sau eliminate din cache, se pot stabili timpii de ateptare pentru efectuarea anumitor operaiuni (de genul conectare, identificare, citire a datelor etc.), i de asemenea o seciune foarte important se ocup de configurarea fiierelor n care sunt tiprite activitile de rutin, erorile ce apar n reea (aa numitele fiiere log sau simplu log-uri). Informaiile din aceste fiiere reprezint cea mai important surs pentru un administrator, cu ajutorul datelor existente acolo se pot remedia problemele aprute i se poate face reeaua sa mearg n parametrii dorii. Chestiunea cea mai important n alegerea i configurarea unui proxy este modul n care dorii ca acesta s se integreze n reeaua dumneavoastr. nainte de a alege i instala un firewall i un proxy trebuie s stabilii i s creai o balan ntre necesitile de securitate i performanele dorite ale reelei, precum i gradul de instruire al utilizatorilor. n ultimii ani numrul de atacuri pe Internet a crescut ngrijortor, dar trebuie luat n calcul i natura liber pentru toata lumea a Internetului, care a ajuns ce este azi tocmai din aceast cauz, deci fragmentarea lui cu o pleiad de algoritmi de autentificare, parole i chei, firewall-uri i alte elemente de acest gen i limiteaz oarecum orizontul i nu este ntotdeauna cea mai potrivit soluie. 5.4 Desfurarea lucrrii

Serverul Squid este derivat din proiectul Harvest nceput de ARPA, fiind dezvoltat n continuare de National Laboratory for Applied Network Research. Suport protocoalele http, https, ftp i gopher.

122

cream un director cache.

Laborator Securitatea sistemelor informatice ________________________________ Lucrarea mkdir /cache nr.5 Cel mai potrivit ar fi alocarea squid-ului un hard disk SCSI. Squid ne poate ajuta si grupul utilizarea bandwidth-uluiadisponibil, pentru a reduce Adugm userul squid limitm squid, far shell (pentru nu rula proxy serverul ca cheltuielile sau a nu suprancrca reeaua. root) Acest lucru e posibil datorita faptului c: groupadd squid pstrarea paginilor-s /sbin/nologin -g squid squid chown -R pe hard-disk. n caz c cineva useradd -d /cache web, imaginilor i altor tipuri de fiiere squid:squid /cache se adreseaz la una i aceeai pagin - ea nu va mai fi accesat de pe internet, ci luat din cash. Cu ajutorul /var/log/squid , poate fi economisit n mediu 30% din band (depinde Cream directorul acestei funcii cu proprietarul - squid i de site-urile vizitate, mkdir /var/log/squid i de ali parametri). n afarsquid:squid /var/log/squid funcia delay poci pentru a limita accesul ctre unele chown de aceasta putem folosi site-uri (de exemplu care conin n url cuvntul porno) sau interzice download -ul unor anumite tipuri de fiiere. 3. Configurare: n continuare voi prezenta structura minima a fiierului /etc/squid/squid.conf Downloadm sursele de pe site-ul oficial - www.squid-cache.org l. Instalare tar -xjvf squid-2.5.STABLE3.tar.bz2 cd squid-2.5.STABLE3 CC="gcc" \ CFLAGS=-O3 -march=i686 -funroll-loops -fomit-frame-pointer \ ./configure \ --prefix=/usr \ --exec-prefix=/usr \ --bindir=/usr/sbin \ --libexecdir=/usr/lib/squid \ --sysconfdir=/etc/squid \ --enable-delay-pools \ --enable-cache-digests \ --enable-poll \ --disable-ident-lookups \ --enable-truncate \ --enable-xmalloc-statistics \ --enable-linux-netfilter \ --enable-stacktraces && make all && make install 2. Pentru a crete performana squid, e nevoie de o partiie, sau dac nu e posibil

123

Laborator Securitatea sistemelor informatice ______________________________________________ Lucrarea nr.5

