Bezpečnosť v po čí ta č ov ý ch sie ť ach

1. Bezpečnosť v počítačových sieťach Lucia Kapová Martin Vozár

2. Bezpečnosť v počítačových sieťach • základné sieťové pojmy • typy hrozieb • zaradenie hrozieb podľa TCP/IP modelu • šifrovaná komunikácia SSL/TLS • IPSec (sieťová), IPv6 • Firewally

3. Základné pojmy

4. TCP/IP model • TCP – Transport Control Protocol • IP – Internet Protocol Aplikačná vrstva (application layer) • telnet, FTP, SMTP, HTTP, DNS, SQL, ... Transpotrná vrstva (transport layer) • TCP, UDP Internetová vrstva (internet layer) • IP, ARP, RARP, ICMP ... Spojová vrstva (network access layer) • IEEE 802.x, FDDI, ATM, PPP ...

5. TCP/IP model • IP je protokol sieťovej vrstvy, umožňujúci komunikáciu. Slúži na prenos datagramov, rôznymi typmi sietí • TCP – zaručuje doručenie packetu, ak nedostane potvrdenie o doručení packet je poslaný znova • UDP (User datagram protocol) – nezaručuje doručenie, nepreposiela packety

8. Internet ISP- Internet Service Provider

9. Prenos dát

10. Zneužitie siete • Ciele: • Získať informácie • Získať prístup do systému • Zakázať službu • Prostriedky: • PortScan • Fingerprinting • Social engeneering

11. Pohľad na TCP/IP model

12. TCP/IP • Z pohľadu TCP/IP modelu môžeme rozdeliť spôsoby uplatnenia ochrán proti útokom na tieto vrstvy: • Aplikačná (najvyššia) • internetová + transportná • spojová (najnižšia)

13. Spojová vrstva • Riziká • odpočúvanie prenosového média a následné dekódovanie zachytených informácií, prípadné ich využitie na „playback“ útok (napr. odpočúvanie telefónnych liniek, neautorizované zachytávanie dát pri prenose zdiľaným médiom (wireless, ethernet s hubom, …)) – odchytávanie plaintextových protokolov • MAC spoofing (zmena MAC adresy)

14. Spojová vrstva • Vrstva pracujúca s fyzickým médiom a zabezpečovaním prístupu k tomuto médiu (obvykle) prostredníctvom fyzických adries • Ochrana • použitie silnej autentifikácie a šifrovania na vyšších vrstvách, t.j. pri pripájaní z neznámych miest používať zabezpečené tunely

15. Spojová vrstva • Problém: Ako môže klient v USA pripojiť svoj PC na intranet v EU?

16. Spojová vrstva • Riešenie 1: • linka: circuit-switched (ISDN, PSTN ...) • encapsulation PPP • Výhody: • dostupnosť • jednoduchosť • Nevýhody: • bezpečnosť (dáta nie sú zašifrované) • náklady (volania sú spoplatnené)

17. Spojová vrstva • Riešenie 2: • Virtuálna privátna sieť (VPN) • „Layer 2 tunneling“ • zapuzdrenie sieťového protokolu (IP, IPX, AppleTalk ...) v PPP • zašifrovanie PPP framov • zapuzdrenie dát v prenosovom protokole (tunneling) najčastejšie IP • „Layer 3 tunneling“ • zapuzdrenie sieťového protokolu v VTP (Virtual Tunneling Protokol) • zapuzdrenie dát v prenosovom protokole (tunneling) najčastejšie IP

18. Spojová vrstva

19. Spojová vrstva • Layer 2 forwarding (L2F) • Point-to-point tunneling protocol (PPTP) • Layer 2 tunneling protocol (L2TP) • LAC - L2TP access client • LAS - L2TP access server

20. Spojová vrstva • PPTP využíva na zabezpečenie bezpečnosti VPN

21. Internetová vrstva • Bezpečnostná architektúra zahrňa IPSEC (IP security protocol) a IKMP (Internet key management protocol alebo IKE-Internet key exchange)

22. Transportná vrstva • Riziká: • TCP seq. number guessing (TCP session hijacking) • spomaľovanie TCP spojenia • zabíjanie TCP spojení • Bezpečnostné protokoly transportnej vrstvy pre internet: • Secure shell protocol (SSH) • Secure sockets layer (SSL) • Private communications technology (PCT) • Transport layer security (TLS)

23. Transportná vrstva • SSH vyvinutý Tatu Ylonen-om na Technickej univerzite v Helsinkách • Poskytuje podporu pre: • Autentifikáciu používateľov • Kompresiu dát • Utajenie dát a ochranu integrity

24. Transportná vrstva • SSH v1 vyžaduje manuálne distribuované a nakonfigurované verejné kľúče (pre server a nepovinne pre používateľa)

25. Transportná vrstva • SSH v2 sa podobne ako SSL/TLS skladá z dvoch subprotokolov: • SSH bezpečnostný protokol transpotnej vrstvy – šifrovaná autentifikácia hostov, kompresia dát, utajenie a integrita dát • SSH autetifikačný protokol – autentifikácia používateľov

26. Transportná vrstva • PCT (Private communication technology) – produkt Microsoftu z roku 1995 • TLS (Transport layer security) – snaha o štandardizáciu • TLS v1 je veľmi podobná SSL v3 a je nazývaná SSL v3.1

