Securitatea sistemelor

informaționale
Adrian Munteanu – CIPM, CISA, CRISC
Virtualizare și sisteme distribuite
Virtualizare
• Se adaugă un nivel software între sistemul de operare și hardware
• Multiple sisteme “guest” pot rula pe un sistem fizic “host”
• Transparent Virtualization – rulează SO fără modificări
• Paravirtualization – SO este modificat (kernel)
Virtualizare și sisteme distribuite
Hypervisor
• Software ce controlează accesul între SO “guest” și hardware-ul “host”
• Type 1 – parte a SO, rulează pe hardware-ul host: VMware ESX
• Type 2 – rulează ca aplicație în cadrul SO:VMware Workstation
Virtualizare și sisteme distribuite
Beneficii
• Cost redus cu hardware
• Cost redus cu energia
Securitate
• Complexitate
• Relativ ușor de adăugat sisteme noi
• O problemă la nivel de host/hypervisor poate afecta orice guest (VMEscape)
Nu se pun sisteme cu cerințe de securitate diferite pe același hardware
Virtualizare și sisteme distribuite
Cloud Computing
• Economie
• Infrastructure as a Service (IaaS) – clientul configurează SO și toate celelalte (de obicei servere Linux)
• Platform as a Service (PaaS) – SO pre-configurat, clientul instalează și configurează restul (Web service hosting)
• Software as a Service (SaaS) – totul este configurat, clientul este doar utilizator (Web mail)
• Private cloud – cloud dedicat unui singur client
• Public cloud – cloud partajat între mai mulți clienți/organizații
Securitate
• Este nevoie de SLA
• Vizibilitatea este limitată
• Infrastructura partajată = ținte partajate
• Dreptul de audit, dreptul de acces (vulnerabilități) dreptul de a testa (pentest)
• Granițe fizice (geografic)
Virtualizare și sisteme distribuite
Grid Computing
• Se folosește puterea combinată a mii de sisteme
• Resurse disparate sunt puse la un loc
• SETI@home ("SETI at home") - 5.2 millioane de participanți mai mult de
2,000,000 ani de timp agregat de calcul
Virtualizare și sisteme distribuite
Peer to Peer (P2P)
• Orice sistem poate acționa ca server, client sau ambele
• Descentralizat, neutru
• Napster, Gnutella, BitTorrent
• Riscuri: IP, integritatea datelor, pierderea datelor
Virtualizare și sisteme distribuite
Thin Clients
• Se bazează pe servere centralizate – serverele rulează aplicațiile, stochează datele
• Mai ieftine decît PC
Diskless Workstations
• CPU, memorie și firmware (no disk drive)
• Kernelul și sistemul de oeprare se încarcă via rețea
• BIOS  POST  TCP/IP  BOOTP sau DHCP
Thin Client Applications
• Acces via browser la aplicații centralizate
• Rulează pe PC
• Citrix ICA, OpenThinClient, etc.
Virtualizare și sisteme distribuite
Internet of Things (IoT)
• Coșmarul securității: Lipsă patch, suport redus, „facilitățile„ bat securitatea
Vulnerabilități, amenințări și contramăsuri
Emanații
• Energia emisă de un sistem electronic
• TEMPEST - Specificație National Security Agency și certificare NATO – se
referă la spionarea unui sistem prin intermediul emisiilor (semnale radio, electrice,
sunete, vibrații
• Standarde de ecranare (multe sunt secrete): 3 nivele publice
Vulnerabilități, amenințări și contramăsuri
Canale acoperite (Cover Channels)
• Comunicații care încalcă politica de securitate
• Storage channels – se folosesc suporții de memorare (sau caracteristici ale
acestora): temporary files și cache
• Timing channels – de obicei un atac care se folosește de întîrzierile din cadrul
prelucrărilor
Vulnerabilități, amenințări și contramăsuri
Backdoors
• „scurtături„ care evită verificările
• Bypass login – uneori ca parte a unui atac mai sofisticat
Maintenance Hooks
• Scurtături instalate de către programatori
• Nu trebuie uitate în mediile din producție
Vulnerabilități, amenințări și contramăsuri
Malware (Malicious Software/ Malicious Code)
• Zero-day exploit – code malițios pentru care furnizorul nu are încă patch (fix)
Computer Virus
• Nu se „împrăștie„ automat
• Tipuri:
• Macro virus
• Boot sector virus
• Stealth virus
• Polymorphic Virus
• Multipartite Virus
Vulnerabilități, amenințări și contramăsuri
Worms
• Se propagă singuri
• Prejudicii:
• Codul
• Resurse pierdute (de obicei network-related)
• Morris Worm, ILOVEYOU, Nimda, Code Red, Melissa
Vulnerabilități, amenințări și contramăsuri
Trojans
• O funcție benignă (un joc, de exemplu)
• A doua funcție este malignă (poate fi orice)
• Zeus, CryptoLocker, Netbus, Back Orifice, Shedun (Android)
Vulnerabilități, amenințări și contramăsuri
Rootkits
• Înlocuiesc porțiuni ale kernelului și/sau SO
• User-mode (ring 3) și kernel-mode (ring 0)
Vulnerabilități, amenințări și contramăsuri
Packers
Oferă compresie la executarea ….executabilelor (binaries).
