ΜΕΛΕΤΗ ΕΠΙΣΦΑΛΩΝ ΣΗΜΕΙΩΝ ΚΑΙ ΒΕΛΤΙΩΣΗ ΑΣΦΑΛΕΙΑΣ ΣΕ INTERNET HOSTS. Του Καρακόλη Θάνου A.E.M. 905

Transcript

1 ΜΕΛΕΤΗ ΕΠΙΣΦΑΛΩΝ ΣΗΜΕΙΩΝ ΚΑΙ ΒΕΛΤΙΩΣΗ ΑΣΦΑΛΕΙΑΣ ΣΕ INTERNET HOSTS Του Καρακόλη Θάνου A.E.M. 905 Πτυχιακή εργασία που υποβάλλεται προς µερική εκπλήρωση των απαιτήσεων για την απόκτηση του Πανεπιστηµιακού πτυχίου στην πληροφορική Τµήµα Πληροφορικής Α.Π.Θ Επιβλέπων:Νικοπολιτίδης Πέτρος

2 2 2

3 3 Περιεχόµενα Εισαγωγή 4 Κεφάλαιο πρώτο:ζητηματα ΑΣΦΑΛΕΙΑΣ ΑΠΕΙΛΕΣ ΕΠΙΤΙΘΕΜΕΝΟΙ ΕΠΙΘΕΣΕΙΣ 5 ΕΠΙΘΕΣΕΙΣ ΣΤΟ ΙΚΤΥΟ (NETWORK BASED ATTACKS) 7 ΑΣΦΑΛΕΙΑ ΣΤΟ ΙΑ ΙΚΤΥΟ ΓΙΑ ΤΟΝ ΑΠΛΟ ΧΡΗΣΤΗ. 12 ΤΡΟΠΟΙ ΙΑ ΟΣΗΣ ΕΠΙΚΙΝ ΥΝΩΝ ΠΡΟΓΡΑΜΜΑΤΩΝ...19 ΘΩΡΑΚΙΣΗ ΛΕΙΤΟΥΡΓΙΚΟΥ ΣΥΣΤΗΜΑΤΟΣ (Windows XP LINUΧ) 22 ΑΣΦΑΛΕΙΑ ΕΞΥΠΗΡΕΤΗ WEB 32 ΑΣΦΑΛΕΙΑ ΒΑΣΕΩΝ Ε ΟΜΕΝΩΝ.38 ΑΣΦΑΛΕΙΑ ΗΛΕΚΤΡΟΝΙΚΟΥ ΤΑΧΥ ΡΟΜΕΙΟΥ.42 ΡΥΘΜΙΣΕΙΣ ΤΟΥ ΠΡΟΓΡΑΜΜΑΤΟΣ ΠΕΡΙΗΓΗΣΗΣ ΓΙΑ ΒΕΛΤΙΩΣΗ ΑΣΦΑΛΕΙΑΣ.44 Κεφάλαιο δεύτερο:μετρα ΠΡΟΣΤΑΣΙΑΣ ΑΡΧΙΤΕΚΤΟΝΙΚΕΣ ΚΑΙ ΑΣΦΑΛΕΙΑ..50 ΣΥΣΤΗΜΑΤΑ ΑΝΙΧΝΕΥΣΗΣ ΕΙΣΒΟΛΩΝ (IDS).57 ΠΡΟΓΡΑΜΜΑΤΑ ANTIVIRUS.60 ΠΡΟΓΡΑΜΜΑΤΑ ANTISPYWARE 64 FIREWALLS 65 Κεφάλαιο τρίτο:εργαλεια ΕΛΕΓΧΟΥ ΑΣΦΑΛΕΙΑΣ Nmap 77 Nessus...83 Nikto. 90 Κεφάλαιο τέταρτο:ευρεση ΕΠΙΣΦΑΛΩΝ ΣΗΜΕΙΩΝ Έλεγχος στον agent.csd.auth.gr 91 ΒΙΒΛΙΟΓΡΑΦΙΑ 111 3

4 4 ΕΙΣΑΓΩΓΗ Ασφάλεια µπορεί να οριστεί ως η ελευθερία από ρίσκο ή κίνδυνο. Απόλυτη ασφάλεια στους υπολογιστές δεν υπάρχει. Ασφάλεια στον υπολογιστή µας ή στα δίκτυα υπολογιστών χρειαζόµαστε για πολλούς λόγους, άλλοι απλούστεροι όπως η ασφαλή πλοήγηση στο ιαδίκτυο από έναν οικιακό υπολογιστή και άλλοι περισσότερο σύνθετοι όπως η προστασία της ιστοσελίδας µιας εταιρείας ή του εσωτερικού εταιρικού δικτύου υπολογιστών που µπορεί να οδηγήσει σε κλοπή πνευµατικής ιδιοκτησίας, δυσφήµιση της εταιρείας αλλά και σηµαντική οικονοµική απώλεια. Θεµελιώδη ζητήµατα στην ασφάλεια είναι η εµπιστευτικότητα η ακεραιότητα και η διαθεσιµότητα. Η εµπιστευτικότητα έχει να κάνει µε το απόρρητο των δεδοµένων, η ακεραιότητα έχει να κάνει µε την ορθότητα (π.χ. να µην παραποιηθούν) και η διαθεσιµότητα αναφέρεται σε περιπτώσεις κλοπής ή σε ζηµιές (π.χ. διαγραφή δεδοµένων). Υπάρχουν πάρα πολλά ζητήµατα που σχετίζονται µε την ασφάλεια των υπολογιστών, ιδιαίτερα των υπολογιστών που έχουν πρόσβαση στο ιαδίκτυο καθώς είναι µια συνεχώς αναπτυσσόµενη κοινωνία και ο έλεγχος όλων των υπολογιστών που είναι συνδεδεµένοι δεν είναι εφικτός. Ως αποτέλεσµα υπάρχουν πάρα πολλοί κίνδυνοι που ο χρήστης θα πρέπει να προσέξει ιδιαίτερα καθώς δεν απαιτείται µόνο γνώση των υπαρχόντων µέτρων προστασίας αλλά και συνεχής ενηµέρωση για τις αναβαθµίσεις των προγραµµάτων που παρέχουν ολοκληρωµένη προστασία σε έναν υπολογιστή. Στην παρακάτω εργασία γίνεται µια προσπάθεια περιγραφής των τρόπων επίθεσης και ορισµό των κινδύνων που απειλούν την ασφάλεια αλλά και τρόποι βελτίωσης της ασφάλειας του χρήστη. Επίσης αναλύονται κάποια σηµαντικά και διαδεδοµένα εργαλεία ελέγχου της ασφάλειας µε τελικό σκοπό την βελτίωση της. 4

5 5 Κεφάλαιο 1 ο : ΖΗΤΗΜΑΤΑ ΑΣΦΑΛΕΙΑΣ ΑΠΕΙΛΕΣ ΕΠΙΤΙΘΕΜΕΝΟΙ ΕΠΙΘΕΣΕΙΣ Hackers: Ο hacker είτε δουλεύει µόνος είτε σε οµάδες, τα hacking groups. Έχει γίνει µεγάλη σύγχυση του hacker µε τον cracker ή τον πειρατή που ξεκλειδώνει εµπορικά προγράµµατα και µετά τα πουλάει έναντι αδράς αµοιβής. Σε αντίθεση µε τον hacker, ο κράκερ είναι άτοµο (ή οµάδα ατόµων) που αποπειράται να αποκτήσει πρόσβαση σε υπολογιστικό σύστηµα για την οποία όχι µόνο δε διαθέτει εξουσιοδότηση, αλλά µε στόχο να το βλάψει µε οποιοδήποτε τρόπο. Οι κράκερ είναι εξ ορισµού κακόβουλοι, αντίθετα προς τους hacker, ενώ διαθέτουν και πολλά εργαλεία για τις κακόβουλες ενέργειές τους. Ο hacker είναι κάποιος µε υψηλό επίπεδο τεχνογνωσίας που τον ενδιαφέρει πως λειτουργούν τα δίκτυα. Προσπαθεί να βρει αδυναµίες και µπορεί να ενηµερώνει τους υπεύθυνους διαχειριστές του δικτύου σε αντίθεση µε τον cracker. Insiders: Συνήθως άτοµα που γνωρίζουν πολύ καλά τη δοµή και τις υπηρεσίες του δικτύου καθώς και τα µέτρα ασφαλείας γιατί εργάζονται στο δίκτυο. Για διάφορους λόγους ( ισχυρό οικονοµικό κίνητρο, αποστροφή προς τον εργοδότη) µπορούν να απειλήσουν την ασφάλεια του δικτύου από µέσα, εποµένως η προσοχή που δίνεται στους εξωτερικούς κινδύνους θα πρέπει να δίνεται και στους εσωτερικούς. Vandals: Είναι άτοµα που ζηµιώνουν υποδοµές πληροφοριών ή δικτύων. Πρωταρχικό κίνητρό τους είναι το οικονοµικό καθώς µπορεί να υποστηρίζονται από εταιρείες ανταγωνιστές, ξένες κυβερνήσεις και προσπαθούν να κλέψουν πνευµατική ιδιοκτησία, να διαλύσουν την επικοινωνία ή να προκαλέσουν ζηµιά στο περιβάλλον. Αφήνουν το σηµάδι τους, έτσι δεν υπάρχει καµία άρνηση της παρουσίας τους. Οι τύποι επιθέσεων εµπίπτoυν στην κατηγορία των DOS ή επίθεση άρνησης παροχής υπηρεσιών ή παραµόρφωση ιστοσελίδων. Συνήθως οι crackers και οι vandals δεν επιτίθενται σε απλά συστήµατα που χρησιµοποιεί η πλειοψηφία των χρηστών και έτσι το µεγαλύτερο µέρος δεν κινδυνεύει από µια άµεση επίθεση. Κατηγορίες Hacker 1. White hat hackers: Άτοµα που τους αρέσει να σπάνε την ασφάλεια συστηµάτων για όχι κακόβουλους σκοπούς. Τους αρέσει η γνώση, το να κατανοούν πως λειτουργεί κάποιο πρόγραµµα ή µηχανισµός. 2. Crackers ή Black hat hackers: Οι crackers (criminal hackers) θεωρούνται ως οι κακόβουλοι hackers και έχουν ως στόχο την πρόκληση ζηµιάς σε δίκτυα υπολογιστών, την εισβολή σε υπολογιστές χρηστών χωρίς εξουσιοδότηση, την δηµιουργία ιών, την παραβίαση κωδικών ασφαλείας, την καταστροφή ή και την αλλοίωση δικτυακών τόπων (Web sites) όπου αφήνουν περήφανα την δικτυακή τους σφραγίδα µε το ψευδώνυµό τους, την δηµιουργία πειρατικών αντιγράφων προγραµµάτων ή τραγουδιών ή βίντεο κ.ά. 5

6 6 3. Script kiddie: Είναι άτοµα χωρίς πολλές γνώσεις, που χρησιµοποιούν έτοιµα προγράµµατα για να κάνουν επιθέσεις ή φιγούρα στους φίλους τους. Είναι άτοµα που καλά καλά δεν χαρακτηρίζονται hackers. 4. Hacktivists ή νέο-hackers: Είναι άτοµα που χρησιµοποιούν τις γνώσεις τους µε σκοπό να πουν ή προωθήσουν µια κοινωνική, ιδεολογική, θρησκευτική ή πολιτική γνώµη. Στις περισσότερες περιπτώσεις καταστρέφουν την κεντρική σελίδα από γνωστά site ή το αλλάζουν µε σκοπό να γελοιοποιήσουν τον ιδιοκτήτη. Σπάνια, χρησιµοποιούν τις γνώσεις τους στο όνοµα της interneto-τροµοκρατίας. Το µοντέλο δράσης που χρησιµοποιούν οι περισσότεροι έµπειροι hackers είναι το εξής: i.)αναγνώριση (Reconnaissance) ii.)σάρωση (Scanning) iii.)απόκτηση πρόσβασης (Gaining access) iv.) ιατήρηση πρόσβασης (Maintaning access) v.)καθαρισµός των ιχνών (Clearing tracks) Θα πρέπει να σηµειώθει ακόµη πως η επικινδυνότητα των Ηackers εξαρτάται από τα κίνητρά τους. Αν τα κίνητρά τους είναι η διασκέδαση ή η επιθυµία τους να αναγνωριστούν στον κύκλο τους ως αυθεντίες στους Η/Υ ή να µάθουν τον τρόπο λειτουργίας του συστήµατος µιας επιχείρησης ή ενός οργανισµού, η παράνοµη πρόσβασή τους σε αυτό σταµατάει µέχρις εκεί και εκείνο που έχει υποστεί βλάβη πραγµατικά είναι το γόητρο του συστήµατος ασφαλείας της συγκεκριµένης επιχείρησης ή οργανισµού. Αν όµως το κίνητρό τους είναι το προσωπικό οικονοµικό όφελος, το οποίο µπορούν να επιτύχουν βλάπτοντας µε οποιοδήποτε τρόπο το σύστηµα ή τα αρχεία δεδοµένων των θυµάτων τους ή πουλώντας σε τρίτους τις πληροφορίες που απεκόµισαν από αυτά, τότε οι ζηµιές αυτών είναι ανυπολόγιστες. Η σύγχρονη πρακτική θέλει δυστυχώς ένα αρκετά µεγάλο αριθµό από τους σηµερινούς Ηackers να έχει οικονοµικά κίνητρα, πράγµα που αυτόµατα αυξάνει τον επικίνδυνο χαρακτήρα τους. Βλέπουµε λοιπόν ότι δεν παρατηρούνται διαφοροποιήσεις ως προς τα κίνητρα της εγκληµατικής δραστηριότητας των εισβολέων σε σχέση µε αυτά των δραστών του κοινού Ποινικού ικαίου, αλλά µόνο ως προς τα µέσα διάπραξης. Απ την άλλη πολύ λίγες έρευνες έχουν πραγµατοποιηθεί, µε αρκετά µεθοδολογικά προβλήµατα, όσον αφορά το προφίλ των δραστών ηλεκτρονικών εγκληµάτων. Όσον αφορά τώρα τον τρόπο δράσης - πρόσβασης ενός hacker στο σύστηµα του υποψήφιου θύµατός χωρίζεται σε δύο στάδια: ένα προπαρασκευαστικό και ένα κύριο. Πιο συγκεκριµένα: Στο προπαρασκευαστικό στάδιο ο hacker, συγκεντρώνει πληροφορίες (information gathering) για το σύστηµα που επιθυµεί να προσβάλλει και προσπαθεί να αποκτήσει πρόσβαση σε αυτό σπάζοντας τους 6

7 7 κωδικούς εισόδου (password cracking), αποκτώντας έτσι τα δικαιώµατα (privileges) ενός νόµιµου χρήστη του συστήµατος. Στο κύριο στάδιο ο hacker, επιδιώκει την εκπλήρωση των σκοπών για τους οποίους µπήκε παράνοµα στο συγκεκριµένο σύστηµα και αποχωρεί προσπαθώντας να µην αφήσει ίχνη που θα µπορούν να οδηγήσουν στην ανακάλυψη της ταυτότητάς του, ενώ παράλληλα φροντίζει να διατηρήσει το δικαίωµα επανεισόδου του στο σύστηµα, όποτε πάλι ο ίδιος το επιθυµήσει. ΕΠΙΘΕΣΕΙΣ ΣΤΟ ΙΚΤΥΟ (NETWORK BASED ATTACKS) Denial of Service (Άρνηση παροχής υπηρεσίας) Επιθέσεις που έχουν ως σκοπό όχι την υποκλοπή κωδικών και προγραµµάτων, αλλά να θέσουν εκτός λειτουργείας τον υπολογιστή που επιτίθονται. Έχουν στόχο να εµποδίσουν έναν υπολογιστή ή δίκτυο να εκτελέσει τα καθήκοντά του. Αυτό µπορεί να προκαλέσει τον κατακλύσµό του υπολογιστή µε χιαλιάδες αιτήσεις (requests) και τα άµεσα αποτελέσµατα µιας τέτοιας επίθεσης είναι rebοot, crashes, kernel dumps. Το να τεθεί ένας υπολογιστής εκτός λειτουργείας για κάποιο διάστηµα για πολλούς είναι κάτι το καταστροφικό. Επιπλέον υπάρχει και η πιθανότητα η µη σωστή επανεκκίνηση του υπολογιστή να κατεβάσει το επίπεδο ασφάλειας του, µετατρέποντας έτσι τον υπολογιστή εύκολη λεία για τον επιδοξο hacker. Είναι πραγµατικά επιθέσεις στις οποίες είναι δύσκολο να αµυνθεί κανείς αποτελεσµατικά. Υπάρχουν αρκετοί τρόποι που µπορεί να ακολουθήσει κάποιος ώστε να επιτεθεί. Πόλλα είναι και τα προγράµµατα καθώς και οι source κώδικες που κυκλοφορούν στο Internet και βοηθούν τους επίδοξους hackers στο καταστροφικό τους έργο. Distributed Denial of Service (Κατανεµηµένη επίθεση DoS) Μία κατανεµηµένη επίθεση Άρνησης Εξυπηρέτησης (DDoS) χρησιµοποιεί πολλούς υπολογιστές για να πραγµατοποιήσει µία κατευθυνόµενη επίθεση Άρνησης Εξυπηρέτησης (DoS) ενάντια ενός ή περισσότερων στόχων. Χρησιµοποιώντας την τεχνολογία πελάτη/εξυπηρετητή, o επιτιθέµενος µπορεί να πολλαπλασιάσει σηµαντικά την αποτελεσµατικότητα της επίθεσης DoS θέτοντας υπό τον έλεγχό του, τους πόρους πολλαπλών ακούσιων συνεργών υπολογιστών, οι οποίοι χρησιµοποιούνται σαν πλατφόρµες επίθεσης. H επίθεση DDoS είναι η πιο εξελιγµένη µορφή των επιθέσεων DoS. ιαχωρίζεται από τις άλλες επιθέσεις, από την ικανότητα της να αναπτύσσει τα όπλα της µε ένα κατανεµηµένο τρόπο στο ιαδίκτυο και να αθροίζει αυτές τις δυνάµεις ώστε να δηµιουργηθεί πολύ επικίνδυνη κυκλοφορία. Οι επιθέσεις DDoS ποτέ δεν προσπαθούν να µπουν στο σύστηµα του θύµατος, καθιστώντας κατά αυτό τον τρόπο κάθε παραδοσιακό µηχανισµό προστασίας ασφάλειας µη αποτελεσµατικό. Ο κύριος στόχος µίας επίθεσης DDoS είναι να προκαλέσει ζηµιά στο θύµα είτε για προσωπικούς λόγους, είτε για υλικό κέρδος είτε για δηµοτικότητα. 7

8 8 Session Hijacking Από το όνοµα και µόνο δείχνει ότι πρόκειται για εισβολή στην ενεργή σύνδεση κάποιου µε σκοπό την απόκτηση πρόσβασης άνευ αδείας σε έναν υπολογιστή ή δίκτυο. Μερικές φορές περιγράφεται και µε τους όρους «HTTP cookie theft» και «Magic Cookie Hack». Το «Magic cookie» είναι απλά ένα cookie το οποίο χρησιµοποιείται για τον έλεγχο ταυτότητας του χρήστη σε έναν αποµακρυσµένο υπολογιστή. Σε γενικές γραµµές, τα cookies χρησιµοποιούνται για τη διατήρηση της σύνδεσης σε ιστοσελίδες. Έτσι, σε µία επίθεση Session Hijacking ο επιτιθέµενος προσπαθεί να κλέψει τα cookies µίας ενεργής σύνδεσης. Το Session Hijacking είναι η διαδικασία της κατάληψης µιας ενεργής συνεδρίας. Ένας από τους κύριους λόγους που είναι χρήσιµη µία τέτοια επίθεση είναι η παράκαµψη της διαδικασίας ελέγχου ταυτότητας ώστε να αποκτήσουµε πρόσβαση σε έναν υπολογιστή. εδοµένου ότι η συνεδρία είναι ήδη ενεργή, δεν υπάρχει λόγος για εκ νέου έλεγχο της ταυτότητας και έτσι ο επιτιθέµενος µπορεί να έχει εύκολη πρόσβαση σε πόρους και ευαίσθητες πληροφορίες, όπως κωδικούς πρόσβασης, στοιχεία της τράπεζας και πολλά άλλα. Το Session Hijacking περιλαµβάνει δύο τύπους επιθέσεων: 1. Ενεργητική επίθεση 2. Παθητική επίθεση Στην παθητική επίθεση, ο επιτιθέµενος κάνει κατάληψη µίας συνεδρίας και απλά παρακολουθεί τα δεδοµένα που αποστέλλονται ή λαµβάνονται σε έναν υπολογιστή. Αυτό είναι χρήσιµο για την εύρεση ευαίσθητων πληροφοριών, όπως κωδικούς πρόσβασης για sites, τραπεζικούς λογαριασµούς και άλλα. Στην ενεργητική επίθεση, ο επιτιθέµενος εξαναγκάζει ένα από τα 2 µέρη µίας συνεδρίας να βγει εκτός σύνδεσης, συνήθως µε µία επίθεση DDOS (Distributed Denial of service) και παίρνει τον έλεγχο της σύνδεσης εκτελώντας εντολές στο έτερο σύστηµα και λαµβάνει έτσι τις πληροφορίες που θέλει. Υπάρχουν τέσσερις κύριες µέθοδοι που χρησιµοποιούνται για µία επίθεση Session Hijacking: i. Σταθερής συνόδου. Ο επιτιθέµενος καθορίζει ένα id χρήστη για µία συνεδρία, για παράδειγµα, στέλνοντας στον χρήστη ένα µε έναν σύνδεσµο που περιέχει ένα συγκεκριµένο session id. Έτσι, ο εισβολέας χρειάζεται µόνο να περιµένει µέχρι ο χρήστης να συνδεθεί. ii. Session sidejacking. Σε αυτή την περίπτωση, ένας επιτιθέµενος παρακολουθεί τα δεδοµένα που ανταλλάσσονται µέσω δικτύου για να κλέψει το session cookie. Πολλές ιστοσελίδες χρησιµοποιούν κρυπτογράφηση SSL στις σελίδες σύνδεσης για την πρόληψη επίθεσης και την προστασία των κωδικών πρόσβασης. iii. Εναλλακτικά, ένας εισβολέας µε φυσική πρόσβαση σε ένα δίκτυο µπορεί να προσπαθήσει να κλέψει το κλειδί συνόδου απευθείας από τα αρχεία ενός υπολογιστή. iv. Μέσω Cross-site scripting, όπου ο εισβολέας καταφέρνει να εκτελέσει κώδικα σε έναν υπολογιστή και έτσι να κλέψει το session cookie. 8

9 9 Ping of death Αυτή η επίθεση είναι πολύ γνωστή και χρησιµοποιούταν παλαιότερα για να κάνει αποµακρυσµένα συστήµατα να "παγώνουν" (hang) ή ακόµα και να κάνουν αυτόµατη επανεκκίνηση (reboot), έτσι ώστε οι χρήστες να µην µπορούν να τα χρησιµοποιήσουν. Αυτό πλέον δεν είναι εφικτό µια και στις µέρες µας σχεδόν όλοι οι ιαχειριστές των Συστηµάτων (Systems Administrators) έχουν αναβαθµίσει τα συστήµατά τους κάνοντάς τα ασφαλή από τέτοιες επιθέσεις. Ο τρόπος για να γίνει αυτή η επίθεση είναι να στείλει κάποιος ένα πακέτο data (data packet) που υπερβαίνει το µέγιστο επιτρεπόµενο όριο bytes του πρωτοκόλλου TCP/IP, που είναι Στέλνοντας ένα πακέτο data (data packet) µεγαλύτερο από αυτό, αµέσως το σύστηµα-στόχος πάθαινε κατάρρευση (crash) ή/και "πάγωνε" (hang) ή/και έκανε επανεκκίνηση (reboot). Το Ping Of Death έγινε πολύ δηµοφιλές λόγω της ευκολίας στην υλοποίηση του. Επίσης αυτού του τύπου η επίθεση ήταν και είναι ακόµα πολύ δηµοφιλής στο IRC (Internet Relay Chat). Teardrop attack Αυτή η επίθεση εκµεταλλεύεται την αδυναµία του πρωτοκόλλου TCP/IP στην επανασύνδεση (reassembly) των πακέτων δεδοµένων (data packets) κατά την λήψη τους. Όταν στέλνονται data στο Internet αυτά κατανέµονται σε µικρότερα κοµµάτια στην υπολογιστή που κάνει την µετάδοση και συναρµολογούνται πάλι στον υπολογιστή που λαµβάνει. Ας υποθέσουµε ότι θέλουµε να στείλουµε 8000 bytes από έναν υπολογιστή σε έναν άλλον. εν θα τα στείλουµε όλα µαζί µε µία µετάδοση (transmission) αλλά θα κοπούν σε µικρότερα πακέτα data (data packets) και κάθε πακέτο θα έχει συγκεκριµένο κοµµάτι από τα 8000 bytes όπως : πακέτο 1ο θα έχει byte 1 έως byte 1500, πακέτο 2ο θα έχει byte 1501 έως byte 3000, πακέτο 3ο θα έχει byte 3001 έως byte 4000 κ.λ.π. Αυτά τα πακέτα έχουν στο αρχικό τους κοµµάτι (TCP header) ένα πεδίο (offset) που περιγράφει πως θα γίνει η συναρµολόγηση στο σύστηµα που θα λάβει τα πακέτα. Στην επίθεση αυτή τα πακέτα που στέλνονται υπερκαλύπτουν το ένα το άλλο µε αποτέλεσµα όταν το σύστηµα που τα λαµβάνει προσπαθεί να τα συναρµολογήσει (reassembly) παθαίνει κατάρρευση (crash) ή/και "πάγωµα" (hang) ή/και επανεκκίνηση (reboot). SYN Flood Ένας από τους χειρότερους τρόπους επίθεσης είναι το SYN FLOOD (Synchronise Flooding). Μια τέτοια επίθεση απαιτεί την γνώση σε βάθος του πρωτοκόλου TCP/IP. Εκεί βασίζεται και αυτή η επίθεση γι αυτό αποτελεί ακόµα απειλή στους διάφορους υπολογιστές. Για να επικοινωνήσουν δύο υπολογιστές στο Internet απαιτούνται 3 βασικά βήµατα (3 Way Handshale). Έστω ότι ο υπολογιστής Α (client) ξεκινάει την διαδικασία σύνδεσης µε τον Β (server). Το πρώτο βήµα είναι η αποστολή στον υπολογιστή Β της αίτησης σύνδεσης (Connection Request.). Έτσι ο Α στέλνει στον Β ένα πακέτο του τύπου SYN/ACK (Synchronize Acknowledge) µε το οποίο του λέει ότι επιθυµεί να συνδεθεί σ αυτόν. Ο Β δέχεται το πακέτο και στέλνει στον Α ένα πακέτο ACK (Ackowlwdge Received) µε το οποίο πληροφορεί 9

10 10 τον Α ότι έλαβε το πακέτο του και ξεκινάει την διαδικασία ρύθµισης των παραµέτρων σύνδεσης. Τέλος ο Α στέλνει άλλο ένα πακέτο του ίδιου τύπου (ACK) µε το οποίο πληροφορεί µε την σειρά του ότι έλαβε το πακέτο του Β και ξεκινάει την διαδικασία ρύθµισης των παραµέτρων σύνδεσης. Έτσι επιτυγχάνεται η σύνδεση µεταξύ των δύο υπολογιστών Α και Β. Αυτό είναι το λεγόµενο 3 Way Handshake. Κατά την διάρκεια αυτής της διαδικασίας ο Α και ο Β υπολογιστής αναγνωρίζουν ο ένας τον άλλο από τον ip αριθµό τους που έχουν στον διαδίκτυο. Έτσι ο Α στέλνει τα πακέτα στον Β και ο Β απαντά στον Α και όχι σε έναν άλλο υπολογιστή. Όση ώρα κρατάει αυτή η διαδικασία, η οποία δεν είναι µία άλλα µερικές εκατοντάδες το λεπτό, ο υπολογιστής Β κρατάει τα στοιχεία του Α, όπως πχ. τον ip αριθµό, σε ένα µέρος της µνήµης (buffer). Όταν όµως η σύνδεση πραγµατοποιηθεί η µνήµη που είχε δεσµευθεί για να κρατήσει τις πληροφορίες ελευθερώνεται. υστυχώς όµως το µέγεθος του buffer που έχει στην διάθεσή του ο server είναι πολύ µικρη. Το αποτέλεσµα είναι µε τις αιτήσεις για σύνδεση που γίνονται να γεµίζει γρήγορα. Έτσι όταν δεν υπάρχει διαθέσιµη µνήµη ο Β δεν µπορεί να δεχτεί άλλες συνδέσεις. Ευτυχώς όµως όσες αιτήσεις δεν καταλήξουν σε συνδέσεις σε ορισµένο χρονικό διάστηµα γίνονται expired από τον server, δηλ. απορρίπτονται και την θέση τους παίρνουν άλλες καινούργιες. Η επίθεση έχει ως σκοπό να γεµίσει η µνήµη του υπολογιστή Β, του server δηλαδή, από αιτήσεις ώστε να µην µπορεί να δεχτεί άλλες. 'Eτσι να είναι αδύνατον να συνδεθούν άλλοι υπολογιστές εκεί. Ο Α υπολογιστής βοµβαρδίζει συνεχώς µε πακέτα SYΝ/ACK τον Β. Επιπλέον ο Α φροντίζει να µην στέλνει τα πραγµατικά του στοιχεία (τον ip αριθµό) στον Β έτσι ώστε αυτές οι αιτήσεις να µην καταλήγουν ποτέ σε συνδέσεις. Με το συνεχή βοµβαρδισµό του Β ξεπερνιέται και το timeout του server. Έτσι όσα πακέτα SYN/ACK γίνονται expired την θέση τους στο buffer παίρνουν αµέσως άλλα πακέτα ίδιου τύπου προερχόµενα φυσικά από τον υπολογιστή που επιτίθεται. Έτσι η µνήµη γεµίζει και το αποτέλεσµα είναι ο server να µην µπορεί να δεχτεί άλλες συνδέσεις για όση ώρα διαρκεί αυτή η επίθεση. Είναι πραγµατικά πολύ δύσκολη επίθεση να πραγµατοποιηθεί αλλά πολύ αποτελεσµατική. 10

11 11 Smurf attack Η Smurf attack είναι µια επίθεση όπου στέλνεται ένας υπέρογκος αριθµός από ping requests συνήθως στον router του δικτύου, χρησιµοποιώντας ψεύτικες (spoofed) IP διευθύνσεις µέσα από το ίδιο το δίκτυο. Κάθε φορά που ο router δέχεται ένα Ping request θα το διανείµει (route it) ή θα απαντήσει σε αυτό (echo back), µε αποτέλεσµα την υπερφόρτωση (flood) του δικτύου µε πακέτα και την διακοπή της λειτουργίας του. Man in the middle attack Σε αυτού του τύπου την επίθεση, αντί ο χρήστης να πραγµατοποιήσει την ασφαλή σύνδεση απ' ευθείας µε τον web server, κάποιος ενδιάµεσος, παρακάµπτει την σύνδεση(εν αγνοία, φυσικά του χρήστη) και δηµιουργεί µία ασφαλή σύνδεση µε τον χρήστη και µία άλλη ασφαλή σύνδεση µε τον web server, στέλνοντας στον χρήστη ένα πιστοποιητικό που έχει υπογραφεί κανονικά ή κατορθώνοντας να εγκαταστήσει στον browser του ένα ιδιο-υπογεγραµµένο πιστοποιητικό, ώστε να µην υποψιαστεί ο χρήστης. ηλαδή, τα λουκέτα θα φανούν κανονικά σαν να µην συµβαίνει κάτι ύποπτο, αυτός ήταν άλλωστε ο σκοπός. Αποτέλεσµα, τόσο ο χρήστης όσο και ο web server νοµίζουν ότι µιλούν απευθείας ο ένας στον άλλο και η επίθεση θεωρείται επιτυχηµένη. Εικόνα Man in the middle attack 11

12 12 ΑΣΦΑΛΕΙΑ ΣΤΟ ΙΑ ΙΚΤΥΟ ΓΙΑ ΤΟΝ ΑΠΛΟ ΧΡΗΣΤΗ Οι υπολογιστές που είναι συνδεδεµένοι στο ιαδίκτυο µπορούν να έχουν δύο ρόλους. Το ρόλο του πελάτη (client) και το ρόλο του εξυπηρετητή (server). O ίδιος υπολογιστής µπορεί για κάποια υπηρεσία να είναι server, δηλαδή να εξυπηρετεί πελάτες και ταυτόχρονα να χρησιµοποιεί κάποια άλλη υπηρεσία ως πελάτης. Το µεγαλύτερο ποσοστό των µηχανηµάτων στο ιαδίκτυο είναι πελάτες αλλά και το ποσοστό των υπολογιστών που είναι αποκλειστικά πελάτες είναι επίσης µεγάλο. Ένας απλός χρήστης που συνδέεται στο ιαδίκτυο συνήθως δε χρησιµοποιεί servers αλλά προγράµµατα-πελάτες που συνδέονται σε servers. Στη συνέχεια εξετάζονται ζητήµατα ασφάλειας που αφορούν τον απλό χρήστη, δηλαδή από τι κινδυνεύει και πως µπορεί να θωρακιστεί κατάλληλα. Κυκλοφορούν στο ιαδίκτυο πολλά προγράµµατα που έχουν γραφτεί µε στόχο να προκαλέσουν καταστροφικά αποτελέσµατα για διάφορους λόγους σε ανυποψίαστους απλούς χρήστες (Malware). Υπάρχουν πολλές κατηγορίες τέτοιων προγραµµάτων που αναλύονται στη συνέχεια. ΙΟΙ (viruses) Ένας ιός υπολογιστών είναι ένα πρόγραµµα υπολογιστή, το οποίο µπορεί να αντιγραφεί χωρίς παρέµβαση του χρήστη και να "µολύνει" τον υπολογιστή χωρίς τη γνώση ή την άδεια του χρήστη του. Ο αρχικός ιός µπορεί να τροποποιήσει τα αντίγραφά του ή τα ίδια τα αντίγραφα µπορούν να υποστούν από µόνα τους τροποποίηση, όπως συµβαίνει σε έναν µεταµορφικό ιό. Ένας ιός µπορεί να διαδοθεί από έναν υπολογιστή σε άλλους, παραδείγµατος χάριν από ένα χρήστη που στέλνει τον ιό µέσω δικτύου ή του ιαδικτύου, ή µε τη µεταφορά του σε ένα φορητό µέσο αποθήκευσης, όπως δισκέτα, οπτικό δίσκο ή µνήµη flash USB. Οι ιοί ορισµένες φορές εσφαλµένα συγχέονται µε τα "σκουλήκια" υπολογιστών (worms) και τους δούρειους ίππους (trojan horses). Ένα "σκουλήκι" µπορεί να διαδοθεί σε άλλους υπολογιστές χωρίς να πρέπει να µεταφερθεί ως τµήµα ενός υπολογιστή-οικοδεσπότη (host), ενώ ένας δούρειος ίππος είναι ένα αβλαβές πρόγραµµα µέχρι να εκτελεσθεί ή µέχρι να ικανοποιηθεί κάποια συνθήκη, την οποία έχει προκαθορίσει ο δηµιουργός του. Πολλοί προσωπικοί υπολογιστές συνδέονται πλέον µε το ιαδίκτυο και σε Τοπικό δίκτυο υπολογιστών τοπικά δίκτυα και διευκολύνουν έτσι τη διάδοση του κακόβουλου κώδικα. Σήµερα οι ιοί µπορούν επίσης να εκµεταλλευθούν τις υπηρεσίες του ιαδικτύου, όπως το World Wide Web, το ηλεκτρονικό ταχυδροµείο και την υπηρεσία συνοµιλιών (Internet Relay Chat, IRC). Μερικοί ιοί δηµιουργούνται για να προξενήσουν ζηµιά στον υπολογιστή, στον οποίο εγκαθίστανται, είτε µε την καταστροφή των προγραµµάτων του είτε µε τη διαγραφή αρχείων ή µε τη µορφοποίηση (format) του σκληρού δίσκου. Μερικές, µάλιστα, φορές, δηµιουργούν σε συγκεκριµένο τοµέα του σκληρού δίσκου τέτοια καταστροφή, ώστε να είναι αδύνατη η ανάκτηση ολόκληρου του περιεχοµένου του. Άλλοι δεν έχουν ως σκοπό να προκαλέσουν οποιαδήποτε ζηµία, αλλά απλά γνωστοποιούν την παρουσία τους µε την εµφάνιση στην οθόνη κειµένου, βίντεο, ή ηχητικών µηνυµάτων, µερικές φορές αρκετά 12