27. Aplikačná vrstva • Riziká: • spoofing (napr. DNS spoofing, falšovanie e-mailových hlavičiek, HTTP redirekty...) • Sú dve možnosti ako zabezpečiť bezpečnosť na aplikačnej vrstve: • Zabezpečiť konkrétny protokol („security-enhanced“) • Využiť štandardizované API využívané viacerými protokolmi (autentifikačné a distribučné systémy)

28. Aplikačná vrstva • „Security-enhanced“ aplikačné protokoly: • Terminál:Telnet • Kerberos Telnet • SSLtelnet (využíva SSL/TLS) • Encrypted session manager(ESM) • Secure RPC authentification (SRA) • Secure telnet(STEL) • Secure shell(SSH) • Prenos súborov:FTP • Kerberos FTP • SSLFtp • SSH utility : scp, sftp

29. Aplikačná vrstva • E-mail:SMTP, POP3 • Kerberos e-mail (Eudora) • SMTP/POP3 na základe SSL/TLS • Secure messaging: secure MIME(S/MINE) pretty good privacy(PGP) • WWW: HTTP • Secure HTTP (S-HTTP) • HTTP na základe SSL/TLS(HTTPS)

30. Aplikačná vrstva • Domain name system: DNS • DNS security (DNSSEC) • Distribuované filesystémy: HTTP • Cryptographic file system (CFS) • Kerberos file system (KFS) • WIN2000 encrypting file system (EFS)

31. Aplikačná vrstva • Autentifikačné a distribučné systémy: • Kerberos • Heslo sa používa len raz pri inicializácii • Odolný voči sniffovaniu hesiel • Nevyužíva šifrovanie podľa verejného kľúča

32. Aplikačná vrstva

33. Aplikačná vrstva • Nevýhody: • Bezvýhradna viera v KDC • Nízka skalabilita • Vyžaduje obojstrannú dôveru pri komunikácii:

34. Zhrnutie • Zabezpečiť prenosovú cestu (Spojová vrstva) • Zabezpečiť prenášané dáta (Aplikačná vrstva) • Zabezpečiť časti cesty a najcennejšie dáta (Transporná vrstva)

35. Zvýšenie bezpečnosti • Šifrovanie (encipherment) • Digitálny podpis (digital signature) • Kontrola prístupu (access control) • Integrita údajov (data integrity) • Autentifikácia (authentification) • Utesnenie spojenia (traffic padding) • Kontrola routovania (routing control) • Značenie (notarization)

36. Typy hrozieb(čo vlastne chcú)

37. Typy hrozieb • získať kontrolu nad časťami programov, nad programami alebo nad celým zariadením • získať cudzie informácie pre vlastnú potrebu alebo pre iných, • zmeniť/poškodiť informácie • znemožniť prístup k informáciám, resp. znemožniť funkčnosť zariadenia (napr. smerovača) (pre osobné potešenie, alebo ako práca „na objednávku“ tretích osôb)

38. Typy útokov(ako to dosiahnu)

39. Časté typy útokov • odpočúvanie (niekedy považované za útok) • ARP/IP spoofing • Man-in-the-Middle • protocol exploitation • session hijacking (tcp alebo app) • DoS/DDoS • DNS/HTTP/e-mail spoofing

40. Pasívne odpočúvanie • Pasívne počúvanie (wiretapping, eavesdropping) • Analýza komunikácie za účelom získania zaujímavých informácií (loginy, heslá, e-maily, SQL výpisy, HTTP komunikácia)

41. Príklad • Čítanie packetov • treťou stranou • Obrana: šifrovanie

43. Aktívny útok • Manipulácia s údajmi • Spoofing • IP spoofing, sequence number quessing (internetová, transportná) • DNS spoofing (aplikačná) • Degradation-of-service, denial-of-service • TCP SYN flooding (internetová) • E-mail bombing (aplikačná)

44. Príklad IPspoofing – zmena IP adresy s cieľom Prejsť autentifikáciou založenou na zdrojovej adrese

45. TCP session hijacking • Cieľom je prebrať kontrolu nad spojením, v prípade že používateľ práve čítal mail útočník k nemu bude mať prístup, môže vykonávať príkazy. Obeť len spozoruje, že spadlo spojenie a pripojí sa ešte raz. • Pri tomto útoku útočník najprv sleduje komunikáciu medzi dvoma počítačmi potom jeden presvedčí o zlyhaní spojenia a preberie kontrolu nad spojením druhému počítaču, ktorý o žiadnej zmene nevie.

46. TCP session hijacking

47. Príklad

48. Útoky typu DoS • Obsadenie prenosovej kapacity linky: • Scenár 1: Útočník má vačšiu kapacitu linky (T1 1.544Mb/s) a zahltí pomalšiu linku (128kb/s). • Scenár 2: Využitie prístupu do viacerých systémov, viac serverov napríklad môže zahltiť cieľovú sieť z viacerých zdrojov s tokom aj na 100 Mb/s. • Často sa k takémuto cieľu využíva ICMP protokol.

49. Útoky typu DoS • Privlastnenie systémových zdrojov: • Snaha o spotrebovanie systémových zdrojov cieľového PC • Chyby v programoch: • „ping-of-dead“ – zaslanie packetu s neočákavanými parametrami • Útok na DNS a smerovače paketov • Manipulácia so smerovacími tabuľkami

50. Útoky typu DDoS • Pri distribuovaných DoS je zdrojom zahltenia viac systémov naraz. Útočník ovládne viacero systémov a potom vytvorí dátový tok zo všetkých systémov smerom k cieľovému počítaču.