Curs Securitatea Sistemelor Info

UNIVERSITATEA DIN BACU
FACULTATEA DE INGINERIE
POPA SORIN EUGEN
SECURITATEA SISTEMELOR
INFORMATICE
note de curs i aplicaii
pentru studenii Facultii de Inginerie
2007
Cuvnt nainte,
Cursul "Securitatea sistemelor informatice" se adreseaz

studenilor de la specializarea Tehnologia informaiei anul III.
Cursul este structurat pe dou pri, prima de teorie conine 8
capitole referitoare la definiii, clasificri, proceduri, programe i sisteme
de asigurare a securitii sistemelor informatice i a informaiilor i a
doua parte conine 6 lucrri practice de laborator.
Partea teoretic ncepe cu noiuni generale privind securitatea
informaiilor, cu definirea noiunilor privind securitatea i prezentarea
standardului de securitate ISO / IEC 17799.
n al doilea capitol se prezint clasificarea modern a
informaiilor, criteriile de clasificare funcie de domeniul de activitate,
principii de clasificare, declasificare i degradare a informaiilor.
Al treilea capitol trateaz aspecte privind accesul personalului n
sistemele informatice, cu tipuri de control al accesului, metode de
autentificare i identificare a utilizatorilor.
Capitolul patru, intitulat "Criptografia" trateaz aspecte ale
metodelor de ascundere a informaiilor astfel nct acestea s fie
accesibile doar destinatarului acestora. Se prezint definiiile de baz a
criptografiei, steganografiei, filigranrii, principiile de criptare prin cheie
public i prin cheie privat, noiuni privind semntura digital i a
sistemelor de certificare a cheilor publice.
n al patrulea capitol, intitulat "Modele i programe de securitate",
se prezint modelele de securitate multinivel i multilateral, precum i
programe, politici, norme i standarde de securitate.
Capitolul ase face o introducere n securitatea reelelor de
calculatoare, prezentndu-se principalele mecanisme utilizate n
securitatea reelelor de calculatoare: DHCP, firewall, servere proxy,
filtrele de pachete, precum i tehnica reelelor VPN.
Capitolul al aptelea prezint tehnici, servicii i soluii de
securitate pentru Intranet-uri i portaluri, cu detalierea unor aspecte
prinvind tehnicile de criptare i a funciilor folosite pentru transmiterea
securizat a cheilor de criptare, autentificarea Kerberis 5, SSL/TTL,
NTLM, SSH, S/MIME i prezentarea firewall-urilor.
Ultimul capitol, al optulea, prezint Strategii de securitate ale
rzboiului informaional.
A doua parte a volumului conine ase lucrri practice de

laborator n care se vor experimenta i verifica noiunile i tehnicile de
securitate predate n cadrul cursului.
Cele ase lucrri de laborator trateaz urmtoarele probleme:
criptarea i steganografia, instalarea i configurarea firewall-urilor,
instalarea i configurarea serverelor proxy sub Windows i sub Linux,
realizarea unei reele VPN printr-un tunel OpenVPN.
Autorul
1. Noiuni privind securitatea informaiilor

1.1. Introducere
Societatea mbrieaz din ce n ce mai mult tehnologia informaiei. Informaia
care pn nu de mult avea la baz hrtia, mbrac acum forma electronic. Informaia pe
suport de hrtie mai este nc rezervat documentelor oficiale, acolo unde este necesar
o semntur sau o stampil. Adoptarea semnturii electronice deschide ns perspectiva
digitizrii complete a documentelor, cel puin din punct de vedere funcional.
Acest nou mod de lucru, n care calculatorul a devenit un instrument
indispensabil i un mijloc de comunicare prin tehnologii precum pota electronic sau
Internetul, atrage dup sine riscuri specifice. O gestiune corespunztoare a
documentelor n format electronic face necesar implementarea unor msuri specifice.
Msurile ar trebui s asigure protecia informaiilor mpotriva pierderii, distrugerii sau
divulgrii neautorizate. Cel mai sensibil aspect este acela de a asigura securitatea
informaiei gestionat de sistemele informatice n noul context tehnologic.
Securitatea informaiei este un concept mai larg care se refer la asigurarea
integritii, confidenialitii i disponibilitii informaiei. Dinamica tehnologiei
informaiei induce noi riscuri pentru care organizaiile trebuie s implementeze noi
msuri de control. De exemplu, popularizarea unitilor de inscripionat CD-uri sau a
memoriilor portabile de capacitate mare, induce riscuri de copiere neautorizat sau furt
de date.
Lucrul n reea i conectarea la Internet induc i ele riscuri suplimentare, de
acces neautorizat la date sau chiar frauda.
Dezvoltarea tehnologic a fost acompaniat i de soluii de securitate,
productorii de echipamente i aplicaii incluznd metode tehnice de protecie din ce n
ce mai performante. Totui, n timp ce n domeniul tehnologiilor informaionale
schimbarea este exponenial, componenta uman rmne neschimbat. Asigurarea
securitii informaiilor nu se poate realiza exclusiv prin msuri tehnice, fiind n
principal o problem uman.
Majoritatea incidentelor de securitate sunt generate de o gestiune i organizare
necorespunztoare, i mai puin din cauza unei deficiene a mecanismelor de securitate.
Este important ca organizaiile s contientizeze riscurile asociate cu utilizarea
tehnologiei i gestionarea informaiilor i s abordeze pozitiv acest subiect printr-o
contientizare n rndul angajailor a importanei securitii informaiilor, nelegerea
tipologiei ameninrilor, riscurilor i vulnerabilitilor specifice mediilor informatizate
i aplicarea practicilor de control.
Organizaia Internaionala pentru Standardizare (ISO) mpreuna cu Comisia
Internaional Electrotehnic (IEC) alctuiesc un forum specializat pentru
standardizare. Organismele naionale care sunt membre ale ISO i IEC particip la
dezvoltarea standardelor internaionale prin intermediul comitetelor tehnice. Statele
Unite ale Americii, prin Institutul Naional de Standardizare, ocup poziia de Secretar,
24 de ri au statut de Participani (Brazilia, Frana, Regatul Unit al Marii Britanii,
Coreea, Cehia, Germania, Danemarca, Belgia, Portugalia, Japonia, Olanda, Irlanda,
Norvegia, Africa de Sud, Australia, Canada, Finlanda, Suedia, Slovenia, Elveia, Noua
Zeeland i Italia) i alte 40 de ri au statut de Observatori.
5
Securitatea sistemelor informatice
Prin activitatea susinuta de Ministerul Comunicaiilor i Tehnologiei

Informaiei (MCTI) de adoptare la nivel naional a standardelor europene i
internaionale recunoscute, standardul ISO/IEC 17799 - Tehnologia Informaiei Cod
de bun practic pentru managementul securitii informaiei a fost adoptat i n
Romnia de ctre Asociaia de Standardizare din Romnia (ASRO), din toamna anului
2004. Standardul este recunoscut n rezoluiile Consiliului Europei, implementarea
acestuia la nivelul organizaiilor fiind opional.
1.2. Definirea noiunii de securitatea Informaiilor

Ca i aciunile prin care o organizaie i apr angajaii i bunurile, securitatea
informaiilor este folosit n primul rnd pentru a oferi asigurri c drepturile care
deriv din proprietatea intelectual sunt protejate n mod corespunztor.
Obiectivul principal al unui program pentru protecia informaiilor l
reprezint asigurarea ncrederii partenerilor de afaceri, avantajul competitiv,
conformitatea cu cerinele legale i maximizarea investiiilor.
Indiferent de forma pe care o mbrac, mijloacele prin care este memorat,
transmis sau distribuit, informaia trebuie protejat.
ISO/IEC 17799 trateaz securitatea informaiilor prin prisma a trei elemente
principale:
Confidenialitatea informaiile sunt accesibile doar persoanelor autorizate;
Integritatea asigurarea acurateei i completitudinii metodelor prin care se
realizeaz prelucrarea informaiilor;
Disponibilitatea utilizatorii autorizai au acces la informaii i la activele
asociate n momente oportune.
Pentru a putea realiza un program de securitate eficient este nevoie de politici,
proceduri, practici, standarde, descrieri ale sarcinilor i responsabilitilor de serviciu,
precum i de o arhitectur general a securitii.
Aceste controale trebuie implementate pentru a se atinge obiectivele specifice
ale securitii i pe cele generale ale organizaiei.
Dependena din ce n ce mai mare de sistemele informaionale conduce la
creterea tipologiei vulnerabilitilor crora organizaiile trebuie s le fac fa. Mai
mult, problema protecie trebuie s aib n vedere de multe ori interconectarea reelelor
private cu serviciile publice. Dac la acest aspect mai adugam i problema partajrii
informaiilor se contureaz un tablou destul de complicat n care implementarea unor
controale eficiente devine o sarcin dificil pentru specialistul IT&C.
Multe din sistemele existente pe pia au fost proiectate dup metodologia
structurat dar nu au avut ca principal obiectiv i asigurarea unui anumit grad de
securitate pentru c la momentul respectiv tehnologia nu era att de dezvoltat i nici
att de accesibil neiniiailor. Odat ns cu proliferarea Internetului ca i mijloc
important al comunicrii moderne nevoia unor mecanisme de securitate proactiv a
devenit o certitudine. n practic remarcm c multe instituii apeleaz la soluii tehnice
externe care s le rezolve problemele de securitate fr a cuta s-i identifice nevoile i
cerinele specifice.
Identificarea controalelor interne care s asigure un grad corespunztor de
securitate activelor informaionale ale unei instituii presupune o planificare riguroas i
identificarea exact a obiectivelor respectivei instituii. Pentru a fi ns eficiente aceste
6
Cap 1 - Noiuni privind securitatea informaiilor
controale trebuie s aib n vedere pe toi angajaii i nu doar pe cei din compartimentul
IT sau care au legtur direct cu acest domeniu.
Securitatea informaiilor nu este doar o problem tehnic. Ea este n primul rnd
o problem managerial.
Standardul de securitate ISO/IEC 17799 rspunde nevoilor organizaiilor de
orice tip, publice sau private, printr-o serie de practici de gestiune a securitii
informaiilor.
Standardul poate fi folosit n funcie de gradul de expunere a fiecrei organizaii
n parte, pentru a contientiza la nivelul conducerii aspectele legate de securitatea
informaiei, sau pentru a crea o cultur organizaional n ceea ce privete securitatea
informaiilor, sau pentru a obine certificarea sistemului de securitate.
Gradul de expunere a sistemelor informaionale variaz cu industria n care
activeaz fiecare organizaie. Cu ct acest risc este mai mare, atenia care trebuie
acordat securitii datelor ar trebui s fie mai mare.
Instituiile financiare, industria aprrii, aerospaial, industria tehnologiei
informaiei, industria electronic sunt sectoarele cu cel mai mare grad de risc n ceea ce
privete securitatea informaiilor. Tot n aceast categorie de risc ridicat intr i
instituiile guvernamentale, motiv pentru care adoptarea unei culturi organizaionale pe
baza standardului ISO/IEC 17799 are un rol fundamental.
Stabilirea cerinelor
Este important ca fiecare organizaie s poat s-i identifice propriile cerine de
securitate. Pentru aceasta ea trebuie sa fac apel la trei surse principale:
analiza riscurilor;
legislaia existent;
standardele i procedurile interne.
Folosind o metodologie corespunztoare pentru a analiza riscurile organizaia i
poate identifica propriile cerine legate de securitate. Un astfel de proces presupune n
general patru etape principale:
identificare activelor care trebuie protejate;
identificarea riscurilor/ameninrilor specifice fiecrui activ;
ierarhizarea riscurilor;
identificarea controalelor prin care vor fi eliminate/diminuate riscurile
Nu trebuie ns trecute cu vederea nici aspectele financiare.
Fiind un obiectiv comun, dictat de cerinele de afacere, pentru c pn la urm
orice activitate derulat de o organizaie are o raiune economica, n implementarea unei
arhitecturi de securitate trebuie puse n balan costurile i beneficiile.
Un mecanism de control nu trebuie s coste organizaia mai mult dect
bunul ce trebuie protejat.
Stabilirea cerinelor de securitate, a msurilor necesare pentru a asigura nivelul
de control dorit, are o component deseori subiectiv, fiind dificil de cuantificat n
temeni monetari pierderea suferit n cazul unui incident de securitate. Aspectele
intangibile precum alterarea imaginii organizaiei pe pia, credibilitatea n faa
clienilor sau efectele indirecte ale unui incident de securitate major, sunt cel mai greu
de apreciat. Aceasta este raiunea i pentru care adoptarea unor standarde i practici
general acceptate, susinute de evaluri periodice independente este de recomandat.
7
Acest proces nu este unul static, altfel spus trebuie avute n permanenta n
vedere schimbrile care intervin n viata organizaiei pentru a fi reflectate corespunztor
n planul de securitate. Dac spre exemplu apare o modificare legislativ cu impact
asupra instituiei, trebuie avut n vedere din nou modelul folosit pentru evaluarea
riscurilor pentru a vedea dac acesta reflect riscurile aprute ca urmare a acestei
modificri.
n acest sens, ISO/IEC 17799 propune o serie de obiective de securitate i
controale din rndul crora profesionitii le pot selecta pe acelea care corespund afacerii
n care funcioneaz. Pe de alt parte acest standard nu trebuie considerat un panaceu al
securitii informaiilor att timp ct el ofer doar recomandri celor care rspund de
implementarea i managementul unui sistem de securitate n cadrul unei organizaii.
De unde se ncepe
Controalele interne pot fi considerate principiile care stau la baza implementrii
unui sistem de management al securitii. Chiar dac sursele unor astfel de msuri pot fi
destul de variate, punctul de plecare ntr-un astfel de demers l reprezint legislaia
aplicabil. Este foarte important ca cel care se ocup de implementarea unui sistem de
management al securitii s aib cunotine despre actualele cerine legislative:
Legea nr. 161 din 19 aprilie 2003 privind unele masuri pentru asigurarea
transparentei n exercitarea demnitarilor publice, a funciilor publice si n
mediul de afaceri, prevenirea si sancionarea corupiei.
Legea nr. 506 din 17 noiembrie 2004 privind prelucrarea datelor cu caracter
personal si protecia vieii private n sectorul comunicaiilor electronice.
Legea nr. 677 din 21 noiembrie 2001 pentru protecia persoanelor cu privire
la prelucrarea datelor cu caracter personal si libera circulaie a acestor date.
Legea nr. 455 din 18 iulie 2001 privind semntura electronica.
Legea nr. 544 din 12 octombrie 2001 privind liberul acces la informaiile de
interes public.
Hotrrea nr. 1259 din 13 decembrie 2001 privind aprobarea Normelor
tehnice si metodologice pentru aplicarea Legii nr. 455-2001 privind
semntura electronica.
Ordinul Avocatului Poporului nr. 52 din 18 aprilie 2002 privind aprobarea
Cerinelor minime de securitate a prelucrrilor de date cu caracter personal.
Ordinul Avocatului Poporului nr. 53 din 18 aprilie 2002 privind aprobarea
formularelor tipizate ale notificrilor prevzute de Legea nr. 677/2001 pentru
protecia persoanelor cu privire la prelucrarea datelor cu caracter personal si
libera circulaie a acestor date.
Ordinul Avocatului Poporului nr. 54 din 18 aprilie 2002 privind stabilirea
unor situaii n care nu este necesara notificarea prelucrrii unor date cu
caracter personal care cad sub incidenta Legii nr. 677/2001 pentru protecia
persoanelor cu privire la prelucrarea datelor cu caracter personal si libera
circulaie a acestor date.
Hotrrea nr. 781 din 25 iulie 2002 privind protecia informaiilor secrete de
serviciu.
Legea nr. 182 din 12 aprilie 2002 privind protecia informaiilor clasificate.
Pe lng legislaia intern trebuie avute n vedere i Conveniile internaionale i

Reglementrile comunitare semnate de Romnia sau n care Romnia este parte.
Selectarea controalelor trebuie s in cont de specificul organizaiei. Nu toate
recomandrile pot fi aplicate, cum nu toate sunt justificate din punct de vedere al
costurilor. Eficacitatea sistemului de securitate depinde de:
stabilirea unor obiective de securitate care s reflecte cerinele organizaiei;
sprijinului conducerii;
existena abilitilor necesare realizrii analizei riscurilor, a vulnerabilitilor
i a analizei de impact;
instruirea angajailor;
monitorizata controalelor implementate.
ISO/IEC 17799 a fost dezvoltat ca punct de plecare n dezvoltarea unui sistem de

management al securitii specific fiecrei instituii n parte. De aici rezult caracterul
su general, controalele prezentate n standard putnd fi luate ca exemple pentru situaii
specifice fiecrei instituii n parte.
Primele dou seciuni ale standardului prezint Scopul respectiv Termeni i
Definiii. Scopul standardului ISO/IEC 17799 stabilete rolul acestui document ca fiind
un ghid pentru domeniul securitii informaionale.
Prin prezentarea Termenilor i Definiiilor din seciunea a doua, standardul
asigur un limbaj comun pentru profesionitii domeniului. Urmtoarele seciuni prezint
obiectivele de control i msurile prin care se pot atinge aceste obiective.
1.3. Seciunile standardului de securitate ISO / IEC 17799.

1.3.1. Politica de securitate
Obiectivul politicii de securitate este s ofere managementului instituiei
sprijinul necesar asigurrii securitii informaiilor din cadrul organizaiei.
Conducerea oricrei instituii trebuie s ofere suportul necesar prin elaborarea
unui document intitulat Politica de Securitate, document care trebuie adus la cunotin
tuturor angajailor.
Fr un astfel de document exist riscul ca rolurile i responsabilitile relative la
asigurarea securitii informaionale s fie greit nelese. Nedezvoltarea unui astfel de
document i neaducerea la cunotina angajailor a politicii de securitate a companiei
induce de cele mai multe ori o stare de superficialitate n tratarea acestor aspecte.
Existenta unei viziuni clare a conducerii i o comunicare efectiv a acesteia ctre
angajai este fundamental pentru asigurarea eficienei oricror proceduri i msuri de
securitate specifice.
1.3.2. Organizarea securitii
Organizarea securitii are ca obiectiv asigurarea unei administrri unitare n
cadrul organizaiei.
Fiecare utilizator al sistemului informaional este responsabil cu asigurarea
securitii datelor pe care le manipuleaz. Existena unei structuri organizatorice unitare
9
care s iniieze i s controleze implementarea mecanismelor de securitate n cadrul

organizaiei, presupune un punct central de coordonare responsabil cu securitatea.
Rolul i atribuiile persoanei care ocup poziia de responsabil cu securitatea
informaiilor se refer la coordonarea i urmrirea respectrii procedurilor i politicilor
de securitate.
Organizarea securitii nu se limiteaz doar la personalul intern, trebuie avute n
vedere i riscurile induse de teri sau subcontractori care au acces la sistemul
informaional. Acest risc nu este deloc de neglijat, ultimele tendine ale pieei globale ne
arat o reconsiderare a poziiei companiilor fa de externalizarea funciilor IT, tocmai
datorit riscului mare indus de subcontractarea acestora.
Obiectivul organizrii securitii, aa cum este documentat n standard este i
meninerea securitii tuturor facilitilor IT i activelor informaionale accesate de ctre
tere persoane, fiind recomandat stabilirea unui proces prin care accesul terilor s fie
controlat.
1.3.3. Clasificarea i controlul activelor
Msurile de protecie sunt proiectate n funcie de gradul de senzitivitate, i de
semnificaia economic a resurselor vizate. Perimetrele n care sunt amplasate
echipamentele de procesare, vor fi protejate cu bariere de acces suplimentare. La fel i
telecomunicaiile cu un nivel ridicat de confidenialitate ar trebui criptate. Pentru a avea
totui o abordare coerent asupra msurilor specifice de protecie, n funcie de gradul
de senzitivitate al fiecrei resurse n parte se practic o clasificare a informaiilor.
Clasificarea informaiilor este necesar att pentru a permite alocarea resurselor
necesare protejrii acestora, ct i pentru a determina pierderile poteniale care pot s
apar ca urmare a modificrilor, pierderii/distrugerii sau divulgrii acestora.
Obiectivul clasificrii este crearea premizelor necesare asigurrii unei protecii
corespunztoare valorii activelor instituiei. Toate activele organizaiei trebuie s aib
asociat un proprietar. Politica de securitate trebuie s identifice angajaii cu rol de
proprietar, custode, client, utilizator.
1.3.4. Securitatea personalului
Cele mai multe incidente de securitate sunt generate de personal din interiorul
organizaiei, prin aciuni ru intenionate sau chiar erori sau neglijen n utilizarea
resurselor informaionale.
Standardul ISO/IEC 17799 trateaz riscurile de natur uman ce pot fi induse
din interiorul organizaiei prin msuri specifice precum includerea responsabilitilor
legate de securitatea informaiilor n descrierea i sarcinile de serviciu ale postului,
implementarea unor politici de verificare a angajailor, ncheierea unor acorduri de
confidenialitate i prin clauze specifice n contractele de munc.
Securitatea informaiilor este un aspect ce trebuie avut n vedere nc din etapa
de selecie a angajailor. Angajaii trebuie monitorizai pe ntreaga perioad de
valabilitate a contractului de munc i trebuie s aib cunotin de prevederile
politicilor de securitate. Clauzele de confidenialitate, definirea conflictelor de interese,
distribuirea i divulgarea informaiilor trebuie avute n vedere pentru fiecare post n
parte.
Pentru a evita neglijena sau greelile de operare, utilizatorii ar trebui informai
cu privire la ameninrile la care sunt supuse informaiile manipulate. Instruirea ar
10
trebui s ofere cunotinele necesare asigurrii securitii acestora n timpul programului

normal de lucru.
Utilizatorii trebuie instruii cu privire la procedurile de securitate ce trebuie
urmate i utilizarea facilitilor IT n conformitate cu politica organizaiei.
Ar trebui s existe un program coerent de instruire a angajailor pe diverse
niveluri de interes, pe lng o instruire general n gestiunea securitii fiind necesare i
specializri pentru administratorii sistemului informatic n tehnologii de securitate
specifice.
Chiar dac securitatea unei anumite zone IT, cum ar fi securitatea reelei revine
unei entiti externe, este o practic bun ca i n interiorul organizaiei s existe
competenele i abilitatea de a evalua cum sunt satisfcute cerinele de securitate.
Instruirea este necesar i pentru a crea abilitatea de reacie la apariia unor
incidente de securitate.
Raportarea incidentelor de securitate are ca obiectiv minimizarea efectelor
negative sau a incorectei funcionri a echipamentelor. Monitorizarea unor astfel de
incidente permite determinarea performantei sistemelor de securitate i mbuntirea
continu.
Politicile i procedurile de securitate trebuie implementate astfel nct s asigure
un rspuns consistent la astfel de incidente.
1.3.5. Securitatea fizic
Delimitarea zonelor securizate are ca obiectiv prevenirea accesului neautorizat
sau afectarea facilitilor oferite de sistemul informaional.
Aceasta seciune vizeaz mecanismele prin care se asigur securitatea fizic a
imobilului n care organizaia i desfoar activitatea.
Alt aspect important al securitii fizice este cel legat de protecia
echipamentelor, prin prevenirea pierderii, distrugerii sau compromiterii funcionrii
echipamentelor care pot afecta funcionarea organizaiei.
Echipamentele de calcul trebuie s fie protejate fizic mpotriva ameninrilor
voite sau accidentale. n acest sens trebuie dezvoltate standarde i proceduri pentru
securizarea att a serverelor, ct i a staiilor de lucru ale utilizatorilor.
Msurile de control al accesului, implementate la nivelul aplicaiei, bazelor de
date sau reelei pot deveni inutile dac exist i o protecie fizic corespunztoare.
1.3.6. Managementul comunicaiilor i al operrii
Operarea calculatoarelor trebuie s asigure funcionarea fr riscuri i n bune
condiii a resurselor organizaiei. Aceast funcie vizeaz att echipamentele i
aplicaiile software, ct i celelalte elemente necesare procesrii informaiei i susinerii
funciilor de afacere.
Practicile de control recomandate pentru asigurarea operrii de o manier
corect i sigur, constau n documentarea procedurilor de operare, controlul
modificrilor aduse sistemului informatic, att la nivel hardware ct i software,
formalizarea tratrii incidentelor de securitate i separarea responsabilitilor.
Dinamica mediului informaional dat de schimbrile tehnologice continue ct i
de apariia de noi cerine din partea afacerii supune sistemul informatic la noi dezvoltri.
Dezvoltarea i testarea modificrilor aduse sistemului existent pot cauza probleme
serioase operrii curente. Pentru a controla aceste riscuri sunt recomandate separri
11
clare ale responsabilitilor ntre dezvoltare, testare i exploatare susinute i de o

separare a mediilor folosite pentru aceste activiti.
Accesul programatorilor pe mediul de producie nu ar trebui permis, iar dac
anumite situaii excepionale o cer, atunci ar trebui controlat ndeaproape.
Planificarea capacitii sistemului este un alt obiectiv al operrii calculatoarelor
care are ca obiectiv minimizarea riscurilor ntreruperii sistemului ca urmare a atingerii
capacitii maxime de procesare.
Asigurarea unei capaciti corespunztoare de procesare implic o planificare
riguroas a activitilor sprijinite de sistemul informaional.
Trebuie dezvoltate proceduri i mecanisme de raportare care s identifice
utilizarea necorespunztoare a resurselor precum i perioadele de utilizare.
Protecia mpotriva software-ului maliios este un aspect important ntruct cea
mai mare ameninare a activelor informatice este dat de pierderea sau indisponibilitatea
datelor ca urmare a infestrii cu virui informatici. n toate sondajele, viruii se afl
printre primele locuri ca surs a incidentelor de securitate. Milioane de virui
informatici sunt raportai anual. Protecia mpotriva viruilor nu o asigur doar
administratorul sistemului, ci i utilizatorul.
Asigurarea integritii datelor i a aplicaiilor software necesit msuri de
protecie prin care s se previn i s se detecteze introducerea unor aplicaii ilegale n
sistemul organizaiei.
Aplicaiile tip antivirus trebuie instalate pe toate calculatoarele din sistem iar
utilizatorii trebuie instruii cu privire la folosirea acestora.
Alte aspecte ce fac obiectul managementului operrii i comunicaiilor vizeaz:
ntreinerea sistemului, incluznd realizarea copiilor de siguran, ntreinerea
jurnalelor de operare, meninerea nregistrrilor cu erori de operare i
execuie.
managementul reelei, necesar asigurrii reelelor de calculatoare.
manipularea i securitatea mediilor de stocare, pentru a preveni ntreruperea
activitilor afacerii.
schimbul de aplicaii i date ntre organizaii, pentru a preveni pierderea,
alterarea sau utilizarea improprie a informaiei.
ntreinerea sistemului are ca obiectiv meninerea disponibilitii i integritii
serviciilor IT.
Trebuie dezvoltate proceduri specifice care s descrie aciunile prin care se
realizeaz ntreinerea serviciilor i echipamentelor IT. ntreinerea sistemului trebuie s
fie un proces continuu care s includ obligatoriu instalarea coreciilor de securitate a
aplicaiilor, sistemelor de operare i sistemelor de gestiune a bazelor de date, realizarea
copiilor de siguran, jurnalizarea activitilor realizate n i de ctre sistem.
Managementul reelei are ca obiectiv asigurarea proteciei datelor transmise prin
reea i a infrastructurii fizice a reelei.
Pentru protecia reelei sunt disponibile tehnologii specializate ce pot fi folosite
n implementarea msurilor de securitate i atingerea obiectivelor de control:
filtru set de reguli implementate la nivelul unui router sau firewall prin care
acesta permite tranzitarea sau nu a traficului ctre i dinspre reeaua unei
companii;
firewall dispozitiv prin care este controlat traficul dintre reeaua companiei
i reelele externe acesteia;
12
Sistem pentru Detectarea Intruziunilor (IDS Intrusion Detection System),

dispozitiv (hardware sau software) dedicat inspectrii traficului unei reele cu
scopul identificrii automate a activitilor ilicite;
criptare comunicaii procesul prin care datele sunt aduse ntr-o form
neinteligibil persoanelor neautorizate;
Reea Virtual Privat (VPN Virtual Private Network) - o reea care
permite comunicarea ntre dou dispozitive prin intermediul unei
infrastructuri publice (nesigure)
zona demilitarizat (DMZ) este o parte a reelei care permite accesul
controlat din reeaua Internet. Mainile dependente de accesul direct la
reeaua Internet, cum ar fi serverele de email i cele de web sunt adesea
plasate n astfel de zone, izolate de reeaua intern a organizaiei.
Msurile tehnice singure nu pot asigura nivelul de protecie necesar, fr un

management corespunztor. Standardul ISO/IEC 17799 prezint controalele necesare
gestiunii corespunztoare a securitii comunicaiilor.
Prevenirea distrugerii mediilor de stocare al crei efect s-ar concretiza n
ntreruperea serviciilor sistemului informatic s-ar putea asigura prin controlarea i
protejarea mediilor de stocare. Trebuie dezvoltate proceduri prin care este controlat
accesul la orice mediu de stocare i la documentaia sistemului.
1.3.7. Controlul accesului
Confidenialitatea vizeaz protejarea informaiilor mpotriva oricrui acces
neautorizat. Uneori este interpretat n mod greit ca aceast cerin este specific
domeniului militar i serviciilor de informaii care trebuie s-i protejeze planurile de
lupt, amplasamentul depozitelor de muniie sau al rachetelor strategice, notele
informative. Este ns la fel de important pentru o organizaie care dorete s-i apere
proprietatea intelectual, reetele de producie, datele despre personalul angajat, etc.
Pentru o instituie public, datorit caracterului informaiei pe care o gestioneaz este
important s asigure n primul rnd integritatea i disponibilitatea datelor.
Controlul accesului ncepe cu stabilirea cerinelor de acordare a drepturilor de
utilizare a informaiilor.
Accesul la facilitile i serviciile oferite de sistemul informaional trebuie
controlat n funcie de specificul i cerinele mediului n care i desfoar activitatea
organizaia.
Pentru a rspunde acestor cerine sunt n general definite o serie de reguli de
acces corelate cu atribuiile fiecrui utilizator al sistemului informatic.
Meninerea acestor reguli n linie cu cerinele organizaiei implic un proces de
gestiune a accesului utilizatorilor sistemului. Obiectivul acestui proces este s previn
utilizarea neautorizat a calculatoarelor.
Trebuie s existe proceduri formale prin care s se controleze alocarea
drepturilor de acces la serviciile i resursele IT.
Utilizatorii autorizai trebuie instruii cu privire la maniera n care trebuie
raportate activitile sau aciunile considerate suspecte.
Fiecare component a sistemului informaional trebuie s fac obiectul msurilor
de control al accesului, datele trebuie protejate indiferent de forma sau starea care le
caracterizeaz, fie c este vorba de aplicaii software, sisteme de operare, baze de date
sau reele de comunicaii. Tehnologiile mai vechi de gestiune a bazelor de date precum
13
Fox Pro, de exemplu, nu pot asigura o protecie a informaiilor la nivelul bazei de date,
acestea fiind stocate n fiiere necriptate, accesibile oricrui utilizator, indiferent de
drepturile de acces care i-au fost atribuite la nivelul aplicaiei. Sistemele de operare
precum DOS sau Windows 95/98 nu au mecanisme de control al accesului, nefiind
posibil restricionarea drepturilor de utilizare a datelor la acest nivel. Standardul
prevede ns msuri de control pentru fiecare nivel al sistemului informaional:
controlul accesului la serviciile reelei - conexiunile la serviciile reelei
trebuie controlate iar pentru obinerea accesului la astfel de servicii este
recomandat implementarea unei proceduri formale.
controlul accesului la nivelul sistemului de operare sistemul de operare
trebuie s prevad msuri de restricionare a accesului la date existente pe
calculatore.
controlul accesului la aplicaii - prevenirea accesului neautorizat la
informaiile gestionate de aplicaiile software.
Orict de elaborate ar fi msurile de control al accesului exist totdeauna
posibilitatea unei intruziuni, sau utilizarea inadecvat a resurselor existente.
Pentru a detecta potenialele activiti neautorizate este necesar monitorizarea
accesului i utilizrii sistemului informatic.
Monitorizarea are un caracter continuu i implic pstrarea i revizuirea
periodic a nregistrrilor cu evenimentele de sistem, i a activitii utilizatorilor.
1.3.8. Dezvoltarea i ntreinerea sistemului
Aproape mereu, atunci cnd e vorba de dezvoltarea i implementarea unui
sistem informatic, cerinele de securitate sunt neglijate. Eforturile sunt ndreptate mai
mult spre aspectele funcionale i mai puin pe controlul riscurilor de integritate i
confidenialitate a informaiilor. Organizaiile se expun la riscuri majore de operare ce
pot rezulta n pierderi financiare semnificative prin neglijarea unor msuri minimale de
control al procesului de dezvoltare i implementare. Testarea aplicaiilor nu este
formalizat, ceea ce nu garanteaz calitatea dezvoltrilor, programatorilor li se permite
accesul la mediul de producie pentru corectarea unor erori nedetectate n procesul de
testare, inducnd riscuri de integritate i disponibilitate a datelor.
Aspectele de securitate nu trebuie neglijate n partea de dezvoltare i
implementare, dei acestea s-ar putea s deranjeze i s nu aduc aparent nici un
beneficiu. Fr a ine cont de recomandrile de control ale acestui proces, organizaia
risc s investeasc ntr-o aplicaie sau echipament care s nu-i ofere nici o garanie
asupra informaiilor gestionate.
Obiectivele de control prevzute n aceast seciune a standardului sunt menite
s asigure c noile sisteme dezvoltate au prevzute mecanisme de securitate, prin:
dezvoltarea cerinelor i analiza specificaiilor de securitate;
validarea datelor de intrare
controlul procesrii interne
autentificarea mesajelor transmise electronic
validarea datelor de ieire
utilizarea tehnicilor de criptare
utilizarea mecanismelor de semnare electronic
14
protejarea codului aplicaiilor i a fiierelor sistemului de operare
De asemenea, este necesar i asigurarea securitii mediilor de dezvoltare i a

serviciilor suport. Mediile n care se dezvolt aplicaii sau proiecte noi trebuie strict
controlate. Mediul de testare trebuie separat de mediul de producie, datelor de test
asigurndu-li-se protecia corespunztoare.
1.3.9. Planificarea continuitii afacerii
Un plan de continuitate a afacerii reprezint o serie de msuri de reacie n caz
de urgen, de operare alternativ i de restaurare a situaiei n caz de dezastru pentru a
asigura disponibilitatea resurselor critice i pentru a permite continuarea activitii n
cazul unor incidente majore. Majoritatea companiilor nu au un astfel de plan de
continuitate, de cele mai multe ori aceste aspecte sunt neglijate sau sunt limitate la
achiziionarea unor echipamente de rezerv sau tolerante la defecte.
Scopul unui plan de continuitate este de a asista organizaiile n a continua s
funcioneze atunci cnd activitatea normal este ntrerupt. Este mult mai bine ca acest
lucru s fie planificat n avans, printr-o atitudine proactiv.
Planurile pentru continuitatea afacerii trebuie s asigure disponibilitatea
proceselor considerate critice pentru funcionarea organizaiei n cazul apariiei unor
dezastre sau ntreruperi de funcionare.
Asigurarea continuitii afacerii presupune parcurgerea etapelor de documentare,
testare i implementare a planului de continuitate a afacerii.
Implementarea presupune instruirea personalului i dezvoltarea unor procese
speciale de gestiune a situaiei de criz, precum i de actualizare periodic.
1.3.10. Conformitatea
Proiectarea, operarea sau gestiunea sistemelor informaionale pot face obiectul
unor reglementari, legi sau angajamente contractuale n ceea ce privete securitatea.
Pentru a evita nclcarea dispoziiilor statutare sau legale, standardul prevede o
serie de msuri precum:
identificarea legislaiei aplicabile
utilizarea adecvat a licenelor software sau a materialelor protejate de
drepturi de autor
protejarea nregistrrilor organizaiei (nregistrri contabile, chei de criptare,
jurnale de activitate, medii de stocare, proceduri de lucru)
Pentru a asigura conformitatea cu politicile i standardele de securitate ale
organizaiei, securitatea sistemului informaional trebuie revizuit periodic pentru a
reflecta schimbrile tehnologice sau organizatorice.
15
2. Clasificarea informaiilor
2.1. Noiuni introductive privind clasificarea modern a
informaiilor
Clasificarea nseamn etichetri cresctoare ale documentelor sau informaiilor,
de la cel mai de jos nivel, unde se situeaz informaiile deschise su neclasificate, la cele
confideniale, urcnd spre informaii secrete i strict secrete.
n clasificarea informaiilor s-a plecat de la ideea c informaiile care prin
compromitere pot costa viei umane sunt marcate drept secret, n timp ce informaiile a
cror compromitere cost pierderea multor viei umane sunt definite strict secrete.
Personalul din domeniu securitii sistemelor sunt investii cu drepturi diverse,
de a lucra cu anumite categorii de informaii. Pe lini accesului la unele categorii de
informaii, pentru exercitarea controlului lucrurile sunt destul de clare: un angajat poate
citi documentele dintr-o anumit categorie numai dac el are cel puin dreptul de
accesare a informaiilor din acea categorie sau din una superioar. Regula este c
informaiile pot circula doar n sus, de la confidenial la secret i strict secret, n timp ce
n sens invers, de sus n jos, pot circula doar dac o persoan autorizat ia decizia de
declasificare a acestora.
Se utilizeaz dou strategii de baz privind securitatea naional, i anume:
tot ceea ce nu este interzis este permis;
tot ceea ce nu este permis este interzis.
Se apeleaz la dou tactici de implementare a strategiei fundamentale privind
protejarea informaiilor deosebite:
controlul discreionar al accesului;
controlul legal al accesului.
Prima tactic de control al accesului implementeaz principiul celui mai mic
privilegiu: nici o persoan, n virtutea rangului sau poziiei ce o deine, nu are drepturi
nelimitate de a vedea informaiile deosebite, iar persoanele care au o astfel de facilitate
trebuie s le vad numai pe cele care intr n sfera lor de activitate.
Controlul discreionar al accesului este aplicat printr-o matrice de control,
conform modelului prezentat n figura 2.1. Pentru fiecare persoan aflat pe list i
pentru fiecare informaie, matricea arat ceea ce poate face fiecare subiect cu obiectele
din list: citire, scriere, execuie, aprobare etc.
Subiect
Subiect 1
Subiect 2
Subiect 3
Subiect 4
Subiect 5
Obiect 1
Obiect 2
Obiect 3
Execut
Citete
Citete
Citete
Citete/Scrie Aprob
Citete/Scrie
Aprob
Citete/Scrie
Aprob
Execut
Execut
Execut
Citete
Aprob
Fig. 2.1: Matricea de control al accesului.
16
Cap 2 Clasificarea informaiilor
Controlul legal al accesului i exercit fora pe baza legilor existente (legea

securitii naionale), prin care sunt stabilite dou tipuri de structuri de control:
ierarhizate i neierarhizate.
Structura ierarhizat ncadreaz informaiile senzitive n patru categorii: strict
secrete, secrete, confideniale i neclasificate;
n structura neierarhizat, sunt dou categorii: compartimentate i cu obiecii sau
ascunse vederii unor categorii de persoane. Compartimentrile pot avea nume scurte,
sugestive, care s scoat n relief anumite aspecte. Categoria cu obiecii privete n
special naionalitatea potenialilor cititori i autori ai obiectelor.
Informaiile strict secrete, care sunt ntr-o anumit msur compartimentare, se
numesc informaii senzitive compartimentate i presupun o atenie deosebit la
ntrebuinare. Doar o categorie de informaii este superioar acesteia din urm, i anume
despre informaiile din planul operativ integrat unic sau rspunsul naional n caz de
rzboi.
2.2. Clasificarea informaiilor

Guvernele pleac de la o clasificare mai larg a informaiilor, i anume:
informaii subiective i informaii obiective (fa de mprirea n clasificate i
neclasificate).
2.2.1. Informaiile subiective
Informaiile subiective au mai fost caracterizate i ca "secrete adevrate" sau
informaii operaionale. Aceste informaii sunt unice pentru guvern, n sensul c el
decide asupra modului n care se vor derula principalele activitii ce-i revin. Ct timp
guvernul controleaz i protejeaz informaiile pe baza crora ia decizii, acele informaii
nu pot fi dezvluite independent de ctre adversar.
Aceste informaii au urmtoarele caracteristici:
dimensiune reduc secretul poate fi exprimat doar prin cteva cuvinte; din care
cauz poate s fie uor furat i distribuit altora;
perceptibilitate universal nu este nevoie de pregtire special pentru a
nelege secretul, oricine poate s-l fure;
supuse arbitrarului pentru a intra n posesia lor un adversar le poate fura,
secretul nu poate fi descoperit independent;
coninutul poate fi schimbat secretul poate fi modificat i n ultima clip;
sunt perisabile dup scurt timp secretele au o via scurt, el poate fi inut doar
pentru o perioad scurt de timp.
2.2.2. Informaii obiective
Informaiile obiective sunt acelea care chiar dac sunt descoperite, dezvoltate
sau controlate de ctre guvern, pot fi deja cunoscute sau descoperite independent de o
alt ar. n aceast categorie intr informaiile tiinifice sau secretele tiinifice. Aceste
informaii nu pot avea un control absolut, ele in de natura lucrurilor nu de un secret.
Informaiile obiective au urmtoarele caracteristici:
sunt confuze de regul, nu se bazeaz pe o formul magic, pentru descrierea
informaiilor tiinifice sunt necesare rapoarte lungi, din aceast cauz ele nu se
pot transmite uor;
pot fi nelese numai de oamenii de tiin;
17
nu sunt supuse arbitrarului i alii pot s afle rspunsul la o anumit ntrebare

tiinific, dac formuleaz ntrebarea respectiv;
nu sunt supuse schimbrii au caracter etern; un fenomen natural are o singur
valoare;
pot avea o via lung ca secret alii pot descoperi informaiile n mod
independent, dar o astfel de descoperire necesit mult timp, ceea ce va conduce
la pstrarea secretului pentru o lung perioad de timp.
Informaiile tehnice secrete obiective

O alt categorie de informaii nu se ncadreaz perfect n categoriile cunoscute,
obiective sau subiective, ele fiind informaiile tehnice, de genul proiectelor i execuiilor
tehnice ale unor noi arme (de exemplu), diferite de caracterul tiinific al proiectrii, i
sunt cunoscute ca informaii tehnice vzute ca secrete obiective.
Caracteristicile informaiilor tehnice sunt asemntoare celor tiinifice, dar
exist unele diferene. Fa de informaiile tiinifice, informaiile tehnice nu sunt
fenomene naturale, ci nseamn o metod, un proces, o tehnic sau un echipament
angajate n crearea unui produs. Se poate afirma c informaiile tehnice sunt utilizate
pentru exploatarea informaiilor tiinifice.
Secrete comerciale
Secretele comerciale includ informaiile despre procesele de fabricaie, reetele
unor produse, precum i alte informaii obiective care pot fi descoperite independent de
ctre alii. Multe secrete comerciale sunt asemntoare informaiilor tiinifice i
tehnice.
2.2.3. Determinarea necesitii clasificrii informaiilor
n cazul procesului de clasificare a informaiilor se parcurg trei etape:
stabilirea nevoii de clasificare;
determinarea nivelului clasificrii;
determinarea duratei clasificrii.
Etapa de stabilire a nevoii de clasificare se realizeaz n cinci pai, astfel:

definirea cu exactitate a informaiilor de clasificat (opional, dar recomandat);
stabilirea dac informaiile se ncadreaz n unul din domeniile supuse
clasificrii;
verificarea dac informaiile se afl sub control guvernamental;
determinarea dac dezvluirea informaiilor poate conduce la producerea de
daune pentru securitatea naional;
specificarea precis a nevoii de clasificare a informaiilor.
Determinarea nivelurilor clasificrii

La clasificarea unei informaii, acesteia i se va atribui un nivel de clasificare,
care va evidenia importana relativ a informaiei clasificate.
Un sistem de clasificare eficient se bazeaz pentru niveluri de clasificare definite
cu mare claritate.
n legea 182/2002 privind protecia informaiilor clasificate, din Romnia,
informaiile clasificate din clasa secretelor de stat sunt ncadrate pe trei niveluri:
18
strict secrete de importan deosebit sunt informaii a cror divulgare

neautorizat este de natur s produc daune de o gravitate excepional
securitii naionale;
strict secrete - sunt informaiile a cror divulgare neautorizat este de natur s
produc daune grave securitii naionale;
secrete - sunt informaiile a cror divulgare neautorizat este de natur s
produc daune securitii naionale;
Determinarea duratei clasificrii

