Sikkerhetsutfordringer i en trådløs verden - utfordringer i området mellom tjenesteyter og bruker

Transkript

1 Sikkerhetsutfordringer i en trådløs verden - utfordringer i området mellom tjenesteyter og bruker Erlend Dyrnes NextGenTel AS Tekna Mobilt bredbånd - LTE - WiMAX 1

2 Om presentasjonen Introduksjon Tjenestetilbyderen Den klassiske DSL kjeden Den mer moderne varianten Ansvarsdelingen Hva kan gå galt? Erfaringer Tiltak Forventninger og veien videre Spørsmål 2

3 Disclaimer Rollen som internett tjenestetilbyder er med utgangspunkt i mitt kjennskap til NextGenTel. Når jeg beskriver forhold som typiske er det med utgangspunkt i NextGenTels virksomhet og antakelser om hva som finnes hos andre tjenestetilbydere Mine synspunkter er mine egne. NextGenTels ledelse eller virksomhet skal ikke holdes ansvarlig for hva jeg hevder i denne presentasjonen eller etterfølgende ordskifte 3

4 TeliaSonera i Norge ved utgangen av 2010 BREDBÅND: bredbåndslinjer med bredbåndstelefoni med digital TV MSEK i 2010 MOBIL: mobilabonnementer MSEK i

5 Tjenestetilbyderen I vår bransje har denne rollen utviklet seg over tid. I starten var fokus på konnektivitet. Bredbånd med høy ytelse og oppetid Når kundene har kommet på nett vil de ha mer Basistjenester Portalbaserte tjenester Innholdstjenester Nye aksesstjenester Trådløs aksess overalt alltid Basistjenester Epost, antispam, familiebrukere, hjemmesider, katalogtjenester Portalbaserte tjenester Self-service, sikker lagring, tjenester i fordelsprogram Innholdstjenester Telefoni, TV, on-demand filmleie, streaming, on-line spill Nye aksesstjenester Fiber, kabel Trådløs aksess Trådløse soner, mobilt bredbånd, WiMAX 5

6 Den klassiske ISP - xdsl Kunde utstyr (CPE) AS15659 Norwegian Internet exchange Sentral / DSLAM Gateway Kjernenett Tjenester 6

7 Tjenester Epost Antispam Kataloger Self-service Innholdstjenester Sikring Autentisering Lagring Tjenester Accounting Klubbprogram Grensesnitt til tjenester hos partnere Autorisasjon 7

8 Den mer moderne varianten Kunde utstyr (CPE) AS15659 Norwegian Internet exchange Trådløse nett Sentral / DSLAM ASxxxxx Autentisering Autorisasjon Accounting Kjernenett Tjenester Kant NGT Tjenester Samtrafikk 8

9 Ansvarsdelingen Tjenestetilbyderen tar seg av Produksjon av tjeneste som er Nett Robust Testet og forvaltet Kontrollert og overvåket Kapasitetsmessig dekkende fra oppkobling og terminering til kjernenett, kant og samtrafikkspunkter Redundans Sikkerhetsarkitektur Utstyr hos kunden Sikkerhetsfunksjoner Partnere tar seg av Tilsvarende som tjenestetilbyderen, men i sitt nett Andre tjenester eller fasiliteter ihht avtale med NextGenTel Kunden tar seg av Normal bruk/adferd I tråd med vilkår Oppdateringer Holde eget utstyr oppdatert og sikret 9

10 10 Med en så enkel struktur og klar ansvarsdeling kan det vel ikke gå galt, eller?

