CERCETRI PRIVIND SECURITATEA AFACERILOR ELECTRONICE.

STANDARDE I PROTOCOALE PENTRU SECURITATEA AFACERILOR ELECTRONICE

Prof. univ. dr. Floarea Nstase, Prof. univ. dr. Pavel Nstase, Prof. univ. dr. Adrian Vasilescu, Conf. univ. dr. Rzvan Zota, Lect. univ. dr.Carmen Timofte, ing. Octavian Paiu, Asist. univ. drd. Mdlina Mlak, Prep. univ. Radu Constantinescu, Prep. univ. Iulian Ilie-Nemedi, ec. drd. Jack Timofte

1. Consideraii privind securitatea informaional Dezvoltarea tot mai accentuat a Internet-ului a determinat apariia unor noi modaliti de a realiza afaceri. Astfel, companiile au simit o oarecare presiune din partea pieei de a fi prezente pe Web, dar n acelai timp de a se asigura c aceast conexiune la reeaua mondial nu presupune nici un risc de securitate pentru ele. Msurile de securitate informatic au ca scop reducerea riscurilor de utilizare a datelor unui sistem informatic de persoane/programe neautorizate. Introducerea mecanismelor de protecie nu garanteaz eliminarea complet a oricrui risc, dar poate s-l reduc la un nivel acceptabil. Riscurile pot fi externe (ascultarea purttoarei de informaie, falsificarea documentelor, virusarea softului) sau interne (accidente de manevrare, agresiuni cu intenie). Securitatea unei sistem informatic poate fi ameninat prin aciuni cu sau fr rea intenie. Astfel, calamitile naturale, defectarea unor echipamente, erorile de operare sunt incluse n categoria aciunilor fr o intenie distructiv. n schimb, aciuni de tipul: spionarea reelei (ascultarea canalului) pentru a avea acces la datele n clar i la parole; falsa identitate (impostura) pentru a avea acces neautorizat la date sau pentru lansarea de e-mail, comenzi neautorizate etc.; refuzarea serviciului resurse ale reelei devin neoperaionale; reluarea mesajelor pentru a fi accesate i a le schimba n tranzit; depistarea parolelor pentru accesarea de informaii i servicii care nu sunt permise; depistarea cheilor pentru accesarea datelor i parolelor criptate; lansarea de virui pentru distrugerea datelor, intr n categoria aciunilor ru intenionate. In general, un mediu de securitate trebuie s respecte urmtoarele cerine:

identificarea procedura prin care entitatea care dorete s acceseze resursele unui sistem trebuie s se identifice; autentificarea exist procedur pentru verificarea identitii entitii care solicit acces la un sistem, procesul prin care sistemul valideaz informaiile de conectare oferite de entitatea utilizatoare; autorizarea setul de tranzacii prin care entitii autentificate i se permite s foloseasc resursele solicitate; integritatea procedurile prin care informaia nu poate fi modificat; confidenialitatea protejeaz coninutul mesajului transmis n reea mpotriva citirii sau interceptrii neautorizate; auditarea procesul de nregistrare a tuturor tranzaciilor astfel nct fiecare problem poate fi analizat dup ce a avut loc; non-repudierea garanteaz originea i integritatea tranzaciei din punctul de vedere al expeditorului.

Modelul conceptual al unui sistem de securitate poate fi prezentat ca n figura 1.1, unde infrastructura pentru tehnologia informaiei dintr-o organizaie se poate reprezenta ca o serie de niveluri interconectate.

292

Figura 1.1 Modelul concepual pentru securitatea informaional

O viziune complet despre managementul securitii informaiei este redat prin ISO-17799/BS-7799. n acest standard sunt tratate toate aspectele cu privire la riscurile necesare a fi msurate i controlate, pentru a se stabili un cadru adecvat managementului securitii (figura 1.2).