Guvernele clasific informaiile i aplic proceduri de securitate special
documentelor i materialelor ce le conin sau sunt purttoare ale acestor informaii
pentru a prentmpina obinerea lor de ctre adversari, cu intenia de a le folosi
mpotriva deintorului autorizat. n consecin, se folosete metoda clasificrii
informaiilor pentru a asigura pstrarea secretului.
n general, informaiile, orict ar fi de preioase, nu pot fi pstrate o perioad
nelimitat de timp fr s fie aflate de adversari.
Chiar dac informaiile pot fi pstrate ani muli fr a fi aflate de adversari, nu
este, de regul, recomandat s se pstreze perioade ndelungate. Clasificatorii
informaiilor sunt cei ce vor hotr dac este cazul s se specifice timpul de pstrare a
informaiei clasificate sau s se indice momentul n care va interveni declasificarea
automat. Durata informaiilor clasificate trebuie s fie att de scurt ct s nu genereze
costuri fr rost cu pstrarea lor. Nici duratele prea scurte nu sunt recomandate,
deoarece adversarii ar intra prea devreme n posesia lor i ar putea aciona pentru
ubrezirea ntregului sistem de securitate naional. Deci, doar clasificatorul trebuie s
aib grija stabilirii duratei de clasificare.
Durata clasificrii informaiilor se determin prin una din urmtoarele metode:
ca perioad de timp msurat de la data emiterii documentului;
n funcie de un eveniment viitor ce poate s apar naintea operaiunii de
declasificare;
dac data, respectiv evenimentul nu pot fi specificate, atunci documentul
coninnd informaii clasificate va fi marcat, pentru a se identifica instituia
aflat la originea lui, ce va avea i sarcina declasificrii.
2.3. Declasifcarea i degradarea informaiilor clasificate

Atunci cnd se realizeaz clasificarea informaiei se au n vedere anumite
cerine. Cnd, din diferite cauze, se schimb circumstanele, firesc, i cerinele
ndeplinite iniial se modific, caz n care informaiile clasificate se declasific sau trec
pe un nivel inferior de clasificare.
Declasificarea informaiilor se efectueaz de ctre reprezentani ai guvernului,
crora le revine misiunea de declasificare. Trebuie fcut diferena ntre declasificarea
informaiilor i declasificarea documentelor sau materialelor. Ultima categorie poate fi
efectuat i de ctre contractorii guvernamentali.
Degradarea informaiilor clasificate nseamn reducerea nivelului clasificrii. n
acest mod, informaiile stric secrete pot fi degradate la nivelul secret sau confidenial.
Informaiile secrete pot fi degradate n informaii confideniale, iar cele confideniale
pot fi declasificate sau, dac este cazul, ridicate pe un nivel superior.
19
Degradarea se efectueaz de ctre persoanele care au clasificat iniial

informaiile, de ctre succesorii acestora, efii lor sau s ctre ali oficiali
2.4. Principiile protejrii informaiilor speciale

Pentru protejarea informaiilor speciale se pot defini zece principii:
1. principiul delimitrii autorizrii repartizarea informaiilor pe tipuri va
consta ntr-o grupare ierarhic plus suma compartimentrilor n care se regsete
informaia. Autorizarea unei persoane presupune stabilirea sferei de exercitate a
funciei i ea const din autorizarea pe criteriul ierarhic al persoanei plus suma
autorizrilor compartimentrilor persoanelor din subordinea sa.
2. principiul securitii simple nici o persoan, dintr-o anumit subordonare, nu
trebuie s vad informaia unei categorii care depete autorizarea sa.
3. principiul stea nici o persoan nu va scrie ceva pe obiectele dintr-o categorie
inferioar celei la care persoana are acces.
4. primul principiu al integritii nici un program de calculator nu va accept
informaii de la un program inferior lui, pe linia privilegiilor;
5. al doilea principiu al integritii nici un program pentru calculator nu va
scrie ceva ntr-un program superior lui, prin prisma privilegiilor;
6. principiul etichetrii fiecare purttor de informaii va fi etichetat clar cu
categoria informaiilor coninute, n format accesibil omului i n format
sesizabil de ctre echipamentele periferice;
7. principiul clarificrii nici o persoan sau procedur nu va schimba categoriile
existente ale informaiilor i nici autorizrile existente, conform unor proceduri
n vigoare;
8. principiul inaccesibilitii nici o informaie nu va fi lsat la dispoziia altor
persoane sau procese, cu excepia celor consemnate prin norme interne;
9. principiul verificabilitii pentru toate activitile semnificative pe linia
securitii se vor crea nregistrri imposibil de ters, cu rolul facilitrii verificrii
sistemului.
10. principiul ncrederii n software ct timp nici un calculator nu poate controla
perfect respectarea principiilor anterioare, dar, totui, efectueaz activiti utile,
ncrederea n software va permite apariia unor excepii de la regul, dac este
cazul.
Exist patru moduri de funcionare prin care sistemele de prelucrare automat a
datelor pot asigura protecia informaiilor speciale:
modul dedicat toate informaiile prelucrate de sistem fac parte din aceeai
categorie, iar persoanele sistemului posed autorizaie de acces la categoria
respectiv;
modul sistem superior informaiile prelucrate de sistem pot s aparin unor
categorii diferite, dar toate persoanele angajate n aceast operaiune posed
autorizaii care s le ofere accesul la nivelul cel mai ridicat al informaiilor
prelucrate;
modul controlat un sistem poate prelucra informaii din categorii diverse i
persoanele s aib autorizaii diferite, iar sistemul se va baza pe restricii fizice,
prin care s se respecte toate principiile securitii informaiilor operaiune
destul de dificil.
20
Modul securitii stratificate sistemele prelucreaz informaii aparinnd

diverselor categorii, iar personalul, de asemenea, dispune de autorizaii diferite.
Conceptul credibilitii componentelor informatice (hardware, software i
firmware softul aflat n memoria ROM) rezolv o astfel de problem a
"turnului Babel" al securitii sistemului, asigurndu-se realizarea tuturor
principiilor enunate anterior.
2.5. Protejarea mediilor de stocare a informaiilor

Toate mediile de stocare care conin informaii obinute n urma prelucrrii
automate a datelor trebuie s fie catalogate ca documente ale prelucrrii automate a
datelor. Acestea pot fi CD-uri, DVD-uri, benzi magnetice, diskete, hardiscuri, circuite
electronice etc. Regimul lor de lucru trebuie s fie similar documentelor ce ar conine
aceleai date n condiiile prelucrrii tradiionale.
Toate materialele intermediare i informaiile obinute n timpul prelucrrii
automate a datelor trebuie s fie considerate ca materiale auxiliare. Acestea includ
materiale anulate (benzi i discuri magnetice, hrtie tiprit, benzi tuate etc.) i trebuie
s fie supuse clasificrilor n funcie de informaiile ce le conin.
tergerea informaiilor clasificate este o operaie de importan deosebit.
Persoanele care autorizeaz operaiuni de prelucrare automat a datelor trebuie
s verifice existena unei fie de securitate, care s conin categoria persoanei
executante, categoria informaiilor prelucrate i instruciuni privind statutul
informaiilor rezultate. Se vor consemna, de asemenea, date privind durata prelucrrii,
timpul de utilizare a componentelor bazei de date, generaiile reinute (fiu, tat, bunic)
astfel nct s poat fi reconstituit baza de date n caz de avarii, precum i alte cerine
pe linia pstrrii copiilor de siguran.
2.5.1. Marcarea materialelor cu regim special
Documentele aflate sub regim special trebuie s fie numerotate i nregistrate
pentru a se putea ti ce s-a folosit sau ce s-a vzut din ele.
Toate documentele obinute din prelucrarea automat a datelor (hrtia de
imprimant) trebuie s fie marcate astfel nct s fie vizibil categoria din care fac parte,
prin plasarea marcajului n colul din dreapta sus, precum i n partea inferioar a
fiecrei pagini, la care se va aduga i numrul de exemplare al fiecrui document.
n cazul prelucrrii automate a datelor, un ecran cu informaii este tratat ca o
pagin de document, i ncadrarea ntr-o categorie sau alta se va face pe o linie distinct
a acestuia.
Marcarea n cod main trebuie s se efectueze prin coduri sesizabile de
echipamente, astfel nct s rezulte foarte clar din ce categorie fac parte informaiile
prelucrate i la ce operaiuni pot fi supuse. Codul trebuie s fie una dintre primele
informaii ce vor fi date sistemului, astfel nct s nu fie posibil accesare altor date
nainte de a se ti statutul lor. Codul poate fi ultimul caracter al numelui fiierului, iar
caracterul folosit s aib valorile:
S special;
C confidenial;
P private;
R cu restricii;
N neclasificate.
21
Marcarea fizic se refer la toate suporturile supuse prelucrrii automate a

datelor. Marcajul trebuie s reziste n timp i s nu fie afectat sau s afecteze prelucrarea
automat a datelor. Marcarea se poate realiza chiar pe suport sau pe ambalajul care-l
conine. Suporturile reutilizabile trebuie s fie marcate cu etichete adezive sau creioane
ce pot fi terse ulterior.
Marcarea suporturilor de hrtie au marcajul prin culori distincte: orange
control special, roz confidenial, verde privat, galben cu restricii, albe comune.
Dac numai o parte a pachetului conine informaii protejate, tot volumul va cpta
acelai statut.
Marcarea cutiilor i a carcaselor este necesar atunci cnd suporturile de
memorare sunt pstrate n astfel de condiii, care n care se impune etichetarea clar a
acestora, precum i scrierea fiierelor coninute de suporturile din interior.
Marcarea benzilor magnetice se face cu etichete lipite chiar pe band, fr s
afecteze prelucrarea datelor.
Marcarea pachetelor de discuri se realizeaz cu carioca n mijlocul acestora.
Marcarea microfilmelor se face pe prima imagine cadru sau pe cutie, cu
carioca.
2.5.2. Pstrarea i distrugerea mediilor de pstrare a informaiilor
Mediile pe care pstreaz date supuse prelucrrii automate a datelor i cele
auxiliare se pstreaz n camere speciale.
Documentele ce conin informaii aflate sub un control special se pstreaz n
seifuri sau n locuri protejate prin sisteme speciale.
Operaiunea de distrugere trebuie s urmeze proceduri speciale. Cea mai bun
cale de distrugere este arderea, folosit, de regul, pentru gunoaie informatice adunate
n pungi speciale. La operaia de distrugere vor participa dou persoane, care vor ine un
registru special de consemnare a materialelor ce se distrug. Cenua trebuie s fie
mprtiat pentru eliminarea oricrei posibiliti de reconstituire a datelor distruse.
Transformarea n past este posibil doar pentru reziduurile din hrtie.
Frmiarea se aplic pentru hrtie, indigo, band magnetic, microfilme.
naintea acestei operaiuni, n cazul benzilor magnetice trebuie tiat ntreaga rol.
Procedurile internaionale prevd ca particulele rezultate n urma acestei operaii s nu
fie mai mari de 1/32inch (0,0125mm). Procedura de frmiare se aplic, de obicei,
naintea arderii.
n cazul mediilor magnetice refolosibile, dac acestea de refolosesc n aceeai
unitate, noul utilizator trebuie s aib cel puin aceeai autorizare pe linia accesului la
informaii ca i precedentul. Dac se utilizeaz n afara unitii emitente, vor fi luate
msuri suplimentare i nu se va declara utilizarea anterioar.
2.6. Clasificarea informaiilor organizaiilor

La nivelul unei organizaii, informaiile se ncadreaz pe mai multe categorii, n
acelai mod ca i informaiile naionale. Aceste categorii sunt:
Informaii care necesit un control special sunt acele informaii cunoscute ca
fiind strict secrete. La nivelul organizaiei acestea se numesc speciale, i sunt marcate
cu S. n aceast categorie intr informaiile i materialele a cror dezvluire ar duce la
pierderea a 10% din profitul brut anual.
22
Informaii confideniale la nivel de unitate, notate cu C, i care corespund

informaiilor secrete la nivel naional. Aceast ncadrare se atribuie informaiilor i
materialelor a cror compromitere ar duce pa pierderea unui procent din profitul anual
net.
Informaiile private, notate cu P, cuprind informaiile i materialele a cror
compromitere poate prejudicia statutul unei persoane din unitate sau al corporaiei.
Informaii de uz intern, notate cu R, nu fac parte din categoriile anterioare, dar
prezint restricii n utilizare.
Informaii publice, sau informaii neclasificate, sun notate cu N.
La nivel guvernamental, orice informaie nencadrat ntr-una din categoriile
speciale, sub incidena legii accesului liber la informaiile publice, poate fi publicat de
orice organ de pres scris, video sau audio, sub motivaia c "tot ceea ce nu este
interzis este permis".
La nivelul organizaiilor private, lucrurile stau invers, doar informaiile care sunt
specificate "pentru public" pot fi fcute publice, mergndu-se pe principiul "tot ceea ce
nu este permis este interzis".
Un tratament special l au informaiile solicitate de organismele guvernamentale
de la unitile private.
2.6.1. Criterii de clasificare a informaiilor la nivelul organizaiilor
Valoarea constituie criteriul principal de clasificare. Dac o informaie este
valoroas pentru o organizaie sau pentru concurenii ei, atunci ea trebuie s fie
clasificat.
Vrsta conduce la stabilirea unei valori difereniale. Cu ct vechimea este mai
mare, cu att informaiile pierd din valoare. De regul, n domeniul aprrii, informaiile
clasificate se declasific dup un anumit numr de ani.
Uzura moral ca i la mijloacele fixe, atunci cnd informaiile sunt nlocuite
de altele noi, sau cnd n organizaie s-au produs modificri radicale, vechea clasificare
devine perimat i va fi nlocuit cu alta.
Asocierea cu persoanele are influen n procesul de clasificare n funcie de
importana persoanelor care reglementeaz regimul datelor personale.
2.6.2. Proceduri de clasificare a informaiilor
n procesul de clasificare, trebuie urmrii anumii pai, dup o anumit ordine
de prioritate, astfel:
identificarea administratorului/custodelui;
specificarea criteriilor dup care vor fi clasificate i etichetate informaiile;
clasificarea datelor dup proprietar, care devine subiect supus auditrii
efectuate de un superior;
precizarea i documentarea oricror excepii de la politicile de securitate;
precizarea controalelor aplicate fiecrui nivel de clasificare;
specificarea procedurilor de declasificare a informaiilor sau pentru
transferarea custodiei unei alte entiti;
crearea unui program de contientizare la nivel de organizaie despre
controalele pe linia clasificrii informaiilor.
23
2.6.3. Roluri i responsabiliti n procesul de clasificare a informaiilor

Principalele roluri n procesul de clasificare le au proprietarul, utilizatorul sau
custodele datelor clasificate.
Proprietarul informaiilor poate fi administratorul sau directorul unei
organizaii. O astfel de persoan rspunde de averile informaionale ncredinate. Spre
deosebire de custode, proprietarul are responsabilitatea final a proteciei datelor i
rspunde n faa legii n cazul neachitrii de aceast obligaie. Cu toate acestea, tendina
actual este de deplasare n afara unitii, de externalizare, prin semnarea actelor de
custodie.
Printre responsabilitile unui proprietar se afl:
ntreprinde demersuri pentru stabilirea nivelului de clasificare a informaiilor,
care nseamn, de fapt, cerinele organizaiei de protejare a acestora;
efectueaz verificri periodice ale clasificrilor existente, n vederea adaptrii la
cerinele organizaiei;
deleg responsabilitatea protejrii datelor ctre un custode specializat i
autorizat.
Custodele informaiilor este cel care presteaz un serviciu externalizat
organizaiei, delegndu-i-se responsabilitile pe linia protejrii informaiilor. Acest rol
este ndeplinit de specialiti n tehnologii informaionale. Dintre obligaiile acestuia,
amintim:
efectueaz copii de siguran periodice i teste de rutin a validitii datelor;
efectueaz restaurri de dare din copiile de siguran, cnd este cazul;
ntreine datele nregistrate, n concordan cu politicile de clasificare a
informaiilor.
De multe ori, custodele are i obligaia alctuirii schemei de clasificare a
informaiilor, prelund aceste prerogative de la proprietarul lor.
Utilizatorul. Un utilizator final este considerat orice persoan, operator, angajat,
persoan din afar, care folosete informaiile. El este considerat consumator de date
care are nevoie, zilnic, s acceseze informaii pentru a-i duce la ndeplinire obligaiile
de serviciu ce i revin.
Obligaiile utilizatorilor sunt:
de a urma ntocmai procedurile de funcionare, definite prin politicile de
securitate ale organizaiei, i s respecte normele publicate privind utilizarea
informaiilor;
s acorde toat atenia meninerii informaiilor n timpul activitii prestate, dup
cum se stipuleaz n politicile de utilizare a informaiilor emise de organizaia
proprietar. Ei trebuie s asigure protejarea mpotriva accesului neautorizat la
informaiile clasificate;
s foloseasc resursele informaionale ale firmei numai n scopul urmrit de
aceasta, nu i n scop personal.
24
3. Controlul accesului n sistemele informatice

3.1. Tipuri de control al accesului n sistem
Controlul accesului n sistem este implementat pentru reducerea riscului la care
sunt supuse sistemele i pentru reducerea eventualelor pierderi. Controlul poate fi
preventiv, detectiv sau corectiv.
Controlul preventiv are ca scop prentmpinarea apariiei unor incidente n
sistem. Controlul detectiv presupune descoperirea unor apariii ciudate n sistem, iar
controlul corectiv este folosit pentru readucerea la normalitate a sistemului dup
anumite incidente la care a fost expus.
Pentru a putea fi atinse obiectivele enumerate mai sus, controalele pot fi
administrative, logice sau tehnice i fizice.
Controlul administrativ este exercitat prin politici i proceduri, instruire cu scop
de contientizare, verificri generale, verificri la locul de munc, verificarea pe timpul
concediilor i o supraveghere exigent.
Controlul logic sau tehnic cuprinde restricii la accesarea sistemului i msuri
prin care se asigur protecia informaiilor. Din aceast categorie fac parte sistemele de
criptare, cardurile de acces, listele de control al accesului i protocoalele de transmisie.
Controlul fizic este reprezentat de grzile de paz i protecie, securitatea
cldirilor: sisteme de ncuiere a uilor, securizarea camerelor cu servere, protecia
cablurilor, separarea atribuiilor de serviciu, i nu n ultimul rnd realizarea copiilor de
siguran a fiierelor.
Controalele vizeaz responsabilizarea persoanelor care acceseaz informaii
sensibile. Responsabilizarea este nfptuit prin mecanisme de control al accesului care
necesit, la rndul lor, exercitarea funciilor de identificare, autentificare i auditare.
Controalele trebuie s fie n deplin concordan cu politica de securitate a organizaiei,
iar procedurile de asigurare au scopul de a demonstra c prin mecanismele de control se
implementeaz corect politicile de securitate pentru ntregul ciclu de via a sistemului
informaional.
3.1.1. Modele de control al accesului
Controlul accesului de ctre un subiect asupra unui obiect presupune stabilirea
unor reguli de acces. Aceste reguli pot fi clasificate n trei categorii sau modele:
controlul obligatoriu al accesului, controlul discreionar al accesului i controlul
nediscreionar al accesului.
Controlul obligatoriu al accesului n acest caz, autorizarea accesului unui
subiect la un obiect depinde de etichet, care va specifica nivelul de autorizare al
subiectului precum i clasificarea sau senzitivitatea obiectului. Controlul bazat pe reguli
de acces este un tip aparte de control obligatoriu al accesului, pentru c el este posibil
doar pe baz de reguli i nu doar pe baza identitii subiecilor i obiectelor. (un subiect
trebuie s aib i dreptul s acceseze un obiect anume).
Controlul discreionar al accesului n acest caz subiectul are autoritatea n
cadrul unor limite bine stabilite, s specifice obiectele care pot fi accesibile. Se poate
25
folosi o list de control al accesului al subiecilor la obiect. Acest tip de acces este
folosit n situaii locale, dinamice, n care se las la discreia subiecilor specificarea
tipurilor de resurse permise utilizatorilor s le acceseze.
Cnd un utilizator, n condiii bine specificate, are dreptul s modifice controlul
accesului pentru anumite obiecte, se spun c avem un "control discreionar al accesului
direcionat ctre utilizator". Un control bazat pe identitate este un alt tip de control
discreionar al accesului care se bazeaz pe identitatea unei persoane.
Controlul nediscreionar al accesului o autoritate central stabilete subiecii
care pot s aib acces la anumite obiecte, n funcie de politica de securitate
organizaional. Controlul accesului poate s se bazeze pe rolul individual ntr-o
organizaie (control bazat pe sarcini). Acest tip de control nu necesit schimbri atunci
cnd un rol va fi jucat de o alt persoan.
3.1.2. Forme combinate de control
Prin combinarea controlului preventiv i detectiv cu mijloacele celorlalte tipuri
de control administrativ, tehnic (logic) i fizic se obin urmtoarele combinaii:
preventiv administrativ;
Control preventiv
preventiv tehnic;
preventiv fizic:
o detectivAdministrativ
Tehnic
Fizic
administrativ;
o detectiv-tehnic;
detectiv fizic.
n figura 3.1 se prezint
schematic aceste perechi.
Control detectiv
Fig.3.1: Combinarea formelor de control
Controlul preventiv administrativ

n acest caz accentul se pune pe mecanismele software care contribuie la
atingerea obiectivelor controlului accesului. Aceste mecanisme cuprind politicile i
procedurile organizaionale, verificrile de fond nainte de angajare, practicile de
ncetare a contractului de munc n condiii normale i anormale, planificarea plecrilor
n concediu, etichetarea sau marcarea materialelor speciale, supravegherea mai exigent,
cursuri de instruire n scopul contientizrii importanei securitii, contientizarea
modului de comportare precum i procedurile de semnare a contractului n vederea
obinerii accesului la sistemul informaional i la reea.
Controlul preventiv tehnic
Acest tip de control vizeaz utilizarea tehnologiilor pentru consolidarea
politicilor de control al accesului. Controlul tehnic se mai numete i control logic i
poate fi realizat prin sistemele de operare, prin aplicaii sau printr-o component
suplimentar hard/soft. Dintre aceste controale, fac parte: protocoalele, criptarea,
cardurile de acces inteligente, biometria, pachetele software pentru realizarea
controlului local sau de la distan, parolele, meniurile , softul de scanare a viruilor etc.
Protocoalele, criptarea i cardurile inteligente sunt mecanisme tehnice de
protejare a informaiilor i parolelor mpotriva eventualelor deconspirri.
26
Cap. 3 - Controlul accesului n sistemele informatice
Biometria apeleaz la tehnologii precum amprenta digital, a retinei, irisului

pentru autentificarea solicitanilor de accesare a resurselor sistemului.
Pachetele software ce realizeaz controlul accesului gestioneaz accesul la
resursele ce dein informaii aflate pe plan local sau la distan.
Controlul preventiv fizic
Aceste msuri de control sunt de tip intuitiv. Ele vizeaz restricionarea
accesului fizic n zonele ce conin informaii sensibile ale sistemului. Zonele respective
sunt definite printr-un aa zis perimetru de securitate, aflat sub controlul accesului.
n aceast categorie intr mprejmuirile cu gard, ecusoanele, uile multiple (dup
trecerea printr-o u, aceasta se blocheaz automat, iar la urmtoarea trebuie cunoscut
sistemul de deschidere, persoana fiind captiv ntre dou ui - ui capcan), sisteme de
intrare pe baz de cartel magnetic, aparatura biometric pentru identificare, serviciul
de paz, sisteme de control al mediului, schia cldirii i a cilor de acces, locurile
special amenajate pentru depozitarea mediilor de stocare a datelor.
Controlul obiectiv administrativ
n parte, acest tip de control se suprapune peste controlul preventivadministrativ, pentru c acestea pot fi exercitate cu scopul prevenirii posibilelor
nclcri ale politicilor de securitate sau pentru detectarea celor n curs. Din aceast
categorie fac parte procedurile i politicile de securitate, verificrile de fond,
planificarea plecrilor n concediu, marcarea sau etichetarea documentelor speciale,
instruiri i cursuri, revizuirea nregistrrilor cu scop de auditare.
Controlul detectiv fizic
Acest tip de control urmrete evidenierea violrii politicii de securitate
folosind mijloacele tehnice. Aceste msuri se refer la sistemele de detectare a intruilor
i la rapoartele privind violrile securitii, generate automat pe baza informaiilor
colectate. Rapoartele pot evidenia abaterile de la funcionarea normal sau s detecteze
semnturi cunoscute al unor episoade de acces neautorizat. Datorit importanei lor,
informaiile folosite n auditare trebuie s fie protejate la cel mai nalt nivel posibil din
sistem.
Controlul detectiv fizic
Acest tip de control necesit intervenia omului pentru evaluarea parametrilor pe
care i ofer senzorii sau camerele video pentru a stabili dac exist un pericol real
pentru sistem. n acest caz, controlul se exercit prin camere video, detectoare termice,
de fum i de micare.
3.2. Identificarea i autentificare

n orice sistem de bariere fizice, sistemul de securitate trebuie s discearn care
sunt persoanele autorizate, care sunt vizitatori i care sunt categoriile neautorizate.
Autentificarea poate fi realizat de corpul de paz, de alte persoane care se ocup de
controlarea accesului sau de sisteme automate specializate.
Identificarea i autentificarea persoanelor se efectueaz n patru moduri:
ceva aflat n posesia persoanei chei, cartele magnetice, cartele speciale,
echipamente de identificare personal i jetoane. Acestea permit un prim pas
de accesare a sistemului i exist marele pericol al pierderii lor sau de
nstrinare spre utilizarea de ctre alte persoane.
ceva care individualizeaz persoana aceast metod presupune
identificarea biometric, care poate fi dat de: amprenta digital, a buzelor,
semntura, vocea, forma minii, imaginea retinei, venele de pe faa extern a
27
minii, liniile din palm, imaginea feei etc. Toate aceste tehnici sunt foarte
scumpe, n comparaie cu cele clasice, i deseori sunt incomode sau
neplcute la utilizare.
ceva ce persoana tie o parol, doar c aceasta se afl la discreia
oamenilor i securitatea sistemului depinde de modul de pstrare a secretului
ei sau de uurina cu care poate fi aflat.
locul geografic unde este nregistrat calculatorul.
Metodele de control al accesului trebuie s se bazeze pe cel puin dou din cele
patru enumerate mai sus, de cele mai multe ori se apeleaz la combinaiile cartelparol, cheie-parol, jeton-parol. n ultimul timp se recomand s se foloseasc i un al
treilea elemente cel biometric.
3.2.1. Principiile de baz ale controlului accesului
Ca principiu general, simpla posesie a unui element de control al accesului nu
trebuie s constituie i proba accesului privilegiat la informaiile importante ale
firmei, ntruct el poate fi dobndit i pe ci ilegale dau poate fi contrafcut.
Un al doilea principiu arat c atunci cnd valorile patrimoniale sunt deosebit
de importante i mecanismul de protecie trebuie s fie pe msur, iar persoanele cu
drept de acces s fie ct mai puine.
Al treilea principiu, de regul aplicat informaiilor secrete, este acela c nici
unei persoane nu trebuie s i se garanteze accesul permanent, gestiunea sau
cunoaterea informaiilor secrete numai pe motivul poziiei ierarhice pe care o
deine.
Fiecare centru de prelucrare automat a datelor cu mai mult de 25 de angajai
trebuie s apeleze la sistemul ecusoanelor i la biometrie, ca msuri suplimentare fa de
proteciile realizate prin alte metode privind accesul n cldire.
Locurile care nu dispun de ui ce pot fi ncuiate trebuie s aib intrrile
supravegheate, iar o persoan s rspund de aceast operaiune. Cu acelai scop, poate
fu utilizat i televiziunea cu circuit nchis, cu condiia ca o persoan s nu
supravegheze mai mult de trei monitoare.
Controlul accesului prin obiecte
Una din metodele folosite pentru accesul n cldiri sau sli este utilizarea unei
cartele de plastic sau a unui jeton, care ofer informaii despre purttor, cum ar fi:
numele, adresa, codul cardului, contul bancar, informaii medicale, drepturi de acces.
Toate aceste informaii pot fi codificate prin coduri de bar, pelicul magnetic,
microprocesor. Unele carduri conin i fotografia titularului.
Exist i carduri inteligente care se utilizeaz pentru criptarea i decriptarea
datelor, semnarea mesajelor i introducerea de pli electronice. Aceste carduri
controleaz accesul n cldire, la locurile de parcare, n sli, la calculator i la alte date
personale ale deintorului.
Se mai pot folosi i ecusoane active, care realizeaz identificarea prin frecvene
radio, sau prun infrarou, putndu-se citi cartele de la civa metri.
Majoritatea cartelelor sunt auto-exprinate, cu ajutorul unor tehnologii termice
sau a unor vopsele speciale.
28
Controlul accesului prin biometrie

Principalele elemente ale corpului uman care se folosesc pentru identificarea
individului sunt: recunoaterea feei, amprenta digital, recunoaterea irisului i
recunoaterea formei minii.
n tabelul 3.1 se prezint o comparaie a celor patru tehnologii biometrice funcie
de performane i costuri.
Tabelul 3.1
Compararea principalelor tehnologii biometrice
Recunoaterea Amprenta Recunoaterea
Caracteristici
Forma minii
feei
digital
irisului
Rata respingerilor eronate 3,370%
0,236%
1,96%
05%
Rata acceptrilor eronate
0,35%
08%
< 1%
02,1%
Timpul pentru o verificare 10 sec
919 sec
12 sec
610 sec
Mrimea probei culese
841300 KB
2501000 KB 512 Bytes
9 Bytes
Preul echipamentelor
Moderat
Mic
Mare
Moderat
Vederea slab, Rni,
artrit,
Factorii care afecteaz
Lumina,
Murdria,
ncruntarea,
umflturi
probele luate
orientarea feei, degetele
ochelarii
deshidratate sau reflexia
accidentele
Controlul accesului prin parole

Parolele sunt utilizate pentru a permite accesul la un calculator, fie ca utilizator,
fie sub forma grupurilor de utilizatori, fie ca personal al sistemului de prelucrare
automat a datelor. Dup identificarea persoanei i eventual oferirea unei cartele de
acces, utilizatorul prezint sistemului parola proprie, fie prin tastarea la un terminal fie
prin introducerea unei cartele care conine parola. Calculatorul compar parola
introdus cu o list aprobat i i permite sau nu utilizatorului accesul i i garanteaz
respectarea drepturilor definite la anumite resurse ale sistemului, drepturi care pot fi:
execuie poate lansa n execuie un program, dar nu i se permite s umble la
configurarea acestuia, prin adugarea sau modificarea unor linii;
citire poate citi un fiier dar nu mai poate realiza nici o alt operaie;
scriere se pot scrie date n acel fiier, dar fr alte drepturi;
citire-scriere se poate citi fiierul i se poate scrie n el;
adugare se pot doar aduga date la fiier, nu se pot modifica datele introduse
i nici citi;
tergere d dreptul de a terge date din fiier.
Orict de complex ar fi sistemul cu parole, el nu realizeaz i o securitate sigur,
ea depinznd de modul de pstrare a integritii parolei.
Problema principal a parolelor este alegerea nejudicioas a acestora de ctre
utilizatorii lor, i anume: numele unor eroi din filme sau basme, al soiei, a soului sau a
copiilor, numrul de nmatriculare etc., toate vulnerabile n faa unor sprgtori
calificai. O alt greeal major este notarea parolelor de teama de a nu fi uitate, i
lsarea acestor notie la vedere, astfel nct orice poate vedea parola.
Parolele trebuie s fie eliberate doar persoanelor autorizate i nu trebuie s fie un
proces generalizat dndu-se tuturor celor care dein funcii de conducere n firm; ele
trebuie date doar celor care lucreaz cu datele protejate.
Parolele pot fi create i de utilizatori pentru datele mai puin importante, dar
exist unele probleme des ntlnite, i anume:
29
utilizatorii nu-i schimb periodic parolele, iar dac o fac nu aduc modificri
importante n structura lor;
utilizatorii i pstreaz parolele scrie pe suporturi lsate n vzul tuturor;
utilizatorii folosesc nume asocieri nume-cuvinte cunoscute (nume de
persoane dragi) ceea ce le face extrem de vulnerabile.
Dintre cuvintele utilizate n mod eronat de utilizatori drept parol amintim:
PASSWORD, PAROLA, SECRET, SMART, CLEVER, DUMMY, CRAZY, sau chiar GHICI.
Deoarece parolele sunt nite chei de acces la valorile proprii, trebuie protejate cu
grij, i trebuie respectate cteva reguli de baz la alegerea lor:
parolele trebuie schimbate cel puin odat la ase luni, iar pentru datele
deosebit de importante i mai des;
parolele comune (utilizate de mai muli) trebuie schimbate imediat ce o
persoan prsete grupul sau i se retrage dreptul utilizrii ei;
parolele se vor schimba imediat ce apare bnuiala cunoaterii ei de ctre
persane neautorizate sau dac din motive de for major secretul lor a
trebuit dezvluit pentru redresarea unei stri anormale temporare;
parolele trebuie s fie memorate i nu scrise pe orice, cu excepia
urmtoarelor cazuri:
o vor fi scrise pentru situaii de urgen;
o fiecare parol scris va fi introdus ntr-un plic sigilat i marcat n
exterior cu scurte detalii privind calculatorul la care poate fi folosit
i numele celor autorizai a le folosi;
o plicul respectiv are tratament asemntor averilor protejate sau al
categoriilor de informaii accesate prin parol. Dup ruperea
sigiliului, pe plic vor fi trecute data i numele celor care au fcut-o;
o plicurile cu parole se pstreaz de ctre responsabilul cu securitatea
sistemului i seif.
dac parolele duplicat se pstreaz prin intermediul calculatorului, astfel de
fiiere trebuie s fie protejate mpotriva accesului neautorizat i create copii
de siguran. Accesul la acest fiier trebuie s fie nlesnit doar persoanelor
autorizate, respectndu-se principiul "niciodat singur". Listele cu parole vor
fi memorate sub form criptat;
parolele nu vor fi afiate niciodat pe echipamentele din configuraia
sistemului, iar la introducerea lor nu trebuie s se afle persoane strine n
preajm;
parolele, n cele mai multe cazuri, au cel puin opt caractere. Ele sunt
caractere alfa numerice, folosite n ordine aleatoare, ceea ce ar nsemna
cteva mii de cuvinte de opt sau mai puine caractere, care pot fi testate cu
ajutorul calculatorului, n doar cteva minute, deci sunt suficient de
vulnerabile pentru sprgtorii profesioniti;
pentru blocarea operaiunilor de ncercare repetat, de ordinul miilor,
calculatoarele trebuie s permit un numr limitat de ncercri de introducere
a parolelor, de obicei trei. Dac limita este depit de utilizator, intenia este
raportat conductorului sistemului sau responsabilului cu securitatea. n
acest timp trebuie s se blocheze terminalul de la care s-au efectuat prea
multe ncercri nereuite. n cazul sistemelor speciale se recomand i
blocarea slii sau a locului de unde s-a ncercat ptrunderea n sistem prin
parole eronate repetate, pentru identificarea persoanei respective.
30
odat ptruns n sistem, utilizatorului nu trebuie s i se permit s-i schimbe

identitatea cu care a deschis sesiunea i nici s nu poat ptrunde n partiiile
alocate altor utilizatori;
dac un termina funcioneaz o perioad lung de timp, procesul de
autentificare trebuie s aib loc la intervale regulate de timp pentru a se
asigura c nu folosete altcineva sistemul. Dac terminalul rmne neutilizat
dar deschis, el trebuie s se nchid automat dup un anumit interval de timp
(10 minute);
la deschiderea unei noi sesiuni de lucru, utilizatorului trebuie s i se aduc la
cunotin ultimul timp de accesare a sistemului cu parola respectiv, pentru
a verifica dac altcineva a folosit-o ntre timp.
Pentru prentmpinarea unor aspecte vulnerabile din sistemul de protecie prin

parole, se recomand aplecarea la un sistem special sau la o dovad de recunoatere a
utilizatorului. Acestea pot fi: o cheie de descuiere a consolei, o cartel magnetic cu
microprocesor. Costul foarte ridicat, reduce utilizarea acestui sistem.
Accesului n sistem prin controlul poziiei geografice
Autentificarea pe baz de localizare geografic este o metod de autentificare a
entitilor din spaiul cibernetic bazat pe localizarea geodezic (latitudine, longitudine
i altitudine a unui loc geografic bine definit). Acest lucru va avea ca efect delimitarea
poriunii din spaiu cibernetic de unde se declaneaz un anumit eveniment.
Aceast autentificare se face pe baza sistemului GPS i a unui senzor SSL
(senzor al semnturii locale) aflat n posesia utilizatorului.
Caracteristicile principale ale autentificrii geodezice sunt:
asigur o protecie continu mpotriva celor ru intenionai aflai la distan;
semntura locaiei poate fi folosit ca un mijloc comun de autentificare;
prin cunoaterea poziie unui utilizator, se poate identifica uor un intrus, dar se
pot oferi i probe c o persoan nu a fost n locaia respectiv n momentul
svririi unei infraciuni.
O asemenea protecie este recomandat site-urilor fixe.
Ca dezavantaj al autentificrii geodezice se menioneaz:
refuzul serviciului (accesului la sistem) n cazul bruierii semnalului sau al
furtului senzorului;
uurina n localizarea unei persoane n caz de rzboi informaional, de aici
rezult c accesul la datele geodezice trebuie s fie restricionat.
31
4. Criptografia
4.1. Definiii i noiuni de baz
Scopul criptografiei este de a proteja informaiile transmise fr s poat fi citite
i nelese dect de ctre persoanele crora le sunt adresate. Teoretic, persoanele
neautorizate le pot citi, ns practic, citirea unei comunicaii criptate este doar o
problem de timp egal cu timpul aferent necesar persoanei neautorizate de a decripta
mesajul citit.
Algoritmul criptografic este o procedur pas-cu-pas utilizat pentru cifrarea
unui text clar i descifrarea textelor cifrate.
Cheia sau variabila de criptare este o informaie sau o secven prin care se
controleaz cifrarea i descifrarea mesajului.
Cifrarea este o transformare criptografic a unor caractere sau bii.
Criptograma sau textul cifrat reprezint un mesaj neinteligibil
Cifrul bloc se obine prin separarea textului iniial n blocuri de cte n caractere
fiecare (bii) i aplicarea unui algoritm i a unei chei identice, k, pentru fiecare bloc.
Codurile sunt o transformare care opereaz la nivelul cuvintelor sau frazelor.
Criptanaliza este actul obinerii textului clar sau a cheii din textul cifrat, care
este folosit pentru obinerea informaiilor necesare acestui scop.
Criptarea nseamn realizarea formei neinteligibile a unui mesaj pentru a nu fi
utilizat de persoanele neautorizate s-l acceseze.
Criptarea end-to-end n acest caz informaiile criptate sunt transmise din
punctul de origine la destinaia final.
Cheie simetric att expeditorul ct i destinatarul folosesc aceeai cheie de
criptare.
Cheie asimetric expeditorul i destinatarul folosesc chei de criptare diferite.
Criptarea nlnuit mesajul circul prin mai multe noduri ntre expeditor i
destinatar. Un nod intermediar primete mesajul, l decripteaz cu aceeai cheie cu care
a fost cripta, l recripteaz cu o alt cheie i l trimite la urmtorul nod unde procesul se
repet pn cnd mesajul ajunge la destinatar.
Criptografia este arta i tiina ascunderii semnificaiei unei comunicri
mpotriva unor interceptri neautorizate. Cuvntul vine din limba greac, care nseamn
criere ascuns: kryptos graphein.
Criptologia reunete criptografia i criptanaliza.
Decriptarea este procesul prin care un text cifrat este transformat ntr-un mesaj
inteligibil.
Sistemul de criptare este un set de transformri din spaiul mesajului clar la cel
al textului cifrat.
Steganografia este o form de comunicare secret prin care se ncearc
ascunderea mesajului secret ntr-o imagine digital.
Textul clar este forma inteligibil de prezentare a unui mesaj, astfel nct el s
fie accesibil oricui.
32
Cap. 4 - Criptografia
4.1.1. Tehnici utilizate n criptografie

n prezent exist dou tipuri principale de tehnici utilizate n criptografie, i
anume:
criptografia prin cheie simetrice (chei secrete sau chei private) i,
criptografia prin chei asimetrice (chei publice).
n cazul cheii simetrice, att expeditorul ct i destinatarul mesajului folosesc o
cheie comun secret. n cazul cheii asimetrice, expeditorul i destinatarul folosesc n
comun o cheie public i, individual, cte o cheie privat.
4.1.1.1. Substituia
Cea mai simpl metod de criptare, prin substituie, este cunoscut n zilele
noastre sub denumirea de cifrul lui Cezar, dup numele mpratului roman care a
inventat-o. n acest cifru, caracterele mesajului i numrul de repetiii ale cheii sunt
nsumate laolalt, modulo 26. n adunarea modulo 26, literelor alfabetului latin, de la A
la Z, li se dau valori de la 0 la 25 (vezi tabelul 4.1). Pentru cheie trebuie s se ofere doi
parametri:
D numrul literelor ce se repet, reprezentnd chei;
K cu rol de cheie.
Tabelul 4.1
Corespondena litere-numere
Litera A B C D E F G H I J K L M N O P Q R S T U V W X Y Z
Numr 0 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25
Pentru a nelege modul de funcionare, s presupunem c D=3 i K = BEC, iar

mesajul secret este "PAROLA MEA". Atribuind valori numerice mesajului, din tabelul
valorii literelor, avem:
P A R O L A M E A
15 0 17 14 11 0 12 4 0
Valorile numerice ale cheii sunt:
BEC=142
Dup aceste corespondene, cheia criptat 142 se adaug literelor mesajului,
astfel:
Cheia reperat
Mesajul
Echivalentul numeric
al textului criptat
Textul criptat
1
15
4
0
2
17
1
14
4
11
2
0
1
12
4
4
2
0
16
19
15
15
13
Convertirea numerelor n literele aferente alfabetului conduce la textul criptat,

aa cum se vede mai sus: "QETPPC NIC"
n cazul cifrului lui Cezar, D = 1 i cheia este D (3), adic fiecare liter este
nlocuit de a treia liter de dup ea din alfabet literele sunt deplasate la dreapta cu trei
poziii, (A cu D, B cu E .a.m.d.). Criptnd mesajul dat n exemplul anterior cu cifrul lui
Cezar, obinem:
33
Cheia reperat
Mesajul
al textului criptat
Textul criptat
3
15
3
0
3
17
3
14
3
11
3
0
3
12
3
4
3
0
18
20
17
14
15
Dac sumele valorilor cheii i ale numrului aferent literelor sunt mai mari sau
egale cu 26, se determin modulo 26 din sum, adic rezultatul final este obinut prin
scderea din sum a numrului 26.
Exemplu:
D=3, K=PIC, mesajul este SECRET, rezultatul va fi:
- valorile numerice atribuie mesajului:
S E C R E T
18 4 2 17 4 19
- valorile numerice ale cheii sunt: P I C = 15 8 2
Cheia reperat
Mesajul
al textului criptat
Textul criptat
15
18
33
(8)
I
8
4
2
2
12
15
17
32
(9)
J
8
4
2
19
12
21
Valorile 32 i 33 nu au echivalent n alfabetul latin, caz n care se calculeaz

modulo 26 din 32 i 33, rezultnd valorile 8 i 9, iar noul echivalent numeric al textului
criptate este 8 12 4 9 12 21, iar textul criptat este: IMEJMV.
Cifrurile de mai sus pot fi descrise prin ecuaia general:
C = (M + b)mod N
unde:
b = un numr ntreg fix;
N = numrul literelor din alfabet (26 pentru alfabetul latin);
M = mesajul textului clar n forma numeric;
C = textul criptat scris n forma numeric.
Cifrul lui Cezar, bazndu-se pe substituia simpl sau monoalfabetic este uor
de spart, pentru c un caracter este nlocuit de altul i aceast schimbare este valabil n
tot textul, iar analiza frecvenelor de apariie a literelor din textele scrise ne va conduce
la caracterele adevrate ale textului.
Cifrurile polimorfice sunt realizate prin apelarea la cifruri bazate pe substituia
multipl. De exemplu, dac se folosesc trei alfabete pentru substituie, definite de cel ce
intenioneaz s cripteze, prima liter din textul clar este nlocuit cu prima liter din
primul alfabet, a doua liter a textului clar este nlocuit cu prima liter din al doilea
alfabet, a treia liter a textului clar este nlocuit cu prima liter din al doilea alfabet, a
patra liter din textul clar este nlocuit de a doua liter din primul alfabet .a.m.d.
34
4.1.2. Permutarea sau transpoziia

Prin aceast metod n loc s se nlocuiasc un caracter cu un altul, se nlocuiete
ordinea caracterelor. Astfel, se elimin posibilitatea de descifrare a mesajului prin
analiza frecvenei de apariie a caracterelor. Totodat, cheia pentru un asemenea cifru nu
este standard, n loc de o list a substituirilor se va folosi o schem a ordinii. De
exemplu, dac ordinea ntr-un cuvnt clar este 1,2,3,4,5, ntr-un text criptat prin
transpoziie ordinea poate fi 5,4,1,2,3. de exemplu, cuvntul PAROLA poate fi scris
RALOPA.
Permutrile unui astfel de ciclu acioneaz ntr-o matrice bloc, ceea ce nseamn
c va fi o matrice de tip "patul lui Procust", n care tot ceea ce nu ncape pe o linie se va
alinia n cea urmtoare .a.m.d.
De exemplu mesajul CITESTE SI DA MAI DEPARTE, ntr-o matrice cu cinci
coloane devine:
CITES
TESID
AMAID
EPART
E
n aceast variant, citindu-se n ordinea liniilor, mesajul criptat va fi:

CITES TESID AMAID EPART E
Dac se va lucra la coloane, prin folosirea transpoziiei controlate prin chei,

rezult altceva. De exemplu, dac asupra coloanelor se aplic regula 1,2,3,4,5 = 5,3,
1,4,2 exemplul anterior devine:
E
AMAID
CITES
EPART
TESID
de unde rezult c textul criptat i citit pe linie va fi:

E AMAID CITES EPART TESID
Aceleai reguli se pot aplica asupra coloanelor sau asupra liniilor i coloanelor.
Combinarea transpoziiei cu substituia poate s conduc la variante aproape
imposibil de spart.
4.1.3. Cifrul lui Vernam
Cifrul lui Vernam const ntr-o cheie constituit dintr-un ir se caractere
aleatoare nerepetitive. Fiecare liter a cheii se adaug modulo 26 la o liter a mesajului
clar. n aceast variant, fiecare liter a cheii se folosete o singur dat pentru un
singur mesaj i nu va mai putea fi folosit niciodat. Lungimea irului de caractere a
cheii este egal cu lungimea mesajului. Metoda este foarte util pentru criptarea
mesajelor scurte.
Exemplu: criptarea mesajului: LA MULTI ANI
35
Mesaj clar
LAMULTIANI
Cheie Vernam VIDAGTSROL
Suma aparent
Modulo 26 din
sum
Textul criptat
11
21
32
0
8
8
12
3
15
20
0
20
11
6
17
19
19
38
9
18
27
0
17
17
13
14
27
8
11
19
15
20
17
12
17
19
Cifrul carte
Acest tip de cifru apeleaz la diverse surse, de obicei o carte, pentru a cripta un
text. Cheia, cunoscut de expeditor i destinatar, poate fi format din pagina crii i
numrul rndului de pe pagina n care se afl textul.
Codurile
Codurile sunt folosite pentru a transmite construcii predefinite din anumite
domenii. (cum se foloseau la pagere). De regul, sunt dou rnduri de cri, una conine
semnificaia n clar a mesajelor n ordinea alfabetic i codul corespunztor, cealalt
conine ordinea cresctoare a codurilor i n dreptul lor semnificaia n clar.
4.1.4. Ascunderea informaiilor
Ascunderea informaiilor se practic din cele mai vechi timpuri, iar n zilele
noastre mesajele secrete pot fi ascunse n fiiere audio MP3, n fiiere video, imagini
sau n instruciunile executabile ale unui program.
4.1.4.1. Steganografia
Steganografia este arta ascunderii existenei unui mesaj pe un anumit suport.
Termenul vine din cuvintele greceti steganos care nseamn acoperit i graphien a
scrie.
Prin Steganografia se exprim interesul pentru confidenialitate, deoarece scopul
ei este de a include mesaje ntr-un anumit mediu astfel nct s rmn insesizabil.
n prezent, o tehnic frecvent utilizat este ascunderea mesajului printre biii
imaginilor digitale. Imaginile sunt reprezentate printr-o form matriceal de pixeli
(picture x elements), nsemnnd puncte din care se realizeaz imaginea. O imagine
"modest" poate avea 400300 pixeli. Fiecare pixel este codificat printr-o secven de
bii care stabilete culoarea. Cea mai simpl form de codificare este sistemul RBG (red
blue, green) prin 24 de bii, adic cte 8 bii pentru fiecare culoare. Cei 8 bii determin
realizarea a 256 de variante, prin combinarea lor rezult aproximativ 17 milioane de
nuane de culori. Unora dintre bii li se poate da o alt destinaie, pentru a codifica
mesaje, fr a fie afectat semnificativ calitatea imaginii.
Ultimul bit, cel mai din dreapta, nu are un rol semnificativ n stabilirea culorii, el
schimb culoarea cu un spectru, echivalent cu modificarea orei cu o secund (ct
reprezint o secund dintr-o or ?).
Biii succesivi ai mesajului vor fi plasai pe poziia biilor cel mai puin
semnificativi ai octeilor, fr a fi afectat semnificativ imaginea. Fcnd un calcul
simplu, pentru o imagine de 400300 pixeli, fiecare cu cte trei octei, de la care se pot
mprumuta 3 bii, rezult 4003003 = 360.000 bii alocai pentru mesajul nostru secret.
Un caracter poate fi scris pe 8 bii, deci 360.000 / 8 = 45.000 de caractere poate avea
mesajul nostru.
36
4.1.4.2. Filigranarea
Un filigran este un model distinct ncapsulat ntr-un document, imagine, video
sau audio de ctre cel care se afl la originea datelor. Filigranul poate avea cteva
scopuri, printre care:
indicarea proprietarilor datelor;
inerea evidenei copiilor datelor;
verificarea integritii datelor.
Filigranele folosite n bancnote au scopul de a ntri ncrederea posesorilor c se
afl n faa banilor originali i nu a unora contrafcui, scopul fiind de securizare
mpotriva falsificrii. Un filigran poate fi invizibil cu ochiul liber sau insesizabil de
ureche, dar exist mijloace de detectare i extragere a lui pentru a se verifica
autenticitatea datelor sau sursa lor.
Datele filigranate sunt o funcie a unui identificator i/sau cheie care este unic
pentru autor. Aceste valori sunt necesare pentru detectarea sau extragerea filigranului.
Dac mai multe copii ale datelor surs au fost filigranate separat, fiecare ele va fi
prelucrat cu o cheie proprie, deci fiecare copie are amprenta ei. Prin inerea evidenei
fiecrei chei folosite pentru fiecare beneficiar este uor de urmrit cine a nclcat
drepturile de autor.
Filigranele pot fi de dou tipuri: fragile sau solide. Filigranele fragile sunt mai
uor de schimbat, dar sunt folosite doar pentru a vedea dac datele au fost schimbate, n
timp ce filigranele solide rezist tuturor manipulrilor i manevrelor la care sunt supuse.
Filigranarea este similar cu steganografia i se bazeaz pe tehnici de proiectare
apropiate.
n spaiul cibernetic, filigranele sunt folosite pentru stabilirea nclcrii
drepturilor de autor. Digimarc Technologies1 are un produs pentru protejarea imaginilor
puse de proprietar n site-ul propriu. Deintorii copyright-ului insereaz filigranul lor,
folosind PhotoShop de la Adobe, sau un alt editor de imagine care nglobeaz
tehnologia Digimarc. Cnd receptorul folosete acelai editor pentru vizualizarea
imaginilor va fi afiat simbolul de copyright al autorului. Prin selectarea simbolului se
realizeaz legtura cu Digimarc, de unde vor afla cine este deintorul dreptului de
autor. De asemenea, Digimarc are un motor de cutare, MarcSpider, care caut imagini
filigranate furate de la autorii lor.
n domeniul pirateriei muzicii, firma Aris Technologies Inc2 a realizat aplicaia
MusiCode, care ncapsuleaz informaii surs (titlul, artistul, compania de nregistrare)
n fiierul audio. Softul este folosit pe Internet ntr-un motor de cutare care combate
piraii de melodii.
4.1.4.3. Securitatea n domeniul tipriturilor

n categoria securizrii produselor tiprite intr o gam larg de produse, printre
care , cele mai importante sunt: banii, documente oficiale ale guvernelor, componente
de avioane sau calculatoare, pn la igri, buturi alcoolice sau rcoritoare etc.
1
2
www.digimarc.com i www.digimarc-id.com
www.aris-techni.fr/
37
Majoritatea produselor de securizare nu au pretenia c vor putea stopa pirateria,

sau falsificarea, dar scopul acestora este a dovedi nclcarea unor nome comerciale i
juridice.
Se consider c n cazul bancnotelor false, exist trei nivele de verificare prin
care falsurile pot sau nu s treac. Acestea sunt:
nivelul primare de verificare realizat de persoanele neinstruite sau cu
puin experien n actele de vnzare-cumprare;
nivelul secundar de verificare exercitat de personal competent i motivat,
operatorii de la ghieele bncilor sau inspectorii calificai ai produselor
industriale marcate cu etichete i/sau timbre fiscale. Acetia dispun de
echipamente speciale (lmpile cu ultraviolete, creioane cu reactivi chimici,
scannere sau PC-uri specializate). Aceste echipamente nu pot fi prea
numeroase i nici prea costisitoare, iar falsificatorii le cunosc capacitile;
nivelul trei de verificare efectuat n laboratoarele speciale ale
productorilor de elemente de securitate pentru bncile ce realizeaz
emisiuni monetare. Aceste echipamente sunt foarte scumpe i destul de rare,
dar nu pot da rateuri. Ele se folosesc doar n cazuri speciale.
Documentele speciale, hrtiile de valoare folosesc, de regul, urmtoarele
produse de tiprire:
intaglio sau gravura cu acizi se utilizeaz pentru fixarea cu mare for a
cernelii pe hrtie. Aceasta tehnic produce o imprimare n relief cu o mare
rezoluie se utilizeaz la tiprirea banilor i a paapoartelor;
liter presat cerneala este depus prin rularea caracterelor n relief i
presarea hrtiei pe care se realizeaz tiprirea, astfel nct s rmn urmele
presrii. Tehnica se folosete pentru imprimarea numerelor ce indic
valoarea bancnotelor.
procesarea simultan este tehnica prin care cerneala se transfer simultan
pe ambele fee ale bancnotei, ceea ce duce o suprapunere perfect a tipririi;
tampilele de cauciuc se folosesc pentru andosarea documentelor sau
pentru tampilarea fotografiilor pe documente;
gofrarea i laminarea adic scrierea n relief i laminarea se folosesc
pentru marcarea caracterelor pe carduri i fixarea fotografiilor, scumpindu-se
astfel costurile contrafacerii. Gofrarea se realizeaz fie fizic sau cu ajutorul
laserului pentru fixarea fotografiilor pe documentele de identificare.
filigranele sunt zone transparente sau marcate cu materiale speciale pentru
protejarea hrtiilor de valoare. Se pot utiliza i fire fluorescente.
Dintre tehnicile cele mai moderne de securizare a documentelor se enumr:
cernelurile schimbtoare optic i pot schimba culoarea (de la verde la
galben) funcie de unghiul sub care este privit documentul. Tehnica se mai
numete "gt de roi" sau "gu de porumbel".
cerneala cu proprieti magnetice sau fotoacustice
imprimarea unor semne vizibile doar cu echipamente speciale
microtiprirea, tiprirea cu cerneluri ultraviolete, infraroii sau magnetice.
38
firele sau foile metalice fire cu irizri simple, holograme (realizat optic
i reprezint obiecte ntregi pe un plan ndeprtat) sau kinegramele (realizate
pe calculator, ofer imagini diferite funcie de unghiul de privire).
marca digital a copyright-ului este recunoscut de copiatoare i scanere,
care se opresc la ntlnirea ei, mpiedicnd reproducerile ilegale.
unicitatea este asigurat prin dispunere aleatoare de fibr magnetic pe
hrtie.
n ceea ce privete realizarea elementelor de securitate a elementelor tiprite,

trebuie s se in cont i de urmtoarele:
elementele de securitate trebuie s spun ceva, s fie purttoare ale unui
mesaj reprezentativ pentru produs.
trebuie s-i gseasc locul potrivit, s se ncadreze n mod firesc n
ansamblul documentului, astfel nct fixarea n mintea utilizatorului s fie
natural.
efectul lor trebuie s fie evident, distinct i inteligibil.
nu trebuie s intre n concuren cu alte produse realizate ct de ct similar,
pentru a nu da curs imitrilor sau confuziilor.
trebuie s fie standardizate.
n cazul bancnotelor, sunt necesare 20 de elemente de securizare care nu sunt
mediatizate. Doar cteva dintre ele sunt aduse la cunotina inspectorilor de specialitate,
dar cu timpul acestea sunt aflate i de falsificatori. Dup un timp mai ndelungat se afl
aproape toate cele 20 de elemente de siguran, moment n care bancnotele sunt retrase
i sunt nlocuite cu un alt model.
4.2. Sisteme de criptare prin chei simetrice (private)

Acest tip e criptografie apeleaz la o singur cheie att la expeditor ct i la
destinatar. Expeditorul (emitorul) cripteaz textul clar cu ajutorul unei chei secrete, iar
destinatarul (receptorul) l va decripta cu aceeai cheie. Reuita criptrii este dat de
secretizarea cheii. Ideal ar fi ca o cheie simetric s se foloseasc o singur dat.
Un sistem de criptare prin cheie secret are n structura sa informaie public i
informaie privat.
Informaia public cuprinde:
un algoritm folosit pentru criptarea textului clar n mesaj criptat;
posibil, un exemplar al textului clar i textul criptat corespunztor;
posibil, o variant criptat a textului clar care a fost aleas de ctre un
receptor neintenionat.
Informaia privat poate fi:
cheia sau variabila de criptare;
o anumit transformare criptografic dintr-o mulime de transformri
posibile.
Succesul sistemului se bazeaz pe dimensiunea cheii. Dac are mai mult de 128
bii este una destul de sigur, deci sigur n exploatare. Ea se adaug la rapiditatea cu
care se efectueaz criptarea i volumul mare de date asupra crora poate opera.
39
Cele trei caracteristici eseniale ale sistemelor bazate pe chei simetrice sunt:
siguran;
rapiditate;
volum mare de date criptate.
Singura problem a sistemului const n folosirea n comun a cheii de criptare de
ctre emitor i receptor, ceea ce nseamn c emitorul trebuie s foloseasc o palet
larg de chei pentru o mare diversitate a utilizatorilor. Sistemele bazate pe chei publice
nu ofer mecanismele necesare autentificrii i nerepudierii.
4.3. Sisteme de criptare prin chei asimetrice (publice)

Spre deosebire de sistemele de criptare bazate pe chei secrete, care presupun o
singur cheie cunoscut de emitor i receptor, sistemele bazate pe chei publice
folosesc dou chei: una public i una privat.
Cheia public este pus la dispoziia oricrei persoane care dorete s trimit un
mesaj criptate;
Cheia privat este utilizat pentru decriptarea mesajului, iar nevoia de a face
schimb de chei secrete este eliminat.
Funcionarea sistemului:
cheia public nu poate decripta un mesaj criptat;
se recomand ca o cheie privat s nu derive dintr-o cheie public;
un mesaj care a fost criptat printr-o anumit cheie poate fi decriptat cu alt
cheie;
cheia privat nu este fcut public.
Criptografia prin chei publice este posibil n aplicaiile care funcioneaz ntrun singur sens. O funcie n sens unic este aceea care este uor de calculat ntr-o direcie,
dar dificil de calculat n sens invers.
Pentru o asemenea funcie, y = f(x), este simplu de calculat valoarea lui y dac
se tie x, dar este foarte greu s-l determinm pe x dac-l cunoatem pe y (de ex. cartea
telefonic, dac tim un numr de telefon, este foarte greu s gsim persoana).
Pentru ca funciile cu sens unic s fie utile, ele trebuie s aib o trap, adic un
mecanism secret care s permit realizarea cu uurin a funciei inverse, astfel nct s
se poat obine x dac se tie y.
n contextul criptografiei bazate pe chei publice este foarte dificil s se calculeze
cheia privat din cheia public dac nu se tie trapa.
De-a lungul anilor sa-au dezvoltat mai muli algoritmi pentru cheile publice.
Unii dintre ei se folosesc pentru semntura digital, pentru criptare sau n ambele
scopuri. Din cauza calculelor numeroase solicitate de criptarea prin chei publice, aceasta
este de la 1000 la 10.000 ori mai lent dect criptarea prin chei secrete, au aprut
metode hibride, care folosesc criptografia prin chei publice pentru transmiterea sigur a
cheilor secrete utilizate n criptografia prin chei simetrice.
Dintre algoritmii importani ai cheilor publice, amintim Diffie-Hellman, RSA, El
Gamal Knapsak i curba eliptic,.
40
4.3.1. Semntura digital

Inventarea criptografiei prin chei publice a adus dou mutaii importante. Prima
permite transmiterea unui secret ctre o alt persoan fr s fie nevoie de o a treia
persoan de ncredere sau de un canal de comunicaie off-line pentru a transmite cheia
secret. A doua mutaie s-a produs pe planul calculrii semnturii digitale.
Definiie:
O semntur digital este un bloc de date (cifre binare) ce se ataeaz unui mesaj
sau document pentru a ntri ncrederea unei alte persoane sau entiti, legndu-le de un
anumit emitor.
Legtura este realizat astfel nct semntura digital poate fi verificat de
receptor sau de o ter persoan i nu se poate spune d a fost uitat. Dac doar o cifr
binar nu corespunde, semntura va fi respins n procesul de validare.
Semntura digital stabilete autenticitatea sursei mesajului.
Dac o persoan nu-i divulg cheia personal privat nimeni nu poate s-i imite
semntura. O semntura privat nu nseamn i recunoaterea dreptului de proprietate
asupra textului transmis, ci ea atest faptul c persoana semnatar a avut acces la el i la semnat.
Atunci cnd semnarea este cuplat cu crearea documentului, semntura digital
poate oferi o prob evident a originii documentului. n aceast categorie intr
fotografiile fcute cu camere digitale bazate pe chei private, caz n care proba este de
necontestat. Procedeul este folosit cnd se dorete realizarea proteciei mpotriva
manipulrii imaginilor cu calculatorul. n acelai mod pot lucra i camerele video sau
ali senzori care-i pot semna ieirea pentru a-i certifica originea.
Dei semntura digital este implementat prin sistemul criptografiei cu chei
publice, n cazul acesteia componenta privat este folosit pentru semnarea mesajelor n
timp ce componenta public este folosit pentru a verifica semntura.
Iat care este mecanismul realizrii semnturii digitale: Dac (A) vrea s
semneze un mesaj, va calcula o valoare rezumat a mesajului, care este determinat
printre-o funcie public de dispersie (hashing). n acest moment nu se folosesc chei. n
pasul urmtor (A) va utiliza o cheie privat pentru semntur KSApriv. pentru a calcula o
transformare criptografic a valorii rezumat a mesajului. Rezultatul, care este semntura
sa pe mesaj, se ataeaz mesajului. Din acest moment, mesajul poate fi transmis unei
alte persoane, de exemplu (B), sau poate fi stocat ntr-un fiier.
Cnd (B) primete mesajul, valideaz semntura lui (A) cu ajutorul cheii ei
publice pentru semnturi KSApubl, ce va fi folosit ca intrare ntr-o funcie criptografic
prin care se va testa dac valoarea rezumat determinar de (B) este aceeai cu valoarea
codificat prin semntura lui (A). Dac valoarea coincide, (B) va accepta semntura. De
remarcat c nici o cheie a lui (B) nu a fost utilizat n procesul de validare a semnturii
transmise de (A), ci doar cheile lui (A).
Dac (A) transmite cheia unui mesaj secret ctre (B), va folosi doar cheile lui
(B).
Dac (A) dorete s trimit un mesaj, semnat i criptat, ctre B, procesul
presupune utilizarea cheilor pentru semnturi ale lui A (KSApriv i KSApub), a cheilor lui
B de criptare (KBpub) i o cheie a mesajului, K. n sintez, procesul este urmtorul:
(A) genereaz o cheie aleatoare a mesajului, K. (A) cripteaz mesajul M cu
cheia K, obinnd mesajul criptat MC;
(A) cripteaz cheia K folosind cheia public a lui (B) de criptare KBpub,
rezultnd cheia criptat KC;
41
(A) realizeaz o semntur S folosind cheia sa privat pentru semntur

KSApriv.;
(A) trimite ctre (B) urmtoarele: KS, MC i S;
(B) folosete cheia sa privat de criptare, KBpriv, pentru a decripta KC i a
obine cheia K;
(B) folosete K pentru decriptarea MC i obine textul clar M;
(B) folosete cheia public pentru semntur a lui (A), KSApub, pentru
validarea semnturii S.
Tot acest proces este utilizat de procesul de criptare a e-mail-urilor, aa c (A) i

(B) nu vor efectua manual operaiunile de mai sus, ci le va face calculatorul. Pentru a
dispune de aceste servicii este necesar contactarea unor firme specializate, de exemplu
Verisign (www.verisign.com). Oricum este necesar obinerea unui ID digital3.
4.3.2. Sisteme de certificare a cheilor publice
Un sistem criptografic bazat pe chei publice poate fi compromis de o persoan
(A) care transmite o cheie public altei persoane (B) ctre un alt partener (C). n acest
caz (C) va folosi cheia public a lui (B) pentru a cripta mesajul, cu intenia de a ajunge
napoi la (B), numai c (A), folosindu-i propria cheie privat, va face ca receptorul s
fie el, reuind astfel s decripteze mesajul care era adresat lui (B).
Pentru a evita o astfel de ciudenie, se recurge la procesul certificrii, prin care
persoanele sunt legate de cheile lor publice. Documentul oferit de o "Autoritate de
Certificare" acioneaz ca orice alt emis de un notar i se efectueaz dup aceleai
reguli, adic pe baza verificrii identitii persoanei solicitante, concretizndu-se prin
atribuirea unei chei publice pentru persoana respectiv. Unitatea de certificare semneaz
certificatul cu propria cheie privat. Din aceast cauz, persoana este verificat ca
emitor dac este necesar cheia ei public pentru deschiderea sesiunii de transmitere a
mesajelor criptate i/sau a semnturilor electronice. Certificatul conine numele
subiectului, cheia lui public, numele autoritii de certificare, perioada de valabilitate a
certificatului. Pentru a verifica semntura autoritii de certificare, cheia ei public
trebuie s fie verificat ncruciat cu o alt autoritate de certificare.
Certificatele sunt pstrate ntr-un Registru, alturi de lista certificatelor revocate.
n principiu, operaiile pentru obinerea certificatelor digitale i validarea tranzaciilor
sunt redate n figura 4.1:
1. Solicitare Certificat Digital
Autoritatea de
certificare
2. Certificat Digital Semnat
3. Tranzacia
certificat
Registru
5. Solicitarea verificrii cheii publice

a Entitii_1
6. Rspunsul dat cererii de verificare
Entitate_1: solicitant a
certificatului digital
4. Certificat
semnat
Tranzacie solicitat
de Entitate_2
Fig. 4.1: Prezentarea unei tranzacii cu certificate digitale.

3
cadrul legal de utilizare a semnturii electronice n Romnia se gsete la www.legiinternet.ro/lgsemel.htm

42
4.3.3. Infrastructura cheilor publice (PKI)

Infrastructura cheilor publice (PKI Public Key Infrastructure) i propune s
rezolve probleme manageriale din domeniul cheilor publice, integrnd semnturi i
certificate digitale cu o mare diversitate de alte servicii specifice comerului electronic,
prin care se solicit oferirea integritii, controlului accesului, confidenialitii,
autentificrii i a nerepudierii tranzaciilor electronice.
Infrastructura cheilor publice cuprinde certificatele digitale, autoritile de
certificare, autoritile de nregistrare, politici i proceduri cu chei publice, revocarea
certificatelor, nerepudierea, marcarea timpului, certificarea ncruciat, aplicaii de
securitate, LDAP (Lightweight Directory Acces Protocol).
Certificatele cheilor publice pot fi eliberate n regim on-line sau off-line. n
sistem off-line, o persoan trebuie s se legitimeze cu un act de identitate. n varianta
on-line, certificatele se pot oferi ca rspuns al unei cereri formulate prin e-mail sau
direct de pe un site specializat.
Compania Verising ofer trei clase de certificate personale, numite ID digital,
toate legate de e-mail:
clasa 1 de certificate verific adresa de e-mail a utilizatorului, fr s
solicite alte elemente de autentificare. Dup exprimarea interesului pentru un
certificat, sistemul trimite o confirmare cu un PIN pe adresa de e-amil a
persoanei. Utilizatorul se ntoarce la site-ul anterior (al companiei) i ofer
PIN-ul, dup care este generat un ID digital i se memoreaz n calculatorul
utilizatorului.
clasa 2 de certificare cere utilizatorului s mai introduc i Social Security
Number, adresa i seria carnetului de ofer;
clasa 3 de certificare este destinat companiilor ce public software,
oferindu-le un grad mult mai mare de securitate, dar exist i o variant
pentru persoane fizice ocupate cu transferuri bancare i contracte.
43
5. Modele i programe de securitate

5.1. Modele de securitate multinivel
Din punct de vedere al securitii, un sistem este divizat n straturi, prin linii
orizontale, realizndu-se aa-zisa securitate pe nivele multiple (multinivel) prin care se
realizeaz o delimitare net ntre diferite categorii de informaii din sistem (publice,
confideniale, secrete, strict secrete). Aceast delimitare asigur certitudinea accesrii
informaiilor dintr-o anumit clasificare numai de persoanele care au autorizaia de
acelai nivel (sau mai mare) cu clasificarea informaiilor accesate. Schematic, sistemul
multinivel poate fi reprezentat ca n figura 5.1.
Politicile de controlare a accesului sunt
foarte clare: o persoan poate accesa un
strict
document numai dac autorizarea sa este cel
secret
puin egal cu nivelul de clasificare al informaiei
secret
citite. Ca efect, informaiile vor circula doar de
jos n sus, de la nivelul CONFIDENIAL, la
confidenial
SECRET, STRICT SECRET .a., iar de sus n
jos nu au voie s circule dect dac o persoan
public
autorizat le declasific.
Fig. 5.1: Modelul de securitate
multinivel
5.1.1. Modelul Bell-LaPadula
Unul din cele mai cunoscute modele al politicilor de securitate este cel propus de
David Bell i Len LaPadula, n 1973, i este cunoscut sub numele Bell-LaPadula sau
modelul de securitate multinivel. Sistemele ce le adopt sunt numite i sigure
multinivel sau MLS (MultiLevel Secure). Proprietatea de baz a acestor sisteme este
aceea c informaiile pot circula n jos.
Formal, modelul Bell-LaPadula a introdus trei principii:
principiul (sau proprietatea) securitii simple, prin care nu-i este permis nici
unui proces s citeasc date aflate pe un nivel superior lui. Este cunoscut i
ca Nu citi deasupra (No Read Up, NRU);
principiul * (se citete stea): nici un proces nu poate s scrie date pe un nivel
aflat sub el. Este cunoscut i ca Nu scrie dedesubt (No Write Down, NWD);
principiul securitii discreionare introduce o matrice de acces pentru a
specifica controlul accesului discreionar. Este cunoscut i ca Trusted Subject
(subiect de ncredere). Prin acest principiu, subiectul de ncredere violeaz
principiul *, dar nu se abate de la scopul su. Cele trei principii sunt redate n
figura 5.2.
44
Cap. 5 - Modele i programe de securitate
Nivel de sensibilitate ridicat

Scriere DA,
conform
principiului *
Nivel de sensibilitate medie
Citire DA, conform
principiului
securitii simple
Scriere DA, prin violarea

principiului * de ctre un
subiect de ncredere
Nivel de sensibilitate redus

Fig. 5.2: Modelul Bell-LaPadula, cu cele trei principii
5.1.2. Modelul matricei de control al accesului

Printr-o matrice de acces se ofer drepturi de acces pentru subiecte de ncredere
la obiectele sistemului. Drepturile de acces sunt de tipul citete, scrie, execut .a. Un
subiect de ncredere este o entitate activ care i caut drepturile de acces la resurse sau
obiecte. Subiectul poate fi o persoan, un program sau un proces. Un obiect este o
entitate pasiv, cum sunt fiierele sau o resurs de stocare. Sunt cazuri n care un
element poate fi, ntr-un anumit context, subiect i, n alt context, poate fi obiect. Un
exemplu de matrice de acces este redat n figura 5.3.
Coloanele se numesc Liste de control al accesului, iar liniile, Liste de
competene. Modelul matricei de control al accesului accept controlul discreionar al
accesului pentru c intrrile n matrice sunt la discreia persoanelor care au autorizaia
de a completa tabelul.
n matricea de control al accesului, competenele unui subiect sunt definite prin
tripleta (obiect, drepturi, numr aleator).
Obiecte
Fiier_1
Proces_1
Fiier_2
Subiecte
Subiect_1
Citete/scrie Execut
Citete
Subiect_2
Scrie
Execut
Nimic
Subiect_3
Citete/scrie Execut
Citete/scrie
Subiect_4
Scrie
Nimic
Scrie
Fig. 5.3: Matrice de control al accesului.
Fiier_3
Scrie
Citete
Nimic
Scrie
5.1.3. Modelul Biba

n multe cri, este amintit i modelul Biba, al lui Ken Biba, ocupndu-se doar de
integritatea sistemelor, nu i de confidenialitate. El se bazeaz pe observaia c n multe
cazuri confidenialitatea i integritatea sunt concepte duale: n timp ce prin
confidenialitate se impun restricii celor ce pot citi un mesaj, prin integritate sunt
controlai cei ce pot s scrie sau s modifice un mesaj.
45
n unele organizaii guvernamentale sau comerciale exist aplicaii n care

integritatea datelor este mult mai important dect confidenialitatea, ceea ce a fcut s
apar modele formale ale integritii.
Integritatea vizeaz trei scopuri principale:
protejarea datelor mpotriva modificrilor efectuate de utilizatorii neautorizai;
protejarea datelor mpotriva modificrilor neautorizate efectuate de utilizatori
autorizai;
asigurarea consistenei interne i externe a datelor.
Modelul a fost realizat n 1977 ca unul al integritii datelor, aa cum modelul
Bell-LaPadula este cunoscut ca modelul confidenialitii datelor. Modelul Biba este
unul de tip reea i folosete relaia mai mic sau egal. O structur a reelei este definit
ca un ansamblu parial ordonat cu cea mai mic limit superioar, LUB (Least Upper
Bound), i cea mai mare limit inferioar, GLB (Greatest Lower Bound).
O reea reprezint un ansamblu de clase de integritate (CI) i de relaii ordonate
ntre aceste clase. Ea poate fi definit astfel:
(CI <= LUB, GLB).
Aa cum Bell-LaPadula opereaz cu niveluri diferite de sensibilitate, modelul
Biba clasific obiectele n diferite niveluri de integritate. Modelul enun trei axiome ale
integritii:
axioma integritii simple. Ea stabilete c unui subiect aflat pe un anumit
nivel de integritate nu-i este permis s observe (citeasc) un obiect de o
integritate mai joas (No Read Down, Nu citi dedesubt).
axioma integritii * (se citete stea) stabilete c unui obiect situat pe un
anumit nivel de integritate nu-i este permis s modifice (scrie) alt obiect situat pe
un nivel mai nalt de integritate (No Write Up, Nu scrie deasupra);
un subiect de pe un anumit nivel de integritate nu poate solicita un subiect
situat pe un nivel de integritate superior.
Axiomele i modelul Biba sunt redate n figura 5.4.
Nivel de integritate ridicat
Subiect
Citire DA, conform

axiomei integritii
simple
Solicitare NU
Nivel de integritate medie
Subiect
Scriere DA, conform

axiomei integritii *
Nivel de integritate redus

Fig.5.4 : Modelul Biba
46
Departament k
Deseori, n realitate, preocuprile noastre s-au

concentrat nu ctre prevenirea curgerii n jos a informaiilor, ci
ctre stoparea fluxurilor ntre diferite compartimente. n astfel
de sisteme, n locul frontierelor orizontale, aa cum recomand
modelul Bell-LaPadula, s-au creat altele verticale, conform
figurii 5.5.
Departament 2
5.2. Modele ale securitii multilaterale
Departament 1
n practic au fost implementate mai multe tipuri de sisteme de securitate

multinivel, cum sunt SCOMP, Blocker, MLS Unixe, CMWs, NRL Pump, MLS
Logistics, Purple Penelope .a.
Date partajate
Fig. 5.5: Modelul
securitii multilaterale
Acest control al fluxurilor informaionale laterale este unul organizaional, aa

cum este cel al organizaiilor secrete, pentru pstrarea n tain a numelor agenilor care
lucreaz n alte ri, fr s fie cunoscui de alte departamente speciale. La fel se
ntmpl i n companii, unde separarea vertical a compartimentelor, dup funciile
ndeplinite (producie, comercial, personal-salarizare .a.), conduce la o situaie
identic.
Exist cel puin trei modele diferite de implementare a controlului accesului i de
control al fluxurilor informaionale prin modelul securitii multilaterale. Acestea
sunt:
compartimentarea, folosit de comunitatea serviciilor secrete;
zidul chinezesc, folosit la descrierea mecanismelor utilizate pentru
prevenirea conflictelor de interese n practicile profesionale;
BMA (British Medical Association), dezvoltat pentru descrierea fluxurilor
informaionale din domeniul sntii, conform cu etica medical.
Compartimentarea i modelul reea
Ani muli acest model a servit ca practic standard, n SUA i guvernele aliate,
pentru restricionarea accesului la informaii, prin folosirea cuvintelor-cod i a
clasificrilor. Este arhicunoscut cuvntul-cod Ultra, folosit n cel de-al doilea rzboi
mondial, de ctre englezi i americani, pentru decriptarea mesajelor criptate de germani
cu maina Enigma. Cercul persoanelor cu acces la mesajele decriptate fiind foarte redus,
numrul autorizrilor pentru informaii de pe cel mai nalt nivel de clasificare era mult
mai mare. Prin folosirea cuvintelor-cod se creeaz o puternic subcompartimentare,
chiar a categoriei strict secret i deasupra ei.
Cuvintele-cod sunt folosite pentru crearea grupurilor de control al accesului
printr-o variant a modelului Bell-LaPadula, numit modelul reea. Clasificrile,
mpreun cu cuvintele-cod, formeaz o reea, conform figurii 5.6. Potrivit modelului, o
persoan autorizat s aib acces la informaii SECRETE nu poate accesa informaii
SECRETE CRIPTO, dac nu are i autorizaie pentru CRIPTO.
Ca un sistem s rspund acestor cerine, va trebui ca problemele clasificrii
informaiilor, ale autorizrii persoanelor i ale etichetelor ce nsoesc informaiile s se
transfere n politica de securitate pentru a defini intele securitii, modul de
implementare i evaluare.
47
(Strict secret, [cripto, luna ])

(Strict secret, [cripto])
(secret, [cripto, luna ])
(Strict secret, [])
(secret, [cripto])
(secret, [])
(neclasificate, [])
Fig. 5.6: Model reea cu etichete de securitate.
Modelul zidului chinezesc

Modelul a fost realizat de Brewer i Nash. Numele provine de la faptul c
firmele care presteaz servicii financiare, cum sunt bncile de investiii, au normele lor
interne pentru a preveni conflictul de interese, norme numite de autori zidul chinezesc.
Aria de aplicare este, ns, mai larg. Se poate spune c toate firmele prestatoare de
servicii au clienii lor i pentru a-i pstra se afl ntr-o veritabil competiie. O regul
tipic este urmtoarea: un partener care a lucrat recent pentru o companie dintr-un
anumit domeniu de activitate nu poate s aib acces la documentele companiilor din
acel domeniu, cel puin pentru o perioad controlat de timp. Prin aceasta,
caracteristica modelului zidului chinezesc const ntr-un mix de libertate de opiune i
de control obligatoriu al accesului: oricine este liber s lucreze la orice companie, dar
ndat ce a optat pentru una, se supune restriciilor ce opereaz n domeniul respectiv
de activitate.
Modelul zidului chinezesc introduce principiul separrii obligaiilor de serviciu:
un utilizator anume poate s prelucreze tranzaciile A sau B, nu amndou. Aadar,
putem spune c modelul zidului chinezesc aduce elemente noi pe linia controlrii
accesului.
Modelul BMA (British Medical Association)
n domeniul medical sunt confruntri serioase privind tocmai sistemele de
securitate a datelor pacienilor. n efortul multor ri de a introduce carduri inteligente
cu datele medicale personale, se nregistreaz o puternic opoziie din partea publicului.
Acesta invoc vulnerabilitatea individului prin trecerea informaiilor despre anumite
boli foarte grave, purtate pn acum pe brara de la mn, pe cartela inteligent, ceea
ce va face ca atunci cnd se va afla n avion, n ri strine, s fie foarte greu sau chiar
imposibil s i se citeasc informaiile respective. O alt problem se refer la pstrarea
secretului datelor personale sau a unei pri dintre acestea.
Cea mai mare temere vine din cauza proliferrii practicilor de inginerie social,
putndu-se afla cu mult uurin date personale din baze de date medicale.
Scopul modelului politicii de securitate BMA este acela de consolidare a
principiului consimmntului pacientului i de a preveni accesul prea multor persoane
la datele personale din bazele de date ce le conin. Totul s-a rezumat la un nou sistem de
codificare. Politica BMA se bazeaz pe nou principii, formulate foarte pe scurt astfel:
48
controlul accesului,
deschiderea nregistrrilor, c
ontrolul modificrilor din liste,
consimmntul i notificarea clientului,
persistena,
marcarea accesului pentru a servi ca prob n justiie,
urmrirea fluxului informaiilor,
controlul agregrii informaiilor,
ncrederea n sistemele informatice.
Unii autori susin c politicile de securitate deseori nseamn un abuz de mijloace

pur manageriale, neglijndu-se trei termeni precii, utilizai pentru descrierea
specificaiilor tehnice ale cerinelor sistemelor de securitate, prezentai n continuare.
Modelul politicii de securitate este o declaraie succint a proprietilor sau
principiilor securitii, ca un sistem sau ca un tip generic de sistem. Punctele sale
eseniale pot fi consemnate n scris, pe cel mult o pagin, iar documentul respectiv
prevede scopurile proteciei unui sistem, agreate de ntreaga comunitate sau de linia
managerial a clienilor. Un astfel de model constituie baza de pornire a analizelor
formale matematice.
inta securitii este o descriere mult mai detaliat a mecanismelor de protecie
oferite de o anumit variant de implementare, precum i a modului n care ele concur
la atingerea obiectivelor de control ale sistemului. inta securitii formeaz baza testrii
i evalurii produsului implementat.
Profilul proteciei, ca i inta securitii, exprim o cale independent de
implementare, care s permit evaluri comparative ale produselor sau versiunilor lor.
5.3. Programul de securitate

Programul de securitate al unei companii trebuie s se supun unor elemente
constitutive, i anume: efectuarea structurrii programului de securitate, definirea
politicilor de securitate, a standardelor, normelor i a procedurilor.
Fr politici riguroase, programele de securitate vor fi aproape fr suport,
ineficiente i nu se vor alinia strategiei i obiectivelor organizaiei. Politicile,
standardele, normele i procedurile constituie fundaia programului de securitate al
organizaiei. Politicile eficiente, clar formulate, vor servi proceselor de auditare i
eventualelor litigii. Combinnd elementele specificate, o entitate poate implementa
controale specifice, procese, programe de contientizare i multe altele, tocmai pentru ai aduce un plus de linite. Spune romnul: paza bun trece primejdia rea.
5.3.1. Politicile de securitate
Atunci cnd ne referim la securitate informaional, noiunea de politic de
securitate poate avea mai multe nelesuri, iat cteva dintre ele:
politica de firewall-uri, utilizate pentru controlarea accesului i a traseelor pe
care circul informaiile;
lactele, cardurile de acces, camerele de luat vederi ce nregistreaz totul din
perimetrele controlate.
49
La implementarea politicilor de securitate, trebuie pornit de la vrful piramidei

manageriale, unde se afl top managerii. Acetia au misiunea de a formula Declaraia
politicii organizaiei. Aceasta este o formulare general, o declaraie din care s reias:
importana resurselor informaionale pentru atingerea obiectivelor strategice ale
organizaiei;
formularea clar a sprijinului acordat tehnologiilor informaionale n unitate;
angajamentul top managerilor de a autoriza sau coordona activitile de definire
a standardelor, procedurilor i normelor de securitate de pe nivelurile inferioare.
n afara declaraiei politicii de securitate la nivelul top managerilor, exist i
politici obligatorii, politici recomandate i politici informative.
Politicile obligatorii sunt politici de securitate pe care organizaiile sunt
obligate s le implementeze ca efect al acordurilor, regulamentelor sau al altor prevederi
legale. De regul, aici se ncadreaz instituiile financiare, serviciile publice sau orice alt
tip de organizaie care servete interesului public. Aceste politici sunt foarte detaliate i
au elemente specifice, n funcie de domeniul de aplicare.
De regul, politicile obligatorii au dou scopuri de baz:
asigurarea c o organizaie urmeaz procedurile standard sau politicile de baz
din domeniul ei de activitate;
de a oferi ncredere organizaiilor c ele urmeaz standardele i politicile de
securitate din domeniul de activitate.
Politicile recomandate, prin definiie, nu sunt obligatorii, dar sunt puternic
susinute, cu prezentarea consecinelor foarte dure n cazul nregistrrii eecurilor. O
organizaie este direct interesat ca toi angajaii ei s considere aceste politici ca fiind
obligatorii. Cele mai multe politici se ncadreaz n aceast categorie. Ele sunt foarte clar
formulate la toate nivelurile. Cei mai muli angajai vor fi riguros controlai prin astfel
de politici, definindu-le rolurile i responsabilitile n organizaie.
Politicile informative au scopul de a informa cititorii. Nu poate fi vorba de
cerine specifice, iar interesaii de aceste politici pot s se afle n interiorul organizaiei
sau printre partenerii ei.
Elementelor comune tuturor politicilor de securitate, astfel:
domeniul de aplicare: declararea domeniului de aplicare nseamn prezentarea
inteniei vizate de politic i ea va scoate n relief i legturile existente cu
ntreaga documentaie a organizaiei. Formularea trebuie s fie scurt i se
plaseaz la nceputul documentului;
declararea politicii top managerilor se include la nceputul documentului i are
dimensiunea unui singur paragraf, specificnd scopul global al politicii;
responsabilitile constituie coninutul unei seciuni distincte i cuprind
persoanele implicate n asigurarea bunei funcionri a politicii;
consecinele: printr-o astfel de formulare se prezint pierderile posibile dac
politica nu va fi respectat;
monitorizarea: se specific modul n care se monitorizeaz respectarea i
actualizarea continu a politicii;
excepiile: se menioneaz cazurile n care apar excepii i modalitile de tratare
a lor; de regul, au o durat limitat de aplicare, de la un caz la altul.
50
5.3.2. Standardele, normele i procedurile de securitate