##################################################### # Portul i adresa ip pe care va atepta conexiuni squid http_port 192.168.1.1:8080 # Directorul n care se va afl cache-ul i dimensiunea lui n Mb #(n cazul de mai jos 6000 mb) cache_dir ufs /cache 6000 16 256 # Userul i grupul sub care va rula serverul squid cache_effective_user squid cache_effective_group squid #Portul pe care squid va trimite i primi cereri ctre cache a altor proxy servere vecine #Dac nu mai avem alte proxy, specificm 0 icp_port 0 # Cream acl-urile (acess control list): acl all src 0.0.0.0/0.0.0.0 acl localhost src 127.0.0.1/8 acl lan src 192.168.1.0/24 #clienii proxy serverului nostru #Paginile ce se creeaz dinamic vor fi accesate direct de la surs hierarchy_stoplist cgi bin php asp ? # Obiectele create dinamic nu vor fi salvate n cache acl QUERY urlpath_regex cgi-bin \? no_cache deny QUERY # Permitem accesul de la maina local (dac este cazul) http_access allow localhost # Permitem calculatoarelor din reeaua locala s utilizeze proxy serverul http_access allow lan # Interzicem celorlali s acceseze squid-ul http_access deny all # Specificm unde squid va pstra logurile cache_access_log /var/log/squid/access.log cache_log /var/log/squid/cache.log cache_store_log /var/log/squid/store.log # Pidul procesului pid_filename /var/run/squid.pid ##################################################### Aceasta este configuraia minim pentru ca squid s ruleze. Iniializm cache-ul prin comanda: squid -f /etc/squid/squid.conf -z Dac primii un mesaj de tipul: 2003/08/11 20:30:28| aclParseIpData: WARNING: Netmask masks away part of the specified IP in '127.0.0.1/8' nu va speriai , nu este o eroare, ci o avertizare. Prima dat pornim squid-ul cu comanda: squid -NDCd1 pentru a vedea eventualele mesaje de eroare. Dac totul e ok - avem mesajul: 2003/08/11 20:30:29| Ready to serve requests.

124

Laborator Securitatea sistemelor informatice ______________________________________________ Lucrarea nr.5

Squid este gata pentru a accepta conexiuni. Adugam n scripturile de iniiere i oprire a sistemului ca squid s porneasc , respectiv s opreasc la startul i oprirea calculatorului. i s nu uitm s nchidem portul 8080 pentru conexiuni dinafar cu ajutorul firewall-ului, i s-l lsm deschis pentru clienii din reea.

125

Laborator Securitatea sistemelor informatice

Lucrarea nr.6

6
6.1

Open VPN
Obiective: nelegerea i familiarizarea cu noiunea de reea virtual privat; familiarizarea cu noiunea de tunnel ntre dou sisteme pe Internet; instalarea i configurarea OpenVPN

6.2

introducere n OpenVPN OpenVPN este o soluie open-source pentru reele virtuale private, bazat pe standardul SSL. Poate funciona n regim de server ce accept conexiuni multiple sau n regim direct ntre doi clieni. Implementat la nivelul 2 i 3 OSI, OpenVPN utilizeaz pentru autentificare i criptare protocolul SSL/TLS (SSL = Secure Sockets Layer), prin intermediul bibliotecilor OpenSSL i accept diferite metode de autentificare bazate pe certificate, smart-card, chei unice i alte metode. Legtura tip tunel ce ncapsuleaz traficul IP ntre dou subreele sau adaptoare Ethernet se realizeaz prin intermediul unui singur port, fie folosind protocolul TCP/IP fie UDP. Aplicaia suport tunele ntre adrese IP dinamice, traversarea NAT i Ethernet bridging. Unul din marile avantaje ale acestui program este uurina configurrii att la nivel de client ct i la nivel de server, depind din acest punct de vedere implementrile IPSec din Linux i Windows. Un alt avantaj este portabilitatea, fiind asigurat suportul pentru urmtoarele platforme: Linux, Windows 2000/XP, OpenBSD, FreeBSD, NetBSD, Mac OS X i Solaris. Implementrile VPN folosind ca nivel de autentificare SSL/TLS au devenit din ce n ce mai populare recent, iar OpenVPN este una din cele mai bune soluii din acest domeniu. Printre dezavantajele acestei aplicaii se numr un overhead relativ mare determinat de folosirea SSL, o implementare mai puin ergonomic sub sistemul de operare Windows i o oarecare instabilitate n condiiile folosirii pe conexiuni nesigure, cu timpi de laten mari, anumite probleme fiind observate n special pe conexiuni wireless la distan mare. Aplicaia este dezvoltat n regim open-source, putnd fi folosit sub licena GPL1 sau sub licen comercial n cazul n care se dorete ncorporarea ei n alte produse care nu sunt distribuite tot sub licen GPL sau o licen compatibil. Aplicaie experimental Studenii vor realiza reeaua din figura 1, vor instala OpenVPN i vor configura un tunel ntre un server VPN i un Client VPN urmnd paii descrii n continuare. Unul dintre sisteme va fi configurat cu rol de server, celalalt cu rol de client. Primul lucru pe care trebuie sa il facem este sa descarcam OpenVPN-Windows Installer de la adresa http://openvpn.net/release/openvpn-2.0.9-install.exe si sa il instalam pe cele doua sisteme in directorul C:\Program Files\OpenVPN. 6.3