13 13 χιουµοριστικών. Όµως, ακόµη και αυτοί οι "καλοκάγαθοι" ιοί µπορούν να δηµιουργήσουν προβλήµατα στο χρήστη υπολογιστών: Καταλαµβάνουν τη µνήµη που χρησιµοποιείται από τα κανονικά προγράµµατα και, κατά συνέπεια, προκαλούν συχνά ασταθή συµπεριφορά του συστήµατος και µπορούν να οδηγήσουν σε κατάρρευσή του (system crash). Επιπλέον, πολλοί ιοί είναι, εγγενώς, γεµάτοι προγραµµατιστικά σφάλµατα, τα οποία πιθανόν να οδηγήσουν στην κατάρρευση των υπολογιστικών συστηµάτων και στην απώλεια δεδοµένων. Τέλος, ένα µεγάλο ποσοστό των ιών δεν έχει σκοπό την καταστροφή των δεδοµένων του χρήστη ή την παρενόχλησή του, αλλά την κλοπή προσωπικών του δεδοµένων ή την εισαγωγή του υπολογιστή-στόχου σε κάποιο παράνοµο δίκτυο (botnet) χωρίς τη συγκατάθεση του χρήστη. Υπάρχουν πολλά είδη ιών όπως: Πολυµορφικοί Πολυµορφικοί ονοµάζονται οι ιοί, οι οποίοι κρύβουν τον κώδικά τους µε διαφορετικό τρόπο, κάθε φορά που µολύνουν ένα εκτελέσιµο αρχείο (συνήθως.exe,.com). Έτσι, όταν ο χρήστης εκτελέσει το µολυσµένο αρχείο, ο ιός «ξεκλειδώνει» τον καταστροφικό κώδικα µέσα από το µολυσµένο εκτελέσιµο αρχείο και τον εκτελεί. Αυτός ο τύπος ιών αποτελεί ένα ιδιαίτερο «πονοκέφαλο» για τα προγράµµατα antivirus, διότι δεν υπάρχει πάντα ένα συγκεκριµένο/παρόµοιο κοµµάτι του ιού για να χρησιµοποιηθεί για την αναγνώρισή του. Stealth (αόρατοι) viruses Χρησιµοποιούν τους καταχωρητές µνήµης του Η/Υ. Για να εκτελεστεί ένα πρόγραµµα (ιδιαίτερα τα προγράµµατα MS-DOS) χρειάζεται να επικαλεστούν µια διεύθυνση στη µνήµη του Η/Υ. Εκεί ακριβώς επεµβαίνει και ο ιός. Όταν το πρόγραµµα καλέσει την συγκεκριµένη διεύθυνση, ενεργοποιείται ο ιός αντί για το πρόγραµµα, µε αποτέλεσµα την µόλυνση του συστήµατος. Οι stealth ιοί έχουν και µια επιπλέον λειτουργία. Είναι ικανοί να κρύβονται κατά την ανίχνευσή τους από τα προγράµµατα antivirus. Συγκεκριµένα, όποτε ανιχνεύουν δράση προγράµµατος antivirus, αποκαθιστούν προσωρινά το αρχικό αρχείο στην κανονική του θέση, αφήνοντας το antivirus να το ανιχνεύσει και το ξανά-µολύνουν αργότερα, αφού έχει τελειώσει η λειτουργία του προγράµµατος antivirus. Η συγκεκριµένη λειτουργία της απόκρυψης του ιού από το antivirus (αντι-antivirus) λέγεται και tunneling. Parasitic ή Appending viruses Λέγονται παρασιτικοί ή και επι-προσθετικοί, ακριβώς γιατί προσθέτουν τον καταστροφικό τους κώδικα µέσα στον κώδικα του αρχικού αρχείου (συνήθως στο τέλος του, για προστασία από ανίχνευση antivirus προγράµµατος), χωρίς να το καταστρέψουν. Όµως, αν κάποιος πιστέψει ότι θα εκτελεστεί το αρχικό πρόγραµµα, επειδή ο κώδικας του ιού βρίσκεται στο τέλος του αρχείου, τότε την «πάτησε», µιας και ο ιός φροντίζει να εκτελείται αυτός και όχι το αρχικό πρόγραµµα. Companion viruses Πρόκειται για ιούς που ενεργούν κυρίως σε λειτουργικό MS-DOS. Όταν ο χρήστης πληκτρολογήσει µια εντολή DOS (π.χ. Program1) και δεν βρεθεί το αρχείο Program1.exe, τότε το λειτουργικό θα εκτελέσει το αρχείο Program1.com, που θα είναι και ο ιός. Προσοχή όµως. Αν ο χρήστης θελήσει να εκτελέσει το 13

14 14 αρχείο Program1.exe, ενώ ταυτόχρονα υπάρχει στο δίσκο και ο ιός µε το όνοµα Program1.com, τότε µε την πληκτρολόγηση Program1 θα εκτελεστεί ο ιός. Retro viruses Πρόκειται για ιούς που στοχεύουν αποκλειστικά στην καταπολέµηση ενός ή περισσοτέρων προγραµµάτων antivirus. Boot sector viruses Οι ιοί αυτού του είδους µολύνουν τον τοµέα εκκίνησης του Η/Υ, είτε αυτός είναι δίσκος ή δισκέτα. Σε αυτούς οφείλεται το µεγαλύτερο ποσοστό µολύνσεων ανά τον κόσµο. Συνήθως, δεν είναι απαραίτητο να υπάρχει λειτουργικό MS-DOS στον Η/Υ για να ενεργοποιηθεί ένας τέτοιος ιός, µιας και οι συγκεκριµένοι ιοί δεν κάνουν τέτοιου είδους διακρίσεις. Direct action viruses Οι ιοί αυτοί εκτελούν το καταστροφικό τους έργο µόνο όταν εκτελεστούν (µια φορά δηλαδή) και δεν µένουν στην µνήµη του Η/Υ. Macro viruses Είναι οι γνωστοί ιοί που µολύνουν χρησιµοποιώντας µια µακρο-εντολή. Μολύνουν ΜΟΝΟ έγγραφα τύπου Word, Excel, Office, PowerPoint, Access. Πρόκειται για ιούς που διαδίδονται πάρα πολύ εύκολα. Χαρακτηριστικό παράδειγµα η ίδια η Microsoft, η οποία όταν πρωτο-κυκλοφόρησε την έκδοση MS Office 97, είχε αφήσει µέσα στο cd ένα κείµενο µολυσµένο µε macro-ιό. Multi Platform viruses Πρόκειται για ιούς που επιδρούν σε περισσότερα από ένα λειτουργικά συστήµατα. Συνήθως όµως, όταν ένας ιός είναι ικανός να ενεργοποιηθεί σε περιβάλλον Windows, δεν θα κάνει απολύτως τίποτα σε περιβάλλον Apple. Σκουλήκια (Worms) Σκουλήκι (worm) είναι ένα πρόγραµµα που πολλαπλασιάζεται και µεταδίδεται από υπολογιστή σε υπολογιστή. εν προσβάλλει απαραίτητα άλλα προγράµµατα, γι αυτό δεν είναι ιός µε τη στενή έννοια του όρου. Tα πιο φηµισµένα σκουλήκια ήταν οι Internet Worm, Melissa, Loveletter και Sicram. Η διαδικασία µόλυνσης, ο πολλαπλασιασµός και η µετάδοση γίνεται µε τον εξής τρόπο: Η αρχή γίνεται όταν κάποιος δέχεται ένα µε µολυσµένο συνηµµένο αρχείο. Η πραγµατική µόλυνση όµως έρχεται αργότερα, όταν το αρχείο, που µπορεί να είναι Word, Excel ή PDF, η πιο εξελιγµένη µορφή, ανοιχτεί. Αν ο ιός ενεργοποιηθεί προσθέτει ένα βλαβερό κώδικα στα αρχεία που βρίσκει στο κοµπιούτερ. Οι ζηµιές εξαρτώνται από τον τρόπο µε τον οποίο δρα το σκουλήκι. Αρχίζουν από µια απλή µετατροπή των αρχείων ή την αντικατάστασή τους από ένα αντίγραφο του worm, και συνεπώς την καταστροφή τους, και φτάνουν έως τη διαγραφή όλων των αρχείων του υπολογιστή. 14

15 15 Η επόµενη φάση είναι η διάδοσή τους. Το σκουλήκι διαλέγει τυχαία ένα µολυσµένο αρχείο και το στέλνει σε όλες τις διευθύνσεις της ατζέντας του χρηστή. Αυτοί που φτιάχνουν ιούς δεν έχουν άλλο όφελος από το να προκαλέσουν προβλήµατα στους διακοµιστές και στα δίκτυα. Ο πιο αποτελεσµατικός τρόπος για να αµυνθεί ένας κοινός χρηστής είναι να µην ανοίγει συνηµµένα αρχεία όταν δεν είναι σίγουρος για την προέλευσή τους και να χρησιµοποιεί αντιϊκά προγράµµατα για να ελέγχει την αλληλογραφία του. ούρειοι Ίπποι (Trojan Horses) ούρειος Ίππος (Trojan Horse) είναι ένα πρόγραµµα το οποίο είναι κρυµµένο µέσα σε άλλο δωρεάν πρόγραµµα του Internet (παιχνίδι, πρόγραµµα αναπαραγωγής µουσικής, ειδικά προγράµµατα προβολής πορνογραφικού περιεχοµένου και οτιδήποτε άλλο µπορεί να είναι ελκυστικό).ως δώρο θα πάρουν και το ούρειο Ίππο. Το ωραίο της επίθεσης µε το ούρειο Ίππο είναι ότι ο κράκερ δε χρειάζεται να κάνει τίποτα επιπλέον διότι το θύµα κάνει τα πάντα µόνο του αφού όταν ξεκινήσει στον υπολογιστή του το δωρεάν πρόγραµµα θα εκτελέσει και το ούρειο Ίππο. Οι δούρειοι ίπποι χωρίζονται στις εξής κατηγορίες: Α) Το πρώτο είδος αποτελείται από κανονικά προγράµµατα, τα οποία διάφοροι hackers µεταβάλλουν προσθέτοντας κακόβουλο κώδικα. Στην κατηγορία αυτή ανήκουν για παράδειγµα διάφορα οµότιµα προγράµµατα ανταλλαγής αρχείων (peer-to-peer), προγράµµατα ανακοίνωσης καιρικών συνθηκών κοκ. Β) Το δεύτερο είδος περιλαµβάνει µεµονωµένα προγράµµατα που ξεγελούν τον χρήστη και τον κάνουν να νοµίζει ότι πρόκειται για κάποιο παιχνίδι ή εικόνα. Με τον τρόπο αυτό τον παρασύρουν να εκτελέσει το αρχείο, µολύνοντας έτσι τον υπολογιστή του. Οι τύποι δούρειων ίππων µπορούν να διαχωριστούν περαιτέρω στις εξής κατηγορίες ανάλογα µε τις συνέπειες που έχουν στον µολυσµένο υπολογιστή: * Αποµακρυσµένη πρόσβαση. * Αποστολή . * Καταστροφή αρχείων. * Κατέβασµα αρχείων. * Proxy Trojan. * FTP Trojan (προσθήκη, διαγραφή ή µεταφορά αρχείων από τον µολυσµένο υπολογιστή). * Απενεργοποίηση λογισµικού ασφαλείας (firewall, antivirus). * Denial of Service (DoS). * URL Trojan (επιτρέπει στον υπολογιστή να συνδεθεί στο διαδίκτυο µόνο µέσω µίας πολύ ακριβής σύνδεσης). 15

16 16 Μερικές από τις επιπτώσεις εκτέλεσης ενός δούρειου ίππου είναι για παράδειγµα η διαγραφή αρχείων στον µολυσµένο υπολογιστή, η χρησιµοποίησή του για επίθεση σε άλλους υπολογιστές, το ανοιγόκλεισµα του οδηγού CD-ROM, η παρακολούθηση των κινήσεων του χρήστη για την απόκτηση των κωδικών του σε τράπεζες, απόκτηση διευθύνσεων για να χρησιµοποιηθούν για spamming, επανεκκίνηση του υπολογιστή, απενεργοποίηση προγραµµάτων firewall ή antivirus και πολλά άλλα. Rootkits Τα rootkits είναι εργαλεία τα οποία ο επιτιθέµενος εγκαθιστά σε ένα σύστηµα-θύµα και εκτελούν διάφορες λειτουργίες προς όφελός του. O επιτιθέµενος πρέπει προηγουµένως να έχει αποκτήσει πρόσβαση στο σύστηµα-θύµα έτσι ώστε να µπορέσει να εγκαταστήσει ένα rootkit. Ένα rootkit είναι ένα σύνολο προγραµµάτων τα οποία επιτρέπουν στον επιτιθέµενο να συλλέγει κωδικούς από το θύµα, να βλέπει τα πακέτα που κινούνται από και προς το θύµα, να αφήσει ένα backdoor το οποίο θα του επιτρέπει µελλοντική πρόσβαση στο σύστηµα-θύµα διατηρώντας έτσι τα δικαιώµατα που είχε προηγουµένως αποκτήσει, να διατηρεί κρυφή την παρουσία του. Μερικά από τα κύρια συστατικά ενός rootkit είναι τα παρακάτω : Backdoors Η κύρια λειτουργία ενός rootkit είναι να δώσει την δυνατότητα στον επιτιθέµενο να µπορεί µελλοντικά να µπαίνει στο σύστηµα-θύµα χωρίς να γίνεται αντιληπτός. Αυτό γίνεται εγκαθιστώντας ένα backdoor, συνήθως trojaned προγράµµατα που χρησιµοποιούνται για αποµακρυσµένη πρόσβαση στο σύστηµα όπως telnet ή ssh. Αυτά τα προγράµµατα τρέχουν σε διαφορετική TCP ή UDP πόρτα από αυτή που προορίζονται στην κανονική τους λειτουργία. Trojaned System Utilities Τα rootkits για να κρύψουν τα ίχνη του επιτιθέµενου αντικαθιστούν κάποια διαγνωστικά εργαλεία του λειτουργικού συστήµατος τα οποία χρησιµεύουν για να γίνεται παρακολούθηση των δραστηριοτήτων που συµβαίνουν στο σύστηµα, όπως τα ps, w, who, netstat, ls, find, µε κάποια παραλλαγή τους που έχει την ίδια λειτουργία, κρύβοντας όµως τις δραστηριότητες του επιτιθέµενου. Sniffers and Keyloggers Ορισµένα rootkits περιέχουν προγράµµατα τα οποία χρησιµοποιούνται για να συλλέγουν κωδικούς για άλλα συστήµατα και να ακούνε την κίνηση των πακέτων σε ένα δίκτυο. Για να το καταφέρουν αυτό τα rootkits θέτουν την λειτουργία της κάρτας δικτύου (NIC) του συστήµατος-θύµα σε Promiscious mode. Κατά την κανονική λειτουργία της η NIC ενός συστήµατος που είναι συνδεδεµένο σε ένα τοπικό δίκτυο, ακούει στο κοινό µέσο σύνδεσης και κρατάει τα πακέτα που προορίζονται γι αυτήν ενώ απορρίπτει όλα τα άλλα. Όταν όµως η NIC έχει τεθεί σε Promiscious mode έχει την δυνατότητα να ακούει την κίνηση που προορίζεται για άλλα συστήµατα του δικτύου, και έτσι µπορεί κάποιος να συλλέξει ευαίσθητες πληροφορίες για άλλα συστήµατα που ενδεχοµένως να µην του επιτρεπόταν. Τέτοιου είδους 16

17 17 πληροφορίες µπορεί να είναι userids και passwords συµπεριλαµβανοµένου και του root, για διάφορα σηµαντικά συστήµατα του δικτύου στο οποίο είναι συνδεδεµένο το σύστηµα-θύµα. Log wiping utilities Μια άλλη τεχνική που χρησιµοποιούν τα rootkits για να κρύψουν τα ίχνη του επιτιθέµενου είναι η χρήση κάποιων λειτουργιών µε τις οποίες αλλάζουν τα log files του συστήµατος, όπως τα messages, και syslog τα οποία κοιτάει ένας χρήστης για να ελέγξει τις δραστηριότητες που παίρνουν µέρος κάθε χρονική στιγµή στο σύστηµα. Σε µερικές περιπτώσεις τα rootkits απενεργοποιούν τελείως την δυνατότητα του συστήµατος να καταγράφει την δραστηριότητα που λαµβάνει µέρος. Κάτι τέτοιο όµως µπορεί να κινήσει υποψίες σε έναν χρήστη και δεν είναι χρήσιµο στον επιτιθέµενο σε περίπτωση που θέλει να µείνει αρκετή ώρα στο σύστηµα. Συνήθως τα rootkits τροποποιούν τα log files και διαγράφουν µόνο τις εγγραφές που αφορούν τις ενέργειες του επιτιθέµενου. Spyware Το λογισµικό υποκλοπής spyware είναι ένας γενικός όρος για λογισµικό το οποίο εκτελεί συγκεκριµένες ενέργειες, όπως προώθηση διαφηµίσεων, συλλογή προσωπικών δεδοµένων ή αλλαγή των ρυθµίσεων του υπολογιστή χωρίς συγκατάθεσή εκ των προτέρων. Το λογισµικό υποκλοπής spyware συχνά σχετίζεται µε λογισµικό που προβάλλει διαφηµίσεις (ονοµάζεται λογισµικό adware) ή λογισµικό που ανιχνεύει προσωπικά ή ευαίσθητα δεδοµένα. Τα προγράµµατα αυτά µπορούν να αλλάξουν την κεντρική σελίδα ή τη σελίδα αναζήτησης του προγράµµατος περιήγησης Web ή να προσθέσουν επιπλέον µέρη στο πρόγραµµα περιήγησης. Γενικά ο όρος spyware αναφέρεται σε ένα πρόγραµµα που χρησιµοποιείται για να παρακολουθεί τις δραστηριότητες του µολυσµένου υπολογιστή. Adware Λογισµικό που συλλέγει τα στοιχεία ενός χρήστη εν αγνοία του, µέσω της σύνδεσής του µε το Internet. Αυτά τα στοιχεία χρησιµοποιούνται συχνά για την εµφάνιση διαφηµίσεων µε pop-up ή άλλα µέσα. Προγράµµατα HIJACK Τα προγράµµατα αυτά ανήκουν στη γνωστή κατηγορία των Spyware και δεν διαγράφονται έτσι απλά ούτε εµφανίζονται µε ένα απλό search στον υπολογιστή αλλά και αν το εντοπίσετε και το διαγράψετε αυτό θα συνεχίσει µε κάθε τρόπο να εµφανίζετε. Το αρχείο αυτό του παραθύρου έχει κατάληξη (.hta) και το όνοµά του είναι γραµµένο στην επικεφαλίδα του.ο Browser που χρησιµοποιείτε έχει καταληφθεί από ένα πρόγραµµα hijack (πειρατής). Κάποια προγράµµατα Hijack τροποποιούν το registry µε αποτέλεσµα να µην αρκεί η απλή επαναρύθµιση του browser. Υπάρχουν ειδικά προγράµµατα που εντοπίζουν τα Hijack όπως το πρόγραµµα Hijack This. 17

18 18 Dialers Aρχίζουν να αποτελούν ολοένα και µεγαλύτερο πρόβληµα. Οι dialers είναι µικρά προγράµµατα (συνήθως µόνο 50 µε 80 kb σε µέγεθος) τα οποία έχουν τη δυνατότητα να αποσυνδέουν την υπάρχουσα κλήση της τηλεφωνικής γραµµής µε τον τοπικό πάροχο υπηρεσιών Internet (ISP) και να καλούν αυτόµατα ένα υψηλής χρέωσης αριθµό (π.χ. 901 ή αριθµούς εξωτερικού π.χ. 00xx) για πρόσβαση σε συγκεκριµένες υπηρεσίες χωρίς την συνειδητή συγκατάθεση του χρήστη.τα προγράµµατα αυτά, αρχικά αλλά και σήµερα, δηµιουργήθηκαν για την εξυπηρέτηση πληρωµών µικρών ποσών, δίνοντας τη δυνατότητα στο χρήστη να εισέρχεται σε συγκεκριµένες ιστοσελίδες (pay per view websites) και να χρεώνεται στον τηλεφωνικό του λογαριασµό για το περιεχόµενο που λαµβάνει. υστυχώς όµως, λόγω του «εύκολου χρήµατος» τα προγράµµατα αυτά αποτελούν σήµερα µία από τις µεγαλύτερες απειλές στο χώρο του διαδικτύου. Οι dialers προέρχονται από επισκέψεις σε συγκεκριµένες ιστοσελίδες. Αυτές µπορεί να είναι ιστοσελίδες που παρέχουν πειρατικό λογισµικό, ιστοσελίδες µε πορνογραφικό περιεχόµενο, ή ιστοσελίδες µε αµφιλεγόµενο περιεχόµενο. Οι ιδιοκτήτες αυτών των ιστοσελίδων έχουν το dialer λογισµικό ενσωµατωµένο στον κώδικα του web site τους ώστε να γίνεται download και να εγκαθίσταται αυτόµατα στο σύστηµα του χρήστη, χωρίς να γίνεται αντιληπτό και χωρίς να ζητάει απαραίτητα την συγκατάθεση του. Ένας άλλος τρόπος εµφάνισης αυτών των προγραµµάτων είναι µε τη µορφή συνηµµένων αρχείων σε ηλεκτρονικά µηνύµατα αλληλογραφίας, που παρουσιάζονται ως δηµοφιλή προγράµµατα όπου εάν ο χρήστης τα αποθηκεύσει και τα εγκαταστήσει, εγκαθιστά εν αγνοία του εφαρµογή dialer. Οι δύο συνηθέστεροι τρόποι που µπορούν να δράσουν οι dialers είναι οι εξής: 1) Μπορούν να αλλάξουν τις ρυθµίσεις του δικτύου µέσω τηλεφώνου (Dial Up Networking) έτσι ώστε να υποχρεώσουν το χρήστη να καλέσει έναν συγκεκριµένο αριθµό (συνήθως διεθνή κλήση σε αριθµό υψηλού κόστους) άγνωστο στο χρήστη. ιαγράφουν τον αριθµό του παρόχου υπηρεσιών Internet (ISP) που χρησιµοποιεί ο χρήστης και αντικαθιστούν αυτόν τον αριθµό µε τον δικό τους. Κατόπιν, αυτός ο αριθµός χρησιµοποιείται κάθε φορά που συνδέεται ο χρήστης στο Internet αντί για τον αριθµό του παρόχου υπηρεσιών Internet (ISP). 2) Μπορούν να αναγκάσουν τον υπολογιστή να παρακάµψει τις ρυθµίσεις του δικτύου µέσω τηλεφώνου (Dial Up Networking) και να καλέσει ένα συγκεκριµένο αριθµό. Παρόλο που µπορεί να εµφανίζονται οι προεπιλεγµένες ρυθµίσεις του χρήστη όταν συνδέεται στο Internet, θα καλείται ένας άλλος αριθµός που θα έχει οριστεί από τον dialer (συνήθως διεθνή κλήση σε αριθµό υψηλής χρέωσης). 18

19 19 ΤΡΟΠΟΙ ΙΑ ΟΣΗΣ ΕΠΙΚΙΝ ΥΝΩΝ ΠΡΟΓΡΑΜΜΑΤΩΝ 1) messages Αρχικά, ο τρόπος διάδοσης των πιο επικίνδυνων ιών ήταν µέσω των συνηµµένων του ηλεκτρονικού ταχυδροµείου δηλαδή µέσω των αρχείων τα οποία αποστέλλονταν µαζί µε κάποιο µήνυµα ηλεκτρονικού ταχυδροµείου. Συνήθως διακρίνετε εάν το ηλεκτρονικό ταχυδροµείο περιέχει συνηµµένα, διότι φαίνετε ένα εικονίδιο συνδετήρα το οποίο υποδεικνύει πως υπάρχει συνηµµένο αρχείο και περιέχει το όνοµά του. Φωτογραφίες, γράµµατα που έχουν γραφτεί στο Microsoft Word, ακόµη και λογιστικά φύλλα του Excel είναι µερικοί από τους τύπους των αρχείων που πιθανόν να λάβει κάποιος κάθε µέρα στο ηλεκτρονικό του ταχυδροµείο. Ο ιός εκτελείτε όταν ανοίξετε ένα προσβεβληµένο συνηµµένο αρχείο (συνήθως µε διπλό κλικ στο εικονίδιο ενός συνηµµένου). 2) Network shares Είναι ο κύριος τρόπος διάδοσης malware σήµερα που αποκτούν πρόσβαση στον υπολογιστή στόχο µε τρεις τρόπους Α) Dictionary and Brute-Force Attack: Τέτοιου είδους προγράµµατα έχουν ενσωµατωµένες λίστες µε κοινούς κωδικούς που τους χρησιµοποιούν για να εισβάλλουν στο σύστηµα. Μηχανήµατα µε εύκολα προβλέψιµους κωδικούς πρόσβασης κινδυνεύουν από τέτοιου είδους επιθέσεις. Β) Exploits: Τα προγράµµατα που διαδίδονται µε αυτόν τον τρόπο εκµεταλλεύονται τις τρύπες ασφάλειας που έχουν κάποιες εφαρµογές για να εκτελέσουν επιβλαβή κώδικα. Γ) P2P Programms: Προγράµµατα που χρησιµοποιούνται από πολλούς χρήστες για το διαµοιρασµό αρχείων. Στον κοινόχρηστο φάκελο που ορίζει ο χρήστης κατά την εγκατάσταση ενός peer to peer προγράµµατος µπορεί να αντιγραφεί malware που στη συνέχεια κατεβάζουν άλλοι χρήστες. 3) Instant Messengers Οι υπηρεσίες άµεσων µηνυµάτων που παρέχονται από εταιρείες όπως Yahoo, AOL και MSN χρησιµοποιούνται από worms για την εξάπλωσή τους. Το worm αντιγράφεται χρησιµοποιώντας τη δυνατότητα µεταφοράς αρχείων των Instant Messengers. Πολλοί διαδικτυακοί τόποι περιλαµβάνουν στον κώδικά τους εντολές για εκτέλεση µικρών προγραµµάτων για διαφόρους λόγους στον υπολογιστή του πελάτη. Παρακάτω παρουσιάζονται τύποι προγραµµάτων η ασφάλεια τους και τα προβλήµατα τους. 19

20 20 JAVA: Η γλώσσα προγραµµατισµού JAVA είναι η γλώσσα του Internet, επειδή τα προγράµµατα της χρησιµοποιούνται ανεξαρτήτως πλατφόρµας. Επίσης έχει σχεδιαστεί µε στόχο την ασφάλεια. ιαχειρίζεται δυναµικά τη µνήµη, δεν δίνει στον προγραµµατιστή πρόσβαση στη µνήµη ή σε δείκτες µνήµης και εντοπίζει σφάλµατα που προέρχονται από συντακτικά λάθη. Έτσι αποτρέπονται λάθη που θα οδηγούσαν σε τρύπες ασφάλειας ή system crash. Τα προγράµµατα java µπορούν να τρέξουν µε δύο µορφές: ως εφαρµογές (applications) και ως applets. Στο applet τα αντικείµενα της java κατεβαίνουν από το δικτυακό τόπο και εκτελούνται στον browser. Για λόγους ασφάλειας υπάρχουν περιορισµοί στα applets. 1. εν µπορούν να διαβάσουν ή να γράψουν στον τοπικό σκληρό δίσκο. 2. εν έχουν πρόσβαση στο υλικό. 3. εν έχουν πρόσβαση σε πληροφορίες περιβάλλοντος του συστήµατος. 4. εν µπορούν να ενεργοποιήσουν εντολές συστήµατος. 5. εν µπορούν να ξεκινήσουν συνδέσεις σε υπολογιστή διαφορετικό από αυτόν που προέρχονται. Επιπλέον ο security manager της Java επιβλέπει τις κλήσεις συστήµατος και αν εντοπίσει εξαίρεση στην πολιτική ασφάλειας του applet το τερµατίζει. O bytecode verifier επιβεβαιώνει ότι ένα πρόγραµµα ακολουθεί τους κανόνες και τους περιορισµούς της γλώσσας. ActiveX: Το ActiveX είναι ένα σύνολο τεχνολογιών από τη Microsoft που επιτρέπει το διαλογικό περιεχόµενο για το World Wide Web. Πριν από το ActiveX, το περιεχόµενο Ιστού ήταν στατικό και δυσδιάστατο. Με το ActiveX οι ιστοχώροι έρχονται ζωντανά χρησιµοποιώντας αποτελέσµατα πολυµέσων, διαλογικά αντικείµενα και περίπλοκες εφαρµογές που δηµιουργούν µια εµπειρία χρηστών συγκρίσιµη µε αυτήν των υψηλής ποιότητας τίτλων CD-Rom. Το ActiveX παρέχει τον κρίκο που συνδέει πολλές τεχνολογίες µαζί για να δηµιουργηθεί αυτό που λέγεται active Web-sites. Το ActiveX φέρνει την καινοτοµία και την αλληλεπίδραση στον παγόσµιο Ιστό. Επειδή υποστηρίζεται από πολλές διαφορετικές γλώσσες και εργαλεία, επιτρέπει στους προγραµµατιστές την ανάπτυξη µε ποικίλες δυνατότητες που σε συνδυασµό µε το υπόβαθρο και την πείρα τους φέρνει τη δηµιουργικότητά τους στον Ιστό. Με χιλιάδες τα τµήµατα λογισµικού που ήδη υπάρχουν, µια συναρπαστική συλλογή των διαλογικών αντικειµένων είναι διαθέσιµη για την άµεση χρήση από τους παραγωγούς Ιστού. Javascript: H Javascript είναι µια γλώσσα σεναρίου (script language) που χρησιµοποιείται για να δηµιουργήσουµε διαδραστικές (interactive) ιστοσελίδες. Ο κώδικας JavaScript συνήθως ενσωµατώνεται στον ΗTML Κώδικα. Η JavaScript JavaScript είναι µια ερµηνευόµενη γλώσσα (interpreted language), δηλαδή τα scripts εκτελούνται χωρίς να έχει προηγηθεί µεταγλώττιση του κώδικα (όπως π.χ. στην Pascal). Η JavaScript υποστηρίζεται από όλους τους δηµοφιλείς browsers, όπως ο Netscape και ο Internet Explorer, από την έκδοση 3.0 και έπειτα. Παρέχει στους σχεδιαστές ιστοσελίδων ένα προγραµµατιστικό εργαλείο. Συνήθως, όσοι αναπτύσσουν HTML κώδικα δεν είναι προγραµµατιστές, ωστόσο η JavaScript είναι µια scripting γλώσσα µε πολύ απλή σύνταξη, άρα εύκολη στην εκµάθηση. Επίσης µπορεί να εισάγει δυναµικό περιεχόµενο σε µια HTML σελίδα. Ο JavaScript κώδικας µπορεί να 20

21 21 αντιδράσει σε συµβάντα (events), δηλαδή να εκτελεστεί όταν κάτι συµβεί, π.χ. όταν ο χρήστης κάνει κλικ σε ένα πλήκτρο. Μερικά προβλήµατα ασφάλειας της JavaScript είναι : Η φόρτωση σε αποµακρυσµένο web server της λίστας καταλόγων (director listing) του υπολογιστή του χρήστη που επισκέπτεται την σελίδα. Η ικανότητα να παρακολουθούνται οι σελίδες που επισκέπτεται ο χρήστης. Το ανέβασµα των περιεχοµένων ενός αρχείου στον server χωρίς να το αντιλαµβάνεται ο χρήστης. Οι σηµερινοί browsers εκτός από την επιλογή για απενεργοποίηση της JavaScript, διαθέτουν επιλογές για ενεργοποίηση/απενεργοποίηση συγκεκριµένων δυνατοτήτων της για µεγαλύτερη ασφάλεια. Cookies: Τα cookies είναι µικρά αρχεία που εγκαθίστανται στο σκληρό δίσκο του υπολογιστή, όταν επισκεπτόµαστε τοποθεσίες Web για πρώτη φορά και περιέχουν πληροφορίες τις οποίες χρησιµοποιούν οι ιστοσελίδες για την αναγνώριση των χρηστών. Αν στον browser επιτρέπεται η αποθήκευση, το cookie αποθηκεύεται για την επόµενη φορά που θα γίνει σύνδεση, ο browser βρίσκει το cookie και το µεταφέρει στον server. Αυτή η διαδικασία κάνει δυνατή την αναγνώριση του χρήστη και τη ρύθµιση των σελίδων από εµπορικές ιστοσελίδες. Τα cookies µπορούν να χρησιµοποιηθούν για την καταγραφή πληροφοριών και τις συνήθειες του χρήστη. Αυτές οι πληροφορίες µπορεί να πάνε σε διαφηµιστές. Τα session cookies αποθηκεύονται στην cache του browser και χάνονται όταν κλείσει το παράθυρο του browser. Εξαιτίας του µικρού χρόνου ύπαρξης είναι τα πιο ασφαλή. Τα persistent cookies αποθηκεύονται στον σκληρό δίσκο και µπορούν να ανακτηθούν από το site την επόµενη φορά που θα το επισκεφτεί ο χρήστης. Αυτά τα cookies µπορεί να περιέχουν ευαίσθητα δεδοµένα όπως όνοµα χρήστη και υπολογιστή, κωδικούς πρόσβασης και άλλες πληροφορίες που µπορεί να εισάγει ο χρήστης στο site. Έτσι δηµιουργείται αδυναµία ασφάλειας γιατί ο χρήστης κινδυνεύει από µη εξουσιοδοτηµένη πρόσβαση στα αρχεία cookies. Τα third-party cookies είναι persistent cookies που δεν στέλνονται από web site αλλά από µια τρίτη αρχή ή διαφηµιστή. Αυτά δίνουν πληροφορίες για τη δραστηριότητα του χρήστη στο διαδίκτυο. Τα cookies εκτός από την ιδιωτικότητα µπορεί να απειλήσουν και την ασφάλεια αν µολυνθούν µε επιβλαβή κώδικα (script). Οι καταστροφικές συνέπειες ενεργοποιούνται µε την επίσκεψη στην ιστοσελίδα. Η αποδοχή των cookies µπορεί να ενεργοποιηθεί/απενεργοποιηθεί από τον browser. Όλα τα παραπάνω προγράµµατα πρέπει να εγκατασταθούν µε κάποιο τρόπο στον υπολογιστή του χρήστη για να λειτουργήσουν. Υπάρχει όµως και η πιθανότητα να δεχτεί επίθεση online από κάποιον cracker/hacker. Σε αυτή την περίπτωση χρησιµοποιούνται εργαλεία όπως port scanners, sniffers/remote access tools και hacking tools. 21

