Universitetet i Oslo IN2120 Informasjonssikkerhet Høst 2018 Workshop-spørsmål med svarforslag Forelesning 4: Kommunikasjonssikkerhet Spørsmål 1: Sikkerhetsprotokoller a) Hva er en sikkerhetsprotokoll, og hva brukes de til? b) Gi eksempler på sikkerhetstjenester som støttes av sikkerhetsprotokoller. c) Gi eksempler på velkjente sikkerhetsprotokoller som brukes på Internett. a) En sikkerhetsprotokoll er en type kommunikasjonsprotokoll kombinert med kryptografiske mekanismer, dvs. at det er en spesifikasjon på formater og sekvens for utveksling av meldinger mellom noder i et kommunikasjonsnett, inkludert kryptografiske funksjoner som utføres av hver node. b) Typiske tjenester som støttes av sikkerhetsprotokoller er: konfidensialitet, noteautentisering, data-autentisering, dataintegritet, og nøkkelutveksling/etablering. c) Velkjente sikkerhetsprotokoller er: TLS (SSL), IPSec, Kerberos, SAML (som brukes i federert identitetshåndtering), OAuth (som brukes for tilgangskontroll i online sosiale nettverk), e-valgprotokoller, e-betalingsprotokoller, osv. Spørsmål 2: TLS TLS er en sikkerhetsprotokoll som brukes på Internett, men TLS består egentlig av flere separate del-protokoller. a) Hvilken IP-port er reservert for http over TLS? Hvilken URL-prefiks indikerer at en applikasjon bruker http over TLS? b) Beskriv kort hvor i OSI og TCP/IP protokollagene TLS opererer. c) Forklare kort formålet med TLS Handshake-protokollen. d) Nevn sikkerhetstjenestene som TLS Record-protokollen støtter i en TLS-forbindelse. e) Hvordan er TLS Handshake-protokollen og TLS Record-protokoll relatert? f) I Handshake-protokollen kan klienten og serveren forhandle om hvilke Chiffer-suite som skal brukes. Hvorfor er denne forhandlingen nyttig? Hvorfor utgjør forhandlingen en potensiell sikkerhetsårbarhet?
a) Port 443 er reservert for TLS. «https» er prefikset for TLS/SSL-forbindelser. b) TLS består av flere del-protokoller. Record-protokollen ligger over TCP-protokollen. Handshake-protokollen, Change Cipher Suite-protokollen, og Alert-protokollen ligger på samme lag som http-protokollen. c) Handshake-protokollen: forhandler krypto-parametere, etablerer sesjonsnøkkel (øktnøkkel) og utfører server-autentisering (eventuelt også klient-autentisering). d) Meldings-konfidensialitet og meldings-integritet e) Krypto-algoritmene og nøkkelen som utveksles i Handshake-protokollen brukes av Record-protokollen for å beskytte dataene som overføres. f) Klient og server kan støtte ulike kryptografiske algoritmer, så de må bli enige om å bruke de sterkeste algoritmene som begge støtter. En potensiell sårbarhet er at en angriper kan lure klienten og/eller server til å bruke svakere algoritmer enn de egentlig støtter. Spørsmål 3: VPN a) Når det brukes en sky-vpn, hvilke trafikkdata er skjult for brukerens ISP? b) Når det brukes en sky-vpn, hvilke trafikkdata kan VPN-tilbyderen få tak i? c) Når man bruker TOR, hvilke trafikkdata er skjult for brukerens ISP? d) Når man bruker TOR, hvilke trafikkdata kan TOR acceess-serveren se? e) Hvordan kan du forhindre at din ISP vet at du bruker TOR? a) Brukerens ISP kan ikke se innholdet og kan ikke se den egentlige destinasjonens nettadresse. ISP kan bare se at brukeren får tilgang til en sky-vpn. b) VPN-tilbyderen kan se URL-adressene. Hvis det ikke brukes ende-til-endekryptering (https) kan VPN-tilbydren også se innholdet. Med en ende-til-endekryptering f.eks. med TLS kan ikke VPN-tilbyderen se innholdet. c) Samme som for sky-vpn. ISP kan se at brukeren får tilgang til en TOR-server. d) TOR access-serveren ser ikke innholdet og kan ikke se destinasjonens nettadresse. TOR access-serveren kan bare se brukerens IP-adresse. e) Å forhindre at ISP får vite at bruker går gjennom TOR kan gjøres ved å bruke TOR igjennom en sky-vpn.