GPL - General Public Licence - Licen Public General


126

Address

Address

Fig.1: Virtual Private Network ruleaz printr-un tunel, iar end-point-urile acestuia sunt adresele IP reale ale Clientului PC2 i Serverului PC1

6.3.1 Pe sistemul server


mergem n Start -> Run , scriem CMD i dm enter. n fereastra care se deschide tastm: cd C:\Program Files\OpenVPN\easy-rsa copy vars.bat.sample vars.bat Editam apoi vars.bat cu comanda edit vars.bat i modificm parametrii dup nevoile noastre. S presupunem c avem n vars.bat urmtoarele: @echo off set HOME=%ProgramFiles%\OpenVPN\easy-rsa set KEY_CONFIG=openssl.cnf set KEY_DIR=keys set KEY_SIZE=1024 set KEY_COUNTRY=RO set KEY_PROVINCE=RO set KEY_CITY=Bacau set KEY_ORG=SorinPopa set KEY EMAIL=sorinpopa@ub.ro Copiem fiierul openssl.cnf.sample n openssl.cnf cu comanda: copy openssl.cnf.sample openssl.cnf Rulm urmtoarele comenzi: vars clean-all build-ca Urmeaz generarea certificatului i a unei chei private pentru server: build-key-server server Generm certificatele i cheia pentru client: build-key client

127

Laborator Securitatea sistemelor informatice______________________________________________ Lucrarea nr.6

Este important ca Common Name pentru client s fie diferit de Common Name pentru server. Generm parametrii Diffie Hellman : build-dh n directorul C:\Program Files\OpenVPN\config facem un fiier server.ovpn n care scriem: mode server port 1194 proto udp dev tun ca "C:\\Program Files\\OpenVPN\\easy-rsa\\keys\\ca.crt" cert "C:\\Program Files\\OpenVPN\\easy-rsa\\keys\\server.crt" key "C:\\Program Files\\OpenVPN\\easy-rsa\\keys\\server.key" dh "C:\\Program Files\\OpenVPN\\easy-rsa\\keys\\dh1024.pem" tlsserver ifconfig 10.8.0.1 10.8.0.2 ifconfig-pool 10.8.0.3 10.8.0.5 # IP range clients ifconfig-pool-persist ipp.txt keepalive 10 120 comp-lzo persist-key persist-tun status openvpn-status.log verb 3 mute 20 Putem s pornim OpenVPN cu aceast configuraie dac dm click dreapta din explorer pe fiierul server.ovpn i alegem opiunea Start OpenVPN on this config file sau l putem porni ca i serviciu din Start -> Control Panel -> Administrativ Tools -> Serices -> OpenVPN Service unde dm start sau putem seta pe Automatic la Startup Type pentru a fi pornit odat cu sistemul de operare.

