7.

1 Vulnerabilitatea reţelelor

O reţea de calculatoare este o structură deschisă la care se pot conecta permanent noi
utilizatori şi noi tipuri de echipamente (terminale, calculatoare) ceea ce lgrgeşte necontenit cercul de
utilizatori care au acces la resursele acesteia (programe, fişiere, baze de date). Vulnerabilitatea se
manifestă pe două planuri: atacul la integritatea fizică a informaţiilor (distrugere, modificare) şi
folosirea neautorizată a informaţiilor (scurgerea de informaţii). Referitor la securitatea în informatică
trebuie avute în vedere două aspecte:
1. Integritatea resurselor unei reţele, adică disponibilitatea lor indiferent de defectele de
funcţionare hard sau soft care pot apărea, inclusiv detriorările sau sustragerile răuvoitoare.
2. Caracterul privat ai informaţiei, adică dreptul individual de a dispune ce informaţie
poate fi stocată şi vehiculată în reţea şi cine are dreptul să o accesze.
O reţea sigură este acea reţea în ale cărui componenete (resurse, operaţii) se poate avea
încredere, adică furnizează servicii de calitate şi corecte, conform cerinţelor şi specificaţiilor.
Securitatea şi caracterul privat trebuie să fie obiectul unor analize atente şi responsabile din
nurmătoarele motive:
- reţelele sunt sisteme mari sau foarte mari, de arie şi complexitate considerabile. Penetrarea
reţelelor şi atacurile răuviotoare se pot face în multe locuri şi modalităţi nebănuite, greu depistabile.
- informaţia este vulnerabilă la atac în orice punct al reţelei, de la introducere sa până la utilizatorul
final.
- reţelele de calculatoare sunt o componentă tot mai prezentă în viaţa economică, socială,
individuală, de funcţionarea lor corectă depinzând activitatea guvernamentală, comercială,
industrială şi chiar individuală.
- tot mai multe informaţii memorate în fişiere separate pot fi corelate, sinteizate, prelucrate prin
intermediul reţelelor sporind posibilele consecinţele nefaste asupra caracterului privat al acesora.

7.1.1 Categorii de atacuri asupra reţelelor

În afara cazurilor de forţă majoră produse de calamităţi naturale, dezastre, căderi de echipamente
etc pentru care măsurile de securitate pervăd salvări şi copii de rezervă, dublarea echipamentelor,
tehnici de autoresabilire etc. în cazul atacurilor voite se disting două categorii principale:
- atacuri pasive;
- atacuri active.
Atacurile pasive sunt acele atacuri în care intrusul observă informaţia care trece prin canal, fără să
interfereze cu fluxul sau conţinutul mesajelor. Se face doar analiza traficului, descoperirea identităţii
entităţilor care comunică, descoperă lungimea şi frecvenţa mesajelor chiar dacă conţinutul acestora
rămâne ascuns. Aceste atacuri nu cauzeauză pagube şi nu încalcă regulule de confidenţialitate.
Scopul lor este de a asculta datele care sunt vehiculate prin reţea.
Atacurile active sunt acelea în care intrusul dse angajează în furtul mesajelor, modificarea lor,
ştergerea, rularea, schimbarea conţinutuli sau a adreselor, redirecţionarea, substituirea, refuzul unui
serviciu, repudierea etc. Acestea sunt serioase, cauzează perjudicii mari şi consecinţe juridice. Tot în
categoria atacurilor active intră şi programele create cu scop distructiv care afectează serios, uneori
catastrofal, securitatea calculatoarelor şi a informaţiilor. În această categorie intră: viruşii, bombele
logice, viermii, trapele, programele tip cal troian, etc.

1
 7.1.2 Nivele, principii, politici şi mecanisme de securitate

Modelul de securitate în reţele prevede protecţia pe mai multe nivele care înconjoară obiectul
protejat.
Un prim nivel necesar este securitatea fizică care constă, în general, încuierea
echipamentelor, plasare a lor în camere speciale ferite de foc, intemperii, distrugere fizică fie
intenţionată fie nu. Este o măsură aplicabilă tuturor sistemelor de calcul dar mai puţin posibilă în
cazul reţelelor, mai ales cele de arie medie sau mare.
Celălalt nivel se referă la securitatea logică şi cuprinde acele metode de cvontrol a accesului
la resursele şi serviciile sistemului.
Au fost stabilite şi unanim acceptate linii directoare şi principii privind securitatea sistemelor
informatice care trebuiesc respectate de către toate entităţile care produc, livrează, instalează şi
exploatează sisteme informatice.
1. Principiul resonsabilităţii care impune stabilirea clară a responsabilităţilor referitoare le
securitate pe catre le au priprietarii, furnizotrii, madministratirii şi utilizatorii sistemelor
infirmatice.
2. Principiul sensibilizării conform căruia toate persoanele interesate asupra acestui aspect
trebuie corect ţi oportun informate.
3. Principiul eticii care impune elaborarea unor reguli de conduită în utilizarea SI.
4. Principiul pluridisciplinarităţii conform căruia metodele tehnice şi organoizartorice
care trebuie luate în vederea securităţii SI au caracter multidiscilpilinar şi cooperant.
5. Principiul proporţionalităţii care cere ca nivelul de securitate şi măsurile de protecţie să
fie proporţional cu importanţa informaţiilor gestionate.
6. Principiul integrării conform căruia securitatea este necesară în toate stadiile de
prelucrare a informaţiilor (creare, colectare, prelucrare, sztocare, transport, ştergere, etc.).
7. Principiul oportunităţii conform căruia mecanismele de securitate să răspundă prompt
şi să permită o colaborare rapidă şi eficientă în caz de detectare a tentatuvelor de
corupere a mecanismelor de securitate.
8. Principiul reevaluării, care cere revizuirea periodică a cerinţelor de securitae şi a
mecaniismelor de implementare a lor.
9. Principiul democraţiei, conform căruia cerinşele de protecţie şi securitate să nu limiteze
nejustificat libera circulaţie a informaţiilor, conform principiilor care guvernează
societăţile democratice.
Măsurile de securitate care trebuie luate se pot clasifica în :
- Procedurale (utilizare de parole cu schimbarea lor periodică, instruirea personalului,
- Logice (criptare, control acces, ascundere informaţii)
- Fizice (blocare acces, camere speciale, ecranare electromagnetică, etc.).