Pe nivelul inferior politicilor se afl trei elemente de implementare a politicii:
standardele, normele i procedurile. Ele conin detaliile politicii, cum ar fi posibilitile
de implementare, ce standarde i proceduri s fie ntrebuinate. Ele sunt fcute publice la
nivel de organizaie, prin manuale, Intranet, cri, cursuri .a.
De cele mai multe ori, standardele, normele i procedurile sunt tratate laolalt,
dar nu este cea mai inspirat idee, fiindc tratarea separat a lor este justificat de
urmtoarele argumente:
fiecare dintre ele servete unei funcii diferite i are propria audien; chiar i
distribuia lor fizic este mai lejer;
controalele securitii pe linia confidenialitii sunt diferite pentru fiecare tip de
politic;
actualizarea i ntreinerea politicii ar deveni mai anevoioase, prin prisma
volumului documentaiei, dac s-ar trata nedifereniat.
Standardele
Standardele specific utilizarea anumitor tehnologii, ntr-o viziune uniform. De
regul, standardele sunt obligatorii i sunt implementate la nivel de unitate, tocmai
pentru asigurarea uniformitii. Elementele principale ale unui standard de securitate
informaional sunt:
scopul i aria de aplicare, prin care se ofer o descriere a inteniei standardului
(realizarea unui tip de server pe o anumit platform);
roluri i responsabiliti la nivel de corporaie pe linia definirii, execuiei i
promovrii standardului;
standardele cadrului de baz, prin care sunt prezentate declaraiile de pe cel mai
nalt nivel, aplicabile platformelor i aplicaiilor;
standardele tehnologiei conin declaraiile i descrierile aferente
(configuraia sistemului sau serviciile nesolicitate de sistem);
standardele administrrii reglementeaz administrarea iniial i n timpul
exploatrii platformei i aplicaiilor.
Normele
Normele sunt oarecum asemntoare standardelor, referindu-se la metodologiile
sistemelor securizate, numai c ele sunt aciuni recomandate, nu obligatorii. Sunt mult
mai flexibile dect standardele i iau n considerare naturile diverse ale sistemelor
informaionale. Ele specific modalitile de dezvoltare a standardelor sau garanteaz
aderena la principiile generale ale securitii.
Elementele principale ale unei norme de securitate informaional sunt:
scopul i aria de aplicare, descriindu-se intenia urmrit prin regula respectiv;
roluri i responsabiliti pe linia definirii, execuiei i promovrii normei;
declaraii de orientare: este un proces pas-cu-pas de promovare a tehnologiilor
respective;
declaraii de exploatare: se definesc obligaiile zilnice, sptmnale sau lunare
pentru o corect exploatare a tehnologiei respective.
Procedurile
Procedurile prezint paii detaliai ce trebuie s fie parcuri pentru execuia unei
activiti. Se descriu aciunile concrete pe care trebuie s le efectueze personalul. Prin
51
ele se ofer cele mai mici detalii pentru implementarea politicilor, standardelor i
normelor. Uneori se folosete n locul acestui concept cel de practici.
5.3.3. Aspecte practice ale politicii de securitate informaional
Realizarea propriei politici de securitate presupune acoperirea mai multor
domenii diferite, iar conform standardului internaional de definire a politicii de
securitate, ISO 17799, acestea sunt:
1. Planificarea funcionrii nentrerupte a unitii, cu obiectivul contracarrii
ntreruperilor de activitate ale unitii i ale proceselor principale ca efect al unor
accidente majore sau dezastre.
2. Controlul accesului n sistem, cu obiectivele:
a. controlarea accesului la informaii;
b. prevenirea accesului neautorizat n sistemul informaional;
c. asigurarea proteciei serviciilor prestate n reea;
d. prevenirea accesului neautorizat la calculatoare;
e. detectarea activitilor neautorizate;
f. asigurarea securitii informaiilor cnd se folosesc comunicaiile mobile i
tele-activitile.
3. Dezvoltarea i ntreinerea sistemului, cu obiectivele:
a. asigurarea securitii prin sistemul operaional;
b. prevenirea pierderilor, modificrilor sau folosirii inadecvate a datelor din
aplicaiile sistemului;
c. protejarea confidenialitii, integritii i autenticitii informaiilor;
d. asigurarea c proiectele informatice i activitile colaterale se deruleaz
dup proceduri sigure;
e. meninerea securitii softului i datelor din aplicaiile sistemului.
4. Securitatea fizic i a mediului, cu obiectivele:
a. prevenirea accesului neautorizat, a distrugerilor i interferenelor cu
informaiile i celelalte componente ale sistemului;
b. prevenirea pierderilor, distrugerilor sau compromiterilor valorilor
patrimoniale, precum i stoparea ntreruperilor de activitate;
c. prevenirea compromiterii sau furtului de informaii i al altor resurse
informaionale.
5. Maleabilitatea, cu obiectivele:
a. prentmpinarea nclcrii cadrului juridic, a celui statutar, regulamentar sau
a oricrei obligaii contractuale, precum i a cerinelor pe linia securitii;
b. asigurarea maleabilitii sistemului la politicile i standardele
organizaionale pe linia securitii;
c. maximizarea eficienei procesului de auditare a sistemului i minimizarea
interferenelor cu acesta.
6. Securitatea personalului, cu obiectivele:
a. diminuarea riscurilor provocate de factorul uman, fraud sau folosirea
ilegal a componentelor sistemului;
b. asigurarea c utilizatorii sunt contieni i preocupai de prentmpinarea sau
diminuarea ameninrilor asupra securitii informaiilor, susinnd politica
de securitate a organizaiei prin tot ceea ce fac zi de zi;
c. minimizarea pagubelor provocate de incidentele aprute n sistem sau de
proasta funcionare a acestuia, precum i reinerea incidentelor ca lecii
52
pentru viitor.
7. Organizarea securitii, cu obiectivele:
a. asigurarea managementului securitii informaionale n cadrul organizaiei;
b. asigurarea securitii componentelor folosite n prelucrarea informaiilor
organizaiei accesate de ctre teri;
c. asigurarea securitii informaiilor cnd responsabilitatea prelucrrii acestora
revine unei alte organizaii, ca serviciu externalizat.
8. Managementul resurselor informatice i al exploatrii lor, cu obiectivele:
a. asigurarea funcionrii corecte i sigure a componentelor sistemului
informatic;
b. minimizarea riscului cderii sistemului;
c. protejarea integritii softului i a informaiilor;
d. asigurarea integritii i disponibilitii informaiilor prelucrate i
comunicate;
e. asigurarea ncrederii n informaiile din reele i protejarea infrastructurii
corespunztoare;
f. prevenirea pierderilor de valori patrimoniale i a ntreruperilor de activitate;
g. prevenirea pierderilor, modificrilor sau utilizrilor ilegale n schimburile de
informaii cu alte organizaii.
9. Clasificarea i controlarea valorilor patrimoniale, cu obiectivele:
a. meninerea unei protecii corespunztoare a valorilor patrimoniale ale
organizaiei;
b. oferirea ncrederii c valorile patrimoniale informaionale au asigurat un
nivel de protecie corespunztor .
10. Politica de securitate, cu obiectivele:
a. oferirea de direcii manageriale;
b. sprijinirea aciunilor ntreprinse pe planul securitii informaionale. Fiecare
dintre cele zece seciuni are n structur descrieri detaliate prin care se
definete standardul ISO 17799.
5.3.4. Exemple de politici de securitate
De remarcat c nu exist dou organizaii care s aib politici de securitate
identice. Din analizarea mai multor politici de securitate se poate realiza o structur
general a acestora, care va fi prezentat n continuare.
Astfel, se ncepe cu un program de securizare a sistemelor informaionale,
situaie n care se folosete conceptul de politica programului de securitate
informaional. Ea este acoperiul sub care se vor realiza politici tehnice de securitate,
standarde i norme de aplicare. ntr-o unitate sunt necesare politici speciale pentru
utilizarea Internetului i a e-mail-ului, pentru accesarea de la distan a sistemului,
pentru modurile de utilizare a unui sistem informatic, pentru protecia informaiilor .a.
Aadar, se poate spune c printr-o politic a programului de securitate informaional se
definete politica de ansamblu a organizaiei n acest domeniu, precum i
responsabilitile din sistem. n aceste condiii, politicile ce se vor emite sunt
componente eseniale ale programului i ele trebuie s rspund la cinci obiective
majore:
prevenire: abilitatea de prevenire a accesului neautorizat la valorile patrimoniale
ale organizaiei;
asigurare: asigurarea c politicile, standardele i normele sunt n concordan cu
53
inteniile organizaiei pe linia protejrii valorilor patrimoniale informaionale;

detectare: abilitatea de a detecta intruii din sistem i de a lansa arsenalul de
contramsuri corespunztoare;
investigare: capacitatea de a folosi tehnici adecvate pentru obinerea
informaiilor despre posibilii intrui din sistem;
continuitate: posibilitatea de a garanta funcionarea nentrerupt prin existena
unui plan de aciune n cazul dezastrelor, dezvoltat i testat n organizaie.
n continuare, vom face o descriere succint a ctorva politici

Politica utilizrii adecvate
O astfel de politic trebuie s analizeze i s defineasc utilizarea
corespunztoare a resurselor informatice din organizaie. Utilizatorii trebuie s o
citeasc i semneze atunci cnd i exprim intenia de deschidere a unui cont de
utilizator. Responsabilitile utilizatorului pentru protejarea informaiilor, memorate n
conturile lor, trebuie s fie formulate explicit, ca i nivelurile de utilizare a Internetului
i e-mail-ului. Politica, de asemenea, trebuie s rspund urmtoarelor ntrebri:
Trebuie ca utilizatorii s citeasc i copieze fiiere care nu sunt ale lor, dar la care
au acces?
Trebuie ca utilizatorii s modifice fiierele la care au drept de scriere, dar nu
sunt ale lor?
Trebuie ca utilizatorii s fac copii ale fiierelor de configurare a sistemului, n
scopul folosirii personale sau s le dea altora?
Trebuie ca utilizatorii s foloseasc n comun conturile deschise?
Trebuie ca utilizatorii s aib dreptul de a face oricte copii de pe softul care e
procurat cu licen de utilizare?
Politica privind conturile utilizatorilor
Politica vizeaz normele dup care se formuleaz cererile de deschidere a
conturilor din sistem i cum se efectueaz ntreinerea lor. Este foarte util n
organizaiile mari, n care utilizatorii au conturi n mai multe sisteme. Este recomandat
modalitatea de citire i semnare a politicii de ctre utilizator. O astfel de politic trebuie
s ofere rspunsuri la ntrebri de genul:
Cine are autoritatea aprobrii cererilor de noi conturi-utilizator?
Cui (angajailor, soiilor/soilor, rudelor, copiilor, vizitatorilor .a.) i este permis
s foloseasc resursele informatice ale organizaiei?
Poate un utilizator s aib mai multe conturi n acelai sistem?
Pot folosi utilizatorii n comun aceleai conturi?
Care sunt drepturile i obligaiile utilizatorilor?
Cnd va fi dezactivat i arhivat un cont?
Politica accesului de la distan

Prin ea se definesc modalitile de conectare de la distan la reeaua intern a
organizaiei. Ea este necesar n organizaiile care au utilizatori i reele dispersate
geografic. Politica trebuie s rspund urmtoarelor ntrebri:
Cine poate s aib dreptul accesrii de la distan?
54
Ce metode sunt acceptate de organizaie (dial-up, modem)?

Este permis accesul din afar la reeaua intern prin modem?
Se impun anumite condiii, cum ar fi soft antivirus i de securitate, pentru
accesarea de la distan?
Pot ali membri ai familiei s acceseze reeaua?
Sunt restricii privind tipul datelor ce pot fi accesate de la distan?
Politica proteciei informaiilor

Printr-o astfel de politic se aduc la cunotina utilizatorilor condiiile
prelucrrii, stocrii i transmiterii informaiilor sensibile. Scopul principal al acestei
politici este asigurarea c informaiile sunt protejate, n mod corespunztor, mpotriva
modificrilor sau dezvluirii neautorizate. O astfel de politic trebuie semnat de toi
angajaii. Ea trebuie s dea rspuns cel puin la urmtoarele ntrebri:
Care sunt nivelurile de sensibilitate ale informaiilor?
Cine poate s aib acces la informaiile sensibile?
Cum sunt stocate i transmise informaiile sensibile?
Ce niveluri de informaii sensibile pot fi listate pe imprimante publice?
Cum trebuie s fie terse informaiile sensibile de pe suporturi (tocarea i arderea
hrtiilor, curirea discurilor .a.)?
Politica gestionrii firewall-urilor
Politica gestionrii firewall-urilor descrie modul n care sunt gestionate hardul i
softul i cum sunt formulate i aprobate cererile de schimbare din sistem. O astfel de
politic trebuie s dea rspuns la urmtoarele ntrebri:
Cine are acces la sistemele firewall?
Cine trebuie s primeasc solicitrile de efectuare a schimbrilor n configuraia
firewall-urilor?
Cine trebuie s aprobe efectuarea schimbrilor n configuraia firewall-urilor?
Cine poate s vad normele i listele de acces la configuraia firewall-ului?
Ct de des trebuie efectuat revizia firewall-urilor?
Politica accesului special
Prin ea se definesc condiiile formulrii cererilor de obinere a dreptului de
utilizare a unor conturi speciale din sistem (root, Administrator .a.). Ea trebuie s ofere
rspunsurile la urmtoarele ntrebri:
Cine trebuie s primeasc cererile pentru acces special?
Cine trebuie s aprobe cererile pentru acces special?
Care sunt regulile parolelor pentru conturile cu acces special?
Ct de des se schimb parolele?
Care sunt motivele sau situaiile ce vor conduce la revocarea privilegiului de a
avea acces special?
Politica de conectare la o reea local
Prin ea se definesc condiiile adugrii de noi echipamente la reea i trebuie s
rspund la ntrebrile:
Cine poate instala o resurs nou n reea?
Cine trebuie s aprobe instalarea de noi echipamente?
55
Cui trebuie s i se aduc la cunotin faptul c au fost adugate noi echipamente

n reea?
Sunt unele restricii pe linia securitii n legtur cu echipamentele adugate n
reea?
Politica partenerului de afaceri
O astfel de politic stabilete ce msuri de securitate trebuie s respecte fiecare
companie partener. Ea este o politic cu att mai necesar acum cnd organizaiile
ofer reeaua lor intern partenerilor, clienilor, furnizorilor. Dei o astfel de politic
este diferit de la o organizaie la alta, ea, totui, trebuie s ofere rspunsuri la
urmtoarele ntrebri:
I se cere fiecrei organizaii s aib scris o politic de securitate?
Trebuie ca fiecare organizaie s aib un firewall sau alte echipamente de
securitate a perimetrului?
Cum se vor realiza comunicaiile (linie nchiriat, VPN prin Internet .a.)?
Cum se vor formula cererile pentru accesarea resurselor partenerului?
Politica managementului parolelor
Deseori este inima politicilor de securitate dintr-o organizaie. De regul, ea
reglementeaz problemele expirrii parolelor, ale lungimii lor i altor verificri
necesare. Iat cteva recomandri de surprins printr-o astfel de politic:
lungimea minim a unei parole trebuie s fie de cel puin opt caractere;
parola nu trebuie s fie un cuvnt din dicionar;
ea trebuie s fie o combinaie de litere i simboluri speciale;
parola trebuie s expire dup o anumit perioad de timp predeterminat;
parolele administratorilor de reele trebuie s expire mult mai repede i trebuie
s fie mai lungi;
parolele din organizaie trebuie s difere de cele folosite n alte sisteme;
trebuie s fie pstrat o list cu vechile parole pentru a preveni reutilizarea
(ultimele ase parole nu trebuie s se repete);
parolele utilizatorilor noi trebuie s fie unice i greu de ghicit.
Politica folosirii Internetului
Politica utilizrii Internetului, referit deseori prin acronimul I-AUP (Internet
Acceptable Use Policy), este documentul prin care se detaliaz modurile n care
utilizatorii unei reele a organizaiei trebuie s foloseasc serviciul public Internet.
Politica va descrie softul folosit pentru filtrare i blocare, cu scopul protejrii
organizaiei, dar i activitile specifice permise, precum i cine sunt beneficiarii acestor
drepturi de acces i cui i se interzic. Ea este bine s se refere i la metodele de
autentificare naintea accesrii Internetului n afara organizaiei/rii pentru a preveni
personalul c folosete reeaua organizaiei n scopuri ilegale.
Protocoalele specifice acoperite printr-o politic de utilizare a Internetului sunt
urmtoarele:
Pota electronic. Aceasta vizeaz toate formele de e-mail utilizate de o
organizaie, definindu-se ceea ce se accept a se folosi, declarndu-se softul
utilizat pentru filtrare i scanare. Ea trebuie s sublinieze cerinele specifice
referitoare la datele ce nu pot fi transmise prin e-mail i procedurile de urmat n
cazul n care un utilizator primete mesaje cu date de acest gen. Prin aceast
politic trebuie prevzute i msurile luate n cazul nerespectrii condiiilor de
utilizare a e-mail-ului;
56
Web. Politica va prevedea condiiile specifice de realizare a traficului Web. Ct

timp WWW (World Wide Web) folosete HTTP-ul (HyperText Transport
Protocol) pentru transferarea informaiilor, prin politica de fa vor fi definite
clar tipurile de site-uri Web care sunt strict interzise, de genul celor porno,
jocurilor de noroc .a.;
FTP. Permind utilizatorilor accesul la FTP (File Transfer Protocol), se
deschide calea descrcrii cu uurin n sistemul organizaiei a viruilor, dar i
transmiterea pe serverele din afara orgnizaiei a unor informaii confideniale.
Pentru specialitii organizaiei trebuie s se asigure un nivel de acces FTP pentru
efectuarea unor descrcri de fiiere n vederea actualizrii softului existent, dar
politica de fa trebuie s stabileasc autorizrile de utilizare FTP;
Chat/IRC. IRC-ul (Internet Relay Chat) este mai puin folosit n mediul
organizaional fa de alte programe de chat (dialoguri Internet), cum sunt
Yahoo, ICQ i AOL Instant Messenger (AIM). Astfel de programe sunt foarte
riscante pentru organizaie deoarece informaiile sunt transmise unor servere
externe fr o protecie corespunztoare. Politica de fa trebuie s stabileasc
n ce msur produsele de tip chat servesc intereselor organizaiei.
n general, prin politica Internet se face referire la urmtoarele aspecte:
acceptarea folosirii i condiiile de accept pentru:
o descrcrile de fiiere;
o newsgroup-uri;
o comunicarea datelor sensibile;
o tipurile de fiiere ataate;
o dimensiunea mesajelor;
o softul f r licen;
o pachete de aplicaii soft neaprobate;
o exportul informaiilor sensibile;
o protecia fiierelor;
o protecia mpotriva viruilor;
managementul schimbrilor din sistem;
practicile de stocare a datelor;
siguran i disponibilitate;
protecia informaiilor prin clasificarea lor;
controlul accesului;
e-mail-ul i datele ce pot fi reinute/stocate n unitate;
monitorizarea;
excepiile i amendamentele politicii Internet.
57
6 Securitatea reelelor de calculatoare

6.1 Mecanisme utilizate n securizarea reelelor
Dynamic Host Configuration Protocol DHCP - este o modalitate rapid i
simpl de a asigna adrese IP unui numr mare de clieni.
Exist nevoia de a defini un interval de IP-uri valide i de a le asigna automat
clienilor din reea; de asemenea, a aprut nevoia de a defini o durata de viata unui IP.
6.1.1 Functionarea DHCP
DHCP implementeaz un model client-server i un agent cu rol de releu
(relay agent). Acest agent gestioneaz interaciunea dintre clieni i server. Deoarece
clientul este principalul partener de comunicaie n aceast situaie, el iniiaz toate
sesiunile cu serverul, lucru care are loc n faza de bootare. DHCP are urmtoarele
faciliti:
suport alocarea dinamic;
suport alocarea static;
repartizeaz adrese;
suporta repartizarea persistenta
reintegreaz repartiiile expirate.
n esen, DHCP este nsrcinat cu manipularea a dou seturi de date: repartiiile
(IP-urile alocate) i fondul de adrese (IP-uri disponibile). Repartiiile sunt alocate
clienilor conform unei proceduri, care este destul de simpl.
Cum primesc clienii numere IP
Iat modul de funcionare a DHCP din acest punct de vedere:
1. Clientul cere un IP printr-o difuzare de tip DhcpDiscover. Dac clientul are o
repartiie persistent, poate cere iniial acea repartiie.
2. Serverul alege un IP din fondul de adrese i ntoarce un pachet DhcpOffer cu
un IP disponibil ataat.
3. n cazul n care clientul dorete mai multe oferte IP, o va alege pe prima sau
pe cea cu repartiia dorit.
4. Clientul difuzeaz un pachet DhcpRequest cu un identificator pentru un server
i trece n ateptare
5. Fiecare server care analizeaz pachetul i nu i detecteaz identificatorul va
ignora pachetul. Dup ce serverul cu identificatorul corespunztor primete pachetul, el
va trimite un DhcpAck (sau DhcpNak - daca IP-ul cerut este deja alocat, ceea ce
nseamn c repartiia a expirat).
6. Dup ce clientul primete pachetul DhcpAck, el ncepe s foloseasc IP-ul
alocat. n cazul n care primete DhcpNak, va rula de la nceput secvena de cerere a
unui IP. Dac IP-ul reprezint o problema din punct de vedere al clientului, acesta
trimite un pachet DhcpDecline ctre server i reia secvena de cerere a unui IP.
58
Cap. 6 Securitatea reelelor de calculatoare
Funcionarea ntr-o reea LAN:

n etapa de lansare a sistemului de operare se emite o cerere de alocare IP
nsoit de adresa MAC a emitorului ctre toat reeaua va primi un rspuns de la
primul server DHCP mpreuna cu o adresa IP, masca, gateway-ul i serverele DNS.
Dac DHCP aloc unui utilizator nou o adres IP nerutabil cu care nu poate
face mai nimic. Trebuie luat legtura cu administratorul de sistem i memorat adresa
sa ntr-un tabel NAT.
NAT Networking Addressing Table tabel de adresare n reea este o
soluie care permite ca n zona reelei locale s se utilizeze exclusiv adrese private.
Routerul convertete toate cererile modificnd headerul care nsoete pachetul de date
astfel nct acestea s apar originate de ctre router i nu de sistemul din spatele lui.
Avantaje :
exist o singura adresa IP public i se pot deservi oricte adrese IP private;
ofer protecie pentru flood - ignora informaiile care nu adreseaz o adres
din tabela de NAT-are;
toi cei din reeaua local nu exist pentru reeaua Internet
un sistem local nu poate oferi un serviciu n afara zonei locale, cum ar fi un
setarea unui server
Se poate defini un DMZ zona demilitarizat astfel ncz toate sistemele s
primeasc informaii din reeaua WAN indiferent de coninutul tabelei de NAT-are.
n cazul n care ntr-un LAN exist 2 sau mai multe sisteme cu aceleai adrese IP
routerul le ignor cererile ceea nseamn ca nu va funciona nici unul dintre sisteme.
6.1.2 Noiuni privind securizarea reelei
Firewall-urile i serverele proxy, ca i criptarea i autentificarea, sunt proiectate
pentru asigurarea securitii datelor. Motivaia este simpl: dac se dispune de o
conexiune la Internet, teoretic, oricine, oriunde s-ar afla n lume, poate accesa reeaua
(n anumite condiii, evident). Dac nu exist nici un mecanism de securitate, orice
persoan care are acces la Internet, de oriunde din lume, poate folosi TCP/IP pentru a
trece prin gateway-ul reelei locale, ctre orice maina din reea.
Ideea este de a proteja dou lucruri: datele stocate n reea i echipamentele
hardware, conectate la reea. Intruii sau hackerii pot intra n reea i pot modifica orice,
pot accesa orice fel de date sau chiar pot cauza deteriorri fizice ale sistemelor.
Exist multe moduri n care intruii pot accesa o reea:
exploatnd bree de securitate din sistemele de operare i aplicaii;
pin "inginerie social", care const n convingerea cuiva, sub diferite
pretexte, s comunice nume i parole asociate.
Rolul unui firewall este s previn ptrunderile neautorizate.
O alta problem de securitate: blocarea serviciului (denial of service). Are loc
cnd hackerii nu v permit folosirea normal a propriilor sisteme. Blocare serviciului
are multe forme. Un exemplu tipic este inundarea unui serviciu (gen email), adic acelui
serviciului i sunt trimise att de multe date nct devine suprancrcat i se blocheaz
sau ruleaz n bucl infinit.
Exist mai multe modaliti de protejare a reelei.
59
O metod ar fi anonimatul: dac nimeni nu tie nimic despre reeaua dv, atunci
datele sunt n siguran. ns este o fals securitate, pentru c exista o mulime de
moduri prin care se poate afla ce se afl pe Internet.
Cea mai rspndit form de securitate se numete securitatea la nivel de gazd
(host security) i se refer la securizarea separat a fiecrei maini din reea. V bazai
pe acest tip de securitate cnd setai permisiunile de acces n Windows sau permisiunile
UNIX pentru fiiere i directoare. Este suficient ns o singur bre pentru ca ntreaga
reea s fie deschis hackerilor. De asemenea, pentru c securitatea la nivel de gazd nu
este aplicat egal tuturor mainilor, pot fi exploatate serviciile unei maini slab protejate
pentru a accesa o main cu securitate puternica.
6.1.3 Firewalls
Un firewall este un computer, un router sau orice alt dispozitiv de comunicaie
care controleaz fluxul de date ntre reele. n general, un firewall este prima linie
mpotriva atacurilor din afara reelei.
Poate fi implementat:
hardware - este un router special cu filtre adiionale i capaciti de
management;
software - ruleaz pe un sistem de operare oarecare i transform un PC ntrun firewall.
Conceptual, dispozitivele firewall pot aciona la :
nivelul "Retea" - sunt de obicei foarte rapide. Ele controleaz traficul pe baza
adreselor surs i destinaie, precum i a numerelor de port;
nivelul "Aplicaie" - nu permit traficul direct ntre reele. De obicei ele sunt
computere care ruleaz servere proxy. Acestea pot implementa proceduri de
securitate
specifice.
De
exemplu, se poate configura
aa
nct
s
permit
funcionarea
numai
a
protocolul de email.
Din cadrul aplicaiilor firewall ce
ofer o protecie bun la atacurile tipice
din reea putem aminti de Zone Alarm,
Agnitum Outpost i Firewall-urile
integrate din Windows XP i unele
variante din Linux.
De exemplu n Windows XP se
deschide
icoana
ce
reprezint
conexiunea curent spre Internet i se
activeaz firewall-ul, aa cum se poate
observa n figura 6.1.
Din opiunea Settings se pot
configura serviciile ce pot fi accesate de
Fig. 6.1: Activarea firewall-ului din WindowsXP
utilizatorii de pe Internet.
60
Fig. 6.2: Serviciile ce pot fi accesate prin Firewall i suportul pentru mesaje ICMP
Rolul firewall-urilor
Tipul de securitate important este securitatea la nivel de reea. Presupune
securizarea tuturor punctelor de acces la reea. Componenta cheia este acest firewall o
main care se comport ca o interfa ntre reea i Internet, avnd doar preocuparea
securitii. Un firewall are mai multe roluri:
permite accesul la reea numai din anumite locaii;
interzice utilizatorilor neautorizai s obin acces la reea;
foreaz traficul dinspre reea spre Internet s treac prin anumite puncte
securizate;
previne atacurile de tipul blocarea serviciului;
impune restricii asupra aciunilor pe care un utilizator de pe Internet le poate
face n reea.
Conceptul de firewall presupune canalizarea ntregului trafic ctre i dinspre
reea prin unul sau mai multe puncte care sunt configurate pentru a controla accesul i
serviciile.
Utilizarea firewall-urilor
Multe persoane consider un firewall ca fiind o singur main, ceea ce uneori
este adevrat. Exist maini dedicate doar acestei funcii. Totui, termenul firewall se
refer mai mult la funciile ndeplinite dect la un dispozitiv fizic. Un firewall poate
consta din mai multe maini care conlucreaz, sau pot fi folosite mai multe programe cu
funcie de firewall. Firewall-urile pot s ndeplineasc i alte funcii dect simpla
monitorizare a accesului la reea.
61
Firewall-urile nu sunt invincibile. Ele sunt vulnerabile din cauza defectelor de

proiectare, sau a implementrii (care necesit timp i bani pentru instalare i
configurare).
Un firewall ofer un singur punct de implementare a securitii din reea, deci
eventualele schimbri se fac pe o singur main i nu pe toate celelalte din reea (de ex,
se poate interzice accesul FTP anonim). Firewall-urile pot aplica politici de securitate la
nivelul ntregii reele, interzicnd de exemplu accesul la anumite servicii de pe Internet
pentru toi utilizatorii din reea.
Totui, orice firewall are limitri. Ele sunt utile doar pentru conexiunea reeaInternet. Ele nu opresc persoanele din reea s fac orice vor altor maini din reea.
Ele nu pot proteja mpotriva ptrunderilor neautorizate dac avei alte conexiuni,
ca un calculator care este conectat printr-un modem la Internet prin intermediul unui
ISP (conexiune care nu trece printr-un firewall). Un firewall nu poate preveni multe
probleme distribuite prin Internet, cum sunt viruii i caii troieni.
Exist dou moduri principale de implementare:
construirea unui firewall propriu din servicii de reea elementare.
cumprarea unui produs comercial.
La instalarea unui firewall, manual sau comercial, se pot controla mai multe
faete, depinde de administrator dac dorete sau nu activarea lor. Unele din aceste
faete ar fi:
serverele proxy
filtrele de pachete.
6.1.4 Proxy-uri
Soluie care permite accesarea informaiei de dup un router logic. Reprezint un
sistem de intermediere a traficului, adic primete cererile, identific rspunsurile, le
memoreaz i le trimite solicitantului.
Posed o adresa IP public i una privat deci este un sistem cu dou placi de
reea. Avantajul este CACHE-ul folosit de proxy. Fiecare pagin are o dat i o or
de expirare.
De asemenea se poate folosi un proxy transparent n sensul c cererea din router
este redirectat ctre un proxy.
Serverele proxy
Un astfel de server este plasat ntre reea i Internet i accept cereri pentru un
serviciu, le analizeaz i le trimite mai departe, n funcie de permisiuni. Serviciul de
proxy ofer o conexiune cu rol de nlocuitor pentru acel serviciu, motiv pentru care se
comport ca un intermediar (proxy). Serverul proxy se plaseaz la mijloc, ascunde
anumite informaii, dar permite desfurarea serviciului prin el.
Ideea este c, fr proxy, adresa IP a mainii gazd este trimis n
pachete, prin Internet. Hackerii pot determina dimensiunea reelei, de exemplu. Un
server proxy schimb adresa IP cu adresa lui i folosete o tabel intern pentru a
redirecta traficul care sosete i care pleac spre destinaiile corecte. Pentru exterior va
fi vizibil o singur adres IP (a serverului proxy).
62
Serverele proxy sunt ntotdeauna implementate prin software i nu trebuie s

fac parte dintr-un pachet de firewall, dei sunt de obicei incluse.
Windows XP suport mprirea conexiunii la Internet (Internet Sharing)
folosind opiunea Network Setup Wizard din Start/Settings/Network Connections. ns
soluia aceasta nu funcioneaz ntotdeauna.
O soluie mult mai bun pentru un server proxy este aplicaia software
FreeProxy (www.handcraftedsoftware.org)
Se configureaz programul
prin crearea unui serviciu IP n care
se alege placa de reea ce face
legtura la Internet. Sistemul pe
care funcioneaz aceast aplicaie
are dou plci de reea i se
comport ca un gateway.
Fig. 6.3: Interfaa aplicaiei FreeProxy
Fig. 6.4: Setarea unui gateway

Opiunea Permissions ofer selecia unui serviciu Proxy i a drepturilor ce pot fi
oferite diverilor utilizatori. Pornirea serverului Proxy se execut prin selectarea opiunii
Start/Stop.
Odat executat, aplicaia Proxy rmne rezident n memorie i pornete
automat la deschiderea calculatorului i iniializarea sistemului de operare.
Pe celelalte calculatoare, care au acces prin acest proxy server trebuie realizate
cteva setri. Astfel din Control Panel avem Internet Options, Connections i apoi Lan
Settings unde trebuie bifat opiunea de folosire a unui server Proxy i introdus adresa
IP mpreuna cu portul de acces al acestuia.
63
6.1.5 Filtrele de pachete

Un astfel de sistem permite pachetelor s
treac din reea ctre Internet i invers, dar selectiv.
Pachetele sunt identificate dup tipul aplicaiei care
le-a construit (unele informaii se afla n antet).
Antetul unui pachet TCP/IP conine adresele IP surs
i destinaie, porturile surs i destinaie i aa mai
departe. Dac se decide blocarea oricrui trafic FTP,
de exemplu, software-ul de filtrare a pachetelor va
detecta toate pachetele care au numrul de port 20 sau
21 i le va interzice trecerea.
Unii cred c se poate ocoli un sistem de
filtrare schimbnd numrul portului, lucru posibil
Fig. 6.5: Pornirea serverului Proxy
ntr-o oarecare msura. Totui, deoarece software-ul
de filtrare este rezident n reeaua dv, el poate determina ctre ce interfa se ndreapt
pachetul i de unde provine. n consecin, chiar dac numerele de port TCP sunt
diferite, software-ul de filtrare poate uneori s blocheze corect traficul.
Se poate folosi software-ul de filtrare a pachetelor n mai multe moduri. Cel mai
obinuit, se blocheaz un serviciu, gen FTP sau Telnet. Se pot desemna de asemenea
maini care trebuiesc mpiedicate sau lsate s acceseze reeaua de exemplu, dac se
constat ca o anumit reea a fost sursa unor probleme, se poate comanda software-ul
aa nct s resping orice pachet de la acea reea. n unele cazuri se pot bloca toate
serviciile, sau se poate permite numai anumitor servicii, gen e-mail, se treac prin filtru.
6.2 Reele VPN

O soluie alternativ o constituie o reea VPN (Virtual Private Network).
Reelele VPN sunt bazate pe o infrastructur accesibil n mod public, cum ar fi
Internetul sau reeaua de telefonie.
Ele prezint diferite forme de criptare i au de obicei procedee solide de
autentificare a utilizatorului.
n esen, VPN este o form de WAN; diferena este utilizarea de reele publice
mai degrab dect linii private (nchiriate). O reea VPN are aceleai servicii Intranet ca
i WAN, dar suport i servicii de acces la distan (liniile nchiriate, din cazul WAN,
nu se extind de obicei la case particulare i nu se aplic n cazul cltoriilor).
Un utilizator VPN se poate conecta printr-un ISP (Internet Service
Provider) n modul obinuit, eliminnd costurile legate de accesul la distante mari.
Utilizatorul poate iniia o cerere "tunnel" ctre serverul destinaie. Serverul
autentific utilizatorul i creeaz celalalt capt al "tunelului".
Softul VPN cripteaz datele, le formateaz n pachete IP (pentru compatibilitate
Internet) i le trimite prin "tunel", unde sunt decriptate la celalalt capt.
Exista cteva "tunneling protocol":
Point-to-Point Tunneling Protocol (PPTP)
Layer 2 Tunneling Protocol (L2TP)
IP security (IPsec)
64
6.2.1 Point-to-Point Tunneling Protocol (PPTP)

Este rezultatul cooperrii dintre mai multe firme (3Com, US Robotics, Microsoft
etc). Utilizatorii pot s se conecteze telefonic (dial-in) la furnizorul de servicii Internet
(ISP) local i apoi s se conecteze securizat printr-un tunel virtual la reeaua corporaiei
lor.
PPTP este un protocol orientat pe modelul client/server, proiectat special
pentru asigurarea de tuneluri virtuale prin reele IP utiliznd PPP i nivelul 2. PPTP
suport mai multe conexiuni PPP printr-un singur tunel PPTP. Aceste tuneluri
virtuale sunt denumite n general reele virtuale private (VPN Virtual Private
Networks).
Fig. 6.6: Structura PPTP
Cea mai uzual implementare este de a oferi serviciul prin un punct de

prezen (Point of Presence POP) dial-up.
Dup ce conexiunea fizic a fost stabilit i utilizatorul autentificat, PPTP se
bazeaz pe PPP pentru crearea diagramelor. Apoi PPTP ncapsuleaz pachetele PPP
pentru transmisia prin tunelul IP.
Canalul de control separat
PPTP folosete dou canale pentru a suporta conexiunea:
un canal de date
un canal de control - ruleaz peste legtura TCP, portul 1723. Acest canal
conine informaii referitoare la starea legturii i mesaje de management.
Mesajele de management sunt responsabile cu stabilirea, gestionarea i
nchiderea tunelului PPTP.
Suportul pentru mai multe protocoale
O facilitate interesanta a PPTP este suportul pentru protocoale gen NetBEUI,
IPX sau AppleTalk. Deoarece PPTP este un protocol de nivelul 2, el include i un antet
de mediu de transmisie care i permite s opereze prin Ethernet sau conexiuni PPP.
Autentificarea i securitatea datelor
Criptarea i autentificarea datelor nu fac parte din PPTP. Acesta se bazeaz pe
funciile protocolul PPP.
Tipuri de tuneluri PPTP
Calculatorul utilizatorului va determina captul tunelului:
fie un server de acces de la distan (Remote Access Server RAS) al
ISP-ului ,
65
fie chiar calculatorul respectiv.

Exist tuneluri voluntare i tuneluri obligatorii.
ntr-un tunel voluntar, utilizatorul iniiaz conexiunea PPTP ctre un calculator
din corporaie. n acest caz, ISP nu trebuie dect s asigure servicii IP elementare. Dac
ISP asigur un server RAS, clientul are nevoie doar de PPP. n orice caz, utilizatorul nu
are control asupra tunelului.
n cazul tunelurilor obligatorii, avantajul este c folosirea Internetului poate fi
controlat de corporaii; de asemenea, au capacitatea de a grupa traficul, mai muli
clieni PPP putnd fi grupai ntr-o singur conexiune PPTP ctre Intranetul companiei.
6.2.2 Layer 2 Tunneling Protocol (L2TP)
Este asemntor cu PPTP, combinnd PPTP cu protocolul Layer 2 Forwarding
(L2F) de la firma Cisco. Avantajul este c poate fi compatibil cu alte medii de transfer,
precum ATM, i cu alte reele pe baza de pachete, gen X.25.
L2F
La fel ca i PPTP, L2F a folosit PPP ca suport pentru asigurarea conexiunii
iniiale i a serviciilor precum autentificarea. Spre deosebire de PPTP, L2F a folosit
Terminal Access Controller Access-Control System (TACACS) protocol brevetat de
Cisco, care ofer autentificare, autorizare i administrare.
L2F folosete i el definiii de conexiuni tunel. Suport i un nivel suplimentar
de autentificare. L2F ofer autentificare la nivel de gateway sau firewall.
Suportul pentru IPsec
IPsec difer de celelalte servicii pentru c este o specificaie deschis care
suport nu numai autentificarea, dar i securitatea.
Ca i PPTP, L2TP apeleaz la PPP pentru stabilirea conexiunii. L2TP se
ateapt ca PPP s stabileasc conexiunea fizic, s fac autentificarea iniial, s
creeze datagramele i, dup terminarea sesiunii, s nchid conexiunea. Dar L2TP
va comunica cu celalalt nod pentru a determina dac nodul care face apelul este
autorizat i dac punctul final dorete s suporte conexiune L2TP. Dac nu, sesiunea
este nchis.
Ca i PPTP, L2TP definete dou tipuri de mesaje:
de date
de control - folosite pentru a stabili i menine tunelul virtual i pentru a
controla transmisia i recepia datelor.
Spre deosebire de PPTP, care necesit dou canale, L2TP combin canalele de
date i de control ntr-un singur flux. ntr-o reea IP, acest lucru se prezint sub forma
mpachetrii datelor i a mesajelor ntr-o datagrama UDP.
Datele utile constau n esen din pachetul PPP, minus elementele de ncadrare
specifice mediului de transmisie. Deoarece L2TP este de nivel 2, el trebuie s nclud
un antet pentru mediul de transmisie cu scopul de a-i indica nivelului superior modul n
care trebuie transmis pachetul. Aceasta transmisie poate avea loc pe Ethernet, reele
frame relay, X.25, ATM, sau prin legtur PPP iniial.
Pentru reducerea congestionrii reelei, L2TP suport controlul fluxului.
Acesta este implementat ntr-un concentrator de acces L2TP (L2TP Access
Concentrator LAC), care funcioneaz ca server de acces la reea, i un server L2TP
de acces la reea (L2TP Network Access Server LNS), care are rolul de a asigura
66
accesul la reeaua corporaiei. Mesajele de control conin informaii privind ratele de

transmisie i parametrii zonelor tampon. Comunicndu-i reciproc aceste informaii,
serverele LAC i LNS pot controla fluxul de date.
Fig. 7: Structura L2TP
O alt metod pentru reducerea ncrcrii reelei este compresia anteturilor

pachetelor.
L2TP suport tot dou clase de conexiuni, ntr-o manier asemntoare cu
PPTP: tuneluri voluntare i obligatorii.
6.2.3 IPsec
Deoarece protocolul TCP/IP nu ofer nici un fel de protecie, au aprut mai
multe metode de a umple acest gol. De aceea, s-a lucrat la un set de protocoale numite
IPsec. Documentele pentru aceste standarde au fost gndite pentru standardul IPv6
(publicate n 1995), dar au fost modificate pentru adaptarea lor la IPv4. Arhitectura
IPSec este compus dintr-un set de protocoale pentru autentificarea pachetelor (AH),
criptarea i/sau autentificarea pachetelor (ESP) i mecanisme pentru stabilirea
parametrilor conexiunilor (SA-Security Associations) folosind IKE.
IPSec folosete un algoritm pentru schimbarea cheilor ntre pri, numit Internet
Key Exchange (IKE), care permite calculatoarelor s negocieze o cheie de sesiune n
mod securizat, folosind protocoalele ISAKMP pentru crearea de Security Associations
i OAKLEY bazat pe algoritmul Diffie-Hellman pentru schimbarea cheilor ntre cele
dou pri. IKE se poate folosi n conjuncie cu Kerberos, certificate X.509v3 sau chei
preshared.
Authentication Header (AH) este ataat fiecrei datagrame i conine
semntura sub form de hash HMAC cu MD5 sau HMAC cu SHA-1.
Encapsulated Security Payload (ESP) cripteaz coninutul pachetelor n dou
moduri: transport (protejeaz doar coninutul pachetului, nu i header-ul) sau tunel
(ntreg pachetul este criptat). ESP folosete de asemenea hash-uri HMAC cu MD5 sau
HMAC cu SHA-1 pentru autentificare i DES-CBC pentru criptare.
Regulile de baz pentru securizarea traficului cu IPSec

Crearea unei hri a traficului n reea ce include traficul care trebuie permis sau
blocat, punctele surs destinaie i informaiile despre protocoalele folosite.
Se creeaz filtre care corespund traficului de reea identificat anterior
67
7. Tehnici, servicii i soluii de securitate pentru

Intranet-uri i portaluri
7.1. Introducere
Cele mai multe aplicaii de securitate pot fi privite n termeni de servicii
generale pe care le pot oferi. Aplicaiile de securitate sunt instalate pentru a oferi un
nivel de baz al securitii sau funcii care mbuntesc securitatea operaional dintr-o
organizaie.
ntre serviciile de securitate sunt cuprinse i urmtoarele:
auditarea - un mecanism (de obicei un sistem de jurnalizare) care
nregistreaz evenimentele care pot s includ accesul utilizatorilor i al
fiierelor;
autentificarea - un mecanism prin care se identific n mod pozitiv un
utilizator prin cererea unor date de identificare (parol, smart card, amprente,
date biometrice, etc.);
autorizarea - resursele pe care un utilizator le poate accesa dup ce a fost
autentificat;
disponibilitatea - disponibilitatea unei resurse. Un atac mpotriva
disponibilitii unui sistem este cunoscut sub numele de Denial of Service
(DoS);
confidenialitatea - protecia informaiilor private sau sensibile;
integritate - protecia datelor mpotriva modificrilor neautorizate. Acest
lucru este important mai ales n instituiile financiare;
nerepudiere - un mecanism de prevenire a fraudelor prin care se dovedete
c un utilizator a executat o anumit aciune; Toate aceste aplicaii obin
nivelul dorit de protecie prin utilizarea criptografiei.
7.2. Criptografia
Criptografia este arta i tiina de a ine secrete datele, prin utilizarea criptrii
folosind un algoritm specific. Un algoritm (numit i cifru) este un proces matematic sau
o serie de funcii prin care se amestec datele. Cei mai muli algoritmi utilizeaz chei,
astfel nct algoritmii pot s nu fie unici pentru o tranzacie, iar detaliile algoritmilor
utilizai s nu fie secrete.
Termenul cheie se refer la informaia necesar pentru a cripta sau decripta
datele. Securitatea unei chei este deseori discutat n termeni de lungime sau bii ai
acesteia, dar o cheie de mrime mare nu garanteaz securitatea de ansamblu a
sistemului.
Exist dou tipuri generale de criptografie, definite n funcie de tipul de cheie
utilizat: criptografia cu cheie secret i criptografia cu cheie public. Cele mai multe
aplicaii utilizeaz principiile unuia sau a ambelor tipuri de criptografie.
68
Cap. 7 - Tehnici, servicii i soluii de securitate pentru Intranet-uri i portaluri
7.2.1. Criptografia cu cheie secret