22 22 ΘΩΡΑΚΙΣΗ ΛΕΙΤΟΥΡΓΙΚΟΥ ΣΥΣΤΗΜΑΤΟΣ Windows XP Μετά την εγκατάσταση του λειτουργικού συστήµατος στον υπολογιστή θα πρέπει να γίνουν κάποιες ενέργειες σε οργανωτικό επίπεδο για την προστασία του συστήµατος από επιθέσεις. Η πρώτη και προφανής τεχνική για τη θωράκιση του λειτουργικού είναι είναι η κατάλληλη ρύθµισή του. Παρακάτω παρουσιάζονται κάποια θέµατα που πρέπει να δοθεί προσοχή. Πολιτικές κωδικών πρόσβασης (Password policies) Πολιτική κωδικού πρόσβασης είναι ένα σύνολο κανόνων µε σκοπό να ενισχύσουν ασφάλεια υπολογιστών µε την ενθάρρυνση των χρηστών για να υιοθετήσει ισχυρό κωδικοί πρόσβασης και τους χρησιµοποιήστε κατάλληλα. Οι πολιτικές κωδικού πρόσβασης είναι συχνά µέρος των επίσηµων κανονισµών. Η πολιτική κωδικού πρόσβασης µπορεί να είναι συµβουλευτική ή εξουσιοδοτηµένη από το συνυπολογισµό των δοκιµών σε έναν υπολογιστή λειτουργικό σύστηµα. Το επίπεδο δύναµης κωδικού πρόσβασης που απαιτείται εξαρτάται, εν µέρει, στον τρόπο µε τον οποίο εύκολο είναι για έναν επιτιθέµενο να υποβληθούν οι πολλαπλάσιες εικασίες. Μερικά συστήµατα περιορίζουν τον αριθµό χρόνων που ένας χρήστης µπορεί να πληκτρολογήσει έναν ανακριβή προσωπικό κωδικό προτού να επιβληθεί κάποια καθυστέρηση ή ο απολογισµός είναι παγωµένος. Σε άλλο ακραίο τρόπο, µερικά συστήµατα παρέχουν το α ειδικά κοµµατιασµένο στην έκδοση του κωδικού πρόσβασης έτσι καθένας µπορεί να ελέγξει την ισχύ της. Όταν αυτό γίνεται, ένας επιτιθέµενος µπορεί να δοκιµάσει τους κωδικούς πρόσβασης πολύ γρήγορα και οι πολύ ισχυρότεροι κωδικοί πρόσβασης είναι απαραίτητοι για τη λογική ασφάλεια. Η ακριβέστερη απαίτηση είναι επίσης κατάλληλη για τους απολογισµούς µε τα υψηλότερα προνόµια, όπως οι απολογισµοί διοικητών ρίζας ή συστηµάτων. Οι πολιτικές κωδικού πρόσβασης είναι συνήθως µια ανταλλαγή µεταξύ της θεωρητικής ασφάλειας και οι πρακτικότητες της ανθρώπινης συµπεριφοράς. Παραδείγµατα: Η απαίτηση των υπερβολικά σύνθετων κωδικών πρόσβασης και ο καταναγκασµός για να αλλαχτούν συχνά µπορούν να αναγκάσουν τους χρήστες για να γράψουν τους κωδικούς πρόσβασης κάτω στις θέσεις που είναι εύκολο για έναν εισβολέα να βρεθεί, όπως το α post-it σηµείωση κοντά στον υπολογιστή. Οι χρήστες έχουν συχνά τις συµβολοσειρές των κωδικών πρόσβασης που διαχειρίζονται. Μπορεί να είναι ρεαλιστικότερο να συστηθεί ότι ένας ενιαίος κωδικός πρόσβασης να χρησιµοποιείται για 22

23 23 όλες τις χαµηλές εφαρµογές ασφάλειας, όπως η ανάγνωση των σε απευθείας σύνδεση εφηµερίδων και η πρόσβαση των site ψυχαγωγίας. Οµοίως, απαιτητικοί να µην γράψουν ποτέ κάτω οι χρήστες οι κωδικοί πρόσβασής τους µπορούν να είναι µη ρεαλιστικοί και να οδηγήσουν τους χρήστες για να επιλέξουν αδύνατους. Μια εναλλακτική λύση είναι να προτείνει το γραπτό κωδικό πρόσβασης σε µια ασφαλή θέση, όπως το α ασφαλής ή ένα κρυπτογραφηµένο κύριο αρχείο. Ο συνυπολογισµός των ειδικών χαρακτήρων µπορεί να είναι ένα πρόβληµα εάν ένας χρήστης πρέπει να συνδεθεί σε υπολογιστή σε µια διαφορετική χώρα. Μερικοί ειδικοί χαρακτήρες µπορούν να είναι δύσκολο ή αδύνατο να βρεθούν στα πληκτρολόγια που σχεδιάζονται για µια άλλη γλώσσα. Μερικοί διαχειριστές ταυτότητας στα συστήµατα επιτρέπουν αναστοιχειοθέτηση κωδικού πρόσβασης αυτοεξυπηρετήσεων, όπου οι χρήστες µπορούν να παρακάµψουν την ασφάλεια κωδικού πρόσβασης µε την παροχή µιας απάντησης σε µια ή περισσότερες ερωτήσεις ασφάλειας όπως "πού ήσαστε γεννηµένοι;,"" ποια είναι η αγαπηµένη σας οµάδα ;"κλπ. Συχνά οι απαντήσεις σε αυτές τις ερωτήσεις µπορούν εύκολα να ληφθούν από µια κοντινή κοινωνική εφαρµοσµένη µηχανική, ή απλή έρευνα. Πολιτικές λογαριασµών (Account policies) Κάποιοι ειδικοί λογαριασµοί που υπάρχουν θα πρέπει να θωρακιστούν. Ο σηµαντικότερος λογαριασµός είναι αυτός του Administrator. Οι επόµενες ενέργειες εξασφαλίζουν το σύστηµα από επιθέσεις σε λογαριασµούς χρηστών. 1. Μετονοµασία του λογαριασµού Administrator. Εκτός από αυτό µπορεί να δηµιουργηθεί και ένας λογαριασµός-δόλωµα µε το ίδιο όνοµα αλλά χωρίς δικαιώµατα για να αποπροσανατολίσει κάποια επίθεση που ψάχνει για λογαριασµό µε δικαιώµατα διαχειριστή. 2. Για κάθε κοινόχρηστο κατάλογο θα πρέπει να γίνει αντικατάσταση της οµάδας Everyone µε την οµάδα Authenticated Users. Με την οµάδα Everyone έχουν πρόσβαση στους κοινόχρηστους πόρους και χρήστες που δεν είναι πιστοποιηµένοι. 3. Ο λογαριασµός Guest θα πρέπει να είναι απενεργοποιηµένος. Αυτός ο λογαριασµός χρησιµοποιείται για προσωρινούς χρήστες και αν δεν είναι απαραίτητος δεν πρέπει να ενεργοποιηθεί. Μητρώο (Registry) Το µητρώο των Windows περιέχει στοιχεία για τη ρύθµιση του λειτουργικού. Υπάρχουν πολλά σηµεία κλειδιά στο µητρώο που σχετίζονται µε την ασφάλεια και χρειάζεται ιδιαίτερη προσοχή στις ρυθµίσεις. 23

24 24 Το ακόλουθο κλειδί µητρώου περιορίζει την αποµακρυσµένη πρόσβαση στο µητρώο: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurePipeServers\ winreg Αυτή όµως η δυνατότητα είναι και ταυτόχρονα τρύπα ασφαλείας. Προστασία του security event log. Πρέπει να απαγορεύεται η πρόσβαση από το λογαριασµό Guest. HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\EventLog\[Log name]\ RistrictGuessAccess value 1) Περιορισµός ανώνυµης (anonymous) πρόσβασης στο µητρώο. HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\LanManServer\Parameters\ NullSessionPipes value : εξουσιοδοτηµένα ονόµατα Επίσης κάποιες σηµαντικές ρυθµίσεις για το δίκτυο: Απενεργοποίηση IP forwarding Απενεργοποίηση ICMP-Redirect Ενεργοποίηση TCP/IP filtering Προστασία από Denial-of-Service Υπάρχουν ακόµα δεκάδες κλειδιά, απαιτείται όµως µεγάλη προσοχή ώστε να µη γίνει κάποιο λάθος. Οι διορθώσεις ασφάλειας (patches) διορθώνουν το µητρώο χωρίς την παρέµβαση του χρήστη. Netbios Το NetBIOS σε TCP/IP είναι το στοιχείο δικτύου που πραγµατοποιεί την αντιστοίχηση ονόµατος υπολογιστή στη διεύθυνση IP, καθώς και την ανάλυση του ονόµατος (NETBT.SYS στα Windows NT και VNBT.VXD στα Windows for Workgroups και τα Windows 95). Υπάρχουν τέσσερις µέθοδοι ανάλυσης ονόµατος NetBIOS σε TCP/IP: b-node, p-node, m-node και h-node. B-Node Κατά τη χρήση b-node, οι µεταδόσεις χρησιµοποιούνται και για την εγγραφή, αλλά και για την ανάλυση του ονόµατος. Σε δίκτυο TCP/IP, εάν ο δροµολογητής IP δεν έχει ρυθµιστεί ώστε να προωθεί τις µεταδόσεις εγγραφής ονόµατος και ερωτήµατος ονόµατος, τα συστήµατα σε διαφορετικά δευτερεύοντα δίκτυα δεν θα µπορούν να βλέπουν το ένα το άλλο, αφού δεν θα λαµβάνουν τις µεταδόσεις. Η ανάλυση ονόµατος b-node δεν είναι η καλύτερη επιλογή σε µεγαλύτερα δίκτυα, επειδή η εξάρτησή του από τις µεταδόσεις µπορεί να φορτώσει το δίκτυο µε µεταδόσεις. 24

25 25 P-Node (ή Point to Point Node) Κατά τη χρήση της ανάλυσης ονόµατος p-node, οι µεταδόσεις ΕΝ χρησιµοποιούνται για εγγραφή ή ανάλυση ονόµατος. Αντίθετα, όλα τα συστήµατα καταχωρούνται µόνα τους κατά την εκκίνηση µε ένα όνοµα διακοµιστή NetBIOS (NetBIOS Name Server-NBNS). Το NBNS πραγµατοποιεί την αντιστοίχηση των ονοµάτων των υπολογιστών σε διευθύνσεις IP και εξασφαλίζει την µη εγγραφή διπλών ονοµάτων στο δίκτυο. Όλα τα συστήµατα πρέπει να γνωρίζουν τη διεύθυνση IP του NBNS, που αντιστοιχεί σε διακοµιστή WINS. Εάν στα συστήµατα δεν έχει ρυθµιστεί µε τη σωστή διεύθυνση IP για τον NBNS, δεν θα λειτουργήσει η ανάλυση ονόµατος p-node. Η µέθοδος ανάλυσης ονόµατος p-node χρησιµοποιεί κατευθυνόµενα datagram του πρωτοκόλλου UDP (User Datagram Protocol), καθώς και περιόδους λειτουργίας TCP για την επικοινωνία προς και από τον NBNS. Το κύριο µειονέκτηµα της ανάλυσης ονόµατος p-node είναι ότι εάν δεν παρέχεται πρόσβαση στον NBNS, δεν θα υπάρχει τρόπος επίλυσης ονοµάτων και, άρα, κανένας τρόπος πρόσβασης σε άλλα συστήµατα του δικτύου. M-Node (ή Mixed Node) Ο m-node χρησιµοποιεί συνδυασµό του b-node και του p-node για την ανάλυση ονόµατος. Αυτή η µέθοδος χρησιµοποιεί πρώτα τον b-node και, κατόπιν, τον p-node, ο οποίος, θεωρητικά, θα έπρεπε να αυξάνει τις επιδόσεις του τοπικού δικτύου (LAN). Ο m-node έχει το πλεονέκτηµα σε σχέση µε τον p- node ότι αν δεν είναι διαθέσιµος ο NBNS, παρέχει πρόσβαση στα συστήµατα του τοπικού δευτερεύοντος δικτύου µέσω ανάλυσης b-node. Ο m-node δεν είναι, τυπικά, η καλύτερη επιλογή για µεγαλύτερα δίκτυα, επειδή χρησιµοποιεί τον b- node και αυτό επιδρά στις µεταδόσεις. Ωστόσο, όταν έχετε ένα µεγάλο δίκτυο που αποτελείται από µικρότερα δευτερεύοντα δίκτυα, συνδεδεµένα µέσω αργών συνδέσεων ευρύτερου δικτύου WAN (Wide Area Network), προτιµάται η µέθοδος m-node, επειδή µειώνει τον όγκο της επικοινωνίας στις αργές συνδέσεις. H-Node (ή Hybrid node) Η ανάλυση ονόµατος h-node, που βρίσκεται προς το παρόν σε µορφή προχείρου RFC, χρησιµοποιεί επίσης τον b-node και τον p-node, αλλά χρησιµοποιεί µόνο τον b-node ως τελευταία λύση. Όταν πραγµατοποιηθεί ρύθµιση για χρήση h-node, το σύστηµα θα προσπαθεί πάντοτε να χρησιµοποιήσει p- node, ενώ θα χρησιµοποιήσει τον b-node ΜΟΝΟ εάν αποτύχει ο p-node. Επιπλέον, τα συστήµατα µπορούν να ρυθµιστούν για χρήση του αρχείου LMHOSTS, αφού αποτύχει ο p-node και πριν την απόπειρα χρήσης του b-node. Η ανάλυση h-node δεν απαιτεί επιτυχηµένη εγγραφή p-node για να προετοιµαστεί ένα σύστηµα, όµως, το σύστηµα θα χρησιµοποιήσει αυστηρά µόνο τον b-node µέχρι να επιτύχει η εγγραφή του p-node. Εάν δεν είναι διαθέσιµο το NBNS και το σύστηµα περιορίζεται στη χρήση ανάλυσης b-node, θα 25

26 26 εξακολουθήσει να προσπαθεί την επικοινωνία µε τον NBNS, ώστε να µπορέσει να επιστρέψει στη χρήση του p-node, εάν γίνει διαθέσιµος ο NBNS. Ένας απλός τρόπος είναι η αποδέσµευση υπηρεσιών NetBIOS από τον driver TCP/IP. Στα Windows XP Professional αυτό γίνεται ως εξής: Ιδιότητες δικτύου Networking->TCP/IP Στην καρτέλα General επιλέγουµε Advanced Στην καρτέλα WINS επιλέγουµε Disable NetBIOS over TCP/IP Μπλοκάρισµα θυρών TCP/IP Σε περίπτωση που θέλουµε να µπλοκάρουµε µη εξουσιοδοτηµένη πρόσβαση από το δίκτυο στον server (εάν υπάρχει), τότε µπορούµε να µπλοκάρουµε συγκεκριµένες θύρες TCP/IP. Αυτό στα Windows XP Professional γίνεται ως εξής: Ιδιότητες δικτύου Επιλογή TCP/IP και κλικ στο κουµπί properties Advanced TCP/IP settings Επιλογή της καρτέλας Options Properties Enable TCP/IP filtering Προσθήκη των θυρών που µας ενδιαφέρουν. 26

27 27 Άλλα µέτρα προστασίας Εγκατάσταση όλων των διορθωτικών πακέτων Χρήση συστήµατος αρχείων NTFS. Το σύστηµα FAT δεν διαθέτει ρυθµίσεις ασφάλειας ή πρόσβασης. Χρησιµοποίηση των ACL (Access Control Lists) σε βασικά θεµελιώδη αρχεία για να επιτρέπεται η πρόσβαση µόνο σε εξουσιοδοτηµένους-επιλεγµένους χρήστες. Εγκατάσταση προγραµµάτων ασφαλείας Χρήση προγραµµάτων Antivirus-Firewalls και ότι άλλο θεωρείται απαραίτητο. Για διακίνηση ευαίσθητων δεδοµένων γίνεται εγκατάσταση προϊόντων κρυπτογράφησης αρχείων ή µηνυµάτων ηλεκτρονικού ταχυδροµείου. LINUX Το Linux είναι ασφαλέστερο λειτουργικό σύστηµα από τα Windows, λόγω της µικρότερης πιθανότητας προσβολής (µικρότερος αριθµός υπολογιστών σε σχέση µε τον αριθµό υπολογιστών που το λειτουργικό τους είναι windows) και των λιγότερων ανοικτών θυρών µετά την εγκατάσταση σε σχέση µε τα Windows αλλά κανένα λειτουργικό σύστηµα δεν είναι 100% ασφαλές. Εγκατάσταση Linux Για έναν υπολογιστή ή ένα σύστηµα επιχείρησης που θα έχει πρόσβαση στο internet είναι καλύτερο να γίνει η εγκατάσταση του λειτουργικού από την αρχή (clean installation) για να υπάρχει εγγύηση για την ακεραιότητά του. Κατά την εγκατάσταση του λειτουργικού θα πρέπει να δίνεται ιδιαίτερη προσοχή στις 27

28 28 κατατµήσεις του δίσκου (partitions) έτσι ώστε το root partition να µην γεµίζει γρήγορα µε δεδοµένα αποφεύγοντας έτσι Denial of Service ( system crash). Στην πορεία της εγκατάστασης, όταν γίνεται η επιλογή των πακέτων λογισµικού που θα εγκατασταθούν καλό είναι ο χρήστης να επιλέξει την επιλογή custom ώστε να αποφασίσει ο ίδιος την εγκατάσταση µόνο των πακέτων που χρειάζεται. Μετά την ολοκλήρωση της εγκατάστασης πρέπει να γίνει και εγκατάσταση των αναβαθµίσεων ασφάλειας (security updates). Καλό θα είναι να αποφεύγεται η απ ευθείας ενηµέρωση από το διαδίκτυο γιατί ο υπολογιστής µπορεί να είναι εκτεθιµένος σε spyware ή Trojans. Όλες οι διανοµές Linux (Mandrake, Red Hat, Ubuntu κ.α.) περιλαµβάνουν εργαλεία που κατεβάζουν αυτόµατα από το διαδίκτυο αναβαθµίσεις των προγραµµάτων. Όταν σε ένα πρόγραµµα εµφανιστεί πρόβληµα ασφαλείας αυτό επιδιορθώνεται από την κοινότητα του ανοικτού λογισµικου. Για παράδειγµα σε Mandrake Linux υπάρχει το Mandrake Update που βρίσκεται στο Mandrake Control Center. Οι αναβαθµίσεις ασφάλειας πρέπει να γίνονται συχνά µετά την εγκατάσταση του λειτουργικού. Το εργαλείο autorpm είναι command line εργαλείο και εντοπίζει τα πακέτα που χρειάζονται αναβάθµιση. Αν ο χρήστης το επιθυµεί µπορεί να κατεβάσει και να εγκαταστήσει τα αρχεία που χρειάζονται. Έλεγχος των ενεργών υπηρεσιών Το Linux περιλαµβάνει ένα µεγάλο αριθµό δικτυακών υπηρεσιών (ανάλογα µε την έκδοση). Σε κάποιες περιπτώσεις ενδέχεται να είναι ενεργοποιηµένες κατά την εκκίνηση υπηρεσίες που ο χρήστης δε χρειάζεται. Αν ο υπολογιστής δε χρησιµοποιείται ως web server δεν υπάρχει νόηµα να είναι ενεργοποιηµένη η υπηρεσία httpd. Επίσης η υπηρεσία rlogin (remote login) που επιτρέπει τη σύνδεση αποµακρυσµένου χρήστη πρέπει να είναι απενεργοποιηµένη αν δεν χρησιµοποιείται, για λόγους ασφαλείας. Ρύθµιση Firewall Ο πυρήνας του GNU/Linux παρέχει ένα packet filtering system/σύστηµα φιλτραρίσµατος πακέτων που ονοµάζεταιnetfilter, καθώς και το παραδοσιακό interface για το χειρισµό netfilter που είναι η σουίτα εντολών iptables. Τα iptables είναι µια ολοκληρωµένη λύση firewall µε µεγάλη ευελιξία που είναι ιδιαίτερα διαµορφώσιµη. Η γνώση για την σωστή ρύθµιση των iptables απαιτεί χρόνο, και για να ξεκινήσει κάποιος µε το netfilter firewalling χρησιµοποιώντας µόνο iptables είναι γενικά κάτι αποθαρρυντικό. Ως αποτέλεσµα, έχουν δηµιουργηθεί όλα αυτά τα χρόνια πολλά frontends(γραφικά) για τα iptables, το καθένα από τα οποία προσπαθεί να επιτύχει διαφορετικό αποτέλεσµα και έχουν ως στόχο ένα διαφορετικό κοινό χρηστών. Το Uncomplicated Firewall (UFW) είναι ένα frontend για τα iptables, και παρέχει ένα πλαίσιο για τη διαχείριση του netfilter, καθώς και ένα περιβάλλον γραµµής εντολών για το χειρισµό του firewall. Το UFW στοχεύει να παρέχει ένα εύχρηστο περιβάλλον εργασίας για τα άτοµα που δεν είναι εξοικειωµένοι µε τις έννοιες του τείχους προστασίας, ενώ ταυτόχρονα απλοποιεί τις πολύπλοκες εντολές iptables για να βοηθήσει έναν διαχειριστή που ξέρει τι κάνει. Η εκκίνηση του UFW είναι εύκολη. Για παράδειγµα, για να ενεργοποιήσετε το τείχος προστασίας, να επιτρέψετε την πρόσβαση ssh, να επιτρέψετε την καταγραφή(logging), και να ελέγξετε την κατάσταση του τείχους προστασίας, εκτελούµε: 28

29 29 $ sudo ufw allow ssh/tcp $ sudo ufw logging on $ sudo ufw enable $ sudo ufw status Firewall loaded To Action From :tcp ALLOW Anywhere Log Files (Αρχεία καταγραφής) Τα συµβάντα σε ένα σύστηµα καταγράφονται στα log files. Ο root µπορεί ανά πάσα στιγµή να ελέγξει αυτά τα αρχεία για τον εντοπισµό µη εξουσιοδοτηµένων αποπειρών συνδέσεων ή προσπαθειών παραβίασης της ασφάλειας του συστήµατος. Στο αρχείο var/log/messages υπάρχουν εγγραφές συµβάντων και για να δούµε τι περιέχει δίνουµε την εντολή σε terminal tail n X /var/log/messages, όπου X ένας αριθµός που δηλώνει το πλήθος των τελευταίων γραµµών του αρχείου που θα εµφανιστούν. Αυτό γίνεται γιατί το µέγεθος του αρχείου αυξάνεται πολύ γρήγορα και συνήθως οι καταχωρήσεις είναι εκατοντάδες γραµµές. Εµφανίζονται πληροφορίες σχετικά µε την εκκίνηση του λειτουργικού, για κάποιες συσκευές του συστήµατος, για επιτυχηµένες ή αποτυχηµένες προσπάθειες σύνδεσης, για προσπάθειες αλλαγής password κ.α. Στην αρχή κάθε γραµµής φαίνεται η ώρα και η ηµεροµηνία του γεγονότος. Παρακολουθώντας το αρχείο καταγραφής µπορεί ο διαχειριστής να ανακαλύψει περίεργη συµπεριφορά που µπορεί να προέρχεται από εισβολέα ή κάποιο malware. Με την εντολή watch ο διαχειριστής µπορεί να βλέπει το log αρχείο σε τακτό χρονικό διάστηµα που ορίζει ο ίδιος. Για παράδειγµα µε την εντολή watch n 300 tail n 20 /var/log/messages εµφανίζονται οι 20 τελευταίες εγγραφές του αρχείου κάθε 300 δευτερόλεπτα (5 λεπτά). Αν ο διαχειριστής θέλει να ελέγξει ποιοι χρήστες είναι συνδεδεµένοι στο σύστηµα µπορεί να χρησιµοποιήσει το εργαλείο last. Αυτό, δείχνει την ηµεροµηνία και ώρα εισόδου / εξόδου καθενός χρήστη. Η εντολή lastlog είναι πιο γενική και δείχνει εκτός από τους χρήστες και τις υπηρεσίες που έχουν λογαριασµό στο σύστηµα. Έτσι αν ο διαχειριστής εντοπίσει έναν λογαριασµό µιας υπηρεσίας που είναι ανοικτός ενώ δεν θα έπρεπε, ίσως να πρόκειται για υπηρεσία που ξεκίνησε κακόβουλο άτοµο για να προξενήσει ζηµιά στο σύστηµα. Για µεγαλύτερη ευκολία και αποτελεσµατικότητα λόγω του µεγάλου µεγέθους των αρχείων καταγραφής υπάρχουν εργαλεία αναλυτές αρχείων καταγραφής. Ένα τέτοιο είναι το Swatch (Perl script) που παρακολουθεί τις καταγραφές και ενεργεί όταν εµφανιστούν συγκεκριµένα µοτίβα εγγραφών που ενδιαφέρουν τον διαχειριστή. Η ενέργεια µπορεί να είναι αποστολή µηνύµατος ηλεκτρονικού ταχυδροµείου,εµφάνιση 29

30 30 προειδοποίησης, ή εκτέλεση άλλου προγράµµατος ή script. Πολλές φορές οι εισβολείς προσπαθούν να διαγράψουν τα αρχεία καταγραφής για να µην υπάρχει απόδειξη της παρουσίας τους. Για να αντιµετωπιστεί αυτό µπορούµε να ανακατευθύνουµε τις εγγραφές σε αποµακρυσµένο µηχάνηµα ή να εκτυπώνονται οι καταγραφές. File administration Το αρχείο /etc/passwd είναι αρχείο βάσης δεδοµένων όπου αποθηκεύονται οι λογαριασµοί των χρηστών και οι κωδικοί, γι αυτό πρέπει να ασφαλιστεί. Το σύστηµα πρέπει να χρησιµοποιεί το /etc/shadow που αποθηκεύει τους κωδικούς των χρηστών σε µορφή hash σε ένα αρχείο που είναι προσβάσιµο µόνο στον διαχειριστή. Έτσι οι κωδικοί δεν είναι εύκολα προσβάσιµοι. Για την ενεργοποίηση των shadows κωδικών (αν δεν είναι προεπιλεγµένο) δίνουµε την εντολή pwconv. Το επόµενο βήµα είναι η διαγραφή των default λογαριασµών του συστήµατος στο αρχείο /etc/passwd. Αυτοί οι λογαριασµοί χρησιµεύουν σε κάποιες δραστηριότητες του συστήµατος που µπορεί να µη χρησιµεύουν το χρήστη. Η ύπαρξη πολλών λογαριασµών κάνει την πρόσβαση στον υπολογιστή πιο εύκολη. Για παράδειγµα αν δεν τρέχει ο nntp, ένας news group server, δεν χρειάζεται ο λογαριασµός news. Έλεγχος της ακεραιότητας των αρχείων συστήµατος Αν ένας εισβολέας αποκτήσει πρόσβαση στο σύστηµα είναι πιθανό να προσπαθήσει να αντικαταστήσει αρχεία συστήµατος για να αποκτά ευκολότερα πρόσβαση µελλοντικά. Μια λύση είναι η χρήση εργαλείων αποτυπωµάτων (fingerprinting) όπως για παράδειγµα το md5sum. Χρησιµοποιεί τον αλγόριθµο MD5 για τη δηµιουργία hash των αρχείων. Αν δυο hash ίδιου αρχείου διαφέρουν τότε αυτό σηµαίνει ότι το αρχείο έχει τροποποιηθεί. Μια άλλη λύση είναι η χρήση προγραµµάτων όπως το Tripwire το οποίο εντοπίζει µη εξουσιοδοτηµένη µεταβολή των αρχείων και ενηµερώνει το χρήστη αν αλλάξει η ιδιοκτησία ή τα δικαιώµατα ενός αρχείου. Παράδειγµα ρυθµίσεων σε Linux Στην καρτέλα Basic ο χρήστης επιλέγει ένα από τα προκαθορισµένα επίπεδα ασφάλειας που είναι : standard, high, higher και paranoid. Το ελάχιστο προτεινόµενο επίπεδο για έναν υπολογιστή που συνδέεται στο internet ως client είναι το standard, ενώ για έναν υπολογιστή που τρέχει server προτείνεται τουλάχιστον το επίπεδο higher. 30

31 31 Ο χρήστης αφού επιλέξει ένα επίπεδο ασφάλειας µπορεί µετά να το προσαρµόσει σύµφωνα µε τις ανάγκες, επιλέγοντας τις επόµενες τρεις καρτέλες και αλλάζοντας τις ρυθµίσεις αναλυτικά. Υπάρχουν επιλογές δικτύου, συστήµατος και περιοδικών ελέγχων. Σε κάθε καρτέλα υπάρχουν δύο στήλες, η στήλη µε τις επιλογές και η στήλη µε τις τιµές. Οι δυνατές τιµές είναι : yes, no και default. Με yes ενεργοποιείται η επιλογή, µε no απενεργοποιείται και µε default παραµένει ως έχει από το επιλεγµένο επίπεδο ασφάλειας. 31

32 32 ΑΣΦΑΛΕΙΑ ΕΞΥΠΗΡΕΤΗ WEB Οι web servers ή εξυπηρέτες web είναι πολύπλοκα προγράµµατα που παρέχουν τη δυνατότητα να προσπελαστούν σελίδες HTML από τα προγράµµατα πλοήγησης (web browsers). έχονται αιτήσεις από υπολογιστές συνδεδεµένους στο διαδίκτυο και παραδίδουν σε αυτούς τις ζητούµενες πληροφορίες. Επειδή οι εξυπηρέτες web είναι και αυτοί λογισµικό, υπάρχουν σίγουρα αδυναµίες και κενά ασφάλειας που µπορεί κάποιος να εκµεταλλευτεί. Οι επιθέσεις σε εξυπηρέτες web είναι πολύ συνηθισµένες και κυρίως η αλλαγή της αρχικής σελίδας ενός δικτυακού τόπου. Η εγκατάσταση ενός εξυπηρέτη web είναι πολύ εύκολη και ο καθένας µπορεί να έχει το δικό του τόπο στο διαδίκτυο στον οποίο θα έχει πρόσβαση οποιοσδήποτε παγκοσµίως. Αυτό όµως αυξάνει την πιθανότητα ο χρήστης να δεχτεί επίθεση στον server για διάφορους λόγους. Το πρόβληµα είναι µεγαλύτερο όταν αφορά εταιρείες και κυρίες πολυεθνικές ή κυβερνητικούς οργανισµούς. Υπάρχουν κάποια βήµατα για τη θωράκιση του υπολογιστή και ειδικότερα του εξυπηρέτη web για την βελτίωση της ασφάλειας. Τα Web sites είναι ευπαθή σε επιθέσεις για τους παρακάτω λόγους: Ατέλειες λογισµικού στο σύστηµα: Ένα ασφαλές πρόγραµµα κάνει αυτό που είναι σχεδιασµένο να κάνει και τίποτε περισσότερο. Αυτό ισχύει όµως για ελάχιστα προγράµµατα. Αν και ένας βασικός web server µπορεί να είναι αρκετά µικρός σε κώδικα, οι σύγχρονοι εξυπηρέτες περιλαµβάνουν πολλές επιλογές ρυθµίσεων και είναι επεκτάσιµοι µέσω interfaces και CGI scripts. Με αυτό τον τρόπο αυξάνεται η πιθανότητα να υπάρχουν ατέλειες (bugs). Το λογισµικό συστήµατος είναι ρυθµισµένο λάθος: Ακόµα και αν δεν υπάρχουν τρύπες ασφάλειας στον web server, ένα site δεν είναι ασφαλές αν οι άλλοι εξυπηρέτες που µπορεί να τρέχουν στο σύστηµα και το λειτουργικό του συστήµατος δεν είναι σωστά ρυθµισµένα. Το υλικό (hardware) του εξυπηρέτη δεν είναι ασφαλές:ο υπολογιστής που είναι εγκατεστηµένος ο server πρέπει να βρίσκεται σε προστατευµένο χώρο να µην έχουν πρόσβαση σε αυτόν µη εξουσιοδοτηµένα άτοµα. Η εισαγωγή κωδικού δεν προστατεύει καθώς το σύστηµα µπορεί να εκκινήσει από φορητό µέσο αποθήκευσης. Τα δίκτυα δεν είναι ασφαλή:στα περισσότερα δίκτυα οι µεταδόσεις δεν είναι κρυπτογραφηµένες, οπότε µπορεί να γίνει υποκλοπή κωδικών πρόσβασης και αρχείων ( µε προγράµµατα sniffer). Τρύπες ασφάλειας σε εργαλεία αποµακρυσµένης διαχείρισης :Οι δικτυακοί τόποι ενηµερώνονται τακτικάκαι για µεγαλύτερη ευκολία υπάρχουν προγράµµατα µε τα οποία γίνεται ενηµέρωση αποµακρυσµένα. Οι εσωτερικές απειλές αγνοούνται Επιθέσεις Denial of Service αγνοούνται εν υπάρχει πολιτική ασφάλειας: πολιτική ασφάλειας υπάρχει όταν υφίσταται µια λίστα µε το τι επιτρέπεται και τι όχι. Αν δεν υπάρχει πολιτική ασφάλειας κανείς δεν µπορεί να γνωρίζει εάν ο δικτυακός τόπος είναι ασφαλής. 32

33 33 Ενέργειες για βελτίωση ασφάλειας ενός δικτυακού τόπου 1. Ασφάλιση του web server και του λειτουργικού συστήµατος. Το λειτουργικό σύστηµα πάνω στο οποίο θα τρέχει ο web server πρέπει να είναι όσο πιο ασφαλές γίνεται. Θα πρέπει να εγκατασταθούν τα τελευταία προγράµµατα ασφαλείας ενώ ρυθµίσεις που δεν χρειάζονται θα πρέπει να απενεργοποιούνται. 2. Παρακολούθηση για ύποπτη δραστηριότητα. Κάποιες επιθέσεις γίνονται εύκολα αντιληπτές ενώ κάποιες άλλες όχι. Ο εξυπηρέτης αλλά και το ίδιο το λειτουργικό διατηρούν αρχεία καταγραφής που ο διαχειριστής του συστήµατος θα πρέπει να παρακολουθεί. 3. Έλεγχος πρόσβασης. Κάποιοι δικτυακοί τόποι έχουν περιοχές που µπορούν να τις επισκεφτούν µόνο καταχωρηµένοι χρήστες. Οι εξυπηρέτες web διαθέτουν µηχανισµούς για την πιστοποίηση και εξουσιοδότηση αποµακρυσµένων χρηστών. 4. Ασφαλή CGI scripts. Τα CGI scripts εκτελούνται στον εξυπηρέτη web και δεν πρέπει να εγκαθίστανται scripts που δεν είναι προσεκτικά σχεδιασµένα γιατί ο δικτυακός τόπος θα είναι ευάλωτος σε επιθέσεις. 5. Ρύθµιση της δυνατότητας αποµακρυσµένης διαχείρισης. Ένας δικτυακός τόπος µπορεί να ενηµερωθεί αποµακρυσµένα αλλά χρειάζεται προσοχή ώστε να µην µπορεί να το κάνει αυτό κάποιος χωρίς εξουσιοδότηση. 6. Προστασία του τοπικού δικτύου. Είναι σηµαντικό να εξασφαλιστεί ότι ο εξυπηρέτης web σε περίπτωση που καταληφθεί από επίθεση δεν θα χρησιµεύσει για επίθεση και στους συνδεδεµένους υπολογιστές του τοπικού δικτύου, οπότε γίνεται απαραίτητη η χρήση των φραγµάτων ασφαλείας. 7. Ενηµέρωση των διαχειριστών για τα ζητήµατα ασφάλειας. Νέα κενά ασφάλειας ανακαλύπτονται καθηµερινά και ένας εξυπηρέτης web δεν θα είναι για πάντοτε ασφαλής. Πρέπει να γίνεται εγκατάσταση διορθώσεων και εγκατάσταση νεότερων εκδόσεων των προγραµµάτων. Αρχεία καταγραφής (Log files) Από την αρχή της δηµιουργίας του Παγκόσµιου Ιστού, υπήρξε η ανάγκη για την καταγραφή και την αποθήκευση ορισµένων πληροφοριών σχετικά µε τη χρήση των δικτυακών τόπων, δηλαδή στοιχείων για τους χρήστες που τους επισκέπτονταν, το χρόνο των επισκέψεων τους, τα µέσα που χρησιµοποιούσαν για τη επίσκεψη, την προέλευσή τους όπως και διαφόρων στοιχείων σχετικών µε τις ιστοσελίδες, τις οποίες οι χρήστες επέλεγαν να επισκεφτούν. Παρατηρώντας τη ραγδαία ανάπτυξη του Παγκόσµιου Ιστού παράλληλα µε την εντυπωσιακή αύξηση του αριθµού των χρηστών του, εύκολα γίνεται κατανοητό ότι η πρόσβαση στους δικτυακούς τόπους πραγµατοποιείται µε έναν συνεχώς αυξανόµενο ρυθµό. Κατά συνέπεια,η ανάγκη για τη συγκέντρωση των στοιχείων που προαναφέρθηκαν έγινε εντονότερη, τα είδη των στοιχείων που απαιτούνταν για συγκέντρωση αυξήθηκαν, ενώ 33

