Az előadás letöltése folymat van. Kérjük, várjon

Az előadás letöltése folymat van. Kérjük, várjon

Információ- és hálózatbiztonság: alapfogalmak és alapelvek Buttyán Levente Budapesti M ű szaki és Gazdaságtudományi Egyetem Híradástechnikai Tanszék CrySyS.

Hasonló előadás


Az előadások a következő témára: "Információ- és hálózatbiztonság: alapfogalmak és alapelvek Buttyán Levente Budapesti M ű szaki és Gazdaságtudományi Egyetem Híradástechnikai Tanszék CrySyS."— Előadás másolata:

1 Információ- és hálózatbiztonság: alapfogalmak és alapelvek Buttyán Levente Budapesti M ű szaki és Gazdaságtudományi Egyetem Híradástechnikai Tanszék CrySyS – Adatbiztonság Laboratórium A b i z t o n s á g k e d v é é r t. w w w. c r y s y s. h u

2 CrySyS – A biztonság kedvéért. Adatbiztonság Laboratórium, BME-HIT 2 A biztonság informális definíciója  egy biztonságos rendszer képes az ellene irányuló támadások megel ő zésére, vagy legalább azok detektálására  a támadás olyan szándékos kísérlet, melynek célja, hogy a rendszert nemkívánt állapotba hozza, vagy el ő idézze a rendszer nemkívánt viselkedését  a támadások általában a rendszer sérülékeny pontjait használják ki, melyek a rendszer tervezése, implementációja, vagy m ű ködtetése során elkövetett hibákból származhatnak  minden hiba potenciális támadást, azaz fenyegetettséget, jelent, azonban nem minden fenyegetettségb ő l lesz valódi támadás

3 CrySyS – A biztonság kedvéért. Adatbiztonság Laboratórium, BME-HIT 3 A biztonság gyakorlati megközelítése  abszolút biztonság a gyakorlatban nem létezik  egy rendszer biztonságát általában csak valamilyen támadó-modell feltételezései mellett van értelme vizsgálni  a támadó-modell általában a következ ő ket tartalmazza: –lehetséges támadók köre, osztályai –a támadók feltételezett céljai –a támadók rendelkezésére álló támadási módszerek  mivel egy rendszer biztonságossá tételének ára van, ezért kompromisszumokra (trade-off) van szükség  a biztonsági rendszer tervezésénél alapvet ő fontosságú a kockázatanalízis –támadó-modell definiálása és fenyegetettségek azonosítása –a fenyegetettségek kockázatának becslése az adott támadó-modellben (támadás kivitelezhet ő ségének nehézsége, sikeres támadásból származó várható veszteség) –kritikus fenyegetettségek megállapítása

4 CrySyS – A biztonság kedvéért. Adatbiztonság Laboratórium, BME-HIT 4 Az el ő adás tartalma  a hálózati kommunikáció biztonsága –támadástípusok és biztonsági követelmények –rövid bevezetés a kriptográfiába –alkalmazási példák: TLS és IPSec  hálózatok védelme behatolás ellen –határvédelem (perimeter defense) t ű zfalakkal –behatolás detektáló rendszerek  aktuális hálózatbiztonsági problémák –nem-kívánt forgalom, spam és elosztott szolgáltatás-megtagadás támadások (DDoS) –botnet-ek  kitekintés a jöv ő re –az Internet és a távközlési rendszerek konvergenciájából származó problémák –beágyazott kommunikációs rendszerek

5 CrySyS – A biztonság kedvéért. Adatbiztonság Laboratórium, BME-HIT 5 Rendszer- és támadó-modell  a kommunikációs csatorna nem áll teljes egészében a kommunikáló felek befolyása alatt A hálózati kommunikáció biztonsága A B csatorna

6 CrySyS – A biztonság kedvéért. Adatbiztonság Laboratórium, BME-HIT 6 Rendszer- és támadó-modell  a kommunikációs csatorna nem áll teljes egészében a kommunikáló felek befolyása alatt –példák: •Internet (on-line vásárlás, on-line banki szolgáltatások, on-line...) Internet host A host B router A hálózati kommunikáció biztonsága