6.3.2 Pe sistemul client trebuie


s mergem n directorul C:\Program Files\OpenVPN\easy-rsa i s cream directorul keys n care copiem de pe server fiierele: ca.crt client.crt client.key n directorul C:\Program Files\OpenVPN\config facem un fiier client.ovpn n care scriem: client dev tun

128

Laborator Securitatea sistemelor informatice

Lucrarea nr.6

proto udp remote xxx.yyyy.zzzz.vvvv 1194 #se nlocuiete xxx.yyy.zzz.vvv cu ip server resolv-retry infinite nobind persist-key persist-tun ca "C:\\Program Files\\OpenVPN\\easy-rsa\\keys\\ca.crt" cert "C:\\Program Files\\OpenVPN\\easy-rsa\\keys\\client.crt" key "C:\\Program Files\\OpenVPN\\easyrsa\\keys\\client.key" comp-lzo . verb 3

Putem s pornim OpenVPN cu aceast configuraie dac dm click dreapta din explorer pe fiierul client.ovpn i alegem opiunea Start OpenVPN on this config file sau l putem porni ca i serviciu din Start -> Control Panel -> Administrativ Tools -> Serices -> OpenVPN Service unde dm start sau putem seta pe Automatic la Startup Type pentru a fi pornit o dat cu sistemul de operare Dup ce am pornit att serverul ct i clientul ( fr a avea un mesaj de eroare ) putem s verificm funcionalitatea tunelului creat. Astfel, pe server mergem n Start - Run i tastam CMD. n fereastra deschis introducem comanda: ipconfig Vom obine mai multe informaii printre care vom regsi i cele din imaginea de mai jos; __________________________________________________________________

Pe sistemul configurat ca i client la comanda ipconfig obinem informaii printre care trebuie s se regseasc i urmtoarele: _______________________________________
Co nne c tio n - sp e c ific DN S Suffix IP nd d re ss . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . Sub ne t M a sk . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . De fa ult Ga te ua y . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

10 .8 .0.2

255. 255. 255. 252

Conexiunea ntre cele dou sisteme o putem verifica cu utilitarul ping. Atenie la configurarea firewall-ului pentru a permite ICMP Echo Request i ICMP Echo Replay att pe sistemul server ct i client. De pe sistemul configurat ca i server, care are ip-ul 10.8.0.1 vom da ping n 10.8.0. 2 (client)
: N >p ing 10. 8. 0. 2 i ng ing 10. 8. 0. 2 w ith 32 b yte s o f d a ta: e p ly e p ly e p ly e p ly fro n fro n fro n fro n 10. 8. 0. 2: 10. 8. 0. 2: 10. 8. 0. 2: 10. 8. 0. 2: b yte s=32 b yte s=32 b yte s=32 b yte s=32 tine =6ns tine =3ns tine =3ns tine =6ns TTL=128 TTL=128 TTL=128 TTL=128

i ng sta tistic a fo r 10. 8. 0. 2: P a c ke ts: Se nt = 4, Rec e iued = 4, Lo st = 0 i0y. Io p p rox ina te ro und trip t ine s in nill i se c o nd s: M ininun = 3ns, Ma x inun = 6ns, flue ra ge = 4ns

129

Laborator Securitatea sistemelor informatice

Lucrarea nr.6

De pe sistemul configurat ca i client, care are ip-ul 10.8.0.2 vom da ping n 10.8.0. 1 (server):
C: \ >p ing 10. 8. 0. 1 P ing ing 10. 8. 0. 1 w ith Re p ly Re p ly Re p ly Re p ly fro n fro n fro n fro n 10. 8. 0. 1: 10. 8. 0. 1: 10. 8. 0. 1: 10. 8. 0. 1:

32 b yte s

of d a ta: b yte s=32 b yte s=32 b yte s=32 b yte s=32 t ine =3ns t ine =7ns t ine =6ns t ine =7ns T TL=128 T TL=128 T TL=128 T TL=128

P ing sta tistic s fo r 10. 8. 0. 1: P a c ke ts: Se nt = 4, Rec e iued = 4, Lo st = O COk IO Ap p ro x ina te ro und trip t ine s in nill i se c o nd s: N ininun = 3ns, N ax inun = 7ns, flue rag e = 5ns