Figura 1.2 Arhitectura de securitate conform standardului ISO 7498-2

2. Evaluarea riscului n afaceri Exist tentaia de a translata direct analiza ameninrilor ntr-o soluie tehnic. Dar n primul rnd, trebuie studiate standardele prin prisma politicii de securitate a organizaiei. Politica de securitate la nivelul unei organizaii joac un rol esenial, fiind responsabil chiar de managementul afacerii (vezi si figura 2.1).

293

Figura 2.1 Reducerea riscurilor

Documentul Orange Book definte apte clase de sisteme de securizare: clasa D - protecie minim - acele sisteme care au fost evaluate, dar au renunat s introduc echipamente pentru un nivel de securitate mai nalt; clasa C1 - protecie discreionar - acele sisteme care introduc control exact de ct au nevoie i susin separarea utilizatorilor de date; clasa C2 - protecia controlului accesului - sisteme ce au implementat pentru controlul accesului clasa C1, i contabilizeaz aciunile utilizatorilor prin proceduri de login; clasa B1 - protecie etichetat de securitate - sisteme care implementeaz un model de politic de securitate formal, i faciliteaz etichetarea datelor i prescrierea controlului accesului peste numirea subiectelor i obiectelor; clasa B2 - protecie structurat - sisteme care includ toate caracteristicile gsite n B1 i n care se ateapt ca toate subiectele i obiectele s fie sisteme relative ADP; clasa B3 - domenii de securitate - sisteme care satisfac cerinele de monitorizare i includ instrumente adminstrative de securitate, mecanisme, abilitatea de a semnala evenimente curente relevante; clasa A1 - proiectarea verificrii - sistem similar cu B3, dar cu trasturi arhitecturale adiioanale i cerine asociate cu specificaii de proiectare formale i verificarea tehnicilor. Principalele organizaii internaionale de standardizare a securitii informaiei sunt:

ISO International Organization for Standardization, IEC International Electrotechnical Commission, ITU International Telecommunications Union.

La nivel european cele trei organizaii care corespund pentru ISO, IEC i ITU-T sunt:

CEN Comit Europen de Normalisation, CENELEC Comit Europen de Normalisation Elctrotechnique, ETSI European Telecommunications Standards Institute.

Standardul Common Criteria ofer o taxonomie pentru evaluarea funcionrii securitii printr-un set de funcii i de cerine. Common Criteria include urmatoarele clase funcionale de cerine: Auditul securitii; Comunicaia; Suport pentru criptografie; Protecia datelor utilizatorului; Identificarea i autentificarea; Managementul funciilor de securitate; Confidenialitatea; Protecia funciilor de securitate; Utilizarea resurselor; Accesul la componente; Ci i canale ncredinate. 3. Securitatea aplicaiilor distribuite Aplicaia distribuit este definit ca o aplicaie n care pri ale ei sunt rulate pe entiti de calcul distincte i autonome conectate n reea. Sistemul distribuit este o colecie de entiti de calcul (hardware i software) autonome, dispersate din punct de vedere geografic, i conectate prin medii de comunicaie. Aplicaiile distribuite tipice sunt: 2-tier (folosesc arhitectura client-server), 3-tier (utilizeaz arhitectura clientmiddleware-server) i n-tier (client-multiple middleware-multiple servers).

294

Exist mai multe protocoale care asigur servicii de securitate, majoritatea similare n ceea ce privete serviciile oferite i algoritmii criptografici folosii, ele diferind prin maniera de furnizare a serviciilor i prin situarea lor n raport cu ierarhia de protocoale TCP/IP (figura 3.1). La nivel de client securitatea este implementata, in mod uzual, de programele de tip browser (cum este, de exemplu, Internet Explorer).

Figura 3.1 Soluii de integrare a serviciilor de securitate n ierarhia de protocoale

4. Infrastructura de chei publice (PKI) Infrastructura de chei publice (PKI Public Key Infrastructure) ofer un cadru tehnic (incluznd protocoale, servicii i standarde) pentru a sprijini realizarea de aplicaii care ndeplinesc cele cinci proprieti de securitate: autentificarea utilizatorilor, confidenialitatea datelor, integritatea datelor, non-repudierea i managementul cheilor. O structur simplificat de afaceri care implementeaz PKI este reprezentat n figura 4.1.