34 34 παράλληλα η συλλογή της επιθυµητής πληροφορίας έγινε δυσκολότερη, τόσο λόγω της πολυπλοκότητας συλλογής της, όσο και λόγω του αυξανόµενου όγκου της. Η διαδικασία καταγραφής και αποθήκευσης των επιθυµητών πληροφοριών πραγµατοποιείται από τους ίδιους του εξυπηρετητές ιστού. Οι εξυπηρετητές ιστού, έχουν ως προεπιλογή την ακριβή καταγραφή διαφόρων συγκεκριµένων στοιχείων, άµεσα τη στιγµή που οποιαδήποτε ιστοσελίδα που φιλοξενείται σε αυτούς προσπελαύνεται από κάποιον χρήστη. Τα στοιχεία αυτά ενδέχεται να διαφέρουν από εξυπηρετητή σε εξυπηρετητή, ενώ και ο ίδιος ο διαχειριστής των σύγχρονων εξυπηρετητών έχει τη δυνατότητα να επιλέγει την καταγραφή µόνο των στοιχείων για τα οποία ο ίδιος ενδιαφέρεται. Ένας ακόµα τοµέας στον οποίο διαφέρουν µεταξύ τους οι εξυπηρετητές ιστού είναι αυτός της µορφής καταγραφής της συλλεγόµενης πληροφορίας. Η πληροφορία µπορεί κατά την καταγραφή να διατάσσεται διαφορετικά, ενώ ορισµένα στοιχεία ενδέχεται να καταγράφονται µε διαφορετική µορφή σε δύο διαφορετικούς εξυπηρετητές. Ο ρόλος και η αναγκαιότητα των αρχείων καταγραφής πρόσβασης: Η καταγραφή της πληροφορίας πρόσβασης και η αποθήκευσή της, δε γίνονται τυχαία. Συγκεκριµένοι λόγοι οδήγησαν στην ανάγκη καταγραφής πολλών και πολλές φορές ετερογενών στοιχείων, σχετικά µε την πρόσβαση στους δικτυακούς τόπους. Το πρώτο στοιχείο που πιθανότατα χρειάστηκε στους δηµιουργούς των δικτυακών τόπων είναι φυσικά το πλήθος των επισκέψεων που δέχονται οι δικτυακοί τους τόποι. Το στοιχείο αυτό ίσως να µην φαίνεται ουσιαστικό, καθώς ο δηµιουργός ή ο διαχειριστής ενός δικτυακού τόπου επιθυµεί µεν τη µεγάλη επισκεψιµότητα του δικτυακού του τόπου, δεν φαίνεται όµως να ωφελείται από τη γνώση της υπάρχουσας επισκεψιµότητας προκειµένου να τη βελτιώσει. Υπάρχει µία εντελώς διαφορετική παράµετρος, στην οποία η γνώση ακόµα και της γενικής επισκεψιµότητας ενός δικτυακού τόπου, µπορεί να διαδραµατίσει καθοριστικό ρόλο. Όταν η επισκεψιµότητα αυξηθεί αρκετά, υπάρχει περίπτωση ο εξυπηρετητής (ως υπολογιστής στη συγκεκριµένη περίπτωση) να εµφανίζει δυσκολίες στην εξυπηρέτηση του δικτυακού τόπου, µε αποτέλεσµα ο διαχειριστής να οδηγηθεί σε βελτίωση του υπάρχοντος εξυπηρετητή από πλευράς υλικού. Επίσης, η παρατήρηση µεγάλης επισκεψιµότητας είναι πιθανό να οδηγήσει το διαχειριστή ενός δικτυακού τόπου σε σκέψεις για την αναδιοργάνωσή του, µε στόχο την καλύτερη εξυπηρέτηση του χρήστη. Το έναυσµα, όµως, για µικρές αλλαγές ή µία µερική ή ολική αναδιάρθρωση ενός δικτυακού τόπου, δίνεται στο διαχειριστή από την παρακολούθηση ενός συνδυασµού στοιχείων καταγεγραµµένων στα αρχεία καταγραφής πρόσβασης. Θα πρέπει λοιπόν ο διαχειριστής ενός δικτυακού τόπου να είναι σε θέση να χρησιµοποιήσει τα στοιχεία που του διαθέτουν τα αρχεία καταγραφής πρόσβασης για να αποκτήσει τη γνώση που χρειάζεται και η οποία θα τον οδηγήσει στη βελτίωση του δικτυακού του τόπου, από πλευράς µορφής ή ακόµα και διαθέσιµου περιεχοµένου. Έλεγχος πρόσβασης (Access control) Μερικές φορές είναι επιθυµητό να υπάρχουν περιοχές σε ένα δικτυακό τόπο όπου να έχει πρόσβαση περιορισµένος αριθµός χρηστών και όχι ο οποιοσδήποτε. Ο έλεγχος πρόσβασης µπορεί να γίνει µε διάφορους τρόπους : 34

35 35 Α. Έλεγχος πρόσβασης που βασίζεται στη διεύθυνση IP Ο εξυπηρέτης ελέγχει την εισερχόµενη σύνδεση και παρέχει ή απαγορεύει την πρόσβαση µε βάση τη διεύθυνση IP του browser. Αυτή η δυνατότητα είναι ανεξάρτητη από την έκδοση του προγράµµατος πλοήγησης. Το µειονέκτηµα είναι ότι ο περιορισµός παραβιάζεται µε την τεχνική IP spoofing µε την οποία παραποιείται η διεύθυνση IP σε µία αποδεκτή και ότι ένας χρήστης µπορεί να χρησιµοποιεί διαφορετικούς υπολογιστές. Β.. Έλεγχος πρόσβασης που βασίζεται στο domain name Ο εξυπηρέτης χρησιµοποιεί το host domain name του browser για να αποφασίσει αν θα επιτρέψει τη σύνδεση. Σε αυτή την περίπτωση υπάρχει το µειονέκτηµα του DNS spoofing που παρ όλα αυτά σε κάποιες περιπτώσεις µπορεί να αντιµετωπιστεί µε διπλό έλεγχο DNS από τον εξυπηρέτη ή µε ένα φράγµα ασφαλείας. Γ. Έλεγχος πρόσβασης που βασίζεται σε όνοµα χρήστη και κωδικό Όλοι οι χρήστες έχουν από ένα user ID και έναν κωδικό πρόσβασης. Για να αποκτήσει κάποιος πρόσβαση θα πρέπει να πιστοποιήσει την ταυτότητα του εισάγοντας τον σωστό κωδικό. Αυτός ο τύπος ελέγχου πρόσβασης είναι ιδιαίτερα διαδεδοµένος και υποστηρίζεται από όλους τους browsers και τους εξυπηρέτες. Πρόβληµα µπορεί να υπάρξει αν διαρρεύσει ή υποκλαπεί κάποιος κωδικός για αυτό προτείνεται η µετάδοση του κωδικού σε κρυπτογραφηµένη µορφή. Άλλοι τύποι ελέγχου πρόσβασης είναι µε χρήση πιστοποιητικών και µε ασφαλή πρωτόκολλα δικ τυου όπως το Kerberos. Ασφαλή CGI scripts Τα περισσότερα "παραθυράκια" στην ασφάλεια ενός συστήµατος δεν είναι σκόπιµα. Συνήθως οφείλονται σε άτοµα που δεν έχουν την απαιτούµενη εµπειρία να γράψουν ασφαλή CGI scripts. Όσο περισσότεροι είναι οι χρήστες που έχουν την δυνατότητα να γράψουν scripts, τόσο µεγαλύτερη είναι η πιθανότητα ότι ένα από αυτά τα scripts θα περιέχει ένα σηµαντικό λάθος. Γι' αυτό το λόγο κανένα script δεν πρέπει να εγκαθίσταται στον server, εάν δεν το έχει ελέγξει πρώτα κάποιος ειδικός. Πολλές φορές υπάρχουν τρύπες ασφαλείας που επιτρέπουν στους επιτιθέµενους να εγκαταστήσουν τα δικά τους CGI scripts µε αποτέλεσµα να µπορούν να εκτελέσουν κώδικα τους στον host του web server. Το ίδιο ισχύει για «νόµιµα» scripts. Αν είναι κακοσχεδιασµένα, µπορεί να οδηγήσουν σε κατάσταση που επιτρέπει επίθεση. Ενδεικτικά προβλήµατα ασφαλείας: Λόγω bugs του web server ή CGI scripts, ένας χρήστης µπορεί να αποκτήσει πρόσβαση στο σύστηµα εκτελώντας κώδικά του, να διαβάσει και να τροποποιήσει αρχεία του server, ακόµη και να αποκτήσει πλήρη έλεγχο του. Εµπιστευτικές πληροφορίες στο web server µπορεί να υποκλαπούν και να φτάσουν σε µη εξουσιοδοτηµένα άτοµα. 35

36 36 Υποκλοπή ανταλλαγής εµπιστευτικών πληροφοριών µεταξύ web server και client. Η γλώσσα HTML µπορεί να περιορίζει το µήκος των πεδίων σε καθορισµένο αριθµό χαρακτήρων, να εµπεριέχει κρυφά δεδοµένα και να καθορίζει µεταβλητές που πρέπει να παρέχονται στα CGI scripts. Παρ' όλα αυτά, δεν πρέπει τα CGI scripts να εξαρτούνται από αυτούς τους περιορισµούς, µια και οποιοδήποτε CGI script µπορεί να εκτελεστεί άµεσα µέσω της URL του. Οι επιτιθέµενοι δεν είναι υποχρεωµένοι να προσπελάσουν το script µέσω της παρεχόµενης HTML φόρµας. Τα ακόλουθα παραδείγµατα επιδεικνύουν Η τιµή που επιστρέφεται από το πεδίο εισόδου µιας λίστας επιλογής, δεν θα ταιριάζει απαραίτητα µε τις επιτρεπτές τιµές που έχουν προκαθοριστεί. Το µέγιστο µήκος των µεταβλητών πιθανότατα δεν θα τηρείται. Οι τιµές που παρέχονται για µεταβλητές των scripts µπορεί να περιέχουν ειδικούς χαρακτήρες. Ο χρήστης µπορεί να καταφέρει να δει κρυφά δεδοµένα. Ένας από τους λόγους γιατί είναι εξαιρετικά εύκολα να δηµιουργηθεί ένα µη ασφαλές CGI script, είναι το γεγονός ότι είναι δύσκολο να δοκιµαστούν όλα τα scripts σε συνδυασµό µε την πληθώρα των HTTP clients (Web browsers) που είναι διαθέσιµοι. Οι αντιδράσεις των clients στην ίδια απροσδόκητη κατάσταση διαφέρουν. Ένα παράδειγµα είναι η εισαγωγή ειδικών χαρακτήρων στο πεδίο µιας φόρµας. Ενώ µερικοί clients θα τους λάβουν σαν χαρακτήρες διαφυγής και δεν θα τους προωθήσουν στο script, άλλοι θα πράξουν ακριβώς το αντίθετο. Σε περίπτωση που ο προγραµµατιστής του script δεν έχει προβλέψει για τιµές που περιέχουν χαρακτήρες διαφυγής, τότε η συµπεριφορά του script θα είναι απρόβλεπτη. Πολλές γλώσσες προγραµµατισµού, συµπεριλαµβανοµένων των C, ksh, sh, csh και Perl, παρέχουν τα µέσα για δηµιουργία διεργασιών. Αυτές οι δυνατότητες πρέπει να αποφεύγονται κατά την σύνταξη CGI scripts. Εάν είναι αναγκαίο να δηµιουργηθεί µια διεργασία, πρέπει να αποφευχθεί να περαστούν στην διεργασία ακολουθίες χαρακτήρων που παράχθηκαν από το χρήστη. Εάν πάλι είναι αναγκαίο να περαστούν στην διεργασία δεδοµένα του χρήστη, προσοχή πρέπει να δοθεί να µην περιέχονται χαρακτήρες όπως οι ` $ ; > * < &. Όσον αναφορά την σύνταξη scripts που επιτρέπει στους χρήστες να στέλνουν µηνύµατα ηλεκτρονικού ταχυδροµείου, πρέπει να προτιµάται το πρόγραµµα/usr/lib/sendmail από τα bin/mailx και /usr/ucb/mail. Μέτρα προστασίας Ο Web server πρέπει να ρυθµιστεί ώστε όλα τα CGI scripts να αποθηκεύονται σε ένα κατάλογο (τυπικά ο κατάλογος αυτός είναι ο cgi-bin). Η πρακτική σύµφωνα µε την οποία όλα τα αρχεία µε επέκταση ".cgi" λαµβάνονται σαν CGI scripts δεν συνιστάται. Συνιστάται η χρήση του προγράµµατος Tripwire (ή οποιοδήποτε παρόµοιου) για επίβλεψη των αλλαγών που γίνονται στα scripts. 36

37 37 Η πρόσβαση στο κατάλογο µε τα CGI scripts πρέπει να είναι περιορισµένη. εν πρέπει να επιτρέπεται στους τοπικοί χρήστες να εγκαθιστούν ή να αφαιρούν script ή να τροποποιούν τα υπάρχοντα χωρίς την επίβλεψη του διαχειριστή. Επίσης, καλή ιδέα είναι και η αφαίρεση του δικαιώµατος ανάγνωσης τους, ώστε οι χρήστες του ιαδικτύου να µην έχουν την δυνατότητα να ανιχνεύσουν τυχόν ατέλειες. Τα backup αρχεία που αυτόµατα παράγουν κάποιοι διορθωτές κειµένου, πρέπει να σβήνονται. Ξεχασµένα τέτοια αρχεία µπορούν να εκτελεστούν από ένα εισβολέα µε ανεπιθύµητα αποτελέσµατα. 37

38 38 ΑΣΦΑΛΕΙΑ ΒΑΣΕΩΝ Ε ΟΜΕΝΩΝ Ασφάλεια βάσεων δεδοµένων είναι µια πολύ ευρεία έννοια. Σε γενικές γραµµές, η έννοια της ασφάλειας µίας Βάσης εδοµένων σε ένα Πληροφοριακό Σύστηµα περιλαµβάνει την προστασία από τρεις βασικές απειλές. Μη εξουσιοδοτηµένη παρακολούθηση δεδοµένων (unauthorized data observation) : Αναφέρεται σε δυνατότητες πρόσβασης σε πληροφορία από χρήστες οι οποίοι δεν έχουν το αντίστοιχο δικαίωµα. Εσφαλµένη τροποποίηση δεδοµένων (incorrect data modification) : Αναφέρεται σε περιπτώσεις που µία µεταβολή στα δεδοµένα οδηγεί τη Βάση εδοµένων σε µία µη έγκυρη κατάσταση, όσον αφορά την πληροφορία που αυτή περιέχει. Λανθασµένα δεδοµένα σε έναν οργανισµό µπορεί να οδηγήσουν δε µεγάλες απώλειες. Μη διαθεσιµότητα δεδοµένων (data unavailability) : Όταν τα δεδοµένα είναι µη διαθέσιµα, η πρόσβαση στην επιθυµητή πληροφορία τη χρονική στιγµή που κρίνεται αναγκαίο είναι αδύνατη. Για την αποφυγή τέτοιων καταστάσεων και προστασία των δεδοµένων, ο σχεδιασµός της ασφάλειας για ένα σύστηµα πρέπει να περιλαµβάνει αντιστοίχως συγκεκριµένες απαιτήσεις, όπως: Εµπιστευτικότητα (confidentiality) : Αναφέρεται στην προστασία των δεδοµένων µίας Βάσης από την προβολή τους σε µη εξουσιοδοτηµένα άτοµα. Ακεραιότητα (integrity): Αναφέρεται στην παρεµπόδιση της µη εξουσιοδοτηµένης µεταβολής δεδοµένων και στη διατήρηση της ακεραιότητάς τους. ιαθεσιµότητα (availability):αναφέρεται στην ύπαρξη µηχανισµών παρεµπόδισης και επαναφοράς του συστήµατος από σφάλµατα, όσο και από σκόπιµες επιθέσεις που έχουν στόχο τη µη διαθεσιµότητα του συστήµατος. Οι παραπάνω απαιτήσεις ικανοποιούνται στις περισσότερες εφαρµογές Βάσεων εδοµένων σήµερα. Ας θεωρήσουµε το παράδειγµα ενός συστήµατος µισθοδοσίας εργαζοµένων σε µία εταιρία. Σε ένα τέτοιο σύστηµα, είναι σηµαντικό να υπάρχει η εξασφάλιση ότι οι πληροφορίες που αφορούν κάθε εργαζόµενο δε θα γίνουν γνωστές σε άτοµα που δεν έχουν το δικαίωµα πρόσβασης σε αυτές, οι µισθοί δε θα µπορούν να τροποποιηθούν µε παρέµβαση µη εξουσιοδοτηµένων χρηστών, καθώς και οι πληρωµές θα γίνονται κανονικά στην ώρα τους. Παροµοίως, σε µία ιστοσελίδα κράτησης θέσεων µιας αεροπορικής εταιρίας, η πληροφορία κράτησης θέσεων ενός πελάτη θα πρέπει να είναι διαθέσιµη µόνο στον ίδιο, καθώς και δε θα µπορεί να µεταβληθεί αυθαιρέτως από οποιονδήποτε χρήστη. Παράλληλα, πληροφορίες για τις πτήσεις και τις κρατήσεις θέσεων επιβάλλεται να είναι πάντα διαθέσιµες. Περιπτώσεις σαν τις παραπάνω προϋποθέτουν την ύπαρξη απαιτήσεων απόκρυψης και εµπιστευτικότητας σε ένα σύστηµα (privacy requirements). Η εµπιστευτικότητα των δεδοµένων µπορεί να εξασφαλιστεί σε ένα Σύστηµα ιαχείρισης Βάσεων εδοµένων µε τη βοήθεια µηχανισµών ελέγχου προσπέλασης (access control mechanism). Ένας τέτοιος µηχανισµός µπορεί να ελέγχει τα δικαιώµατα 38

39 39 προσπέλασης ενός χρήστη (τα οποία έχει ορίσει ο ιαχειριστής) όταν αυτός προσπαθεί να προσπελάσει συγκεκριµένα αντικείµενα της Βάσης, έτσι ώστε να του επιτρέψει ή όχι την πρόσβαση σε αυτά. Η εµπιστευτικότητα των δεδοµένων περιλαµβάνει και τεχνικές απόκρυψης δεδοµένων (data encryption) σε περιπτώσεις που αυτά αποθηκεύονται σε δευτερεύουσες/εξωτερικές συσκευές αποθήκευσης αλλά και κατά τη µεταφορά τους σε ένα δίκτυο. Η κρυπτογράφηση δεδοµένων έχει κεντρίσει το ενδιαφέρον πολλών ερευνητών τα τελευταία χρόνια, οι οποίοι εστιάζουν στην εύρεση µεθόδων για την εκτέλεση λειτουργιών, πχ. επερωτήσεων, πάνω σε κρυπτογραφηµένα δεδοµένα. Γενικότερα, οι µηχανισµοί ελέγχου πρόσβασης εξασφαλίζουν προστασία της αποθηκευµένης και διακινούµενης πληροφορίας και από τις τρεις απειλές που περιγράφηκαν παραπάνω και θα µιλήσουµε περαιτέρω για αυτούς στη συνέχεια. Επίσης, όπως θα αναλύσουµε παρακάτω, η ασφάλεια ενός Συστήµατος Βάσης εδοµένων δεν περιορίζεται µόνο στην ίδια την Βάση ως αυτόνοµο σύστηµα. Περιλαµβάνει την ασφάλεια του Συστήµατος ιαχείρισης Β, των εφαρµογών, του λειτουργικού συστήµατος, του web server σε περίπτωση που τα δεδοµένα διακινούνται στο διαδίκτυο, καθώς και την ασφάλεια του δικτύου. Ένας από τους κρισιµότερους ρόλους σε ένα τέτοιο εγχείρηµα είναι αυτός των ιαχειριστών (administrators) οι οποίοι ελέγχουν, εκτός των άλλων, την πρόσβαση των χρηστών σε κρίσιµα δεδοµένα. Κατηγοριοποίηση των απειλών ασφάλειας Οι απειλές που µπορεί να δεχτεί η ασφάλεια ενός Συστήµατος Βάσης εδοµένων µπορούν γενικά να ταξινοµηθούν σε απροσδόκητες και σκόπιµες απειλές, ανάλογα µε τον τρόπο µε τον οποίο αυτές συµβαίνουν. Οι απροσδόκητες απειλές περιλαµβάνουν ανθρώπινα σφάλµατα, σφάλµατα λογισµικού αλλά και φυσικές καταστροφές: Ανθρώπινα σφάλµατα: Αυτά περιλαµβάνουν την απόδοση λανθασµένης εισόδου στο σύστηµα ή εσφαλµένη χρήση εφαρµογών. Σφάλµατα Λογισµικού: Περιλαµβάνουν εσφαλµένη λειτουργία υποσυστήµατος ασφάλειας ή παρεµπόδιση προσπέλασης του συστήµατος από εξουσιοδοτηµένους χρήστες. Φυσικές καταστροφές: Περιλαµβάνουν ζηµιά ή καταστροφή υλικού ή λογισµικού. Οι σκόπιµες απειλές περιλαµβάνουν την κατάχρηση προνοµίων από εξουσιοδοτηµένους χρήστες µε σκοπό τη διαρροή πληροφορίας, καθώς και την νόµιµη χρήση εφαρµογών για παρόµοιους λόγους. Η ασφάλεια µίας Βάσης εδοµένων µπορεί να κατηγοριοποιηθεί σε φυσική (physical) και λογική (logical) ασφάλεια. Η ανάκαµψη µίας Βάσης εδοµένων θεωρείται η διαδικασία επαναφοράς της Βάσης σε µία σωστή κατάσταση, σε περίπτωση σφάλµατος. Φυσική ασφάλεια: Η φυσική ασφάλεια αναφέρεται στην ασφάλεια του υλικού του συστήµατος καθώς και την προστασία του χώρου στον οποίο αυτό βρίσκεται. Φυσικές καταστροφές, όπως φωτιά κλπ. µπορούν να ενταχθούν στην κατηγορία των φυσικών απειλών. Για το λόγο αυτό, συνιστάται η ύπαρξη αντιγράφων ασφαλείας της Βάσης εδοµένων. Λογική ασφάλεια: Η λογική ασφάλεια αναφέρεται στις πολιτικές προστασίας του λειτουργικού συστήµατος ή του συστήµατος ιαχείρισης της Βάσης εδοµένων. 39

40 40 Η φάση σχεδιασµού της Βάσης εδοµένων πρέπει υποχρεωτικά να περιλαµβάνει διαδικασίες για την ασφάλειά της. Μερικές κατευθυντήριες γραµµές για τον σχεδιασµό ενός ασφαλούς συστήµατος περιγράφονται παρακάτω. 1. Ο σχεδιασµός της Βάσης εδοµένων πρέπει να είναι απλός. Όσο πιο εύκολη και απλή είναι η χρήση της Βάσης, τόσο µειώνεται η πιθανότητα υποκλοπής δεδοµένων από εξουσιοδοτηµένους χρήστες. 2. Η Βάση εδοµένων πρέπει να είναι κανονικοποιηµένη. Μία κανονικοποιηµένη βάση είναι σχεδόν απαλλαγµένη από προβλήµατα ενηµέρωσης. Καθώς η διαδικασία αυτή είναι δυσκολότερο να πραγµατοποιηθεί ενώ η Βάση εοµένων χρησιµοποιείται, προτείνεται να γίνει κατά τη φάση του σχεδιασµού. 3. Ο σχεδιαστής της Βάσης εδοµένων πρέπει να καθορίσει τα προνόµια για κάθε οµάδα χρηστών. Αν υποθέσουµε ότι αρχικά κανένα προνόµιο δεν έχει δοθεί σε κανένα χρήστη, υπάρχει µικρότερη πιθανότητα επιτυχίας µίας απόπειρας παράνοµης προσπέλασης δεδοµένων. Καθώς η Βάση εδοµένων έχει σχεδιαστεί, ο ιαχειριστής της βάσης διαδραµατίζει έναν από τους σηµαντικότερους ρόλους στη φάση συντήρησής της. Τα σηµαντικότερα θέµατα ασφάλειας τα οποία αφορούν τη φάση αυτή, κατηγοριοποιούνται σε: 1. Θέµατα λειτουργικού συστήµατος και διαθεσιµότητας 2. Εµπιστευτικότητα και συνέπεια µε βάση κανόνες εξουσιοδότησης 3. Απόκρυψη δεδοµένων 4. Τεχνικές εξουσιοδότησης Υπάρχουν πολλοί τρόποι για να εµποδιστεί η ελεύθερη πρόσβαση από το ιαδίκτυο στις Βάσεις εδοµένων που βασίζονται στο διαδίκτυο καθώς έχουν πολλές φορές γίνει στόχος επιθέσεων. Οι περισσότεροι επιτιθέµενοι πριν την επίθεση πραγµατοποιούν σάρωση θυρών (port scan) για τον εντοπισµό ανοιχτών προκαθορισµένων (default) θυρών που χρησιµοποιούν γνωστά συστήµατα βάσεων δεδοµένων. Ο διαχειριστής µπορεί να αλλάξει τις προκαθορισµένες θύρες στις οποίες ανταποκρίνεται µια υπηρεσία και µε αυτόν τον τρόπο να αποπροσανατολίσει τον επιτιθέµενο. Το πρώτο πράγµα που θα κάνει ο επιτιθέµενος είναι να διαπιστώσει αν ένα µηχάνηµα βρίσκεται σε κάποια διεύθυνση κάνοντας ping από γραµµή εντολών. Για παράδειγµα: C:\ ping ή ~$: ping Το αποτέλεσµα θα είναι σαν αυτό: 40

41 41 Pinging with 32 bytes of data: Reply from : bytes=32 time<10ms TTL=128 Reply from : bytes=32 time<10ms TTL=128 Reply from : bytes=32 time<10ms TTL=128 Reply from : bytes=32 time<10ms TTL=128 Ping statistics for : Packets: Sent = 4, Received = 4, Lost = 0 (0% Approximate round trip times in milli-seconds: Minimum = 0ms, Maximum = 0ms, Average = 0ms Με την απενεργοποίηση των πακέτων ICMP οι αιτήσεις Ping δεν απαντώνται. Όπως αναφέρθηκε παραπάνω υπάρχουν πολλοί τρόποι για να εµποδιστεί η ελεύθερη πρόσβαση από το διαδίκτυο και κάθε σύστηµα βάσης δεδοµένων έχει τα δικά του χαρακτηριστικά όπως κάθε λειτουργικό σύστηµα. Κάποιες µέθοδοι είναι: Έµπιστες διευθύνσεις IP Οι Unix servers είναι ρυθµισµένοι να απαντούν µόνο σε pings που προέρχονται από τη λίστα των έµπιστων hosts. Στο Unix αυτό γίνεται µε ρύθµιση του αρχείου rhosts το οποίο περιορίζει την πρόσβαση σε server για συγκεκριµένους χρήστες. Απενεργοποίηση λογαριασµού στον server Οι επιτιθέµενοι αποθαρρύνονται αν η αναγνώριση του χρήστη αναστέλλεται µετά από τρεις αποτυχηµένες εισόδους του κωδικού πρόσβασης. Αν δεν συµβαίνει αυτό, µε χρήση προγραµµάτων που δηµιουργούν εκατοµµύρια κωδικούς µπορεί κάποιος να µαντέψει το σωστό κωδικό πρόσβασης. Ειδικά εργαλεία Εργαλεία όπως το Real secure εµφανίζουν προειδοποιήσεις όταν ένας εξωτερικός server προσπαθεί να παραβιάσει την ασφάλεια ενός συστήµατος. Η Oracle για παράδειγµα διαθέτει πλήθος µεθόδων πιστοποίησης όπως: Kerberos security ticket-based σύστηµα πιστοποίησης χρηστών Virtual private databases περιορισµός πρόσβασης σε επιλεγµένες σειρές ενός πίνακα Role-based security τα προνόµια αντικειµένων οµαδοποιούνται σε ρόλους και οι ρόλοι ανατίθενται σε χρήστες Grant-execute security Ο χρήστης εκτελεί διαδικασίες οι οποίες αποκτούν πρόσβαση στη βάση δεδοµένων Authentication servers αναγνώριση εξωτερικών χρηστών Port access security Ο Web Listener της Oracle µπορεί να ρυθµιστεί για να περιορίσει την πρόσβαση 41

42 42 ΑΣΦΑΛΕΙΑ ΗΛΕΚΤΡΟΝΙΚΟΥ ΤΑΧΥ ΡΟΜΕΙΟΥ Το ηλεκτρονικό ταχυδροµείο είναι πολύ διαδεδοµένο στις µέρες µας και είναι ο συνηθέστερος τρόπος επικοινωνίας µέσω του αδικτύου. Με µηνύµατα ηλεκτρονικού ταχυδροµείου διακινούνται σε κάποιες περιπτώσεις εµπιστευτικές πληροφορίες και η ανάγκη για ασφάλεια είναι µεγάλη. Επίσης µέσω διαδίδονται πολλά επιβλαβή προγράµµατα όπως ιοί, δούρειοι ίπποι κ.α. Ζητήµατα ασφάλειας Στην υπηρεσία του ηλεκτρονικού ταχυδροµείου χρησιµοποιούνται υπολογιστές µε δύο δυνατούς ρόλους: mail server και client. Το πρωτόκολλο SMTP (Simple Mail Transfer Protocol) έχει την αρµοδιότητα της µεταφοράς των µηνυµάτων από τον πελάτη στον εξυπηρέτη και της προώθησης τους µεταξύ των εξυπηρετών. Ο πελάτης «κατεβάζει» τα µηνύµατα από τον mail server στον υπολογιστή του µε το πρωτόκολλο POP ή IMAP. Επίσης υπάρχουν και web-based εξυπηρέτες ηλεκτρονικού ταχυδροµείου όπου ο χρήστης βλέπει τα µηνύµατα που είναι αποθηκευµένα στον εξυπηρέτη. Υποκλοπή Ένα σηµαντικό θέµα που αφορά όλους τους χρήστες ηλεκτρονικού ταχυδροµείου είναι η ιδιωτικότητα των µηνυµάτων. Τα πακέτα SMTP µπορεί να διέρχονται από διάφορα δίκτυα µέχρι να φτάσουν στον προορισµό τους και τα περιεχόµενα µπορούν να αναγνωριστούν µε προγράµµατα sniffer. Εκτός από την υποκλοπή των περιεχοµένων του µηνύµατος, είναι δυνατή και η υποκλοπή του κωδικού µε τον οποίο ο χρήστης έχει πρόσβαση στα µηνύµατά του. Έτσι κάποιος µπορεί να στείλει µηνύµατα από λογαριασµό άλλου χρήστη. Spamming Με τον όρο spamming αναφέρεται η τακτική της µαζικής αποστολής διαφηµιστικών µηνυµάτων σε διάφορες διευθύνσεις χρηστών χωρίς τη συγκατάθεσή τους. Οι διευθύνσεις συλλέγονται από ειδικούς agents (spambots) που σαρώνουν δικτυακούς τόπους. Αν και άµεσα δεν απειλείται η ασφάλεια, προκαλείται εκνευρισµός στον χρήστη. Εκτός από αυτό, σε ορισµένες περιπτώσεις η ασφάλεια µπορεί να επηρεαστεί έµµεσα. Για παράδειγµα έστω ότι στον λογαριασµό του διαχειριστή καταφθάνουν τακτικά µηνύµατα που προέρχονται από προγράµµατα παρακολούθησης της ασφάλειας του συστήµατος. Αν ανάµεσα σε αυτά υπάρχουν και πολλά διαφηµιστικά, είναι πιθανόν ο διαχειριστής να µην προσέξει κάτι σηµαντικό. bombing Με την τεχνική bombing «βοµβαρδίζεται» ο λογαριασµός ενός χρήστη µε χιλιάδες άχρηστα µηνύµατα. Έτσι το µεγάλο µέγεθος των µηνυµάτων κάνει αδύνατο το κατέβασµά τους από τον server και σε κάποιες περιπτώσεις µπορεί να καταρρεύσει ολόκληρο το σύστηµα (DoS). Η επίθεση γίνεται απλά, µε ειδικά προγράµµατα που είναι διαθέσιµα στο 1ιαδίκτυο. Σε αυτά δίνονται οι διευθύνσεις των server, ο αριθµός των µηνυµάτων που θα σταλθούν και το µέγεθος κάθε µηνύµατος. Για να µηνεντοπιστεί µάλιστα ο υπαίτιος, παραποιεί τη διεύθυνση IP του (IP spoofing). 42

43 43 Επικίνδυνα συνηµµένα (attachments) Μέσα σε ένα µπορεί να βρίσκονται εκτός από το κείµενο και επισυναπτόµενα αρχεία. Τα αρχεία αυτά µπορεί να είναι οποιουδήποτε τύπου. Μολυσµένα αρχεία που περιέχουν ιούς διαδίδονται µέσω του ηλεκτρονικού ταχυδροµείου. Ο ιός εντοπίζει διευθύνσεις γνωστών του θύµατος και έτσι διαδίδεται. Για να εκτελέσει ο χρήστης το αρχείο οι συγγραφείς του ιού προσπαθούν να του κεντρίσουν το ενδιαφέρον µε διάφορους τρόπους. Μέτρα ασφάλειας Ο καλύτερος τρόπος άµυνας εναντίον προγραµµάτων sniffer είναι η κρυπτογράφηση των µηνυµάτων. Η κρυπτογράφηση δεν εµποδίζει την συλλογή των πληροφοριών αλλά την αποκωδικοποίησή τους (decode). Για να εµφανιστεί το µήνυµα σε µορφή που µπορεί να διαβαστεί πρέπει να αποκρυπτογραφηθεί, κάτι που µπορεί να είναι από σχετικά εύκολο µέχρι σχεδόν αδύνατο. Για την κρυπτογράφηση µπορούν να χρησιµοποιηθούν διάφορα εργαλεία, µε πιο γνωστό το PGP (ή το GPG για Linux). Η πιστοποίηση του αποστολέα ενός µηνύµατος γίνεται µε χρήση ψηφιακών υπογραφών. Σε κάποια µηνύµατα spam υπάρχει στο τέλος µια διεύθυνση όπου µπορεί να σταλθεί µήνυµα για τη διαγραφή του παραλήπτη από τη λίστα. Αυτό όµως δεν είναι εφικτό συνήθως και χρειάζεται και χρόνο από την πλευρά του χρήστη. Έτσι ο χρήστης µπορεί να χρησιµοποιήσει τη δυνατότητα φιλτραρίσµατος του προγράµµατος αλληλογραφίας που χρησιµοποιεί. Η διεύθυνση του αποστολέα προστίθεται στη λίστα των ανεπιθύµητων αποστολέων. Επίσης υπάρχουν και προγράµµατα που µπλοκάρουν µηνύµατα που είναι ύποπτα για διαφήµιση π.χ. λόγω κάποιων σχετικών λέξεων που χρησιµοποιούν (π.χ. Spamihilator). Η αντιµετώπιση του bombing αφορά κυρίως το µέρος των mail servers και όχι τον απλό χρήστη. Υπάρχουν εξειδικευµένα προγράµµατα που αντιµετωπίζουν τέτοιες επιθέσεις µε τον εντοπισµό µαζικών ταυτόχρονων αποστολών σε έναν χρήστη. Για τα µολυσµένα συνηµµένα, εκτός φυσικά από τη χρήση ενηµερωµένου προγράµµατος Antivirus, ο χρήστης θα πρέπει να είναι προσεκτικός στο τι ανοίγει. Ακόµα κι αν η διεύθυνση του αποστολέα είναι έµπιστη, αυτό δε σηµαίνει ότι το µήνυµα προέρχεται πράγµατι από αυτόν. Επιπλέον πρέπει να υπάρχει καχυποψία σε «ύποπτους» headers. 43

