Ασφάλεια Ηλεκτρονικού Εμπορίου Δρ. Μαίρη Γραμματικού Ιούλιος 2014 NETMODE Network Management & Optimal Design Lab

ΑΠΕΙΛΕΣ ΑΣΦΑΛΕΙΑΣ ΔΙΚΤΥΩΝ Απόκτηση πληροφοριών για το σύστημα: Port Scanning Fingerprinting Μη εξουσιοδοτημένη πρόσβαση Υποκλοπή κωδικών Λάθος διαμορφώσεις (ανοικτά συστήματα) Από μη εξουσιοδοτημένα σημεία (π.χ. ανοιχτά σημεία ασύρματης πρόσβασης) Επιθέσεις Άρνησης Υπηρεσίας (Denial of Service Attacks - DoS) Υποκλοπή και παραποίηση επικοινωνιών Packet sniffing "Man-in-the-Middle" attacks Κακόβουλο λογισμικό (malware) Ιοί, Δούρειοι ίπποι (trojans) Αυτόματα διαδιδόμενοι ιοί (worms)

ΥΠΟΚΛΟΠΗ & ΠΑΡΑΠΟΙΗΣΗ ΔΕΔΟΜΕΝΩΝ Λύσεις ΥΠΟΚΛΟΠΗ & ΠΑΡΑΠΟΙΗΣΗ ΔΕΔΟΜΕΝΩΝ Λύσεις Χρήση κρυπτογραφίας Αντικατάσταση του telnet με SSH (Secure Shell) Κρυπτογραφημένη έκδοση του IMAP για e-mail Γνώση των αδυναμιών των δικτυακών εφαρμογών (αποφυγή μετάδοσης κρισίμων δεδομένων χωρίς κρυπτογράφηση) Χρήση ψηφιακών πιστοποιητικών (certificates) Προσφέρουν κρυπτογραφία και ταυτοποίηση (επιβεβαίωση ταυτότητας) Προσοχή στην επιλογή των σημείων σύνδεσης: Αν χρησιμοποιείται hub χωρίς δυνατότητες διαχείρισης Αν χρησιμοποιείται ασύρματη σύνδεση WiFi προτείνονται οι εξής εναλλακτικοί τρόποι ελέγχου πρόσβασης: Αρχική σύνδεση (ελαφρά κρυπτογραφημένη WPA-Wi-Fi Protected Access, WEP-Wired Equivalent Privacy) μόνο σε τοπική σελίδα Web εξουσιοδότησης & ταυτοποίησης (authorization & authentication). Η σύνδεση ανοίγει στο Internet με user_name, password Access Lists εξουσιοδοτημένων διευθύνσεων MAC Πρωτόκολλο 802.11.X βασισμένο σε καταλόγους authorized χρηστών LDAP και προ-εγκατεστημένο λογισμικό (certificate) στον Η/Υ

Ενδεικτικά Πρωτόκολλα Ασφαλείας στο Internet SSL(υποστηρίζεται από Netscape & Internet Explorer) : Secure Socket Layer : πάνω από TCP/IP και κάτω από HTTP, χρησιμοποιώντας ιδιωτικό κλειδί για την κρυπτογράφηση των δεδομένων πάνω από SSL connection. Τα URLs ζητούν συνδέσεις SSL που αρχίζουν με https αντί http S/HTTP : Secure/HyperΤext Transfer Protocol, το SSL δημιουργεί κανάλι ασφαλούς επικοινωνίας μεταξύ client – server, πάνω από όπου μεταφέρονται τα δεδομένα με ασφάλεια HL7-Health Level Seven : Πρωτόκολλο στο Internet για τη μεταφορά μηνυμάτων ιατρικού περιεχομένου (χρησιμοποιεί το EDI Πρότυπο για την περιγραφή των μηνυμάτων)

Η Κρυπτογραφία δίνει λύση στα εξής προβλήματα : Ασφαλή επικοινωνία Ταυτοποίηση και πιστοποίηση Κοινοποίηση μυστικής πληροφορίας Ηλεκτρονικό Εμπόριο Ψηφιακά πιστοποιητικά Ασφαλή πρόσβαση σε υπολογιστικά συστήματα

Είδη Κρυπτογραφίας Συμμετρική (Ιδιωτικού κλειδιού) Μη Συμμετρική (Δημόσιου κλειδιού) Περιλήψεις μηνυμάτων (Hash Functions)

