HØGSKOLEN I SØR-TRØNDELAG AVDELING FOR INFORMATIKK OG E-LÆRING Kandidatnr: Eksamensdato: 7.mai 2004 Varighet: Fagnummer: Fagnavn: Klasse(r): 3 timer LV 252 D Internett og sikkerhet NVU Studiepoeng: 6 Faglærer(e): Hjelpemidler: Oppgavesettet består av: Svend Andreas Horgen 73 55 92 69 Ingen hjelpemidler Forsiden, 1 side med oppgaver, og ett vedlegg. Dette vedlegget er merket Vedlegg A og skal leveres inn ferdig utfylt sammen med besvarelsen. Merknad: Oppgaveteksten kan beholdes av studenter som sitter eksamenstiden ut. Les alle deloppgaver før du svarer. Planlegg tiden godt. Deloppgavene kan vektes ulikt.
Oppgave 1 Om sikkerhet i en virksomhet (60%) Lise jobber som systemansvarlig i en stor virksomhet. Hun har ansvar for å sette opp arbeidsstasjoner (PC) til alle ansatte. Mange av de ansatte foretrekker bærbare PC-er som kan tas med hjem etter arbeidstid, og ut i verden. a) De ansatte har ikke mye peiling på data. Lise ønsker å sette opp en tabell med ulike farer som truer når de ansatte bruker PC-ene sine, og hvilke mottiltak som hun som systemansvarlig kan gjøre. Her er starten av tabellen hun har satt opp. Din oppgave er å utvide tabellen: Svar: Farer som truer Uvettig bruk Farer som truer Uvettig bruk Utro tjenere Misbruk, uønsket innlogging Rettigheter Tar ikke affære ved uønsket aktivitet Sensitive data kommer på avveie PC stjeles Data forsvinner Virus, ormer Systemkræsj Ustabilt OS/hacking Andre tar kontroll over en arbeidsstasjon Noen får rettigheter til systemet Familiemedlemmer ødelegger sikkerheten Mottiltak som kan gjøres Tilby opplæring Mottiltak som kan gjøres Tilby opplæring Klar sikkerhetspolicy og moralkurs, stenge kontoene til tidligere ansatte Gode passordrutiner og krav om å låse maskin/logge av i pauser etc. Vurdere å gi minimale rettigheter til alle, og åpne spesielt, i stedet for å la alle få lov til alt Forklare symptomer på angrep og viktigheten av å varsle fra ved unormal aktivitet Tilby muligheter for å kryptere slik informasjon, f.eks. med PGP Fysisk sikring, enten smart-kort eller Kensington lock e.l. på hver PC. Ta backup av data, informere om viktigheten av å lagre ofte Sikre gode mailrutiner og sikker mailprogramvare, samt oppdaterte operativsystem og AV-programvare Bruke anerkjent programvare Ikke tillate at ansatte laster ned og installerer egne programmer Brannmurløsning i nettverket og på hver enkelt stasjon. Være observant mot social engineering Brukerkonto med begrensede rettigheter når den bærbare PC brukes i hjemmet.
b) For å beskytte det lokale nettverket, tenker Lise i retning av brannmurer. Hvilke typer av brannmursløsninger kan brukes i et lokalt nettverk for å bedre sikkerheten? Forklar hovedpunktene i korte trekk. Er brannmuren i seg selv godt nok? Utdyp svaret. Svar: Flere typer: En filtrerende ruter (screening router) sjekker pakkenes headerinformasjon og vurderer hva den skal sende videre basert på filtreringskriterier. Filtreringen kan beskytte hele nettverket, den er gjennomsiktig slik at ingen merker noe til den, og det krever trolig ikke noen ekstra investeringer. Disse er vanskelige å konfigurere godt og fungerer bare mot informasjon som er tilgjengelig i header. Bruker de lavere nivå i OSI-modellen. Du kan ha bare pakkefiltrering, men dette er en dårlig løsning. Bastionmaskin som er mer eksponert mot Internett. Denne utgjør brannmur sammen med en filtrerende ruter. All trafikk må gjennom bastionen. Får inntrengeren tilgang/kontroll over bastionen er uhellet ute Perimeternett (DMZ) - et eget, ytre nettverk mellom Internett og det lokale nettet. Består gjerne av en eller flere bastioner, samt at det er filtrerende rutere begge veier fra perimeternettet. Fordel er at dersom inntrenger får tilgang til en av bastionene i perimeter-nettet, har han likevel ikke tilgang til det lokale nettverket. En proxy er en maskin som er mellomledd for kommunikasjon mellom lokalnett og Internett. Bruker de høyere nivå i OSI-modellen. Proxyen er den eneste maskinen som er eksponert på Internett, og brukes alltid i kombinasjon med filtrerende rutere. Forbindelsesorientert erstatter avsenders IP-adresse med sin egen før pakke sendes ut på Internett. Hindrer dermed at kunnskap om eget LAN spres til eksterne maskiner. Applikasjonsorientert er stedfortredere for klientprogrammer på ditt LAN. Det vil si at disse programmene må være skrevet for bruk av proxy. Kan sjekke datafeltet i pakkene (ikke bare headeren) og slik hindre at uønsket kode slippes gjennom. Ikke nok fordi: Fins mange bakveier inn: Virus/ormer/trojanere, social engineering, crack, sikkerhetshull i OS, med mer. Må oppdateres jevnlig. Krever at systemansvarlig er oppdatert selv. Må konfigureres riktig. Løsningen bør være godt dokumentert i tilfelle noen andre overtar jobben ved sykdom eller nyansettelse. c) Hvordan skal Lise gå fram om hun oppdager innbrudd i datasystemet? Hva bør gjøres videre? Diskuter. Svar: Viktige punkter å ha med (ikke i rekkefølge): Generelt skal den strategien som er planlagt og dokumentert på forhånd følges. (Policy) Ikke få panikk Sikre loggene. Disse vil være verdifulle for en evt. politietterforskning og til analyse for å vite hva som gikk galt. Informere ledelsen. Kanskje det aller viktigste. De vet kanskje noe hun ikke vet, og det er de som skal ta avgjørelsene, ikke Lise.