7 CrySyS – A biztonság kedvéért. Adatbiztonság Laboratórium, BME-HIT 7 Rendszer- és támadó-modell  a kommunikációs csatorna nem áll teljes egészében a kommunikáló felek befolyása alatt –példák: •Internet (on-line vásárlás, on-line banki szolgáltatások, on-line...) •vezeték nélküli kommunikáció (mobil számítógép és WiFi hozzáférési pont közötti kommunikáció, mobil telefon és bázisállomás közötti kommunikáció) mobil számítógép WiFi hozzáférési pont rádió link A hálózati kommunikáció biztonsága

8 CrySyS – A biztonság kedvéért. Adatbiztonság Laboratórium, BME-HIT 8 Rendszer- és támadó-modell  a kommunikációs csatorna nem áll teljes egészében a kommunikáló felek befolyása alatt –példák: •Internet (on-line vásárlás, on-line banki szolgáltatások, on-line...) •vezeték nélküli kommunikáció (mobil számítógép és WiFi hozzáférési pont közötti kommunikáció, mobil telefon és bázisállomás közötti kommunikáció)  általában azzal a pesszimista feltevéssel élünk, hogy a támadó teljes mértékben kontrollálja a kommunikációs csatornát A hálózati kommunikáció biztonsága A B csatorna

9 CrySyS – A biztonság kedvéért. Adatbiztonság Laboratórium, BME-HIT 9 Támadási típusok  passzív támadások –üzenetek lehallgatása –forgalom-statisztikák készítése nehezen detektálhatók  cél a megel ő zés  aktív támadások –üzenetek visszajátszása, –módosítása, –törlése, –fabrikált üzenetek beszúrása nehezen megel ő zhet ő k  cél a detektálás A hálózati kommunikáció biztonsága

10 CrySyS – A biztonság kedvéért. Adatbiztonság Laboratórium, BME-HIT 10 F ő biztonsági követelmények  bizalmasság védelme (Confidentiality) –üzenetek tartalmához való illetéktelen hozzáférés megakadályozása  sértetlenség biztosítása (Integrity) –üzenetek illetéktelen módosításának detektálása –üzenetek visszajátszásának és törlésének detektálása (üzenetfolyam integritása)  hitelesítés (Authenticity) –fabrikált üzenetek detektálása  forgalomanalízis elleni védelem –meta-infromációk rejtése (üzenetek hossza, fejlécek tartalma, a kommunikáció ténye,...)  letagadhatatlanság (Non-repudiation) –üzenet küldésének és/vagy fogadásának bizonyíthatósága A hálózati kommunikáció biztonsága

11 CrySyS – A biztonság kedvéért. Adatbiztonság Laboratórium, BME-HIT 11 Gyakran alkalmazott kriptográfiai eszközök  rejtjelezés –els ő dleges célja az üzenetek bizalmasságának védelme –ezen túl számos további kriptográfiai eszközben használt épít ő elem  üzenethitelesít ő kód –integritásvédelmet (sértetlenséget) és hitelességet biztosít –üzenetek sorszámozásával kiegészítve lehet ő vé teszi a visszajátszás és a törlés detektálását  digitális aláírás –integritásvédelmet, hitelességet, és üzeneteredet letagadhatatlanságot biztosít A hálózati kommunikáció biztonsága

12 CrySyS – A biztonság kedvéért. Adatbiztonság Laboratórium, BME-HIT 12 A rejtjelezés modellje és típusai  Kerckhoff-elv [1883 (!)]: –a rendszer biztonsága nem épülhet arra a feltevésre, hogy a támadó nem ismeri E és D m ű ködését (security by obscurity)  ezért feltesszük, hogy a támadó ismeri E és D részletes specifikációját, csak az aktuálisan használt dekódoló kulcs ismeretlen számára  szimmetrikus kulcsú rejtjelezés –a kódoló és a dekódoló kulcs (lényegében) megegyezik  aszimmetrikus (publikus) kulcsú rejtjelezés –a kódoló és a dekódoló kulcsok különböznek –a dekódoló kulcs számítása a kódoló kulcsból nehéz feladat (gyakorlatilag lehetetlen) E E D D x nyílt szöveg k kódoló kulcs k’ dekódoló kulcs E k (x) rejtett szöveg D k’ (E k (x)) = x támadó A hálózati kommunikáció biztonsága