Criptarea cu cheie secret, cunoscut sub numele de criptare simetric,
utilizeaz o singur cheie pentru a cripta sau decripta datele. Securitatea algoritmului cu
cheie secret este deseori legat de ct de bine este pstrat sau distribuit cheia secret.
Algoritmii de chei secrete sunt mprii n algoritmi de bloc (block cipher), care
proceseaz datele n blocuri msurate la un moment dat, sau algoritmi de iruri (stream
cipher), care proceseaz la un moment dat un singur byte. Algoritmii de bloc exceleaz
n criptarea datelor de lungime fix, n timp ce algoritmii de stream-uri sunt utilizai
ndeosebi la criptarea stream-urilor aleatoare de date, precum traficul de reea ntre dou
routere.
ntre avantajele criptrii cu cheie simetric se numr rapiditatea procesului de
criptare i simplitatea utilizrii acestuia. Dezavantajele sunt legate de distribuirea n
siguran a cheii secrete i de managementului cheilor.
Printre exemplele cele mai ntlnite de algoritmi cu cheie simetric cu criptare n
bloc se numr Data Encryption Standard (DES), International Data Encryption
Algorithm (IDEA), CAST-128 (numit dup inventatorii acestuia - Carlisle, Adams,
Stafford, Tavares) i Blowfish. Printre algoritmii de criptare a stream-urilor se numr
Ron 's Cipher 4 (RC4) i Software-Optimized Encryption Algorithm (SEAL).
7.2.2. Criptografia cu cheie public
Criptografia cu cheie public sau criptografia asimetric utilizeaz o pereche de
chei. Una dintre aceste chei, cheia public, este distribuit i publicat, n timp ce
cealalt cheie trebuie inut secret. Dat fiind numai cheia public, este imposibil s se
determine cheia secret. Chiar i cu cel mai modern hardware, algoritmii de generare a
cheilor publice utilizeaz intensiv procesorul.
Datorit acestei probleme legate de rapiditatea algoritmului, acetia nu sunt
utilizai pentru a cripta datele brute. n schimb, datele sunt criptate cu un algoritm
simetric. Multe din tehnologiile prezentate utilizeaz o combinaie de algoritmi cu cheie
public i secret n care criptografia cu cheia public este utilizat pentru a securiza
cheia simetric care este utilizat la criptarea datelor brute. O cheie simetric care a fost
securizat utiliznd un algoritm cu cheie public se numete plic digital.
Cheile private corespunztoare cheilor publice trebuie ntotdeauna securizate.
Unul dintre mecanismele utilizate pentru stocarea cheii private este smart card-ul - un
dispozitiv electronic asemntor unei cri de credit. Un smart card criptografic are
abilitatea de a genera i stoca chei n el nsui, asigurndu-se astfel faptul c cheia
privat nu este expus ctre maina local. Smart card-urile pot fi vulnerabile la atacuri,
dar ofer o mult mai mare securitate fa de stocarea cheilor private pe o main local.
Printre algoritmii cu cheie public se numr RSA, ElGamal i Diffie-Hellman
Hey Exchange.
7.2.3. Managementul cheilor i distribuia acestora
Una din problemele fundamentale att n sisteme de criptografie cu cheie
public ct i n cele cu cheie secret este modalitatea de distribuire i meninere a
cheilor utilizate pentru criptare i decriptare, n mod securizat.
Algoritmii cu cheie secret depind de obinerea n mod securizat a cheii de ctre
toate prile implicate. De exemplu, e-mail-ul nu este considerat un mecanism securizat
de distribuire a cheilor, deoarece tere pri l pot intercepta n tranzit.
69
O alt problem a criptografiei cu cheie secret este faptul c nu este un sistem

la fel de scalabil ca i criptarea cu cheie public. De exemplu, n cazul n care se dorete
trimiterea unui mesaj criptat cu o cheie secret ctre mai muli destinatari, toi trebuie s
primeasc cte o cheie prin care s se poat decripta mesajul. Astfel, expeditorul trebuie
s se asigure de faptul c toi destinatarii recepioneaz cheia, c aceasta nu este
interceptat sau compromis n timpul tranzitului i c este pstrat n mod securizat n
momentul atingerii destinaiei finale. Pentru fiecare mesaj nou trimis, procesul trebuie
s se repete, cu excepia faptului cnd se dorete reutilizarea cheii iniiale. Reutilizarea
cheii originale sporete ansele ca aceasta s fie compromis, iar n cazul n care se
dorete ca fiecare destinatar s aib o cheie secret, sistemul de distribuie nu mai este
gestionabil.
Prin utilizarea criptografiei cu cheie public are loc un singur schimb de chei
publice pentru fiecare destinatar, iar acest lucru poate fi uurat prin plasarea acestora
ntr-un director precum Lightweight Directory Access Protocol (LDAP). Totui, cheia
public trebuie schimbat printr-un mecanism de ncredere i securizat, avnd grij ca
acea cheie s aparin ntr-adevr unei anume persoane i nu unui ter care
impersoneaz persoana real.
7.2.4. Funciile Hash
O funcie hash ofer un mijloc de a crea un coninut cu lungime fix prin
utilizarea unor date de intrare cu lungime variabil. Acest lucru mai este cunoscut i sub
numele de luarea unei amprente a datelor, iar datele de ieire sunt cunoscute sub
numele de message digest sau hash. n cazul n care datele se modific dup ce a fost
calculat funcia hash, aceast valoare nu se va mai potrivi la o a doua calculare. Prin
utilizarea unui algoritm hash criptografic, chiar i o mic modificare precum tergerea
sau adugarea unei virgule dintr-o propoziie va crea mari diferene ntre valorile hash.
De asemenea, la polul opus, avnd la dispoziie un mesaj hash criptat cu un algoritm
criptografic puternic, nu este posibil determinarea mesajului iniial.
Valorile hash rezolv problema integritii mesajelor, deoarece prin aceste valori
se poate verifica dac datele au fost sau nu modificate.
ntre algoritmii de tip hash se numr Secure Hash Algorithm 1 (SHA-1) i
Message Digest 5 (MD 5).
Securitatea general att a cheilor publice ct i a celor private poate fi discutat
i n termeni de lungime. O cheie de mrime mare nu garanteaz securitatea de
ansamblu a sistemului sau gestiunea securizat a cheilor. De asemenea, aceasta nu
rezolv alte probleme, precum generarea de numere aleatoare (slaba utilizare a generrii
de numere aleatoare a compromis implementarea SSL original n browser-ul
Netscape). Lungimea unei chei n sine indic numai faptul c algoritmul de criptare
utilizat este unul puternic.
Trebuie notat faptul c lungimea cheilor publice i secrete difer din punct de
vedere al mrimii i securitii. De exemplu, o cheie RSA de 512 bii ofer o securitate
mai mic dect o cheie de 128 bii de tip Blowfish. Tabelul 7.1 rezum anumite relaii
agreate ntre cheile publice (RSA) i cele secrete, din punct de vedere al lungimii.
70
Tabelul 7.1
Relaii agreate ntre lungimea cheii publice i cea a
cheii private
Lungime cheie secret (cifru bloc)
56 bii
80 bii
112 bii
128 bii
256 bii
Cheie RSA
512 bii
1024 bii
2048 bii
3072 bii
15360 bii
7.2.5. Utilizarea semnturilor digitale. Riscuri de securitate

Prin semnarea de ctre Preedintele SUA a The Electronic Signatures in Global
and National Commerce Act n 30 iunie 2000, semnturile digitale au devenit un subiect
din ce n ce mai important. Termenul de semntur electronic are interpretri mai
largi, pornind de la semnturi criptografice digitale pn la o imagine scanat a unei
semnturi de mn. n ambele cazuri, se definete calea pentru utilizarea legal a
semnturilor digitale n comunicaiile electronice.
Semnturile digitale pot ajuta la identificarea i autentificarea persoanelor,
organizaiilor i a calculatoarelor prin Internet, putnd fi utilizate i pentru a verifica
integritatea datelor dup terminarea tranzitului.
Semnturile digitale sunt asemntoare semnturilor de mn, care sunt utilizate
zilnic pentru a identifica un individ ntr-o manier legal. De exemplu, n momentul n
care o persoan se decide asupra termenilor unui contract, includerea unei semnturi de
mn indic faptul c acea persoan este de acord cu termenii acelui contract. n
continuare, persoana respectiv nu ar mai trebui s nege faptul c a semnat acel
document sau c termenii acelui contract nu corespund dorinelor lui, dect n caz de
falsificare. n mod asemntor, semnturile digitale pot identifica persoana care a
semnat o tranzacie sau un mesaj, dar spre deosebire de semnturile de mn, o
semntur digital poate ajuta n verificarea faptului c un document sau o tranzacie nu
a fost modificat fa de starea original din momentul semnrii.
Deosebirea principal fa de semntura de mn este aceea c, n cazul n care
sistemul a fost implementat corespunztor, semntura digital nu se poate falsifica. n
condiii ideale, acest lucru poate nsemna faptul c un mesaj semnat digital trebuie s
aparin persoanei a crei semntur apare n mesaj. Incapacitatea de a nega faptul c un
mesaj sau o tranzacie a fost executat (semnat, n acest caz) se numete nerepudiere.
Semntura digital ofer trei servicii de securitate de baz: autentificare,
integritate i nerepudiere.
Semnturile digitale obin un grad ridicat de securitate prin utilizarea a dou
tehnici de criptografie: criptarea cu cheie public i hashing. Crearea unei semnturi
digitale presupune hashing-ul datelor, apoi criptarea mesajului rezultat cu o cheie
privat. Orice persoan care deine cheia public corespondent va fi capabil s verifice
faptul c mesajul hash corespunde mesajului original.
Scopul semnturilor digitale este acela de a identifica n mod pozitiv expeditorul
unui mesaj i de a asigura faptul c datele nu au fost modificate. Dar, exist i probleme
71
care pot aprea n timpul instalrii i utilizrii acestei tehnologii n mod securizat. De
exemplu, utilizarea unui algoritm de hash slab ofer o securitate sczut n combinaie
cu un algoritm de criptare puternic. Din nefericire, simpla vizualizare a unui mesaj hash
nu este suficient pentru a detecta utilizarea unui algoritm slab.
nelegerea riscurilor asociate cu utilizarea semnturilor digitale presupune
nelegerea limitrilor acestei tehnologii. Astfel, o semntur digital, cnd nu este
legat de numele utilizatorului printr-un certificat digital, nu are nici o semnificaie.
Distribuirea securizat a semnturii digitale este singura garanie a securitii ei. n
cazul n care este nevoie de o distribuire la scar a cheilor publice pentru verificarea
semnturilor digitale, trebuie creat o baz de date la care persoanele interesate s aib
acces de citire, n timp ce scrierea trebuie restricionat cu cele mai puternice tehnologii.
Poate cel mai mare risc al semnturilor digitale este acordarea unei prea mari
ncrederi acestei tehnologii. Semnturile de mn pot fi falsificate sau fotocopiate ntrun nou document, dar acest lucru nu ar trebui s fie valabil ntr-un sistem de semnturi
digitale implementat n mod corespunztor. O semntur de mn poate s ofere o
certitudine pn la ruperea modelului de ncredere. Problema cu semnturile digitale
este aceea c nu se tie nc unde i cnd nu se mai poate vorbi de ncrederea acordat
sistemului.
7.2.6. Certificate digitale. Riscuri de securitate
O semntur digital n sine nu ofer o legtur puternic cu o persoan sau o
entitate. Cum se poate ti c o cheie public utilizat pentru a crea o semntur digital
aparine ntr-adevr unui individ anume i c acea cheie este nc valid? Pentru acest
lucru este necesar un mecanism care s ofere o legtur ntre cheie public i un individ
real, funcie ndeplinit de certificatele digitale.
Certificatele digitale pot oferi un nivel ridicat de ncredere asupra faptului c
persoana al crei nume apare pe acel certificat are ca i corespondent o anumit cheie
public. Aceast ncredere este realizat prin utilizarea unei tere pri, cunoscut sub
numele de Autoritate de Certificare (Certificate Authority - CA). O autoritate de
certificare semneaz un certificat n calitate de garant pentru identitatea unei persoane al
crei nume apare pe certificatul respectiv. Formatul curent acceptat pentru certificate
digitale este X.509v3.
Standardul X.509v3 definit n RFC 2459 descrie un format agreat de certificate
digitale. Acest standard definete elementele unui certificat:
Certificate Version - indic versiunea formatului unui certificat;
Serial Number - un numr unic asignat de ctre autoritatea de certificare,
utilizat pentru urmrirea certificatelor;
Signature - identific algoritmul de criptare i funciile de tip message digest
suportate de CA;
Issuer name - numele emitentului (al CA);
Period of Validity - datele ntre care certificatul este valid. Aceast perioad
nu exclude ca certificatul s fie revocat;
Subject - numele proprietarului certificatului;
Subject's Public Key Info - cheia public i algoritmul asociat cu cmpul
Subject;
72
Issuer Unique ID - un cmp opional utilizat pentru a identifica emitentul

certificatului sau autoritatea de certificare. Utilizarea acestui cmp nu este
recomandat n RFC 2459;
Extensions - cmp opional utilizat pentru extensii proprietare. Acest cmp
nu este definit dar cuprinde articole precum: alte denumiri ale subiectului,
informaii pentru utilizarea cheilor i punctele de distribuie a listelor de
revocare a certificatelor (Certificare Revocation List - CRL);
Encrypted - acest cmp conine semntura n sine, identificatorul
algoritmului, hash-ul securizat al celorlalte cmpuri din certificat i o
semntur digital a hash-ului.
Formatul certificatului digital este relativ uor de neles, dar schimbul de

certificate ntre persoane poate ridica anumite dificulti. Asigurarea faptului c un
certificat aparine unui utilizator anume este dificil de realizat. De exemplu, ntr-o
organizaie pot exista mai multe persoane cu numele Ioan Popescu, dar numai unul
dintre ei este utilizatorul vizat al certificatului.
Certificatele necesit mijloace de gestionare a crerii acestora, distribuirea lor,
stocarea centralizat, revocarea, backup-ul cheilor i actualizarea acestora. Acest sistem
de management este cunoscut sub numele de infrastructura de chei publice ( Public Key
Infrastructure - PKI).
O infrastructur de chei publice este o arhitectur de securitate creat pentru a
facilita instalarea tehnologiei de chei publice. ntre componentele unui PKI se pot
numra un depozit de certificate (de obicei un serviciu director compatibil LDAP),
certificatele digitale, listele de revocare a certificatelor (CRL), software-ul pentru aceste
aplicaii, precum i aspectul uman al acestor proceduri.
O PKI cuprinde cteva servicii de baz de securitate ntre care se numr
autentificarea utilizatorilor, confidenialitatea i integritatea, ajutnd de asemenea la
implementarea nerepudierii.
O autoritate de certificare este o component a infrastructurii generale de chei
publice i este o component critic pentru o implementare la scar a acestei
infrastructuri. Funcia principal a unei autoriti de certificare este aceea de a certifica
faptul c perechea cheie public / cheie privat aparine ntr-adevr unui individ anume.
Obinerea certificatelor digitale se poate face n mai multe moduri, n funcie de
scopul acestora. De exemplu, se poate utiliza Microsoft Certificate Services din
Windows 2000/2003 pentru a instala certificate auto-emise.
O alt opiune este obinerea unor certificate de la un distribuitor de certificate.
Unul dintre cei mai mari distribuitori este VeriSign. Acesta ofer certificate pentru
S/MIME, SSL (client i server), Server Gated Cryptography (SGC) pentru instituii
financiare, certificate de tip Authenticode pentru publicarea de software, etc.
Certificatele digitale pot reprezenta un mecanism puternic de autentificare, n
special n momentul n care sunt stocate pe smart card-uri. Dar, pentru ca certificatele
digitale s reprezinte o securitate adecvat, trebuie rezolvate mai nti problemele de
ncredere. De exemplu, o autoritate de certificare trebuie s posede mecanisme de
securitate puternice pentru a identifica n mod pozitiv toi participanii care doresc
asemenea certificate. ntrebarea "ct de bine identific o autoritate de certificare un
viitor posesor?" determin securitatea de ansamblu a infrastructurii de chei publice.
Dac scopul unui certificat este de a lega un individ de o semntur digital,
cum se poate cunoate c certificatul aparine ntr-adevr persoanei reale i nu unui
73
impostor? Poate c certificatul aparine unui utilizator neintenionat cu acelai nume ca

i al utilizatorului real. Multe certificate se bazeaz pe numele care apar n cmpul
Subject pentru a identifica posesorul.
n cazul n care funcia unei autoriti de certificare este aceea de a certifica
identitatea unui individ i de a oferi servicii de nerepudiere, acest lucru ridic i
probleme de rspundere sau obligaie.
O alt problem cu certificatele digitale este reprezentat de faptul c listele de
revocare a certificatelor (CRL) sunt verificate foarte rar, inclusiv de ctre browser-ele
Web. Un certificat poate fi revocat din mai multe motive, ntre care se numr
compromiterea cheii, compromiterea autoritii de certificare sau o schimbare a
autoritii de certificare. Problemele legate de distribuirea listelor de revocare a
certificatelor nu au fost nc rezolvate pe deplin.
7.2.7. Autentificarea Kerberos V5
Kerberos V5, protocolul principal de securitate pentru autentificare ntr-un
domeniu, verific att identitatea utilizatorului ct i a serviciilor de reea. Aceast dubl
verificare este cunoscut i sub numele de autentificare reciproc. Acest protocol,
dezvoltat iniial la MIT, este capabil s ofere servicii puternice de autentificare ntr-un
mediu de calcul distribuit. Totodat, prin includerea lui ca protocol de autentificare
implicit ntr-un domeniu Windows 2000/2003, a fost accelerat procesul de dezvoltare a
aplicaiilor bazate pe acesta.
Modelul Kerberos se bazeaz pe faptul c aplicaia client i aplicaia server nu
trebuie neaprat s-i acorde reciproc ncredere, ci ambele trebuie s acorde ncredere
unui centru de distribuie a cheilor (Key Distribution Center - KDC). Kerberos ofer un
sistem de mesaje criptate numite tichete, care asigur n mod securizat ncrederea
reciproc dintre dou maini din reea. Utiliznd Kerberos, parolele nu mai sunt
transmise n reea, nici chiar n format criptat. n cazul n care un tichet Kerberos este
interceptat, acesta rmne protejat deoarece este criptat.
Odat ce o main client obine un tichet ctre un anume server, tichetul este
pstrat pe maina local pn la expirare, fcnd astfel Kerberos un sistem de
autentificare foarte eficient. n funcie de implementare, un tichet Kerberos expir de
obicei dup opt ore. n mod implicit Kerberos utilizeaz criptarea cu cheie simetric. O
implementare Kerberos standard are de obicei urmtoarele componente:
Principal - un calculator, utilizator sau entitate care va fi autentificat;
Realm (domeniu n Windows 2000/2003) - o grupare logic de obiecte de tip
principal care va fi protejat de Kerberos. Toate conturile utilizatorilor i
resursele protejate rezid n interiorul unui realm Kerberos;
Key Distribution Center (KDC) - partea din implementarea Kerberos care
autentific obiectele de tip principal. KDC distribuie chei secrete i mediaz
comunicaia securizat ntre un calculator client i resursele din reea. Cheile
secrete sunt stocate n Key Distribution Center;
Ticket Granting Service (TGS) - ofer tichete de tip sesiune pentru
accesarea altor resurse dintr-un realm Kerberos. De obicei TGS ruleaz n
Key Distribution Center;
Ticket Granting Ticket (TGT, sau tichet utilizator n Windows 2000/2003 ) un jeton de securitate care verific faptul c o entitate a fost autentificat.
74
7.2.7.1.
TGT asigur faptul c utilizatorii nu mai trebuie s reintroduc parola dup

un login iniial, pn la expirarea tichetului.
Session Ticket (ST, sau tichet de serviciu n Windows 2000/2003) - un jeton
de securitate care permite unui obiect de tip principal s acceseze resurse
protejate. Pentru accesarea oricrei aplicaii care utilizeaz Kerberos este
necesar un tichet de sesiune valid.
Cum funcioneaz Kerberos V5
Mecanismul de securitate din Kerberos V5 emite tichete pentru accesarea

serviciilor de reea. Aceste tichete conin date criptate, inclusiv o parol criptat care
confirm identitatea utilizatorului fa de serviciul accesat.
Un serviciu important n Kerberos V5 este Key Distribution Center (KDC) care
ruleaz pe fiecare controler de domeniu parte a Active Directory, n care se stocheaz
toate parolele clienilor precum i alte informaii.
Procesul de autentificare Kerberos V5 urmeaz paii:
utilizatorul unui sistem client, utiliznd o parol sau un smart card, se
autentific fa de KDC;
KDC emite clientului un tichet de tip Ticket Granting Ticket. Sistemul client
utilizeaz acest jeton TGT pentru a accesa Ticket Granting Service (TGS),
care este parte a mecanismului de autentificare dintr-un controler de
domeniu;
TGS emite un tichet de serviciu ctre client;
clientul prezint acest tichet serviciului de reea accesat. Tichetul de serviciu
dovedete att identitatea utilizatorului ctre serviciu, ct i a serviciului fa
de client.
n Windows 2000/2003 serviciile Kerberos V5 sunt instalate pe fiecare controler
de domeniu, iar clientul Kerberos este instalat pe fiecare staie de lucru i server.
Fiecare controler de domeniu se comport ca i un Key Distribution Center. Un
client utilizeaz Domain Name Service (DNS) pentru a localiza cel mai apropiat
controler de domeniu, care va funciona ca i KDC preferat pentru utilizator n timpul
sesiunii de logon. n cazul n care KDC nu mai este disponibil, sistemul localizeaz un
KDC alternativ, pentru autentificare.
7.2.7.2.
Riscuri de securitate n Kerberos
Principala slbiciune a Kerberos este aceea c rmne vulnerabil la atacurile

date prin "ghicirea" parolei. Dac utilizatorul alege o parol "slab", este posibil ca
tichetul s fie colectat i decriptat, impersonndu-se astfel utilizatorul. Parolele statice
sunt cel mai mare punct de slbiciune n orice sistem de securitate, deoarece utilizatorii
nu aleg de obicei parole greu de gsit. Prin mariajul tehnologiei de criptare cu cheie
public cu Kerberos se face un pas important n nlturarea acestei slbiciuni.
De asemenea, Kerberos presupune faptul c gazdele nu au fost compromise. n
esen, Kerberos este un model al gazdelor cu relaii de ncredere (sigure) ntr-o reea
nesigur. n cazul n care viaa tichetului este setat prea lung, protocolul devine
nesigur prin expunerea unui tichet de serviciu pentru o perioad de timp prea mare. Iar
dac viaa tichetului este prea scurt, aceasta poate avea un impact negativ asupra
performanelor i utilizrii.
75
Utilizarea DES n Kerberos poate fi de asemenea o problem, deoarece DES nu

mai este considerat un algoritm sigur. Dar Kerberos permite i utilizarea altor algoritmi
de criptare, mai puternici, precum Triple-DES.
Alte riscuri de securitate mai pot fi considerate i relaiile tranzitive de ncredere
i abilitatea de a nainta tichetele.
7.2.8. Autentificarea SSL/TLS
Secures Sockets Layer (SSL), tehnologia care permite utilizarea certificatelor
digitale, este un protocol din nivel transport care ofer o securitate deosebit de tip endto-end, prin securizarea sesiunii din punctul de origine pn n punctul destinaie.
SSL se refer n general la securitatea comunicrii ntre dou pri. Acest lucru
poate nsemna comunicarea dintre un browser Web i un server Web, o aplicaie e-mail
i un server e-mail sau chiar canalele de comunicaie dintre dou servere. SSL poate de
asemenea s autentifice un server i, n mod opional, un client. SSL a devenit astfel,
metoda de facto pentru securizarea comerului electronic prin Internet.
SSL este un protocol orientat pe conexiuni care necesit ca att aplicaia
client ct i serverul s cunoasc acest protocol. n cazul n care este necesar SSL la
nivelul unui server, aplicaiile care nu pot s utilizeze acest protocol nu vor putea
comunica cu acesta.
SSL ofer servicii de securitate printre care se numr:
confidenialitatea (privacy),
autentificarea i
integritatea mesajului.
SSL ofer integritatea mesajului prin utilizarea unei verificri de securitate
cunoscut sub numele de codul de autentificare al mesajului (message authentication
code - MAC). MAC asigur faptul c sesiunile criptate nu sunt modificate n timpul
tranzitului.
SSL ofer autentificarea serverului prin utilizarea tehnologiei de criptare cu
cheie public i, n mod opional, poate autentifica anumii clieni prin necesitatea
existenei de certificate digitale la nivel de client. n practic, certificatele pentru clieni
nu sunt disponibile pe scar larg deoarece nu sunt uor portabile ntre maini, pot fi
uor pierdute sau distruse, fiind n trecut i dificil de instalat n aplicaiile reale. De
asemenea, multe site-uri Web au gsit satisfctoare din punct de vedere al securitii
pentru cele mai multe cazuri, combinaia de SSL utilizat mpreun cu un nume de
utilizator i o parol.
Internet Engineering Task Force (IETF) este organizaia responsabil pentru
dezvoltarea standardului SSL. Noul standard este cunoscut sub numele de Transport
Layer Security (TLS), dezvoltat iniial de Netscape Communications Corporation. TLS
1.0 definit n RFC 2246, ofer mbuntiri minore fa de SSL 3.0. n realitate TLS este
SSL 3.1
Noile mbuntiri cuprind: raportarea unui numr de versiune, diferene n
tipurile de protocoale, tipuri de mesaje de autentificare, generarea cheilor i verificarea
certificatelor. n plus, TLS elimin suportul pentru algoritmul Fortezza, o familie de
produse de securitate care cuprinde soluiile de securitate Personal Computer Memory
Card International Association (PCMCIA). Deoarece TLS este un standard deschis,
este de ateptat ca ntreaga comunitate Internet s coopereze pentru mbuntirea
performanei i securitii acestuia.
76
7.2.8.1.
Legtura SSL-HTTP
Sesiunile Web standard utilizeaz HyperText Transfer Protocol (HTTP) pentru a

stabili canale de comunicaie prin reelele TCP/IP. SSL a fost creat ca i un protocol de
securitate separat, care mbuntete standardul HTTP.
Din punct de vedere logic, SSL se insereaz ntre protocolul aplicaie HTTP i
nivelul de conversaie TCP, din punctul de vedere al TCP SSL fiind doar un alt nivel
protocol de nivel aplicaie. Deoarece SSL se comport ca o mbuntire, adugarea
SSL la protocoalele existente este simpl, nemainecesitnd rescrierea protocoalelor de
baz.
Din cauza acestui design flexibil, SSL este capabil s cripteze aproape ntregul
trafic bazat pe TCP. Mai mult, SSL a fost utilizat pentru a oferi securitate la nivel de
sesiune pentru e-mail (SMTPS, POP3S, IMAPS), news (NNTPS), LDAP (LDAPS),
IRC (IRCS), Telnet (Telnets), FTP (FTPS). Dar SSL nu poate s mbunteasc
transmisiunile prin UDP.
n general traficul Web bazat pe SSL este configurat s utilizeze portul 443 n
locul portului standard 80. Browser-ele Web vor crea o sesiune SSL prin utilizarea
HTTPS n locul HTTP.
7.2.8.2.
Cum funcioneaz SSL
Pentru funcionarea unei sesiuni bazat pe SSL, trebuie luate n calcul o serie de
elemente. Astfel, serverul Web necesit un certificat digital mpreun cu o cheie privat
corespunztoare.
Cel mai mare distribuitor de certificate pentru server este VeriSign. Obinerea i
instalarea unui certificat SSL de la VeriSign presupune un proces n mai muli pai:
generarea unei cereri, trimiterea unui Certificate Signing Request (CSR), completarea
unui formular prin care se autentific un utilizator sau o afacere, instalarea
identificatorului de server i activarea SSL pentru serverul Web. Autentificarea prin
VeriSign presupune i verificarea datelor trimise de organizaia care necesit un
certificat.
nainte de stabilirea unei sesiuni SSL, clientul trebuie s cunoasc de asemenea
acest protocol. n momentul existenei elementelor necesare, clientul i serverul pot
stabili o conexiune securizat.
Procesul prin care se stabilete o conexiune ntre un client i un server (de
exemplu cumprare online), se desfoar n mai muli pai. SSL utilizeaz o
combinaie de criptri cu chei publice i secrete. Datele brute ale unei sesiuni SSL sunt
ntotdeauna criptate cu cheia secret, fiind mult mai puin consumatoare de resurse din
punct de vedere al procesrii dect criptarea cu cheie public. Protocolul SSL/TLS
suport mai muli algoritmi de criptare cu cheie secret, printre care DES, Triple-DES,
IDEA, RC2 i RC4. Algoritmii cunoscui pentru schimbarea cheilor cuprind DiffieHellman i RSA.
O sesiune SSL cuprinde urmtorii pai:
ClientHello - n acest pas, clientul trimite un mesaj ctre server
(ClientHello) cernd opiuni de conectare SSL, ntre care numrul de
versiune al SSL, setrile cifrului, date generate n mod aleator care stau la
baza calculelor criptografice i metoda de compresie utilizat;
ServerHello - dup primirea mesajului ClientHello, serverul ia la cunotin
recepia prin trimiterea unui mesaj ServerHello care conine numrul de
77
7.2.8.3.
versiune al protocolului, setrile cifrului, date generate aleator, metoda de

compresie i identificatorul de sesiune;
ServerKeyExchange - imediat dup trimiterea ServerHello, serverul trimite
un mesaj de tip ServerKeyExchange ctre client care conine certificatul cu
cheia public. n cazul n care sunt necesare i certificate din partea
clienilor, este generat o cerere n acest sens;
ServerHelloDone - dup ServerKeyExchange, serverul trimite un mesaj
final prin care se indic finalizarea negocierii iniiale;
ClientKeyExchange - dup recepionarea mesajului de tip
ServerHelloDone, clientul rspunde cu mesajul ClientKeyExchange care
const n cheia simetric a sesiunii, criptat cu cheia public a serverului,
primit n pasul 3;
ChangeCipherSpec - n acest pas clientul trimite ctre server un mesaj de
tip ChangeCipherSpec n care specific ce setri de securitate ar trebui
invocate /utilizate;
Finished - clientul trimite mesajul Finished, prin care se permite
determinarea finalizrii cu succes a negocierii i dac opiunile de securitate
au fost sau nu compromise n orice stagiu anterior;
ChageCipherSpec - serverul trimite ctre client un mesaj de tip
ChangeCipherSpec, prin care se activeaz opiunile de securitate invocate;
Finished - serverul trimite un mesaj de tip Finished, permind clientului s
verifice opiunile de securitate activate. Dup trimiterea acestui mesaj,
negocierea este finalizat, iar conexiunea este stabilit. n continuare, toate
comunicaiile sunt criptate, pn la terminarea sau finalizarea sesiunii.
Performana SSL
Dac SSL ofer o asemenea securitate, de ce nu se cripteaz ntregul trafic? Dei

este o idee bun, n procesul de criptare i stabilire a unei conexiuni SSL este implicat i
foarte mult trafic adiional, din cauza naturii protocolului HTTP care creeaz o nou
sesiune pentru fiecare obiect cerut dintr-o pagin Web.
De exemplu, ntr-o simpl tranzacie n care browser-ul cere o singur pagin de
text cu patru imagini, genereaz cinci cereri GET (una pentru pagin i patru pentru
imagini). Prin utilizarea SSL, pentru fiecare din aceste sesiuni trebuie negociate chei
separate de criptare. Pentru a nrutii i mai mult lucrurile, utilizatorii frustrai de
timpul de rspuns rencarc pagina n browser-ul Web (refresh), genernd i mai multe
conexiuni SSL.
Pentru mbuntirea performanelor SSL se pot aplica urmtoarele:
utilizarea de acceleratoare de criptare hardware, proces care nu necesit
rescrierea paginilor Web sau achiziionarea de servere adiionale;
utilizarea de pagini SSL simple, cu ct mai puine imagini; utilizarea SSL numai
pentru anumite pagini Web selectate, precum acelea prin care se trimit informaii
privitoare la crile de credit; cache-ingul conexiunilor SSL permite de asemenea
mbuntirea performanelor, deoarece stabilirea unei noi conexiuni necesit de
cinci ori mai mult timp dect reconectarea la o sesiune pstrat n cache. Cu
toate acestea, activarea sesiunilor SSL n cache este dificil de implementat - dac
timpul de expirare este stabilit prea mare, serverul poate consuma prea mult
memorie prin pstrarea conexiunilor neutilizate. De asemenea, cache-ul
78
conexiunilor nu ar putea fi dezirabil din punct de vedere al securitii paginilor

dintr-un site. De exemplu, o aplicaie bancar online ar trebuie s favorizeze
securitatea i s nu activeze cache-ingul conexiunilor.
7.2.8.4.
Riscuri de securitate n SSL
SSL nu ofer nici o protecie n afara sesiunilor, iar serverele Web care permit
utilizarea SSL nu pot s ofere protecie pentru date care sunt stocate n format text n
server.
SSL nu ofer protecie mpotriva atacurilor bazate pe Web precum exploatarea
diverselor puncte slabe prin scripturi CGI. De asemenea, SSL nu ofer nici un
mecanism pentru controlarea drepturilor de securitate (ceea ce i este permis unei
persoane s fac dup autentificarea pe un server).
n cele din urm, SSL nu protejeaz mpotriva atacurilor de tip Denial of
Service i rmne vulnerabil la analiza traficului. Pentru a oferi un nivel de securitate
adecvat, serverele care lucreaz cu SSL ar trebui s suporte criptarea pe 128 bii i o
cheie public pe 1024 bii.
Certificatele la nivel de server auto-semnate pot oferi securitate, dar nu i
autentificare. Un certificat auto-semnat nu este considerat sigur de ctre maina client
fr a executa anumii pai adiionali.
7.2.9. Autentificarea NTLM
ntr-un mediu de reea, NTLM este utilizat ca i protocol de autentificare pentru
tranzaciile dintre dou calculatoare n care unul dintre ele ruleaz Windows NT 4.0 sau
mai mic iar cellalt Windows 2000 sau mai mare.
n exemplele urmtoare se utilizeaz NTLM ca mecanism de autentificare:
un client Windows 2000 sau Windows XP Professional care se autentific ntrun controler de domeniu Windows NT 4.0;
o staie de lucru client Windows NT 4.0 Workstation care se autentific ntr-un
domeniu Windows 2000 sau Windows 2003;
o staie de lucru Windows NT 4.0 Workstation care se autentific ntr-un
domeniu Windows NT 4.0;
utilizatorii dintr-un domeniu Windows NT 4.0 care se autentific ntr-un
domeniu Windows 2000 sau Windows 2003.
Pe lng acestea, NTLM este protocolul de autentificare pentru calculatoarele
care nu particip ntr-un domeniu, precum staiile de lucru sau serverele independente.
7.2.10. Comparaie Kerberos - NTLM
Pe msur ce a crescut popularitatea Windows NT 4.0, a crescut i interesul de
securizare a sistemului, iar prin adugarea autentificrii Kerberos n Windows 2000,
Microsoft a crescut n mod semnificativ facilitile sistemului de operare. n versiunile
Windows 2000/2003 NT LAN Manager (NTLM) este oferit numai pentru
compatibilitate napoi, cu Windows NT, i ar trebui dezactivat ndat ce clienii din
reea se pot autentifica utiliznd Kerberos.
Kerberos are anumite beneficii fa de NTLM. Astfel, Kerberos se bazeaz pe
standarde n vigoare, deci permite Windows 2000/2003 s interacioneze cu alte reele
care utilizeaz Kerberos V5 ca mecanism de autentificare. NTLM nu poate oferi aceast
79
funcionalitate deoarece este un protocol proprietate a sistemelor de operare de la

Microsoft.
Conexiunile la serverele de aplicaii i fiiere sunt mai rapide n momentul
utilizrii autentificrii bazate de Kerberos, deoarece serverul Kerberos trebuie s
verifice numai datele oferite de client pentru a determina dac i permite accesul.
Aceleai date oferite de client pot fi utilizate n ntreaga reea, pe ntreaga durat a
sesiunii de logon. n momentul utilizrii NTLM, aplicaiile i serverele trebuie mai nti
s contacteze un controler de domeniu pentru a determina dac clientului i este permis
accesul.
Autentificarea Kerberos este oferit att pentru client ct i pentru server, n
timp ce NTLM ofer numai autentificare pentru client. Astfel, clienii NTLM nu tiu cu
siguran dac serverul cu care comunic nu este unul fals.
Kerberos ofer i posibilitatea relaiilor de ncredere, fiind baza pentru relaiile
tranzitive dintre domenii din Windows 2000/2003. O relaie tranzitiv de ncredere este
o relaie n dou sensuri deoarece este creat o cheie inter-domenii, partajat de ambele
domenii.
Exist i consideraii asupra faptului c implementarea Kerberos a Microsoft nu
este una standard, mai ales din cauza modificrilor i extensiilor care au fost aduse
protocolului. Aceste modificri privesc mai ales utilizarea Kerberos cu tehnologia de
criptare cu cheie public, fcnd astfel posibil autentificarea prin smart card, care este
mult mai sigur dect o parol static.
7.2.11. SSH
UNIX este un sistem de operare sofisticat i matur care a fost dezvoltat de Bell
Labs la nceputul anilor 1970. Pe msura trecerii anilor, Unix a avut partea sa de
probleme de securitate, multe dintre ele fiind rezolvate. n general, Unix este considerat
a fi un sistem de operare sigur i stabil cnd este configurat n mod corect. Cu toate
acestea, exist o serie de protocoale care continu s defimeze securitatea sistemelor
Unix, printre acestea numrndu-se Telnet, FTP precum i faimoasele comenzi de la
Berkley de tip r*" (rcp, rsh, rlogin). Programe i protocoale nesigure continu s ofere
acces uor la sistem att pentru administratori ct i pentru utilizatori ruvoitori. Aceste
protocoale rmn vulnerabile n mare parte datorit faptului c datele de autentificare
sunt trimise prin reea sub form de text clar, acesta semnificnd c oricine poate s
obin numele de utilizator i parola, exploatnd apoi un serviciu prin impersonarea
utilizatorului legitim.
Dezvoltat de Tatu Ylnen n 1995, Secure Shell (SSH) ofer servicii de
securitate la nivel de sesiune precum i confidenialitatea datelor n reele nesigure,
oferind o nlocuire sigur a comenzilor rsh, rlogin, rcp, telnet, rexec i ftp. Securitatea
SSH este dependent de criptarea sesiunii de lucru de tip end-to-end ntre un client i un
server. SSH are de asemenea posibilitatea s autentifice n mod sigur mainile nainte de
a trimite informaiile de login.
SSH este utilizat n general pentru a accesa un calculator de la distan i pentru
a executa comenzi. SSH ofer de asemenea securizarea transferului de fiiere ntre
maini prin executarea copierii securizate (SCP) i a transferului de fiiere securizat
(SFTP). SSH poate ajuta de asemenea n securizarea traficului X11 prin trimiterea
acestuia printr-un tunel criptat. n acest fel SSH a fost utilizat pentru a defini o form
primitiv de reea privat virtual ntre gazde.
80
Componentele SSH cuprind serverul (SSHD), clientul (SSH), copierea (SCP)

securizat a fiierelor i ssh-keygen - o aplicaie utilizat pentru a crea chei publice i
private utilizate pentru autentificarea mainilor.
SSH ofer faciliti de baz pentru translatarea porturilor, prin aceasta
permindu-se utilizatorilor s creeze tuneluri pentru protocoalele existente prin
conexiunile SSH existente. De exemplu, transferul de date prin POP (care n mod
normal trimite numele de utilizator i parola sub form de text clar), pot fi securizate
prin SSH. Exist i limitri ale translatrii porturilor, deoarece nici intervalele de
porturi, nici porturile dinamice nu pot fi specificate.
Dei translatarea porturilor ajut n securizarea protocoalelor, precum POP,
exist i riscuri prin activarea acestei opiuni - de exemplu, prin activarea unei conexiuni
SSH de ieire se poate permite unui utilizator s traverseze un firewall prin
transformarea protocoalelor (tuneluri) de intrare care nu sunt permise de firewall prin
sesiuni criptate SSH.
Utilizarea opiunilor de autentificare a SSH protejeaz utilizatorii i mainile
mpotriva atacurilor de tip IP Spoofing, rutarea sursei IP, spoofing DNS, etc.
SSH const n trei niveluri: nivelul protocolul de transport, nivelul de
autentificare precum i nivelul conexiune. Protocolul transport este responsabil pentru
gestionarea negocierii cheilor de criptare, cererilor de regenerare a cheilor, mesajelor de
cereri de servicii precum i a mesajelor de deconectare a serviciilor. Protocolul de
autentificare este responsabil pentru negocierea tipurilor de autentificare, verificarea
canalelor securizate naintea trimiterii informaiilor de autentificare precum i pentru
cererile de modificare a parolelor. Protocolul de conectare controleaz deschiderea i
nchiderea canalelor precum i a translatrii porturilor.
Exist dou versiuni de SSH - v1 i v2, iar clieni SSH exist pentru mai multe
platforme - Unix, Windows, Machintosh, OS/2. Exist i versiuni de componente de
server pentru Windows NT/2000.
7.2.11.1. Autentificarea prin SSH

SSH ofer cteva mecanisme pentru autentificarea utilizatorilor n funcie de
versiunea SSH utilizat. Cea mai slab form de autentificare este realizat prin
intermediului fiierelor .rhosts, aceast metod nefiind recomandat a fi selectat
deoarece este foarte puin sigur.
Alt metod de autentificare este oferit de criptarea prin RSA. Utiliznd aceast
metod, utilizatorul creeaz o pereche public/privat de chei prin utilizarea
programului ssh-keygen, cheia public fiind stocat n directorul printe al utilizatorului.
n momentul n care clientul se autentific n faa serverului, trimite numele de utilizator
i cheia public spre gazda de la distan. Serverul returneaz cheia de sesiune criptat
cu cheia public a utilizatorului. Aceast cheie de sesiune va fi decriptat cu cheia
privat a utilizatorului.
Metoda principal de autentificare n SSH este prin intermediul fiierelor .rhosts
combinat cu autentificarea RSA. Aceast metod autentific clientul i serverul i le
protejeaz mpotriva atacurilor curente de tip IP Spoofing, DNS Spoofing, etc. Exist i
posibilitatea instalrii de TCPWrapper n locul utilizrii fiierelor .rhosts, existnd astfel
un control mai mare asupra utilizatorilor care ncearc s se conecteze la un serviciu.
n cele din urm, unui utilizator i poate fi cerut o combinaie de nume de
utilizator / parol printr-un canal criptat. De asemenea, n diverse implementri exist
suport pentru Kerberos, S/KEY i SecurID.
81
Stabilirea unei conexiuni SSH este iniiat de comenzile slogin sau ssh, fapt care
duce la verificare autentificrii cu cheia public att pentru server ct i pentru client
apoi fiind stabilit un canal de comunicaie sigur.
7.2.11.2. SSH1
Versiunea original a SSH, versiunea 1, este distribuit n mod gratuit pentru
utilizare necomercial, mpreun cu codul surs. SSH1 are i variante majore (1.2, 1.3 i
1.5). Dei s-au descoperit cteva probleme de securitate, SSH este considerat n
continuare sigur, dat fiind atenia acordat metodei de autentificare i cifrului utilizat.
De exemplu, SSH1 este vulnerabil la atacurile prin inserarea datelor, deoarece acesta
utilizeaz CRC pentru verificarea integritii datelor. Dar utilizarea algoritmului de
criptare Triple-DES rezolv aceast problem.
SSH 1 suport o mai mare varietate de metode de autentificare fa de versiunea
2, ntre care se numr AFS (bazat pe Andrew File System dezvoltat la CarnegieMellon) i Kerberos.
7.2.11.3. SSH 2
SSH 2 este o rescriere complet a SSH1 prin care se adaug noi faciliti,
inclusiv suport pentru protocoalele FTP i TLS. Din cauza diferenelor de implementare
a protocoalelor, cele dou versiuni nu sunt compatibile n ntregime. SSH2 ofer
mbuntiri n ceea ce privete securitatea i portabilitatea. SSH2 necesit mai puin
cod care s ruleze cu privilegii de root, fiind mai puin expus exploatrilor de tip buffer
overflow; astfel este mai puin probabil ca un atacator s rmn pe server cu drepturi
de root.
SSH2 nu ofer aceleai implementri de reea ca i SSH 1, deoarece cripteaz
pri diferite ale pachetelor. SSH2 nu suport metoda de autentificare prin fiierele
.rhosts. De asemenea, n SSH2 algoritmul RSA este nlocuit de Digital Signature
Algorithm (DSA) i de Diffie-Hellman, dar, deoarece patentele RSA au expirat, este de
ateptat suportul n continuare pentru algoritmul RSA n versiunile urmtoare. SSH2
suport Triple-DES, Blowfish, CAST-128 i Arcfour.
Din cauza diferenelor ntre SSH 1 i SSH 2 i din cauza restriciilor de
liceniere, ambele versiuni vor continua s fie utilizate pentru o perioad de timp.
7.2.11.4. Algoritmii de criptare utilizai

n momentul stabilirii unei sesiuni SSH, att clientul ct i serverul SSH
negociaz un algoritm de criptare. Identitatea serverului este verificat nainte de
trimiterea numelui de utilizator i a parolei, fiind un proces care protejeaz mpotriva
aplicaiilor de tip cal troian care ar accepta conexiuni i ar putea s fure" informaii de
autentificare.
Pentru ca un client s se poat conecta la un server utiliznd autentificarea prin
cheie public, aceast cheie trebuie distribuit n mod securizat. n funcie de versiune,
SSH suport mai muli algoritmi de criptare, dup cum se poate observa n Tabelul 7.2.
82
Tabelul 7.2.
Comparaie ntre SSH1 i SSH2
SSH1
SSH 2
Triple - DES
Triple - DES - algoritm implicit
128bitRC4
128bitRC4
Blowfish
Blowfish
IDEA - algoritm implicit
Twofish
DES
Arcfour
RSA
CAST 128
DSA
Transferul cheilor prin Diffie Hellman
7.2.11.5. Ce poate proteja SSH. Riscuri de securitate ale SSH

