7.

SECURITATEA SERVICIILOR N INTERNET

Securitatea informatic este o problem vital pentru toi utilizatorii de internet, fie c sunt furnizori de servicii fie c sunt utilizatori. Nevoia tot mai mare de comunicare, pe de o parte i nevoia de protecie i securitate a informaiilor pe de alt parte sunt dou cerine diferite i chiar opuse care trebuie asigurate n reelele i sistemele informatice. n condiiile n care milioane de ceeni folosesc n mod curent reelele de comunicaii i calculatoare pentru operaiuni bancare, cumprturi, plata taxelor i serviciilor etc. problema securitii este de maxim importan. u aprut multe organizaii i organisme internaionale care se ocup de cele mai diverse aspecte ale securitii informaionale, de la aspectele legislative, la cele organizatorice, procedurale i funcionale. ! prezentare detaliat a resurselor "nternet privind resursele de securitate se gsete n #$$%&. Securitatea este un subiect vast i ocup o multitudine de imperfeciuni. 'a(oritatea problemelor de securitate sunt cauzate intenionat de persoane ruvoitoare care ncearc s obin beneficii, s culeag informaii dar i s provoace ru.

7.1 Vulnerabilitatea reelelor

! reea de calculatoare este o structur deschis la care se pot conecta permanent noi utilizatori i noi tipuri de echipamente )terminale, calculatoare* ceea ce lgrgete necontenit cercul de utilizatori care au acces la resursele acesteia )programe, fiiere, baze de date*. $ulnerabilitatea se manifest pe dou planuri+ atacul la integritatea fizic a informaiilor )distrugere, modificare* i folosirea neautorizat a informaiilor )scurgerea de informaii*. ,eferitor la securitatea n informatic trebuie avute n vedere dou aspecte+ -. Integritatea resurselor unei reele, adic disponibilitatea lor indiferent de defectele de funcionare hard sau soft care pot aprea, inclusiv detriorrile sau sustragerile ruvoitoare. .. Caracterul ri!at ai in"or#aiei, adic dreptul individual de a dispune ce informaie poate fi stocat i vehiculat n reea i cine are dreptul s o accesze. ! reea sigur este acea reea n ale crui componenete )resurse, operaii* se poate avea ncredere, adic furnizeaz servicii de calitate i corecte, conform cerinelor i specificaiilor. Securitatea i caracterul privat trebuie s fie obiectul unor analize atente i responsabile din nurmtoarele motive+ / reelele sunt sisteme mari sau foarte mari, de arie i complexitate considerabile. %enetrarea reelelor i atacurile ruviotoare se pot face n multe locuri i modaliti nebnuite, greu depistabile. / informaia este vulnerabil la atac n orice punct al reelei, de la introducere sa p0n la utilizatorul final. / reelele de calculatoare sunt o component tot mai prezent n viaa economic, social, individual, de funcionarea lor corect depinz0nd activitatea guvernamental, comercial, industrial i chiar individual.

/ tot mai multe informaii memorate n fiiere separate pot fi corelate, sinteizate, prelucrate prin intermediul reelelor sporind posibilele consecinele nefaste asupra caracterului privat al acesora. 7.1.1 Categorii $e atacuri asu ra reelelor n afara cazurilor de for ma(or produse de calamiti naturale, dezastre, cderi de echipamente etc pentru care msurile de securitate pervd salvri i copii de rezerv, dublarea echipamentelor, tehnici de autoresabilire etc. n cazul atacurilor voite se disting dou categorii principale+ / atacuri pasive1 / atacuri active. Atacurile asi!e sunt acele atacuri n care intrusul observ informaia care trece prin canal, fr s interfereze cu fluxul sau coninutul mesa(elor. Se face doar analiza traficului, descoperirea identitii entitilor care comunic, descoper lungimea i frecvena mesa(elor chiar dac coninutul acestora rm0ne ascuns. ceste atacuri nu cauzeauz pagube i nu ncalc regulule de confidenialitate. Scopul lor este de a asculta datele care sunt vehiculate prin reea. Atacurile acti!e sunt acelea n care intrusul dse anga(eaz n furtul mesa(elor, modificarea lor, tergerea, rularea, schimbarea coninutuli sau a adreselor, redirecionarea, substituirea, refuzul unui serviciu, repudierea etc. cestea sunt serioase, cauzeaz per(udicii mari i consecine (uridice. 2ot n categoria atacurilor active intr i programele create cu scop distructiv care afecteaz serios, uneori catastrofal, securitatea calculatoarelor i a informaiilor. n aceast categorie intr+ viruii, bombele logice, viermii, trapele, programele tip cal troian, etc. 7.1.% Ni!ele& rinci ii& olitici 'i #ecanis#e $e securitate 'odelul de securitate n reele prevede protecia pe mai multe nivele care ncon(oar obiectul prote(at. 3n prim nivel necesar este securitatea "i(ic) care const, n general, ncuierea echipamentelor, plasare a lor n camere speciale ferite de foc, intemperii, distrugere fizic fie intenionat fie nu. 4ste o msur aplicabil tuturor sistemelor de calcul dar mai puin posibil n cazul reelelor, mai ales cele de arie medie sau mare. 5ellalt nivel se refer la securitatea logic) i cuprinde acele metode de cvontrol a accesului la resursele i serviciile sistemului. u fost stabilite i unanim acceptate linii directoare i principii privind securitatea sistemelor informatice care trebuiesc respectate de ctre toate entitile care produc, livreaz, instaleaz i exploateaz sisteme informatice. 1. *rinci iul resonsabilit)ii care impune stabilirea clar a responsabilitilor referitoare le securitate pe catre le au priprietarii, furnizotrii, madministratirii i utilizatorii sistemelor infirmatice. %. *rinci iul sensibili()rii conform cruia toate persoanele interesate asupra acestui aspect trebuie corect i oportun informate. +. *rinci iul eticii care impune elaborarea unor reguli de conduit n utilizarea S". ,. *rinci iul luri$isci linarit)ii conform cruia metodele tehnice i organoizartorice care trebuie luate n vederea securitii S" au caracter multidiscilpilinar i cooperant. -. *rinci iul ro orionalit)ii care cere ca nivelul de securitate i msurile de protecie s fie proporional cu importana informaiilor gestionate.

