Ασφάλεια δικτύων

Τι είναι η ασφάλεια συστημάτων; Η ασφάλεια συστημάτων ασχολείται με την προστασία αγαθών που αξίζει να προστατευθούν Τα αγαθά σε ένα σύστημα μπορεί να είναι Οι πληροφορίες που διακινούνται μέσω αυτού Οι υπολογιστικοί πόροι (μνήμη, επεξεργαστική ισχύς) με τους οποίους μπορούμε να διαχειριστούμε τις πληροφορίες

Ασφάλεια - κόστος Η ασφάλεια ενός συστήματος έχει κάποιο κόστος. Αυτό μπορεί να είναι Χρηματικό Κόπος Το κόστος και η ασφάλεια ενός συστήματος είναι μεγέθη ανάλογα. Μεγαλύτερη ασφάλεια απαιτεί μεγαλύτερο κόστος.

Ασφάλεια - κόστος Ο ιδιοκτήτης των αγαθών θα πρέπει Να ορίσει ποια αγαθά πρέπει να προστατευθούν να βρει την ισορροπία μεταξύ κόστους και ασφάλειας

Ιδιοκτήτες και χρήστες αγαθών Κάθε αγαθό ενός συστήματος ανήκει στον ιδιοκτήτη του Το αγαθό χρησιμοποιείται από κάποιον/ους χρήστη/ες Εφόσον υπάρχει ιδιοκτησία υπάρχει και η έννοια της εξουσιοδότησης. Η άδεια που δίνει ο ιδιοκτήτης σε κάποιο χρήστη να χρησιμοποιήσει το αγαθό

Βασικές έννοιες περί ασφάλειας Αυθεντικότητα Η απόδειξη της ταυτότητας του χρήστη για παροχή πρόσβασης σε αγαθά Ακεραιότητα Η διασφάλιση ότι τα δεδομένα έχουν υποστεί αλλαγές μόνο από εξουσιοδοτημένα άτομα Εμπιστευτικότητα Ο περιορισμός της πρόσβασης στα δεδομένα μόνο σε αυτούς που επιτρέπεται να έχουν πρόσβαση σε αυτά

Βασικές έννοιες περί ασφάλειας Μη άρνηση ταυτότητας Η δυνατότητα απόδοσης πράξεων σε συγκεκριμένο χρήστη Μια επιπλέον έννοια είναι η Διαθεσιμότητα πληροφοριών Η αποφυγή προσωρινής ή μόνιμης άρνησης διάθεσης πληροφορίας σε εξουσιοδοτημένους χρήστες

Παράγωγες έννοιες Εγκυρότητα Ασφάλεια Η απόλυτη ακρίβεια και πληρότητα μιας πληροφορίας. Είναι ο συνδυασμός της αυθεντικότητας και της ακεραιότητας. Ασφάλεια Η προστασία της Διαθεσιμότητας, της Ακεραιότητας και της Εμπιστευτικότητας των πληροφοριών

Παράγωγες έννοιες Ασφάλεια Πληροφοριών Ο συνδυασμός Εμπιστευτικότητας, Εγκυρότητας ( Ακεραιότητα και Αυθεντικότητας ) και Διαθεσιμότητας πληροφοριών

Παράγωγες έννοιες Αυθεντικότητα  Ακεραιότητα  Εμπιστευτικότητα  Μη άρνηση ταυτότητας  Διαθεσιμότητα   Εγκυρότητα  Ασφάλεια  Ασφάλεια Πληροφοριών

Κίνδυνοι ασφάλειας Απειλές Αδυναμίες Ενέργειες ή γεγονότα που μπορούν να οδηγήσουν σε κατάρρευση κάποιου από χαρακτηριστικά ασφάλειας πληροφοριών Αδυναμίες Σημεία του πληροφοριακού συστήματος που αφήνουν περιθώρια για παραβιάσεις

Μέθοδοι παραβίασης Κάποιος που θέλει να υποκλέψει μια εμπιστευτική πληροφορία θα πρέπει να την αναζητήσει Στο μέσο όπου έχει αποθηκευτεί (π.χ. σκληρός δίσκος, usb flash δίσκος) Στο μέσο από όπου μεταδίδεται (π.χ. ασύρματο δίκτυο, καλώδια ethernet) Για να την αποκτήσει εξαπολύει μια επίθεση. Υπάρχουν διάφορα είδη επιθέσεων

Επιθέσεις στους κωδικούς πρόσβασης Οι μυστικοί κωδικοί πρόσβασης είναι το πιο συνηθισμένο μέσο ελέγχου πρόσβασης. Υπάρχουν δύο είδη κωδικοί Επαναχρησιμοποιούμενοι. Είναι οι πιο συνηθισμένοι. Παραμένουν ίδιοι μέχρι ο χρήστης να τους αλλάξει. Μιας χρήσης. Ο χρήστης δεν χρησιμοποιεί ποτέ τον ίδιο κωδικό για δεύτερη προσπάθεια πρόσβασης

Επιθέσεις στους κωδικούς πρόσβασης Οι πιο συνηθισμένοι τρόποι εύρεσης ενός κωδικού είναι: Χρήση προγραμμάτων που δοκιμάζουν κωδικούς Παρακολούθηση πλήκτρων (keystroke monitoring) με ειδικό πρόγραμμα. Κοινωνική μηχανική (social engineering). Η εξαπάτηση του χρήστη για να δώσει ο ίδιος τον κωδικό του.