13 CrySyS – A biztonság kedvéért. Adatbiztonság Laboratórium, BME-HIT 13 Tökéletes rejtjelezés  one-time pad (OTP): E K (X) = X xor K –ahol X és K azonos hosszúságú bináris sorozatok –K bitjei független egyenletes eloszlású valószín ű ségi változók –xor a bitenkénti xor m ű velet  Shannon [1949] megadta a tökéletes rejtjelezés precíz definícióját: I(X; E K (X)) = 0  és szükséges feltételét: H(K) >= H(X) A hálózati kommunikáció biztonsága

14 CrySyS – A biztonság kedvéért. Adatbiztonság Laboratórium, BME-HIT 14 Gyakorlatilag biztonságos rejtjelezés  a gyakorlatban használt rejtjelez ő k kulcsmérete nem függ a nyílt szöveg méretét ő l és lehet ő leg minnél kisebb (de nem túl kicsi!) –mai tipikus kulcsméretek: •szimmetrikus kulcsú rejtjelez ő k: 128 bit •aszimmetrikus kulcsú rejtjelez ő k: 1024 bit (160 bit ECC esetén)  a gyakorlatban használt rejtjelez ő k nem tökéletesek (a shannoni értelemben)  biztonságukról általában az alábbi kijelentéseket tehetjük: –kulcsméretük elegend ő en nagy ahhoz, hogy ellenálljanak a kimerít ő kulcskeresés támadásnak –algebrai struktúrájuk ellenáll a ma ismert leger ő sebb támadási módszereknek  néhány aszimmetrikus kulcsú rejtjelez ő r ő l bizonyítható, hogy feltörésük ekvivalens valamely jól ismert, nehéznek vélt feladat megoldásával (pl. diszkrét logaritmus számítás)  ismertebb rejtjelez ő k: AES (Advanced Encryption Standard), RSA (Rivest-Shamir-Adleman) A hálózati kommunikáció biztonsága

15 CrySyS – A biztonság kedvéért. Adatbiztonság Laboratórium, BME-HIT 15 A hitelesít ő kódok m ű ködési modellje  az üzenethitelesít ő kód (Message Authentication Code – MAC) egy rögzített hosszúságú bitsorozat –tipikus mérete: 96 – 160 bit  a támadóról hasonló feltételezéseket teszünk mint a rejtjelezés esetén, azzal a különbséggel, hogy a támadó célja most ervényes üzenet – MAC párok konstruálása  ismertebb MAC konstrukciók: CBC-MAC (pl. AES-sel), HMAC (pl. SHA-1 hash függvénnyel) MAC x üzenet k MAC kulcs k MAC kulcs x || MAC k (x) x támadó MAC k (x) x =?=? success/ failure A hálózati kommunikáció biztonsága

16 CrySyS – A biztonság kedvéért. Adatbiztonság Laboratórium, BME-HIT 16 A digitális aláírás m ű ködési modellje  a digitális aláírás lényegében az üzenethitelesít ő kód aszimmetrikus kulcsú megfelel ő je: –az ellen ő rz ő kulcs publikus, az aláíró kulcs titkos  üzenethitelesít ő kód esetében, egyik fél sem tudja bizonyítani egy harmadik félnek, hogy ki az üzenet küld ő je  digitális aláírás esetében ez lehetséges, mivel az aláírást csak az egyik fél tudja generálni  üzeneteredet letagadhatatlanság szolgáltatás  ismertebb aláírás sémák: RSA, DSA (Digital Signature Algorithm), ECDSA Gen x üzenet k’ aláíró kulcs x || Sig k’ (x) x támadó Sig k’ (x) x success/ failure Hash Ver Hash k ellenőrző kulcs A hálózati kommunikáció biztonsága

17 CrySyS – A biztonság kedvéért. Adatbiztonság Laboratórium, BME-HIT 17 kulcstanúsító hatóság (CA) A B C D E PK CA PK A, PK B, PK C, PK D, PK E Kulcscsere protokollok  a szimmetrikus kulcsú algoritmusok feltételezik, hogy a felek megosztanak egy közös titkot  a kulcscsere protokollok célja ezen közös titok – dinamikus módon történ ő – létrehozása  maga a kulcscsere protokoll használhat szimmetrikus vagy aszimmetrikus kriptográfiát: kulcscsere szerver A B C D E KAKA KBKB KCKC KDKD KEKE k AD PK D PK A A hálózati kommunikáció biztonsága