130

Bibliografie
1. Anderson R. - Security Engineering : A Guide to Building Dependable Distributed Systems, NY 2001; 2. Andress, M. - Surviving Security: How to Integrate People, Process and Technology, SAMS, Indianapolis, 2002, pp. 59-63. 3. Davis D. - "The Problems Catch Up With The Solution", in Card Technology, April 2003; 4. Denning D.E. - Information Warfare and Security, Addison-Wesley, Reading, Massachusetts, 1999; 5. King, C.M., Dalton, C.E., Osmanaglu, T.E. - Security Arhitecture: Design, Deployment& Operations,Osborne/McGraw-Hill, New York, 2001, pp. 18-26 6. Krutz R.L, Vines R.D. - The CISSP Prep Guide - Mastering the Ten Domains of Computer Security, Wiley & Sons, Inc. New York, 2001; 7. Schwartan W. - Information Warfare, 2nd Edition , Thunder's Mouth Press, New York, 1996; 8. Simmons G.J. - "The Prisoners' Problem and the Subliminal Channel", in Proceedings of Crypto '83, Plenum Press 1984; 9. Renesse R. - OpticalDocument Security, 2nd ed., Artech House, 1997; 10. Renesse R. - "Verifying versus Falsyfying Banknotes", in Optical Security and Counterfeit Deterrence Techniques II, (1998); 11. U.S. Department of Energy - "Identification of ClassfiedInformation", Office of Clasification, December 1991; 12. Tuomas Aura, Pekka Nikander, Jussipekka Leiwo - DoS-resistant Authentication with Client Puzzles. Proceedings of the Cambridge Security Protocols Workshop 2000, LNCS, Cambridge, UK, April 2000, Springer-Verlag 13. G. B. Agnew, R. C. Mullin, S. A. Vanstone - Improved Digital Signature Scheme based on Discrete Exponentiation, Electronic Letters, Vol. 26, 1990 14. K. Alagappan - SPXInstallation, Digital Equipment Corporation, February 1991 15. K. Alagappan, J. Tardo - SPX Guide - A Prototype Public Key Authentication Service, Digital Equipment Corporation, February 1991 16. K. Alagappan - Telnet authentication: SPX (RFC 1412), Digital Equipment Corporation, 1993 17. F. Bauspiess, H. J. Knobloch - How to Keep Authenticity Alive in A Computer NetWork, Proceedings of EUROCRYPT' 89, Springer-Verlag, Berlin, 1990 18. S. M. Bellovin, M. Merritt - EncryptedKey Exchange: Password-Based Protocols Secure Against Dictionary Attacks, Proceedings of the IEEE Symposium on Security and Privacy, IEEE Computer Society Press, Los Alamitos, CA, 1992 19. S. M. Bellovin, M. Merritt - Augumented EncryptedKey Exchange, Proceedings of the 1st ACM Conference on Communications and Computing Security, November 1993 20. Steven M. Bellovin, Michael Merritt - Limitations of the Kerberos Authentication System, AT&T Bell Labs

131

Securitatea sistemelor informatice

21. Th. Beth - Efficient Zero-Knowledge Identification Scheme for Smart Cards, Proceedings of EUROCRYPT '88, Springer-Verlag, Berlin, 1989 22. Th. Beth, H. J. Knobloch, M. Otten - Verifiable Secret Sharingfor Monotone Access Structures, Proceedings of the 1 s^ ACM Conference on Communication and Computing Security, November 1993 23. Th. Beth, H. J. Knobloch, M. Otten, G. J. Simmons, P. Wichmann -Towards Acceptable Key Escrow System, Proceedings of the 2 nd ACM Conference on Communication and Computing Security, November 1994 24. T. Beth, H. J. Knobloch, S. Stempel, P. Wichmann -Authentifikationsdienst SELANE Modularisierung und Einsatz, Report 94/3, Univeristy of Karlsruhe, EISS, 1994 25. Leitner Achim, "Reele WLAN sigure, cu un tunel OpenVPN criptat", Linux Magazin, nr. 22, iunie 2005; 26. OpenVPN: http:// openvpn. sourceforge. Net 27. Biblioteca LZO: http://www. oberhumer. com/opensource/lzo/ 28. Proiect OpenSSL: http://www. openssl. org/ 29. Driver TUN/ TAP: http://vtun. sourceforge. net/tun/ 30. Thomas T., Primii pai n securitatea reelelor, Corint, Bucureti, 2005. 31. www.squid-cache.org 32. http://www.wingate.com/download.php 33. http://www.youngzsoft.net/ccproxy/ 34. http://www.securekit.com/ 35. www.digimarc.com 36. www.digimarc-id.com 37. www.aris-techni.fr/