.. *rinci iul integr)rii conform cruia securitatea este necesar n toate stadiile de prelucrare a informaiilor )creare, colectare, prelucrare, sztocare, transport, tergere, etc.*. 7. *rinci iul o ortunit)ii conform cruia mecanismele de securitate s rspund prompt i s permit o colaborare rapid i eficient n caz de detectare a tentatuvelor de corupere a mecanismelor de securitate. /. *rinci iul ree!alu)rii& care cere revizuirea periodic a cerinelor de securitae i a mecaniismelor de implementare a lor. 0. *rinci iul $e#ocraiei& conform cruia cerinele de protecie i securitate s nu limiteze ne(ustificat libera circulaie a informaiilor, conform principiilor care guverneaz societile democratice. 'surile de securitate care trebuie luate se pot clasifica n + / %rocedurale )utilizare de parole cu schimbarea lor periodic, instruirea personalului, / 6ogice )criptare, control acces, ascundere informaii* / 7izice )blocare acces, camere speciale, ecranare electromagnetic, etc.*. 7iecare organizaie care gestioneaz informaii sensibile )vulnerabile* trebuie s/i defineasc o olitic) $e securitate care trebuie s gseasc soluii urmtoarelor probleme + / ce ameninri exist, de ce natur sunt, care se pot elimina i care nu1 / ce resurse pot fi prote(ate i la ce nivel1 / cu ce mi(loace se poate asigura securitatea / ce costuri introducerea, meninerea i actualizarea mecanismelor de securitate. %olitica de securitate se implementeaz prin ser!icii $e securitate au ca scop reducerea vulnerabilitii informaiilor i resurselor care poate duce la pierderea acestora, deteriorarea sau a(ungerea acestora n posesia unor persoane neaurtorizate. 7iecare serviciu de securitate se poate implementa prin unul sau mai multe #ecanis#e $e securitate, care, la r0ndul lor, cuprind o serie de activiti. rhitectura de securitate specific sistemelor deschise interconectate cuprind 8 elemente ma(ore + / 9efinirea serviciilor de securitate 1 / 9efinirea mecanismelor de securitate 1 / 9escrierea principiile de securitate pe nivele1 / "mplementatea serviciilor de securitate pe nivele 1 / ,ealizarea mecanismelor de securitate prin folosirea serviciilor de securitate Serviciile de securitate definite de "S%! sunt+ autentificarea, confidenialitatea, controilul accesului, intergritatea i nerepudierea. 'ecanismele de securitate sunt folosite individual sau colectiv pentru construirea serviciilor de securitate. 1. Cri tarea transform datele de la entitatea surs ntr/o manier unic astfel nc0t s nu poat fi cunoscut semnificaia lor dec0t n urma unei transformri inverse pereche, numit $ecri tare. 4ste folosit n special pentru implementarea serviciului de confidenialitate. %. Se#n)tura $igital) d sigurana c datele furnizate au fost produse chiar de ctre semnatar. 'ecanismul este folosit de ctre serviciul de integritate i nonrepudiere. 6a r0ndul su se bazeaz pe dou proceduri+

/ procedura semnrii unui bloc de date / procedura verificrii semnturii +. Controlul accesului la resursele din "nternet presupune recunoaterea identitii solicitantului n baza unei nregistrri prealabile i posibilitatea validrii sau invalidrii cererii. 2entativele de acces neautorizat trebuie semnalale prin diverse modaliti. 5a tehnici de control a accesului se pot folosi + liste de acces, parole, etichete de securitate, limitarea timpului de acces, limitarea numrului de ncercri de acces, calea de acces etc. ,. Autenti"icarea permite identificarea reciproc a entitilor corespondente. -. Notari(area presupune folosirtea unei a treia entiti numit notar, n care toate prile au incredere deplin, care ofer garanie pruivind originea, destinaia, integritatea i confidenialitatea informaiilor. ;tiina i arta care se ocup cu studiul tiinific i metodic al criptrii mesa(elor este cri tologia. 4a cuprinde dou laturi+ cri togra"ia i cri tanali(a. %rima se ocup de metodele, tehnicile i procedurile de criptare a mesa(elor, de teoria codurilor i a cheilor de criptare iar a doua de posibilitile de decriptare, de descoperire a textului clar dintr/unul cifrat, de spargere a codurilor. 5riptologia a fost studit i utilizat de foarte mult vreme dar performanele cele mai mari n domeniu au aprut dup dezvoltarea sistemelor de calcul numeric puternice. 2ermenul de criptografie provine din limba greac nsemn0nd scriere secret. n lumea specialitilor se face deosebire ntre cod i cifru. 3n co$ nlocuiete un cuv0nt cu un alt cuv0nt, pe c0nd un ci"ru este o transformare caracter cu caracter sau bit cu bit a mesa(ului. n prezent tehnicile de secretizare prin codare sunt foarte puin folosite, fiind nlocuite prin tehnici de cifrare mult mai performante. n principiu, cifrarea transform mesa(ului clar ntr/unul cifrat prin aplicarea unei funcii parametrizate de o cheie, astfel nc0t semnificaia mesa(ului s fie ascuns iar descifrarea s nu fie posibil fr a poseda cheia corespunzutoare. 9in punct de vedere al cheii de cifrare, algoritmii se mpart n ndou clase+ / algoritmi cu chei secrete )94S, 4S/ dvanced 4ncr<ption Standard*1 / algoritmi cu chei publice ), S*