Συμμετρική Κρυπτογραφία key Παραλήπτη Αποστολέας Enctrypt Internet Encrypted data Παραλήπτης Dectrypt Encrypted data key Παραλήπτη

Ασύμμετρη Κρυπτογραφία Αποστολέας Enctrypt Internet Encrypted data Παραλήπτης Dectrypt Encrypted data Private key Παραλήπτη

Ψηφιακές Υπογραφές (1) Ένα μήνυμα υπογράφεται ως εξής: Ο Αποστολέας περνά το μήνυμα από ένα Hash Function που δίνει αποτέλεσμα μια σειρά χαρακτήρων Α (message digest), που είναι πάντα ίδιου μήκους ασχέτως με το μήκος του μηνύματος. Η σειρά χαρακτήρων Α κρυπτογραφείται με το Ιδιωτικό κλειδί του Αποστολέα σε Α’. Το Α’ (η Ψηφιακή Υπογραφή) στέλνεται μαζί με το μήνυμα (χωρίς το σώμα του μηνύματος να είναι αναγκαστικά κρυπτογραφημένο).

Ψηφιακές Υπογραφές (2) Ο Παραλήπτης παίρνει το μήνυμα μαζί με την Ψηφιακή υπογραφή Α’. Περνά το μήνυμα από την ίδια Hash Function με αποτέλεσμα μια σειρά χαρακτήρων Β. Με το Δημόσιο κλειδί του Αποστολέα αποκρυπτογραφεί την Α’ σε Α. Αν τα Α και Β είναι τα ίδια το μήνυμα δεν έχει αλλοιωθεί.

Ψηφιακή Υπογραφή Enctrypt Internet Dectrypt Dig. sign Private key Αποστολέας Αλγόριθμος Internet Hash Dig. sign Παραλήπτης Αλγόριθμος Hash 1 Public key Dig. sign Dectrypt Hash 2

Χρήση Ψηφιακής Υπογραφής 2. Signing 3. Transmission Private Key B Public Key B Public Key A Private Key A 4. Decryption 1 4 3 Message 2 Digital Signature

PKI Οι οντότητες του PKI, όπως ορίζονται στο PKIX Working Group της IETF είναι : Αρχή Πιστοποίησης (CA – Certification Authority) Αρχή Εγγραφής (RA – Registration Authority) Οι πελάτες (Clients) Η αποθήκη πιστοποιητικών και λιστών ανάκλησης πιστοποιητικών (Repository/Certificate Revocation Lists). Παράδειγμα Αρχής Πιστοποίησης : http://www.verisigninc.com/

Υπηρεσίες που προσφέρονται σε ένα σύστημα PKI Καταγραφή δημοσίου κλειδιού (Key Registration): έκδοση νέου πιστοποιητικού για ένα δημόσιο κλειδί. Ακύρωση Πιστοποιητικού (Certificate Revocation): ακύρωση εκδοθέντος πιστοποιητικού. Επιλογή κλειδιού (Key Selection): απόκτηση δημοσίου κλειδιού της άλλης οντότητας (χρήστης ή υπηρεσία). Εκτίμηση εμπιστοσύνης (Trust Evaluation): αποφασίζεται εάν ένα πιστοποιητικό είναι έγκυρο και τι υπηρεσίες επιτρέπει.

Ψηφιακά Πιστοποιητικά Από τι αποτελείται ένα ψηφιακό πιστοποιητικό: Πληροφοριακά στοιχεία για το χρήστη Το δημόσιο κλειδί του χρήστη Το όνομα μιας Αρχής Πιστοποίησης Την ψηφιακή υπογραφή της Αρχής Πιστοποίησης

Αρχές Πιστοποίησης Για την επιλογή της Αρχής Πιστοποίησης ελέγχετε : Το προϊόν, η τιμή, τα χαρακτηριστικά πιστοποιητικού, τα επίπεδα ικανοποίησης πελατών Αυτά μπορεί να διαπιστωθούν και στο: http://www.sslshopper.com/certificate- authority-reviews.html

Αρχές Πιστοποίησης Comodo DigiCert (Amazon uses it) Entrust GeoTrust GlobalSign GoDaddy Network Solutions SSL.com StartCom SwissSign Symantec Thawte Trustwave