132

NOIUNI PRIVIND SECURITATEA INFORMAIILOR Politica de securitate 9

Cuprins
1.1. INTRODUCERE.................................................................................................................... 5 1.2. DEFINIREA NOIUNII DE SECURITATEA INFORMAIILOR .................................................... 6 1.3. SECIUNILE STANDARDULUI DE SECURITATE ISO / lEC 17799 ......................................... 9

1.3.1. 1.3.2. 1.3.3. 1.3.4. 1.3.5. 1.3.6. 1.3.7. 1.3.8. 1.3.9.

Organizarea securitii .................................................................................................... Clasificarea i controlul activelor ............................................................ Securitatea personalului ................................................................................................ Securitatea fizic ........................................................................................................................... Managementul comunicaiilor i al operrii.. Controlul accesului .................................................................................................................. Dezvoltarea i ntreinerea sistemului ............................................... Planificarea continuitii afacerii.............................................................. Conformitatea.................................................................................................................................

..... 9 ... 10 ... 10 ...11 ... 11 ... 13 ... 14 ...15 ... 15

2.

CLASIFICAREA INFORMAIILOR ................................................................................ 16 2.1. NOIUNI INTRODUCTIVE PRIVIND CLASIFICAREA MODERN A INFORMAIILOR ............... 16 2.2. CLASIFICAREA INFORMAIILOR ....................................................................................... 17
2.2.1. Informaiile subiective .......................................................................................................................................... 17 2.2.2. Informaii obiective ............................................................................................................................................... 17 2.2.3. Determinarea necesitii clasificrii informaiilor ......................................................................................... 18

2.3. DECLASIFCAREA I DEGRADAREA INFORMAIILOR CLASIFICATE .................................... 19 2.4. PRINCIPIILE PROTEJRII INFORMAIILOR SPECIALE ......................................................... 20 2.5. PROTEJAREA MEDIILOR DE STOCARE A INFORMAIILOR .................................................. 21
2.5.1. Marcarea materialelor cu regim special ........................................................................................................... 21 2.5.2. Pstrarea i distrugerea mediilor de pstrare a informaiilor...................................................................... 22

2.6. CLASIFICAREA INFORMAIILOR ORGANIZAIILOR ........................................................... 22


2.6.1. Criterii de clasificare a informaiilor la nivelul organizaiilor .................................................................... 23 2.6.2. Proceduri de clasificare a informaiilor ............................................................................................................ 23 2.6.3. Roluri i responsabiliti n procesul de clasificare a informaiilor ............................................................ 24

3.

CONTROLUL ACCESULUI N SISTEMELE INFORMATICE ....................................... 25 3.1. TIPURI DE CONTROL AL ACCESULUI N SISTEM ................................................................. 25
3.1.1. Modele de control al accesului ............................................................................................................................ 25 3.1.2. Forme combinate de control ................................................................................................................................ 26

3.2. IDENTIFICAREA I AUTENTIFICARE .................................................................................. 27


3.2.1. Principiile de baz ale controlului accesului ................................................................................................... 28

4.

CRIPTOGRAFIA ............................................................................................................... 32 4.1. DEFINIII I NOIUNI DE BAZ ......................................................................................... 32


4.1.1. Tehnici utilizate n criptografie .......................................................................................................................... 33
4.1.1.1, Substituia ....................................................................................................................................................... 33

4.1.2. Permutarea sau transpoziia ................................................................................................................................ 35 4.1.3. Cifrul lui Vernam ................................................................................................................................................... 35 4.1.4. Ascunderea informaiilor ...................................................................................................................................... 36
4.1.4.1, 4.1.4.2, 4.1.4.3, Steganografia .................................................................................................................................................. 36 Filigranarea ..................................................................................................................................................... 37 Securitatea n domeniul tipriturilor .............................................................................................................. 37

4.2. SISTEME DE CRIPTARE PRIN CHEI SIMETRICE (PRIVATE) .................................................. 39 4.3. SISTEME DE CRIPTARE PRIN CHEI ASIMETRICE (PUBLICE) ................................................ 40