7.%. Securitatea 1n Internet

Securitatea 1n Internet se poate realiza pe mai multe nivele i subnivele, individual sau combinat pentru a realiza un grad de protecie cerut. Securitatea la ni!el "i(ic Serviciile de securitate la nivel fizic asigur o protecie punct la punct pe canalul fizic de legtur, ntre entitile care comunic, fie c sunt sisteme finale, fie intermediare. vanta(ul ma(or al securitii pe acest nivel este independena de protocoalele implementate pe nivelele suprerioare. 9ezavanta(ul const n dependena de tehnologia de comunicaie folosit la nivel fizic )tipuri de interfee, rate de transmisie, probleme de sincronizare etc.*. ici se realizeaz de regul confidenialitatea traficului i securizarea circuitului orientat pe conexiune. Securitatea la ni!el leg)tur) $e $ate Serviciile de securitate la nivel legtur de date sunt tot de tipul punct la punct. Nivelul de securitate este nc redus, determinat n nprincipal de facilitile de detecie i eventual corecie a erorilor., de secveniete a transmisiei funcie de caracteristcile canalului. 5riptarea la nivel . nu este

recomandat deoarece ofer mult informaie unui adversar care intercepteaz pachete, c0mpurile de control fiind n clar. %rincipalul dezavanta( al criptrii la acest nivel este c datele sunt memorate n clar n fiecare nod intermediar i ofer faciliti de atac multiple ruvoitorilor. Ser!iciile $e securitate la ni!el reea pot fi realizate at0t ntre sistemele finale c0t i intre sisteme finale i rutere sau ntre dou rutere. 9e la acest nivel ele ncep s devin dependente de protocoalele folosite pe nivelele superioare. 4ste posibil securizarea unei anumite rute din reea )de exemplu criptarea datelor de pe acea rut i transmisia n clar pe alte rute*. 3nele pachete care trec printr/un nod intermediar )ruter* sunt criptate, altele nu, n funcie de rut. ntetul de nivel reea al pachetelor nu este criptat, ceea ce face ca s se asigure numai integritatea i confidenialitatea datelor transmise, nu i a traficului. Ser!iciile $e securitate la ni!el trans ort Nivelul transport ofer mai multe servicii de securitate i mai complete+ confidenialitatea )orientat sau nu pe conexiune*, integritatea, autentificarea originii datelor, autentificarea entitilor pereche, controlul accesului. 9eoarece nivelul transport asigur servucii de> transter de date ntre surs i destinaie, adic ntre utilizatori finali, i serviciile de securitate au acelai caracter. Nivelele sesiune i prezentare nu au referiri privitoare la implementarea de servicii de securitate, dei confidenialitatea prin criptare sau altele )autentificarea etc.* pot fi evident realizabile. Ni!elul a licaie asigur implementarea tuturor serviciilor de securitate, ba mai mult chiar, unele, de exemplu, nerepudierea mesa(elor poate fi realizat numai la acest nivel. vanta(ul ma(or al asigurrii securitii la acest nivel este independena de sistemele de operare i de protocoalele utilizate pe nivelele inferioare. n schimb, trebuie menionat c la acest nivel securitatea este dependent de aplicaie )trebuie implementat individual pentru fiecare aplicaie*. plicaiile de baz ale "nternetului )72%, S'2%, 246N42, ?22%, 9NS, %!%, @@@ etc.* ruleaz pe servere, ele reprezent0nd acdevrate pori prin care utilizatorii din lumea exterioar pot accesa informaii de pe un calculator privat. 7iecare server trebuie s aib urmtoarele faciliti+ S determine ce informaie sau aciune este serut de client1 S decid dac aceste are dreptul s acceseze informsaia, utiliz0nd eventual un procedur de autentificare )persoan sau program*1 S transfere informaia cerut sau s execute programul cerut. %rotecia serverelor se poate face prin mai multe msuri cum ar fi+ utentificarea sigur a clienilor prin parolee sau protocoale criptografice )cum ar fi Aerberos*1folosirea unui fire>all care s separe reeaua intern de lumea exterioar1 Separarea fizic a reelei interne de cea extern. ccesul la reeaua extern )"nternet, @@@, etc.* se face prin staii separate. 5rearea unei reele separate pentru datele confideniale1 9ezactivarea tuturor serviciilor inutile i prote(area lor prin programe de tip >rapper.