n cazul existenei conexiunilor de sosire ctre un server, SSH ofer un
mecanism sigur i eficient prin care se poate face accesul. Deoarece SSH este uor de
instalat, acesta ar trebui s fie singurul mecanism prin care s se ofere funcionalitate de
tip FTP, Telnet sau rlogin ntr-un mediu securizat, pentru utilizatorul final, SSH fiind
aproape transparent.
SSH este o alternativ la programele care execut autentificarea n funcie de
adresa IP, iar n momentul utilizrii autentificrii cu cheie public protejeaz mpotriva
programelor care utilizeaz parole reutilizabile. Prin criptarea sesiunii ntre client i
server se face protecia mpotriva intercepiei parolelor trimise sub form de text clar.
SSH sufer i de cteva limitri, ntre care imposibilitatea de a specifica un
interval de porturi sau aceea de a translata porturi dinamice. n plus, versiunea de
Windows nu implementeaz copierea securizat a fiierelor.
7.2.12. PGP. Riscuri de securitate
Trimiterea mesajelor de e-mail prin Internet este foarte asemntoare cu
trimiterea crilor potale - n mod similar, un mesaj de e-mail poate fi citit de oricine
care acceseaz transmisia. Acest lucru se poate ntmpla fr a fi cunoscut de expeditor
sau de ctre destinatar. n plus, un mesaj poate fi interceptat, modificat i retrimis.
Pretty Good Privacy (PGP) este un program de securitate care pune la
dispoziia utilizatorilor securitate avansat pentru mesaje de e-mail i fiiere, prin
utilizarea semnturilor digitale i a criptrii. Implementat n mod corespunztor, PGP
ofer servicii de confidenialitate, integritate i autentificare.
Programul original PGP a fost creat de Philip Zimmermann. Intenia PGP a fost
aceea de a oferi un mecanism pentru comunicare securizat ntre mai multe persoane
cunoscute. Acest program utilizeaz att tehnologia de criptare cu cheie public ct i pe
cea de criptare cu cheie privat. PGP folosete algoritmul de 128 bii IDEA pentru
criptarea simetric a mesajelor. Versiunea 5 i mai mari suport algoritmii CAST i
Triple-DES, iar versiunea 7 implementeaz o versiune a Twofish. Cheia secret este
generat pentru fiecare mesaj sau fiier criptat. Prin faptul c nu reutilizeaz cheia
secret, reduce ansele de reuit ale cript-analizei (studierea recuperrii unui text dintrun format criptat fr accesul la cheie).
83
PGP suport algoritmii de criptare cu cheie public RSA, DSA i DiffieHellman. Algoritmii de hash suportai sunt MD5, RACE Integrity Primitives
Evaluation-Message Digest (RIPEMD) i SHA-1.
Aplicaia PGP Desktop Security cuprinde o serie de faciliti de securitate mult
mai avansate dect ar fi necesare unui sistem de e-mail, printre care sunt cuprinse un
sistem personal de detecie a intruilor, un firewall personal, comunicare bazat pe VPN
sau IP Security (IPSec), criptarea discului cu PGP i suport pentru certificate digitale
X.509v3.
n momentul de fa, PGP trece prin procesul de standardizare al IETF sub
forma OpenPGP, definit prin RFC 2440.
Expedierea mesajelor PGP nu este complicat - n primul rnd, mesajul este
criptat cu o cheie aleatoare simetric a sesiunii. Cheia sesiunii este criptat apoi cu cheia
public a destinatarului. n cazul n care mesajul este semnat, acesta este semnat cu
cheia privat a expeditorului. Cheia criptat a sesiunii este apoi trimis destinatarului
mpreun cu mesajul criptat. n momentul recepionrii mesajului criptat cu PGP se
desfoar procesul invers. PGP utilizeaz cheia privat a destinatarului pentru a
decripta cheia sesiunii. n cele din urm cheia sesiunii este utilizat pentru a decripta
mesajul, iar clientul de e-mail afieaz textul clar al mesajului.
Una din problemele privitoare la cheia public de criptare este aceea de
ncredere n acea cheie public. Pentru ca o criptare cu cheie public s ofere securitatea
adecvat, utilizatorii trebuie s fie siguri de faptul c cheia public cu care se face
criptarea aparine ntr-adevr destinatarului intenionat. PGP ncearc s rezolve aceast
problem prin utilizarea unui model n care persoanele se ncred reciproc. Aceast
ncredere (trust) este exprimat prin semnarea cheii PGP aparinnd altei persoane. n
realitate, orice utilizator PGP devine Certificate of Authority prin semnarea altor chei
pentru ali utilizatori. n modelul de ncredere PGP nu exist nici o diferen ntre
semnarea unei chei n calitate de CA sau de utilizator, lucru care difer semnificativ n
scenariul infrastructurii cu cheie public, n care numai o autoritate de certificare poate
s-i exprime ncrederea ntr-o cheie public. Pe msur ce ali utilizatori semneaz cu
cheia unui utilizator anume i acel utilizator semneaz alte chei, se creeaz o plaj de
ncredere.
Aceast ncredere este bazat att pe ncrederea acordat unei chei publice ca
fiind sau nu autentic ct i pe ncrederea acordat altor persoane care au semnat cheia.
Acest lucru poate ridica probleme, deoarece cheile ar trebui s prezinte ncredere numai
n cazul n care exist o persoan cunoscut i de ncredere care a semnat deja cheia. n
alte cazuri, singura posibilitate de a ti c o cheie este autentic este obinerea acesteia
printr-un mecanism foarte sigur, precum o ntlnire fa n fa. Acest model de
ncredere este potrivit pentru mesajele informale trimise prin Internet, dar nu se
potrivete ntr-un scenariu de afaceri n care se cere nerespingerea i contabilizarea
utilizatorilor.
Revocarea cheilor PGP care nu mai prezint ncredere poate fi de asemenea o
problem. Singura modalitate de prevenire a utilizrii unei chei PGP compromise este
trimiterea unui certificat de revocare a cheii ctre toate persoanele care ar putea utiliza
acea cheie. Acest certificat de revocare ar putea fi plasat pe un keyserver pentru a
avertiza utilizatorii n privina cheii. Deoarece cheile pot fi stocate i ntr-un inel de chei
(key ring) pe maina local, nu exist nici o garanie c toate persoanele vor primi
avertismentul i nu vor mai utiliza acea cheie compromis.
84
Versiunea 7 a PGP Desktop Security introduce i suport pentru certificatele

digitale X.509v3, permind astfel PGP s participe n infrastructura de chei publice i
s se deprteze (eventual) de modelul de securitate al PGP (plaja de ncredere).
Dei criptografia utilizat de PGP este puternic, exist o mulime de atacuri ce
se pot aplica mpotriva acestuia. Un tip de atac este cel reprezentat de atacurile prin
dicionare asupra frazei de trecere din PGP, prin ncercarea fiecrui cuvnt din dicionar
i a combinaiilor.
Securitatea central a PGP este dat de puterea frazei de trecere i de protecia
cheii private. Pentru ca fraza de trecere s prezinte securitatea adecvat, ar trebui s aib
o lungime suficient, nu ar trebui s utilizeze cuvinte comune din dicionare i ar trebui
schimbat frecvent.
n ceea ce privete cheia privat, ct timp aceasta este stocat pe un calculator (i
nu pe un smart card, de exemplu), protecia acesteia este de asemenea important.
Pe lng acestea, modelul de ncredere reciproc n cheile PGP este predispus la
erori, iar pentru ca acesta s lucreze n mod corect trebuie ca expeditorul s cread c
cheia public este autentic, aparine utilizatorului real i nu a fost modificat.
7.2.13. S/MIME
Ca i PGP, Secure / Multipurpose Internet Mail Extensions (S/MIME)
ncearc s rezolve problema trimiterii de mesaje ntre pri care nu s-au ntlnit
niciodat prin intermediul criptrii. De asemenea, rezolv problema integritii
mesajului, verificrii mesajului i a nerepudierii prin utilizarea semnturilor digitale.
S/MIME nu ofer criptarea la nivel de sesiune precum SSL, ci securizeaz
mesajele individuale. Acest protocol este de preferat n utilizarea e-mail, n care
destinatarul nu este disponibil n momentul n care mesajul a fost trimis.
Utiliznd S/MIME, un mesaj poate fi criptat, semnat digital sau se pot alege
ambele variante. Dei S/MIME nu este limitat la securizarea mesajelor de e-mail,
aceasta a fost principala sa utilizare pn n momentul de fa. S/MIME a fost aplicat de
asemenea n Electronic Data Interchange (EDI), tranzacii online i mesagerie
securizat n aplicaii.
Modelul S/MIME este bazat pe tehnologia creat n 1995 de ctre RSA Data
Security mpreun cu un grup de dezvoltatori de software, ntre care Netscape, VeriSign
i alii. S/MIME este bazat pe Standardul de criptografie cu cheie public nr. 7
(PKCS#7 - un set de standarde utilizat pentru implementarea sistemelor de criptare cu
cheie public) pentru trimiterea mesajelor i pe X.509v3 pentru certificate digitale.
S/MIME ofer mbuntiri de securitate fa de standardul MIME. Ambele sunt
definite prin RFC-uri:
RFC 1847: Securizarea Multiparte pentru MIME;
RFC 2045: MIME partea nti: formatul corpurilor de mesaje din MIME;
RFC 2046: MIME partea a doua: tipurile media;
RFC 2047: MIME partea a treia: extensiile antetelor de mesaje pentru text NonASCII;
RFC 2048: MIME partea a patra: procedurile de nregistrare;
RFC 2049: MIME partea a cincia: criterii de conformare i exemple;
RFC 2183: comunicarea informaiilor de prezentare n mesajele Internet;
RFC 2630: sintaxa mesajelor criptate;
RFC 2632: gestiunea certificatelor S/MIME V3 ;
85
RFC 2633: specificaiile S/MIME V3;

RFC 2634: servicii mbuntite de securitate pentru S/MIME.
S/MIME extinde MIME prin oferirea de servicii de securitate ntre care se

numr autentificarea i integritatea prin utilizarea semnturilor digitale i
confidenialitatea prin utilizarea criptrii.
MIME este standardul pentru trimiterea fiierelor prin e-mail n Internet prin
care se permite trimiterea de mesaje avnd diferite seturi de caractere i codarea i
decodarea obiectelor de tip multimedia i de tip binar pentru a putea fi trimise prin email. Tipurile predefinite MIME cuprind documente Word, fiiere PostScript sau fiiere
audio WAV. Codarea MIME este fcut utiliznd diferite metode n momentul trimiterii
mesajului, la recepie aceste pri fiind decodate n formatul original. Pentru aceasta se
adaug fiecrui fiier cte un antet n care sunt descrise datele coninute precum i
metoda de codare utilizat.
Deoarece MIME este o specificaie matur i bogat utilizat pentru trimiterea
de coninut diferit prin Internet, mbuntirea acestuia are sens prin adugarea de
faciliti de securitate n locul crerii unui nou standard, complet diferit.
7.2.13.1. Funcionarea S/MIME

Pentru a putea trimite mesaje securizate de tip S/MIME, att expeditorul ct i
destinatarul trebuie s utilizeze clieni care cunosc acest standard, precum Outlook,
Outlook Express sau Netscape Communicator. n plus, fiecare utilizator trebuie s
obin un certificat digital mpreun cu cheie privat corespunztoare.
S/MIME este un sistem de criptare hibrid care utilizeaz att algoritmul de
criptare cu cheie public ct i pe cel de criptare cu cheie privat. Criptografia cu cheie
public este prea lent pentru criptarea datelor brute, dar, n acelai timp, este dificil de
distribuit cheia privat n mod securizat fr criptografia cu cheie public. n standardul
S/MIME criptografia cu cheie public este utilizat pentru schimbarea cheilor simetrice
i pentru semnturi digitale (necesit certificatele X.509). De asemenea, specificaiile
S/MIME recomand utilizarea a trei algoritmi de criptare: DES, Triple-DES i RC2.
Securitatea unui mesaj criptat cu S/MIME depinde n principal de mrimea cheii
utilizate de algoritmul de criptare. Un aspect interesant al S/MIME este acela c
destinatarul unui mesaj, i nu expeditorul acestuia, determin metoda de criptare
utilizat, bazndu-se pe informaiile oferite de certificatele digitale.
Trimiterea mesajelor S/MIME presupune o serie de pai. In primul rnd, mesajul
este criptat cu o cheie de sesiune generat n mod aleator. Apoi, cheia sesiunii este
criptat utiliznd cheia public a destinatarului. Aceast cheie a fost fie schimbat n
prealabil, fie a fost regsit ntr-un serviciu director de tip LDAP. Pasul urmtor este
constituit de mpachetarea mesajului criptat, a cheii de sesiune a identificatorilor de
algoritm precum i a altor date ntr-un obiect binar de formatat n concordan cu tipul
PKCS#7. Acest obiect astfel creat este codat ntr-un obiect MIME utiliznd tipul de
coninut application/pkcs7-mime, dup care mesajul este expediat. La recepionare,
plicul digital este desfcut, iar cheia privat a destinatarului decripteaz cheia de
sesiune, care este utilizat pentru a decripta mesajul.
Datorit suportului dat de dezvoltatori, S/MIME se pare c va fi standardul de
securitate al e-mail. S/MIME joac de asemenea, un rol cheie n strategia Microsoft
Windows 2000/Exchange 2000.
86
S/MIME i PGP ofer ambele metode eficiente de securitate pentru criptarea

mesajelor de e-mail. Spre deosebire de PGP, care s-a bazat pn la versiunea 7.0 pe
modelul de securitate al plajei de ncredere, S/MIME are ca avantaj principal utilizarea
infrastructurii cu chei publice (PKI) i a certificatelor digitale. De asemenea, S/MIME
este integrat n mai muli clieni de e-mail, n timp ce PGP necesit descrcarea i
instalarea unui plug-in.
7.2.13.2. Riscuri de securitate ale S/MIME

Pentru a funciona eficient, S/MIME trebuie s utilizeze chei de lungime mare i
algoritmi de criptare puternici, precum Triple-DES. n multe cazuri n care se expediaz
mesaje de e-mail prin aplicaii care suport S/MIME, singurul format de criptare
disponibil este RC4 (40 bii), care nu ofer o lungime suficient pentru securitatea
minim.
De asemenea, S/MIME are aceleai probleme ca i PGP - pentru o comunicaie
securizat, trebuie s existe un nivel de siguran asupra cheii cu care se face criptarea.
La fel ca i la PGP, cheia secret trebuie s fie securizat din punct de vedere fizic.
7.2.14. Utilizarea firewall-urilor n intraneturi
Zidurile de protecie joac un rol semnificativ n managementul securitii unui
intranet. Un zid de protecie este un dispozitiv sau o aplicaie care controleaz cursul
comunicaiei ntre reeaua intern i o reea extern precum Internetul. Un zid de
protecie (Figura 7.1) servete ctorva scopuri:
acioneaz ca filtru de intrare pentru traficul Internet ctre serverele organizaiei,
prevenind ajungerea pachetelor neautorizate n serverele de web i de aplicaii;
ofer conexiuni prin proxy ctre Internet, meninnd autentificarea utilizatorilor
interni;
jurnalizeaz traficul, oferind un suport pentru audit, raportare, ca i pentru
planificare.
Fig. 7.1: Amplasarea Firewall-ului
Firewall-urile nu funcioneaz fr riscuri. Acestea sunt n general dificil de

penetrat, dar dac au fost depite, reeaua intern este deschis pentru intrus. n plus,
un firewall nu poate rezolva compromisurile din reeaua intern. Aproximativ 70% din
breele de securitate au loc n interiorul companiei, adic sunt create de persoane de
87
dincolo de zidul de protecie. Un exemplu poate fi utilizarea unui modem i a unei

conexiuni dial-up.
n practic au fost observate urmtoarele riscuri cu privire la firewall-uri:
porturile - regulile de filtrare sunt bazate pe porturi surs i destinaie. O main
care utilizeaz TCP/IP are 65535 porturi virtuale, din care unele sunt utilizate de
ctre anumite servicii;
rutarea - aceast opiune IP permite utilizatorilor s defineasc modalitatea de
rutare a pachetelor.
SOCK - reprezint o bibliotec de aplicaii proxy utilizate pentru a permite ca
anumite servicii s fie utilizate i pentru a ine intruii n afar;
scanare RPC direct - portmapper este un serviciu care permite utilizatorilor s
identifice porturile pe care rezid apelurile de proceduri la distan;
scanare ascuns - un intrus nu ncearc s stabileasc o conexiune ci utilizeaz
pachete la nivel de interfa. Aceste pachete ne dau rspunsuri diferite, n funcie
de calitatea portului (deschis sau nu).
protocoale fr conexiune - firewall-urile au dificulti n detectarea pachetelor
utilizate n servicii care nu necesit stabilirea unei conexiuni, precum UDP;
Pentru Intraneturi este necesar existena unui sistem de detectare a intruziunilor
cu scopul protejrii perimetrului reelei de atacuri. Sistemele de detectare a intruilor pot
fi instalate ca i sonde sau ca ageni. Sondele sunt mult mai eficiente n ceea ce privete
detectarea intruziunilor deoarece minimizeaz impactul asupra sistemelor existente prin
ascultarea pasiv i raportarea ctre consola central, fr ntrerupere.
Serviciile de detectare a intruilor execut la nivel de dispozitiv de reea
urmtoarele funcii:
inspecteaz irul de date care trec prin reea, identific semnturile activitilor
neautorizate i activeaz procedurile de aprare;
genereaz alarme n cazul detectrii evenimentelor, notificnd personalul
necesar de securitate;
activeaz un rspuns automat n cazul anumitor probleme.
Pe lng detectarea intruilor mai poate fi luat n considerare i un agregator
proxy de tip TCP care va mbuntii securitatea prin firewall prin limitarea porturilor
expuse.
Tunneling-ul i criptarea sunt utilizate pentru a crea reele punct-la-punct, n
general fiind utilizate protocoale precum Layer 2 Tunneling Protocol (L2TP), Point-toPoint Tunneling Protocol (PPTP), IPSec, precum i standarde de criptare cum sunt
DES, MD5, Triple DES, etc.
Codurile mobile de program precum Java i ActiveX creeaz o ameninare n
cretere. Aplicaiile care inspecteaz coninutul trebuie s:
ofere control asupra codului mobil Java, ActiveX sau altul;
previn atacurile prin cod mobil;
activeze navigarea n siguran, utiliznd n acelai timp facilitile Java i
ActiveX.
n concluzie, managementul securitii are o necesitate din ce n ce mai ridicat,
att n reele de tip intranet ct i n alte tipuri de reele de colaborare, datorit mulimii
punctelor de acces n reea. n acelai timp sunt necesare noi unelte i tehnici, ct i o
combinare a acestora pentru a oferi sigurana maxim posibil.
88
8. Strategii de achiziie pentru aprare

8.1. Introducere
Informaiile despre comerul electronic Business-to-Business (B-B) i croiesc
drum n ziare, reviste economice sau n tirile de la televiziuni. Majoritatea acestor
informaii sunt centrate pe achiziii electronice (e-procurement) sau partea de cumprare
a comerului electronic pentru c analitii au confirmat faptul c firmele ce au
implementat sisteme de achiziii electronice au nregistrat economii.
Indiferent din ce domeniu este o firm, achiziiile sunt o important funcie
economic, acest lucru este valabil i pentru unitile din domeniul aprrii. Deoarece
achiziiile intervin la nceputul lanului valoric, impactul deciziilor de aprovizionare se
amplific pe msur ce un produs curge spre destinaia final: utilizatorul. Achiziiile
implic dou tipuri de cheltuieli. O categorie se refer la costul materialelor cumprate.
A doua se refer la costul procesului de achiziie. Acesta cuprinde costurile tranzaciei,
adic cele cu personalul implicat n proces, cheltuieli indirecte aferente cutrii,
comparrii, negocierii de surse de achiziie. Soluiile de achiziie electronice pot avea un
efect substanial asupra ambelor categorii.
Comerul electronic reprezint schimbul de informaii de afaceri, fr ajutorul
hrtiei, utiliznd schimbul electronic de date (Electronic Data Interchange), pota
electronic (e-mail), buletinele electronice, transferul electronic de fonduri (Electronic
Funds Transfer), precum i alte tehnologii similare. Schimbul electronic de date
reprezint schimbul, ntre calculatoare, a informaiilor privind tranzaciile din afaceri,
folosind un format standard public.
Introducerea conceptului de e-business permite organizaiilor militare s
considere comerul electronic nu numai n viziunea tradiional de achiziie i plat prin
utilizarea tranzaciilor standard. Conceptul permite luarea n considerare a relaiilor
dintre un consumator i un furnizor i ofer avantajele date de mbuntirea
semnificativ a procesului, disponibil prin implementarea conceptelor i tehnologiilor
de afaceri electronice i comer electronic. Acest lucru duce la extinderea aplicaiilor
funcionale de la furnizare, achiziie i contabilitate, la cele legate de alte domenii cum
ar fi sntatea, personalul, sistemul de achiziii i tiina i tehnologia.
Politica organizaiilor militare n ceea ce privete introducerea n activitatea
curent a conceptelor e-business i e-commerce trebuie s aib n vedere:
utilizarea conceptelor i tehnologiilor de e-business i e-commerce n
mbuntirea proceselor de afaceri i n eforturile de reinginerie; acest lucru
permite introducerea procedeelor de pe piaa comercial n diseminarea
informaiilor n form electronic persoanelor n drept, la momentul potrivit, n
scopul reducerii duratei procesului; n acest sens, organizaiile militare vor
desfura urmtoarele activiti:
o implementarea iniiativelor e-business i e-commerce care ncorporeaz
cele mai bune practici n afaceri n vederea obinerii eficienei i pentru
promovarea eficacitii operaionale pentru reducerea semnificativ a
timpilor de rspuns;
o facilitarea utilizrii n comun a datelor i integrarea proceselor de afaceri
ntre organizaiile militare i partenerii de afaceri;
89
o implementarea de soluii deschise flexibile i interoperabile care s nu

interzic sau s ngreuneze utilizarea pe scar larg de soluii tehnologice
noi sau competitive;
utilizarea pe scar larg de standarde e-business i e-commerce industriale i a
produselor comerciale COTS (commercial-off-the-shelf);
implementarea soluiilor de securitate e-business i e-commerce care vor permite
securitatea datelor pe baza cerinelor statutare i ale utilizatorilor, fr
degradarea proceselor curente pe care le nlocuiesc;
stabilirea i utilizarea de oportuniti de afaceri electronice care angajeaz
principii, concepte i tehnologii de e-business i e-commerce n conducerea i
administrarea proceselor militare i de afaceri;
aplicarea proceselor de e-business i e-commerce n vederea interoperabilitii
cu partenerii de afaceri pentru integrarea cu sectorul privat;
protejarea proprietii intelectuale; garantarea integritii datelor i dreptul la
confidenialitatea lor;
cooperarea cu alte ministere i agenii pentru dezvoltarea i implementarea unei
arhitecturi operaionale e-business i e-commerce n sprijinul programelor
guvernului din domeniu;
asigurarea conformitii cu politica de achiziie a M.Ap.N. i a instruciunilor de
achiziie.
8.2. Strategii de securitate ale rzboiului informaional

Securitatea este recunoscut ca fiind un concept multidimensional aa nct,
toate domeniile de activitate (politic, diplomaie, economie, aprare, cultur, tiin
etc.) i iau msuri care s asigure promovarea intereselor specifice fiecreia. Aceste
sectoare de activitate nu exist independent unul de celalalt, legturile dintre ele fiind
vitale pentru funcionarea optim.
n acest context, politica de securitate naional este obligat s in cont de
aceast realitate. Fiind vorba de un sistem al crui echilibru i funcionare optim este
de dorit, politica n acest domeniu va trebui s fundamenteze, n plan teoretic i s
ntreprind n plan practic, acele msuri necesare pentru promovarea intereselor
naionale fundamentale i aprarea lor mpotriva oricror agresiuni, pericole,
ameninri, riscuri.
Faptul c informaia i tehnologia schimb natura conflictelor nu este un lucru
nou, dar accentuarea, n prezent, a rolului informaiei, ca instrument de putere,
determin modificri extrem de importante nu numai n activitatea unui serviciu de
informaii, ci i la nivelul politicii de aprare, n activitatea organizaiilor militare i n
dezvoltarea infrastructurii informaionale militare.
Rzboiul i operaiile informaionale sunt realiti deja consacrate n spaiul
euro-atlantic, i nu numai. Capacitile n acest domeniu constituie, pentru ri cum este
i Romnia, soluii de contrabalansare a asimetriilor de putere.
Aciunile de natur informaional (n practic, operaii informaionale) au i vor
avea loc pe tot parcursul ciclului pace-criz-conflict-pace. Este, aadar, esenial ca
Romnia s dispun de capaciti permanente de avertizare, evaluare, analiz i ripost,
precum i s ntrein o stare continu de ajustare structural i doctrinar, care s-i
permit realizarea intereselor naionale n acest mediu informaional.
90
Cap. 8 - Strategii de achiziie pentru aprare
n societatea informaional, informaia ca arm, int i materie prim strategic

st la baza tuturor deciziilor. Adaptarea la acest nou mediu (n care fluxul de informaii,
n timp real, este n continu cretere) presupune nelegerea unor riscuri n zona
managementului informaional. O exemplificare a acestui lucru este faptul c operaiile
informaionale, aa cum sunt ele conceptualizate n doctrinele euro-atlantice, au ca int
de baz ciclul decizional.
Evoluia rapid a tehnologiei informaiei a mrit discrepana dintre capacitatea
de producere i cea de utilizare a informaiei. Sporirea cantitii informaiilor nu atrage
dup sine i creterea calitii lor, iar deinerea unor informaii de calitate nu este
sinonim cu capacitatea de valorificare a lor.
Din perspectiv civil, conceptul de rzboi informaional atrage dup sine o
multiplicare a raporturilor de for, n timp ce n plan militar exist o aparent limitare a
acestora (restrngerea puterii militare, datorit reducerii caracterului violent al
confruntrilor). ntre cele dou perspective exist i puncte comune. n primul rnd, un
aliat poate fi n acelai timp i adversar (de unde natura dual cooperare concuren).
n al doilea rnd, rzboiul informaional stabilete un nou raport ntre realitile de ordin
strategic, tehnic (prezena tot mai mare a informaticii i a reelelor informaionale) i
simbolice.
n sens larg, rzboiul informaional presupune integrarea a apte forme diferite
de domenii i discipline:
rzboiul de comand i control (forma exclusiv militar a rzboiului
informaional) are menirea s anihileze comanda i sistemele de comand i
control ale unui adversar prin integrarea operaiilor psihologice, a securitii
operaiilor, a inducerii n eroare, a rzboiului electronic i a distrugerii fizice;
rzboiul bazat pe informaii (intelligence) const n proiectarea, protecia i
anihilarea sistemelor care conin suficiente cunotine pentru a domina un spaiu
de conflict;
rzboiul electronic utilizeaz tehnologie electronic i tehnici criptografice
pentru dominaia spaiului electromagnetic;
rzboiul psihologic utilizeaz informaia pentru a modifica atitudinile i
opiunile amicilor, neutrilor i adversarilor;
rzboiul hacker-ilor const n atacuri pasive i active, cu software malign,
asupra sistemelor informatice;
rzboiul n sfera informaiilor economice urmrete blocarea sau canalizarea
informaiilor, n scopul obinerii supremaiei economice;
rzboiul n spaiul realitii virtuale creeaz, n prezent, imagini ale
"realitilor"potrivit intereselor actorilor implicai.
n contextul rzboiului informaional, securitatea informaional (INFOSECInformation Security) reprezint protecia i aprarea informaiilor i sistemelor
informaionale mpotriva accesului neautorizat, a modificrii coninutului informaiilor
aflate n faza de stocare, prelucrare sau transport i pentru asigurarea accesului
utilizatorilor autorizai ctre aceste informaii. INFOSEC cuprinde acele msuri
destinate pentru descoperirea, informarea i contracararea acestor tipuri de aciuni.
Componentele INFOSEC sunt:
securitatea echipamentelor de calcul (COMPUSEC - Computer Security);
91
securitatea comunicaiilor (COMSEC - Communications Security i

TRANSEC Transmission Security).
COMPUSEC cuprinde acele msuri i elemente de control care asigur

confidenialitatea, integritatea i disponibilitatea informaiilor prelucrate i stocate cu
ajutorul calculatoarelor. Aceste msuri includ proceduri i instrumente hardware i
software necesare pentru protejarea sistemelor informatice i a informaiilor stocate n
cadrul acestora.
COMSEC cuprinde acele msuri destinate mpiedicrii accesului neautorizat la
informaiile care pot fi preluate din sistemele de comunicaii, precum i asigurarea
autenticitii corespondenilor pe aceste linii. Folosete scramblarea sau tehnicile
criptografice pentru a face informaia neinteligibil pentru personalul neautorizat care
intercepteaz comunicaia.
Criptografierea este procesul de criptare (translatare) a informaiei ntr-un mesaj
aparent aleator la emitor, i apoi de descifrare a mesajului aleator prin decriptare la
receptor. Tehnologiile electronice actuale permit desfurarea automat a procesului de
criptare/decriptare. Procesul implic folosirea unui algoritm matematic i a unei chei,
pentru translatarea informaiei din clar n stare criptat.
n sistemele de comunicaii vocale, care nu necesit securitate ridicat,
informaia poate fi protejat mpotriva interceptrii i prelucrrii prin scramblarizare. n
acest caz, scramblarea, ca tehnic COMSEC analogic, implic separarea semnalului
vocal ntr-un numr de sub-benzi i translatarea fiecreia ntr-un alt domeniu al
spectrului de audiofrecven, urmat de combinarea sub-benzilor ntr-un semnal audio
compus, care moduleaz emitorul.
n criptarea digital, datele sunt reduse la un flux de date binar. Mecanismul
criptografic creeaz un flux de numere binare ne-repetitiv, extrem de lung, pe baza unei
chei de criptare a traficului (TEK - Traffic Encryption Key). Fluxul de date este adugat
celui criptografic, crend datele criptate sau textul cifrat. Un flux binar creat n acest
mod este inerent impredictibil, furniznd de aceea o metod foarte sigur de protejare a
informaiei. Toate semnalele analogice sunt mai predictibile i de aceea mai puin
sigure.
Eficacitatea criptrii datelor, care este gradul de dificultate n determinarea
coninutului mesajului, este funcie de complexitatea algoritmului matematic i de chei.
Cheia este o variabil care modific resincronizarea algoritmului, protejarea
acesteia fiind vital. Chiar n situaia n care se realizeaz accesul la informaia criptat
(i se cunoate algoritmul), de ctre persoane neautorizate, este imposibil decriptarea
informaiei dac nu se cunoate i cheia. Acesta este unul din considerentele pentru care
e necesar dezvoltarea unor proceduri riguroase de management al cheilor, n scopul
protejrii, distribuirii, stocrii i folosirii cheilor.
Un tip de sistem de management al cheilor, folosit n sectorul comercial public,
este criptografia cu chei publice. Conform acestui standard, fiecare utilizator genereaz
dou chei. Una este cheia public "Y" iar cealalt este cheia privat "X". Utiliznd acest
sistem se poate transmite de oriunde un mesaj criptat cu cheia Y, care ns poate fi
decriptat numai de ctre operatorul care deine cheia X. Astfel, ntr-o reea care
folosete acest sistem de chei publice, sunt posibile comunicaii secretizate pe dou
nivele, acesta fiind denumit sistem de chei asimetric. Alternativa sa este sistemul de chei
simetric, n care cu aceeai cheie se cripteaz i decripteaz datele. Deoarece att cel
92
Cap. 8 - Strategii de achiziie pentru aprare
care emite mesajul ct i toi cei care l primesc trebuie s aib aceleai chei, acest
sistem ofer cel mai nalt nivel de securitate.
O soluie recent dezvoltat, aplicabil reelelor radio folosete reprogramarea
prin legtur radio (OTAR - Over The Air Rekeying).Aceast tehnic aproape elimin
necesitatea ncrcrii manuale a cheilor i realizeaz un management sigur al cheilor.
OTAR este un sistem de distribuire a cheilor i include o cheie de criptare a
cheii (KEK - Key Encryption Key), folosit pentru criptarea cheii de criptare a traficului
i oricror altor chei operaionale COMSEC sau TRANSEC. Acest proces mai este
denumit i "mpachetare" pentru a fi difereniat de criptarea traficului. Singura cheie
care trebuie ncrcat iniial att n unitile emitoare ct i n cele receptoare este
cheia KEK.
Dup "mpachetare", distribuirea, procesul care urmeaz, poate folosi orice
mijloace fizice sau electronice. ntr-un sistem OTAR, cheile "mpachetate"sunt
introduse ntr-un mesaj i trimise prin legtur radio staiei dorite, folosind protocoale
de transmisie fr erori (deoarece orice eroare ar face cheile de nefolosit). Legtura
folosit pentru transmisie este n general secretizat cu ajutorul cheii de criptare a
traficului (TEK) utilizat. Astfel, coninutul cheii este dublu protejat la transmisia prin
legtur radio, eliminndu-se practic orice posibilitate de compromitere. Pentru un grad
de securitate mai ridicat, se obinuiete s se digitizeze prin intermediul unui vocoder,
semnalul digital rezultant fiind apoi tratat ca orice flux de date.
TRANSEC folosete un numr de tehnici pentru a preveni detecia sau bruierea
semnalului pe traseul de transmisie. Aceste tehnici includ fie "ascunderea" canalului, fie
transformarea acestuia ntr-o int n continu micare.
Pe termen mediu i lung, o strategie coerent de aciune pentru operaionalizarea
securitii informaionale va trebui s vizeze dezvoltarea conceptual i metodologic a
domeniului, cu accent pe:
delimitarea granielor conceptuale (caracteristici, forme, aspecte etc.) i definirea
cadrului epistemologic de abordare;
studierea dinamicii modelelor formale ale rzboiului informaional i adaptarea
acestora la contextul geopolitic, la interesele i resursele Romniei;
identificarea factorilor de risc n raport cu slbiciunile actuale ale Sistemului
Naional de Securitate;
fundamentarea teoretic a unui ansamblu de structuri care s permit abordarea
instituionalizat a domeniului rzboiului informaional;
formularea unei strategii integratoare, la nivel naional, care s ofere
coordonatele pe termen lung ale dezvoltrii domeniului securitii
informaionale.
93
Aplicaii practice
94
Laborator Securitatea sistemelor informatice
Lucrarea nr.1
1 Criptarea ca metod de securitate a informaiilor

1.1
Obiective:
nelegerea i familiarizarea cu tehnica de criptare prin cheie secret;
realizarea criptrii i decriptrii mesajelor folosind metoda cifrului lui Cezar;
realizarea criptrii i decriptrii mesajelor folosind metoda cifrului lui Vernam;
n prezent exist dou tipuri principale de tehnici utilizate n criptografie, i

anume:
criptografia prin cheie simetrice (chei secrete sau chei private) i,
criptografia prin chei asimetrice (chei publice).
n cazul cheii simetrice, att expeditorul ct i destinatarul mesajului folosesc o
cheie comun secret. n cazul cheii asimetrice, expeditorul i destinatarul folosesc n
comun o cheie public i, individual, cte o cheie privat.
1.2
Cifrul lui Cezar

Cea mai simpl metod de criptare, prin substituie, este cunoscut n zilele
noastre sub denumirea de cifrul lui Cezar, dup numele mpratului roman care a
inventat-o. n acest cifru, caracterele mesajului i numrul de repetiii ale cheii sunt
nsumate laolalt, modulo 26. n adunarea modulo 26, literelor alfabetului latin, de la A
la Z, li se dau valori de la 0 la 25 (vezi tabelul 4.1). Pentru cheie trebuie s se ofere doi
parametri:
D numrul literelor ce se repet, reprezentnd chei;
K cu rol de cheie.
Tabelul 4.1
Corespondena litere-numere
Litera A B C D E F G H I J K L M N O P Q R S T U V W X Y Z
Numr 0 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25
Pentru a nelege modul de funcionare, s presupunem c D=3 i K = BEC, iar

mesajul secret este "PAROLA MEA". Atribuind valori numerice mesajului, din tabelul
valorii literelor, avem:
P A R O L A M E A
15 0 17 14 11 0
12 4 0
Valorile numerice ale cheii sunt:
BEC=142
Dup aceste corespondene, cheia criptat 142 se adaug literelor mesajului,
astfel:
Cheia reperat
Mesajul
al textului criptat
Textul criptat
1
15
4
0
2
17
1
14
4
11
2
0
1
12
4
4
2
0
16
19
15
15
13
95
Lucrarea nr.1
Convertirea numerelor n literele aferente alfabetului conduce la textul criptat,

aa cum se vede mai sus: "QETPPC NIC"
n cazul cifrului lui Cezar, D = 1 i cheia este D (3), adic fiecare liter este
nlocuit de a treia liter de dup ea din alfabet literele sunt deplasate la dreapta cu trei
poziii, (A cu D, B cu E .a.m.d.). Criptnd mesajul dat n exemplul anterior cu cifrul lui
Cezar, obinem:
Cheia reperat
Mesajul
al textului criptat
Textul criptat
3
15
3
0
3
17
3
14
3
11
3
0
3
12
3
4
3
0
18
20
17
14
15
Dac sumele valorilor cheii i ale numrului aferent literelor sunt mai mari sau
egale cu 26, se determin modulo 26 din sum, adic rezultatul final este obinut prin
scderea din sum a numrului 26.
Exemplu:
D=3, K=PIC, mesajul este SECRET, rezultatul va fi:
- valorile numerice atribuie mesajului:
S E C R E T
18 4 2 17 4 19
- valorile numerice ale cheii sunt: P I C = 15 8 2
Cheia reperat
Mesajul
al textului criptat
Textul criptat
15
18
33
(8)
I
8
4
2
2
12
15
17
32
(9)
J
8
4
2
19
12
21
Valorile 32 i 33 nu au echivalent n alfabetul latin, caz n care se calculeaz

modulo 26 din 32 i 33, rezultnd valorile 8 i 9, iar noul echivalent numeric al textului
criptate este 8 12 4 9 12 21, iar textul criptat este: IMEJMV.
Cifrurile de mai sus pot fi descrise prin ecuaia general:
C = (M + b)mod N
unde:
b = un numr ntreg fix;
N = numrul literelor din alfabet (26 pentru alfabetul latin);
M = mesajul textului clar n forma numeric;
C = textul criptat scris n forma numeric.
Cifrul lui Cezar, bazndu-se pe substituia simpl sau monoalfabetic este uor
de spart, pentru c un caracter este nlocuit de altul i aceast schimbare este valabil n
tot textul, iar analiza frecvenelor de apariie a literelor din textele scrise ne va conduce
la caracterele adevrate ale textului.
Cifrurile polimorfice sunt realizate prin apelarea la cifruri bazate pe substituia
multipl. De exemplu, dac se folosesc trei alfabete pentru substituie, definite de cel ce
intenioneaz s cripteze, prima liter din textul clar este nlocuit cu prima liter din
primul alfabet, a doua liter a textului clar este nlocuit cu prima liter din al doilea
96
Lucrarea nr.1
alfabet, a treia liter a textului clar este nlocuit cu prima liter din al doilea alfabet, a
patra liter din textul clar este nlocuit de a doua liter din primul alfabet .a.m.d.
1.3
Cifrul lui Vernam

Cifrul lui Vernam const ntr-o cheie constituit dintr-un ir se caractere
aleatoare nerepetitive. Fiecare liter a cheii se adaug modulo 26 la o liter a mesajului
clar. n aceast variant, fiecare liter a cheii se folosete o singur dat pentru un
singur mesaj i nu va mai putea fi folosit niciodat. Lungimea irului de caractere a
cheii este egal cu lungimea mesajului. Metoda este foarte util pentru criptarea
mesajelor scurte.
Exemplu: criptarea mesajului: LA MULTI ANI
Mesaj clar
LAMULTIANI
Cheie Vernam VIDAGTSROL
Suma aparent
Modulo 26 din
sum
Textul criptat
11
21
32
0
8
8
12
3
15
20
0
20
11
6
17
19
19
38
9
18
27
0
17
17
13
14
27
8
11
19
15
20
17
12
17
19
1.4
Metod proprie de criptare

Mircea i Vasilic vor s-i trimit mesaje pe care alii s nu le neleag. Au
citit ei despre spioni i modaliti de a scrie mesaje i, n final, au imaginat un mod de
criptare a unui mesaj care folosete cuvnt cheie.
Alegndu-i un cuvnt cheie format numai din litere distincte, ei numr literele
acestuia i mpart mesajul n grupe de lungime egal cu numrul de litere ale cuvntului
cheie, i le aeaz una sub alta. Desigur, se poate ntmpla ca ultima grup s fie
incomplet, aa c o completeaz cu spaii. Apoi numeroteaz literele cuvntului cheie
n ordinea apariiei lor n alfabetul englez. n final, rescriu mesajul astfel: coloana de sub
litera numerotat cu 1, urmat de coloana de sub litera numerotat cu 2, etc. nlocuind
totodat i spaiile cu caracterul * (asterisc).
Exemplu:
cuvntul cheie
mesaj de criptat
cuvntul cheie
numerotare
deoarece, avem, n ordine
mprire n grupe:
codificare
criptam
Incercam sa lucram cu coduri si criptari.
criptam
are 7 litere
2635714
abcdefghijklmnopqrstuvwxzy
1 2
3 4 5 67
Incerca | m sa lu | cram cu | coduri | si cri | ptari.
2635714
Incerca
m*sa*lu
cram*cu
*coduri
*si*cri
ptari.*
97
mesaj criptat
Lucrarea nr.1
clcrr.Imc**pcsaoiaauuii*eamd*rn*rcstr**uci
col1 col2 col3 col4 col5 col6 col7
Cerin
Fiind date un cuvnt cheie i un mesaj criptat, decodificai mesajul trimis de
Mircea pentru Vasilic.
Date de intrare
Fiierul de intrare criptare.in conine pe prima linie mesajul criptat iar pe linia a doua
cuvntul cheie.
Date de ieire
Fiierul de intrare criptare.out conine pe prima linie mesajul decriptat.
Restricii
lungimea mesajului este de minim 20 i maxim 1000 caractere
cuvntul cheie are minim 5 i maxim 20 de caractere
cuvntul cheie conine numai litere mici ale alfabetului
1.5
Desfurarea lucrrii
Studenii vor forma dou sau patru echipe, care vor cripta un text dat de
ndrumtorul lucrrii, dup care vor schimba mesajele criptate ntre ele, i vor ncerca s
le decripteze, cunoscnd cheile de criptare.
De remarcat, c n mesajele n clar nu se ia n considerare spaiul dintre cuvinte.
98
Lucrarea nr.2
2 Steganografia ca metod de securitate a informaiilor

2.1
Obiective:
nelegerea i familiarizarea cu tehnica de ascundere a informaiilor prin
steganografie;
familiarizarea i utilizarea unei aplicaii de ascundere a informaiilor n imagini
steganography;
2.2
Introducere
Cuvntul steganografie (steganography) vine din limba greac unde steganos
nseamn ascuns i graph scris (scriere ascuns). Prin urmare putem spune c
steganografia este tiina sau arta de a scrie mesaje ascunse astfel nct existenta lor s
fie cunoscut numai de destinatar i expeditor. Acest concept i are originea n vremuri
istorice. De exemplu grecii sau romanii foloseau steganografia pentru a transmite
mesaje ascunse, i anume rdeau prul celui care trebuia s transmit mesajul, scriau
mesajul pe pielea capului i ateptau ca prul s-i creasc la loc. Mesajul putea fi
transmis prin intermediul trimisului, nimeni dect cei care tiau unde se afl putndu-l
citi.
Steganografia este folosit pentru a ascunde mesaje (fiiere) n alte fiiere mai
mari i anume n imagini de tip jpg, bmp, png, n fiiere audio (mp3 sau wav) sau chiar
video (avi) fr a exista posibilitatea ca o ter persoan s tie sau s afle de existena
lor. Totui una dintre cele mai cunoscute tehnici de steganografie este "cerneala
simpatic" (nscrisul devine vizibil dup un procedeu - lampa UV, nclzire, etc.).
Steganografia nu trebuie confundat cu criptografia. Acesta din urma face ca un mesaj
s devin indescifrabil, dar existenta lui este vizibil, pe cnd steganografia ascunde
existena mesajului i nu mesajul i face ca steganografia s fie completarea perfect
pentru codificare.
Aplicaia poate fi descrcat de la http://www.securekit.com/.
Dup instalare, studenii vor efectua ascunderea unui fiier text n spatele unei
imagini, care poate fi jpg, bmp, tif, pgn etc.
Lansarea n execuie a aplicaiei se poate face astfel:
Start Programs Steganography Steganography
Moment n care se va deschide fereastra de mai jos:
99
2.3
Lucrarea nr.2
Ascunderea unui fiier
Pasul 1: Selectarea fiierului cru

n acest prim pas se va alege fiierul (imaginea) n care se va ascunde mesajul
(sau fiierul) secret.
Click pe butonul
, i se va alege imaginea care va ascunde mesajul.
Pasul 2: Adugarea/nlturarea mesajului sau a fiierului

n acest pas se selecteaz un fiier existent n calculator sau se creeaz un mesaj
nou care va fi ascuns. Pot fi ascunse mai multe fiiere sau mesaje n acelai timp.
Click pe butonul
mesaje sau fiiere:
, dup care se deschide fereastra de adugat
100
Lucrarea nr.2
1. Pentru a ascunde un fiier deja existent se apas "File" i apoi "Next" ,

selectndu-se de pe hard disc fiierul dorit.
2. Pentru a ascunde un mesaj, se apas "New Messge" i apoi "Next",
deschizndu-se fereastra "Instant Message":
Paii de mai sus se repet dac dorim s ascundem mai multe fiere.
Pentru a ndeprta un fiier sau un mesaj ce trebuia ascuns, se selecteaz din

tabel i apoi se apas butonul Remove,
Pasul 3: Specificarea parolei
pentru a porni procesul de

La final, se d click pe butonul
ascundere. Cnd procesul de ascundere este complet, salvai fiierul rezultat.
2.4
Descoperirea unui fiier ascuns

Pasul 1: Alegerea fiierului purttor
Se d click pe butonul
din dreapta i se selecteaz fiierul cru;
Pasul 2: Introducerea parolei de acces

Dac la ascunderea fiierului original s-a introdus o parol, acum ea trebuie
cunoscut i introdus.
pentru a ncepe procesul de descoperire a
Se apas butonul
fiierului ascuns. Dup ce procesul este terminat, n tabelul de dedesubt va apare fiierul
ascuns n form clar. Pentru al deschide se d dublu clic pe el.
101
Lucrarea nr.3
3 Firewall-uri
3.1
Obiective:
nelegerea funcionrii i a rolului unui firewall n securitatea sistemelor
informatice;
pornirea i configurarea firewall-ului sistemului de operare Windows XP;
3.2
Generaliti/Definiii Firewall
Un paravan de protecie poate ine la distan traficul Internet cu intenii rele, de
exemplu hackerii, viermii i anumite tipuri de virui, nainte ca acetia s pun
probleme sistemului. n plus, un paravan de protecie poate evita participarea
computerului la un atac mpotriva altora, fr cunotina dvs. Utilizarea unui paravan de
protecie este important n special dac suntei conectat n permanen la Internet.
Un firewall este o aplicaie sau un echipament hardware care monitorizeaz i
filtreaz permanent transmisiile de date realizate ntre PC sau reeaua local i Internet,
n scopul implementrii unei "politici" de filtrare. Aceast politic poate nsemna:
protejarea resurselor reelei de restul utilizatorilor din alte reele similare
Internetul -> sunt identificai posibilii "musafiri" nepoftii, atacurile lor asupra
PC-ului sau reelei locale putnd fi oprite.
Controlul resurselor pe care le vor accesa utilizatorii locali.
3.2.1 Funcionarea firewall-urilor
De fapt, un firewall, lucreaz ndeaproape cu un program de routare, examineaz
fiecare pachet de date din reea (fie cea local sau cea exterioar) ce va trece prin
serverul gateway pentru a determina dac va fi trimis mai departe spre destinaie. Un
firewall include de asemenea sau lucreaz mpreun cu un server proxy care face cereri
de pachete n numele staiilor de lucru ale utilizatorilor. n cele mai ntlnite cazuri
aceste programe de protecie sunt instalate pe calculatoare ce ndeplinesc numai aceast
funcie i sunt instalate n faa routerelor.
Soluiile firewall se mpart n dou mari categorii: prima este reprezentat de
soluiile profesionale hardware sau software dedicate proteciei ntregului trafic dintre
reeaua unei ntreprinderi (instituii -> ex.: Universitatea "Alexandru Ioan Cuza", Iai) i
Internet; iar cea de a doua categorie este reprezentat de firewall-urile personale
dedicate monitorizrii traficului pe calculatorul personal.
Utiliznd o aplicaie din ce-a de a doua categorie vei putea prentmpina
atacurile colegilor lipsii de fair-play care ncearc s acceseze prin mijloace mai mult
sau mai puin ortodoxe resurse de pe PC-ul dumneavoastr. n situaia n care dispunei
pe calculatorul de acas de o conexiune la Internet, un firewall personal v va oferi un
plus de siguran transmisiilor de date. Cum astzi majoritatea utilizatorilor tind s
schimbe clasica conexiune dial-up cu modaliti de conectare mai eficiente (cablu,
ISDN, xDSL sau telefon mobil), pericolul unor atacuri reuite asupra sistemului
dumneavoastr crete. Astfel, mrirea lrgimii de band a conexiunii la Internet
faciliteaz posibilitatea de "strecurare" a intruilor nedorii.
102
Lucrarea nr.3
Astfel, un firewall este folosit pentru dou scopuri:

pentru a pstra n afara reelei utilizatorii ru intenionati (virui, viermi
cybernetici, hackeri, crackeri) ;
pentru a pstra utilizatorii locali (angajaii, clienii) n reea .
3.2.2 Politica Firewall-ului

nainte de a construi un firewall trebuie hotrt politica sa, pentru a ti care va
fi funcia sa i n ce fel se va implementa aceast funcie.
Politica firewall-ului se poate alege urmnd civa pai simpli:
alege ce servicii va deservi firewall-ul
desemneaz grupuri de utilizatori care vor fi protejai
definete ce fel de protecie are nevoie fiecare grup de utilizatori
pentru serviciul fiecrui grup descrie cum acesta va fi protejat
scrie o declaraie prin care oricare alte forme de access sunt o ilegalitate
Politica va deveni tot mai complicat cu timpul, dar deocamdat este bine s fie
simpl i la obiect.
3.2.3 Clasificri
Firewall-urile pot fi clasificate dup:
Layerul (stratul) din stiva de reea la care opereaz
Modul de implementare
n funcie de layerul din stiva TCP/IP (sau OSI) la care opereaz, firewall-urile
pot fi:
Layer 2 (MAC) i 3 (datagram): packet filtering.
Layer 4 (transport): tot packet filtering, dar se poate diferenia ntre protocoalele
de transport i exist opiunea de "stateful firewall", n care sistemul tie n orice
moment care sunt principalele caracteristici ale urmtorului pachet ateptat,
evitnd astfel o ntreag clas de atacuri
Layer 5 (application): application level firewall (exist mai multe denumiri). n
general se comport ca un server proxy pentru diferite protocoale, analiznd i
lund decizii pe baza cunotinelor despre aplicaii i a coninutului
conexiunilor. De exemplu, un server SMTP cu antivirus poate fi considerat
application firewall pentru email.
Dei nu este o distincie prea corect, firewallurile se pot mpri n dou mari
categorii, n funcie de modul de implementare:
dedicate, n care dispozitivul care ruleaz software-ul de filtrare este dedicat
acestei operaiuni i este practic "inserat" n reea (de obicei chiar dup router).
Are avantajul unei securiti sporite.
combinate cu alte faciliti de networking. De exemplu, routerul poate servi i pe
post de firewall, iar n cazul reelelor mici acelai calculator poate juca n acelai
timp rolul de firewall, router, file/print server, etc.
103
Lucrarea nr.3
3.2.4 Ce "poate" i ce "nu poate" s fac un firewall?