Se folosesc pentru a evita detectarea pe bază de semnătură
Logic Bombs
• Se declanșează cînd o condiție logică este îndeplinită (tranzacție, contor, timp etc)
• Viermii conțin de obicei bombe logice
Vulnerabilități, amenințări și contramăsuri
Antivirus Software
Pe bază de semnătură (static signatures) sau heuristică (anomalii și
comportament)
Vulnerabilități, amenințări și contramăsuri
Server-side Attacks (service-side attacks)
• Atacarea serrviciului
Client-side Attacks
• Downloads
Vulnerabilități, amenințări și contramăsuri
Arhitecturi web și atacuri
Vulnerabilități, amenințări și contramăsuri
Applets
• Bucăți de code mobile integrate în alte aplicații (web browser)
• Se descarcă de pe servere și rulează local
• Java:
• Object-oriented
• Bytecode – independentă de platformă, necesită Java Virtual Machine (JVM)
• Applets rulează în sandbox
• ActiveX:
• Functionalitate similară cu Java applets
• Doar pe sisteme Microsoft
• Folosim certificate digitale
Vulnerabilități, amenințări și contramăsuri
XML – Extensible Markup Language
• Definește un set de reguli pentru codarea documentelor în format uman sau
mașină
• Documentele XML ar trebui să înceapă cu declararea unor informații despre ele
însele
SOA– Service Oriented Architecture
• Model arhitectural în care componentele oferă servicii altor componente prin
intermediul unui protocol de comunicații, de obicei prin rețea
• Serviciile pot fi reutilizate
• SOAP, REST, DCOM, CORBA
Securitatea BD
Poli-instanțiere
• Două obiecte (instanțe) diferite cu același nume
• În funcție de nivelul de securitate stabilit, o înregistrare poate conține
informații sensibile iar alta nu. Utilizatorul „vede„ informațile în funcție de
nivelul de confidențialitate stabilit prin politică
Securitatea BD
Inferențe
• Implică deduceri
• Controale posibile: poli-instanțiere sau difuziune
Agregare
• Procedeu matematic (de exemplu să întorci rezultatul fiecărei interogări)
Criptografie – concepte
Termeni
• Criptologie – stiința care se ocupă cu securizarea comunicațiilor
• Criptografie – crearea de mesaje al căror înțeles este ascuns
• Criptanaliză- stiința care se ocupă cu identificarea/spargerea codurilor
• Criptologie – criptografie+criptanaliză
• Cifru- algoritmul criptografic
• Plaintext –mesajul necriptat
• Ciphertext – mesajul criptat
• Encryption - transformarea „plaintext„ în „ciphertext„
• Decryption - transformarea „ciphertext„ în „plaintext„
Criptografie – concepte
Confidențialitate, Integritate, Autentificare și non-repudiere
• Criptografia poate oferi confidențialitate și integritate datelor
• Criptografia nu poate îmbunătăți disponibilitatea
• Criptografia poate oferi autentificare
• Criptografia poate oferi nonrepudiere (asigurarea că un anumit utilizator a
realizat o anumită tranzacție iar aceasta nu s-a modificat)

Nonrepudiere – un utilizator care s-a autentificat în sistem și a vizualizat datele

personale ale altora nu mai poate nega că a făcut acest lucru
Criptografie – concepte
Confusion, Diffusion, Substitution, Permutation
• Confusion – relația dintre „plaintext„ și „ciphertext„ trebuie să fie pe cît posibil aleatorie
• Diffusion – ordinea „plaintext„ trebuie să fie “difuzată” (dispersată) în „ciphertext„
• Substitution – înlocuirea unui caracter cu altul (asigură „diffusion„).
• Permutation (transposition) – rearanjarea caracterelor din „plain text„.

Substituția și permutarea sunt de obicei combinate.