133

MODELE I PROGRAME DE SECURITATE 44 TEHNICI, SERVICII I SOLUII DE SECURITATE PENTRU INTRANET-URI I PORTALURI

69

Securitatea sistemelor informatice 4.3.1. Semntura digital ................................................................................................................................................. 41 4.3.2. Sisteme de certificare a cheilor publice ............................................................................................................. 42 4.3.3. Infrastructura cheilor publice (PKI) ................................................................................................................... 43

4.4. MODELE DE SECURITATE MULTINIVEL ..............................


4.4.1. Modelul Bell-LaPadula ........................................................................ 4.4.2. Modelul matricei de control al accesului .......................................... 4.4.3. Modelul Biba ..........................................................................................

.. 4 4
... 44 ....45 ....45

4.5. MODELE ALE SECURITII MULTILATERALE ..................... 4.6. PROGRAMUL DE SECURITATE ............................................
4.6.1. 4.6.2. 4.6.3. 4.6.4. Politicile de securitate .......................................................................... Standardele, normele i procedurile de securitate .......................... Aspecte practice ale politicii de securitate informaional.. Exemple de politici de securitate ........................................................

.. 4 7 .. 4 9

....49 ... 51 ... 52 6 SECURITATEA REELELOR DE CALCULATOARE ............................................................ 53 7.1. INTRODUCERE ........................................................................................................ 59 69 7.2.1. Criptografia cu cheie.............................................................................................................................................. 70 6.1.1 Functionarea DHCP secret ............................................................................................................................... 59 7.2.2. Criptografia cu securizarea reelei ..................................................................................................................... 70 6.1.2 Noiuni privind cheie public .............................................................................................................................. 60 7.2.3. Managementul cheilor i distribuia acestora ................................................................................................... 70 6.1.3 Firewalls .................................................................................................................................................................. 61 7.2.4. Funciile Hash ......................................................................................................................................................... 71 6.1.4 Proxy-uri .................................................................................................................................................................. 63 7.2.5. Filtrele de semnturilor digitale. Riscuri de securitate ................................................................................... 72 6.1.5 Utilizarea pachete .................................................................................................................................. 65 7.2.6. REELE VPN ............................................................................................................... 65 6.2 Certificate digitale. Riscuri de securitate .......................................................................................................... 73 7.2.7. Autentificarea Kerberos V5 ................................................................................................................................... 75 6.2.1 Point-to-Point Tunneling Protocol (PPTP) ....................................................................................................... 66 6.2.2 Layer Riscuri de securitate n Kerberos .................................................................................................................... 67 7.2.7.2. 2 Tunneling Protocol (L2TP) ................................................................................................................... 76 6.2.3 IPsec ......................................................................................................................................................................... 77 7.2.8. Autentificarea SSL/TLS .......................................................................................................................................... 68
Legtura SSL-HTTP ....................................................................................................................................... 78 Cum funcioneaz SSL ................................................................................................................................... 78 Performana SSL ............................................................................................................................................ 79 Riscuri de securitate n SSL ........................................................................................................................... 80 7.2.9. Autentificarea NTLM .............................................................................................................................................. 80 7.2.10. Comparaie Kerberos - NTLM........................................................................................................................... 80 7.2.11. SSH ......... . .............................................................................................................................................................. 81 7.2.11.1. Autentificarea prin SSH .................................................................................................................................. 82 7.2.11.2. SSH1 .............................................................................................................................................................. 83 7.2.11.3. SSH 2 ............................................................................................................................................................. 83 7.2.11.4. Algoritmii de criptare utilizai ........................................................................................................................ 83 7.2.11.5. Ce poate proteja SSH. Riscuri de securitate ale SSH ..................................................................................... 84 7.2.12. PGP. Riscuri de securitate ................................................................................................................................. 84 7.2.8.1. 7.2.8.2. 7.2.8.3. 7.2.8.4. 7.2.7.1. Cum funcioneaz Kerberos V5 ..................................................................................................................... 76

7.2. MRIPTOGRAFIA ............................................................................................................ 69 6.1 C ECANISME UTILIZATE N SECURIZAREA REELELOR ................................................. 59