18 CrySyS – A biztonság kedvéért. Adatbiztonság Laboratórium, BME-HIT 18 Transport Layer Security (TLS)  a TLS protokoll biztonságos TCP kapcsolat létrehozását teszi lehet ő vé egy kliens és egy szerver között  bármely TCP-t használó alkalmazás használhatja  tipikusan böngész ő k és web szerverek közötti HTTP forgalom védelmére használják https daemon port 443 webserver.com böngésző … TLS kapcsolat védett HTTP forgalom A hálózati kommunikáció biztonsága

19 CrySyS – A biztonság kedvéért. Adatbiztonság Laboratórium, BME-HIT 19 TLS handshake (egyszer ű sített) kliens és szerver hello E Ksrv (MS) finished üzenetek kliens szerver [ Ksrv, szerver név, IP cím,..., Sig CA ] véletlen mester titok generálása  MS kapcsolatkulcsok generálása MS-ből kapcsolatkulcsok generálása MS-ből A hálózati kommunikáció biztonsága

20 CrySyS – A biztonság kedvéért. Adatbiztonság Laboratórium, BME-HIT 20 TLS record protokoll  er ő s (szimmetrikus kulcsú) rejtjelez ő és MAC algoritmusok  nagy kulcsméretek  különböz ő irányokban különböz ő kulcsok  különböz ő rejtjelez ő és MAC kulcsok típusverzióhossz kitöltés alkalmazási adat vagy handshake üzenet (tömörített) MAC encrypted A hálózati kommunikáció biztonsága

21 CrySyS – A biztonság kedvéért. Adatbiztonság Laboratórium, BME-HIT 21 IPSec  IP csomagok védelmét biztosítja lehallgatás, visszajátszás, módosítás, fabrikálás, és korlátozott mértékben forgalomanalízis ellen  az IPSec által nyújtott szolgáltatásokból minden IP-t használó alkalmazás profitál  alprotokollok: –AH (Authentication Header) •hitelesítés, integritásvédelem, visszajátszás elleni védelem –ESP (Encapsulated Security Payload) •rejtjelezés, opcionális hitelesítés és integritásvédelem –IKEv2 (Internet Key Exchange) •algoritmus egyeztetés és kulcscsere  használati módok –szállítási mód (transport) –alagút mód (tunnel) A hálózati kommunikáció biztonsága

22 CrySyS – A biztonság kedvéért. Adatbiztonság Laboratórium, BME-HIT 22 Az AH és ESP protokollok köv. fejléc hossz Security Parameters Index (SPI) foglalt csomagsorszám MAC IP fejléc következő protokoll fejléce pl. TCP, UDP, vagy IP (tunneling esetén) Security Parameters Index (SPI) csomagsorszám MAC (opcionális) tartalom (változó hosszú) kitöltés (0-255 byte) köv. fejléc IP fejléc A hálózati kommunikáció biztonsága

23 CrySyS – A biztonság kedvéért. Adatbiztonság Laboratórium, BME-HIT 23 Security Parameters Index (SPI) csomagsorszám MAC köv. prot. kitöltés (0-255 byte) IP fejléc forrás: A.1 cél: B.1 VPN létrehozása IPSec alagút segítségével Internet host A.x host B.y router A.1 router B.1 tartalom (változó hosszú) IP fejléc forrás: A.x cél: B.y A hálózati kommunikáció biztonsága