Criptarea bună/puternică elimină paternurile – orice semn „non-aleator„ poate fi folosit în

criptanaliză
Criptografie – concepte
Capacitatea criptografică
Criptarea bună este puternică/rezistentă: o criptare cu chei de criptare este dificil
(aproape imposibil) de decriptat fără cheie
Work factor – cît timp este necesar pentru a sparge criptosistemul (decriptare fără
cheie)
Criptografie – concepte
Cifruri mono și polialfabetice
• Monoalfabetic- cifrul folosește „un alfabet„ - o literă este substituită cu o singură literă
• Cifrurile monoalfabetice sunt ușor de analizat
• Polialfabetic – cifrul folosește „două alfabete„ - o literă poate fi substituită cu alte două
litere
Criptografie – concepte
Analiza frecvenței
Tipologia criptării
• Simetrică –aceeași cheie este folosită la criptare și decriptare
• Asimetrică – o cheie pentru criptare- o cheie pentru decriptare
• Hashing – transformare criptografică „one-way„ pe bază de
algoritm (fără cheie)
Criptare simetrică
Data Encryption Standard (DES)
• Descrie Data Encryption Algorithm (DEA)
• Dezvoltat de IBM pe baza vechiului cifru simetric Lucifer
• Folosește un bloc de 64-bit (criptează 64 bits o dată) și o cheie pe 56-
bit
Criptarea simetrică
Data Encryption Standard (DES) – Single DES
• Implementarea originală a DES
• Criptează blocuri de date de 64-bit cu o cheie de 56-bit, folosind 16
runde de criptare
• COPACOBANA (Cost-Optimized Parallel COde Breaker
http://www.copacobana.org, a folosit 100 CPUs în paralel și a spart
DES într-o săptămînă (cost în jur de $10,000)
Criptarea simetrică
Data Encryption Standard (DES) – Triple DES
• Aplică o singură criptare DES de 3 ori pe un bloc
• Recomandată începînd cu 1999 de United States Federal Information
Processing Standard (FIPS) http://csrc.nist.gov/publications/fips/fips46-
3/fips46-3.pdf)
• Dezavantaje: viteză mică și complexitate compartiv cu AES sau Twofish
Symmetric Encryption
International Data Encryption Algorithm (IDEA)
• Cifru simetric proiectat să înlocuiască DES
• Folosește o cheie pe 128-bit și un bloc de 64-bit
Criptarea simetrică
Advanced Encryption Standard (AES)
• Federal Information Processing Standard (FIPS) 197
(http://csrc.nist.gov/publications/fips/fips197/fips-197.pdf)
• Folosește chei pe 128-bit (10 runde de criptare), 192-bit (12 runde de criptare)
sau 256-bit (14 runde de criptare) pentru a cripta blocuri de 128- bit
• Algoritm deschis
• Proiectat să înlocuiască DES
Criptarea simetrică
Blowfish și Twofish
• Cifruri bloc simetrice create de echipa condusă de Bruce Schneier
• Blowfish folosește chei de la 32 la 448 bit (implicit este 128) pentru a cripta 64
bits de date
• Ambii sunt algoritmi deschiși
Criptarea simetrică
RC5 și RC6
• Cifruri bloc dezvoltate de RSA Laboratories
• RC5 folosește blocuri de 32 (pentru testare), 64 (înlocuitorul DES) sau 128-bit.
Cheia de criptare este de la 0-2040 bits.
Criptarea asimetrică
• Rezolvă problema partajării cheilor
• Whitfield Diffie și Martin Hellman au creat mecanismul schimbului de chei Diffie-
Hellman în 1976
• Algoritmul RSA -1977 (RSA - “Rivest, Shamir, and Adleman,”numele autorilor)
• Se folosesc două chei: criptezi cu o cheie, decriptezi cu altă cheie
• Se mai numește criptare cu cheie publică (perechea cheie publică-cheie privată)
 Funcții Hash
• Nu folosesc chei ci un algoritm
• Se mai numesc “one-way hash functions” – nu se poate face reverse la criptare
• Un text clar, de lungime variabilă este „amestecat„/“hashed” într-o valoare hash de
lungime fixă (denumit “message digest”/“hash”)
• Folosit în principal pentru a asigura integritatea: dacă hashul unui text este modificat
atunci și textul a fost modificat
• Secure Hash Algorithm 1 (SHA-1) - 160-bit hash
• Message Digest 5 (MD5) - 128-bit hash
Funcții Hash
Coliziuni
• Hashes nu sunt unice deoarece numărul de texte este mai mare decît
numărul posibil de hashes
• Două documente pot să aibă același hash: coliziune
Funcții Hash Fun
MD5
• Message Digest algorithm 5 – creat de Ronald Rivest
• Creează o valoare hash de 128-bit, indiferent de lungimea inputului
• MD6 - 2008
Funcții Hash
Secure Hash Algorithm (SHA)
• Serie de algoritmi
• SHA-1 - 1993 United States Federal Information Processing Standard
180 (see http://www.itl.nist.gov/fipspubs/fip180- 1.htm)
• SHA-1 – valoare hash de 160-bit
