Introduksjon til Informasjonsteknologi Datasikkerhet Personvern, kriminalitet og sikkerhet Outline 1 2 srisikoer 3 Teknoloig og anonymitet Anonymitet er evnen til å kunne formidle en melding uten å avsløre hvem en er Kan bli misbrukt til å frigjøre folk fra ansvar Med datamaskiner er det mulig å samle informasjon om hva en bruker gjør, uten at brukeren vet om det Det finnes mange teknologier for å holde rede på brukeren Cookies Global Unique Identifiers (GUID)
Cookies Cookies er små filer som blir skrevet til harddisken når en besøker visse nettsteder Stort sett brukes dette til legitime formål Kjøp/salg Nettbanker etc... Og det finnes mindre bra måter å benytte cookies på Lagre hva en bruker gjøre på en nettside og bruke informasjonen til formål det ikke var tiltenkt Global Unique Identifiers (GUIDs) Eksempler på GUID Intel lagde noe Pentium III CPUer med GUID RealNetworks RealJukebox sendte data tilbake til firmaet Word og Exel har en GUID i dokumentformatene sine Beskytt deg på nettet Slå av cookies i nettleseren Ikke oppgi personlig informasjon til fremmede/usikre kilder Sørg for at steder hvor du må registrere deg har en privacy policy
srisikoer Typer datakriminalitet Identitetstyveri Datavirus Svindel Tyveri Falskneri Utpressing srisikoer Identity Theft En av de raskest voksende forbrytelsene Når noen har nok informasjon om noen til å ta over deres identitet, som oftest for å få tilgang til penger Informasjon som trengs Navn Adresse Personnummer Banknummer Kredittkortnummer Andre personopplysninger srisikoer Datavirus Virus Tidsbombe Logisk bombe Ormer Trojaner Bakdører Spyware Exploit Rootkit Key logger
srisikoer Hvordan virus spres seg Kjør et infisert program Åpne en infisert fil Ikke oppdatert operativsystem og/eller programvare srisikoer Typer virus Filinfiserer (File infectors) Legger seg selv til en fil Legger seg til nye filer etter hvert Boot sector virus Legger seg på bootsectoren på harddisken/floppy Kjøres hver gang maskinen startes Var veldig vanlig srisikoer Typer virus Macro virus Utnytter at noen programmer tillater å ha makroer (kjørbar kode) som en del av filen Eksempler på programmer som tillater dette er word, excel, powerpoint, outlook (express) etc. Blir en del av dokumentet Spres ved at brukere utveksler data
srisikoer Ormer Ormer Ormer ligner virus Sprer seg automatisk fra en datamaskin til en annen Trenger ikke å koble seg til et annet program Sprer seg ofte automatisk via svakheter og feil i programvare og operativsystem srisikoer Bomber Tidsbomber En variant av virus Er ufarlig inntil et bestemt tidspunkt Logiske bomber Også en variant av virus Er ufarlig inntil en bestemt hendelse inntreffer Brukeren gjøre noe bestemt srisikoer Trojanske hester Utgir seg for å være nyttige programmer Gjør ofte det de sier de skal gjøre Installerer samtidig ondsinnet kode Mange typer email-virus kan sies å være trojanske hester
srisikoer Nettverksangrep Denial Of Service (DOS) angrep SYN-flooding En metode for å bruke opp mange ressurser hos en vert Det sendes mange SYN-meldinger srisikoer Det finnes mange typer svindel og datatyveri Stjele maskiner og utstyr Stjele deler av utstyr For eksempel ta ut RAM-chipene av en maskin Dette oppdages ofte ikke med en gang Endre et program slik at en liten del av hver pengeoverføring blir satt inn på din konto (Salami angrep) Endre data for å skjule at noe har skjedd For eksempel skjule at det mangler deler på lageret srisikoer Passord Måter å få tak i passord på Gjette det rette passordet Ofte basert på lett tilgjengelig informasjon om personen som angripes Shoulder surfing Packet sniffing Dumpster diving Social engineering Bli superbruker
srisikoer Forfalskninger På Internett er det lett å få noe til å se ut som om det kommer fra et annet sted en det egentlig gjør Forfalske web-sider og email (Spoofing) Sende email fra george.bush@whitehouse.org Sende email med en web-lenke til en side som gir seg ut for å være fra banken, men som egentlig er en forfalsket side. srisikoer Utpressing Tvinge noen til å gjøre noe ved å avsløre noe (potensielt sant) om personen Dette er ofte noe som er flaut eller på andre måter skadelig Er ikke begrenset til datakriminalitet, teknologi brukes mer og mer både til å skaffe informasjon og fremstille krav srisikoer Utpressing Example Russisk mafia truer med å bruke (D)DOS på et selskap hvis de ikke betaler Selskapet, som driver med netthandel, blir satt ut av spill. Kundene til selskapet kommer ikke inn på siden selskapets sider I verste fall går selskapet konkurs Det er bedre å betale Det finnes mange eksempler på at dette virkelig skjer!