Επιθέσεις στους κωδικούς πρόσβασης Τυχαία παρακολούθηση του χρήστη την ώρα που πληκτρολογεί τον κωδικό (shoulder surfing) Χρήση φυσικής βίας για την υποκλοπή του κωδικού Χρήση εξωτερικής βίας. Εξαναγκάζεται με τη βία ο χρήστης να δώσει τον κωδικό του Χρήση εσωτερικής βίας. Υποκλοπή κρυπτογραφημένων κωδικών και προσπάθεια αποκωδικοποίησης με πρόγραμμα crack. Το πρόγραμμα αυτό κρυπτογραφεί συνεχώς κωδικούς μέχρι να βρει κρυπτογραφημένο κωδικό ίδιο με αυτόν που ψάχνει.

Παρακολούθηση δικτύου Ένας άλλος τρόπος για υποκλοπή πληροφοριών είναι η παρακολούθηση των δεδομένων που ταξιδεύουν μέσω ενός δικτύου. Η διαδικασία ονομάζεται παρακολούθηση πακέτων (packet sniffing) και για να γίνει η κάρτα δικτύου του υπολογιστή πρέπει να βρεθεί σε μια κατάσταση όπου παραλαμβάνει όλα τα δεδομένα του δικτύου (promiscuous mode)

Μεταμφίεση Η επίθεση με την τεχνική της μεταμφίεσης γίνεται όταν ο επιτιθέμενος προσποιείται το θύμα για να παραλάβει πληροφορίες που απευθύνονται σε αυτόν. Ονομάζεται και επίθεση IP spoofing γιατί ο επιτιθέμενος παίρνει τη διεύθυνση IP του θύματος.

Άρνηση Παροχής Υπηρεσιών Οι επιθέσεις αυτές δεν έχουν στόχο να υποκλέψουν πληροφορία αλλά να αποτρέψουν νόμιμους χρήστες από το να έχουν πρόσβαση σε αυτές. Εστιάζονται στην εξάντληση των πόρων του δικτύου ή των εξυπηρετητών ώστε να μην μπορούν να εξυπηρετηθούν οι χρήστες.

Επιθέσεις στο επίπεδο εφαρμογών Οι επιθέσεις αυτές εστιάζονται σε συγκεκριμένες εφαρμογές (π.χ. Mozilla firefox, MS Word) που έχουν αδυναμίες ασφάλειας. Μέσω των κενών ασφάλειας προσπαθούν να αποκτήσουν μη εξουσιοδοτημένη πρόσβαση σε συστήματα και πληροφορίες.

Τεχνικές ασφάλειας Γνωρίζοντας τους πιθανούς κινδύνους υποκλοπής στην αποθήκευση και μετάδοση ευαίσθητης πληροφορίας έχουν αναπτυχθεί τεχνικές για την ύπαρξη ασφάλειας Κρυπτογράφηση Συμμετρική Ασύμμετρη Ψηφιακή υπογραφή

Κρυπτογράφηση Με την κρυπτογράφηση μετασχηματίζουμε την μεταδιδόμενη πληροφορία ώστε μόνο ο παραλήπτης να μπορεί να την ανακτήσει. Υπάρχουν πολλοί αλγόριθμοι κρυπτογράφησης. Στηρίζονται σε σύνθετη λογική και πολύπλοκα μαθηματικά. Κάποιοι αποτελούν καλά φυλαγμένα κρατικά ή βιομηχανικά μυστικά.

Συμμετρική κρυπτογράφηση Ονομάζεται διαφορετικά και κρυπτογράφηση συμμετρικού κλειδιού Η κρυπτογράφηση και η αποκρυπτογράφηση γίνεται από το ίδιο κλειδί. Τα δύο μέρη που επικοινωνούν πρέπει να συμφωνήσουν για το κλειδί πριν την επικοινωνία Ο πιο απλός αλγόριθμος είναι η κρυπτογράφηση του Καίσαρα. Κάθε γράμμα του μηνύματος ολισθαίνει κατά προσυμφωνημένο αριθμό γραμμάτων

Συμμετρική κρυπτογράφηση

Συμμετρική κρυπτογράφηση Σύμφωνα με τον προηγούμενο αλγόριθμο ποιά είναι η αποκωδικοποίηση της λέξης: ΦΣΨΤΔ

Συμμετρική κρυπτογράφηση Η συμμετρική κρυπτογράφηση προσφέρει εμπιστευτικότητα στην επικοινωνία. Μπορεί να προσφέρει αυθεντικότητα και ακεραιότητα αλλά υπάρχουν καλύτερες μέθοδοι για αυτό Οι κυριότεροι αλγόριθμοι αυτού του είδους είναι Πρότυπο κρυπτογράφησης δεδομένων (DES) Τριπλός DES (3DES) Διεθνής αλγόριθμος κρυπτογράφησης δεδομένων (IDEA)

Συμμετρική κρυπτογράφηση Ένα πρόβλημα στην κρυπτογράφηση είναι ο τρόπος μεταφοράς του κλειδιού. Γίνονται προσπάθειες για την ανάπτυξη τεχνικών μεταφοράς του κλειδιού μέσω ανασφαλών δικτύων. Η πιο γνωστή είναι η Diffie-Hellman.