44 44 ΡΥΘΜΙΣΕΙΣ ΤΟΥ ΠΡΟΓΡΑΜΜΑΤΟΣ ΠΕΡΙΗΓΗΣΗΣ ΓΙΑ ΒΕΛΤΙΩΣΗ ΑΣΦΑΛΕΙΑΣ Ο browser είναι το πρόγραµµα client που συνδέεται σε servers (web,ftp κ.α.) για την περιήγηση στο διαδίκτυο. Με διάφορες ρυθµίσεις η περιήγηση µπορεί να γίνει πιο ασφαλής. Ο browser είναι πολύπλοκο λογισµικό που έχει και αυτό αδυναµίες ασφάλειας που ανακαλύπτονται. Επειδή η χρήση του είναι πολύ διαδεδοµένη, οι τρύπες ασφάλειας που ανακαλύπτονται χρησιµοποιούνται από cracker και malware. Το πρώτο βήµα για ασφαλή χρήση του browser είναι η ενηµέρωσή του στην τελευταία διαθέσιµη έκδοση. Στην τελευταία έκδοση έχουν διορθωθεί όλες οι τρύπες ασφάλειας που ήταν γνωστές ως εκείνη τη στιγµή. Εκτός από την αναβάθµιση του προγράµµατος ο χρήστης µπορεί να πειραµατιστεί µε τις ρυθµίσεις ώστε να περιορίσει λειτουργίες που µπορεί να είναι επικίνδυνες. Ρυθµίσεις Internet Explorer (Ελληνική έκδοση) Εργαλεία Επιλογές Internet Στην καρτέλα µπορεί να γίνει η διαγραφή των cookies και των temporary internet αρχείων. Στην καρτέλα Ασφάλεια υπάρχουν διάφορα επίπεδα ασφάλειας (Μεσαίο-Υψηλό). Ο χρήστης µπορεί να επιλέξει τις ρυθµίσεις αναλυτικά πατώντας το κουµπί Προσαρµοσµένο Επίπεδο. Οι ρυθµίσεις αφορούν ActiveX, scripts, downloads κ.α. Αν ο χρήστης επιλέξει το επίπεδο Υψηλό, σε µερικούς τόπους µπορεί να δηµιουργηθούν προβλήµατα στην εµφάνιση των στοιχείων 44

45 45 Στην καρτέλα Απόρρητο υπάρχουν ρυθµίσεις που αφορούν τα cookies. Υπάρχουν πολλά επίπεδα αποδοχής των cookies ( Αποδοχή όλων των cookies, Χαµηλό, Μεσαίο, Μεσαίο Υψηλό, Υψηλό, Αποκλεισµός όλων των cookies) και το προεπιλεγµένο επίπεδο είναι το Μεσαίο. Σε αυτό το επίπεδο µπλοκάρονται τα third-party cookies και περιορίζονται τα cookies που χρησιµοποιούν προσωπικές πληροφορίες για την αναγνώριση του χρήστη χωρίς τη συγκατάθεσή του. Επίσης ο χρήστης µπορεί να ρυθµίσει την αποδοχή ή το µπλοκάρισµα των cookies για κάθε δικτυακό τόπο ξεχωριστά. 45

46 46 Στην καρτέλα Για προχωρηµένους για µεγαλύτερη ασφάλεια µπορούν να ενεργοποιηθούν κάποιες επιλογές όπως : να γίνεται έλεγχος για υπογραφές των προγραµµάτων που κατεβάζει ο χρήστης, να µην αποθηκεύονται κρυπτογραφηµένες σελίδες στο δίσκο,κ.α. Επίσης µπορεί να απενεργοποιηθεί η χρήση των JAVA applets. 46

47 47 47

48 48 Ρυθµίσεις Mozilla Firefox (Ελληνική έκδοση) Ο Firefox είναι browser µε µεγάλη διάδοση τον τελευταίο καιρό και σε γενικέςγραµµές είναι πιο ασφαλής από τον IE. Η διάδοσή του όµως βοήθησε στην ανακάλυψη αδυναµιών ασφάλειας ακόµα και στην τελευταία έκδοση µέχρι σήµερα. Εργασίες Επιλογές Στην καρτέλα Απόρρητο ο χρήστης µπορεί να διαγράψει πληροφορίες που καταγράφονται από την κίνησή του στο 1ιαδίκτυο. Αυτές, µπορεί να είναι αποθηκευµένες σελίδες, αποθηκευµένες πληροφορίες φόρµας, αποθηκευµένοι κωδικοί και cookies. Επίσης µπορεί να απαγορεύσει την αποθήκευσή τους. 48

49 49 Στην καρτέλα Λειτουργίες ιστού µπορεί να ενεργοποιηθεί η φραγή αναδυόµενων παραθύρων (popup), να απενεργοποιηθεί η JAVA και η JavaScript σε ύποπτους δικτυακούς τόπους. Ειδικά για την JavaScript µπορούν και να απενεργοποιηθούν µόνο ορισµένες λειτουργίες script όπως µετακίνηση ή αλλαγή µεγέθους παραθύρων, ανύψωση ή χαµήλωµα παραθύρων κ.α. Τέλος στην καρτέλα Για προχωρηµένους υπάρχουν επιλογές για την αναβάθµιση του προγράµµατος, την ενεργοποίηση / απενεργοποίηση SSL και τη διαχείριση πιστοποιητικών. 49

50 50 ΚΕΦΑΛΑΙΟ 2 ο : ΜΕΤΡΑ ΠΡΟΣΤΑΣΙΑΣ ΑΡΧΙΤΕΚΤΟΝΙΚΕΣ ΚΑΙ ΑΣΦΑΛΕΙΑ Στο κοµµάτι αυτό θα αναλυθούν κάποιες αρχιτεκτονικές δικτύων και τα θέµατα που σχετίζονται µε την ασφάλεια αυτών των αρχιτεκτονικών. Θα αναλυθούν τα εξής δίκτυα: Virtual LAN, Virtual Private Networks (VPN) και τα ασφαλή πρωτόκολλα SSH. Virtual LANs Το ακρωνύµιο VLAN σηµαίνει Virtual Local Area Network (εικονικό τοπικό δίκτυο). Ένα ενσύρµατο δίκτυο (LAN), το οποίο συνδέει πολλούς υπολογιστές µεταξύ τους, µπορεί να διαχωριστεί µέσω του VLAN σε διαφορετικά λογικά υποδίκτυα. Ο διαχωρισµός βοηθά στην καλύτερη προστασία των επί µέρους τοµέων. Εντός ενός δικτύου VLAN η µεταφορά δεδοµένων πραγµατοποιείται µέσω ενός µεταγωγέα (switch). Για την έξοδο πακέτων δεδοµένων από το VLAN χρησιµοποιείται δροµολογητής (router). Ένα VLAN αποτελείται από ένα σύνολο υπολογιστών οι οποίοι έχουν ένα κοινό σύνολο απαιτήσεων από το τοπικό δίκτυο (π.χ. πρόσβαση σε συγκεκριµένους πόρους του) και επικοινωνούν σαν να ήταν συνδεδεµένοι µεταξύ τους ανεξάρτητα από τη φυσική τους θέση. Πλεονεκτήµατα χρήσης VLANs είναι η βελτίωση της απόδοσης του τοπικού δικτύου, η επιπλέον ασφάλεια των ευαίσθητων πληροφοριών και η ευκολία διαχείρησης του δικτύου. Το δίκτυο VLAN µπορεί να χρησιµοποιηθεί ως µέτρο προστασίας και ασφάλειας. Σε ένα δίκτυο WLAN που δεν έχει επαρκή προστασία µπορούν να συνδεθούν εύκολα άτοµα που δεν έχουν δικαιώµατα πρόσβασης σε αυτό. Όµως, εάν διαχωριστούν τµήµατα του δικτύου µέσω VLAN, αυτά δεν θα είναι πλέον προσβάσιµα από εξωτερικούς χρήστες. Το VLAN προσφέρει επαρκή προστασία και στα οικιακά δίκτυα. Εάν στην κατοικία υπάρχει µόνο ένα δίκτυο, από το οποίο συνδέονται στο ιαδίκτυο όλοι οι ένοικοι, µπορεί να χρησιµοποιηθεί το VLAN. Έτσι, τα παιδιά που είναι λιγότερο προσεκτικά από τους ενήλικες και ενδέχεται να ενεργοποιήσουν κακόβουλα λογισµικά, µπορούν να περιηγούνται χωρίς να θέτουν σε κίνδυνο τον δικτυακό χώρο εργασίας του πατέρα τους που προστατεύεται από το VLAN. Όταν ένας χρήστης διαχειρίζεται έναν ιστότοπο από το σπίτι του, στόχος του είναι οι εξωτερικοί χρήστες να µπορούν να αποκτούν πρόσβαση µόνο στο περιεχόµενο που επιθυµεί αυτός. Σε αυτήν την περίπτωση αναδεικνύεται η χρησιµότητα του VLAN. Η αποστολή των πακέτων δεδοµένων εντός ενός δικτύου VLAN γίνεται µέσω ενός σωστά διαµορφωµένου µεταγωγέα (switch) VLAN. Έτσι, ο υπολογιστής µπορεί να ανταλλάσσει δεδοµένα µόνο µε εξουσιοδοτηµένους χρήστες. Χωρίς το VLAN, όλοι οι υπολογιστές σε ένα ενσύρµατο δίκτυο µπορούν να επικοινωνούν µεταξύ τους. Αυτό σηµαίνει περιορισµένη ασφάλεια αλλά και περιορισµένη ταχύτητα. 50

51 51 Σε ένα VLAN, όλα τα πακέτα Ethernet φέρουν µια επισήµανση, το λεγόµενο VLAN-Tag. Οι επισηµάνσεις είναι απαραίτητες, ώστε ο ενδιάµεσος µεταγωγέας (switch) να αναγνωρίζει σε ποιο υποδίκτυο ανήκει κάθε πακέτο δεδοµένων και να το προωθεί στο σωστό προορισµό. Virtual Private Networks (VPN) Το VPN είναι ένα δίκτυο επικοινωνίας το οποίο διέρχεται µέσα από ένα άλλο δίκτυο δηµόσιο δίκτυο (όπως το διαδίκτυο) και επιτρέπει την πρόσβαση στο εσωτερικό, εταιρικό δίκτυο από µια αποµακρυσµένη περιοχή. Έχει αναπτυχθεί µία αρκετά µεγάλη φιλολογία γύρω από το τι είναι τα VPN, ποιά η λειτουργία τους και ποία η θέση τους στην αρχιτεκτονική των δικτύων. Για να το θέσουµε απλά το VPN είναι ένα δίκτυο επιχείρησης ανεπτυγµένο σε µία διανεµηµένη υποδοµή και έχει την ίδια ασφάλεια,διαχείριση και υφίσταται την ίδια πολιτική σε όλο το µήκος του σαν να επρόκειτο για ιδιωτικό δίκτυο. Τα VPN είναι µία εναλλακτική λύση της υποδοµής που παρέχουν τα WAN και που αντικαθιστούν ή επαυξάνουν τα υπάρχοντα ιδιωτικά δίκτυα που χρησιµοποιούν µισθωµένες γραµµές ή Frame Relay/ATM δίκτυα που ανήκουν στην επιχείρηση. Τα VPN δεν έχουν άλλες απαιτήσεις από αυτές των WAN όπως υποστήριξη πολλαπλών πρωτοκόλλων, υψηλή αξιοπιστία και εκτεταµένη διαβάθµιση, απλά ικανοποιούν αυτές τις απαιτήσεις λιγότερο δαπανηρά. Ένα VPN µπορεί να αξιοποιήσει τις πιο γνωστές τεχνολογίες µεταφοράς που υπάρχουν σήµερα : το δηµόσιο Internet, IP backbones διαφόρων παρόχων υπηρεσιών. Η λειτουργικότητα του VPN καθορίζεται κυρίως από τον εξοπλισµό που είναι ανεπτυγµένος στο δίκτυο και την ολοκλήρωση των χαρακτηριστικών του WAN και όχι από το πρωτόκολλο µεταφοράς που αυτό χρησιµοποιεί. 51

52 52 Τα VPN χωρίζονται σε τρεις κατηγορίες: αποµακρυσµένης πρόσβασης,intranets και extranets. Τα remote access VPNs συνδέουν τηλεργαζόµενους, κινούµενους χρήστες ή ακόµα και µικρότερα αποµακρυσµένα γραφεία µε περιορισµένη κίνηση από και προς το WAN της επιχείρησης και των συλλογικών υπολογιστικών της πόρων. Τα intranet VPNs συνδέουν σταθερά σηµεία, παρακλάδια και γραφεία σπιτιών µε το WAN της επιχείρησης. Τα extranet VPNs επεκτείνουν την περιορισµένη πρόσβαση στους υπολογιστικούς πόρους της επιχείρησης στους διαφόρους συνεργάτες της που µπορεί να είναι προµηθευτές ή πελάτες επιτρέποντας πρόσβαση σε διαµοιράσιµη πληροφορία. Κάθε τύπος VPN έχει διαφορετικά θέµατα ασφάλειας και ποιότητας παρεχόµενων υπηρεσιών να αντιµετωπίσει. Η ανάπτυξη των WAN σε ένα διαµοιρασµένο δίκτυο θέτει σοβαρά ζητήµατα για την ασφάλειά του. Οι διάφορες επιχειρήσεις θέλουν να είναι σίγουρες για την ασφάλεια που τους παρέχει το VPN δίκτυό τους απέναντι σε εισβολείς που παρακολουθούν ή αλλοιώνουν κρίσιµα για την εταιρία δεδοµένα που µετακινούνται στο δίκτυο και από χρήστες που κερδίζουν, παράνοµα,πρόσβαση στους πόρους του δικτύου της εταιρίας. Η κρυπτογράφηση,η πιστοποίηση και ο έλεγχος πρόσβασης είναι οι διαδικασίες που διασφαλίζουν αυτές τις απαιτήσεις. Τα συστατικά στοιχείακλειδιά της ασφάλειας ενός VPN δικτύου είναι: Tούνελς και Κρυπτογράφηση Πιστοποίηση Πακέτων Firewalls και Ανίχνευση Εισβολών Πιστοποίηση Χρηστών Αυτοί οι µηχανισµοί αλληλοσυµπληρώνονται παρέχοντας ασφάλεια σε διαφορετικά σηµεία του δικτύου. Κάθε VPN λύση πρέπει να τους εφαρµόζει στην πράξη για να είναι βιώσιµη και αξιόπιστη. Τούνελ και Κρυπτογράφηση Τα VPN εφαρµόζουν την τεχνική των κρυπτογραφηµένων τούνελ για να προστατέψουν τα δεδοµένα από το να αλλοιωθούν και να παρακολουθηθούν από παράνοµες οντότητες και για να πραγµατοποιήσουν, εάν είναι αναγκαίο, ενθυλάκωση πολλαπλών πρωτοκόλλων. Τα Τούνελ παρέχουν λογική από άκρη-σε-άκρη σύνδεση σε ένα δίκτυο IP χωρίς µόνιµες συνδέσεις δίνοντας τη δυνατότητα εφαρµογής ανεπτυγµένων χαρακτηριστικών ασφάλειας σε ένα τέτοιο περιβάλλον. Η Κρυπτογράφηση 52

53 53 εφαρµόζεται στη σύνδεση µε τη διαδικασία των τούνελ µε σκοπό το µπέρδεµα των δεδοµένων κάνοντάς τα έτσι επεξεργάσιµα µόνο σε αυτούς για τους οποίους προορίζονται και από αυτούς που έχουν το δικαίωµα να τα στείλουν. Σε εφαρµογές όπου η ασφάλεια έρχεται σε δεύτερο λόγο,µπορεί να γίνει εφαρµογή της µεθόδου των τούνελ χωρίς τη χρήση κρυπτογράφησης για την παροχή υποστήριξης πολλαπλών πρωτοκόλλων χωρίς εξασφάλιση του απόρρητου. Τα VPN δίκτυα της Cisco χρησιµοποιούν την IPSec, δευτέρου επιπέδου πρωτόκολλο τουνελοποίησης(l2tp) το επίσης δευτέρου επιπέδου πρωτόκολλο προώθησης (L2F),το (GRE) πρωτόκολλο γενικής ενθυλάκωσης µε υποστήριξη για τούνελ και τέλος τις πιο ισχυρές τεχνολογίες κρυπτογράφησηςdes και 3DES. Επιπλέον τα Cisco VPN χρησιµοποιούν µεγάλους διανοµείς ηλεκτρονικών πιστοποιητικών όπωςverisign, Entrust και Netscape για τη διαχείριση της ασφάλειας/κρυπτογράφησης. Πιστοποίηση Πακέτων Μεγάλη σηµασία για την ασφάλεια της δικτυακά διακινούµενης πληροφορίας έχει η ακεραιότητά της. Σε ένα ανασφαλές δίκτυο, τα πακέτα µπορεί να υποκλαπούν,να αλλοιωθούν τα δεδοµένα τους και να επαναπροωθηθούν στον προορισµό τους µε τη λανθασµένη πληροφορία. Για παράδειγµα µία παραγγελία σε ένα προµηθευτή µπορεί να αλλάξει από 1000 σε 100. Η προστασία που παρέχει η πιστοποίηση των πακέτων απέναντι σε αυτού του είδους τα προβλήµατα είναι η επικόλληση επικεφαλίδων στα IP πακέτα για την εξασφάλιση της ακεραιότητάς τους. Συστατικά µέρη της IPSec όπως η επικεφαλίδα πιστοποίησης(authentication Header-AH) και το πρωτόκολλο ασφάλειας ενθυλάκωσης(encapsulation Security Protocol-ESP) χρησιµοποιούνται σε συνεργασία µε αλγόριθµους όπως o MD5 και ο SHA(Secure Hash Algorithm), παραγωγής συναρτήσεων ενός δρόµου(hash functions),για να διασφαλίσουν την ακεραιότητα των δεδοµένων των IP πακέτων σε ένα κοινό IP backbone. Firewalls και Ανίχνευση Εισβολών, Καταγραφή εδοµένων Ασφάλειας και Πιστοποίηση Χρηστών Τα VPN χρησιµοποιούν τους Firewalls της Cisco(IOS Firewall και PIX), το σύστηµα NetRanger για ανίχνευση εισβολών,το σύστηµα NetSonar για καταγραφή δεδοµένων ασφάλειας και ανίχνευση πιθανών ελλείψεων σε αυτήν, και τα συστήµατα RADIUS και TACACS+ για πιστοποίηση χρηστών. Για όλα αυτά τα συστήµατα υπάρχουν ειδικά κεφάλαια όπου αναλύονται διεξοδικά οι δυνατότητές τους και τα χαρακτηριστικά λειτουργίας τους. Η τεχνολογία VPN βασίζεται στην στρατηγική tunneling. Με χρήση tunneling δηµιουργείται ένα ιδιωτικό δίκτυο που εκτείνεται στο 1ιαδίκτυο. Χρησιµοποιούνται τρία διαφορετικά πρωτόκολλα τα οποία είναι : Πρωτόκολλο φορέας (carrier) Χρησιµοποιείται από το δίκτυο που µεταφέρει την πληροφορία. Πρωτόκολλο επικάλυψης (encapsulating) Το πρωτόκολλο που τυλίγεται γύρω από τα αρχικά δεδοµένα. Πρωτόκολλο επιβάτη (passenger) Από αυτό το πρωτόκολλο µεταφέρονται τα αρχικά δεδοµένα. 53

54 54 Ασφαλή πρωτόκολλα SSH (Secure Shell) Τα εργαλεία αποµακρυσµένης επικοινωνίας (rsh, rcp, rlogin) είναι γνωστά για την ευκολία χρήσης τους και την παροχή γρήγορης πρόσβασης σε άλλες µηχανές. Το πρόβληµα, όµως, είναι ότι βασίζονται σε IP διευθύνσεις ή host names για την πιστοποίηση της ταυτότητας των µηχανών, γεγονός που τα καθιστά ανασφαλή καθ' ότι οι υπηρεσίες του DNS δεν είναι άξιες εµπιστοσύνης. Επίσης, η µετάδοση των κωδικών χωρίς κανένα είδος προστασίας οξύνει τις τρύπες ασφαλείας. Για να µπορούν, λοιπόν, να χρησιµοποιούνται σε ασφαλή περιβάλλοντα πρέπει να διαθέτουν πιο καλύτερους µηχανισµούς πιστοποίησης ταυτότητας. Η εισαγωγή της έννοιας της κρυπτογράφησης και των ψηφιακών υπογραφών στα εργαλεία rsh, rcp και rlogin, δηµιούργησε το Secure Shell (SSH). Το SSH σχεδιάστηκε για να αντικαταστήσει τα εργαλεία rsh, rcp και rlogin µε τα αντίστοιχα ssh, scp και slogin, µε επιπλέον χαρακτηριστικά αυτά της ισχυρής από άκρη σε άκρη κρυπτογράφηση, της βελτιωµένης πιστοποίησης ταυτότητας χρήστη και µηχανής και την προώθηση TCP πορτών. Το SSH είναι ένα πρωτόκολλο που παρέχει ασφαλή αποµακρυσµένη σύνδεση σε υπολογιστές πάνω από µη ασφαλές δίκτυο. Αποτελείται από τρία βασικά στοιχεία: Το Transport layer protocol παρέχει πιστοποίηση της ταυτότητας του server, ακεραιότητα των δεδοµένων και εξασφάλιση του απόρρητου της συναλλαγής. Προαιρετικά µπορεί να εφαρµόσει και συµπίεση δεδοµένων. Τυπικά τρέχει πάνω από µία TCP/IP σύνδεση. Το User Authentication protocol πιστοποιεί την ταυτότητα του πελάτη- χρήστη στον server. Τρέχει πάνω από το Transport layer protocol. Το Connection protocol πολυπλέκει το κρυπτογραφηµένο φυσικό κανάλι σε αρκετά λογικά κανάλια και τρέχει πάνω από το User Authentication protocol. Σχηµατική αναπαράσταση των επιµέρους πρωτοκόλλων του SSH 54

55 55 Κάθε server και client πρέπει να έχει ένα ζευγάρι ιδιωτικής δηµόσιας κλείδας για να µπορεί να επαλήθευση την ταυτότητα του στο άλλο άκρο. Επιτρέπεται η κατοχή περισσότερων του ενός ζευγάρια κλειδιών, όταν χρησιµοποιούνται µε διαφορετικούς αλγόριθµους, ενώ η από κοινού χρήση ενός ζεύγους από πολλούς server δεν απαγορεύεται. Για να µπορεί ο client µε ευκολία να επαληθεύει την ταυτότητα του server είναι απαραίτητο να γνωρίζει την δηµόσια κλείδα που αντιστοιχεί στον server που θέλει να συνδεθεί. Υπάρχουν δυο διαφορετικά µοντέλα που εξασφαλίζουν την προηγούµενη προϋπόθεση: Πρώτον, ο client έχει αποθηκευµένα σε µια τοπική βάση δεδοµένων τα ονόµατα των server και τις σχετιζόµενες µε αυτά δηµόσιες κλείδες. Αυτή η µέθοδος δεν απαιτεί µια κεντρική διαχείριση των κλειδιών από τρίτους. Το µειονέκτηµα είναι ότι το µέγεθος µιας τέτοιας βάσης δεδοµένων µπορεί να εξελιχθεί σηµαντικά και συνεπώς η συντήρηση της να γίνει δύσκολη. Στην δεύτερη περίπτωση, σχέση µεταξύ του ονόµατος του server και του κλειδιού του πιστοποιείται από µια άξια εµπιστοσύνης Certification Authority. Το πρόγραµµα του πελάτη γνωρίζει µόνο την δηµόσια κλείδα της Certification Authority και µπορεί να επιβεβαιώσει την εγκυρότητα των κλείδων που έχουν πιστοποιηθεί από την CA. Εδώ δεν υπάρχει το πρόβληµα της διατήρησης µεγάλων βάσεων δεδοµένων από τα τοπικά συστήµατα, αφού µόνο ένα κλειδί χρειάζεται να αποθηκεύει ο client. Από την άλλη µεριά, όµως, δεν είναι δυνατή η απόλυτη εµπιστοσύνη στις διαδικασίες της Certification Authority. Επίσης, πιστοποίηση κάθε κλειδιού µπορεί να είναι µια χρονοβόρα και περίπλοκή διαδικασία. Οι εφαρµογές του SSH µπορούν να παρέχουν επιπρόσθετες µεθόδους επικύρωσης των δηµόσιων κλειδιών, όπως για παράδειγµα την παραγωγή ενός δεκαεξαδικού "αποτυπώµατος" της κλείδας και από τα δύο άκρα και την σύγκριση τους µέσω εξωτερικών καναλιών επικοινωνίας (π.χ. τηλέφωνο). Κλείδες που δεν επαληθεύονται, κανονικά δεν πρέπει να γίνονται δεκτές. Το πρωτόκολλο επιτρέπει την διαπραγµάτευση όλων των χρησιµοποιούµενων αλγορίθµων. Έτσι, οι αλγόριθµοι κρυπτογράφησης, ανταλλαγή κλειδιών και συµπίεσης καθώς επίσης και οι µηχανισµοί ασύµµετρων κλειδιών και παροχής ακεραιότητας, µπορούν να επιλεγούν από λίστες που παρέχουν ο client και ο server ο ένας στον άλλο και µάλιστα διαφορετικοί για κάθε κατεύθυνση. Η πολιτική ασφαλείας κάθε συστήµατος καθορίζει ποιοι προτιµούνται. Τα παρακάτω θέµατα πολιτικής θα πρέπει υπολογίζονται κατά την ρύθµιση SSH εφαρµογών: Οι αλγόριθµοι και οι µηχανισµοί που πρόκειται να χρησιµοποιηθούν για κάθε κατεύθυνση (client a server ή client? server). Πρέπει να ορίζεται ποιος προτιµάται. Η µέθοδοι πιστοποίησης της ταυτότητας, ξεχωριστοί για κάθε χρήστη που θα εφαρµόζει ο server. Η πολιτική του server µπορεί να ζητά πολλαπλές διαδικασίες πιστοποίησης για µερικού ή όλους τους χρήστες, ενώ οι απαιτούµενοι αλγόριθµοι µπορούν να εξαρτώνται από την τοποθεσία από όπου προσπαθεί να συνδεθεί ο χρήστης. 55

56 56 Οι ενέργειες που επιτρέπονται σε κάθε χρήστη και στον server. Η πολιτική ασφαλείας δεν θα πρέπει να επιτρέπει στον server να εκτελεί εντολές στην µηχανή του χρήστη ούτε στον χρήστη να συνδέεται στον authentication server. Ο πρωταρχικός στόχος του SSH πρωτοκόλλου είναι η βελτίωση της ασφάλειας στο Internet και ο τρόπος µε τον οποίο προσπαθεί να το επιτύχει αυτό βασίζεται στο εξής σκεπτικό: Όλοι οι αλγόριθµοι κρυπτογράφησης, παροχής ακεραιότητας και ανταλλαγής κλειδιών έχουν δοκιµαστεί. Οι αλγόριθµοι χρησιµοποιούν κλειδιά µεγέθους ικανού να παρέχει προστασία απέναντι στις ισχυρότερες επιθέσεις κρυπτοανάλυσης. Στην περίπτωση που κάποιος αλγόριθµος "σπάσει", είναι εύκολη η αντικατάσταση του από κάποιον άλλο χωρίς αλλαγές στις βάσεις του SSH. Για την ταχεία ανάπτυξη και υιοθέτηση του πρωτοκόλλου, κάποιες έχουν γίνει παραχωρήσεις. Σηµαντικότερη από αυτές είναι η καθιέρωση της επαλήθευσης των κλείδων µε υποχρεωτική, γεγονός όµως που δεν συνιστάται. Το SSH έχει πολλά πλεονεκτήµατα και χαρακτηριστικά που προσφέρουν ασφάλεια : 1. Η πιστοποίηση υποστηρίζεται, οπότε δεν είναι δυνατές επιθέσεις τύπου «man in the middle». 2. Υπάρχει δυνατότητα συµπίεσης των δεδοµένων που διακινούνται µε αποτέλεσµα να µειώνεται ο χρόνος επικοινωνίας. 3. Εκτός από τη χρήση στη θέση του Telnet, µέσα από σύνδεση SSH µπορούν να χρησιµοποιηθούν και άλλα πρωτόκολλα όπως POP, FTP, X-Windows(τεχνική tunneling). Με την κρυπτογράφηση των πακέτων υπάρχει προστασία από προγράµµατα sniffer. Ο sniffer µπορεί να υποκλέψει και στη συνέχεια να συναρµολογήσει τα κρυπτογραφηµένα πακέτα, αλλά θα εµφανίζονται ακατανόητα µηνύµατα (λόγω κρυπτογράφησης). Η αποκρυπτογράφηση είναι πολύ δύσκολη αν όχι αδύνατη εξαιτίας της χρονοβόρας διαδικασίας, ακόµα και µε πανίσχυρους υπολογιστές. Ακόµα και στην περίπτωση όπου οι δυο υπολογιστές που επικοινωνούν δεν ανήκουν σε τοπικά δίκτυα, η πληροφορία που δεν είναι κρυπτογραφηµένη µπορεί να γίνει γνωστή σε ενδιάµεσους κόµβους. Για να συνδεθεί ένας χρήστης σε έναν αποµακρυσµένο υπολογιστή µε SSH πρέπει να γνωρίζει τον κωδικό του. Αφού δώσει username και password, τότε αυτά µεταδίδονται στο δίκτυο σε κρυπτογραφηµένη µορφή και γίνεται η σύνδεση. Τα δεδοµένα είναι επίσης σε κρυπτογραφηµένη µορφή. Η πιστοποίηση επιτυγχάνεται µε την κρυπτογραφία δηµοσίου κλειδιού. Κάθε χρήστης δηµιουργεί ένα ζευγάρι ιδιωτικού / δηµοσίου κλειδιού. Το ιδιωτικό κλειδί είναι στον υπολογιστή του προστατευµένο, ενώ το δηµόσιο κλειδί το τοποθετεί στον διακοµιστή SSH που έχει λογαριασµό και θα συνδέεται αποµακρυσµένα. Όταν ο χρήστης ζητήσει τη σύνδεση, τότε ο διακοµιστής κρυπτογραφεί µε το δηµόσιο κλειδί του πελάτη ένα τυχαίο µήνυµα (challenge) και το στέλνει. Ο πελάτης το αποκρυπτογραφεί µε το ιδιωτικό του κλειδί και στη συνέχεια το κρυπτογραφεί µε το δηµόσιο κλειδί του που είναι γνωστό. Ο διακοµιστής αποκρυπτογραφεί το µήνυµα µε το ιδιωτικό του κλειδί και το συγκρίνει µε το αρχικό τυχαίο µήνυµα που δηµιούργησε. Αν αυτά ταυτίζονται τότε ο διακοµιστής SSH επιτρέπει στον πελάτη τη σύνδεση. 56

57 57 ΣΥΣΤΗΜΑΤΑ ΑΝΙΧΝΕΥΣΗΣ ΕΙΣΒΟΛΩΝ (IDS) Ένα µεγάλο ερώτηµα που ταλανίζει πάντα τους υπευθύνους ασφαλείας δικτύου υπολογιστών µιας επιχείρησης ή ενός οργανισµού είναι το πώς θα αντιληφθεί η επιχείρηση αν κάποιος εισέβαλε στο δίκτυό της. Ο εισβολέας δεν θα έχει αφήσει αποτυπώµατα. Αν έχει εγκατασταθεί ένα ισχυρό firewall µε ισχυρές δυνατότητες καταγραφής, µπορεί να βρει αποδείξεις µιας επίθεσης στα αρχεία καταγραφής, αλλά ένας έξυπνος εισβολέας µπορεί να σβήσει ακόµη και αυτά τα ίχνη. Για να δει εποµένως τι ακριβώς συµβαίνει, χρειάζεται ένα σύστηµα ανίχνευσης εισβολής. Αυτά τα συστήµατα ψάχνουν για σήµατα εισβολής και προειδοποιούν αµέσως µόλις εµφανιστούν. Αυτό σηµαίνει ότι κάθε σύστηµα ανίχνευσης εισβολής θα καταγράφει συνεχώς πολλές προσπάθειες. Θα πρέπει βέβαια να γίνουν κατάλληλες ρυθµίσεις στα φίλτρα του δικτύου, ώστε να αγνοούν τις απειλές που δεν θα κάνουν κακό στο δίκτυο και να επικεντρώνονται στις πραγµατικές απειλές, που καταγράφονται στα αρχεία καταγραφής. Τα συστήµατα αυτά είναι ένα απαραίτητο συστατικό κάθε πραγµατικά ασφαλούς δικτύου υπολογιστών. Τα συστήµατα ανίχνευσης εισβολής (Intrusion Detection Systems-IDS) είναι συστήµατα λογισµικού, τα οποία ανιχνεύουν εισβολές σε ένα δίκτυο υπολογιστών µε βάση ορισµένα σήµατα. Τα ενεργά IDS προσπαθούν να µπλοκάρουν τις επιθέσεις, αποκρίνονται µε αντίµετρα ή τουλάχιστον προειδοποιούν τους διαχειριστές, κατά την εξέλιξη της επίθεσης. Τα παθητικά IDS απλώς καταγράφουν την εισβολή ή δηµιουργούν ίχνη παρακολούθησης, τα οποία γίνονται εµφανή αφού επιτύχει η επίθεση. Ενώ τα παθητικά συστήµατα µπορούν να θεωρηθούν κάπως άχρηστα στο να αποτρέπουν επιθέσεις, υπάρχουν αρκετές ενδείξεις επιθέσεων, οι οποίες γίνονται εµφανείς µόνο µετά την ολοκλήρωση µιας εισβολής. Για παράδειγµα, αν ένας δυσαρεστηµένος διαχειριστής δικτύου του δικτύου υπολογιστών µιας επιχείρησης αποφασίσει να επιτεθεί στην επιχείρηση, θα έχει όλα τα κλειδιά και τους κωδικούς πρόσβασης που είναι αναγκαίοι για να συνδεθεί. Κανένα ενεργό σύστηµα δεν θα προειδοποιήσει για αυτήν του την ενέργεια. Τα παθητικά IDS µπορούν όµως να ανιχνεύσουν τις αλλαγές που κάνει ένας διαχειριστής σε συστήµατα αρχείων, τις διαγραφές ή όποια άλλη καταστροφή προκαλέσει. Το σύστηµα ανίχνευσης επιθέσεων µιας εταιρείας µεσαίου µεγέθους καταγράφει κατά µέσω όρο εκατοντάδες προσπάθειες αυτοµατοποιηµένων επιθέσεων κάθε µέρα. Συστήµατα Επιθεώρησης Τα συστήµατα επιθεώρησης είναι ο συνηθέστερος τύπος IDS. Αυτοί οι ανιχνευτές εισβολών παρακολουθούν τη δραστηριότητα σε έναν ξενιστή σε ένα δίκτυο και παίρνουν αποφάσεις για το αν µια επίθεση γίνεται αυτήν τη στιγµή ή έχει γίνει ήδη µε βάση ένα σύνολο προγραµµατισµένων κανόνων, είτε µε βάση ιστορικά στοιχεία κανονικής χρήσης. αι ανιχνευτές εισβολών που είναι ενσωµατωµένοι µέσα σε firewalls και µέσα σε λειτουργικά συστήµατα, καθώς και οι περισσότεροι εµπορικά διαθέσιµοι ανιχνευτές εισβολών βασίζονται σε συστήµατα επιθεώρησης. Οι ανιχνευτές εισβολών βασίζονται σε ενδείξεις ανάρµοστης χρήσης. Αυτές οι ενδείξεις περιλαµβάνουν τις παρακάτω: 57