24 CrySyS – A biztonság kedvéért. Adatbiztonság Laboratórium, BME-HIT 24 Miért van szükség t ű zfalakra? Axióma (Murphy): Minden program hibás. (Emlékeztet ő : minden hiba potenciális támadási lehet ő séget rejt magában) 1. tétel (Nagy Programok Törvénye): A hibák száma szuperlineárisan növekszik a program méretével. Bizonyítás: Tapasztalat alapján egyértelm ű. 2. tétel: Ha nem futtatunk egy programot, akkor mindegy, hogy a program hibás vagy sem. Bizonyítás: (false  true) = true 3. tétel: A kívülr ő l elérhet ő gépek által futtatott programok (szolgáltatások) számát és méretét minimalizálni kell. Bizonyítás: Következik az 1. és a 2. tételb ő l. Korollárium (T ű zfalak Alaptétele): A hálózatunkban található legtöbb hoszt túl sok és túl nagy programot (szolgáltatás) futtat. Az egyetlen praktikus megoldás ezek elválasztása a külvilágtól egy t ű zfallal (amelyen minimális számú és méret ű program (szolgáltatás) fut). Hálózatok védelme behatolás ellen Forrás: Cheswick, Bellovin: Firewalls and Internet Security, Addison-Wesley, 1994

25 CrySyS – A biztonság kedvéért. Adatbiztonság Laboratórium, BME-HIT 25 A t ű zfalak m ű ködési elve  fizikailag biztosított (pl. megfelel ő kábelezéssel), hogy minden be- és kimen ő adatforgalom átmegy a t ű zfalon  a t ű zfal megsz ű ri a forgalmat és csak azokat az üzeneteket engedi át melyek megfelelnek egy el ő re definiált biztonsági szabályhalmaznak (security policy)  a t ű zfalnak magának védettnek kell lennie a behatolások ellen  egy tipikus elrendezés: Hálózatok védelme behatolás ellen Internet belső tűzfal (és router) külső tűzfal (és router) intranet DMZ Web szerver DNS szerver...

26 CrySyS – A biztonság kedvéért. Adatbiztonság Laboratórium, BME-HIT 26 T ű zfalak fajtái  statikus csomagszsz ű r ő –IP csomagok sz ű rése fejléc információk alapján forrás és cél IP cím, protokoll, forrás és cél portszám, egyéb jelz ő bitek (pl. ACK) –állapotmentes m ű ködés (döntés kizárólag az adott csomag alapján)  dinamikus csomagsz ű r ő –TCP kapcsolatok állapotának nyílvántartása és figyelembe vétele a sz ű rési döntés során  alkalmazás szint ű átjáró (application level gateway) –proxy-ként m ű ködik egy bels ő kliens és egy küls ő szerver között –értelmezni és naplózni tudja az átküldött alkalmazási adatokat –általában biztonságosabb mint egy csomagsz ű r ő –minden alkalmazásnak saját proxy-ra van szüksége Hálózatok védelme behatolás ellen

27 CrySyS – A biztonság kedvéért. Adatbiztonság Laboratórium, BME-HIT 27 Példa (egyszer ű sített) Internet belső tűzfal (és router) külső tűzfal (és router) IN DMZ Web szerver DNS szerver... DMZ.W actionsrcportdst port flagscomment blockIN.****block spoofed packets blockDMZ.**** allow**DMZ.W80access to our web site allow**IN.**ACKexisting connections. block** * *block everything else Hálózatok védelme behatolás ellen

28 CrySyS – A biztonság kedvéért. Adatbiztonság Laboratórium, BME-HIT 28 Behatolás detektáló rendszerek  monitorozzák és elemzik a rendszerben el ő forduló eseményeket, és ez alapján valós (vagy közel valós) id ő ben igyekeznek a rendszer elleni támadási kísérleteket azonosítani és jelezni  osztályozás –védeni kívánt rendszer alapján •hoszt alapú IDS: egy hoszton történ ő események (pl. rendszerhívások) monitorozása és elemzése •hálózati IDS: hálózati forgalom monitorozása és elemzése –detekció módja alapján •signature alapú: ismert támadási minták keresése •anomália detekció: normál m ű ködés ismert mintáitól való eltérés detektálása  a behatolás detektáló rendszerek nem tökéletesek –false pozitív hibák: téves riasztások –false negatív hibák: nem detektált támadások Hálózatok védelme behatolás ellen

29 CrySyS – A biztonság kedvéért. Adatbiztonság Laboratórium, BME-HIT 29 Behatolás detektáló rendszerek elvi felépítése  szenzorok: adatokat gy ű jtenek és továbbítanak az elemz ő modulok számára  elemez ő modulok: a begy ű jtött adatok alapján igyekeznek a behatolás tényét detektálni  felhasználói interfész: elemz ő modulok kimenetének megjelenítése a rendszergazda számára, paraméterek beállítása Hálózatok védelme behatolás ellen szenzorok elemző modulok felhasználói interfész