Figura 4.1 Infrastructura de chei publice n afaceri

Dei PKI este relativ nou, el a fost dezvoltat i implementat n multe din protocoalele de comunicaie n reea, prin includerea algoritmilor de criptare care folosesc cheile publice. Bazat pe standarde deschise (open standard - open software - acces liber asupra surselor, conceptelor si algoritmilor coninui), PKI ofera: Standardizarea aplicaiilor de reea. Aceasta ofer securitatea comunicaiilor pe Internet pentru orice reea a oricrei firme; Suport pentru comer electronic, de exemplu folosind protocolul de plai SET sau protocolul de securitate SSL; Un mediu sigur i scalabil pentru aplicaiile de securitate; Administrarea cheilor i a certificatelor ntre mai multe aplicaii; Infrastructura de securitate care are mari anse s fie recunoscut i acceptat ca standard de facto de ctre mediul de afaceri i de ctre autoritaile guvernamentale. 5. Protocolul de transfer securizat SET Protocolul SET (Secure Electronic Transaction), folosit pentru plati electronice, definete relaiile intre pri si modul lor de aciune. Relaiile dintre entitile care participa la tranzacii se pot imparti in trei tipuri: 1. Relaii contractuale. Acestea reprezint contracte legale semnate intre diferite pri pentru a oferi servicii si asi asuma responsabiliti. Nu au nimic de a face cu protocolul de plai SET doar ca SET pleac de la premiza ca aceste contracte au fost stabilite anterior.

295

2. Relaii administrative. Aceste relaii trebuiesc stabilite inainte de nceperea procesului de plai SET. De asemenea, aceste relaii pstreaz mediul de afaceri in sigurana. Anumite relaii sunt coninute in protocolul de pli SET. 3. Relaii de tip operaional. Aceste relaii sunt constituite pe termen scurt si au loc atunci cnd trebuiesc fcute plai. Toate acestea sunt definit in protocolul de plai SET. SET a fost creat, in primul rand, pentru a permite comercianilor plata pentru bunurile si serviciile vndute intr-un mod sigur, de incredere si consistent. Cerinele pentru realizarea unui mediu propice afacerilor sunt satisfcute de SET prin folosirea criptarii si a altor tehnici. 6. SSL (Secure Sockets Layer) Protocolul SSL a fost iniial dezvoltat de Netscape iar apoi a fost utilizat ca standard pentru autentificare si criptare pe Internet intre serverele Web si clienii reprezentai de browsere. Noul standard propus de Internet Engineering Task Force se numete Transport Layer Security (TLS) si are la baza protocolul SSL. Pe de alta parte, protocolul SSL a ajuns la versiunea 3 si reprezint cea mai uzitata metoda la ora actuala de criptare/autentificare bazata pe infrastructura de chei public (PKI). Protocolul SSL ruleaz peste TCP/IP si sub alte protocoale de nivel inalt cum ar fi HTTP sau IMAP si permite serverelor ce au suport pentru SSL sa se autentifice ctre clienii SSL, de asemenea clinetii sa se autentifice ctre servere si intre clieni si servere sa se stabileasc o conexiune criptata (figura 6.1).