58 58 Κίνηση δικτύου, όπως σαρώσεις ICMP, σαρώσεις θυρών ή συνδέσεις προς µη εξουσιοδοτηµένες θύρες. Υπογραφές γνωστών συνηθισµένων επιθέσεων, όπως σκουλήκια ή υπερχειλίσεις ενταµιευτή. Χρησιµοποίηση πόρων, όπως ΚΜΕ, RAM ή υπερχρησιµοποίηση Ε/Ε δικτύου σε αναπάντεχους χρόνους. Αυτό µπορεί να δηλώνει µια αυτοµατοποιηµένη επίθεση εναντίον ενός δικτύου. ραστηριότητα αρχείων, που περιλαµβάνει δηµιουργία νέων αρχείων, τροποποίηση αρχείων συστήµατος, αλλαγές σε αρχεία χρηστών ή τροποποίηση λογαριασµών χρηστών ή αδειών ασφάλειας. Τα συστήµατα επιθεώρησης παρακολουθούν διάφορους συνδυασµούς αυτών των σηµάτων και δηµιουργούν καταχωρίσεις καταγραφής. Το σώµα αυτών των καταχωρίσεων καταγραφής καλούνται ίχνος παρακολούθησης, το οποίο αποτελείται από το άθροισµα των παραµέτρων που έχουν παρακολουθηθεί για ένα δεδοµένο αντικείµενο, όπως για ένα λογαριασµό χρήστη ή για µια διεύθυνση ΙΡ προέλευσης. Τα συστήµατα παρακολούθησης µπορούν να παρακολουθούν τα ίχνη παρακολούθησης για να καθορίσουν πότε γίνεται µια εισβολή. Τα IDS χρειάζονται πάντα πόρους του συστήµατος για να λειτουργήσουν. Τα IDS δικτύου συνήθως εκτελούνται σε firewalls, σε δηµόσιους ξενιστές ή σε αφοσιωµένους υπολογιστές. Η χρησιµοποίηση πόρων, συνήθως, δεν αποτελεί πρόβληµα, επειδή υπάρχουν πόροι σε αυτά τα µηχανήµατα. Τα IDS ξενιστών που έχουν σχεδιαστεί, ώστε να προστατεύουν τους εσωτερικούς διακοµιστές µπορούν όµως να αποτελέσουν ένα σηµαντικό εµπόδιο. Τα συστήµατα επιθεώρησης µπορούν να ανιχνεύσουν µόνο γνωστούς τοµείς εισβολών, οπότε νέοι τύποι εισβολών δεν µπορούν να ανιχνευθούν. Τα συστήµατα παρακολούθησης έχουν περισσότερες πιθανότητες να ανιχνεύσουν άγνωστους τοµείς εισβολής, αλλά δεν µπορούν να τους ανιχνεύσουν παρά αφού συµβούν και δεν υπάρχει καµία εγγύηση ότι θα ανιχνευθούν άγνωστες επιθέσεις. Τα συστήµατα επιθεώρησης έχουν τα ίδια προβλήµατα µε τους σαρωτές ιών δεν µπορείτε να ανιχνεύσετε επιθέσεις µέχρι να είναι γνωστά τα πρότυπά τους. Μπορείτε να τους φανταστείτε ως σαρωτές ιών για ρεύµατα δικτύου. Ωστόσο, σε αντίθεση µε τους ιούς, οι τύποι επιθέσεων είναι κάπως περιορισµένοι σε εµβέλεια και προβλεπτοί στη φύση τους. ιεξάγονται διαγωνισµοί ανάµεσα σε ηθικούς εισβολείς για να βρουν νέους τρόπους επιθέσεων, και αµέσως µετά δηµοσιεύουν τις υπογραφές των επιθέσεων. Αυτό το είδος εισβολής γίνεται πολύ δηµοφιλές ως χόµπι, ανάµεσα σε αυτούς που βλέπουν τις επιθέσεις ως τέχνη και όχι ως έγκληµα, και τα προϊόντα τους βοηθούν στη διασφάλιση δικτύων, πριν αυτά να υποστούν επιθέσεις. Λόγω των περιορισµών τους, τα IDS γενικά απαιτούν η παρακολούθηση από ανθρώπινους διαχειριστές ασφάλειας να είναι αποτελεσµατική. Υπάρχει τόσο µεγάλη δραστηριότητα εισβολών στις µέρες µας, που οι διαχειριστές ασφάλειας ψάχνουν µόνο για πράγµατα που δεν έχουν δει προηγουµένως ή για ενδείξεις ότι υφίστανται επίθεση. Η τεχνολογία αντίµετρων και τα συστήµατα απόκρισης που αυξάνουν προσωρινά την ασφάλεια του ξενιστή κατά τη διάρκεια επιθέσεων βρίσκονται ακόµη σε θεωρητικό επίπεδο. Τα σύγχρονα IDS βασίζονται στο να προειδοποιούν ανθρώπινους διαχειριστές για την παρουσία µιας επίθεσης, κάτι που καθιστά τους ανθρώπινους διαχειριστές ένα ενεργό κοµµάτι του 58

59 59 συστήµατος ανίχνευσης εισβολής. Συστήµατα Παραπλάνησης Τα συστήµατα παραπλάνησης (που επίσης καλούνται συστήµατα πρόκλησης) λειτουργούν µιµούµενα την συµπεριφορά ενός συστήµατος στόχου, εκτός του ότι, αντί να παρέχουν έναν τοµέα εισβολής για τον επιτιθέµενο, προειδοποιούν για τη χρήση τους. Τα συστήµατα παραπλάνησης δείχνουν ότι είναι ένας πραγµατικός στόχος, που δεν έχει διασφαλιστεί σωστά. Όταν ένας εισβολέας επιτίθεται σε ένα δίκτυο, εκτελεί µια αρκετά µεθοδική σειρά γνωστών επιθέσεων, όπως σαρώσεις περιοχών διευθύνσεων και σαρώσεις θυρών, για να καθορίσει ποιοι ξενιστές είναι διαθέσιµοι και ποιες υπηρεσίες παρέχουν αυτοί οι ξενιστές. Παρέχοντας ξενιστές ή υπηρεσίες παραπλάνησης, µπορεί να δελεάσει κανείς τον εισβολέα να επιτεθεί σε έναν ξενιστή ή σε µια υπηρεσία που δεν είναι σηµαντική για το ίδιο και έχει σχεδιαστεί έτσι, ώστε να προειδοποιεί για τη χρήση της. Τα συστήµατα παραπλάνησης λειτουργούν όπως µια µόνο υπηρεσία παραπλάνησης σε ένα λειτουργικό ξενιστή, όπως µια γκάµα υπηρεσιών παραπλάνησης σε ένα λειτουργικό ξενιστή, όπως ένας ξενιστής παραπλάνησης ή όπως ένα ολόκληρο δίκτυο παραπλάνησης. Συστήµατα Παρακολούθησης Οι ανιχνευτές εισβολής που βασίζονται σε συστήµατα παρακολούθησης απλώς παρακολουθούν οτιδήποτε κάνουν οι κανονικοί χρήστες (τουλάχιστον εκείνα τα πράγµατα που αφορούν στην ασφάλεια) για να δηµιουργήσουν ένα ίχνος παρακολούθησης. Αυτό το ίχνος παρακολούθησης µπορεί να εξεταστεί οποτεδήποτε υποπτεύεται κανείς ότι υπάρχει µια δραστηριότητα εισβολής. Οι ανιχνευτές εισβολής που βασίζονται σε συστήµατα παρακολούθησης έχουν αρκετές µορφές, από πολιτικές παρακολούθησης ενσωµατωµένες µέσα στο λειτουργικό σύστηµα, οι οποίες µπορούν να διαµορφωθούν ώστε να καταγράφουν αλλαγές κωδικών πρόσβασης, µέχρι λογισµικό που καταγράφει αλλαγές σε κρίσιµα αρχεία συστήµατος, τα οποία δεν πρέπει να αλλάξουν ποτέ, και µέχρι συστήµατα που καταγράψουν κάθε πακέτο που ρέει επάνω σε ένα δίκτυο. Έξυπνα συστήµατα, που βασίζονται σε παρακολούθηση, προσπαθούν να αυξήσουν την αξία του ίχνους παρακολούθησης, εξετάζοντας το αυτόµατα για να βρουν σήµατα εισβολής. Αυτά τα σήµατα διαφέρουν ανάλογα µε το σύστηµα, αλλά συνήθως περιλαµβάνουν εξέταση για δραστηριότητες κόκκινης κάρτας, όπως αλλαγή κωδικού πρόσβασης ενός διαχειριστικού λογαριασµού και κατόπιν εξέταση των δραστηριοτήτων γύρω από αυτό το συµβάν. Αν, για παράδειγµα, µια αλλαγή κωδικού πρόσβασης ακολουθείται άµεσα από µια αλλαγή ενός αρχείου συστήµατος, ο ανιχνευτής εισβολής θα δώσει ένα συναγερµό. 59

60 60 ΠΡΟΓΡΑΜΜΑΤΑ ANTIVIRUS Το βασικό όπλο µας στον "πόλεµο" κατά των ιών είναι σίγουρα ένα καλό και αξιόπιστο πρόγραµµα antivirus. Μπορεί η πρόληψη να είναι η καλύτερη θεραπεία, ωστόσο, όσο και να προσέχουµε, ό,τι ρυθµίσεις και να κάνουµε στο λειτουργικό σύστηµα και στα προγράµµατα που χρησιµοποιούµε, ο κίνδυνος παραµονεύει. Έτσι, λοιπόν, τα προγράµµατα antivirus έχουν γίνει τα πλέον απαραίτητα σε κάθε σύγχρονο σύστηµα. Οι εφαρµογές αυτές, στην πλειονότητά τους είναι πανεύκολες στη χρήση, διαθέτουν εύχρηστο interface και έχουν τη δυνατότητα να αναβαθµίζονται αυτόµατα µε τα τελευταία virus definitions. Επίσης, ακόµα και αν δεν καταφέρουν να εξολοθρεύσουν κάποιον ιό, µπορούν τουλάχιστον να περιορίσουν τη δράση του ώστε να αποφευχθεί η περαιτέρω εξάπλωσή του στο σύστηµα. Μία πολύ χρήσιµη δυνατότητα που ενσωµατώνουν πολλά προγράµµατα antivirus είναι η δηµιουργία δισκέτας εκκίνησης, µε την οποία µπορούµε να ξεκινήσουµε το σύστηµά µας στην περίπτωση που έχει µολυνθεί από κάποιον ιό. Η δισκέτα αυτή ενσωµατώνει εφαρµογές διάγνωσης και καθαρισµού του boot sector του δίσκου µας. Πριν να ξεκινήσουµε την παρουσίαση των πιο γνωστών προγραµµάτων της αγοράς, θα πρέπει να τονίσουµε ότι ανά τακτά χρονικά διαστήµατα ο χρήστης θα πρέπει να αναβαθµίζει τη βάση δεδοµένων του προγράµµατος µε τους τελευταίους ιούς. Σε κάθε περίπτωση, το site κάθε κατασκευάστριας εταιρείας παρέχει αξιόπιστη και έγκαιρη ενηµέρωση. Η διαδικασία λειτουργίας των προγραµµάτων Antivirus περιλαµβάνει δύο στάδια. Το πρώτο στάδιο είναι ο εντοπισµός των επιβλαβών προγραµµάτων και το δεύτερο στάδιο είναι η αντιµετώπιση. Κατά την αντιµετώπιση καθορίζονται οι ενέργειες του προγράµµατος αφού εντοπιστεί ένα ιός στο σύστηµα. Τα προγράµµατα antivirus ελέγχουν όλα τα δεδοµένα του υπολογιστή, όπου είναι εγκατεστηµένα, αντιπαραβάλλοντάς τα µε µια τεράστια βάση δεδοµένων από ιούς, η οποία ανανεώνεται σχεδόν καθηµερινά. Στην ουσία, αναζητούν εντός των διαφόρων αρχείων κώδικα, ο οποίος χρησιµοποιείται σε ήδη γνωστούς ιούς και όταν εντοπίζουν τέτοιες περιπτώσεις, ζητούν τη διαγραφή ή την αποµόνωση των αρχείων αυτών. Για τις περιπτώσεις ιών που δεν είναι ακόµα γνωστοί, υπάρχουν και πιο εξελιγµένες τεχνικές που βασίζονται σε συγκριτική ανάλυση του κώδικα µε βάση παλαιότερους ιούς. Μια τέτοια λειτουργία προσφέρει σίγουρα αυξηµένη προστασία, κρύβει όµως και αρκετούς κινδύνους (όπως εξηγούµε πιο κάτω) και είναι προτιµότερο να ενεργοποιείται µόνο από έµπειρους χρήστες. Ακόµα αποτελεσµατικότερη είναι η δοκιµαστική εκτέλεση των αρχείων σε «ασφαλές» περιβάλλον, λειτουργία διαθέσιµη σε αρκετά προγράµµατα. Ωστόσο, στην περίπτωση αυτή, το σκανάρισµα συνήθως κρατάει πολύ περισσότερη ώρα, ενώ απαιτούνται και πολύ περισσότεροι επεξεργαστικοί πόροι. Τα νεώτερα προγράµµατα προσφέρουν ολοκληρωµένη προστασία, καθώς περιλαµβάνουν εφαρµογές firewall, επιτρέπουν την κρυπτογράφηση δεδοµένων και εξασφαλίζουν ευαίσθητα προσωπικά δεδοµένα από το να διαρρεύσουν κατά την περιήγηση στο Ιnternet. Αρκετά προγράµµατα antivirus έχουν επίσης 60

61 61 τη δυνατότητα να φιλτράρουν το περιεχόµενο ιστοσελίδων που µπορεί να βλάψουν τον υπολογιστή ή να εµφανίζουν ανάρµοστο περιεχόµενο σε ανηλίκους. Ανανεωµένες εκδόσεις Σε ένα έντονα ανταγωνιστικό περιβάλλον, όπως είναι των εφαρµογών antivirus, λογικό είναι κάθε εταιρεία να φροντίζει εγκαίρως να διαθέτει στην αγορά κάθε χρόνο ένα νέο πακέτο προστασίας, µε εξελιγµένα χαρακτηριστικά. Μάλιστα, τα νέα προγράµµατα κάνουν την εµφάνισή τους πριν από την αλλαγή του έτους, εποµένως ήδη αυτή τη στιγµή έχουµε τις περισσότερες από τις νέες προτάσεις διαθέσιµες στην αγορά. Κάποια γνωστά Antivirus είναι: McAFEE VIRUSCAN Η εταιρεία McAfee είναι σίγουρα γνωστή σε όλους για το οµώνυµο antivirus που κατασκευάζει. Το παράθυρο της εφαρµογής (Virus Scan Central) δεν θυµίζει τα κλασικά παράθυρα που έχουµε συνηθίσει στο περιβάλλον των Windows. Τα χρώµατα είναι πιο φωτεινά, υπάρχουν πολλές καµπύλες, ενώ τόσο στα πλήκτρα ελέγχου όσο και στις διάφορες επιλογές επικρατεί η λογική του Web. Οι βασικές επιλογές του κεντρικού παραθύρου είναι Scan, Schedule και Quarantine. Επιλέγοντας µία από αυτές, περνάµε σε νέο παράθυρο µε επιµέρους επιλογές, ενώ κάνοντας κλικ στο back, επιστρέφουµε στο προηγούµενο παράθυρο και µε το home στο αρχικό παράθυρο της εφαρµογής. Το McAfee χρησιµοποιεί ένα ειδικό utility, που επικάθεται στο tray του συστήµατος (VShield) και ελέγχει τον υπολογιστή συνεχώς. Μέσω αυτού ο χρήστης έχει άµεση πρόσβαση σε όλες τις λειτουργίες και τις ρυθµίσεις του προγράµµατος. Το πρόγραµµα επιτρέπει τον έλεγχο όλων των αρχείων του συστήµατος, ή µόνο των προγραµµάτων και των document files. Κατά την έναρξη του ελέγχου το πρόγραµµα θα ελέγξει µε τη σειρά τη µνήµη του υπολογιστή, τον boot sector του δίσκου και στη συνέχεια θα περάσει στον έλεγχο των αρχείων. Το McAfee µπορεί να ρυθµιστεί ώστε να ελέγχει αυτόµατα όλα τα s που δεχόµαστε, καθώς και τα επισυναπτόµενα σε αυτά αρχεία, ενώ δεν λείπει και η δυνατότητα ελέγχου των αρχείων που "κατεβάζουµε" από το Internet, καθώς και των σελίδων που επισκεπτόµαστε στον Web. Το δεύτερο µενού του προγράµµατος αναφέρεται στον προγραµµατισµό (scheduling) της εφαρµογής ώστε να εκτελεί περιοδικούς ελέγχους στο δίσκο ανά τακτά χρονικά διαστήµατα, που µπορεί να ορίσει ο χρήστης. Από το ίδιο µενού µπορούµε επίσης να βρούµε πολλά στατιστικά στοιχεία όσον αφορά στους ιούς που έχει ανακαλύψει το McAfee κατά την περίοδο λειτουργίας του, τα µολυσµένα αρχεία που έχει καθαρίσει κ.λπ. Το παράθυρο Quarantine εµφανίζει όλα τα µολυσµένα αρχεία που δεν έχουν διορθωθεί και βρίσκονται σε καραντίνα. Στο σηµείο αυτό θα πρέπει να πούµε ότι, όταν το πρόγραµµα ανακαλύψει κάποιο µολυσµένο αρχείο, προτρέπει το χρήστη να το διορθώσει, να το διαγράψει ή να το βάλει σε καραντίνα. Επιπλέον, εάν το επιθυµούµε, µπορούµε να στείλουµε αυτά τα αρχεία στην McAfee (Anti- Virus Emergency Response Team) σε περίπτωση που πιστεύουµε πως έχουµε ανακαλύψει κάποιον νέο ιό τον οποίο δεν µπορεί να αναγνωρίσει το πρόγραµµα. Από το ίδιο παράθυρο µπορούµε να δοκιµάσουµε να "καθαρίσουµε" ένα αρχείο από κάποιον ιό ή να το διαγράψουµε, όταν αυτό είναι αδύνατο. Φυσικά, το πρόγραµµα δίνει δυνατότητα δηµιουργίας δισκέτας εκκίνησης που η McAfee 61

62 62 ονοµάζει Emergency Disk, διαδικασία η οποία µπορεί να πραγµατοποιηθεί είτε κατά την εγκατάσταση είτε από την επιλογή Options/Tools/Emergency Disk. Τέλος, το McAfee διαθέτει τη δυνατότητα απόκτησης των τελευταίων virus definitions κατευθείαν από το site της εταιρείας. Για το σκοπό αυτόν χρησιµοποιείται ένας αυτόµατος οδηγός, ο οποίος φροντίζει να συνδεθεί µε ειδικό server της McAfee και να αντλήσει από εκεί όλα τα απαραίτητα δεδοµένα. Γενικά το McAfee antivirus είναι ένα από τα καλύτερα προγράµµατα του είδους. Συνδυάζοντας µεγάλη ευχρηστία και πληθώρα σηµαντικών λειτουργιών, αποτελεί µία από τις καλύτερες λύσεις της αγοράς. NORTON ANTIVIRUS Το Norton Antivirus της Symantec είναι ένα από τα γνωστότερα προγράµµατα του είδους που κυκλοφορούν στην αγορά. Το Norton Antivirus µπορεί να χρησιµοποιηθεί τόσο ως standalone εφαρµογή όσο και µέσα από το πακέτο Norton Systemworks, το οποίο περιλαµβάνει τις σηµαντικότερες εφαρµογές της Symantec, όπως είναι τα Norton Utilities, Norton CleanSweep, Norton Ghost και πολλά ακόµα χρήσιµα προγράµµατα. Το interface του antivirus θυµίζει έντονα το αντίστοιχο της McAfee, είναι πολύ εύχρηστο, καθώς όλες οι διαθέσιµες λειτουργίες παρουσιάζονται σε µία στήλη στα αριστερά του κεντρικού παραθύρου της εφαρµογής. Η Symantec έχει φροντίσει να εξοπλίσει το πρόγραµµα µε δυνατότητα LiveUpdate για την απόκτηση των τελευταίων virus definitions. Η ενέργεια αυτή καλό είναι να γίνει αµέσως έπειτα από το πέρας της εγκατάστασης του προγράµµατος, µε απώτερο σκοπό τη βέλτιστη προστασία του συστήµατος από τους ιούς. Επιπλέον κατά την εγκατάσταση το πρόγραµµα θα προτείνει τη δηµιουργία Rescue Disk. Το Norton Antivirus µπορεί να ερευνήσει οποιοδήποτε από τα αποθηκευτικά µέσα ενός υπολογιστή, ενώ υπάρχει η δυνατότητα έρευνας όλων ανεξαιρέτως των αρχείων του συστήµατος ή µόνο των προγραµµάτων (program files) και των document files που είναι συνήθως και τα πιο επίφοβα. Μία από τις βασικότερες λειτουργίες του προγράµµατος είναι η Real Time Protection. Κατά την ενεργοποίηση της τελευταίας, το πρόγραµµα επικάθεται στο tray του συστήµατος και φροντίζει να ελέγχει σε πραγµατικό χρόνο όλα τα αρχεία που εισέρχονται στον υπολογιστή, από οποιαδήποτε πηγή, και να ειδοποιεί αυτόµατα το χρήστη για ενδεχόµενους ιούς που εµπεριέχονται σε κάποια από αυτά. Οταν, δε, ανακαλύψει κάποιον ιό, θα προτείνει αυτόµατα στο χρήστη να προσπαθήσει να "καθαρίσει" το µολυσµένο αρχείο. Σε περίπτωση που αυτό δεν είναι εφικτό, το µολυσµένο αρχείο θα τοποθετηθεί σε "καραντίνα", ώστε να αποφευχθεί η περαιτέρω εξάπλωση του ιού σε άλλα αρχεία. Η "καραντίνα" (Quarantine) είναι µία αποµονωµένη περιοχή του δίσκου, ουσιαστικά ένα folder που δηµιουργεί το πρόγραµµα, το οποίο είναι προσβάσιµο µόνο µέσα από συγκεκριµένο browser του προγράµµατος. Μέσου αυτού του browser µπορούµε να διαχειριστούµε τα µολυσµένα αρχεία, δηλαδή να προσπαθήσουµε να τα "καθαρίσουµε" ή ακόµα και να τα διαγράψουµε εντελώς. Τέλος, δύο επίσης σηµαντικές δυνατότητες του Norton Antivirus, είναι οι λειτουργίες Mail Protection και Scheduling. Η πρώτη, όπως δηλώνει και το όνοµά της, είναι ένας αυτόµατος έλεγχος για ιούς όλων των mails που δεχόµαστε σε έναν συγκεκριµένο POP3 λογαριασµό. Το Scheduling επιτρέπει στο χρήστη να προγραµµατίσει τη διενέργεια περιοδικών ελέγχων του συστήµατος για ιούς ανά τακτά διαστήµατα. 62

63 63 F-SECURE ANTIVIRUS Το F-Secure, έπειτα από την εγκατάστασή του, επικάθεται στο tray του συστήµατος για να προστατεύει τον υπολογιστή σε πραγµατικό χρόνο. Μέσω τριών συγκεκριµένων επιλογών που παρουσιάζει το πρόγραµµα, µπορούµε να ερευνήσουµε για ιούς όλους τους τοπικούς δίσκους του συστήµατος, το floppy drive ή συγκεκριµένο directory που επιθυµούµε. Το F-Secure διαθέτει απλώς τις βασικές για ένα πρόγραµµα του είδους λειτουργίες. Όλες αυτές επικεντρώνονται σε ένα και µοναδικό παράθυρο, που αποτελείται από τέσσερις διαφορετικές καρτέλες. Εκεί συναντάµε κάποια στατιστικά στοιχεία αναφορικά µε τους ιούς που έχει βρει και εξοντώσει το πρόγραµµα, ενώ µπορούµε να επιλέξουµε και το είδος των αρχείων που θα ελέγχει το πρόγραµµα για ιούς κατά τη Real Time Protection λειτουργία του ή όταν επιχειρούµε ένα manual scan. Τέλος, από το ίδιο παράθυρο υπάρχει και η δυνατότητα απόκτησης των τελευταίων virus definitions του προγράµµατος. Στην περίπτωση αυτή το F-Secure συνδέεται σε έναν server της κατασκευάστριας εταιρείας και κατεβάζει τα απαραίτητα δεδοµένα στον υπολογιστή. Kaspersky Anti-Virus (AVP) Το Kaspersky είναι άλλο ένα γνωστό antivirus, το οποίο κυκλοφορούσε παλαιότερα µε την ονοµασία AVP (Antivirus Toolkit Pro). Σήµερα, η κατασκευάστρια εταιρεία Kaspersky προτίµησε να µετονοµάσει το πρόγραµµα, χρησιµοποιώντας τόσο την επωνυµία της όσο και το όνοµα που το έκανε γνωστό στο ευρύ κοινό. Το AVP έχει σήµερα αρκετούς φανατικούς χρήστες, οι οποίοι το θεωρούν ένα από τα καλύτερα προγράµµατα της αγοράς. ιαθέτει δυνατότητα ελέγχου των αποθηκευτικών µέσων ενός υπολογιστή, Real Time Protection (AVP Monitor), αυτόµατη ανανέωση του προγράµµατος µε τα τελευταία virus definitions, καθώς και ένα συγκεκριµένο εργαλείο (Script Checker) το οποίο είναι επιφορτισµένο µε την προστασία του υπολογιστή από ιούς συγκεκριµένου τύπου (script viruses, worms κ.ά.). Το AVP λειτουργεί βάσει ενός κεντρικού προγράµµατος (Control Center), µέσα από το οποίο µπορούµε να εκτελούµε όλες τις επιµέρους λειτουργίες για τον έλεγχο και την ασφάλεια του συστήµατός µας. Το πρόγραµµα δίνει τη δυνατότητα στο χρήστη να εκτελεί παράλληλα διάφορες διεργασίες. Έτσι, είναι δυνατόν, για παράδειγµα, να ελέγχουµε ένα αποθηκευτικό µέσο για ιούς την ίδια στιγµή που συνδεόµαστε σε έναν server της Kaspersky για να κατεβάσουµε τα τελευταία virus definitions. Τέλος, το AVP έχει τη δυνατότητα να δηµιουργήσει µία ειδική boot disk, µε την οποία µπορούµε να εκκινήσουµε µε ασφάλεια το σύστηµά µας σε περίπτωση που αυτό προσβληθεί από κάποιον ιό. 63

64 64 ΠΡΟΓΡΑΜΜΑΤΑ ANTISPYWARE Τα προγράµµατα Antispyware λειτουργούν µε παρόµοια φιλοσοφία µε τα προγράµµατα κατά των ιών, γιατί τα spyware εµφανίζουν παρόµοια συµπεριφορά µε τους ιούς. Ένα πρόγραµµα Antispyware είναι απαραίτητο για έναν υπολογιστή µε σύνδεση στο ιαδίκτυο γιατί µπορεί να προστατέψει από απειλές που δεν εντοπίζει το Antivirus όπως : spyware, adware, tracking cookies, dialers, hijackers, keyloggers, BHOs κ.α. Αν και ένα Antivirus τελευταίας έκδοσης µπορεί να εντοπίσει κάποια από τα παραπάνω, τα Antispyware είναι πιο εξειδικευµένα. Από την άλλη, ένα Antispyware µπορεί να εντοπίσει γνωστούς δούρειους ίππους και να συµπληρώσει τη λειτουργία ενός Antivirus. Λειτουργία Η λειτουργία είναι παρόµοια µε αυτήν των προγραµµάτων Antivirus. Ο χρήστης καθορίζει τους καταλόγους όπου θα γίνει ο έλεγχος και όταν αυτός ολοκληρωθεί, εµφανίζονται τα αποτελέσµατα. Συνήθως για καθετί που ανακαλύπτεται εµφανίζονται περισσότερες πληροφορίες για να ενηµερωθεί ο χρήστης για την ταυτότητα και το βαθµό επικινδυνότητας. Εκτός από τον έλεγχο στο δίσκο, ένα καλό πρόγραµµα Antispyware µπορεί να τρέχει στο παρασκήνιο για τον εντοπισµό απειλών σε πραγµατικό χρόνο. Με αυτήν τη δυνατότητα παρακολουθούνται συνεχώς οι ρυθµίσεις ασφάλειας του συστήµατος και του browser και κάποια σηµαντικά κλειδιά του µητρώου. Αν υπάρξει κάποια «περίεργη» αλλαγή, ειδοποιείται µε µήνυµα ο χρήστης για να επιτρέψει ή όχι την αλλαγή. Για παράδειγµα, κάποια επιβλαβή προγράµµατα αυτής της κατηγορίας προσθέτουν στο µητρώο την εγγραφή τους για να ξεκινούν αυτόµατα µε την έναρξη των Windows. Ένα Antispyware που τρέχει στο παρασκήνιο θα εντοπίσει την προσπάθεια αλλαγής και θα αποτρέψει την αλλαγή στο µητρώο (registry). Ενηµερώσεις Οι τακτικές ενηµερώσεις είναι απαραίτητες και σε ένα πρόγραµµα Antispyware γιατί συνεχώς εµφανίζονται νέες απειλές. Γνωστά Antispyware προγράµµατα Υπάρχει µεγάλος αριθµός προγραµµάτων από πολλές εταιρείες. Άλλα προσφέρονται δωρεάν και άλλα είναι εµπορικά. Μερικά από τα πιο γνωστά είναι : Ad-Aware SE Personal (δωρεάν χωρίς real-time έλεγχο) Spybot - Search and destroy (δωρεάν) SpywareGuard 64

65 65 FIREWALLS Ένα Firewall προστατεύει τους δικτυωµένους υπολογιστές από την σκόπιµη εχθρική διείσδυση που θα µπορούσε να οδηγήσει σε συµβιβασµούς στην εµπιστευτικότητα (confidentiality) ή σε καταστροφή δεδοµένων ή και σε άρνηση της υπηρεσίας (Denial of ServiceDoS). Μπορεί να είναι µια συσκευή υλικού ή ένα πρόγραµµα λογισµικού που τρέχει σε έναν ασφαλή host υπολογιστή. Σε καθεµία περίπτωση, πρέπει να έχει τουλάχιστον δύο διεπαφές (interfaces) δικτύων, µια για το δίκτυο το οποίο προορίζεται να προστατεύσει, και µια για το δίκτυο στο οποίο εκτίθεται. Το firewall τοποθετείται στο σηµείο συνδέσεων ή στην πύλη (Gateway) µεταξύ των δύο δικτύων, συνήθως ενός ιδιωτικού δικτύου και ενός δηµόσιου δικτύου όπως το διαδίκτυο. Τα πρώτα Firewalls ήταν απλά δροµολογητές. Ο όρος Firewall προέρχεται από το γεγονός ότι µε την κατάτµηση ενός δικτύου στα διαφορετικά φυσικά υποδίκτυα, περιορίζεται η ζηµιά που θα µπορούσε να διαδοθεί από ένα υποδίκτυο στο άλλο λειτουργώντας ακριβώς όπως οι αντιπυρικές πόρτες (firedoors) ή οι αντιπυρικές ζώνες (firewalls). Στο παρακάτω σχήµα φαίνεται ένα firewall που δηµιουργείται από υλικό (hardware firewall) και το οποίο προστατεύει ένα τοπικό δίκτυο. 65

66 66 Στο παρακάτω σχήµα παρουσιάζεται η χρήση λογισµικού ως firewall για την προστασία του δικτύου. Λειτουργίες ενός Firewall Ένα firewall εξετάζει όλη την κυκλοφορία που δροµολογείται µεταξύ των δύο δικτύων για να διαπιστώσει εάν ικανοποιούνται ορισµένα κριτήρια. Εάν ναι, τότε η κυκλοφορία (traffic) δροµολογείται µεταξύ των δικτύων, διαφορετικά διακόπτεται. Ένα firewall φιλτράρει και την εισερχόµενη και την εξερχόµενη κυκλοφορία. Μπορεί επίσης να διαχειριστεί την δηµόσια πρόσβαση (public access) στους ιδιωτικούς δικτυωµένους πόρους, όπως κάνουν οι host εφαρµογές. Μπορεί να χρησιµοποιηθεί για να καταγράψει (log) όλες τις προσπάθειες για πρόσβαση στο ιδιωτικό δίκτυο και να ενεργοποιήσει συναγερµούς (alerts) όταν επιχειρείται εχθρική (hostile) ή αναρµόδια (unauthorized) πρόσβαση. Τα firewalls µπορούν να φιλτράρουν τα πακέτα βασιζόµενα στις διευθύνσεις της πηγής και του προορισµού καθώς και στα port number τους. Αυτό είναι γνωστό ως φιλτράρισµα διευθύνσεων. Τα firewalls µπορούν επίσης να φιλτράρουν συγκεκριµένους τύπους κυκλοφορίας δικτύων. Αυτό είναι επίσης γνωστό ως φιλτράρισµα πρωτοκόλλου (protocol filtering) επειδή η απόφαση να διαβιβαστεί ή 66

67 67 να απορριφθεί η κυκλοφορία εξαρτάται από το χρησιµοποιούµενο πρωτόκολλο, παραδείγµατος χάριν HTTP, FTP ή Telnet. Τα firewalls µπορούν επίσης να φιλτράρουν την κυκλοφορία από τις ιδιότητες ή την κατάσταση των πακέτων. Ένα Firewall δεν µπορεί να αποτρέψει τους µεµονωµένους χρήστες µε modem να καλέσουν µέσα ή έξω από το δίκτυο (κάνοντας dial-up), παρακάµπτοντας το firewall. Η κακή µεταχείριση ή η απροσεξία υπαλλήλων δεν µπορεί να ελεγχθεί από τα firewalls. Οι πολιτικές (policies) που περιλαµβάνουν τη χρησιµοποίηση και την κακή χρήση των passwords και των λογαριασµών χρηστών πρέπει να είναι αυστηρές. Αυτά είναι διοικητικά ζητήµατα που πρέπει να προκύψουν κατά τη διάρκεια του προγραµµατισµού οποιασδήποτε πολιτικής ασφαλείας αλλά που δεν µπορούν να λυθούν µε τα firewalls. Τα διάφορα firewalls λειτουργούν σε διαφορετικά επίπεδα του OSI µοντέλου χρησιµοποιώντας διαφορετικά κριτήρια για τον έλεγχο της κυκλοφορίας. Το χαµηλότερο επίπεδο στο οποίο ένα firewall µπορεί να λειτουργήσει είναι το 3ο επίπεδο δηλ. το επίπεδο δικτύου στο µοντέλο OSI ή το επίπεδο του Internet Protocol για το TCP-IP µοντέλο. Στο επίπεδο αυτό ένα firewall µπορεί να καθορίσει εάν ένα πακέτο προέρχεται από έµπιστη πηγή, αλλά δεν µπορεί να γνωρίζει τι περιέχει ή µε ποια άλλα πακέτα συνδέεται. Τα firewalls τα οποία λειτουργούν στο επίπεδο µεταφοράς γνωρίζουν παραπάνω πληροφορίες για τα πακέτα και µπορούν να επιτρέψουν ή να αρνηθούν πρόσβαση βασιζόµενα σε ποιο πολύπλοκα κριτήρια. Στο επίπεδο εφαρµογής, τα firewalls γνωρίζουν πολλές πληροφορίες και µπορεί να γίνουν πολύ εκλεκτικά στη χορήγηση της πρόσβασης. Σύµφωνα µε τα προαναφερόµενα, τα firewalls που λειτουργούν σε υψηλότερα επίπεδα, όπως το επίπεδο εφαρµογής θα πρέπει να υπερέχουν των υπολοίπων. Αυτό όµως δεν είναι πάντα αλήθεια. Όσο πιο πολύ το πακέτο παρεµποδίζεται σε χαµηλότερο επίπεδο, τόσο πιο ασφαλές είναι το firewall. Εάν ο εισβολέας δεν µπορεί να περάσει το τρίτο επίπεδο είναι αδύνατο να αποκτηθεί έλεγχος του λειτουργικού συστήµατος. Για το λόγο αυτό και τα επαγγελµατικά firewalls λαµβάνουν κάθε πακέτο πριν από το λειτουργικό σύστηµα. Φίλτρα πακέτων Τα φίλτρα πακέτων δρουν ως εξής: ιαβάζουν τα πακέτα δεδοµένων που διακινούνται από το ένα δίκτυο στο άλλο και, εάν κάποιο πακέτο ταιριάζει µε κάποιο συγκεκριµένο κανόνα, τότε το απορρίπτουν. Ο διαχειριστής του δικτύου είναι σε θέση να ορίσει τους κανόνες βάσει των οποίων θα απορρίπτονται τα πακέτα. Αυτός ο τύπος firewall δεν ενδιαφέρεται για το εάν κάποιο πακέτο ανήκει σε µία σύνδεση, δηλαδή δεν αποθηκεύει πληροφορίες σχετικά µε την κατάσταση των διαφόρων συνδέσεων από το ένα δίκτυο στο άλλο (stateless packet filtering). Αντιθέτως, φιλτράρει κάθε πακέτο µε βάση την πληροφορία που περιέχεται στο ίδιο το πακέτο (π.χ. διεύθυνση IP προέλευσης, διεύθυνση IP προορισµού, πρωτόκολλο, αριθµός θύρας κοκ). Επειδή τα πρωτόκολλα TCP και UDP χρησιµοποιούν τις ευρέως διαδεδοµένες θύρες (Well known ports), ένα firewall µπορεί να ξεχωρίσει τα πακέτα που αφορούν διάφορες λειτουργίες, όπως για παράδειγµα το , την µεταφορά αρχείων, την περιήγηση στο ιαδίκτυο. Ένα φίλτρο πακέτων είναι µια συσκευή που ελέγχει κάθε πακέτο IP χωριστά ώστε να αποφασίσει αν θα επιτρέψει τη διέλευση ή θα το απορρίψει. Ο έλεγχος γίνεται στην 67