30 CrySyS – A biztonság kedvéért. Adatbiztonság Laboratórium, BME-HIT 30 Hálózati behatolás detektálás  szenzor és elemz ő modulok elhelyezése:  támadások detektálása –hálózati szinten: •IP fejléc mez ő inek helytelen tartalma, hamisított IP címek –szállítási szinten: •port scan, TCP specifikus támadások (pl. SYN flood) –alkalmazási szinten: •ismert vírusok, puffer túlcsordulási hibák,... Internet belső tűzfal (és router) külső tűzfal (és router) Web szerver DNS szerver... DB szerver szenzor és elemző modul Hálózatok védelme behatolás ellen

31 CrySyS – A biztonság kedvéért. Adatbiztonság Laboratórium, BME-HIT 31 Kéretlen levelek (spam)  összes ~80%-a spam (1998-ban csak 10% !)  ennek nagy része nem éri el a felhasználókat a spam sz ű r ő knek köszönhet ő en  ugyanakkor a spam egyre nagyobb problémát jelent a levelez ő szervereknek: –a spam- és vírussz ű rés jelent ő sen redukálja a levelek feldolgozási sebességét –saját méréseink alapján a szerver tejesítménye spam és vírussz ű réssel a sz ű rés nélküli teljesítmény 5%-a is lehet (30 levél/sec  1.5 levél/sec) Aktuális hálózatbiztonsági problémák

32 CrySyS – A biztonság kedvéért. Adatbiztonság Laboratórium, BME-HIT 32 Spam sz ű r ő k fajtái  tartalom alapján végzett sz ű rés –lokálisan •statikus szabályok alapján pl: spam-re utaló szavak keresése (Viagra, Sex, Replica watch,...) •dinamikusan tanult szabályok alapján pl: feedback alapján betanított Naive Bayes osztályozó –központi adatbázist használva pl. tartalom hash lenyomatának ellen ő rzése az adatbázisban (Razor)  cím alapján történ ő sz ű rés –lokális fehér listák •nem spam-el ő címek nyílvántartása –központisított fekete listák (RBL – Real-time Black List) •spam küldéssel gyanúsított szerver IP címek és/vagy •spam tartalomban szerepl ő URL-ek nyílvántartása  fentiek kombinációi pl. feedback generálása Bayes sz ű r ő számára statikus sz ű rési szabályok és RBL alapján Aktuális hálózatbiztonsági problémák

33 CrySyS – A biztonság kedvéért. Adatbiztonság Laboratórium, BME-HIT 33 Egyéb spam elleni védekezési technikák  SPF (Sender Policy Framework) –cél: hamisított címr ő l érkez ő levelek detektálása –domain DNS rekordja tartalmazza a jogosult küld ő szervek címét –fogadó szerver ezen DNS rekord letöltésével ellen ő rzi, hogy a küld ő szerver a levélben feltüntetett feladó jogosult szerveri közé tartozik-e  Domain Keys Identified Mail (DKIM) –cél: hamisított címr ő l érkez ő levelek detektálása –domain-b ő l kimen ő levelek digitális aláírással vannak ellátva –az aláírás-ellen ő rz ő kulcs a domain DNS rekordjában található –egy spamer nem tud a hamisított feladóhoz tartozó érvényes aláírást generálni a levélen  Penny Black –cél: küldést megnehezíteni –küld ő fizet a levél küldésért –fizetés történhet valódi pénzzel vagy CPU id ő ráfordítással Aktuális hálózatbiztonsági problémák