Un firewall poate s:
monitorizeze cile de ptrundere n reeaua privat, permind n felul acesta o
mai bun monitorizare a traficului i deci o mai uoar detectare a ncercrilor
de infiltrare;
blocheze la un moment dat traficul n i dinspre Internet;
selecteze accesul n spaiul privat pe baza informaiilor coninute n pachete.
permit sau interzic accesul la reeaua public, de pe anumite staii specificate;
i nu n cele din urm, poate izola spaiul privat de cel public i realiza interfaa
ntre cele dou.
3.3
De asemeni, o aplicaie firewall nu poate:

interzice importul/exportul de informaii duntoare vehiculate ca urmare a
aciunii rutcioase a unor utilizatori aparinnd spaiului privat (ex: csua
potal i ataamentele);
interzice scurgerea de informaii de pe alte ci care ocolesc firewall-ul (acces
prin dial-up ce nu trece prin router);
apra reeaua privat de utilizatorii ce folosesc sisteme fizice mobile de
introducere a datelor n reea (USB Stick, dischet, CD, etc.)
preveni manifestarea erorilor de proiectare ale aplicaiilor ce realizeaz diverse
servicii, precum i punctele slabe ce decurg din exploatarea acestor greeli
Informaii despre firewall sun Windows XP
3.3.1 Cum ncep s utilizez un firewall?

Un firewall este ncorporat n Microsoft Windows XP. Este posibil s ncepei
chiar astzi, utiliznd caracteristica "Paravan de protecie Windows XP pentru
conexiunea Internet". n majoritatea situaiilor, paii din pagina despre protejarea PCului v ajut s activai firewall-ul pentru conexiunea Internet n Windows XP i trebuie
utilizat dac avei un singur computer cu care v conectai la Internet. Cteva opiuni
suplimentare pentru firewall mai sunt disponibile, acestea fiind soluii software i
hardware. Acestea ar trebui luate n considerare dac avei o versiune mai veche de
Windows, dac avei probleme de compatibilitate cu firewall-ul din Windows XP sau
dac intenionai s utilizai un firewall cu caracteristici diferite.
Versiunile de Windows anterioare Windows XP nu se livrau cu un firewall
pentru conexiunea Internet. Dac avei un computer cu o versiune mai veche de
Windows i acesta este conectat direct la Internet, ar trebui s cumprai i s utilizai un
firewall.
3.3.2 Cum aflu ce versiune de Windows utilizez?
1.Facei clic pe Start, apoi pe Run.
2.n caseta de dialog Executare, tastai winver. Facei clic pe OK. O caset de dialog v
va spune ce versiune de Windows executai.
Utilizatorii de Windows XP care doresc caracteristici diferite ntr-un firewall pot
s utilizeze, de asemenea, un firewall hardware sau unul software de la un alt
104
Lucrarea nr.3
productor. n unele situaii, utilizatorii avansai pot opta pentru utilizarea n reea att a
unui firewall software ct i a unuia hardware.
3.3.3 Verificarea strii Windows Firewall
Pentru a verifica dac verify that Windows Firewall este pornit se efectueaz
urmtorii pai:
1. Click Start, and then click Control Panel.
2. From the Control Panel, click Windows Firewall.
3. Dac Windows Firewall este On, atunci este pornit.

4. Dac Windows Firewall este Off, atunci el este nchis, pentru al porni click pe
On.
3.3.4 Adugarea unei excepii n Windows Firewall
Uneori, Windows Firewall blocheaz un program care este folosit pentru
conectarea la Internet. Dac dorim ca acest program s aib acces la Internet, putem
aduga n Windows Firewall o excepie pentru acesta, lucru care se efectueaz astfel:
1. Dm clik pe tab-ul Exceptions )figura de mai sus);
2. Clik pe Add Program
3. n Add a Program dialog box, click Browse.
105
Lucrarea nr.3
4. i cutm aplicaia creia dorim s-i permitem s treac de Firewall;

5. Windows Firewall va aduga o excepie pentru programul selectat. i i va
permite s se conecteze pe Internet cu un alt calculator. (de exemplu Yahoo
Messenger).
3.3.5 Probleme de compatibilitate cu ISP, hardware sau software
Conexiunile la Internet ale unor distribuitori ISP nu apar n folderul Conexiuni
n reea. De exemplu, versiunile mai vechi ale programelor de conexiune AOL sau MSN
nu sunt compatibile cu firewall-ul din Windows XP. Dac v confruntai cu aceast
incompatibilitate, luai legtura direct cu distribuitorul ISP pentru asisten. n anumite
cazuri, distribuitorii ISP furnizeaz un firewall personal alternativ, fie software, fie
hardware.
n anumite cazuri, conexiunea pentru ISP poate aprea n folderul Conexiuni n
reea, ns nu vei vedea fila Complex n caseta de dialog Proprieti conexiune sau nu
vei vedea caseta de selectare Paravan de protecie a conexiunii la Internet. Aceasta
nseamn c software-ul de conexiune ISP nu este compatibil cu firewall-ul.
Firewall-ul poate s interfereze cu anumite programe i utilitare de reea de pe
computer. n majoritatea cazurilor, avei posibilitatea s corectai selectiv aceste
incompatibiliti reglnd funcionarea firewall-ului sau cernd asisten furnizorului de
software sau ISP. Uneori, o versiune nou de software va corecta aceast problem.
3.4
Desfurarea lucrrii
Studenii vor efectua urmtoarele operaii:
vor verifica dac Windows Firewall este pornit, iad dac acesta este nchis l vor
porni;
vor aduga o excepie pentru aplicaia "Windows Messenge", a crei locaie pe
hard disc este "C:\Program Files\Messenger\msmsgs.exe";
106
Lucrarea nr.3
Pclirea Firewall/IDSurilor i ascunderea identitii

Muli pionieri ai internetului au prevzut o reea global deschis cu un spaiu
universal de adrese IP permind conexiuni virtuale ntre oricare dou noduri. Acest
lucru permite hosturilor s acioneze ca parteneri n comunicaie, s serveasc i s
obin informaii unul de la celalalt. Oamenii pot accesa sistemele de acas, s schimbe
temperatura n cas sau s deschid ua pentru oaspeii grbii. Viziunea conectivitii
universale a fost nbuit de micorarea spaiului de adrese i de problemele de
securitate. La nceputul anilor 90, organizaiile au nceput implementarea firewallurilor
cu scopul precis de reducere a conectivitii. Reele uriae au fost separate de Internetul
nefiltrat prin aplicaii proxy, traduceri de adrese de reea (NAT) i filtre de pachete.
Fluxul nerestricionat de informaii a fcut loc canalelor de comunicaie aprobate i
supuse unor anumite reguli, precum i controlului datelor ce trece prin ele.
Obstacolele din reea cum ar fi firewallurile pot face din maparea reelei o
operaie extrem de dificil. Nu va deveni mai uor din moment ce constrngerile
aplicate reelei reprezint adesea un scop al implementrii noilor echipamente n reea.
Nu e mai puin adevrat ca Nmap ofer multe opiuni pentru nelegerea acestor reele
complexe i s verifice dac filtrele funcioneaz aa cum trebuie. Chiar suport
mecanisme de depire a sistemelor de aprare prost implementate. Punei-v n pielea
unui atacator i aplicai tehnici din aceasta seciune n reeaua dumneavoastr. Lansai
un atac srit FTP, o scanare Idle, o fragmentare a atacului sau ncercai realizarea unui
tunel printr-un proxy de-al dumneavoastr.
n plus fa de restriciile reelelor, companiile au nceput s monitorizeze
traficul cu sisteme de detecie a intruziunilor (IDS). Toate IDSurile cunoscute sunt
livrate cu reguli care s detecteze scanrile Nmap deoarece acestea preced de obicei un
atac. Multe dintre acestea sau transformat n sisteme de prevenirea intruziunilor (IPS)
care blocheaz n mod activ traficul presupus maliios. Din pcate pentru administratorii
de reea i vnztorii IDSurilor, detectarea n mod corect a relelor intenii prin
analizarea pachetelor este o problem dificil. Atacatorii cu rbdare, ndemnare i
ajutor din partea anumitor opiuni Nmap pot n mod normal s treac de IDS
nedetectai. ntre timp, administratorii au de a face cu o mulime de alerte false cnd
trafic inocent este greit diagnosticat i se emite o atenionare sau este chiar blocat.
Cteodat oamenii sugereaz ca Nmap nu ar trebui s ofere funcii de pclire a
regulilor firewallurilor sau de trecerea nedetectata de IDS. Argumenteaz prin faptul c
pot fi folosite de atacatori. Problema n acest raionament este c atacatorii tot vor gsi
instrumente sau patchuri pentru Nmap pentru a realiza acest lucru. ntre timp,
administratorii pot descoperii c munca lor este mult mai dificil. Instalarea numai a
serverelor FTP moderne, cu patchurile aplicate la zi este o metod mult mai bun de
protecie dect prevenirea distribuirii instrumentelor ce implementeaz atacurile srite
FTP.
Nu exist nici o opiune magic n Nmap pentru detectarea i pclirea
firewallurilor si a sistemelor IDS. Acest lucru ia ndemnare i experien O prezentare
detaliat este dincolo de scopul acestei lucrri de laborator, care listeaz doar opiunile
relevante i descrie ce fac ele.
3.1
-f (fragmenteaz pachetele);
--mtu (foloseste MTU specificat Unitatea Maxima de Transmitere)
107
Lucrarea nr.3
Opiunea -f face ca scanarea cerut (incluznd scanarea ping) s foloseasc

fragmente mici de pachete IP. Ideea este mprirea headerului TCP n mai multe
pachete pentru a ngreuna misiunea filtrelor de pachete, sistemelor de detectare a
intruziunilor i a altor elemente de detectare a activitii. Atenie cu aceasta opiune!
Unele programe au probleme n manevrarea acestor pachete mici. De exemplu Sniffit
eua dup primirea primului fragment. Specificai aceast opiune o dat i Nmap va
mpri pachetul n fragmente de opt bytes sau mai puin dup headerul IP. Astfel, un
header TCP de 20 bytes va fi mprit n 3 pachete. Dou de opt bytes i unul cu ultimii
patru. Desigur, fiecare fragment are propriul header TCP. Specificai f nc o dat
pentru folosirea a 16 bytes pe fragment (reducnd numrul de fragmente). Sau putei
specifica propriile dimensiuni cu opiunea--mtu. Nu specificai i -f dac folosii -mtu. Dimensiunea trebuie s fie un multiplu de 8. Pachetele fragmentate nu vor trece de
filtrele de pachete i firewallurile care interogheaz toate fragmentele IP, cum ar fi
opiunea CONFIG_IP_ALWAYS_DEFRAG din kernelul Linuxului, unele reele nu-i
pot permite pierderea de performan cauzat de aceste configurri i le dezactiveaz.
Altele nu pot activa configurrile de acest gen deoarece fragmentele pot intra pe rute
diferite n reea. Unele sisteme defragmenteaz pachetele de ieire n kernel. Linux cu
modulul de urmrire a conexiunii din iptables este un exemplu. Realizai o scanare i
rulai n acelai timp un sniffer de genul Ethereal pentru a v asigura c pachetele
sunt fragmentate. Dac sistemul de operare v creaz probleme, ncercai opiunea -send-ethde srire a nivelului IP i de trimitere de cadre ethernet brute.
-D <momeala1 [,momeala2][,ME (EU)],...>(Scanare acoperita de momeli)
Face ca o scanare acoperit de momeli s fie executat, ceea ce face ca inta s

cread c momelile specificate ca argument scaneaz i ele reeaua. Astfel IDS poate
raporta 5-10 scanri de porturi de la adrese IP unice, dar nu va tii care adres scaneaz
cu adevrat i care sunt momeli inocente. Cu toate ca aceasta tehnica poate fi contrat
prin urmrirea cii prin routere, ignorarea rspunsului i alte mecanisme active, ea
reprezint o tehnic eficient de ascundere a adresei IP.
Separai fiecare momeal prin virgule i folosii opional ME (adic propria
adresa IP) ca una dintre momeli pentru a reprezenta adevrata poziie a adresei IP reale.
Daca punei ME n a asea poziie sau mai trziu, unele detectoare de scanri de porturi
(cum ar fi Solar Design) pot s nici nu afieze adresa IP real. Dac nu folosii ME, nmap
l va pune ntr-o poziie aleatoare.
Reinei faptul c intele pe care le folosii ca momeli trebuie s fie active sau
altfel riscai s inundai cu pachete SYN inta. n aceeai ordine de idei, este uor de
determinat cine face scanarea dac o singur adres IP este activ. E de preferat s
utilizai adrese IP n loc de nume (astfel nct numele hostului dumneavoastr s nu
apar n logurile DNSului int).
Momelile sunt folosite att n pingul iniial (folosind ICMP, SYN, ACK sau
orice altceva) i n timpul scanrii efective de porturi. Momelile sunt de asemenea
folosite la detectarea sistemului de operare (-O). Momelile nu funcioneaz cu detecia
versiunii sau scanarea TCP connect().
Nu folosii prea multe momeli deoarece pot ncetini scanarea i o pot face mai
puin corect. De asemenea, unii ISP vor filtra pachetele false, dar muli nu
restricioneaz pachetele IP de loc.
-S <Adresa_IP>(Seteaza adresa IP sursa)
108
Lucrarea nr.3
n anumite circumstane, Nmap se poate afla n imposibilitatea determinrii

adresei surs (Nmap va anuna dac acest lucru se ntmpla). n aceast situaie, folosii
S cu adresa IP a interfeei pe care dorii s trimitei pachetele.
Alt posibil utilizare a acestei opiuni este s facei inta s cread c este
scanata de altcineva. Imaginativ o companie permanent scanat de un competitor!
Opiunea e va fi n general necesar pentru astfel de utilizare si -P0 este de asemenea
recomand.
-e <interfata>(Foloseste interfata specificata)
Spune Nmapului ce interfa s foloseasc pentru trimiterea i primirea
pachetelor. Nmap ar trebui s poat determina automat acest lucru, dar v va anuna
dac nu poate.
--source-port <numarul_portului>;-g <numarul_portului>(Seteaza portul
sursa)
O greeal surprinztor de des ntlnit o reprezint configurarea relaiilor de
ncredere n funcie de numrul portului surs. Este uor de neles cum stau lucrurile.
Un administrator instaleaz un nou firewall i este apoi ngropat n plngeri din partea
utilizatorilor nemulumii ale cror aplicaii nu mai funcioneaz. n particular, DNSul
poate fi blocat deoarece rspunsurile UDP DNS de la serverele externe nu mai pot intra
n reea. FTP este un alt exemplu. n transferurile FTP active, serverul ncearc s
stabileasc o conexiune napoi la client pentru transferarea fiierului solicitat.
Soluii securizate la aceste probleme exist, de obicei sub forma de proxiuri la
nivelul aplicaie sau module firewall care analizeaz protocoalele. Din pcate exist i
soluii mai simple i mai nesigure. Notnd faptul c rspunsurile DNS vin de la portul
53 i cele de la conexiunile FTP de la portul 20, muli administratori au czut n capcana
permiterii necondiionate a traficului de la aceste porturi. Adesea ei presupun c nici un
atacator nu va observa i exploata astfel de guri n firewall. n alte cazuri,
administratorii consider aceasta rezolvare ca una pe termen scurt pn cnd vor
implementa o soluie mai sigur. Apoi ei uit s mai fac upgradeul de securitate.
Administratorii reelelor suprancrcate nu sunt singurii care cad n aceast
capcan. Numeroase produse au fost livrate cu aceste reguli nesigure. Chiar i Microsoft
are partea ei de vina. Filtrele IPsec livrate cu Windows 2000 i Windows XP conin o
regul implicit care permite traficul oricrui pachet UDP cu portul sursa 53 (DNS) sau
67 (DHCP).
Nmap ofer opiunile -gsi--source-port (care sunt echivalente) pentru
exploatarea acestei slbiciuni. Specificai un numr ca argument i Nmap va trimite
pachete de la acel port oricnd acest lucru este posibil. Nmap trebuie s foloseasc
porturi diferite pentru anumite teste de detectare a sistemului de operare i cererile DNS
ignor opiunea --source-port deoarece Nmap se bazeaz pe librriile sistemului
pentru a le manevra. Multe scanri TCP, incluznd-o pe cea SYN, suport aceast
opiune, la fel ca i scanarea UDP.
--data-length <numar> (Adaug un numr aleator de date la pachetul trimis)
n mod normal Nmap trimite pachete minimaliste coninnd doar headerul.
Astfel pachetele TCP au n general 40 bytes i cererile de rspuns ICMP doar 28.
Aceast opiune adaug un numrul dat ca argument de bytes, generai aleator, la
majoritatea pachetelor trimise. Pachetele pentru detecia sistemului de operare (-O) nu
109
Lucrarea nr.3
sunt afectate, dar majoritatea pingurilor i scanrilor de porturi sunt. Acest lucru
ncetinete viteza de scanare, dar pachetele pot fi mai puin suspicioase.
--ttl <valoare>(Seteaza campul IP time-to-live timp de viata)
Seteaz cmpul IP time-to-live timp de viata la valoarea specificat.
--randomize-hosts(Scaneaza hosturile in ordine aleatoare)
Spune Nmapului s aranjeze aleator grupuri de 8096 hosturi nainte de scanare.

Aceast opiune poate face scanarea mai puin vizibil pentru anumite sisteme de
monitorizare a reelei, n special cnd se combin cu un specificator mic de timp. Dac
vrei ca aranjarea aleatoare s se realizeze pentru grupuri mai mari, cretei valoarea
PING_GROUP_SZ dinnmap.hsi i recompilai. O soluie alternativ o reprezint
generarea listei de IPuri ce urmeaz a fi scanat cu o scanre de tip lista (-sL -n oNnumefisier), i s realizai aranjarea aleatoare a lor cu un script Perl, apoi s
furnizai ntreaga list Nmapului cu opiunea -iL.
--spoof-mac <adresa mac, prefix, numele vanzatorului >(Falsifica adresa
MAC)
Cere Nmapului s foloseasc adresa MAC furnizat pentru toate cadrele ethernet
pe care le trimite. Aceast opiune implic --send-eth pentru a se asigura c Nmap
trimite pachetele la nivelul reea. MAC-ul specificat poate avea cteva formate. Dac
spcificai irul 0, Nmap alege un MAC complet aleator pentru sesiunea respectiv.
Daca irul furnizat este un numr par de digii hexa (cu perechile separate prin
caracterul :), Nmap va folosi respectiva adresa MAC. Dac mai puin de 12 digii sunt
furnizai, Nmap umple 6 bytes cu valori aleatoare. Dac argumentul nu este nici 0, nici
ir hexa, Nmap caut n nmap-mac-prefixes pentru a gsi un productor care s
conin irul dat (cutare insenzitiv). Dac o asemnare este gsit, Nmap folosete
identificatorul unic al vnztorului (3 bytes) i completeaz cu 3 bytes alei aleator.
argumentele valide ale opiunii
--spoof-mac sunt Apple 0,01:02:03:04:05:06, deadbeefcafe, 0020F2, i Cisco.
110
Lucrarea nr.4
4 Proxy server
4.1
4.2
Obiective:
nelegerea funcionrii i a rolului unui server proxy n securitatea sistemelor
informatice;
pornirea i configurarea unui server proxy sub sistemului de operare Windows
XP;
instalarea i configurarea WinGate.
Generaliti/Definiii Server Proxy
Probabil c muli dintre dumneavoastr, dac v vei hotr s instalai un astfel

de server pentru reeaua la care suntei conectai, vei fi pui n faa unor decizii destul
de grele, problema configurrii unui astfel de sistem fiind destul de complicat. n
continuare se vor prezenta cteva soluii n acest sens, pentru mai multe variante de
reea (Windows NT sau Windows 2000, Unix) pentru a v ajuta s instalai i s
configurai cu succes un astfel de program.
4.3
Server Proxy pentru WINDOWS
Prima soluie se preteaz platformelor Windows NT sau Windows 2000 i

poart numele de Microsoft Proxy 2.0. Dup ce v hotri s procedai la instalarea
acestui proxy va trebui s validai pentru instalare (s bifai sau s debifai) opiunile
necesare pentru ca serverul s funcioneze n parametrii dorii de dumneavoastr.
Recomandate sunt opiunile de instalare a serverului propriu-zis, share-ul pentru clienii
compatibili Windows NT i Windows 9x, uneltele de administrare i eventual
documentaia i suportul pentru clienii ce folosesc Windows NT Alpha sau Windows
3.x.
Stabilirea valorii cache
Al doilea pas este configurarea cache-ului, pentru acest lucru avei nevoie de o
partiie NTFS, celelalte tipuri nefiind suportate. Putei s nu selectai instalarea cacheului, dar atunci nu vei beneficia dect de opiunile de securitate ale serverului. Va
trebui s specificai valoarea cache-ului, pentru calculul acesteia fiind recomandat
formula 0,5xC+100MB, unde C este numrul de clieni deservii de server.
Tabela de adrese locale
n a treia etap va trebui s configurai tabela de adrese locale (Local Address
Table - LAT). Prin intermediul acestei tabele clientul proxy va ti care sunt adresele
locale din reea n scopul de a le contacta fr a mai trece prin serverul proxy. Aici
avei mai multe opiuni, putei aduga un interval de adrese (Add private ranges), dar
trebuie avut n vedere c acestea vor fi acceptate ca fiind adrese interne referitor la
Internet i procedura trebuie executat cu atenie pentru a nu se strecura vreo adres
extern nedorit. De asemenea putei ncrca adresele existente n tabela de rutare (Load
from NT internal Routing Table) ale tuturor adaptoarelor de reea sau le putei selecta
doar pe cele dorite. n cazul n care exist adaptoare de reea conectate la o reea extern
trebuie s selectai Load known address ranges from the following IP interface cards
111
Lucrarea nr.4
i apoi s selectai doar dispozitivele interne. Putei, bineneles, s inserai sau s

tergei adrese specifice din LAT, cu condiia de a nu introduce adrese IP externe.
Configurarea clienilor
Prima dat trebuie s stabilii cum se vor conecta clienii la server, aceasta
fcndu-se n dou moduri, fie dup numele de host fie dup adresa IP. A treia opiune,
configurarea manual, nu este disponibil dect dac reinstalai serverul proxy, caz n
care putei pstra sau suprascrie configuraia deja existent.
Apoi este recomandat s optai pentru configurarea automat a browserelor Web
pentru a suporta proxy, deci validarea opiunii Automatically configure the clients Web
browser during the client setup i configurarea automat definit n fiierul Array.dll.
Valoarea pentru portul TCP nu trebuie modificat (portul prestabilit este TCP 80).
Se poate renuna la folosirea configuraiei existente predefinite n Array.dll, putnd fi
folosit un script de configurare, sau se pot modifica unele setri din Array.dll prin
apelarea la configurarea avansat a clienilor (Advanced Client Configuration)
disponibil ulterior accesrii proprietilor (Properties). n acest punct putei stabili dac
browserele Web vor folosi proxy pentru serverele locale, opiune iniial nevalidat. De
asemenea putei seta ca pentru anumite adrese IP conectarea s nu se fac prin
intermediul proxy, adresele i mtile lor de subreea trebuind s le specificai n
fereastra de mai jos. Poate s se renune la proxy n favoarea conectrii directe pentru
anumite domenii i se poate modifica ruta de sigurana (n cazul n care serverul proxy
nu mai este funcional se recurge la o rut alternativ care poate fi un alt proxy sau
conectarea directa la Internet).
Limitarea accesului
n acest punct se stabilesc criteriile de limitare a accesului la unele protocoale
sau servicii Internet. Putei dispune de controlul accesului pentru WinSock Proxy
Service, pentru Web Proxy Service sau pentru amndou. Iniial, ambele sunt selectate
i e bine de tiut c n configuraia prestabilit nu se ofer acces nimnui din reeaua
intern ctre Internet prin serverul proxy. Dac optai pentru configuraia prestabilit
trebuie apoi s creai drepturi (pentru grupuri, staii solitare sau pentru toata reeaua
intern) privind conectarea la Internet prin intermediul serverului proxy. De asemenea
se poate beneficia de opiunea filtrrii de pachete n cazul n care ai optat pentru
instalarea uneltelor de administrare. Aceast filtrare de pachete limiteaz tipul de trafic
i de conexiuni pe care utilizatorii externi le fac ctre reeaua intern.
nainte de a apela la un server proxy trebuie avute n vedere configuraia i structura
reelei i de software-ul de reea de pe staiile client folosit pentru a contacta reeaua
extern. n momentul implementrii serverului se recomand s facei o list cu toate
aplicaiile TCP/IP folosite de ctre clieni pentru conectarea la reeaua externa, n
special trebuie avute n vedere browserele Web folosite deoarece fiecare aplicaie ce
dorii s foloseasc serve-rul proxy trebuie configurat n acest sens. Browserele
cunoscute, cum sunt Internet Explorer sau Netscape, pot fi configurate automat, dar
poate fi nevoie de configurare manual pentru alte aplicaii. Integrarea serverului proxy
n reea se afl n strns legtur cu modul n care clienii se conecteaz la Internet. De
exemplu, dac dorii forarea conexiunii numai prin intermediul proxy, trebuie s avei
grij s nu mai existe alte rute ctre Internet disponibile. n acest caz este esenial s
dezactivai opiunea IP forwarding pentru serverul dumneavoastr. Acest lucru se
poate face din pagina de proprieti pentru TCP/IP, i n cazul n care nu dezactivai
aceast opiune serverul pe care este instalat proxy poate face rutarea de pachete fr a
112
Lucrarea nr.4
mai folosi proxy. De asemenea trebuie verificate i routerele existente ce pot oferi acces
la Internet, dac acestea exist trebuie s satisfac aceleai condiii de control i
securitate oferite de proxy.
4.4
Desfurarea lucrrii
4.4.1 Instalare i configurare server proxy WinGate

Versiunea WinGate 6.2.1 se poate download-a i folosi timp de 30 de zile gratuit
de pe http://www.wingate.com/download.php .
Cele mai indicate moduri de instalare a WinGate sunt prezentate n figura 1, n
care serverul WinGate are legtur direct la Internet sau prin intermediul unui modem
sau router. Pe aceast interfa, Serverul are o adres IP public. Pentru conexiunea la
reeaua local, poate avea o a doua interfa, conectat cu un switch pentru a permite
accesul mai multor utilizatori.
Staie
WinGate
192.168.1.2 /24
Staie
WinGate
192.168.1.3 /24
Staie
WinGate
192.168.1.4 /24
LAN
WAN
Server
WinGate
Switch
Modem /
Router
INTERNET
192.168.1.1 /24
Gateway: empty
DNS: empty
IP: auto
DG: auto
DNS: auto
Fig. 1: Instalarea i cofigurarea unui server proxy sub Windows.
Configurarea adaptorului pentru LAN

Placa de reea de pe Server care va fi conectat la LAN, va fi configurat static
cu un IP privat (vezi figura 1), iar cmpurile pentru Default Gateway i DNS server for
fi lsate goale.
Configurarea adaptorului pentru WAN
Placa de reea ce va face conexiunea cu Internetul va fi configurat astfel:
1. dac conexiunea este realizat direct la internet, se va da un IP static Public,
care este oferit de ctre providerul de Internet (ISP);
2. dac conexiunea este realizat printr-un router (aa ca n laborator), care are
pe el un server de DHCP pornit, atunci IP va fi obinut automat bifnd
opiunea Obtain IP address automatically.
Procesul de instalare
Procesul de instalare este identic oricrei aplicaii sub Windows.
La instalare trebuie s optm pentru una din variantele: Client WinGate sau
Server WinGate.
Fig.2: Alegerea tipului instalrii: Server sau Client WinGate.

113
Lucrarea nr.4
WinGate Server va fi instalat doar pe un singur calculator, cel care va face

legtura la Internet.
Ferestrele care se deschid n procesul de instalare sunt urmtoarele:
1. Install directory
2. Important
3. NT Users and Authentication
4. Email
5. ENS
6. Auto Update
7. Activate WinGate
8. Begin Installation
9. Installation Completed
Procesul Post-instalare
Odat ce WinGate Server a fost instalat, sunt cteva setri care trebuie fcute
pentru a ne asigura de corectitudinea funcionrii WinGate.
1. WinGate Engine - este instalat i ruleaz ca serviciu numit Qbik WinGate
Engine, i poate avea trei stri de funcionare: stating, running i stopped.
2. GateKeeper ofer toate funcionalitile lui WinGate pentru a opera i ofer
posibiliteatea de configurare a acestuia cu o interfa numit GateKeeper, vezi figura 2.
Conexiunea la reea
Dup conectarea la GateKeeper, urmtorul pas este se verifice dac WinGate
a descoperit i clasificat corect conexiunea la reea, lucru care se face astfel:
1. se selecteaz tab-ul Network de pe partea dreapt a GateKeeper;
2. n seciunea network connection vor fi afiate toate interfeele descoperite
de WinGate;
3. dublu click pe interfaa care conecteaz WinGate Server la reeaua local;
114
Lucrarea nr.4
4. n fereastra de dialog ce se deschide se alege General tab;

5. se verific dac interfaa este setat pe Auto sau Internal (trusted provate
network);
Interfaa Modem / Router Internet
1. n fereastra Network connection, dublu click pe interfaa care conecteaz
Serverul WinGate la Modem, Router sau direct la Internet;
2. n General tab, se selecteaz butonul radio External (untrusted network);
3. click OK pentru a salva modificrile.
Astfel, aceast interfa va fi tratat de WinGate Server drept conexiunea extern
care va fi folosit pentru accesarea Internetului.
Testarea conectivitii cu clienii
Odat conectai la GateKeeper i realizate setrile pentru conexiunile la reea,
trebuie verificat c toate gazdele din LAN au acces la Internet.
Implicit, oricine are acces la Internet prin WinGate, pn cnd vor fi definite
restricii. Utilizatorii pot fi urmrii n Activity tab.
4.4.2 Instalare i configurare Client proxy WinGate
Pe staiile din reea, care se vor conecta la Internet prin Proxy, se va instala
aplicaia Client proxy WinGate, lucru realizabil prin selectarea n procesul de instalare a
opiunii Client, vezi figura 2.
WinGate Internet Client (WGCI) este un apllet care odat instalat pe staia
client, ne ajut s comunicm cu toate cererile de navigare pe Internet adresate ctre
Winsock Redirector Service de pe WinGate Server.
Cnd o aplicaie bazat pe Winsock, cum ar fi un browser internet sau un
program de e-mail, emite o cerere ctre o main client de pe Internet, WGIC va
intercepta cererea i o va trimite la Winsock Redirector Service de pe WinGate Server
care va trata cererea conform setrilor clientului.
Appletul WGIC permite definirea modului n care Winsock Redirector Service
de pe WinGate Server va trata cererea unei
aplicaii client/server care ruleaz pe
maina clientului.
Appletul WinGate Internet Client
Pentru a lansa n execuie appletul
WGIC:
Start Programs WinGate Internet
Client WinGate Internet Client
Applet
i va apare fereastra de mai sus.
WGIC va gsi automat orice server
WinGate din reea, atta timp ct WinGate
115
Lucrarea nr.4
server ruleaz i are serviciul GDP pornit. Serviciul GDP este special proiectat s
permit mainilor WGID s detecteze prezena serverelor WinGate din reea.
n exemplul din figura de mai sus, sunt dou servere WinGate, 98setx i Witch,
care au fost detectate n reea. Se poate seta appletul WGIC care din cele dou servere
s fie folosit, manual sau automat.
Server este numele din reeaua Windows a PC-ului pe care ruleaz WinGate;
Address este adresa IP privat a Serverului WinGate;
Port este portul TCP pe care
Winsock
Redirector
Service
ruleaz pe serverul WinGate,
WGIC
folosete
Winsock
redirector Service pentru a oferi
conectivitate la Internet prin
WinGate,
Implicit,
WinGate
folosete portul 2080 pentru a
primit cererile WGIC.
Apsnd butonul Add, se deschide
fereastra de mai jos, prin care se pot
aduga manual Servere WinGate.
Aplicaii Utilizator User Application
Acest tab permite configurarea modului n care WGIc va trata aplicaiile
clientului care vor rula pe maina WGIC.
Tipurile de acces pe care le pot avea aplicaiile sunt: Local Acces, Mixed Acces
i Global Acces.
System Aplication sun listate aplicaiile sistemului i modului de acces al

acestora.
Majoritatea aplicaiilor listate au Local Access, care nchide WGIC pentru
anumite aplicaii. n general, lista implicit nu necesit s fie modificat.
116
Lucrarea nr.4
4.4.3 Modurile de lucru ale Winsock Redirection Application

Aplicaiile care ruleaz pe un computer pot fi mrite n dou categorii:
Aplicaiile client majoritatea aplicaiilor care cer o conexiune exterioar cu
alte computere aflate pe Internet (n afara propriei reel) pentru a obine anumite
servicii.
De exemplu, navigatorul web se conecteaz la un computer pe care ruleaz un
server web i cere s-i trimit o pagin web n limbaj HTML. Similar este i
serviciul de e-mail POP3.
Aplicaii Server aceste aplicaii ascult datele de intrare venite de la alte
computere i ofer servicii ctre computerele cu care sunt conectate.
Modurile Aplicaie
Local Access Mode
Dac setm aplicaia unui client la Local Access n WGIC, se suspend Winsock
Redirector Service din WinGate de tratare a cererilor aplicaiilor.
Aplicaiile din modul de acces local vor fi ignorate de WGIC i astfel trebuie s
posede o metod de conexiune alternativ pentru ai completa cererile. Acest
mod face accesul local ideal pentru aplicaiile clienilor care vor rula prin
WGIC.
n multe cazuri se dorete utilizarea vitezei i simplicitii WinGate NAT pentru
aplicaiile client (acest lucru necesit doar o conexiune aut ctre Internet). Orice
aplicaie care vrem s foloseasc NAT trebuie setat s ruleze n Local Acces
Mode.
Mixed Access Mode
Acest mod este sigur dar funcional doar pentru aplicaiile server. Acest mod
permite ntotdeauna aplicaiilor s fac orice conexiune ctre exterior cu
Winsock redirector Service, dar va permite accesul doar a computerelor din
aceeai reea. Este mai apropiat pentru aplicaiile server gen Intranet Web sau
Ftp servers. Se numete mixt, deoarece ofer o aplicaie cu conectivitate att
global ct i local.
Modul de acces mixt este alocat automat oricrei aplicaii server care ncearc s
asculte pe un port sistem (orice mai mic de 1024). Acesta este un mecanism de
siguran al WGIC, care necesit n mod explicit setarea aplicaii n Modul
global de Acces pentru a fi vizibil pe Internet.
Global Access Mode
Acest mod este utilizat cnd avem un server de aplicaie ce ruleaz pe WGIC n
spatele serverului WinGate, care are trebuie s primeasc cereri de pe Internet
(server Web sau Ftp).
O aplicaie server poate asculta liber pe porturi sub 1024. Dar din motive de
securitate a reelei, configuraia implicit pentru WGIC nu va permite nici unei
aplicaii s asculte porturi sub 1024. Dac rulai un server cu un port sun 1024 i
dorii s fie accesibil computerelor din Internet trebuie configurat n mdoul de
acces global.
De obicei, serverul Web ascult pe portul 80 iar un server FTP pe portul 21.
http://www.youngzsoft.net/ccproxy/
117
Lucrarea nr.5
5 Proxy server Squid pe sistem de operare Linux

5.1
5.2
Obiective:
nelegerea funcionrii i a rolului unui server proxy n securitatea sistemelor
informatice;
pornirea i configurarea unui server proxy sub sistemului de operare Linux;
Generaliti/Definiii Server Proxy
Probabil c muli dintre dumneavoastr, dac v vei hotr s instalai un astfel

de server pentru reeaua la care suntei conectai, vei fi pui n faa unor decizii destul
de grele, problema configurrii unui astfel de sistem fiind destul de complicat. n
continuare se vor prezenta cteva soluii n acest sens, pentru mai multe variante de
reea (Windows NT sau Windows 2000, Unix) pentru a v ajuta s instalai i s
configurai cu succes un astfel de program.
5.3
Configurarea Squid pentru Linux