68 68 επικεφαλίδα των πακέτων και µε βάση : Το είδος του πρωτοκόλλου που χρησιµοποιείται Τη διεύθυνση IP του αποστολέα Τη διεύθυνση IP του παραλήπτη Τους αριθµούς των θυρών που χρησιµοποιεί η υπηρεσία Τα flags (ενδείκτες) Η συσκευή που είναι ταυτόχρονα φίλτρο πακέτων και δροµολογητής ονοµάζεται δροµολογητής διαλογής (screening router). Η χρήση των δροµολογητών διαλογής είναι πιο συνηθισµένη. Παράδειγµα ενός Packet filter Σηµαντικά πλεονεκτήµατα των πακέτων φίλτρων είναι η εύκολη υλοποίησή τους, καθώς και το γεγονός ότι είναι διαφανή στον χρήστη. Ωστόσο, η πολυπλοκότητά τους µεγαλώνει όσο αυξάνονται οι κανόνες φιλτραρίσµατος. Επίσης η τακτική του να επιλέγεται ή όχι πρόσβαση µε βάση την IP διεύθυνση δεν είναι η καλύτερη λύση, µια που η IP διεύθυνση από µόνη της σε καµιά περίπτωση δεν εξασφαλίζει αυθεντικοποίηση του αποστολέα. Μια καλύτερη λύση θα ήταν να υπάρχει πιστοποίηση ταυτότητας του χρήστη που στέλνει τα πακέτα. Μία επιπρόσθετη αδυναµία των πακέτων φίλτρων, που απορρέει από τα παραπάνω, είναι το ότι δεν προστατεύουν από επιθέσεις man-in-the-middle. Τέλος, πρέπει να συνυπολογιστεί το γεγονός ότι πολλές εφαρµογές δεν έχουν σταθερές θύρες (ports) στις οποίες στέλνουν πακέτα, έτσι ειναι δύσκολο να υπάρξουν στατικοί κανόνες φιλτραρίσµατος 68

69 69 Πύλες εφαρµογών (application gateways) Οι πύλες εφαρµογών επιτρέπουν στον διαχειριστή να υλοποιήσει µια αυστηρότερη πολιτική ασφάλειας. Στο µοντέλο client/server η πύλη εφαρµογών είναι µια ενδιάµεση διεργασία που τρέχει µεταξύ του πελάτη που ζητάει µια συγκεκριµένη υπηρεσία και του εξυπηρετητή που του παρέχει αυτή την υπηρεσία. ηλαδή η πύλη εφαρµογών λειτουργεί ως εξυπηρετητής από την σκοπιά του πελάτη και ως πελάτης από τη σκοπιά του εξυπηρετητή. Μια πύλη εφαρµογών µπορεί να λειτουργεί είτε στο επίπεδο εφαρµογής είτε στο επίπεδο µεταφοράς του TCP/IP. Αν η πύλη λειτουργεί στο επίπεδο εφαρµογής ονοµάζεται πύλη επιπέδου εφαρµογής (application-level gateway) ή απλά πύλη εφαρµογών. Αντίστοιχα αν η πύλη λειτουργεί στο επίπεδο µεταφοράς ονοµάζεται πύλη επιπέδου κυκλώµατος (circuit-level gateway). Οι περισσότερες πύλες που χρησιµοποιούνται σε διατάξεις firewalls λειτουργούν στο επίπεδο εφαρµογής, είναι δηλαδή πληρεξούσιοι εξυπηρετητές (proxy servers). Όταν ένας χρήστης που βρίσκεται στο εσωτερικό δίκτυο θέλει να επικοινωνήσει µε µια υπηρεσία του εξωτερικού δικτύου, η πύλη εφαρµογών παρεµβάλλεται. ηλαδή αντί ο χρήστης να επικοινωνήσει άµεσα µε την υπηρεσία επικοινωνεί µε την πύλη εφαρµογών η οποία διαχειρίζεται παρασκηνιακά όλη τη µεταξύ τους επικοινωνία. Συγκεκριµένα όταν ένας πελάτης συνδέεται µε την πύλη εφαρµογών χρησιµοποιώντας ένα από τα πρωτόκολλα εφαρµογής του TCP/IP, όπως το Telnet ή το FTP η πύλη του ζητά πληροφορίες όπως ένα όνοµα εισόδου (login) και ένα κωδικό πρόσβασης (password) για την πιστοποίηση της ταυτότητας του. Αν η πύλη αναγνωρίσει και δεχτεί το χρήστη ο χρήστης της δίνει το όνοµα του αποµακρυσµένου συστήµατος (υπηρεσία) που επιθυµεί να προσπελάσει, η πύλη εφαρµογών συνδέεται για λογαριασµό του χρήστη µε αυτό το αποµακρυσµένο σύστηµα και εγκαθιστά µια δευτερεύουσα σύνδεση. Στη συνέχει µετάγει τα δεδοµένα της εφαρµογής µεταξύ των δύο συνδέσεων. Στην περίπτωση µια πύλης εφαρµογών µπορεί η κίνηση των δεδοµένων να παρακολουθείται και επιπλέον να επιβληθούν εξειδικευµένοι περιορισµοί σχετικά µε την κίνηση αυτών από και προς το ιδιωτικό δίκτυο µε σκοπό να αποτραπεί η υποκλοπή πολύτιµων προγραµµάτων ή δεδοµένων. Τοποθέτηση µιας πύλης εφαρµογών µεταξύ ενός ιδιωτικού δικτύου και του διαδικτύου Η πύλη εφαρµογών φιλοξενείται σε ένα υπολογιστή γενικού σκοπού, ο οποίος ονοµάζεται Bastion host (ή υπολογιστής-οχυρό). Ο υπολογιστής-οχυρό απαιτείται να παρέχει µεγάλη ασφάλεια διότι αποτελεί το κύριο σηµείο επικοινωνίας για τους χρήστες του εσωτερικού δικτύου. 69

70 70 Επιπλέον επειδή ο υπολογιστής-οχυρό εκτίθεται σε άµεσες επιθέσεις από το διαδίκτυο θα πρέπει να είναι ρυθµισµένος µε τέτοιο τρόπο ώστε να είναι ιδιαίτερα ασφαλής. Συνήθως το λειτουργικό σύστηµα του bastion host είναι της κατηγορίας Unix που έχει τροποποιηθεί, αφαιρώντας συγκεκριµένες εντολές και υπηρεσίες, ώστε να ελαττωθούν οι δυνατότητες του στις ελάχιστες απαραίτητες για την υποστήριξη των υπηρεσιών που επιτρέπονται. Έτσι µειώνεται η πιθανότητα ύπαρξης τυχόν «οπών ασφαλείας» και συνεπώς ενισχύεται η ασφάλεια του bastion host. Πληρεξούσιοι Εξυπηρετητές (Proxy Servers) Μια πύλη επιπέδου εφαρµογής που τρέχει σε ένα υπολογιστή-οχυρό συνήθως στεγάζει διάφορους proxy servers. Οι proxy servers χρησιµοποιούνται προκειµένου να έχουµε πρόσβαση στα δεδοµένα µε ασφαλή τρόπο. Αν ένας χρήστης του ενδοεπιχειρησιακού δικτύου θέλει να έχει πρόσβαση σε ένα συγκεκριµένο εξυπηρετητή εφαρµογής TCP/IP στο διαδίκτυο, πρέπει η εφαρµογή του εξυπηρετούµενου να εγκαταστήσει µια σύνδεση µε τον proxy server που τρέχει για αυτή τη συγκεκριµένη εφαρµογή στον υπολογιστή-οχυρό. Ο proxy server µε τη σειρά του πρέπει να πιστοποιήσει την αυθεντικότητα του χρήστη και να τον εξουσιοδοτήσει για πρόσβαση. Μπορούν να χρησιµοποιηθούν διάφορα σχήµατα πιστοποίησης αυθεντικότητας και εξουσιοδότησης. Το απλούστερο σχήµα είναι ο proxy server να κρατά µια λίστα µε διευθύνσεις IP που επιτρέπεται να συνδεθούν σε εξωτερικούς εξυπηρετητές εφαρµογών. Αυτό το σχήµα δεν είναι πολύ ασφαλές, αφού οποιοσδήποτε µπορεί να προσποιηθεί ότι έχει εξουσιοδοτηµένη διεύθυνση IP. Ένα πιο ασφαλές σχήµα είναι η χρήση ισχυρών µηχανισµών πιστοποίησης αυθεντικότητας µεταξύ του χρήστη και του proxy server. Μετά την επιτυχή πιστοποίηση αυθεντικότητας και εξουσιοδότηση του χρήστη, ο proxy server εγκαθιστά µια δεύτερη σύνδεση TCP/IP µε τον εξυπηρετητή της εφαρµογής που ζητήθηκε. Ο εξυπηρετητής της εφαρµογής µπορεί να θέλει και αυτός µε τη σειρά του να πιστοποιήσει την αυθεντικότητα του χρήστη. Αν και εδώ πιστοποιηθεί επιτυχώς η αυθεντικότητα του χρήστη και εξουσιοδοτηθεί, ο εξυπηρετητής της εφαρµογής αρχίζει να εξυπηρετεί την αίτηση. Από τη στιγµή αυτή και µετά ο proxy server απλά µετάγει δεδοµένα εφαρµογής µεταξύ των δύο συνδέσεων. Για κάθε πακέτο που ρέει από τον εσωτερικό εξυπηρετούµενο στον εξωτερικό εξυπηρετητή, ο proxy server συνήθως αντικαθιστά τη διεύθυνση IP του αποστολέα µε τη δική του διεύθυνση. Έτσι οι εσωτερικές διευθύνσεις IP που χρησιµοποιούνται στο ενδοεπιχειρησιακό δίκτυο είναι ολοκληρωτικά κρυµµένες και δεν εκτίθενται στο διαδίκτυο. Πλεονεκτήµατα και Μειονεκτήµατα Πυλών Εφαρµογών (και Proxy Servers) Υπάρχουν αρκετά πλεονεκτήµατα σχετικά µε τη χρήση πυλών επιπέδου εφαρµογής γενικότερα και proxy servers ειδικότερα, µερικά από τα οποία είναι τα εξής: Παρέχουν µεγαλύτερη ασφάλεια: Τα firewalls αυτού του τύπου έχουν τη δυνατότητα προσθήκης µιας λίστας ελέγχου προσπέλασης για τις διάφορες υπηρεσίες, απαιτώντας από τους χρήστες και τα συστήµατα κάποια µορφή πιστοποίησης προτού τους επιτραπεί πρόσβαση σε κάποια από τις υπηρεσίες. Επιπλέον τα συστήµατα αυτού του τύπου παρέχουν µεγαλύτερη ασφάλεια αφού «τρέχουν» 70

71 71 µειωµένο σετ εφαρµογών και ένα ασφαλές λειτουργικό σύστηµα. Η προσπέλαση στα εσωτερικά συστήµατα γίνεται µόνο από τον proxy server εµποδίζοντας έτσι την απευθείας σύνδεση. Υπάρχουν κάποιοι «έξυπνοι» proxy servers που λέγονται Application Layer Gateways (ALGs), οι οποίοι µπορούν να µπλοκάρουν συγκεκριµένα τµήµατα ενός πρωτοκόλλου. Για παράδειγµα ένας (ALGs) για FTP µπορεί να διαχωρίζει την εντολή put από την εντολή get. Έτσι ένας οργανισµός µπορεί να επιτρέπει στους χρήστες του να «κατεβάζουν» αρχεία αλλά να µην αφήνει τους έξω να παίρνουν τα αρχεία των δικών του συστηµάτων. Παρέχουν καλύτερη καταγραφή συµβάντων: Ένα βασικό χαρακτηριστικό των firewalls αυτής της κατηγορίας είναι ο on-line έλεγχος, ο οποίος επιτρέπει την παρακολούθηση της δραστηριότητας και την καταγραφή συγκεκριµένων γεγονότων. Τα firewalls επιπέδου εφαρµογής έχουν ορισµένα µειονεκτήµατα: Ένα firewall επιπέδου εφαρµογής απαιτεί ένα ξεχωριστό proxy server για κάθε υπηρεσία δικτύου: Οι πύλες επιπέδου εφαρµογής επιτρέπουν µόνο εκείνα τα πρωτόκολλα και υπηρεσίες TCP/IP για τα οποία υπάρχει proxy server. Για παράδειγµα αν ένα firewall φιλοξενεί proxy servers για Telnet και FTP, τότε µόνο η κυκλοφορία Telnet και FTP επιτρέπεται, ενώ όλες οι άλλες υπηρεσίες παρεµποδίζονται. Εάν απαιτείται η υποστήριξη68 κάποιας άλλης υπηρεσίας από το firewall, είναι αναγκαίο να προστεθεί ένας νέος proxy server. Συνεπώς αν παρουσιαστεί µια νέα υπηρεσία στο Internet και το firewall δεν έχει τον αντίστοιχο proxy server, οι χρήστες του δικτύου δεν θα έχουν τη δυνατότητα πρόσβασης σε αυτή την υπηρεσία. εν είναι πάντοτε διαφανή προς το χρήστη. Είναι δυσκολότερα στην υλοποίηση. Η ταχύτητα και η απόδοση των firewalls επιπέδου εφαρµογής δεν είναι τόσο ικανοποιητική όσο των firewalls επιπέδου δικτύου. Υβριδικά Συστήµατα Ασφάλειας Συνήθως η κατασκευή ενός firewall δε στηρίζεται µόνο σε µια από τις αρχιτεκτονικές που αναφέρθηκαν πιο πάνω. Για την κατασκευή ενός firewall συνδυάζονται τα firewalls επιπέδου δικτύου (φίλτρα πακέτων, δροµολογητές διαλογής) και τα firewalls επιπέδου εφαρµογής (πύλες εφαρµογών, proxy servers). Τα συνδυασµένα firewalls που προκύπτουν ονοµάζονται υβριδικά συστήµατα ασφάλειας και οδηγούν στην επίλυση συνδυασµένων προβληµάτων. Τα προς επίλυση προβλήµατα εξαρτώνται από τις υπηρεσίες τις οποίες θέλει να προσφέρει ένας οργανισµός στους χρήστες, καθώς και από το επίπεδο του κινδύνου που είναι διατεθειµένος να δεχτεί. Σε ένα υβριδικό σύστηµα ασφάλειας, τα λαµβανόµενα πακέτα υπόκεινται πρώτα στον έλεγχο τον οποίο διενεργεί το firewall επιπέδου δικτύου. Ακολούθως τα πακέτα είτε απορρίπτονται, είτε διέρχονται και κατευθύνονται προς τον προορισµό τους, είτε προωθούνται σε κάποιο proxy server για περαιτέρω επεξεργασία. Όταν το εσωτερικό δίκτυο ενός οργανισµού απαιτεί την ασφάλεια την οποία παρέχει ένα firewall επιπέδου εφαρµογής για ορισµένες υπηρεσίες και την ταχύτητα και ευελιξία ενός firewall επιπέδου δικτύου για ορισµένες άλλες υπηρεσίες, τότε βέλτιστη λύση αποτελεί ένα υβριδικό σύστηµα ασφάλειας. Ένα υβριδικό σύστηµα ασφάλειας 71

72 72 είναι σαφώς ακριβότερο, καθώς παρέχει µεγαλύτερη λειτουργικότητα και περισσότερα χαρακτηριστικά από ένα απλό firewall επιπέδου δικτύου. Τα εξής υβριδικά συστήµατα ασφάλειας εφαρµόζονται σήµερα ευρέως στο διαδίκτυο: ιπλοσυνδεδεµένα Φράγµατα Ασφάλειας (Dual-Homed Firewalls), Φράγµατα Ασφάλειας Υπολογιστή ιαλογής (Screened Host Firewalls), και Φράγµατα Ασφάλειας Υποδικτύου ιαλογής (Screened Subnet Firewalls) ιπλοσυνδεδεµένα Φράγµατα Ασφαλείας Τα διπλοσυνδεδεµένα firewalls αποτελούν καλύτερη εναλλακτική λύση σε σχέση µε τα firewalls επιπέδου δικτύου, καθώς η πρόσβαση στο προστατευόµενο δίκτυο µπορεί να γίνει µόνο µέσω των proxy servers που τρέχουν στον υπολογιστή-οχυρό. Τα διπλοσυνδεδεµένα firewalls συνδυάζουν τόσο τα firewalls επιπέδου δικτύου, όσο και τα firewalls επιπέδου εφαρµογής, όπως κάθε υβριδικό σύστηµα. Ένα διπλοσυνδεδεµένο firewall αποτελείται από ένα υπολογιστή-οχυρό που είναι συνδεδεµένος και µε τα δύο δίκτυα (ιδιωτικό δίκτυο και διαδίκτυο) και έχει απενεργοποιηµένες τις δυνατότητες για προώθηση και δροµολόγηση IP. Αυτό σηµαίνει ότι τα πακέτα IP από το ένα69 δίκτυο, το Internet, δε µπορούν να δροµολογηθούν άµεσα προς το εσωτερικό προστατευόµενο δίκτυο. Η IP κίνηση είναι πλήρως ελεγχόµενη, αφού τα συστήµατα του εσωτερικού δικτύου και τα συστήµατα του διαδικτύου δεν επιτρέπεται να επικοινωνήσουν άµεσα µεταξύ τους. Επιπλέον τοποθετείται και ένας δροµολογητής διαλογής µεταξύ του υπολογιστή-οχυρό και του διαδικτύου. Σκοπός του είναι να διασφαλίσει ότι κάθε πακέτο IP που φθάνει από το διαδίκτυο απευθύνεται µε σωστό τρόπο στον υπολογιστή-οχυρό. Αν κάποιο πακέτο φθάνει µε κάποια άλλη IP διεύθυνση προορισµού πρέπει να απορριφθεί. Ένα διπλοσυνδεδεµένο firewall 72

73 73 Για λόγους απόδοσης µπορούν να χρησιµοποιηθούν περισσότεροι του ενός υπολογιστέςοχυρά, όπου όλοι θα είναι συνδεδεµένοι και στο εσωτερικό και στο εξωτερικό δικτυακό τµήµα. Το διπλοσυνδεδεµένο firewall είναι ένας απλός αλλά ασφαλής σχηµατισµός. Η πρόσβαση στο ενδοεπιχειρησιακό δίκτυο µπορεί να περάσει µόνο από proxy servers που τρέχουν στον υπολογιστή-οχυρό. Έτσι καµιά υπηρεσία δεν περνά εκτός από αυτές για τις οποίες υπάρχουν proxy servers. Με τον τρόπο αυτό υλοποιείται η πολιτική σχεδιασµού όπου κάθε υπηρεσία απαγορεύεται εκτός και αν αυτή ρητά επιτρέπεται. Το διπλοσυνδεδεµένο firewall έχει το µικρότερο κόστος από τις τρεις υβριδικές αρχιτεκτονικές που εξετάζονται, αλλά παρουσιάζει ένα σοβαρότατο µειονέκτηµα: Αποτελεί µοναδικό σηµείο δυνητικής αποτυχίας στο δίκτυο, συνεπώς αν ένας κακόβουλος επιτιθέµενος εισβάλει σε αυτό, τότε όλο το δίκτυο εκτίθεται σε κίνδυνο. Επιπλέον υπάρχουν και κάποια πρακτικά προβλήµατα στη χρήση αυτού του µηχανισµού που σχετίζονται µε το ότι δεν υπάρχουν proxy servers για ιδιόκτητα εταιρικά TCP/IP πρωτόκολλα εφαρµογής, όπως τα Lotus Notes, SQLnet και SAP. Φράγµατα Ασφάλειας Υπολογιστή ιαλογής Ένα firewall υπολογιστή διαλογής παρέχει υπηρεσίες µέσω ενός υπολογιστή που είναι προσαρτηµένος µόνο στο εσωτερικό δίκτυο. Στο σχηµατισµό αυτό υπάρχει και ένας δροµολογητής διαλογής που συνδέει το εσωτερικό δίκτυο µε το διαδίκτυο και πρέπει να είναι ρυθµισµένος έτσι ώστε να στέλνει όλη την κυκλοφορία IP που προέρχεται από το διαδίκτυο στην πύλη εφαρµογών που τρέχει στον υπολογιστή-οχυρό. Πριν όµως προωθήσει την κυκλοφορία IP σε αυτόν τον υπολογιστή, ο δροµολογητής διαλογής πρέπει να εφαρµόσει τους κανόνες φίλτρου πακέτων του. Μόνο η πληροφορία που είναι συµβατή µε τους κανόνες διοχετεύεται στον υπολογιστή-οχυρό, ενώ όλη η άλλη πληροφορία απορρίπτεται. Συνεπώς οι πίνακες δροµολόγησης του δροµολογητή διαλογής πρέπει να προστατεύονται ισχυρά από εισβολή, διότι αν µια καταχώρηση στον πίνακα αλλάξει έτσι ώστε η κυκλοφορία να µην προωθείται στον υπολογιστή-οχυρό αλλά να στέλνεται απευθείας στο εσωτερικό δίκτυο, το firewall «αστοχεί». Ένας σχηµατισµός firewall υπολογιστή διαλογής. 73

74 74 Ο µηχανισµός firewall υπολογιστή διαλογής είναι πιο ευέλικτος. Επιτρέπει στο δροµολογητή διαλογής να «περνάει» ορισµένες αξιόπιστες υπηρεσίες κατευθείαν στο εσωτερικό δίκτυο. Οπότε έχει τη δυνατότητα να επιτρέπει και στις υπηρεσίες για τις οποίες δεν υπάρχουν proxy servers, να περνάνε στο εσωτερικό δίκτυο, κάτι το οποίο δεν µπορούσε να πραγµατοποιήσει αρχιτεκτονική διπλοσυνδεδεµένων firewalls. Επειδή η αρχιτεκτονική αυτή επιτρέπει και τη µεταφορά πακέτων από το Internet κατευθείαν στο εσωτερικό δίκτυο, ίσως φαίνεται πιο επικίνδυνη από την αρχιτεκτονική διπλοσυνδεδεµένων firewalls, η οποία δεν επιτρέπει σε κανένα πακέτο να περάσει απευθείας από το Internet στο εσωτερικό δίκτυο. Πρακτικά όµως η αρχιτεκτονική διπλοσυνδεδεµένων firewalls είναι επιρρεπής σε ενδεχόµενες αποτυχίες οι οποίες θα έχουν ως αποτέλεσµα τη µεταφορά πακέτων από το εξωτερικό προς το εσωτερικό δίκτυο. Από την άλλη πλευρά είναι ευκολότερο να αµυνθεί κανείς µε τη χρήση ενός δροµολογητή ο οποίος παρέχει ένα περιορισµένο σύνολο υπηρεσιών, παρά µε τη χρήση ενός υπολογιστή. Στις περισσότερες περιπτώσεις πάντως, η αρχιτεκτονική υπολογιστή διαλογής παρέχει µεγαλύτερη ασφάλεια και χρησιµότητα. Η αρχιτεκτονική αυτή παρουσιάζει ένα σοβαρότατο µειονέκτηµα: Βασίζεται σε δύο ξεχωριστές συσκευές ασφάλειας, το δροµολογητή διαλογής και τον υπολογιστήοχυρό. Εάν κάποια από τις δύο αυτές συσκευές αποτύχει, τότε το δίκτυο εκτίθεται σε κίνδυνο. Αν για παράδειγµα ένας εισβολέας καταφέρει να παραβιάσει τον υπολογιστή-οχυρό, τότε θα έχει ελεύθερη πρόσβαση στο εσωτερικό δίκτυο. Οµοίως αν ο δροµολογητής εκτεθεί σε κίνδυνο, όλο το δίκτυο είναι πλέον ανασφαλές. Για αυτούς τους λόγους η πιο διαδεδοµένη αρχιτεκτονική είναι η επόµενη. Φράγµατα Ασφάλειας Υποδικτύου ιαλογής Ένα firewall υποδικτύου διαλογής αποτελείται από δύο δροµολογητές διαλογής µε τον υπολογιστή-οχυρό να βρίσκεται ενδιάµεσα. Έτσι δηµιουργείτε ένα εσωτερικό (περιµετρικό) υποδίκτυο διαλογής, ανάµεσα στο εσωτερικό και εξωτερικό δίκτυο. Αυτή η αρχιτεκτονική εισάγει ένα επιπλέον επίπεδο ασφάλειας σε σχέση µε την αρχιτεκτονική υπολογιστή διαλογής, προσθέτοντας το περιµετρικό υποδίκτυο το οποίο αποµονώνει περισσότερο το εσωτερικό δίκτυο από το Internet. Αυτό το περιµετρικό υποδίκτυο αναφέρεται και ως «αποστρατιωτικοποιηµένη ζώνη» (DMZ-demilitarized zone). Είναι δυνατό να υπάρχουν περισσότεροι του ενός υπολογιστές-οχυρά στο αποµονωµένο αυτό δίκτυο για λόγους απόδοσης. Ένας σχηµατισµός firewall υποδικτύου διαλογής 74

75 75 Ο λόγος για τον οποίο προστίθεται ένα επιπλέον δίκτυο είναι ότι οι υπολογιστές-οχυρά αποτελούν τις πλέον ευπαθείς συσκευές του δικτύου, καθώς είναι τα συστήµατα τα οποία κατεξοχήν µπορούν να δεχτούν επιθέσεις. Στην αρχιτεκτονική υπολογιστή διαλογής, ανάµεσα στον υπολογιστή-οχυρό και στο εσωτερικό δίκτυο δεν υπάρχει κανένας άλλος µηχανισµός άµυνας. Παραβιάζοντας κάποιος τον υπολογιστή-οχυρό µπορεί να έχει πλήρη πρόσβαση στο εσωτερικό δίκτυο. Η αρχιτεκτονική υποδικτύου διαλογής προσφέρει περισσότερη ασφάλεια, αποµονώνοντας τον υπολογιστή-οχυρό στο περιµετρικό υποδίκτυο. Έτσι ακόµη και αν κάποιος εισβολέας αποκτήσει κάποια πρόσβαση στον υπολογιστή-οχυρό, θα έχει να αντιµετωπίσει ακόµη ένα δροµολογητή για µπορέσει να εισβάλει στο εσωτερικό δίκτυο. Όπως έχει αναφερθεί, στο περιµετρικό υποδίκτυο περιλαµβάνονται δύο δροµολογητές διαλογής. Ο εσωτερικός δροµολογητής βρίσκεται µεταξύ του εσωτερικού δικτύου και του περιµετρικού υποδικτύου, ενώ ο εξωτερικός δροµολογητής βρίσκεται µεταξύ του περιµετρικού υποδικτύου και του εξωτερικού δικτύου, συνήθως του Internet. Ο εσωτερικός δροµολογητής προστατεύει το εσωτερικό δίκτυο, τόσο από το Internet, όσο και από το περιµετρικό υποδίκτυο. Ο δροµολογητής αυτός αναλαµβάνει το µεγαλύτερο βάρος υλοποίησης του µηχανισµού φιλτραρίσµατος πακέτων του firewall. Έτσι επιτρέπει να περάσουν µόνο επιλεγµένες υπηρεσίες από το εσωτερικό δίκτυο προς το Internet. Τέτοιες υπηρεσίες αφορούν εξερχόµενες συνόδους Telnet, FTP, WAIS, Copher και άλλες συνόδους. Ο εξωτερικός δροµολογητής προστατεύει τόσο το περιµετρικό υποδίκτυο όσο και το εσωτερικό δίκτυο από το Internet. Ο εξωτερικός δροµολογητής τείνει να επιτρέπει οτιδήποτε κατευθύνεται από το περιµετρικό υποδίκτυο προς τον εξωτερικό κόσµο. Σε γενικές γραµµές είναι απαραίτητο οι κανόνες οι οποίοι τίθενται για την προστασία των εσωτερικών µηχανών να συµφωνούν τόσο στον εσωτερικό όσο και στον εξωτερικό δροµολογητή. Οι µοναδικοί κανόνες φιλτραρίσµατος πακέτων που εφαρµόζονται αποκλειστικά σε έναν εξωτερικό δροµολογητή, είναι αυτοί οι οποίοι προστατεύουν τον υπολογιστήοχυρό και το εσωτερικό δίκτυο από το Internet. Με αυτή την αρχιτεκτονική υποδικτύου διαλογής, το ιδιωτικό δίκτυο προστατεύεται ακόµη περισσότερο, αφού ένας επιτιθέµενος θα πρέπει να υπονοµεύσει, όχι µόνο τον υπολογιστή-οχυρό αλλά και τους δροµολογητές για να φτάσει στο εσωτερικό δίκτυο. Έτσι δεν υπάρχει πλέον ένα και µοναδικό σηµείο ευπάθειας το οποίο να θέτει σε κίνδυνο όλο το εσωτερικό δίκτυο. Προσωπικά φράγµατα ασφάλειας Αυτά τα firewalls είναι λογισµικό που εγκαθίσταται σε κάθε υπολογιστή που χρειάζεται προστασία ξεχωριστά. Ένα τέτοιο firewall λειτουργεί στο επίπεδο εφαρµογών της στοίβας του TCP/IP και εξετάζει όλα τα δεδοµένα που διακινούνται από και προς τον υπολογιστή. Το λογισµικό αυτό είναι γραµµένο για συγκεκριµένο λειτουργικό σύστηµα και γι αυτό για κάθε πρόγραµµα που χρειάζεται πρόσβαση στο διαδίκτυο, η πρόσβαση µπορεί να επιτραπεί ή να απαγορευτεί. Αν το πρόγραµµα δεν βρίσκεται ήδη στη λίστα και επιχειρήσει να βγει στο 1ιαδίκτυο για πρώτη φορά, θα ειδοποιηθεί ο χρήστης για να πάρει την απόφασή του. Όλη η εισερχόµενη κίνηση ελέγχεται και στα περισσότερα ελέγχεται και η εξερχόµενη (όχι πάντως στο firewall των Windows XP). Οι τεχνικές φιλτραρίσµατος που χρησιµοποιούν τα software 75

76 76 firewalls είναι πολύπλοκες αλλά αποτελεσµατικές. Όλα τα γεγονότα καταγράφονται και οι θύρες δεν φαίνονται κλειστές αλλά filtered. Ως προγράµµατα που είναι, έχουν το µειονέκτηµα ότι µπορούν να τερµατιστούν βίαια από κάποια κακόβουλα προγράµµατα και να σταµατήσει η προστασία που προσφέρουν. Γνωστά firewalls αυτής της κατηγορίας είναι το ZoneAlarm, το Sygate κ.α. Προστασία των φραγµάτων ασφάλειας Ένα φράγµα ασφάλειας µπορεί να προστατέψει ένα δίκτυο από κάποια επίθεση (όχι πάντα) και να ειδοποιήσει το χρήστη για κάποια περίεργη δραστηριότητα. Επίσης αν ελέγχεται η εξερχόµενη κίνηση µπορεί να εµποδιστεί η σύνδεση ενός δούρειου ίππου, που εγκαταστάθηκε στο σύστηµα, µε το 1ιαδίκτυο. Αντίθετα ένα firewall δεν προστατεύει από επιθέσεις που προέρχονται από δεδοµένα, όπως από ιούς ή σκουλήκια. Επίσης σε ένα τοπικό δίκτυο ένα firewall δεν προσφέρει προστασία σε επιθέσεις εκ των έσω. Παράκαµψη των firewalls µπορεί να γίνει και µε χρήση τεχνικών tunneling (διάνοιξη σήραγγας). Τα δεδοµένα ενός απαγορευµένου πρωτοκόλλου µπορούν να ενθυλακωθούν σε ένα επιτρεπόµενο πρωτόκολλο και να περάσουν από το firewall. Στον προορισµό η ενθυλάκωση αφαιρείται. 76

77 77 Κεφάλαιο 3 ο : ΕΡΓΑΛΕΙΑ ΕΛΕΓΧΟΥ ΑΣΦΑΛΕΙΑΣ Nmap Το Nmap (Network Mapper) είναι ένα δωρεάν και ανοικτού κώδικα εργαλείο το οποίο χρησιµοποιείται για την εξερεύνηση δικτύων ή τον έλεγχο ασφάλειας και είναι διαθέσιµο µέσω της ιστοσελίδας Πολλά συστήµατα και διαχειριστές δικτύων το βρίσκουν επίσης χρήσιµο και για άλλους λόγους, όπως η χαρτογράφηση δικτύων, τη διαχείριση του δικτύου και την παρακο λούθηση των κόµβων ή των υπηρεσιών που εκτελούνται στο δίκτυο. Το Nmap µπορεί να καθορίσει ποιοι κόµβοι είναι διαθέσιµοι στο δίκτυο, ποιες είναι οι υπηρεσίες (όνοµα και έκδοση εφαρµογής) που παρέχουν οι κόµβους, ποια λειτουργικά συστήµατα (και εκδόσεις OS) εκτελούνται σε αυτούς, ποιος τύπος φίλτρων/αντιπυρικών ζωνών είναι σε λειτουργία, καθώς και µια πλειάδα άλλων χαρακτηριστικών. Πραγµατοποιεί ανιχνεύσεις τόσο σε µεγάλα δίκτυα, όσο και σε µεµονωµένους κόµβους. Το Nmap συνεργάζεται µε τα περισσότερα λειτουργικά συστήµατα, όπως Linux, Solaris, MAC OS Χ, BSD, Windows και AmigaOS. Εκτός από την κλασική γραµµή εντολών εκτέλεσης, το Nmap περιλαµβάνει ένα προηγµένο γραφικό περιβάλλον για την εµφάνιση των αποτελεσµάτων (Zenmap), ένα εργαλείο για την ευέλικτη µεταφορά δεδοµένων, την ανακατεύθυνση και την αποσφαλµάτωση (Ncat), καθώς και µια χρηστική εφαρµογή για τη σύγκριση των αποτελεσµάτων ανίχνευσης (Ndiff). Το Nmap δηµιουργήθηκε από ένα ειδικό της ασφαλείας των δικτύων, µε το ψευδώνυµο Fyodor και εµφανίστηκε για πρώτη φορά σαν άρθρο στο περιοδικό Phrack τον Σεπτέµβριο του 1997, όπου περιλαµβανόταν και ο πηγαίος κώδικας. Από τότε, το Nmap αναπτύσσεται διαρκώς από τον Fyodor, αλλά κυρίως από την ενεργή κοινότητα των χρηστών του, οι οποίοι, προσπαθώντας να ικανοποιήσουν τις ιδιαίτερες απαιτήσεις τους και εκµεταλλευόµενοι τον ανοικτό κώδικα, προσθέτουν συνεχώς λειτουργίες, πρωτόκολλα κ.λ.π, βελτιώνοντας παράλληλα το πρόγραµµα. Μ αυτόν τον τρόπο το Nmap φτάνοντας στην τρέχουσα έκδοση 5.00 περιλαµβάνει πιο εξελιγµένους αλγόριθµους προσδιορισµού των υπηρεσιών που είναι διαθέσιµες, κώδικα πο υ έχει γραφεί εκ νέου (από C σε C++),καθώς και περισσότερους τρόπους ανίχνευσης θυρών και περισσότερα υποστηριζόµενα πρωτόκολλα (όπως το IPv6). Τα πλεονεκτήµατα που διαθέτει το Nmap τα οποία το κάνουν να ξεχωρίζει µπορούν να συνοψιστούν στα παρακάτω: Ευελιξία: υποστηρίζει µια πλειάδα από προχωρηµένες τεχνικές χαρτογράφησης του δικτύου παρακάµπτοντας φίλτρα IP, αναχώµατα ασφάλειας, δροµολογητές και άλλες κατηγορίες εµποδίων. Οι τεχνικές ανίχνευσης θυρών (όπως TCP & UDP) που χρησιµοποιεί είναι πάρα πολλές, µεταξύ των οποίων είναι ο εντοπισµός του λειτουργικού συστήµατος και της έκδοσης του. Αποτελεσµατικότητα: Το Nmap έχει χρησιµοποιηθεί σε εκατοντάδες χιλιάδες µηχανήµατα για την ανάλυση τόσο µικρών, όσο και µεγάλων αρχιτεκτονικά δικτύων. Συµβατότητα: Τα περισσότερα λειτουργικά συστήµατα µπορούν να συνεργαστούν µε αυτό το πρόγραµµα όπως τα Linux, Microsoft Windows, FreeBSD, OpenBSD, Solaris, IRIX, Mac OS X, HP-UX, NetBSD, Sun OS, Amiga, και άλλα. 77