34 CrySyS – A biztonság kedvéért. Adatbiztonság Laboratórium, BME-HIT 34 Szolgáltatás megtagadás (DoS)  rendelkezésre állás (availability) elleni támadás  tipikus fajtái –“magic packet” speciális hiba kiaknázása, mely a rendszer leállásához vezet pl. Ping of Death –sávszélesség-kimerít ő támadás rendszer (szerver vagy hálózat) elárasztása nagy mennyiség ű forgalommal  a rendszer képtelen a legális forgalmat feldolgozni –egyéb er ő forrás (memória vagy CPU) kimerít ő támadás szerver elárasztása nagy mennyiség ű kéréssel  kérések feldolgozása memória foglalással és CPU id ő ráfordítással jár pl. TCP SYN Flood  elosztott DoS (DDoS) támadás –nehezebb detektálhatóság és védelem érdekében, a támadó több helyr ő l egyszerre indítja a támadást –tükrözés (reflection) és er ő sítés (amplification) Aktuális hálózatbiztonsági problémák

35 CrySyS – A biztonság kedvéért. Adatbiztonság Laboratórium, BME-HIT 35 Tükrözés és er ő sítés elve  a kihasznált hálózati szerverek nem feltört szerverek, hanem normálisan m ű köd ő szolgáltatások  tipikus példa a DNS szerverek kihasználása –60 bájtos kérés potenciálisan 512 (újabban akár ~4000) bájtos választ generál –a DNS rekurzív m ű ködési elve még nagyobb er ő sítést eredményezhet Aktuális hálózatbiztonsági problémák támadó áldozat kihasznált hálózati szerverek kis méretű kérés az áldozat hamisított IP címéről potenciálisan nagy méretű válasz(ok) az áldozat IP címére

36 CrySyS – A biztonság kedvéért. Adatbiztonság Laboratórium, BME-HIT 36 DDoS elleni védekezési lehet ő ségek  reaktív hozzáállás –támadás detektálás, támadó forgalom azonosítása és sz ű rése –hamis forrás IP címet tartalmazó csomagok sz ű rése •ideálisan az ISP-k végezhetnék (ingress filtering) •de sokszor nem teszik  proaktív hozzáállás –incidens kezelési terv, tartalék kapacitás, backup szerverek tervezése –minimális kezdeti állapotot igényl ő protokollok használata •a szerver addig nem foglal le er ő forrásokat amíg választ nem kap a klienst ő l (egyszer ű cookie technika) •létez ő protokollok implementációjának (esetleg specifikációjának) módosítását igényli –kriptográfiai rejtvények alkalmazása •a szerver egy rejtvényt küld a kliensnek, s csak azután foglal le er ő forrásokat, hogy a kliens visszeküldte a helyes megfejtést •a rejtvények er ő ssége dinamikusan változtatható Aktuális hálózatbiztonsági problémák

37 CrySyS – A biztonság kedvéért. Adatbiztonság Laboratórium, BME-HIT 37 Botnet-ek  a botnet-ek a DDoS és spam támadások gyakori forrásai  bot: zombie számítógépen telepített program mely távolról vezérelhet ő  botnet: bot-ok sokasága melyeket a botnet gazdája egyszerre vezérel távolról tipikusan valamilyen IRC (Internet Relay Chat) hálózaton keresztül  egyéb alkalmazások: –masszív jelszó gy ű jtés –vírusok terjesztése –tiltott tartalom elosztott tárolása –on-line szavazás manipulálása –Google AdSense támadása –... Aktuális hálózatbiztonsági problémák

38 CrySyS – A biztonság kedvéért. Adatbiztonság Laboratórium, BME-HIT 38 Botnet létrehozása  bot létrehozása –saját bot kód írása vagy létez ő (webr ő l letölthet ő ) kód adaptálása  bot konfigurálása –IRC szerver és csatorna információ megadása –botnet gazdájának hitelesítését szolgáló információ megadása  botnet telepítése –távoli számítógépek feltörése ismert biztonsági hibák kihasználásával (feltörés automatizálható féreg segítségével) –bot-ok telepítése a zombie gépeken –botok csatlakoznak az IRC csatornához és parancsra várnak –távoli konfiguráció (pl. támadás céljának megadása) Aktuális hálózatbiztonsági problémák

39 CrySyS – A biztonság kedvéért. Adatbiztonság Laboratórium, BME-HIT 39 Botnetek elleni védekezési lehet ő ségek  lokálisan: –megel ő zés: •OS biztonsági hibáinak patch-elése •vírusvédelmi eszközök használata •személyi t ű zfal (personal firewall) használata –detektálás: •gyanús hálózati kapcsolatok detektálása (pl. TCP kapcsolat a 6667-es IRC portra) •IDS és t ű zfal naplófájlok tanulmányozása  globális szinten: –???  alapvet ő probléma: nem azok szenvedik el a botnet-ek okozta kárt akik megakadályozhatnák a kialakulásukat! Aktuális hálózatbiztonsági problémák