Spørsmål 4: Brannmur & inntrengingsdeteksjon Med hensyn til figuren over. a) Hva er formålet med DMZ? Hva slags tjenester finnes der? b) Brannmuren i figuren er packet filter. På hvilket lag opererer et packet filter? c) Hva er en typisk sikker konfigurasjon (filterregler) for brannmurene? d) Hvor plasseres et nettverk inntrengingsdeteksjon (NIDS)? a) Alle tjenester som skal være tilgjengelige fra internett (f.eks. epost, offentlig webserver) plasseres i eget nettverk (DMZ). Brannmurene er konfigurert på en måte slik at tilgang fra Internett til det interne nettverket er mulig. Dette gjør angrep i det interne nettverket veldig vanskelig b) Pakkefiltre fungerer på lag 3 og 4 (delvis lag 2). c) Ekstern brannmur: Utgående forbindelser: tillat alle Innkommende forbindelser: tillat port 80, 443 til webserver, port 53 til DNSserveren, port 25 (kanskje også 143, 993) til e-postserver; forby alt annet Intern brannmur: Utgående forbindelser: tillat alle Innkommende forbindelser: forby alle; kanskje tillat tilkobling fra webserver til DB-server d) I DMZ og i det interne nettverket
Oppgave 1: VPN Denne oppgaven kan bare løses hvis du er koblet til et annet nettverk enn UiO (eduroam) nettverk, for eksempel hjemme. Alternativt kan du bruke en kommersiell VPN-tjeneste mens du er på UiO; der er mange reklamen VPN tjenestene, der hvor noe ledig tjenestene med begrenset behandlingskapasitet, e.g. windscribe.com. Trinn I: Alternativ A: Du må være hjemme eller et sted utenfor UiO. Alternativ B: Du kan bruke en kommersiell VPN-tjeneste mens du er på UiO. Deretter gå til følgende nettsteder: https://www.whatismyip.net/ https://ieeexplore.ieee.org/xplore/home.jsp I online-bibilioteket IEEE Xplore, søk etter og forsøk å laste ned følgende artikkel som pdf: Privacy Issues and Data Protection in Big Data: A Case Study Analysis under GDPR Behold nettleservinduene for sammenligning i Trinn II. Trinn II: Alternativ A: Du må være hjemme eller et sted utenfor UiO. Universitetet i Oslo tilbyr sin egen VPN-tjeneste for alle UiO-brukere. Dette er nyttig for eksempel når du er utenfor UiO og ønsker å få tilgang til digitale biblioteker som UiO abonnerer på. Installere eller konfigurere din UiO VPN-klient: https://www.uio.no/tjenester/it/utenfra/vpn/ og sett opp en VPN-forbindelse til UiO-tjeneren. Alternative B: Hvis du i Trinn I brukte en kommersiell VPN-tjeneste mens du var på UiO, sørg for at du nå slår av denne VPN-tjenesten. Deretter kan du gå til de nevnte websidene igjen, og observere forskjeller med hensyn på:
a. Din IP-adresse b. Påloggingsidentiteten for tilgang til IEEE Xplore-biblioteket c. Tilgangsrettigheter til artikler Forklar forskjellene. Løsningsforslag a. IP-addressen er utenfor UiO i Trinn I. IP-adressen er en UiO-adresse i Trinn II b. IEEE spør etter «Institutional Sign In» i Trinn 1. IEEE vet at du er fra University of Oslo i Trinn II c. Ingen tilgang til pdf av artikler i Trinn I. Tilgang til pdf av artikler i Trinn II. Ved å bruke UiO sin VPN-tjeneste vil det se ut som om du er på UiO, selv om du ikke fysisk er det. UiO sin VPN-tjenesten er en proxy mellom deg og alle web-tjenester, slik at web-tjenestene tror du kommer fra UiO.