7.+ Te2nici $e securitate 1n reele

7.+.1 Ser!ere $e autenti"icare 3erberos Aerberos este la ora actual cel mai puternic i mai folosit serviciu de autentificare din lume. 4l permite utilizatorilor s comunice n reea pentru a/i dezvlui identitatea i pentru a se autentifica n

timp real, ntr/un mediu distribuit nesecurizat. 4ste un serviciu de autentificare i nu de autorizare, n care parolele sunt folosite derept chei i nu sunt niciodat transmise n clar prin reea. Aerberos este folosit de protocoalele de nivel aplicaie )ftp, telnet etc.* pentru a asigura securitatea comunicaiilor cu gazda. 4l are dou obiective principale+ autentificarea i distribuia cheilor i furnizeaz urmtoarele servicii+ / autentificarea mutual i comunicaie sigur ntre dou entiti ale unei reele deschise1 / distribuie chei secrete oferind macanisme pentru transferul siugur al acestora prin reea1 / indentificarea sigur a utilizatorilor individuali care apeleaz servicii de pe calculatoarele gazd. Aerberos este utilizat n S3 , o variant similar dezvoltat n 4uropa, compatibil cu acesta este S4S '4. %rotocolul de autentificare Aerberos folosete o a treia entitate )ter de ncredere* care furnizeaz tichete de identificare i chei criptografice ctre utilizatori sau aplicaii. 3n tichet este un bloc de c0teva sute de octei care poate fi folosit n aproape orice protocol de reea. %rotocolul Aerberos conine urmtoarele entiti+ / Serverul de autentificare Aerberos / 4ntitatea de acordare a tichetului / 5lientul 5 care trebuie autentificat pentru a i se acorda acces la serviciul furnizat de serverul S / Serverul S la care cere acces din partea clientului.

Server Aerberos . -

Server de tichete )S2* : = 5lient )5* 8

Server )S* B

7ig. C.- %rotocolul der autentificare Aerberos

7.+.% Stan$ar$ul $e o't) electronic) cu "acilit)i $e securitate 4*E56 %ota electronic este unul dentre cele mai rsp0ndite servicii pe "nternet folosit de milioane de utilizatori. 5a urmare au fost dezvoltate aplicaii de securitate specifice acestui serviciu cum ar fi %4' %rivac<4nhanced 'ail care ofer urmtoareler faciliti+ / confidenialitatea )secretizarea* mesa(elor1 / autentificarea originii mesa(elor / integritatea legturii n reea / nerepudiarea legturii prin dovedirea originii. 5onfidenialitatea prote(eaz coninutul mesa(elor mpotriva citirii lor neautorizate de ctre alte persoane dec0t cele autorizate specificate de emitent. ccesul nedorit la mesa(e se poate face fie prin inteceptatrea comunicaiei din linia de transmisie, fie prin accesul la cutia potal care de fapt

este o locaie pe un hard disD sau un alt mi(loc de stocare. n aceste sitiaii protecia se face prin criptarea mesa(elor. utentificarea originii mesa(elor permite receptorului unui mesa( prin pot electronic s determine n mod sigur identitatea emitorului. 4ste un serviciu foarte necesar asigurrii credibilitii potei electronice at0t de rsp0ndit i de util n prezent. "ntegritatea legturii furnizeaz receptorului sigurana c mesa(ul primit este identic cu cel emis la origine, c nu a fort nlocuit pe traseu cu altul sau nu a fost modificat chiar i parial. 9e regul, autentificarea i integritatea sunt servicii care se folosesc mpreun. Nerepudierea mesa(elor mpiedic transmitorul s nu recunoasc faptul c el i numai el a transmis mesa(ul n discuie chiar dac el a trecut i prin intermediari. 3tilitatea serviciului de nerepudiere este evident n situaia transmiterii unor ordine, decizii, dispoziii etc. cu caracter imperativ si care pot genera consecine ma(ore unele chiar cu caracter (uridic. "mplementarea serviciilor de securitate n conformitate cu standardul %4' se poate face peste infrastructura de pot electronic existent. 4xist dou variante de integrare+ -* cu includerea funciilor de securitate n nagentul utilizator )3 * cu avanta(ul obinerii unei interfee mai bune cu utilizatorul. .* fr modificare agentului utilizator prin realizarea unui filtru de securizare a mesa(elor n exteriorul 3 . %entru a putea asigura serviciile de securitate, %4' folosete o varietate de algoritmi criptografici necesari cifrrii mesa(elor, distribuirii cheilor, verificrii integritii mesa(elor sau autentificrii. %4' folosete sisteme simetrice i nesimetrice pentru cifrarea mesa(elor, integritate i autentificare. n cazul sistemelor simetrice cheia de cifrare este identic cu cea de descifrare i ca urmare ele trebuie s fie secrete i distribuite utilizatorilor pe canale sigure, pe baza unui sistem de management al cheilor. %relucrarea uneu scrisori %4' se face dup un algoritm prezentat n #$$%&. ! scrisoare este format din . zone + antetul mesa(ului i coninutul mesa(ului. 9atele din antet trec de regul nemodificate prin prelucrrile %4'. 5oninutul scrisorii care face obiectul prelucrrii este ncadrat de unul sau mai multe antete %4' Edelimitatori %4' care implemeteaz serviciile de securitate folosite. %aii n care se face prelucrarea %4' sunt de regul urmtorii+ -* ducerea la forma canonic, adic o form standard specific reelei. 2ipul de canonizare este specificat n c0mpul 5ontent 9omain din antetul %4'. .* 5alculul valorii de integritate a mesa(ului )'"5/ 'essage "ntegrit< 5ode* :* 5ifrarea )opional* dac se consider necesar se face o singur datr indiferent de c0i destinatari l vor primi, folosind o tehnic de criptare acceptat, fr a fi impus una anume. =* 5odificarea n vederea transmisiei are> rolul de a converti mesa(ele de tip '"5 !N6F i 4N5,"%249 care sunt irui oarecare de bii n caractere care pot fi transmise n sistemele de transport al mesa(elor. 7.+.+ *7* 4*rett8 7oo$ *ri!ac86 4ste un pachet de programme destinat potei electronice i a fiierelor proprii prin cifrare clasic cu chei publice care poate funciona pe diferite platforme )@indo>s, 3N"G, etrc.*. %H% poate asigura urmtoarele faciliti + / criptarea fiierelor folosind algoritmi simetrici sau nesimetrici 1