40 CrySyS – A biztonság kedvéért. Adatbiztonság Laboratórium, BME-HIT 40 Összegzés és kitekintés a jöv ő re  a biztonság relatív fogalom –egy rendszer biztonságát általában csak valamilyen támadó- modell feltételezései mellett van értelme vizsgálni  a hálózatbiztonság alapvet ő feladatai: –hálózati kommunikáció védelme bizalmasság, sértetlenség, hitelesség, letagadhatatlanság –hálózatok védelme behatolás ellen t ű zfalak, behatolás detektáló rendszerek –egyre fontosabb a rendelkezésre állás biztosítása és a DDoS támadások elleni védekezés  kitekintés a jöv ő re: –az Internet és a távközlés konvergenciájának következményei –beágyazott kommunikációs rendszerek

41 CrySyS – A biztonság kedvéért. Adatbiztonság Laboratórium, BME-HIT 41 Az Internet és a távközlés konvergenciája  az Internet jelenlegi biztonsági problémáihoz hasonló problémák várhatóak a távközlési rendszerekben, els ő sorban a mobil távközlés területén –nagyfokú elterjedtség, folyamatos és szélessávú kapcsolat –érzékeny információkat kezel ő alkalmazások (pl. mobil banking) –komplex terminál (egyre több hibalehet ő ség) –viszonylag alacsony szint ű felkészültség a problémák kezelésére  ideális célpont a támadók számára  néhány el ő jel: –mobil telefonokat célzó rosszindulatú kód megjelenése –SMiShing – SMS alapú phishing –SPIT – Spam over Internet Telephony –... Kitekintés a jöv ő re

42 CrySyS – A biztonság kedvéért. Adatbiztonság Laboratórium, BME-HIT 42 Mobiltelefon-hálózat DoS támadása az Internetr ő l  CDMA 2000 cellás mobil hálózatban az Internet és a cellás forgalom közösen használja az ún. paging csatornát –paging segítségével határozzák meg az adatcsomag vagy a hanghívás címzettjének tartózkodási helyét  a rendszer az Internet fel ő l elárasztható UDP csomagokkal, melyek paging üzenetek generálásához vezetnek a paging csatornán  a paging csatorna foglaltsága miatt, a hanghívásokhoz tartozó paging folyamatokat nem tudja lezárni a rendszer –a folyamatot lezáró Channel Assignment Message prioritása alacsonyabb, mint a folyamatot kezdeményez ő General Paging Message prioritása  ezzel teljesen meg lehet akadályozni a hanghívások fogadását egy adott körzetben Kitekintés a jöv ő re Forrás: J. Serror et al., Impact of paging channel overloads or attacks on a cellular network, ACM Workshop on Wireless Security, 2006

43 CrySyS – A biztonság kedvéért. Adatbiztonság Laboratórium, BME-HIT 43 Beágyazott kommunikációs rendszerek  példák: –szenzorhálózatok –gépjárm ű kommunikáció –RFID rendszerek  közös kihívások: –fizikai védelem hiánya –vezeték nélküli kommunikáció –emberi beavatkozás nélküli m ű ködés –(változó mértékben) korlátozott képességek és er ő források •tipikus szenzor platform: 8-bit, 4 MHz CPU 8KB instruction flash (ebb ő l 3.5K-t elfoglal az OS) 512 bytes RAM 512 bytes EEPROM 10 Kbit/sec rádió kommunikáció •RFID tag-ek még ennél is kevesebbet tudnak Kitekintés a jöv ő re

44 CrySyS – A biztonság kedvéért. Adatbiztonság Laboratórium, BME-HIT 44 Spam Kitekintés a jöv ő re


Letölteni ppt "Információ- és hálózatbiztonság: alapfogalmak és alapelvek Buttyán Levente Budapesti M ű szaki és Gazdaságtudományi Egyetem Híradástechnikai Tanszék CrySyS."

Hasonló előadás


Google Hirdetések