Figura 6.1 Protocolul SSL

Cei mai folosii algoritmi de criptare de protocolul SSL sunt: DES - Data Encryption Standard 40/54 bii; DSA Digital Signature Algoritm, parte a standardului de autentificare digitala folosit de Guvernul SUA; KEA - Key Exchange Algorithm; MD5 - Message Digest (functie hash) dezvoltat de Rivest pe 128 bii; RC2 si -RC4 - Rivest Encryption Ciphers dezvoltat de RSA Data Security - 40/128 bii; RSA - Un algoritm bazat pe chei publice folosit pentru criptare si autentificare, dezvoltat de Rivest, Shamir si Adleman; RSA key exchange - Un algoritm de schimb de chei bazat pe RSA dezvoltat pentru SSL; SHA-1 - Secure Hash Algorithm - functie hash pe 160 bii; SKIP JACK - un algoritm secret bazat pe chei simetrice implementat in platformele hardware FORTEZZA; Triple-DES - Algoritm ce aplica de trei ori DES 168 bii. Protocolul de inregistare SSL (figura 6.2) este folosit pentru transferul datelor aplicaiei si a celor de control intre client si server. In prima faza se fragmenteaz datele in uniti mai mici sau se combina mai multe mesaje de nivel inalt intr-o singura unitate. Datele vor fi compresate, semnate digital si apoi criptate inainte de transmisia prin TCP.

296

Figura 6.2 Protocolul de nregistrare SSL

7. Securitatea serviciilor Web Serviciile Web (Web Services) descriu o modalitate de acces la date i interaciunea cu programe ce ruleaz pe diferite platforme de operare n cadrul reelelor publice i de ntreprindere. Spre deosebire de reelele extranet tipice, ce necesit interfee puternic integrate ntre membrii comunicrii, scopul serviciilor Web este acela de a oferi o singur interfa comun care s permit calculatoarelor s ruleze programe, s partajeze date i s acceseze servicii diverse. Bazate pe un limbaj comun XML (eXtensible Markup Language) i un protocol comun de transport HTTP (HyperText Transfer Protocol), serviciile Web acioneaz ca un intermediar ntre cele dou entiti ce doresc s comunice ntre ele. Sunt bazate pe limbaje i protocoale specifice (n afar de XML i HTTP), printre care, cele mai cunoscute sunt: Simple Object Access Protocol (SOAP), Web Services Description Language (WSDL) i Universal Discovery, Description and Integration (UDDI). SOAP este practic un mecanism de transport pentru mesajele XML. UDDI este un registru bazat pe XML ce permite furnizorilor s prezinte serviciile Web pe Internet. WSDL (care este bazat tot pe XML) reprezint o modalitatea de descriere de conexiune a clienilor (dintr-o perspectiv software) la furnizorii de servicii Web. mpreun cu XML i HTTP, aceste protocoale reprezint fundamentul pe care se sprijin serviciile Web, permind diverselor entiti s caute i s prezinte servicii, s apeleze proceduri, s ruleze programe i s ntoarc rezultate. Din punctul de vedere al securitatii, serviciile Web asigur autentificarea, autorizarea, confidenialitatea i integritatea datelor. Serviciile Web folosesc o serie de noi specificaii de securitate, printre care: XML Encryption, XML Signature, XML Key Management Specification (XKMS), Security Association Markup Language (SAML) i Web Services Security (WS-Security). Aceste noi specificaii se bazeaz pe mecanisme dezvoltate anterior (cum ar fi, de exemplu, PKI) pentru a asigura elementele de securitate pentru mesajele XML i transportul SOAP (figura 7.1).

297

Figura 7.1 Modelul de securitate pentru Web Services

Procesele de afaceri sunt ultimele n care se definete necesarul pentru securitate. Procesul de securitate constituie deseori sursa unor discuii tehnice de detalii. La baza cerinelor de securitate pentru afaceri se regsesc necesitatile de eliminare ale unui risc particular. Procesul de afacere definete faza prin care se ncearc s se obin caracteristicile de securitate prin colaborarea la cel mai nalt nivel. n fluxul ebXML curent, modelul informaional este apoi translatat ntr-o reprezentare XML i combinat cu alte informaii ale mediului (figura 7.2).

Figura 7.2 Procesul de afacere definete caracteristicile de securitate Generarea profilului protocolului de colaborare este condus prin modelul informaional al procesului de afacere (i conine o referin la model prin structura sa) (figura 7.3).

Figura 7.3 Generarea profilului protocolului de colaborare

298