Fiecare organizaţie care gestionează informaţii sensibile (vulnerabile) trebuie să-şi

definească o politică de securitate care trebuie să găsească soluţii următoarelor probleme :
- ce ameninţări există, de ce natură sunt, care se pot elimina şi care nu;
- ce resurse pot fi protejate şi la ce nivel;
- cu ce mijloace se poate asigura securitatea
- ce costuri introducerea, menţinerea şi actualizarea mecanismelor de securitate.
Politica de securitate se implementează prin servicii de securitate au ca scop reducerea
vulnerabilităţii informaţiilor şi resurselor care poate duce la pierderea acestora, deteriorarea sau

2
ajungerea acestora în posesia unor persoane neaurtorizate. Fiecare serviciu de securitate se poate
implementa prin unul sau mai multe mecanisme de securitate, care, la rândul lor, cuprind o serie de
activităţi.
Arhitectura de securitate specifică sistemelor deschise interconectate cuprind 5 elemente
majore :
- Definirea serviciilor de securitate ;
- Definirea mecanismelor de securitate ;
- Descrierea principiile de securitate pe nivele;
- Implementatea serviciilor de securitate pe nivele ;
- Realizarea mecanismelor de securitate prin folosirea serviciilor de securitate

Serviciile de securitate definite de ISPO sunt: autentificarea, confidenţialitatea, controilul accesului,

intergritatea şi nerepudierea.

Mecanismele de securitate sunt folosite individual sau colectiv pentru construirea serviciilor de
securitate.
1. Criptarea transformă datele de la entitatea sursă într-o manieră unică astfel încât să nu
poată fi cunoscută semnificaţia lor decât în urma unei transformări inverse pereche,
numită decriptare. Este folosită în special pentru implementarea serviciului de
confidenţialitate.
2. Semnătura digitală dă siguranţa că datele furnizate au fost produse chiar de către
semnatar. Mecanismul este folosit de către serviciul de integritate şi nonrepudiere. La
rândul său se bazează pe două proceduri:
- procedura semnării unui bloc de date
- procedura verificării semnăturii
3. Controlul accesului la resursele din Internet presupune recunoaşterea identităţii
solicitantului în baza unei înregistrări prealabile şi posibilitatea validării sau invalidării
cererii. Tentativele de acces neautorizat trebuie semnalale prin diverse modalităţi. Ca
tehnici de control a accesului se pot folosi : liste de acces, parole, etichete de securitate,
limitarea timpului de acces, limitarea numărului de încercări de acces, calea de acces etc.
4. Autentificarea permite identificarea reciprocă a entităţilor corespondente.
5. Notarizarea presupune folosirtea unei a treia entităţi numită notar, în care toate părţile au
incredere deplină, care oferă garanţie pruivind originea, destinaţia, integritatea şi
confidenţialitatea informaţiilor.
Ştiinţa şi arta care se ocupă cu studiul ştiinţific şi metodic al criptării mesajelor este
criptologia. Ea cuprinde două laturi: criptografia şi criptanaliza. Prima se ocupă de metodele,
tehnicile şi procedurile de criptare a mesajelor, de teoria codurilor şi a cheilor de criptare iar a doua
de posibilităţile de decriptare, de descoperire a textului clar dintr-unul cifrat, de spargere a codurilor.
Criptologia a fost studită şi utilizată de foarte multă vreme dar performanţele cele mai mari în
domeniu au apărut după dezvoltarea sistemelor de calcul numeric puternice.
Termenul de criptografie provine din limba greacă însemnând scriere secretă. În lumea specialiştilor
se face deosebire între cod şi cifru. Un cod înlocuieşte un cuvânt cu un alt cuvânt, pe când un cifru
este o transformare caracter cu caracter sau bit cu bit a mesajului. În prezent tehnicile de secretizare
prin codare sunt foarte puţin folosite, fiind înlocuite prin tehnici de cifrare mult mai performante. În
principiu, cifrarea transformă mesajului clar într-unul cifrat prin aplicarea unei funcţii parametrizate
de o cheie, astfel încât semnificaţia mesajului să fie ascunsă iar descifrarea să nu fie posibilă fără a

3
poseda cheia corespunzuătoare. Din punct de vedere al cheii de cifrare, algoritmii se împart în ndouă
clase:
- algoritmi cu chei secrete (DES, AES-Advanced Encryption Standard);
- algoritmi cu chei publice (RAS)