134

STRATEGII DE ACHIZIIE PENTRU APRARE

90

Cuprins 7.2.13. S/MIME ................................................................................................................................................................. 86 7.3. INTRODUCERE ................................................................................................................. 90 7.4. 7.2.13.1. Funcionarea S/MIME ....................................................................................................................................91 STRATEGII DE SECURITATE ALE RZBOIULUI INFORMAIONAL ....................................... 87
7.2.13.2. Riscuri de securitate ale S/MIME................................................................................................................... 88

Aplicaii practice

7.2.14. Utilizarea firewall-urilor n intraneturi .......................................................................................................... 88

L1 CRIPTAREA CA METOD DE SECURITATE A INFORMAIILOR ............................... 95 1.1 OBIECTIVE: ..................................................................................................................... 95 1.2 CIFRUL LUI CEZAR .......................................................................................................... 95 1.3 CIFRUL LUI VERNAM ....................................................................................................... 97 1.4 METOD PROPRIE DE CRIPTARE ....................................................................................... 97 1.5 DESFURAREA LUCRRII ............................................................................................... 98 L2 STEGANOGRAFIA CA METOD DE SECURITATE A INFORMAIILOR .................... 99 2.1 2.2 2.3 2.4 OBIECTIVE: ..................................................................................................................... 99 INTRODUCERE ................................................................................................................. 99 ASCUNDEREA UNUI FIIER ............................................................................................ 100 DESCOPERIREA UNUI FIIER ASCUNS ............................................................................. 101

L3 FIREWALL-URI .................................................................................................................. 102 3.1 OBIECTIVE: ................................................................................................................... 102 3.2 GENERALITI/DEFINIII FIREWALL ............................................................................ 102
3.2.1 3.2.2 3.2.3 3.2.4 3.3.1 3.3.2 3.3.3 3.3.4 3.3.5 Funcionarea firewall-urilor ............................................................................................................................. 102 Politica Firewall-ului ......................................................................................................................................... 103 Clasificri ............................................................................................................................................................. 103 Ce "poate" i ce "nu poate" s fac un firewall? .......................................................................................... 104 Cum ncep s utilizez un firewall? ................................................................................................................... 104 Cum aflu ce versiune de Windows utilizez? ................................................................................................... 104 Verificarea strii Windows Firewall ............................................................................................................... 105 Adugarea unei excepii n Windows Firewall .............................................................................................. 105 Probleme de compatibilitate cu ISP, hardware sau software ..................................................................... 106

3.3 INFORMAII DESPRE FIREWALL SUN WINDOWS XP ....................................................... 104

3.4 DESFURAREA LUCRRII ............................................................................................ 106 3.1 PCLIREA FIREWALL/IDSURILOR I ASCUNDEREA IDENTITII.................................. 107 L4 PROXY SERVER ................................................................................................................ 111 4.1 OBIECTIVE: ................................................................................................................... 111 4.2 GENERALITI/DEFINIII SERVER PROXY .................................................................... 111 4.3 SERVER PROXY PENTRU WINDOW S ........................................................................... 111 4.4 DESFURAREA LUCRRII ............................................................................................ 113
4.4.1 Instalare i configurare server proxy WinGate ............................................................................................. 113 4.4.2 Instalare i configurare Client proxy WinGate .............................................................................................. 115 4.4.3 Modurile de lucru ale Winsock Redirection Application ............................................................................. 117

L5 PROXY SERVER SQUID PE SISTEM DE OPERARE LINUX ......................................... 118

135

Securitatea sistemelor informatice

5.1 5.2 5.3 5.4

OBIECTIVE: ................................................................................................................... 118 GENERALITI/DEFINIII SERVER PROXY ..................................................................... 118 CONFIGURAREA SQUID PENTRU LINUX ......................................................................... 118 DESFURAREA LUCRRII ............................................................................................. 122

L6 OPEN VPN .......................................................................................................................... 126 6.1 OBIECTIVE: ................................................................................................................... 126 6.2 INTRODUCERE N OPENVPN .......................................................................................... 126 6.3 APLICAIE EXPERIMENTAL ......................................................................................... 126
6.3.1 Pe sistemul server ................................................................................................................................................127 6.3.2 Pe sistemul client .................................................................................................................................................128

136

S-ar putea să vă placă și