Vurdere hvor alvorlig innbruddet er skal pluggen trekkes ut (pull the plug) eller skal hun overvåke hva forbryteren gjør for å lære mest mulig? Ikke varsle om innbruddet per mail. Sammenlikne systemet med tidligere backup som er ren og evt. reinstallere systemet Patching er lite aktuelt. Hackeren har trolig superrettigheter allerede, og dermed hjelper ikke det. Pacthing er derimot høyaktuelt ved reinstallering og bør foretas rutinemessig i framtiden. Benytte sjansen til å overbevise ledelsen om at det er på tide å investere i nytt utstyr (!) Lære av innbruddet og kartlegge mangler slik at disse kan utbedres. Eventuelt anmelde forholdet til politiet, forsøke å finne ut hvem som står bak, sikre bevis. Finn ut om innbruddet skyldes uforsiktige ansatte, og eventuelt iverksette tiltak. Vurdere skaden og handle deretter. Må for eksempel alle passord byttes ut? Bør kontakte ekstern ekspertise, om ikke annet for å kvalitetssikre at hun har handlet riktig. d) En sjef bruker primært sin PC til å skrive saksutredninger, lese informasjon på Internett, og sin e-post. En dag får PC-en systemkræsj siden sjefen åpnet et mailvedlegg som så interessant ut. Lise ordner opp og forklarer sjefen at grovt sett var dette virus, men at vi kan snakke om mange ulike typer, og at det er mye å passe seg for. Sjefen blir nysgjerrig. Han vil vite hva han må være obs på for å hindre fremtidig skade på maskinen sin, og han vil også vite mer om virus. Forklar alt dette til sjefen. Svar: Programmer som brukes på Internett, for eksempel ActiveX, Java og JavaScript, kan unngås ved å ta forhåndsregler på Internett, for eksempel ikke ukritisk klikke OK/akseptere for å komme videre når spørsmål om usignert programkode skal tillates. Det er også ofte grunn til å være skeptisk til sider som tydelig ikke er særlig profesjonelle eller har ukjente navn i adressen (URL). Av andre skadelige ting å være oppmerksom på er det vi gjerne grupperer som virus. En må være kritisk til åpning av vedlegg, og åpne epost som ren tekst. Nedlasting av programvare er ekstra skummelt, og før en åpner Office-dokumenter (Windows-brukere) bør innstilling for makrosikkerhet tenkes gjennom. Bare ved å være klar over at det fins ulike typer av virus, er grunnlaget lagt for en tryggere Internett/mail-hverdag (for da vil en tenke mer over skademuligheter og gjøre mottiltak). En forklaring til grupper av virus er: Virus: Kode som infiserer program/fil og replikerer seg. Skrevet for å spre seg til så mange maskiner som mulig. Det har ofte hektet på programkode som skal utføre ett eller annet, enten vondsinnet eller mer uskyldig. Trojansk hest: Program som utgir seg for å være noe det ikke er. Eks er PKZip-trojaneren som forsøker å slette harddisken. Brukeren tror han har programmet PKZIP som jo er et hjelpemiddel, men får altså noe helt annet. Orm: Frittstående program som spres via nettverk, særlig basert på adresselister i epostprogramvare. Hull i programvare og uforsiktig bruk kan være årsaker til spredning. En stor fare er at når du mottar en epost fra en venn, tror du gjerne at innholdet er sikkert. Makrovirus: Høynivå-programmert program (makro). Laget for et spesielt produkt som kan kjøre makroer. Microsoft Word er spesielt utsatt for slike
angrep, men alle programmer som kan kjøre makroer kan i teorien angripes. Ulempen med Word er at makroer legges sammen med normal.dot. (I AmiPro brukes en egen fil og ikke en mal for å oppbevare makroer.) Stealth-virus: Virus som skjuler seg selv. Polymorfe Virus: Polymorfe virus virker på den måten at de forandrer koden sin. Dette kan være gjennom kryptering av viruskoden eller at koden virkelig forandres. Dermed vil antivirus-programmene ikke ha noen fast bitmønster å lete etter. Eneste faste søkestreng vil være dekrypteringsdelen av viruset. Denne er kort og kan dessuten enkelt forandres. Virus Hoax: Masseutsendelse av epost som gir seg ut for å være seriøs og ber brukeren om å gjøre noe skadelig på systemet sitt, for eksempel slette viktige filer. Oppgave 2 E-handel (15%) a) Hva er forskjellene mellom SET og SSL? SSL (secure sockets layer) Dette er en teknologi for å kryptere informasjon mellom to noder. All kommunikasjon