/ / / / / / / /

creerea de chei publice sau secrete folosite la criptare1 gestionarea cheilor prin crearea i ntreinerea unei baze de date destinate acestui scop 1 transmiterea i recepionarea de mesa(e criptate prin e/mail 1 folosirea semnturilor digitale 1 certificarea cheilor )semnarea electronic a cheilor* 1 revocarea, dezactivarea i custodia cheilor cu posibilitatea dezactivrii, revocrii i schimbrii lor n caz de atac ctiptografic1 configurarea dup necesiti a %H%/ului1 folosirea server/elor de chei de pe "nternet.

7., Securitatea rin "ire9all

3n fire>al )zid de protecie, perete antifoc* este un sistem de protecie plasat nter dou reele care are urmtoarele proprieti + / oblig tot traficul dintre cele dou reele s treac prin el i numai prin el, pentru ambele sensuri de transmisie 1 / filtreaz traficul i permite trecerea doar a celui autorizat prin politica de securitate 1 / este el nsui rezistent la ncercrile de penetrare, ocolire, spagere exercitate de diveri. 3n fire>all nu este un simplu ruter sau calculator care asigur securitatea unei reele. 4l impune o politic de securitate, de control a accesului, de autentificare a clienilor, de configurare a reelei. 4l prote(eaz o reea sigur din punct de vedere al securitii de o reea nesigur, n care nu putem avea ncredere. 7ire>all "nternet

,eea prote(at

2rafic autorizat

7ig. C.. 9ispunerea unui fire>all 7iind dispus la intersecia a dou reele, un fire>all poate fi folosit i pentru alte scopuri dc0t controlul accesului + / pentru monitorizarea comunicaiilor dintre reeaua intern i cea extern )servicii folosite, volum de trafic, frecvena accesrii, distribuia n timp de etc.*1 / pentru interceptarea i nregistrarea tuturor comunicaiilor dintre cele dou reele 1 / pentru criptare n reele virtuale. 7.,.1 A!anta:ele unui "ire9all ntr/un mediu fr fire>all securitatea reelei se bazeaz exclusiv pe securitatea calculatoarelor gazd care trebuie s coopereze pentru realizarea unui nivel corespunztor de securitate. 5u c0t

reeaua este mai mare, cu at0t este mai greu de asigurat securitatea fiecrui calculator. 7olosirea unui fire>all asigur c0teva avanta(e + -* *rotecia ser!iciilor !ulnerabile prin filtrarea )blocarea* acelora care n mod obinuit sunt inerent mai expuse. 9e exemplu un fire>all poate bloca intrarea sau ieirea dintr/o reea prote(at a unor servicii expuse cum ar fi N7S, N"S etc. 9e asemenea mecanismul de diri(are a pachetelor din "nternet poate fi folosit pentru rutarea traficului ctre destinaiii compromise. %rin intermediul "5'% fire>all/ul poate re(ecta aceste pachete i informa administratorul de reea despre incident. .* I# unerea unei olitici a accesului 1n reea deoarece un fire>all poate controla accesul ntr/o reea privat. 3nele calculatoare pot fcute accesibile dei exterior i altele nu. 9e exemplu, serviciile de pot electronic i cele informaionele pot fi accesibile numai pe unele calculatoare din reeaua intern prote(0ndu/le pe celelalte de expuneri la atacuri. :* 5oncentrarea securitii pe fire>all reduce mult costurile acestei fa de cazul n care ar fi distribuit pe fiecare staie. 7olosirea altor soluii cum ar fi Aerberos, implic modificri la fiecare sistem gazd, ceea ce este mai greu de implementat i mai costisitor. =* nt)rirea caracterului ri!at al in"or#aiei care circul prin reea. n mod normal o informaie considerat pe bun dreptate nesenzitiv )navigarea pe @eb, citirea potei electronice etc.* poate aduce atacatorilor informaii dorite despre utilizatori + c0t de des i la ce ore este folosit un sistem, dac s/a citit pota electronic, site/urile cele mai vizitate etc. semenea iformaii sunt furnizate de serviciul finger, altfel un serviciu util n "nternet. 7olosirea unui fire>all poate bloca asemenea servicii cum ar fi finger, 9NS etc. Jlocarea ieirii n exterior a informaiei 9NS referitoare la sistemele gazd interne, numele i adresele "%, ascunde informaie foarte cutat de atacatori. 8* 5onitori(area 'i reali(area $e statistici privind folosirea reelei sunt mult uurate dac ntregul trafic spre i dinspre "nternet se face printr/un singur punct )fire>all*. 7., % ;e(a!anta:ele unui "ire9all 7olosirea unui fire>all are i unele limitri i de(avanta(e, inclusiv unele probleme de securitate pe care nu le poate rezolva. -. Restricionarea accesului la unele ser!icii considerate vulnarabile care sunt des solicitate de utilizatori + 72%, telnet, http, NSf etc. 3neori politica de securitate poate impune chiar blocarea total a acestora. .. *osibilitatea e<istenei =unor u'i secrete> 3n fire>all nu poate prote(a mpotriva unor trape care pot aprea n reea, de exemplu accesul prin modem la unele cailculatoare gazd. 7olosirea modemuri de vitez mare pe o conexiune %%% sau S6"% deschide o KuL neprote(abil prin fire>all. :. ?ire9all@ul nu asigur) rotecie "a) $e atacurile !enite $in interior. Scurgerea de informaii, atacurile cu virui, distrugerea intenionat din interiorul reelei nu pot fi prote(ate de fire>all. =. Re$ucerea !ite(ei $e co#unicaie cu e<teriorul )congestia traficului* este o problem ma(or a unui fire>all. 4a poate fi depit prin alegerea unor magistrale de mare vitez la interfaa acestuia cu reeaua intern i cea extern. 8. ?iabilitatea reelei poate fi redus dac i chiar dezastruoas dac sistemul fire>all nu este fiabil.