11 Hva kan gå galt og hvor? Virus Uvettig eller ulovlig bruk Uvettig bruk eller Kunde endring utstyr (CPE) Hendelser Norwegian Internet exchange Feil på Sentral utstyr eller / DSLAM fra montør Overbelastning Overbelastning Kant Feil på Trådløse utstyr nett Kjernenett Hendelser ASxxxxx Tjenester Innbrudd NGT Tjenester eller systemfeil Samtrafikk 11

12 Hva kan gå galt hos tjenestetilbyderen? Hos tjenesteyter og partnere Hendelser Datainnbrudd i servere eller systemer Tjenestenektangrep Fysiske forhold Brann eller andre alvorlige hendelser i produksjonslokaler Innbrudd, sabotasje eller terror Tjenestesvikt Systemfeil Overbelastning Eksempler ikke uttømmende liste 12

13 Våre erfaringer fra kundesiden Mange kunder blir smittet av fiendtlig kode 0-day sårbarheter i applikasjoner Legitime nettsteder er smittet Klikker på linker i f.eks Facebook Noen kunder blir lurt Sosial manipulering / phishing Nigeriabrev og liknende Flere kunder gjør ulovlige handlinger Laster ned musikk, filmer og liknende Bruker naboens trådløse nett uten lov Kunders datamaskiner er ofte sårbare Legger ikke merke til at programvare slutter å virke Ukloke endringer på ruter Mange kunder vet for lite om hvordan en sikrer seg Har dårlige rutiner for å holde programvare oppdatert Surfer på nettet som «administrator» Mange kunder har begrenset kompetanse på trådløs teknologi Forstår lite av ytelsesproblemer i «tettbygd strøk» Mangelfull forståelse av kryptering av datatransmisjon 13

14 Når blir det vanskelig for både kunden og oss? Mange kunder har ikke oversikt eller ser ikke sammenhengen mellom egen adferd og problemer de opplever Symptomene er at «Internett virker ikke», og de ringer derfor kundeservice og forventer hjelp Mobilitet skaper utfordringer fordi klienten opptrer på ulike nett og med forskjellige adresser Vi får klager på eller opplever problemer med en klient som vi aldri helt vet hvor er Feil som oppstår i partneres systemer og nettverk kan være vanskelig for oss å ha oversikt over Våre svar til kunden blir ikke gode nok Når flere feil oppstår samtidig, både hos oss og partnere Har kunden alltid rett? Kunden er vår, så vedkommende ringer oss 14

15 Hva gjør vi for å redusere risiko? Mekanismer som gjør at vi har god adressekontroll på utstyr i eget nett Tiltak for å beskytte deler av nettverket mot tjenestenektangrep Sikkerhetstjenester og mekanismer Soning av nettverk - ulike nettverk til forskjellige formål Abuse Response Team (ART) behandler klager på kunder. Mange slike klager er indikasjoner på at kunder er infisert, og blir behandlet deretter Informasjon til kunder Nyhetsbrev på epost Kundesider på broadpark.no Nextgentel.no Eksempler ikke uttømmende liste 15

16 Forventninger Til kunders installasjon Våre installasjonsveiledninger må følges Vårt utstyr skal stå «ytterst», det vil si være det som er koblet til kobberkabelen (DSL) Til kunders adferd Man bør gjøre færrest mulig endringer på vårt utstyr, og kun anbefalte endringer som man har kompetanse til å gjøre Norske lover og våre kundevilkår følges Man «rydder opp» når man får beskjed om det Kunders forventinger til oss Sikkerhetsfaglig kompetanse Sikkerhetstiltak i nettverk og rundt tjenester Overvåker og responderer at vi fikser feil så fort som mulig Tar telefonen når de ringer og hjelper dem med å finne løsninger Sender ut informasjon 16

17 Veien videre Noen personlige tanker om hvor veien går herfra Tjenesteyteren må videreutvikle sikringsløsninger som kundene etterspør eller vil ha nytte av Kundene må få slike presentert på en klar og ryddig måte Kundene må kunne velge blant flere tjenester Tjenesteyteren må opprettholde og vedlikeholde sikkerhetsfaglig kompetanse Tjenesteyteren må tilby kundene relevant informasjon Spesielt viktig i faser hvor ny teknologi fases inn Kundene må bruke mer tid på å forstå hvordan informasjonsteknologien fungerer Kundene må forstå at det finnes mange der ute som ønsker å lure dem Til å gi fra seg informasjon Til å gi fra seg penger 17

18 Spørsmål 18