er usynlig for de som måtte avlytte linjen, men alle opplysninger er synlig i noden (f.eks. kan forretning se bankopplysninger osv). + etablert standard + rask SET (Secure Electronic Transaction) Har sikker linje, men i motsetning til SSL har SET sikre noder (kontoinformasjon er usynlig for selger, mens vareinfo er usynlig for bank. Det vil si at alle parter ser bare det de må se) - ikke så etablert - krever mye ressurser b) Det fins mange løsninger som implementerer elektroniske kontanter. Sett opp mot andre betalingsløsninger, er det både positive og negative sider med slike (generelt sett). Hvilke, tror du? Svar: Elektroniske kontanter (eksempler er PayPal, DigiCash, Virtual Pin, CyberCoin, SmartCard, men det er ikke nødvendig å eksemplifisere. Spørsmålet går på å sammenlikne e- kontanter med andre betalinsløsninger). Positive og negative egenskaper ved digitale kontanter er: + Anonyme i bruk + Begrenset beløpstall og derfor også små muligheter for å bli ribbet for penger (tapsmuligheter) + Sprer ikke kontonummeret sitt + Passer til småhandel, slipper gebyrer - Flere standarder medfører treg utbredelse av en løsning - I noen løsninger må også mottaker være medlem/ha konto, noe som begrenser bruksverdi. - Enkelte løsninger krever at en laster ned stor programvare. - Hvis e-tilbyderen får datakræsj eller blir hacket eller går konkurs, kan alle brukere risikere å miste alle penger
- Kan være tungvindt å veksle inn penger, og det kan oppstå spørsmål om valuta og valutakurs - Ofte utenlandske systemer: Vanskelig for folk å stole på disse og vanskeligere å ordne opp ved feil. Dette er med på å hindre utbredelse Interessant: Pengene kan i teorien gjenskapes dersom de mistes. Dette skyldes at elektroniske penger kan ødelegges av systemet, slik at evt. stjålne penger kan gjøres ugyldige. Oppgave 3 Kryptering og digital identifikasjon (25%) a) Kryptering kan brukes til så mye. Forklar litt om asymmetrisk og symmetrisk kryptering. Svar: Tar ikke med et fullstendig svar her, men en bør komme inn på en-nøkkel vs to-nøkkel. Asymmetrisk kryptering kan brukes til autentisering, konfidensialitet, integritet og ikkebenekting. Brukes for eksempel i digitale sertifikater til signering av sertifikatet. Brukes også til verifisering. Bruker da offentlig nøkkel til utsteder. Symmetrisk kryptering er mye raskere i bruk, men har en del ulemper knyttet til seg, for eksempel gjelder dette distribusjon og vern om nøkkelen. b) Hvorfor kan asymmetrisk kryptering stoppe såkalte replay attacks? Svar: Replay attacks er situasjoner hvor en tredjeperson snapper opp en melding og avspiller denne flere ganger etter hverandre. Det kan være spesielt skummelt dersom dette involverer pengetransaksjoner. I forbindelse med passord, kan et oppsnappet passord brukes til å gi uønsket tilgang i lang tid framover. Hvordan kan så asymmetrisk kryptering stoppe slike (antar her på web)? Tjeneren sender en utfordring (challenge) Du signerer denne sammen med meldingen med din private nøkkelen (som aldri blir sendt) Tjeneren bruker den offentlige nøkkelen til å verifisere at mottakeren er riktig. Flere etterfølgende forsøk på å sende meldingen vil avsløres, siden tjeneren vet hvilken For å fake dette må tredjepersonen faktisk ha din private nøkkel. c) Betrakt utsagnet: PKI bruker asymmetrisk kryptering. Er dette riktig eller galt? Hva er PKI? Svar: Asymmetrisk kryptering kan brukes til autentisering, men det eneste en slik digital signatur beviser at en person har en privat nøkkel. Hvem som helst kan skjule seg bak nøkkelen. PKI (Public Key Infrastructure) er det totale systemet av teknologier, strategier, maskinvare og utstedere som må til for å lage og bruke digitale sertifikater (underforstått på en sikker måte slik at det kan brukes en rekke steder i samfunnet). Det digitale sertifikatet er en digital signatur som i tillegg har en garantist (CA) som bekrefter hvem sertifikatet tilhører. Problemet med tillit kan i siste instans ikke elimineres, da det hele står og faller på om en stoler på den CA som har signert sertifikatet. Utsagnet er uansett å betrakte som riktig, fordi hele visjonen med PKI bygger på at offentlig nøkkelteknologi brukes.