5ompar0nd avanta(ele i limitrile securitii prin fire>all se poate concluziona c prote(area resurselor unei reele este bine s se fac at0t prin sisteme fire>all c0t i prin alte meeanisme i sisteme de securitate. 7.,.+ Co# onentele unui "ire9all 5omponentele fundamentale ale unui fire>all sunt + / politica de control a acesului la servicii 1 / mecanismele de autentificare 1 / filtrarea pachetelor1 / serviciile prox< i porile de nivel aplicaie. %olitica de control a acesului la servicii definete n mod explicit acele servicii care sunt permise i carte sunt refuzate, precum i cazurile de exepii i condiiile n care pot fi acceptate. ! politic realist trebuie s asigure un echilibru ntre prote(area reelei fa de anumite riscuri cunoscute i asigurarea accesului utilizatorilor la resurse. 'ai nt0i se definete politica de acces la serviciile reelei, ca politic de nivel nalt, dup care se defionete politica de proiectare a fire>all/ului ca politic subsidiar. Se pot implementa diverse politici de acces la servicii + / interzicerea accesului din "nternet la reeaua proprie i accesul invers, din reea spre "nternet1 / accesul din "nternet dar numai spre anumite staii din reeaua proprie, cum ar fi serverele de informaii, serverele de e/mail 1 / accesul din internet spre anumite sisteme locale dar numai n situaii speciale i numai dup autentificare reciproc. %olitica de proiectare a fire>all/ului se bazeaz pe dou sub/politici + -. ceea ce nu este interzis n mod explicit este permis .. ceea ce nu este permis n mod explicit este interzis. %rima subpolitic este mai puin oportun deoarece ofer posibiuliti de a ocoli sistemul de securitate prin fire>all. %ot aprea servicii noi, necunoscute, se pot folosi porturi 25%E39% nestandard etc. 4ficiena unui sistem fire>all de protecie a unei reele depinde de de politica de acces la servicii, de politica de proiectare a fire>all/ului i de arhitectura acestuia. 7.,., I# le#entarea securit)ii rin "ire9all "mplementarea securitii pritr/un sistem fire>all se poate face respec0nd urmtorii pai+ / 9efinirea politicii de securitate prin fire>all / 9efinirea cerinelor de funcionare i securitate peri fire>all / %rocurarea unui fire>all / dministrarea unui fire>all. %olitica de securitate prin fire>all are dou niveluri de abordare+ politica de acces la servicii i politica de proiectare a fire>all/ului. Hradul de ndeplinire a securitii pe cele dou nivele depinde n mare msur de arhitectura sistemului fire>all. %entru a defini o politic de proiectare a fire>all/ ului, trebuie examinate i documentate urmtoarele+

-N

5e servicii urmeaz a fi folosite n mod curent i ocazional 5um i unde vor fi folosite )local, la distan, prin "nternet, de la domicilui* 5are este gradul de sensibilitate al informaiei, locul unde se afl i ce persoane au acces au Oacces ocazional sau curent 5are sunt riscurile asociate cu furnizarea accesului la aceste informaii 5are este costul asigurrii proteciei