Ασύμμετρη κρυπτογράφηση Ονομάζεται και κρυπτογράφηση δημόσιου κλειδιού Η λογική της βασίζεται στη χρήση δύο κλειδιών. Το δημόσιο ( δημοσιεύεται παντού ) και το ιδιωτικό ( μυστικό ). Και τα δυο κλειδιά μπορούν να κρυπτογραφήσουν Ότι κρυπτογραφείται με το ένα, αποκρυπτογραφείται μόνο από το άλλο

Ασύμμετρη κρυπτογράφηση

Ασύμμετρη κρυπτογράφηση Λόγω του τρόπου λειτουργίας της ασύμμετρης κρυπτογράφησης μπορεί να χρησιμοποιηθεί για Την εξασφάλιση της εμπιστευτικότητας της πληροφορίας Την εξασφάλιση της αυθεντικότητας της πληροφορίας

Ασύμμετρη κρυπτογράφηση - εμπιστευτικότητα Όταν ο χρήστης Α θέλει να στείλει δεδομένα στο χρήστη Β και να εξασφαλίσει ότι μόνο αυτός μπορεί να τα δει, κρυπτογραφεί το μήνυμα με το δημόσιο κλειδί του Β Σε αυτή την περίπτωση μόνο ο Β μπορεί να τα αποκρυπτογραφήσει με το ιδιωτικό κλειδί που έχει μόνο αυτός.

Ασύμμετρη κρυπτογράφηση - εμπιστευτικότητα

Ασύμμετρη κρυπτογράφηση - αυθεντικοποίηση Όταν ο χρήστης Α θέλει να στείλει δεδομένα στο χρήστη Β και να αποδείξει ότι πράγματι είναι ο χρήστης Α, κρυπτογραφεί το μήνυμα με το ιδιωτικό του κλειδί Σε αυτή την περίπτωση ο χρήστης Β ( όπως και όλος ο κόσμος ) μπορεί να αποκρυπτογραφήσει το μήνυμα μόνο με το δημόσιο κλειδί του Α. Έτσι αποδεικνύεται ότι κρυπτογραφήθηκε με το (μυστικό) ιδιωτικό κλειδί του Α.

Ασύμμετρη κρυπτογράφηση - αυθεντικοποίηση

Ασύμμετρη κρυπτογράφηση Μερικοί από τους πιο κοινούς αλγόριθμους ασύμμετρης κρυπτογράφησης είναι RSA ElGamal

Ψηφιακές υπογραφές Είναι μια σύνοψη μηνύματος που προσκολλάται στο τέλος του ηλεκτρονικού εγγράφου Αποδεικνύει την ταυτότητα του αποστολέα και την ακεραιότητα των δεδομένων Προκύπτει με συνδυασμό αλγορίθμου κατατεμαχισμού και ασύμμετρης κρυπτογράφισης

Ψηφιακές υπογραφές - διαδικασία Ας θεωρήσουμε ότι ο χρήστης Α θέλει να στείλει ένα έγγραφο στον χρήστη Β με ψηφιακή υπογραφή. Η διαδικασία που ακολουθείται είναι η παρακάτω οι δύο χρήστες συμφωνούν σε ένα αλγόριθμο κατακερματισμού και ένα αλγόριθμο ασύμμετρης κρυπτογράφησης Δημιουργούν και οι δύο δημόσια και ιδιωτικά κλειδιά που απαιτεί η κρυπτογράφηση Ο χρήστης Α χρησιμοποιεί τον αλγόριθμο κατακερματισμού στο έγγραφο και παράγει μία σύνοψη (message digest) Ο χρήστης Α κρυπτογραφεί τη σύνοψη με το ιδιωτικό του κλειδί και το αποτέλεσμα είναι η ψηφιακή υπογραφή

Ψηφιακές υπογραφές - διαδικασία Ο χρήστης Α επισυνάπτει την υπογραφή στο μήνυμα και το αποστέλλει Ο χρήστης Β ξεχωρίζει την ψηφιακή υπογραφή και την αποκρυπτογραφεί με το δημόσιο κλειδί του Α. Έτσι αποδεικνύεται ότι πράγματι ο Α έφτιαξε αυτή την υπογραφή. Το αποτέλεσμα της αποκρυπτογράφησης είναι η σύνοψη του αρχικού μηνύματος. Ο χρήστης Β χρησιμοποιεί τον αλγόριθμο κατακερματισμού στο έγγραφο που έλαβε και παράγει τη σύνοψη. Αν η σύνοψη που προέκυψε είναι ίδια με τη σύνοψη που στάλθηκε από τον Α το έγγραφο δεν έχει υποστεί αλλαγές.