srisikoer Hacker En som er veldig interessert i data, gjerne på hobbybasis Liker å leke og finne ut ting Finner svakheter og hull i systemet Gjør som regel ikke noen skade Har en egen Hacker s code of ethics som følges Opererer både alene og i grupper srisikoer Cracker eller Black Hat Har gjerne en lidenskap for å bryte seg inn i datasystemer Ødelegger sjelden viktig informasjon Gjør gjerne ugagn ved å legge igjen beskjeder eller lignende Kan også ofte operere i grupper srisikoer De som lager virus Svært ofte tenåringsgutter Kan også være noen som har en bestemt agenda Ønsker maskiner som kan sende spam Få tilgang til mange maskiner som kan gjøre DOS angrep Kan gjøre svært stor skade
srisikoer Ansatte som er misfornøyd Ønsker å skade et selskap ved å angripe maskinener Kan lage sikkerhetshull (trap doors) Kan gjøre svært stor skade Ødelegge maskiner og programvare Avsløre forretningshemmeligheter srisikoer Svindlere og spioner Svindlere Spioner Bruker Internett som et middel til å svindle penger fra folk Når et større publikum via nettet Gjerne store organisasjoner eller land Driver industrispionasje eller spionerer på militære hemmeligheter srisikoer Andre farer Folk som presser prisene opp på Internett-auksjoner (shill) Folk som bruker Internett til å seksuelt eller på andre måter plage eller true noen
srisikoer srisikoer Definition En sikkerhetsrisiko er enhver hendelse, handling eller situasjon som kan føre til tap av data eller datautstyr srisikoer Trådløse nettverk Kan være svært usikre Informasjon sendes ofte i klartekst i luften Alle som er i nærheten kan lytte Selv der en bruker kryptering er denne så svak at den knekkes på få minutter srisikoer Strømbrudd Et strømbrudd kan være fatalt for en datamaskin Lyn kan ødelegge det meste, men selv et vanlig strømbrudd kan ødelegge harddisker, minne, kretskort etc. Det finnes utstyr som kan beskytte mot både lyn og vanlig strømbrudd En UPS (Uninterruptable Power Supply) kan fungere som et slags batteri Har strøm nok til å få skrudd av maskinene på en sikker måte Kan ofte automatisk skru av alle maskinene som er koblet til, uten at mennesker er involvert
srisikoer Begrense tilgang Bruke brukernavn og passord Har rettigheter til filer, mapper og annet utstyr Kan ikke skrive til eller lese fra en fil om en ikke har rett tilgang. Kan f.eks. heller ikke skrive ut på en skriver i en annen etg. Bruke brannmur (firewall) for å begrense tilgang til maskiner srisikoer Brannmur srisikoer Unngå å bli lurt Bare handle hos kjente firma Les alt som står Ikke oppgi kredittkortnummer e.l. til hvem som helst Vær skeptisk til informasjon du får via nettet (email, snakkegrupper e.l.) Ikke oppgi personlig informasjon hvis det ikke er nødvendig
Å Kryptere vil si å gjøre en klartekst om slik at den ikke kan leses uten å ha den rette nøkkelen Vi bruker kryptering i mange sammenhenger Noe av det viktigste er for å beskytt oss mot at andre skal kunne lese meldinger vi har sendt Dette gjelder i særlig stor grad meldinger som omhandler penger (kort-transaksjoner o.l.) konfidensiell informasjon (eks. pasientinformasjon) Grunnlegende kryptering Den originale (lesbare) teksten kalle klartekst (plaintext) Jeg elsker deg Vi har en krypteringsnøkkel og en algoritme som brukes for å gjøre meldingen ulesbare Den kodede meldingen kalles ciphertext Wrt ryfxre qrt Her har vi brukt en gammel type kryptering med navn rot-13 Grunnleggende kryptering Symmetrisk kryptering Algoritmen på forrige slide var en symmetrisk krypteringsalgoritme Den bruker samme nøkkel til å kryptere og dekryptere Den er en svak (weak) algoritme Den er lett å knekke En sterk (strong) algoritme er vanskelig å knekke Slike algoritme brukes av banker, militære etc. Symmetriske systemer er sårbare mot at nøkkelen kan bli stjålet eller på annen måter kjent av uvedkommende
Public/private Key kryptering Med public/private key kryptering har alle to forskjellige nøkler En Public (offentlig) nøkkel som alle kjenner En Private (hemmelig) nøkkel som bare eieren kjenner Et eksempel Anita ønsker å sende en hemmelig melding til Bjørn Hun krypterer meldingen med Bjørns offentlige nøkkel og sender den til ham Bjørn mottar melding og kan dekryptere meldingen med sin private nøkkel Det er kun Bjørns private nøkkel som kan dekryptere meldingen korrekt Public/private Key kryptering Digitale signaturer og sertifikat En digital signatur brukes for å garantere at en melding faktisk kommer fra den personen som påstår å ha sendt den sjekke at den ikke er endret etter at den er sendt Et digitalt sertifikat brukes for å validere at noen er den de sier at de er Public Key Infrastructure (PKI) Public Key Infrastructure er et sett med standarder som spesifiserer hvordan en bruker kryptering med offentlige nøkler digitale signaturer digitale sertifikater