n vederea procurrii componenetelor soft i hard ale unui sistem fire>all, trebuie definite c0t se poate de concret cerinele de funcionalitate i de securitate ale acestuia. %entru aceasta este recomandabil s se in seama de urmtoarele aspecte+ n ce msur poate fi suportat o politic de securitate impus de organizaie i nu de sistem n sine 7lexibilitatea, gradul de adaptabilitate la nio servicii sau ceine determinate de schimbrile n politica de securitate S conin mecanisme avansate de autentificare sau posibiliti de instalare a acestora S foloseeasc tehnici de filtrare de tip permitereEinterzicere acces la sisteme, aplicaii, servicii ,egulile de filtrare s permitp selectarea i combinarea c0t mai multor atribute )adrese, porturi, protocoale* %entru servicii ca 246N42, 72% etc s permit folosirea serviciului prox< individuale sau comune 7ire>all/ul i accesul public n reea trebuie corelate astfel nc0t serverele informaionale publice s poat fi porte(ate de de fire>all, dar s poat fi separate de celelalte sisteme de reea care nu furnizeaz acces public %osibilitatea ca fire>all/ul i sistemul de operare s poat fi actualizate periodic 7.,.- ?iltrarea ac2etelor 3n serviciu securitate foarte eficient relizabil prin fire>all este filtrarea pachetelor. 4l permte sau blocheaz trecerea unor anumite tipuri de pachete n funcie de un sistem de reguli stabilite de administratorul de securitate. 9e exemplu filtrarea pachetelor "% se poater face dup diferite c0mpuri din antetul su+ adresa "% a sursei, adresa "% a destinaiei, tipul protocol )25% sau 39%*, portul surs sau portul destinaie etc. 7iltrarea se poate face ntr/o varietate de moduri+ blocare conxiuni spre sau dinspre anumite sisteme gazd sau reele, blocarea anumitor porturi etc. 7iltrarea de pachete se realizeaz, de obicei, la nivelul ruterelor. 'ulte rutere comerciale au capacitatea de a filtra pachete pe baza c0mpurilor din antet. 3rmtoarele servicii sunt nmod inerent vulnerabile i de accea se recomand blocarea lor la nivelul fire>all/ului+ tftp )trivial file transfer protocol*, portul BMfolosit de obicei pentru secvena de boot a staiilor fr disc, a serverelor de terminale i a ruterelor. 5onfigurat incorect, el poate fi folosit pentru citirea oricrui fiier din sistem1 G @indo>s, porturile ncep0nd cu BNNN. %rin intermediul serverelor G intruii pot obine controlul asupra unui sistem gazd1

--

,%5 ),emote %rocedure 5all*, portul ---, inclusiv N"S i N"7 care pot fi folosite pentru a obine informaii despre sistem, despre fiisrele stocate1 ,olgin, rsh, rexec, porturile 8-:, 8-=, 8-. servicii care configurate incorect pot pemite accesul neautorizat la conturi i comenzi de sistem. 3rmtoarele servicii sunt, n mod obinuit, filtrazte i restricionate numai la acele sisteme care au nevoie de ele+ a* 2elnet, portul .:, restricionat numai spre anumite sisteme1 b* 7tp, porturile .N i .-, restricionat numai spre anumite siusteme1 c* S'2%, portul .8, restricionat numai spre un server central de mail1 d* ,"%, portul .8, care poate fi uor nelat i determinat s redirecioneze pachete1 e* 9NS, portul 8:, care poate furniza informaii despre adrese, nume, foarte urmrit de atacatori1 f* 335% )3nix to 3nix 5o%<*, portul 8=N, care poate fi utilizat pentru acces neautorizat1 g* NN2% )Net>orD N>es 2ransfer %rotocol*, portul --M pentru accesul la diferite tiri din reea1 h* http, )portul IN*, restricionat spre o poart de apNlicaii pe care ruleaz servicii prox<. Ni!elurile $e "iltrare a ac2etelor corespund nivelelor din arhitectura !S" sau 25%E"%. ntetul de reea "% conine patru c0mpuri relevante pentru filtrarea pachetelor+ cele dou adrese, surs i destinaie, tipul de protocol de nivel transport i c0mpul de opiuni "%. !piunea "% cea mai relevant pentru faciliti de filtrare este diri(area de la surs )source routing*. 4a permite edxpeditorului unui pachet s specifice ruta pe care acesta o va urma spre destinaie. Scopul su este de a nu trimite pachete n zone n care tabelele de diri(are ale pachetelor sunt incorecte sau ruterele sunt defecte. ntetul de nivel transport conine c0mpurile port surs i destinaie i c0mpul de indicatori )flag/uri*. 25% fiind un protocol orientat pe conexiune, naintea transferului de pachete se sabilete ruta prin intermediul unui pachet de setare care are c0mpul 5A de un bit setat pe N. Jitul 5A este foarte important din punct de verdrere al filtrrii. 9ac se dorete blocarea unei conexiunu 25% este sufuicient a se bloca primul pachet identificat prin valoarea N a c0mpului 5A. 5hiar dac urmtoarele pachete cu 5A P- corespunztoare aceleiai conexiuni vor trece prin filtru , ele nu vor fi asamblate la destinaie din cauza lipsei informaiilor despre conexiune, informaii coninute n primul pachet. %ractic, conexiunea nu va fi realizat. %e baza acestei particulariti se poate impune o politic de securitate care permite clienilor din interior s se conecteze n exterior la servere externe, dar nu permite clienilor externi s se conecteze n interior )la servere interne*. n filtrarea 39% sunt posibile mai multe abordri+ / interzicerera tuturor pachetelor 39%1 / permiterea conexiunilor la anumite porturi 39% standard, considerate mai puin periculoase1 / se poate seta ruterul ca s monitorizeze pachetele care pleac din interior spre exterior astfel ca ele s fie rspuns pachetele )cererile* memorate )filtrare dinamic*. Reguli $e "iltrare a ac2etelor 7iltrarea pechetelor se face dup reguli care fac parte din configurarea ruterului i care pot fi reguli explicite sau implicite. 9e exemplu, interzicerea a tot ce nu este permis n mod explicit este o interzicere implicit. ,egula filtrtrii implicite este mai bun din punct de vedere al securitii deoarece ne asigur c n afara cazurilor pe care le dorim s treac, celelalte sunt filtrate, deci sunt

-.