• SHA-3 - 2015 (http://csrc.nist.gov/publications/drafts/fips-
202/fips_202_draft.pdf)
Atacuri criptografice
Folosite de criptoanaliști pentru a descoperi textul clar fără chei de
criptare sau pentru a recupera cheia de criptare
Brute Force
• Generează întregul spațiu al cheilor
Cunoașterea textului clar
• Presupune recuperarea și analizarea corespondenței dintre textul clar și textul
criptat
• Obiectiv: identificarea cheii de criptare
Alegerea textului clar și adaptarea
• Criptoanalistul alege textul clar ce va fi criptat
• Obiectivul: derivarea cheii de criptare
Atacuri criptografice
Meet-in-the-middle (a nu se confunda cu man-in-the-mddle)
• Vizat este “double DES”
• Atacul este cunoscut și ca „plaintext attack„: atacatorul are o copie a textull clar și a celui
criptat și caută să recupereze cheile folosite la criptare
Atacuri criptografice
Cunoașterea cheii
• Criptoanalistul știe ceva despre cheie: X litere masjuscule și o cifră, de exemplu
Analiză diferențială
• Caută să identifice diferențele dintre texte diferite criptate cu același algoritm
• Se folosește analiza statistică pentru a se identifica „non aleatoriul„ din textul criptat
Atacuri criptografice
Analiza lineară
• Ai la dispoziție o cantitate mare de perechi text clar/text criptat cu aceeași cheie
• Scopul este derivarea cheii
Side-channel
Folosesc informați despre ciclurile CPU sau consumul de energie electrică din timpul
criptării/decriptării
Atacuri criptografice
Birthday Attack
• Paradoxul zilei de naștere: într-o cameră cu cel puțin 23 de persoane, șansele ca două persoane să
aibă aceeași zi de naștere sunt mai mari de 50%
• Paradoxul ilustrează instinctul personal în materie de probabilități/riscuri: nu vei căuta să identifici o
anumită zi de naștere (a ta) ci pe toate
Implementări ale criptografiei
Semnătura electronică
• Folosită pentru a semna criptografic documente
• Oferă nonrepudiere: autenticitatea identității semnatarului, integritatea documentului
• Folosește o funcție hash pentru a genera o valoare hash asupra textului
Public Key Infrastructure (PKI)
• Certificat digital: cheie publică semnată cu o semnătură digitală
• Certificatele digitale pot fi server-based (SSL Web site -
https://www.ebay.com) sau client-based (la nivel persoană).
• Folosite îmrepună asigură autentificare mutuală și criptare.
• Standardul pentru formatul certificatului digital este X.509.
Public Key Infrastructure (PKI)
Certificate Authorities
• Certificatele digitale sunt emise de Certificate Authorities (CAs)
• Autentifică identitatea persoanei sau organizației prin emiterea unui certificat
• CAs pot fi private (interne) sau publice (Verisign, Thawte etc)
Certificate Revocation Lists
• Certificate Authorities întrețint Certificate Revocation Lists (CRL)
• Evidența certificatelor care au fost revocate
IPSec
• Suită de protocoale care asigură nivelul criptografic atît pentru IPv4 cît și IPv6
• Folosit în cadrul Virtual Private Networks (VPN)
• Include două protocoale: Authentication Header (AH) și Encapsulating
Security Payload (ESP).
• AH și ESP oferă funcționalități diferite
SSL and TLS
• SSL autentifică și asigură confidențialitatea traficului web
• Transport Layer Security (TLS) este succesorul SSL
• SSL și TLS sunt folosite ca parte a HTTPS (Hypertext Transfer Protocol Secure)
• În momentul conectării la un site https datele sunt criptate: browserul descarcă certificatul digital
care include cheia publică semnată de Certificate Authority.
• Dacă browserul are încredere în CA (de ex. Verisign) atunci semnătura autentifică situl
• Browserul va folosi cheia publică pentru a schimba cheia simetrică pe sesiune
• Cheia simetrică este stocată pe serverul web ceea ce permite decriptarea informațiilor criptate cu
cheia publică
PGP
• Pretty Good Privacy – Asymmetric Encryption
• Phil Zimmerman 1991
• Folosește un model „Web of trust„ pentru a autentifica certificate digitale în
locul certificate authority (CA) -
• Dacă ai încredere că certificatul meu digital autentifică identitatea mea
înseamnă că vei avea încredere în toate certificatele în care eu am încredere
S/MIME
• MIME (Multipurpose Internet Mail Extensions)
• S/MIME (Secure/MIME) - PKI pentru criptarea și autentificarea
MIME-encoded email
• Criptarea este făcută la nivel de client sau server email
Steganografie