Squid este un Web proxy destinat pentru a rula sub sistemele Unix, este un
software open-source foarte capabil, ce ofer foarte multe opiuni administratorilor ce se
decid s-l utilizeze, cu condiia de a fi instalat i configurat corespunztor pentru a
satisface necesitile reelei. Vom ncerca s prezentam un ghid coninnd cele mai
importante aspecte privind configurarea acestui server, clasate pe domeniul de interes.
Opiuni de reea
Setarea portului la care Squid va face apel pentru a primi cereri HTTP se face cu
comanda http_port. Valoarea predefinit a acestui port este 3128. Pentru a suprascrie n
fiierul de configurare (squid.conf) valoarea portului se apeleaz opiunea -a n linia
de comand, adic #/usr/local/squid/bin/squid -a <numar_port>.
Comanda http_port nlocuiete vechea tcp_ incoming_address.
Pentru setarea portului prin care Squid trimite i primete mesaje ICP de la
cache-urile vecine se folosete comanda icp_ port. Valoarea predefinit pentru acesta
este 3130, iar pentru suprascriere se utilizeaz opiunea -u: #/usr/local/squid/bin/squid
-u <numar_port>.
Pentru a se altura unui grup multicast ca s primeasc mesaje multicasting ICP
se folosete mcast_groups <Adresa_IP>. La aceasta opiune se recurge doar dac dorii
s primii mesaje multicast, i predefinit Squid nu este setat pentru a primi astfel de
mesaje. Pentru conectarea la distan cu alte servere i pentru comunicarea cu alte
cache-uri folosind HTCP sau CARP este utilizat comanda tcp_outgoing_address
<Adresa_IP>. Valoarea iniial este 255.255.255.255.
Pentru a primi mesaje ICP de la alte cache-uri se seteaz udp_incoming_address
<Adresa_IP>, a crui valoare predefinit este 0.0.0.0., iar pentru a trimite pachete ICP
ctre celelalte cache-uri se folosete udp_outgoing_address <Adresa_IP>, a crui
valoare este implicit 255.255.255.255.
Urmtoarea seciune se ocup de cazul n care se implementeaz mai multe
cache-uri Squid, i anume de opiunile de configurare ale algoritmului de selecie a
cache-urilor vecine.
118
Lucrarea nr.5
Pentru specificarea celorlalte cache-uri n ierarhie se apeleaz la comanda

cache_peer. Aceasta se desfoar pe cinci cmpuri, primul este numele sau IP-ul
cache-ului vecin ales, al doilea indic tipul de relaie cu acesta, al treilea seteaz portul
HTTP al serverului destinaie iar al patrulea seteaz portul pentru ICP. Ultimul cmp
este opional, conine unul sau mai multe cuvinte cheie ce vor fi specificate mai jos.
Linia de comanda ar fi cache_peer <IP_number><relatie> <port_HTTP> <port_ICP>
[<cuvant_cheie_1> <cuvant_cheie_2> ... <cuvant_cheie_n ].
Relaia n care cache-ul curent se poate afla cu celelalte cache-uri este parent
(parinte), sibling (pe acelai nivel) sau multicast (pentru grup multicast). Cuvintele
cheie sunt proxy-only (pentru a nu salva local obiectele gsite n cache-ul vecin),
weight=n (ce seteaz gradul printelui, valoarea implicit pentru n este 1, cu ct n este
mai mare cu att crete gradul de importan al cache-ului specificat), ttl=n (pentru a
seta un timp de via al unui mesaj ICP pentru un grup multicast), no-query (pentru
vecinii ce nu suporta ICP), default (n cazul n care cache-ul avut n vedere este vzut ca
ultim soluie), round-robin (n cazul n care se doresc a fi folosite mai multe linii
cache_peer), multicast-responder (ce privete cache-ul n cauz ca fiind un membru al
unui grup multicast, iar mesajele ICP nu vor fi trimise direct ctre acesta dar
rspunsurile ICP de la el vor fi acceptate), closest-only (pentru a primi doar mesajele
Closest_Parent_Miss i nu First_Parent_Miss), no-digest (pentru a nu apela la acest
vecin), no-netb-exchange (prin care se renun la cerinele ICMP RTT de la acest
vecin), no-delay (pentru a nu permite accesul acestui vecin s influeneze ntrzierile),
login=user:password (n cazul n care cache-ul printe necesit autentificare), connecttimeout=nn (pentru a specifica timpul de ateptare pentru realizarea conexiunii cu acest
vecin, valoarea nn implicit fiind 30). De avut n vedere, dac ai compilat Squid pentru
a suporta HTCP, c se va proceda la conectarea TCP pe portul 4827, nefiind nici o
opiune de a schimba aceasta valoare.
Pentru a limita domeniile pentru care se va apela la cache-urile vecine se
folosete cache_peer_domain. Linia de comand este cache_peer_domain cache _host
domain [domain ...]. Dac nainte de numele domeniului introducei ! se produce
negarea domeniului n cauz. Se pot introduce oricte domenii dorii, n cazul mai
multora apelul se va opri la primul ce va da rspuns pozitiv. De exemplu comanda
cache_peer_domain parent.my.net.edu va trimite pachetele ctre serverul local doar
dac
obiectul
cutat
exist
pe
un
server
n
domeniul
.edu.
Este posibil i modificarea tipului de vecin pentru unele domenii specifice. Putei trata
cteva domenii diferit fa de tipul specificat n cache_peer. De exemplu
neighbor_type_domain cache.mycache.com sibling .com .net.
Tot n cadrul comenzilor folosite pentru mai multe cache-uri intr i
icp_query_timeout,
maximum_icp_
query_timeout,
mcast_icp_query_timeout,
dead_peer_timeout ce sunt urmate de o valoare reprezentnd numrul de milisecunde
atribuite operaiunilor specificate n linia de comand, operaiuni pe care nu le vom mai
explica, titlul lor fiind destul de sugestiv.
O alt comand este hierarchy_stoplist ... , prin care se renuna la apelarea
vecinilor pentru anumite iruri de caractere ce apar n URL-uri. De exemplu,
hierarchy_stoplist asp jsp va verifica fiecare URL primit s vad dac exist aceste
cuvinte, iar dac acestea apar nu se va apela la vecini ci se va contacta direct serverul
aprut in URL.
Ultima i poate cea mai important opiune de pe acest nivel este no_cache. Prin
aceasta linie de comand se foreaz apelarea direct a anumitor obiecte. Se face apel la
119
Lucrarea nr.5
lista de control a accesului, deci vor exista de fapt dou linii de comand. Starea
prestabilit este:
acl QUERY urlpath_regex cgi-bin \?
no_cache deny QUERY
Acl-ul QUERY asigur c URL-ul coninnd cgi-bin nu va fi apelat prin cache.
Opiuni ce afecteaz dimensiunea cache-ului
Aceste opiuni seteaz valoarea memoriei folosite pentru parametrii cache-ului.
Acestea sunt cache_mem (predefinit 8MB), cache_swap_low i cache_swap_ high
(parametri ce procedeaz la nlocuirea obiectelor din cache funcie de procentajul de
utilizare a cache-ului, valoarea low prestabilit este 90 iar high 95),
maximum_object_size, minimum_object_size i maximum_object_size_in_ memory
(cu valori date n bytes), ipcache_size (implicit 1024), ipcache_low i ipcache_high
(procentaje ce marcheaz limitele cachingului adreselor de IP, pentru low prestabilit 90,
pentru high 95), i setul cache_replacement_policy i memory_replacement _policy ce
stabilete modul n care obiectele vor fi nlocuite n cache cnd este nevoie de spaiu.
Acest parametru poate fi LRU, GDSF (Greedy-Dual Size Frequency), LFUDA
(Least Frequently Used With Dynamic Aging).
n urmtoarea seciune ne vom ocupa de instruciunile ce privesc controlul
accesului. Prima comand din acest set este acl, i se folosete pentru a defini o list de
acces.
Sintaxa este acl ... | fisier.
Sunt muli parametri pentru , unul este src (mod prin care se specifica adresa IP).
Sintaxa unei astfel de instruciuni este acl src IPaddress/netmask. Aproximativ acelai
lucru se obine i cu dst ca parametru, cu diferena ca se face referire la ServerIPaddress.
Pentru controlul unui domeniu specific se pot folosi ca parametri srcdomain, dstdomain
(cnd se specific explicit domeniul) sau srcdom_regex, dstdom_regex pentru a cuta
un domeniu al crui nume conine irul de caractere existent n comand. Se poate cuta
i n URL, cu parametrii url_regex sau urlpath_regex, cu diferena c primul caut irul
de caractere n ntreg URL-ul pe cnd cel de-al doilea l caut doar n seciunea ce nu
conine protocolul sau numele de host. Aceste cutari sunt key-sensitive, lucru ce
trebuie luat n calcul.
Accesul poate fi controlat i prin adresa portului serverului destinaie, cu
parametrul port. Sintaxa este acl port <numar_port>. De asemenea se pot lua n calcul i
protocolul de transfer utilizat prin parametrul proto (urmat de tipul de protocol, de
exemplu HTTP, FTP), sau metoda prin care se formuleaz cerina prin opiunea method
(urmat de tipul metodei, de exemplu GET, POST). Se poate configura astfel nct s
verifice browserul de la care vin cerinele (prin opiunea browser), de exemplu comanda
acl browser MOZILLA se va referi la cerinele ce vin de la browserele ce conin
MOZILLA n antet.
Prin parametrul ident se pot forma liste bazate pe identitatea utilizatorilor, prin
combinarea cu alte comenzi, de exemplu prin comanda acl friends ident dan adi gigi
nicu combinat cu http_access allow friends i urmat de http_ access deny all. Ca i n
cazurile anterioare exist parametrul ident_regex ce face o cutare (dup grupul de
caractere specificat) n setul de nume al utilizatorilor.
Setul de parametri proxy_auth i proxy_auth_regex asigur autentificarea
utilizatorilor via procese externe. Aceti parametri necesit un program extern de
autentificare s verifice combinaiile <nume_utilizator> + <parola>.
120
Lucrarea nr.5
Comanda http_access garanteaz sau neag accesul HTTP bazndu-se pe listele

de acces definite. Sintaxa este http_access , unde parametrul poate fi allow (aprob
accesul) sau deny (neag accesul), de exemplu http_access allow manager localhost.
Este foarte important ca ultima linie a unui set de comenzi http_access s fie deny all,
deoarece dup stabilirea regulilor de acces, dac acesta nu e negat atunci este garantat,
deci specificai ct mai multe reguli de acces (funcie de ce avei nevoie) iar la sfrit nu
uitai linia http_access deny all. Fr aceast ultima linie accesul va fi stabilit de
varianta implicit, care este allow. Dup acelai sistem lucreaz i comanda icp_access,
cu aceeai parametri, allow sau deny, comanda referindu-se la ICP.
Comanda miss_access foreaz cache-urile vecine vizate s devin cache de acelai
nivel i nu prini, folosind aceiai parametri. De exemplu miss_access allow clientlocal
nseamn c doar grupul specificat are voie s primeasc mesaje MISS, ceilali clieni
pot primi doar HIT-uri. Valoarea implicit este miss_access allow all.
Se mai poate seta cache_peer_access, comand similar cu cache_peer_domain,
dar ce ofer mai mult flexibilitate folosind elementele acl. Mai exist
ident_lookup_access, tot cu opiunile de allow sau deny, comand ce conine o lista de
elemente acl i prin care putei, de exemplu, s recurgei la secvene de identificare
pentru cerinele ce aparin staiilor folosite de mai muli utilizatori Unix, dar nu pentru
celelalte staii. Implicit nu se recurge la secvene de identificare pentru nici o cerin. De
asemenea se poate garanta sau restriciona accesul innd cont de dat i or.
Setarea parametrilor administrativi
Primul dintre aceti parametri este cache_mgr <persoana>, el poate fi configurat
n scopul setrii persoanei care va primi mesaj n cazul cderii cache-ului. Valoarea
implicit a cmpului <persoana> este webmaster.
Prin comenzile cache_effective_user <utilizator> i cache_effective_group
<grup> se pot seta numele utilizatorului sau grupului n cazul n care cache-ul ruleaz
ca root. Valoarea implicit a parametrului din expresie este nobody. n cazul n care
cache-ul nu ruleaz ca root se pastreaz numele curent de utilizator. De asemenea de
notat c, dac nu se ruleaz ca root, nu putei seta pentru http_port o valoare mai mic
dect 1024.
Dac vrei s precizai un nume special de host n mesajele de eroare, definii
visible_hostname . Altfel valoarea implicit este cea returnat de gethostname (). Acest
lucru este important n cazul n care avei mai multe cache-uri i primii erori n legtur
cu IP-forwarding. Dac dorii s avei mai multe staii cu acelai nume vizibil de host,
trebuie s setai pentru fiecare un nume unic diferit prin unique_hostname , pentru a se
putea detecta buclele la forwarding.
Unele servere cache pot funciona ca servere Web i viceversa. Acestea accept
cerinele n ambele formate, n formatul Web standard, unde se dau doar calea i fiierul
dorit, i n formatul proxy specific, unde este necesar ntregul URL. Proiectanii Squidului au decis s nu l lase s funcioneze n acest fel, pentru a reduce numrul de
probleme ce pot aprea i a scdea complexitatea codului. Totui, dac se adaug un
layer de translaie n Squid, se pot accepta i nelege cerinele de tip Web, deoarece
formatul este n esen acelai. Layer-ul adiional rescrie cerinele Web, prin schimbarea
serverului i portului destinaie. Aceast cerin rescris este apoi tratat ca una
normal, serverul destinaie e contactat iar datele sunt scrise n cache. Acest lucru d
Squid-ului o alura de Web server. Lucrul este necesar pentru caching transparent, Squid
poate fi configurat s intercepteze cerinele Web cu scopul de a aduce datele cerute n
121
Lucrarea nr.5
cache, lucru ce nu se poate face fr traducerea din format Web n format cache.
Comanda httpd_accel_host <IPAdress>|virtual seteaz numele de host pentru serverul
accelerat, n cazul n care dai adresa de IP a acestuia, iar dac dorii s realizai o
procedura de caching transparent al traficului, trebuie s folosii opiunea virtual n
locul adresei IP. Foarte important, n momentul n care recurgei la httpd_accel_host, se
dezactiveaz proxy-caching-ul i ICP-ul, dar dac vrei n continuare s beneficiai de
aceste opiuni, setai httpd_accel_with_ proxy normal on. Setarea portului se face cu
httpd_accel_port <portnumber>. Cerinele accelerate pot fi transmise doar ctre un
port, nu exist o tabel ce asociaz host-urile accelerate cu un port destinaie, deci acesta
trebuie specificat. Nu exist valoare predefinit pentru numrul portului, acesta trebuie
s corespund cu cel din squid.conf n cazul n care preluai informaiile de pe staia
local, iar dac vrei s le transmitei ctre un set de servere din background n cele mai
multe cazuri folosii portul 80, portul implicit pentru Web. Pentru suportul de port
virtual setai numrul portului pe 0. Dac avei un singur server n background spre care
dorii s transmitei informaia, setai httpd_accel_single_host pe on, dac avei mai
multe astfel de servere, lsai pe default (off) i folosii o unealt de redirecionare
pentru a mapa cerinele ctre serverele de rigoare.
O cerina HTTP include un antet de host, care este de fapt numele de host ce
apare n URL. Squid poate fi un accelerator pentru servere HTTP diferite folosindu-se
de acest antet, dar Squid nu verific valoarea antetului de host i astfel se deschide o
important gaur n securitate. Este recomandat s nu folosii httpd_
accel_uses_host_header dect dac suntei foarte n tem cu ceea ce facei. Din pcate
suntei obligai s activai aceast opiune dac dorii s rulai Squid ca proxy
transparent, altfel serverele virtuale ce au nevoie de antetul de host nu vor fi cache-uite
eficient.
Ar mai fi multe de spus, exist multe alte opiuni de configurare, pentru suportul
de programe externe, pentru modul n care obiectele sunt pstrate sau eliminate din
cache, se pot stabili timpii de ateptare pentru efectuarea anumitor operaiuni (de genul
conectare, identificare, citire a datelor etc.), i de asemenea o seciune foarte important
se ocup de configurarea fiierelor n care sunt tiprite activitile de rutin, erorile ce
apar n reea (aa numitele fiiere log sau simplu log-uri). Informaiile din aceste fiiere
reprezint cea mai important surs pentru un administrator, cu ajutorul datelor
existente acolo se pot remedia problemele aprute i se poate face reeaua sa mearg
n parametrii dorii.
Chestiunea cea mai important n alegerea i configurarea unui proxy este modul
n care dorii ca acesta s se integreze n reeaua dumneavoastr. nainte de a alege i
instala un firewall i un proxy trebuie s stabilii i s creai o balan ntre necesitile
de securitate i performanele dorite ale reelei, precum i gradul de instruire al
utilizatorilor. n ultimii ani numrul de atacuri pe Internet a crescut ngrijortor, dar
trebuie luat n calcul i natura liber pentru toata lumea a Internetului, care a ajuns ce
este azi tocmai din aceast cauz, deci fragmentarea lui cu o pleiad de algoritmi de
autentificare, parole i chei, firewall-uri i alte elemente de acest gen i limiteaz
oarecum orizontul i nu este ntotdeauna cea mai potrivit soluie.
5.4
Desfurarea lucrrii
Serverul Squid este derivat din proiectul Harvest nceput de ARPA, fiind
dezvoltat n continuare de National Laboratory for Applied Network Research. Suport
protocoalele http, https, ftp i gopher.
122
Lucrarea nr.5
Squid ne poate ajuta s limitm utilizarea bandwidth-ului disponibil, pentru a

reduce cheltuielile sau a nu suprancrca reeaua.
Acest lucru e posibil datorita faptului c:
pstrarea paginilor web, imaginilor i altor tipuri de fiiere pe hard-disk. n caz
c cineva se adreseaz la una i aceeai pagin - ea nu va mai fi accesat de pe
internet, ci luat din cash. Cu ajutorul acestei funcii poate fi economisit n
mediu 30% din band (depinde i de site-urile vizitate, i de ali parametri).
n afar de aceasta putem folosi funcia delay pool pentru a limita accesul ctre
unele site-uri (de exemplu care conin n url cuvntul porno) sau interzice
download-ul unor anumite tipuri de fiiere.
Downloadm sursele de pe site-ul oficial - www.squid-cache.org
1.Instalare
tar -xjvf squid-2.5.STABLE3.tar.bz2
cd squid-2.5.STABLE3
CC="gcc" \
CFLAGS="-O3 -march=i686 -funroll-loops -fomit-frame-pointer" \
./configure \
--prefix=/usr \
--exec-prefix=/usr \
--bindir=/usr/sbin \
--libexecdir=/usr/lib/squid \
--sysconfdir=/etc/squid \
--enable-delay-pools \
--enable-cache-digests \
--enable-poll \
--disable-ident-lookups \
--enable-truncate \
--enable-xmalloc-statistics \
--enable-linux-netfilter \
--enable-stacktraces && make all && make install
2. Pentru a crete performana squid, e nevoie de o partiie, sau dac nu e posibil
- cream un director cache.
mkdir /cache
Cel mai potrivit ar fi alocarea squid-ului un hard disk SCSI.
Adugm userul squid i grupul squid, fr shell (pentru a nu rula proxy serverul
ca root)
groupadd squid
useradd -d /cache -s /sbin/nologin -g squid squid
chown -R squid:squid /cache
Cream directorul /var/log/squid , cu proprietarul squid
mkdir /var/log/squid
chown squid:squid /var/log/squid
3. Configurare:
n continuare voi prezenta structura minima a fiierului /etc/squid/squid.conf
123
Lucrarea nr.5
#####################################################
# Portul i adresa ip pe care va atepta conexiuni squid
http_port 192.168.1.1:8080
# Directorul n care se va afl cache-ul i dimensiunea lui n Mb
#(n cazul de mai jos - 6000 mb)
cache_dir ufs /cache 6000 16 256
# Userul i grupul sub care va rula serverul squid
cache_effective_user squid
cache_effective_group squid
#Portul pe care squid va trimite i primi cereri ctre cache a altor proxy servere
vecine
#Dac nu mai avem alte proxy, specificm 0
icp_port 0
# Cream acl-urile (acess control list):
acl all src 0.0.0.0/0.0.0.0
acl localhost src 127.0.0.1/8
acl lan src 192.168.1.0/24
#clienii proxy serverului nostru
#Paginile ce se creeaz dinamic vor fi accesate direct de la surs
hierarchy_stoplist cgi-bin php asp ?
# Obiectele create dinamic nu vor fi salvate n cache
acl QUERY urlpath_regex cgi-bin \?
no_cache deny QUERY
# Permitem accesul de la maina local (dac este cazul)
http_access allow localhost
# Permitem calculatoarelor din reeaua locala s utilizeze proxy serverul
http_access allow lan
# Interzicem celorlali s acceseze squid-ul
http_access deny all
# Specificm unde squid va pstra logurile
cache_access_log /var/log/squid/access.log
cache_log /var/log/squid/cache.log
cache_store_log /var/log/squid/store.log
# Pidul procesului
pid_filename /var/run/squid.pid
#####################################################
Aceasta este configuraia minim pentru ca squid s ruleze. Iniializm cache-ul
prin comanda:
squid -f /etc/squid/squid.conf z
Dac primii un mesaj de tipul:
2003/08/11 20:30:28| aclParseIpData: WARNING: Netmask masks away part of
the specified IP in '127.0.0.1/8'
nu va speriai , nu este o eroare, ci o avertizare.
Prima dat pornim squid-ul cu comanda:
squid -NDCd1
pentru a vedea eventualele mesaje de eroare. Dac totul e ok - avem mesajul:
2003/08/11 20:30:29| Ready to serve requests.
124
Lucrarea nr.5
Squid este gata pentru a accepta conexiuni.

Adugam n scripturile de iniiere i oprire a sistemului ca squid s porneasc ,
respectiv s opreasc la startul i oprirea calculatorului. i s nu uitm s nchidem
portul 8080 pentru conexiuni dinafar cu ajutorul firewall-ului, i s-l lsm deschis
pentru clienii din reea.
125
Lucrarea nr.6
6 Open VPN
6.1
Obiective:
nelegerea i familiarizarea cu noiunea de reea virtual privat;
familiarizarea cu noiunea de tunnel ntre dou sisteme pe Internet;
instalarea i configurarea OpenVPN
6.2
introducere n OpenVPN
OpenVPN este o soluie open-source pentru reele virtuale private, bazat pe
standardul SSL. Poate funciona n regim de server ce accept conexiuni multiple sau n
regim direct ntre doi clieni. Implementat la nivelul 2 i 3 OSI, OpenVPN utilizeaz
pentru autentificare i criptare protocolul SSL/TLS (SSL = Secure Sockets Layer), prin
intermediul bibliotecilor OpenSSL i accept diferite metode de autentificare bazate pe
certificate, smart-card, chei unice i alte metode. Legtura tip tunel ce ncapsuleaz
traficul IP ntre dou subreele sau adaptoare Ethernet se realizeaz prin intermediul
unui singur port, fie folosind protocolul TCP/IP fie UDP. Aplicaia suport tunele ntre
adrese IP dinamice, traversarea NAT i Ethernet bridging.
Unul din marile avantaje ale acestui program este uurina configurrii att la
nivel de client ct i la nivel de server, depind din acest punct de vedere
implementrile IPSec din Linux i Windows.
Un alt avantaj este portabilitatea, fiind asigurat suportul pentru urmtoarele
platforme: Linux, Windows 2000/XP, OpenBSD, FreeBSD, NetBSD, Mac OS X i
Solaris. Implementrile VPN folosind ca nivel de autentificare SSL/TLS au devenit din
ce n ce mai populare recent, iar OpenVPN este una din cele mai bune soluii din acest
domeniu.
Printre dezavantajele acestei aplicaii se numr un overhead relativ mare
determinat de folosirea SSL, o implementare mai puin ergonomic sub sistemul de
operare Windows i o oarecare instabilitate n condiiile folosirii pe conexiuni nesigure,
cu timpi de laten mari, anumite probleme fiind observate n special pe conexiuni
wireless la distan mare.
Aplicaia este dezvoltat n regim open-source, putnd fi folosit sub licena
GPL1 sau sub licen comercial n cazul n care se dorete ncorporarea ei n alte
produse care nu sunt distribuite tot sub licen GPL sau o licen compatibil.
6.3
Aplicaie experimental
Studenii vor realiza reeaua din figura 1, vor instala OpenVPN i vor configura
un tunel ntre un server VPN i un Client VPN urmnd paii descrii n continuare.
Unul dintre sisteme va fi configurat cu rol de server, celalalt cu rol de client.
Primul lucru pe care trebuie sa il facem este sa descarcam OpenVPN-Windows Installer
de la adresa http://openvpn.net/release/openvpn-2.0.9-install.exe si sa il instalam pe cele
doua sisteme in directorul C:\Program Files\OpenVPN.
GPL General Public Licence Licen Public General

126
Lucrarea nr.6
Fig.1: Virtual Private Network ruleaz printr-un tunel, iar end-point-urile acestuia sunt adresele
IP reale ale Clientului PC2 i Serverului PC1
6.3.1 Pe sistemul server

mergem n Start -> Run , scriem CMD i dm enter. n fereastra care se deschide
tastm:
cd C:\Program Files\OpenVPN\easy-rsa
copy vars.bat.sample vars.bat
Editam apoi vars.bat cu comanda edit vars.bat i modificm parametrii dup
nevoile noastre.
S presupunem c avem n vars.bat urmtoarele:
@echo off
set HOME=%ProgramFiles%\OpenVPN\easy-rsa
set KEY_CONFIG=openssl.cnf
set KEY_DIR=keys
set KEY_SIZE=1024
set KEY_COUNTRY=RO
set KEY_PROVINCE=RO
set KEY_CITY=Bacau
set KEY_ORG=SorinPopa
set KEY_EMAIL=sorinpopa@ub.ro
Copiem fiierul openssl.cnf.sample n openssl.cnf cu comanda:
copy openssl.cnf.sample openssl.cnf
Rulm urmtoarele comenzi:
vars
clean-all
build-ca
Urmeaz generarea certificatului i a unei chei private pentru server:
build-key-server server
Generm certificatele i cheia pentru client:
build-key client
127
Lucrarea nr.6
Este important ca Common Name pentru client s fie diferit de Common Name
pentru server.
Generm parametrii Diffie Hellman :
build-dh
n directorul C:\Program Files\OpenVPN\config facem un fiier server.ovpn n
care scriem:
mode server
port 1194
proto udp
dev tun
ca "C:\\Program Files\\OpenVPN\\easy-rsa\\keys\\ca.crt"
cert "C:\\Program Files\\OpenVPN\\easy-rsa\\keys\\server.crt"
key "C:\\Program Files\\OpenVPN\\easy-rsa\\keys\\server.key"
dh "C:\\Program Files\\OpenVPN\\easy-rsa\\keys\\dh1024.pem"
tls-server
ifconfig 10.8.0.1 10.8.0.2
ifconfig-pool 10.8.0.3 10.8.0.5 # IP range clients
ifconfig-pool-persist ipp.txt
keepalive 10 120
comp-lzo
persist-key
persist-tun
status openvpn-status.log
verb 3
mute 20
Putem s pornim OpenVPN cu aceast configuraie dac dm click dreapta din
explorer pe fiierul server.ovpn i alegem opiunea Start OpenVPN on this config file
sau l putem porni ca i serviciu din Start -> Control Panel -> Administrativ Tools ->
Serices -> OpenVPN Service unde dm start sau putem seta pe Automatic la Startup
Type pentru a fi pornit odat cu sistemul de operare.
6.3.2 Pe sistemul client
trebuie s mergem n directorul
C:\Program Files\OpenVPN\easy-rsa
copiem de pe server fiierele:
ca.crt
client.crt
client.key
i s cream directorul keys n care
n directorul C:\Program Files\OpenVPN\config facem un fiier client.ovpn n

care scriem:
client
dev tun
128
Lucrarea nr.6
proto udp
remote xxx.yyyy.zzzz.vvvv 1194 #se nlocuiete xxx.yyy.zzz.vvv cu ip server
resolv-retry infinite
nobind
persist-key
persist-tun ca "C:\\Program Files\\OpenVPN\\easy-rsa\\keys\\ca.crt"
cert "C:\\Program Files\\OpenVPN\\easy-rsa\\keys\\client.crt"
key "C:\\Program Files\\OpenVPN\\easy-rsa\\keys\\client.key"
comp-lzo .
verb 3
Putem s pornim OpenVPN cu aceast configuraie dac dm click dreapta din
explorer pe fiierul client.ovpn i alegem opiunea Start OpenVPN on this config file
sau l putem porni ca i serviciu din Start -> Control Panel -> Administrativ Tools ->
Serices -> OpenVPN Service unde dm start sau putem seta pe Automatic la Startup
Type pentru a fi pornit o dat cu sistemul de operare
Dup ce am pornit att serverul ct i clientul ( fr a avea un mesaj de eroare )
putem s verificm funcionalitatea tunelului creat.
Astfel, pe server mergem n Start - Run i tastam CMD. n fereastra deschis
introducem comanda:
ipconfig
Vom obine mai multe informaii printre care vom regsi i cele din imaginea de
mai jos:
Pe sistemul configurat ca i client la comanda ipconfig obinem informaii

printre care trebuie s se regseasc i urmtoarele:
Conexiunea ntre cele dou sisteme o putem verifica cu utilitarul ping. Atenie la
configurarea firewall-ului pentru a permite ICMP Echo Request i ICMP Echo Replay
att pe sistemul server ct i client.
De pe sistemul configurat ca i server, care are ip-ul 10.8.0.1 vom da ping n
10.8.0.2 (client)
129
Lucrarea nr.6
De pe sistemul configurat ca i client, care are ip-ul 10.8.0.2 vom da ping n

10.8.0.1 (server):
130
Bibliografie
1. Anderson R. Security Engineering : A Guide to Building Dependable
Distributed Systems, NY 2001;
2. Andress, M. Surviving Security: How to Integrate People, Process and
Technology, SAMS, Indianapolis, 2002, pp. 59-63.
3. Davis D. "The Problems Catch Up With The Solution", in Card Technology,
April 2003;
4. Denning D.E. Information Warfare and Security, Addison-Wesley, Reading,
Massachusetts, 1999;
5. King, C.M., Dalton, C.E., Osmanaglu, T.E. Security Arhitecture:
Design, Deployment& Operations,Osborne/McGraw-Hill, New York, 2001, pp.
18-26
6. Krutz R.L, Vines R.D. The CISSP Prep Guide Mastering the Ten Domains
of Computer Security, Wiley & Sons, Inc. New York, 2001;
7. Schwartan W. Information Warfare, 2nd Edition , Thunder's Mouth Press,
New York, 1996;
8. Simmons G.J. "The Prisoners' Problem and the Subliminal Channel", in
Proceedings of Crypto '83, Plenum Press 1984;
9. Renesse R. Optical Document Security, 2nd ed., Artech House, 1997;
10. Renesse R. "Verifying versus Falsyfying Banknotes", in Optical Security and
Counterfeit Deterrence Techniques II, (1998);
11. U.S. Department of Energy "Identification of Classfied Information", Office of
Clasification, December 1991;
12. Tuomas Aura, Pekka Nikander, Jussipekka Leiwo - DoS-resistant
Authentication with Client Puzzles. Proceedings of the Cambridge Security
Protocols Workshop 2000, LNCS, Cambridge, UK, April 2000, Springer-Verlag
13. G. B. Agnew, R. C. Mullin, S. A. Vanstone - Improved Digital Signature
Scheme based on Discrete Exponentiation, Electronic Letters, Vol. 26, 1990
14. K. Alagappan - SPXInstallation, Digital Equipment Corporation, February 1991
15. K. Alagappan, J. Tardo - SPX Guide - A Prototype Public Key Authentication
Service, Digital Equipment Corporation, February 1991
16. K. Alagappan - Telnet authentication: SPX (RFC 1412), Digital Equipment
Corporation, 1993
17. F. Bauspiess, H. J. Knobloch - How to Keep Authenticity Alive in A Computer
Network, Proceedings of EUROCRYPT' 89, Springer-Verlag, Berlin, 1990
18. S. M. Bellovin, M. Merritt - EncryptedKey Exchange: Password-Based
Protocols Secure Against Dictionary Attacks, Proceedings of the IEEE
Symposium on Security and Privacy, IEEE Computer Society Press, Los
Alamitos, CA, 1992
19. S. M. Bellovin, M. Merritt - Augumented EncryptedKey Exchange, Proceedings
of the 1st ACM Conference on Communications and Computing Security,
November 1993
20. Steven M. Bellovin, Michael Merritt - Limitations of the Kerberos
Authentication System, AT&T Bell Labs
131
21. Th. Beth - Efficient Zero-Knowledge Identification Scheme for Smart Cards,
Proceedings of EUROCRYPT '88, Springer-Verlag, Berlin, 1989
22. Th. Beth, H. J. Knobloch, M. Otten - Verifiable Secret Sharingfor Monotone
Access Structures, Proceedings of the 1st ACM Conference on Communication
and Computing Security, November 1993
23. Th. Beth, H. J. Knobloch, M. Otten, G. J. Simmons, P. Wichmann -Towards
Acceptable Key Escrow System, Proceedings of the 2nd ACM Conference on
Communication and Computing Security, November 1994
24. T. Beth, H. J. Knobloch, S. Stempel, P. Wichmann -Authentifikationsdienst
SELANE - Modularisierung und Einsatz, Report 94/3, Univeristy of Karlsruhe,
EISS, 1994
25. Leitner Achim, "Reele WLAN sigure, cu un tunel OpenVPN criptat", Linux
Magazin, nr. 22, iunie 2005;
26. OpenVPN: http:// openvpn. sourceforge. Net
27. Biblioteca LZO: http:// www. oberhumer. com/opensource/ lzo/
28. Proiect OpenSSL: http:// www. openssl. org/
29. Driver TUN/ TAP: http:// vtun. sourceforge. net/ tun/
30. Thomas T., Primii pai n securitatea reelelor, Corint, Bucureti, 2005.
31. www.squid-cache.org
32. http://www.wingate.com/download.php
33. http://www.youngzsoft.net/ccproxy/
34. http://www.securekit.com/
35. www.digimarc.com
36. www.digimarc-id.com
37. www.aris-techni.fr/
132
Cuprins
1.
NOIUNI PRIVIND SECURITATEA INFORMAIILOR ........................................................5

1.1. INTRODUCERE .................................................................................................................................5
1.2. DEFINIREA NOIUNII DE SECURITATEA INFORMAIILOR ..................................................................6
1.3. SECIUNILE STANDARDULUI DE SECURITATE ISO / IEC 17799. ......................................................9
1.3.1. Politica de securitate ................................................................................................................9
1.3.2. Organizarea securitii .............................................................................................................9
1.3.3. Clasificarea i controlul activelor ..........................................................................................10
1.3.4. Securitatea personalului .........................................................................................................10
1.3.5. Securitatea fizic.....................................................................................................................11
1.3.6. Managementul comunicaiilor i al operrii ..........................................................................11
1.3.7. Controlul accesului.................................................................................................................13
1.3.8. Dezvoltarea i ntreinerea sistemului ....................................................................................14
1.3.9. Planificarea continuitii afacerii...........................................................................................15
1.3.10. Conformitatea .......................................................................................................................15
2.
CLASIFICAREA INFORMAIILOR .........................................................................................16

2.1. NOIUNI INTRODUCTIVE PRIVIND CLASIFICAREA MODERN A INFORMAIILOR ............................16
2.2. CLASIFICAREA INFORMAIILOR.....................................................................................................17
2.2.1. Informaiile subiective ............................................................................................................17
2.2.2. Informaii obiective.................................................................................................................17
2.2.3. Determinarea necesitii clasificrii informaiilor .................................................................18
2.3. DECLASIFCAREA I DEGRADAREA INFORMAIILOR CLASIFICATE ..................................................19
2.4. PRINCIPIILE PROTEJRII INFORMAIILOR SPECIALE .......................................................................20
2.5. PROTEJAREA MEDIILOR DE STOCARE A INFORMAIILOR ................................................................21
2.5.1. Marcarea materialelor cu regim special ................................................................................21
2.5.2. Pstrarea i distrugerea mediilor de pstrare a informaiilor ...............................................22
2.6. CLASIFICAREA INFORMAIILOR ORGANIZAIILOR .........................................................................22
2.6.1. Criterii de clasificare a informaiilor la nivelul organizaiilor...............................................23
2.6.2. Proceduri de clasificare a informaiilor .................................................................................23
2.6.3. Roluri i responsabiliti n procesul de clasificare a informaiilor .......................................24
3.
CONTROLUL ACCESULUI N SISTEMELE INFORMATICE.............................................25

3.1. TIPURI DE CONTROL AL ACCESULUI N SISTEM ..............................................................................25
3.1.1. Modele de control al accesului ...............................................................................................25
3.1.2. Forme combinate de control ...................................................................................................26
3.2. IDENTIFICAREA I AUTENTIFICARE ................................................................................................27
3.2.1. Principiile de baz ale controlului accesului..........................................................................28
4.
CRIPTOGRAFIA ...........................................................................................................................32
4.1. DEFINIII I NOIUNI DE BAZ.......................................................................................................32
4.1.1. Tehnici utilizate n criptografie...............................................................................................33
4.1.1.1. Substituia ..................................................................................................................................... 33
4.1.2. Permutarea sau transpoziia...................................................................................................35

4.1.3. Cifrul lui Vernam ....................................................................................................................35
4.1.4. Ascunderea informaiilor ........................................................................................................36
4.1.4.1. Steganografia ................................................................................................................................ 36
4.1.4.2. Filigranarea ................................................................................................................................... 37
4.1.4.3. Securitatea n domeniul tipriturilor ............................................................................................. 37
4.2. SISTEME DE CRIPTARE PRIN CHEI SIMETRICE (PRIVATE) ................................................................39

4.3. SISTEME DE CRIPTARE PRIN CHEI ASIMETRICE (PUBLICE) ..............................................................40
133

4.3.1. Semntura digital..................................................................................................................41
4.3.2. Sisteme de certificare a cheilor publice ..................................................................................42
4.3.3. Infrastructura cheilor publice (PKI).......................................................................................43
5.
MODELE I PROGRAME DE SECURITATE ..........................................................................44

5.1. MODELE DE SECURITATE MULTINIVEL ..........................................................................................44
5.1.1. Modelul Bell-LaPadula...........................................................................................................44
5.1.2. Modelul matricei de control al accesului................................................................................45
5.1.3. Modelul Biba...........................................................................................................................45
5.2. MODELE ALE SECURITII MULTILATERALE .................................................................................47
5.3. PROGRAMUL DE SECURITATE ........................................................................................................49
5.3.1. Politicile de securitate ............................................................................................................49
5.3.2. Standardele, normele i procedurile de securitate..................................................................51
5.3.3. Aspecte practice ale politicii de securitate informaional.....................................................52
5.3.4. Exemple de politici de securitate ............................................................................................53
SECURITATEA REELELOR DE CALCULATOARE...........................................................59

6.1 MECANISME UTILIZATE N SECURIZAREA REELELOR ...................................................................59
6.1.1 Functionarea DHCP...............................................................................................................59
6.1.2 Noiuni privind securizarea reelei .........................................................................................60
6.1.3 Firewalls.................................................................................................................................61
6.1.4 Proxy-uri.................................................................................................................................63
6.1.5 Filtrele de pachete ..................................................................................................................65
6.2 REELE VPN.................................................................................................................................65
6.2.1 Point-to-Point Tunneling Protocol (PPTP) ............................................................................66
6.2.2 Layer 2 Tunneling Protocol (L2TP) .......................................................................................67
6.2.3 IPsec .......................................................................................................................................68
7.
TEHNICI, SERVICII I SOLUII DE SECURITATE PENTRU INTRANET-URI I
PORTALURI ............................................................................................................................................69
7.1. INTRODUCERE ...............................................................................................................................69
7.2. CRIPTOGRAFIA ..............................................................................................................................69
7.2.1. Criptografia cu cheie secret..................................................................................................70
7.2.2. Criptografia cu cheie public .................................................................................................70
7.2.3. Managementul cheilor i distribuia acestora ........................................................................70
7.2.4. Funciile Hash.........................................................................................................................71
7.2.5. Utilizarea semnturilor digitale. Riscuri de securitate...........................................................72
7.2.6. Certificate digitale. Riscuri de securitate ...............................................................................73
7.2.7. Autentificarea Kerberos V5 ....................................................................................................75
7.2.7.1. Cum funcioneaz Kerberos V5 .................................................................................................... 76
7.2.7.2. Riscuri de securitate n Kerberos .................................................................................................. 76
7.2.8. Autentificarea SSL/TLS ...........................................................................................................77

7.2.8.1.
7.2.8.2.
7.2.8.3.
7.2.8.4.
Legtura SSL-HTTP ..................................................................................................................... 78

Cum funcioneaz SSL ................................................................................................................. 78
Performana SSL........................................................................................................................... 79
Riscuri de securitate n SSL .......................................................................................................... 80
7.2.9. Autentificarea NTLM ..............................................................................................................80

7.2.10. Comparaie Kerberos - NTLM ..............................................................................................80
7.2.11. SSH .......................................................................................................................................81
7.2.11.1.
7.2.11.2.
7.2.11.3.
7.2.11.4.
7.2.11.5.
Autentificarea prin SSH ................................................................................................................ 82

SSH1............................................................................................................................................. 83
SSH 2............................................................................................................................................ 83
Algoritmii de criptare utilizai....................................................................................................... 83
Ce poate proteja SSH. Riscuri de securitate ale SSH .................................................................... 84
7.2.12. PGP. Riscuri de securitate....................................................................................................84

134
Cuprins
7.2.13. S/MIME.................................................................................................................................86
7.2.13.1. Funcionarea S/MIME .................................................................................................................. 87
7.2.13.2. Riscuri de securitate ale S/MIME ................................................................................................. 88
7.2.14. Utilizarea firewall-urilor n intraneturi ................................................................................88

8.
STRATEGII DE ACHIZIIE PENTRU APRARE..................................................................90

8.1. INTRODUCERE ...............................................................................................................................90
8.2. STRATEGII DE SECURITATE ALE RZBOIULUI INFORMAIONAL .....................................................91
Aplicaii practice
L1
CRIPTAREA CA METOD DE SECURITATE A INFORMAIILOR .................................95

1.1
1.2
1.3
1.4
1.5
L2
STEGANOGRAFIA CA METOD DE SECURITATE A INFORMAIILOR......................99

2.1
2.2
2.3
2.4
L3
OBIECTIVE: ...................................................................................................................................95
CIFRUL LUI CEZAR ........................................................................................................................95
CIFRUL LUI VERNAM .....................................................................................................................97
METOD PROPRIE DE CRIPTARE ....................................................................................................97
DESFURAREA LUCRRII ............................................................................................................98
OBIECTIVE: ...................................................................................................................................99
INTRODUCERE ...............................................................................................................................99
ASCUNDEREA UNUI FIIER...........................................................................................................100
DESCOPERIREA UNUI FIIER ASCUNS ...........................................................................................101
FIREWALL-URI ..........................................................................................................................102
3.1 OBIECTIVE: .................................................................................................................................102
3.2 GENERALITI/DEFINIII FIREWALL...........................................................................................102
3.2.1 Funcionarea firewall-urilor.................................................................................................102
3.2.2 Politica Firewall-ului ...........................................................................................................103
3.2.3 Clasificri .............................................................................................................................103
3.2.4 Ce "poate" i ce "nu poate" s fac un firewall?..................................................................104
3.3 INFORMAII DESPRE FIREWALL SUN WINDOWS XP .....................................................................104
3.3.1 Cum ncep s utilizez un firewall? ........................................................................................104
3.3.2 Cum aflu ce versiune de Windows utilizez? ..........................................................................104
3.3.3 Verificarea strii Windows Firewall ....................................................................................105
3.3.4 Adugarea unei excepii n Windows Firewall .....................................................................105
3.3.5 Probleme de compatibilitate cu ISP, hardware sau software...............................................106
3.4 DESFURAREA LUCRRII ..........................................................................................................106
3.1 PCLIREA FIREWALL/IDSURILOR I ASCUNDEREA IDENTITII ...............................................107
L4
PROXY SERVER .........................................................................................................................111

4.1 OBIECTIVE: .................................................................................................................................111
4.2 GENERALITI/DEFINIII SERVER PROXY ..................................................................................111
4.3 SERVER PROXY PENTRU WINDOWS..........................................................................................111
4.4.1 Instalare i configurare server proxy WinGate ....................................................................113
4.4.2 Instalare i configurare Client proxy WinGate.....................................................................115
4.4.3 Modurile de lucru ale Winsock Redirection Application......................................................117
L5
PROXY SERVER SQUID PE SISTEM DE OPERARE LINUX.............................................118

135

5.1 OBIECTIVE: .................................................................................................................................118
5.2 GENERALITI/DEFINIII SERVER PROXY ..................................................................................118
5.3 CONFIGURAREA SQUID PENTRU LINUX .......................................................................................118
L6
OPEN VPN ....................................................................................................................................126

6.1 OBIECTIVE: .................................................................................................................................126
6.2 INTRODUCERE N OPENVPN........................................................................................................126
6.3 APLICAIE EXPERIMENTAL .......................................................................................................126
6.3.1 Pe sistemul server .................................................................................................................127
6.3.2 Pe sistemul client ..................................................................................................................128
136

Curs Securitatea Sistemelor Info

Încărcat de

Informații document

Drepturi de autor

Formate disponibile

Partajați acest document

Partajați sau inserați document

Opțiuni de partajare

Vi se pare util acest document?

Este necorespunzător acest conținut?

Drepturi de autor:

Formate disponibile

Curs Securitatea Sistemelor Info

Încărcat de

Drepturi de autor:

Formate disponibile

UNIVERSITATEA DIN BACU

POPA SORIN EUGEN

Cursul "Securitatea sistemelor informatice" se adreseaz

A doua parte a volumului conine ase lucrri practice de

1. Noiuni privind securitatea informaiilor

Securitatea sistemelor informatice

Prin activitatea susinuta de Ministerul Comunicaiilor i Tehnologiei

1.2. Definirea noiunii de securitatea Informaiilor

Cap 1 - Noiuni privind securitatea informaiilor

Securitatea sistemelor informatice

Cap 1 - Noiuni privind securitatea informaiilor

Pe lng legislaia intern trebuie avute n vedere i Conveniile internaionale i

ISO/IEC 17799 a fost dezvoltat ca punct de plecare n dezvoltarea unui sistem de

1.3. Seciunile standardului de securitate ISO / IEC 17799.

Securitatea sistemelor informatice

care s iniieze i s controleze implementarea mecanismelor de securitate n cadrul

Cap 1 - Noiuni privind securitatea informaiilor

trebui s ofere cunotinele necesare asigurrii securitii acestora n timpul programului

Securitatea sistemelor informatice

clare ale responsabilitilor ntre dezvoltare, testare i exploatare susinute i de o

Cap 1 - Noiuni privind securitatea informaiilor

Sistem pentru Detectarea Intruziunilor (IDS Intrusion Detection System),

Msurile tehnice singure nu pot asigura nivelul de protecie necesar, fr un

Securitatea sistemelor informatice

Cap 1 - Noiuni privind securitatea informaiilor

protejarea codului aplicaiilor i a fiierelor sistemului de operare

De asemenea, este necesar i asigurarea securitii mediilor de dezvoltare i a

Cap 2 Clasificarea informaiilor

Controlul legal al accesului i exercit fora pe baza legilor existente (legea

2.2. Clasificarea informaiilor

Securitatea sistemelor informatice

nu sunt supuse arbitrarului i alii pot s afle rspunsul la o anumit ntrebare

Informaiile tehnice secrete obiective

Etapa de stabilire a nevoii de clasificare se realizeaz n cinci pai, astfel:

Determinarea nivelurilor clasificrii

Cap 2 Clasificarea informaiilor

strict secrete de importan deosebit sunt informaii a cror divulgare

Determinarea duratei clasificrii

2.3. Declasifcarea i degradarea informaiilor clasificate

Securitatea sistemelor informatice

Degradarea se efectueaz de ctre persoanele care au clasificat iniial

2.4. Principiile protejrii informaiilor speciale

Cap 2 Clasificarea informaiilor

Modul securitii stratificate sistemele prelucreaz informaii aparinnd

2.5. Protejarea mediilor de stocare a informaiilor

Securitatea sistemelor informatice

Marcarea fizic se refer la toate suporturile supuse prelucrrii automate a

2.6. Clasificarea informaiilor organizaiilor

Cap 2 Clasificarea informaiilor

Informaii confideniale la nivel de unitate, notate cu C, i care corespund

Securitatea sistemelor informatice

2.6.3. Roluri i responsabiliti n procesul de clasificare a informaiilor

3. Controlul accesului n sistemele informatice

Securitatea sistemelor informatice

Controlul preventiv administrativ

Cap. 3 - Controlul accesului n sistemele informatice

Biometria apeleaz la tehnologii precum amprenta digital, a retinei, irisului

3.2. Identificarea i autentificare

Securitatea sistemelor informatice

Cap. 3 - Controlul accesului n sistemele informatice

Controlul accesului prin biometrie

Controlul accesului prin parole

Securitatea sistemelor informatice

Cap. 3 - Controlul accesului n sistemele informatice