eviitate situaii neprevzute de acces. ,egulile fac parte din configuraia ruterului. %entru a decide trimiterea sau blocarea unui pachet, regulule sunt parcurse pe r0nd, p0n se gsete o concordan i se conformez acesteia. 9ac nu se gsete o asemenea concordan, pachetului i se aplic regula implicit. n cazul filtrrii dup adres, exist urmtoarele riscuri+ -. simpla filtrare nu poate fi sigur deoarece adresa surs poate fi falsificat. 3n ruvoitor poate simula c trimite pachete de la un utilizator de ncredere. 4l nu va primi rspuns, dar simplul acces n reea poate reprezenta o ameninare. .. atacul de tip Komul din mi(locL n care un atacator de interpune pe calea dintre surs i destinaie i intercepteaz pachetele venind din ambele sensuri. 4vitarea unei asemenae situaii se poate face prin autentificare reciproc folosind mecanisme criptografice avansate. 7iltrarea dup serviciu este de fapt filtrarea dop porturile surs i destinaie. n 3N"G porturile privilegiate )N-N.:* sunt ocupate doar de servere, nu de clieni. %e aestea ruleaz aplicaii sau servicii specifice superuser/ilor. %orturile mai mari de -N.= sunt filosite de clieni i se pot aloca n mod aleator. *rocurarea unui "ire9all 4xist dou variante de procurare a unui fire>all+ realizare proprie sau de pe "nternet variante libere i cumprarea unui produs profesional la cheie. mbele au avanta(e i dezavanta(e. 3n fire>all de firm este puternic, verificat i ofer multe facilitidar este mai scump. 3nul construit pentru o anumit organizaie sau reea permite ca specialitii firmei s neleag specificaiile de proiectare i de utilizure a acestuia. nainte de a se lua decizia de procurare trebuie s se afle rspunsuri la intrebri de fgelul+ / cum se va verifica dac produsul fire>all respect cerinele funcionale / cum poate fi testat mpotriva diverselor atacuri / cine, cum i cu ce mi(loace va face ntreinerea, repararea, actualizarea sa / cum i cine va face instruirea utilizatorilor / cun vor fi rezolvate eventuale incidente de securitate. 3n exemplu de produs fire>all de firm este 2"S 7ire>all 2oolDit )2"S 7@2A* produs de firma 2rust "nformation S<stem. 4l reprezint un set de programe i practici de configurare care pot fi folosite pentru construirea de diverse tipuri de fire>all. 5omponentele pot fi folosite fie independent, fie n combinaie cu componentele altor produse fire>all. %rodusul este conceput pentru sisteme 3N"G folosoind suita de protocoale 25%E"% printr/o interfa soDet de tip JerDle<. "nstalarea 7@2A persupune o oarecare experien n administrarea sistemelor 3N"G. 9eoarece conponentele sunt prezentate sub forma unor programe de cod surs scrise n K5L, sunt necesare cuno1tinQe referitoare la folosirea utilitatrului make. 7@2A are trei componente de baz+ / concepii de proiectare / practici de configurare i strategii de verificare / componente soft>are. 50teva dintre componentele soft sunt urmtoarele+ -. S5A*AS5A*T pentru serverul de pot electronic. 4l a(ut la implementarea serviciului S'2%. S' % accept mesa(e venite din reea pe care le scrie ntr/un director propriu fr a permite accesul la restul sistemului de fiiere. 7iierele create n acest director sunt blocate p0n se ncarc n intregime. 3lterior se deblocheaz i permite smapd/ului s acioneze asupra sa. Smapd/ul este un program care inspecteaz coada, scoate fiierele i le trimite destinatarului prin sendmail.

-:

.. ?T*@7B este un server prox< pentru ftp care poate efectua operaii de tipul logare, interzicere, autentificare etc. %entru autentificare sunt recunoscute mai multe protocoale+ SecurID produs de Securit< 9<namics, SNA produs de 9igital %at>a<s, Silver 5ard etc. :. TELNET@7B este un server prox< pentru telnet folosit la conectarea utilitzatorului la sistem. =. *LU7@7B este un server prox< generic care suport o gam restr0ns de protocoale i utilizatori. 4l examineaz adresa de la care s/a iniiat conexiunea i portul pe care a primit/o i crteaz o nou conexiune la un alt sistem gazd pe acelai port.

7.- 5ecanis#ele $e autenti"icare a!ansate

Cartelele inteligente, :etoanele $e autenti"icare, te2nicile bio#etrice, sunt din ce n ce mai folosite n locul parolelor pentru autentificarea entitilor care auu acces la informaii vehiculate sau stocate n reele. 9eoarece fire>all/ul este locul fizic care concentreaz accesul ntr/o reea, acesta este , n mod loigic, i locul n care se afl hard>er/ul i soft>are/ul pentru autentificare. %rintre macanismele avansate de autentificare de actualitate sunt parolele de unic folosion i cartelele inteligente. Sistemele cu parolele de unic folosin conin o tabel de parole n care se intr la fiecare cerere de acces la resursele de reea, se valideaz individual intrarea n tabel iar parolele se genereaz individual pe baza unui algoritm. 5artelele inteligente se bazeaz pe mecanismul numit Krspuns la provocareL care funcioneaz astfel + / utilizatorul introduce un nume de logare / sistemul genereaz un numr aleator )porvocare* i l trimite utilizatorului / utilizatorul cripteaz acest numr cu o cheie cunoscut de sistem i trimite rezultatul / sistemul cripteaz i el acel numr aleator cu aceeai cheie i compar rezultatele. n caz de coinciden solicitantul este acceptat n sistem.

-=