78 78 Ευχρηστία: Το Nmap, αν και προσφέρει µια µεγάλη γκάµα από εντολές, παραµένει εύχρηστο και για τους πιο αρχάριους χρήστες του. Παράλληλα, υποστηρίζεται από αρκετά περιβάλλοντα γραφικής απεικόνισης (GUI) για την διευκόλυνση του χρήστη. ωρεάν διάθεση: Ο πρωταρχικός στόχος στο Project του Nmap είναι να βοηθήσει το διαδίκτυο να γίνει πιο ασφαλές, καθώς και να διευκολύνει τους διαχειριστές να αναλύσουν το δίκτυο τους. Γι αυτούς τους λόγους το πρόγραµµα διατίθεται δωρεάν κάτω από την άδεια χρήσης GPL. Τεκµηρίωση: Ο ιστότοπος του Nmap προσφέρει αναλυτική τεκµηρίωση για το πρόγραµµα, ενώ επιπλέον υποστηρίζεται βιβλιογραφικά σε διάφορες γλώσσες. Υποστήριξη: Παρά το γεγονό ς ό τι το Nmap δεν φέρει εγγύηση προϊόντος, σαν πρόγραµµα υποστηρίζεται από την κοινότητα του σε περιπτώσεις εµφάνισης σφαλµάτων. ηµοτικότητα: Χιλιάδες χρήστες κατεβάζουν το Nmap καθηµερινά, ενώ ενσωµατώνεται σε πολλές εκδόσεις λειτουργικών συστηµάτων και εργαλείων αξιολόγησης τρωτών σηµείων σε πληροφοριακά συστήµατα. Τέτοια λειτουργικά είναι τα Redhat Linux, Debian Linux, Gentoo, FreeBSD και OpenBSD. Το Nmap διαθέτει τις ακόλουθες δυνατότητες: Ανίχνευση Κόµβων: Αναγνώριση υπολογιστών σε ένα δίκτυο ανακαλύπτοντας τους υπολογιστές που αποκρίνονται στα pings ή έχουν κάποια συγκεκριµένη δικτυακή θύρα ανοιχτή. Σάρωση θυρών: Βρίσκει όλες τις ανοιχτές δικτυακές θύρες σε ένα ή περισσότερους υπολογιστές στόχους. Προσδιορισµός έκδοσης: Με ερώτηση σε δικτυακές υπηρεσίες που βρίσκονται σε ακρόαση στους υπολογιστές στόχους, προκειµένου να προσδιοριστεί το όνοµα της εφαρµογής και η έκδοση της. Προσδιορισµός Λειτουργικού Συστήµατος: Προσδιορισµός του λειτουργικού συστήµατος ενός υπολογιστή, καθώς και των χαρακτηριστικών των συσκευών του δικτύου (π.χ. MAC Address, routers, κλπ) Καταγραφή των αποτελεσµάτων ανίχνευσης: ηµιουργία αρχείων µε τα αποτελέσµατα των ανιχνεύσεων σε πολλές µορφές όπως αναγνώσιµη µορφή, XML µορφή, µορφή αναγνωρίσιµη από άλλα προγράµµατα κ.λ.π υναµικός υπολογισµός του χρόνου καθυστέρησης αποστολής πακέτων:το Nmap υπολογίζει και τροποποιεί κατά την εκτέλεση, τον χρόνο καθυστέρησης που πρέπει να µεσολαβήσει στην αποστολή δυο διαδοχικών πακέτων. Στόχος είναι η αποφυγή του κατακλυσµού του δικτύου µε άχρηστα πακέτα. Ο χρόνος καθυστέρησης µπορεί να ρυθµιστεί και από τον χρήστη. Επανεκποµπή: Το Nmap διαθέτει ρύθµιση για τον αριθµό των επανεκποµπών πακέτων για πόρτες που δεν αποκρίνονται. Παράλληλη σάρωση θυρών: Το Nmap χρησιµοποιεί non-blocking i/o και παράλληλη ανίχνευση θυρών σε όλες τις TCP, UDP µεθόδους. Ευέλικτος προσδιορισµός θυρών: Επειδή δεν χρειάζεται πάντα να ελέγχονται και οι πόρτες, το Nmap επιτρέπει τον καθορισµό των θυρών προς ανίχνευση µε πολύ ευέλικτο τρόπο. (π.χ -p 21-25,80,113, ). Ευέλικτος προσδιορισµός στόχου: Όπως παραπάνω υποστηρίζεται ο καθορισµός του εύρους των IP s που ενδιαφέρουν, µε πολύ ευέλικτο τρόπο. (π.χ ή 150.*.17.*) κ.λ.π 78

79 79 Ανίχνευση των Down Κόµβους: Για να µην χάνεται χρόνος προκειµένου να ελεγχθούν όλες οι θύρες ενός υπολογιστή που δεν είναι ενεργός το Nmap κάνει πρώτα ping σε όλους τους κόµβους και στη συνέχεια ανιχνεύει µόνο όσους απάντησαν στο ping. Ανίχνευση της διεύθυνσης ΙΡ από την οποία εκτελείται: Το Nmap ανιχνεύει τη διεύθυνση IP του υπολογιστή στον οποίο τρέχει και έτσι δεν απαιτείται από τον χρήστη να βρίσκει κάθε φορά αυτή την διεύθυνση. Βεβαίως αυτό µπο ρεί να ρυθµιστή από τον χρήστη αν θέλει να φαίνεται ότι κάποιος άλλος κάνει την ανίχνευση. Αποφυγή και παραπλάνηση Αναχώµατος ασφάλειας/ids: Κάθε ανίχνευση µε το Nmap µπορεί να προσαρµοστεί έτσι ώστε να µην είναι ορατή από τα αναχώµατα ασφάλειας και τα συστήµατα εντοπισµού εισβολών. Το nmap έχει την δυνατότητα να παραποιήσει την ταυτότητα του (IP Address), ακόµη και να δηµιουργήσει εικονικά ταυτόχρονα πολλές ανιχνεύσεις από διαφορετικές διευθύνσεις, έτσι ώστε να είναι δύσκολος ο εντοπισµός της πραγµατικής του διεύθυνσης από όπου και πραγµατοποιεί την ανίχνευση. Πλατφόρµα Zenmap: Αποτελεί το γραφικό περιβάλλον του εργαλείου στο οποίο εµφανίζονται τα αποτελέσµατα και υποστηρίζονται όλες οι επιλογές του εργαλείου. Τα κύρια χαρακτηριστικά της πλατφόρµας Zenmap είναι: α) Επιτρέπει την αποθήκευση των συχνά χρησιµοποιούµενων σαρώσεων ως profiles, για να διευκολύνει τη επαναληπτική χρήση τους β) Ένας δηµιουργός εντολών επιτρέπει την αλληλεπίδραση µε τη γραµµή εντολών του Nmap γ)επιτρέπει την αποθήκευση των αποτελεσµάτων των ανιχνεύσεων για µεταγενέστερη επεξεργασία τους δ) Παρέχει τη δυνατότητα σύγκρισης των αποτελεσµάτων διαφορετικών αποθηκευµένων σαρώσεων ε)σχεδιάζει την τοπολογία του δικτύου στ)επιτρέπει το συνδυασµό των αποτελεσµάτων πολλών ανιχνεύσεων του Nmap σε µια Scripting Engine (NSE): Επιτρέπει στους χρήστες να γράφουν και να µοιράζονται απλά scripts, τα οποία µπορούν να αυτοµατοποιήσουν ένα µεγάλο εύρος δικτυακών ενεργειών. Αυτά scripts µπορούν στη συνέχεια να εκτελεστούν παράλληλα µε ταχύτητα και αποδοτικότητα. Ενσωµάτωση Εργαλείου Ncat: Το Ncat είναι ένα γενικού σκοπού εργαλείο γραµµής εντολών το οποίο µπορεί να χρησιµοποιηθεί για την ανάγνωση, το γράψιµο,την ανακατεύθυνση και την κρυπτογράφηση δεδοµένων στο δίκτυο. Το εργαλείο αυτό είναι ιδιαίτερα σηµαντικό γιατί µπορεί να συµβάλλει στη διαχείριση ενός µεγάλου εύρους ελέγχων ασφάλειας και ενεργειών διαχείρισης. Το Ncat µπορεί να: α) δράσει ως απλός client TCP/UDP/SSL για την αλληλεπίδραση µε τους servers, τους telnet servers, τους mail servers, και άλλες υπηρεσίες δικτύου TCP/IP. β)δράσει ως απλός server TCP/UDP/SSL για την παροχή υπηρεσιών στους clients, ή απλά για να καταλάβει ποιοι από τους υπάρχοντες clients είναι ενεργοί µέσω της σύλληψης των bytes που στέλνουν. γ) ανακατεύθυνση ή proxy TCP/UDP της κυκλοφορίας σε άλλες θύρες ή κόµβους. δ) εκτελεστεί στα περισσότερα λειτουργικά συστήµατα ε) κρυπτογραφήσει την επικοινωνία µε SSL, και να τη µεταφέρει πάνω από IPv4 ή IPv6 στ)δράσει ως πύλη δικτύου για την εκτέλεση των εντολών συστηµάτων, µε ανακατεύθυνση I/O στο δίκτυο. 79

80 80 στ) δράσει ως ενδιάµεσος σύνδεσης, που επιτρέπει σε δύο (ή περισσότερους) κόµβους να συνδεθούν µεταξύ τους µέσω ενός τρίτου εξυπηρετητή. Βελτιωµένη απόδοση στις λειτουργίες ανίχνευσης κόµβων και σάρωσης θυρών: η βελτίωση στην απόδοση του Nmap επιτυγχάνεται µε: α) Τη σάρωση των περισσότερο χρησιµοποιούµενων θυρών ως προεπιλογή σε κάθε πρωτόκολλο (η σάρωση UDP παραµένει προαιρετική). β) το fast scan (-F) πραγµατοποιεί σάρωση στις 100 κορυφαίες θύρες ως προεπιλογή σε κάθε πρωτόκολλο. γ) η --top-ports επιλογή επιτρέπει τον προσδιορισµό του αριθµού των θυρών για τις οποίες είναι επιθυµητή η σάρωση για κάθε πρωτόκολλο. δ) η --min-rate επιλογή επιτρέπει τον καθορισµό µιας ελάχιστης τιµής στην αποστολή. ε) υποστηρίζεται η σάρωση θυρών SCTP (Stream control transmission protocol) η οποία χρησιµοποιείται κυρίων στις εφαρµογές τηλεφώνου. Το εργαλείο σύγκρισης σαρώσεων Ndiff: Η εφαρµογή Ndiff χρησιµοποιείται για τη σύγκριση των αποτελεσµάτων δύο σαρώσεων του Nmap και την περιγραφή των αλλαγών στο δίκτυο, δηλαδή την προσθήκη ή αφαίρεση κόµβων, τις νέες θύρες που έχουν ανοίξει ή κλείσει, αλλαγή λειτουργικού συστήµατος ή έκδοσης εφαρµογής, κλπ. Τεχνικές σάρωσης: Υπάρχουν περίπου δεκαπέντε διαφορετικές µέθοδοι ανίχνευσης µέσα στο Nmap, είκοσι διαφορετικές επιλογές να χρησιµοποιηθούν κατά την ανίχνευση και τα αποτελέσµατα του µπορούν να παρουσιαστούν τουλάχιστον µε τέσσερις διαφορετικούς τρόπους. Μέσα σε όλες αυτές τις επιλογές, υπάρχουν επιλογές µεταβολής συγχρονισµού και καθυστέρησης πακέτων. Αυτές οι επιλογές έχουν ως σκοπό να παρέχουν την πλήρη προσαρµογή στις ανάγκες έρευνας και χαρτογράφησης του δικτύου του εκάστοτε χρήστη. Κάθε διαδικασία ανίχνευσης και σάρωσης έχει πλεονεκτήµατα και µειονεκτήµατα παράγοντες που πρέπει να γνωρίζει καλά ο χρήστης, ώστε να έχει τα βέλτιστα αποτελέσµατα. ιαχείριση συσκευών δικτύου: Το Nmap µπορεί να εντοπίσει, να αναγνωρίσει και να κατηγοριοποιήσει τις συσκευές του δικτύου διευκολύνοντας το διαχειριστή του όσον αφορά στις ενέργειες που πρέπει να πραγµατοποιήσει σε αυτές. Έλεγχοι ασφάλειας: Το Nmap µπορεί να βοηθήσει στον εντοπισµό ευπαθών σηµείων του δικτύου καθώς και στον εντοπισµό προσβολής της ασφάλειάς του. Συγκεκριµένα µπορεί: α) να ανιχνεύσει ένα δίκτυο εύκολα για να εντοπίσει, ίχνη δράσης spyware,ιών και άλλων ιοµορφικών λογισµικού χρησιµοποιώντας ping µεθόδους, ανιχνεύσεις θυρών και αντίστροφο DNS έλεγχο. β) Να διαπιστωθεί αν έχει παρεισφρήσει κάποιος στο τοπικό δίκτυο µε φυσικό τρόπο,ελέγχοντας όλο το subnet. (πχ nmap , το nmap θα εµφανίσει όλες τις ενεργές συσκευές στο δίκτυο. Αν κάποια από αυτές είναι άγνωστη τότε πιθανότατα κάποιος έχει παρεισφρήσει στο δίκτυο) γ) Εύκολα να διαπιστώσει αν κάποια λειτουργικά συστήµατα έχουν απαρχαιωµένες εκδόσεις, και χρειάζονται αναβάθµιση (services pack,patch, κλπ). δ) Να ελέγξει το Ανάχωµα Ασφάλειας ως προς την επιτρεπτή κυκλοφορία πακέτων µέσω αυτού, τις θύρες πο υ είναι ανοιχτές, τα φίλτρα που χρησιµοποιούνται και τη διατήρηση των ρυθµίσεών του. 80

81 81 ε) Να εντοπίσει υπηρεσίες που δεν θα έπρεπε να εκτελούνται σε ένα µηχάνηµα δικτύου,και οι οποίες µπορούν να γίνουν στόχος επίδοξων εισβολέων. στ) Να ελέγξει για την ύπαρξη µη προστατευµένων µε συνθηµατικό (anonymous,guest,κλπ) υπηρεσιών ftp, telnet, vnc, και γενικά υπηρεσιών αποµακρυσµένου ελέγχου ή πρόσβασης αρχείων. Το Nmap εκτός από τα παραπάνω πλεονεκτήµατα διαθέτει περιορισµούς και παρενέργειες. Οι σηµαντικότερες από αυτές είναι: Η σάρωση από έναν τοπικό υπολογιστή του δικτύου δίνει διαφορετικά αποτελέσµατα από την αποµακρυσµένη σάρωση Μπορεί να χρησιµοποιηθεί για κακόβουλες ενέργειες Πολλές από τις τεχνικές ανίχνευσης που χρησιµοποιεί είναι πολύ θορυβώδεις και καταγράφονται, µε αποτέλεσµα να µπορεί να βρεθεί η πηγή της επίθεσης. Πολλές από τις τεχνικές ανίχνευσης που χρησιµοποιεί εντοπίζονται και εξουδετερώνονται από τα σύγχρονα Αναχώµατα Ασφάλειας και packet filters. Μερικές από τις τεχνικές ανίχνευσης που χρησιµοποιεί, µπορεί να οδηγήσουν σε κατάρρευση των συστηµάτων. Ο προσδιορισµός του λειτουργικού συστήµατος δεν είναι πάντα ακριβής. Το Nmap είναι ένα εργαλείο όπου η αρχιτεκτονική στην οποία στηρίζεται του δίνει την δυνατότητα να στέλνει επεξεργασµένα πακέτα TCP/ IP και να περιµένει την απόκριση τους. Τα αποτελέσµατα συγκρίνονται µε µια βάση δεδοµένων γνωστών αποτελεσµάτων (βάση δεδοµένων υπογραφών Λειτουργικών Συστηµάτων - ΛΣ). Αυτή η βάση δεδοµένων είναι ένα αρχείο κειµένου που περιέχει υπογραφές για κάθε γνωστό ΛΣ. Κατά συνέπεια, εάν η απάντηση ταιριάζει µε οποιαδήποτε από τις καταχωρήσεις στη βάση δεδοµένων, µπορεί να προσδιοριστεί το λειτουργικό σύστηµα του αποµακρυσµένου υπολογιστή. Το Nmap µπορεί να εκτελεστεί τόσο µέσα από το γραφικό περιβάλλον του Zenmap όσο και από τη γραµµή εντολών. 81

82 82 Η σάρωση µε το Nmap πραγµατοποιείται σε φάσεις, µε την απαίτηση της ολοκλήρωσης της µιας φάσης πριν την έναρξη της επόµενης. Αναλυτικότερα διακρίνονται οι εξής φάσεις: Απαρίθµηση στόχου (Target enumeration): Σε αυτή τη φάση, το Nmap διερευνά τα χαρακτηριστικά του κόµβου που προσδιορίζονται από το χρήστη, τα οποία µπορεί να είναι ένας συνδυασµός από ονόµατα DNS, IP διευθύνσεις, CIDR επισηµάνσεις δικτύου κλπ, του κόµβου. Αυτή η φάση δεν µπο ρεί να παρακαµφθεί δεδοµένου ότι είναι ουσιαστική για την περαιτέρω ανίχνευση, αλλά µπορεί να απλοποιηθεί η διαδικασία προσδιορίζοντας IP διευθύνσεις έτσι ώστε να µη χρειαστεί να το κάνει το Nmap. Ανακάλυψη κόµβου (Host discovery - ping scanning): Οι ανιχνεύσεις δικτύων αρχίζουν συνήθως µε τον εντοπισµό των στόχων που είναι ενεργοί στο δίκτυο και χρήζουν περαιτέρω έρευνας. Το Nmap προσφέρει πολλές τεχνικές ανακάλυψης κόµβους, οι οποίες µπορεί να περιλαµβάνουν από γρήγορα ARP αιτήµατα έως επεξεργασµένους συνδυασµούς TCP, ICMP, και άλλων τύπων προτροπών. Αντίστροφο DNS (Reverse-DNS): Μόλις καθορίσει το Nmap ποιους κόµβους θα ανιχνεύσει, αναζητά τα αντίστροφα-dns ονόµατα όλων των κόµβους για τους οποίους ανακάλυψε ότι είναι ενεργοί µέσω του ping scan. Μερικές φο ρές το ό νοµα ενός κόµβου παρέχει στοιχεία για τη λειτουργία του τα οποία καθιστούν τις αναφορές πιο ευανάγνωστες σε σχέση µε την εµφάνιση µόνο ΙΡ διευθύνσεων. 82

83 83 Σάρωση θυρών (Port scanning): Αυτό είναι η κύρια λειτουργία του Nmap. Στέλνονται πακέτα στους κόµβους και οι απαντήσεις (ή µη) σε αυτά χρησιµοποιούνται για να ταξινοµήσουν τις αποµακρυσµένες θύρες σε καταστάσεις όπως ανοικτή, κλειστή, ή φιλτραρισµένη. Αυτή είναι η βασική διαδικασία την οποία εκτελεί εξ ορισµού το Nmap. Υπάρχουν πολύ περισσότερες επιλογές που σχετίζονται µε τους τύπους σάρωσης, τις διαµορφώσεις τους και τους αλγορίθµους που χρησιµοποιούνται για την αποδοτικότερη, ταχύτερη και ακριβέστερη εκτέλεσή τους. Ανίχνευση έκδοσης (Version detection): Εάν ανακαλυφθούν ανοιχτές θύρες, το Nmap ενδεχοµένως να µπορεί να καθορίσει ποιο λογισµικό εξυπηρετητή εκτελείται στο αποµακρυσµένο σύστηµα. Αυτό επιτυγχάνεται µέσω της αποστολής διαφόρων πακέτων και της σύγκρισης των απαντήσεων σε µια βάση δεδοµένων µε χιλιάδες γνωστές υπογραφές υπηρεσιών. Ανίχνευση ΛΣ (OS detection): Τα διαφορετικά λειτουργικά συστήµατα υλοποιούν τα πρότυπα δικτύου µε διαφορετικούς τρόπους. Αναλύοντας αυτές τις διαφορές είναι συχνά πιθανό να καθοριστεί το λειτουργικό σύστηµα που εκτελείται στον αποµακρυσµένο κόµβο. Traceroute. Το Nmap περιέχει µια βελτιστοποιηµένη υλοποίηση του µηχανισµού traceroute, η οποία ενεργοποιείται µε την επιλογή --traceroute. Μπορεί να εντοπίσει τις διαδροµές του δικτύου για πολλούς κόµβους παράλληλα. Το Traceroute συνήθως περιλαµβάνει έναν ακόµα στάδιο από ανάλυση αντίστροφου DNS για τους ενδιάµεσους κόµβους. Script scanning. Η Nmap Scripting Engine (NSE) χρησιµοποιεί µια συλλογή από scripts ειδικού σκοπού για την απόκτηση επιπλέον πληροφοριών για το αποµακρυσµένο σύστηµα. Η NSE ενισχύεται από τη γλώσσα προγραµµατισµού Lua και από µια πρότυπη βιβλιοθήκη, οι οποίες σχεδιάστηκαν για την απόκτηση δικτυακών πληροφοριών. Μεταξύ των πλεονεκτηµάτων της περιλαµβάνονται η προχωρηµένη ανίχνευση έκδοσης, οι ενηµερώσεις για τις ευπάθειες των υπηρεσιών, καθώς επίσης η ανακάλυψη κερκόπορτας και άλλων ιοµορφών. Η NSE δεν εκτελείται εκτός αν τεθεί ως επιλογή στη γραµµή εντολών. Αποτελέσµατα (Output). Στο τέλος, το Nmap συλλέγει όλες τις πληροφορίες που έχει αποκτήσει και τις εµφανίζει ή τις αποθηκεύει σε αρχείο. Το Nmap µπορεί να αποθηκεύσει τα αποτελέσµατα σε διάφορες µορφές. Μεταξύ άλλων το Nmap παρέχει τα αποτελέσµατα σε XML µορφή. Nessus Το Nessus είναι εργαλείο εντοπισµού ευπαθειών (vulnerability scanner) της εταιρείας Tenable Network Security Inc., το οποίο µπορεί να εκτελέσει µια πλειάδα από αυτοµατοποιηµένους ελέγχους ασφάλειας, µειώνοντας σηµαντικά το χρόνο που απαιτείται σε σχέση µε χειροκίνητους (manual) ελέγχους εντοπισµού ευπαθειών. Το Nessus χρησιµοποιεί αρχιτεκτονική client-server, είναι εύχρηστο και φιλικό στο χρήστη ενώ στην τελευταία του έκδοση, 4.2. η επικοινωνία µε το Nessus Server διεξάγεται µέσω web διεπαφής. Το εργαλείο είναι διαθέσιµο στην ιστοσελίδα Το Nessus υποστηρίζεται από τα εξής λειτουργικά συστήµατα και πλατφόρµες: Red Hat ES 4 (i386), and ES 5 (i386 and x86-64) Fedora Core 10 (i386 and x86-64) [Compatible with Fedora 9] Fedora Core 11 (i586 and x86-64) Fedora Core 12 (i586 and x86-64) Debian 5 (i386 and x86-64) FreeBSD 7 (i386 and x86-64) Ubuntu 8.04 (i386 and x86-64) Ubuntu 8.10 (i386 and x86-64) Ubuntu 9.10 (i386 and x86-64) Mac OS X 10.4 / 10.5 (i386, x86-64, ppc) Windows XP, Server 2003, Server 2008, Vista and Windows 7 (i386 and x86-64) SuSE 9.3 (i386) SuSE 10.0 (i386 and x86-64) 83

84 84 Το Nessus είναι ένα ισχυρό και κυρίαρχο εργαλείο στην κατηγορία του. Οι κύριες δυνατότητές του και τα πλεονεκτήµατά του µπορούν να συνοψιστούν στα ακόλουθα: Τύποι ελέγχων ασφάλειας που υποστηρίζει: α) Σάρωση θυρών µε ή χωρίς αυθεντικοποίηση στο ελεγχόµενο σύστηµα β) Ανίχνευση ευπαθειών δικτύου γ) Έλεγχοι ενηµερώσεων για τα Windows και τις περισσότερες πλατφόρµες Unix δ) Έλεγχοι πιστοποιηµένων χαρακτηριστικών διαµόρφωσης για τις περισσότερες πλατφόρµες Windows και Unix ε)έλεγχοι ασφάλειας για εφαρµογές τρίτων µερών όπως Adobe, JAVA,Skype και Firefox στ) Έτοιµοι και προσαρµοσµένοι έλεγχοι ευπαθειών web εφαρµογών ζ) Έλεγχοι διαµόρφωσης SQL βάσεων δεδοµένων η) Απαρίθµηση λογισµικού σε Unix και Windows θ) Έλεγχοι εγκατεστηµένου λογισµικού anti-virus για λάθη διαµόρφωσης και έλλειψη ενηµερώσεων ι) Σάρωση ad-hoc Ενηµερωµένη βάση δεδοµένων ευπαθειών: Για κάθε νέα ευπάθεια που ανακαλύπτεται και ανακοινώνεται δηµιουργείται και ο αντίστοιχος έλεγχος, µέσα σε 24 ώρες συνήθως. Η βάση δεδοµένων των ελέγχων ασφάλειας του Nessus server ενηµερώνεται καθηµερινά και αυτόµατα µέσω της ενεργοποίησης της εντολής update plugins που διαθέτει η εφαρµογή. Έξυπνη σάρωση: Το Nessus, σε αντίθεση µε άλλους ανιχνευτές ασφάλειας, δεν υποθέτει τίποτα ως δεδοµένο. ηλαδή, δεν θα υποθέσει ότι µια δεδοµένη υπηρεσία τρέχει σε µια συγκεκριµένη θύρα. Αυτό σηµαίνει, ότι εάν ένας web server τρέχει στη θύρα 1234, το Nessus θα τον ανιχνεύσει και θα ελέγξει την ασφάλειά του κατάλληλα. Θα προσπαθήσει να επικυρώσει µια ευπάθεια µέσω της εκµετάλλευσης της, εάν αυτό είναι δυνατό. Σε περιπτώσεις όπου µπορεί να προκαλέσει αρνητικές συνέπειες στο στόχο, το Nessus χρησιµοποιεί τα banners για να καθορίσει την παρουσία της ευπάθειας. Σε αυτές τις περιπτώσεις, θα αναφέρεται ποια µέθοδος χρησιµοποιήθηκε στην αναφορά που παράγεται. Αρθρωτή Αρχιτεκτονική: Η αρχιτεκτονική client/server παρέχει την ευελιξία επέκτασης του scanner (server) και τη σύνδεσή του µε το γραφικό περιβάλλον του client από οποιαδήποτε µηχανή που διαθέτει φυλλοµετρητή ιστού, µε αποτέλεσµα τη µείωση των διοικητικών δαπανών (ένας εξυπηρετητής µπορεί να προσεγγιστεί από τους πολλαπλούς κόµβους). Plugins: Κάθε έλεγχος ασφάλειας είναι γραµµένος σαν εξωτερικό plugin σε γλώσσα NASL, ενώ παράλληλα οµαδοποιείται σε µια από τις σαράντα δύο (42) οµάδες plugins. Με αυτό τον τρόπο είναι εύκολη η δηµιουργία προσαρµοσµένων ελέγχων µε την επιλογή συγκεκριµένων plu gin s από µια ο µάδα ή την επιλο γή µιας συγκεκριµένης ο µάδας, χωρίς να είναι απαραίτητη η ανάγνωση του κώδικα της µηχανής Nessus server. Επιπλέον, οι ενηµερώσεις του Nessus δεν περιλαµβάνουν κατά το κατέβασµα από το internet µη αξιόπιστο κώδικα. Κάθε NASL plugin µπορεί να αναγνωστεί και να επεξεργαστεί για την καλύτερη κατανόηση των αποτελεσµάτων των αναφορών του Nessus. NASL: Το Nessus Scanner χρησιµοποιεί τη γλώσσα NASL, (Nessus Attack Scripting Language), µια γλώσσα που έχει σχεδιαστεί ώστε να γράφονται οι έλεγχοι ασφάλειας εύκολα και γρήγορα. Οι έλεγχοι ασφάλειας µπορούν επίσης να γραφούν και σε γλώσσα C. Έξυπνη αναγνώριση υπηρεσιών: Το Nessus δεν κάνει την υπόθεση ότι οι κόµβοι στόχοι ακολουθούν το πρότυπο ΙΑΝΑ στην εκχώρηση αριθµών θύρας. Αυτό σηµαίνει ότι θα αναγνωρίσει έναν FTP server που τρέχει σε µια µη συνήθη θύρα (π.χ ) ή έναν web server που τρέχει στη θύρα Πολλαπλές υπηρεσίες: Εάν ένας ή περισσότεροι web servers τρέχουν σε έναν κόµβο(π.χ. ένας στη θύρα 80 και ένας άλλος στη θύρα 8080) το Nessus θα τους προσδιορίσει και θα τους ελέγξει όλους. Ταυτόχρονος έλεγχος πολλαπλών κόµβους: Ανάλογα µε τη διαµόρφωση του συστήµατος ανίχνευσης του Nessus είναι δυνατόν να ελεγχθεί ταυτόχρονα ένας µεγάλος αριθµός από κόµβους. Πλήρη υποστήριξη SSL: Το Nessus έχει την ικανότητα να ελέγχει υπηρεσίες που τρέχουν πάνω από SSL, όπως HTTPS, SMTPS, IMAPS, και άλλα. 84

85 85 Συνεργαζόµενα plugins: Τα plu gin s που χρησιµο ποιεί το Nessu s για την εκτέλεση των ελέγχων ασφάλειας συνεργάζονται µεταξύ τους ώστε να µην πραγµατοποιούνται µη απαραίτητοι έλεγχοι. Για παράδειγµα, αν ένας FTP server δεν επιτρέπει την ανώνυµη είσοδο, ο σχετικός έλεγχος για ανώνυµη είσοδο δεν θα πραγµατοποιηθεί. Ασφαλείς έλεγχοι: Ορισµένοι έλεγχοι µπορεί να είναι καταστρεπτικοί για συγκεκριµένες υπηρεσίες δικτύου και να οδηγήσουν σε άρνηση υπηρεσίας (Denial of Service). Για να µη συµβεί κάτι τέτοιο κατά την διάρκεια των ελέγχων, ειδικά σε παραγωγικά συστήµατα, το Nessus διαθέτει µια επιλογή «ασφαλών ελέγχων», η οποία επιτρέπει στο Nessus να στηριχθεί σε banners και όχι στην εκµετάλλευση των πραγµατικών ευπαθειών για να καθορίσει εάν µια ευπάθεια είναι παρούσα. Έξυπνα plugins: Το Nessus µπορεί να καθορίσει ποια plugins πρέπει να χρησιµοποιήσει και πο ια ό χι σε έναν αποµακρυσµένο κόµβο. Για παράδειγµα, δεν θα ελέγξει για ευπάθειες sendmail ενάντια σε Postfix. Αυτή η επιλογή ονοµάζεται βελτιστοποίηση (optimization). Πλήρης Αναφορά: Το Nessus δεν περιορίζεται µόνο στον εντοπισµό των ευπαθειών ενός συστήµατος και στον προσδιορισµό του επιπέδου επικινδυνότητάς τους, αλλά παρέχει και λύσεις για τον περιορισµό τους. Οµάδες Συζητήσεων: Οι χρήστες έχουν τη δυνατότητα να επικοινωνούν µεταξύ τους και να επιλύουν τις απορίες τους µέσω ανοιχτού forum στη διεύθυνση Περεταίρω ενηµέρωση για τις ευπάθειες: Τα περισσότερα plugins παρέχουν συνδέσεις (Links) σε βάσεις δεδοµένων για συνήθεις ευπάθειες και κινδύνους (CVE - CommonVulnerabilities and Exposures), έτσι ώστε οι διαχειριστές των συστηµάτων να αναζητήσουν περισσότερες πληροφορίες για δηµοσιευµένες ευπάθειες. Επίσης συχνά συµπεριλαµβάνονται και αναφορές που σχετίζονται µε επισηµάνσεις ασφάλειας σε Bugtraq (BID), σε Open Source Vulnerability Databases (OSVDB) καθώς και σε αναφορές ασφάλειας κατασκευαστών. Μεγάλος αριθµός ελέγχων: Το Nessus περιέχει ένα µεγάλο αριθµό από security tests ο οποίος συνεχώς αυξάνεται. Οι έλεγχοι µπορούν να ταξινοµηθούν στις παρακάτω κατηγορίες, ενώ η κάθε κατηγορία περιέχει ένα µεγάλο αριθµό επιµέρους ελέγχων. Το Nessus γενικά είναι ένα πολύ χρήσιµο εργαλείο. Ωστόσο η χρήση του µπορεί να προκαλέσει ορισµένες παρενέργειες στο σύστηµα. Οι κυριότερες από αυτές είναι οι ακόλουθες: Μερικά plugins µπορούν να οδηγήσουν σε άρνηση υπηρεσίας (Denial of Service). Η διενέργεια ορισµένων ελέγχων, όπως εξαντλητικής αναζήτησης, σε ένα δίκτυο ή ένανκόµβο που δεν είναι κατάλληλα διαµορφωµένος µπορεί να οδηγήσει σε απώλεια των πόρων Όταν οι έλεγχοι πραγµατοποιούνται σε εικονικές µηχανές (VMWare), η ανίχνευση είναι πολύ αργή σε σχέση µε τους ελέγχους που πραγµατοποιούνται σε ένα αποµακρυσµένο µηχάνηµα. Η ενεργοποίηση της επιλογής safe checks µπορεί να οδηγήσει σε λανθασµένη ανίχνευση ευπαθειών. Καταναλώνει µεγάλος εύρος ζώνης (bandwidth) Η λειτουργία του επηρεάζεται από την τοπολογία του δικτύου, καθώς και από τους υπόλοιπους µηχανισµούς ασφάλειας που χρησιµοποιούνται στο σύστηµα στόχο(αναχώµατα Ασφάλειας, IDS κλπ) Οι ευπάθειες που εντοπίζει είναι τεχνικές και όχι λειτουργικές ή λογικές. Το Nessus χρησιµοποιεί την αρχιτεκτονική πελάτης - διακοµιστής (client-server). Στο Nessus client διαµορφώνονται οι κατάλληλες επιλογές, ρυθµίζονται οι παράµετροι των ελέγχων τρωτότητας για τους πολυποίκιλους στόχους και δίνεται η αναφορά των αποτελεσµάτων της έρευνας στον χρήστη. Ο Nessus server, είναι αυτός που πραγµατοποιεί όλους τους ελέγχους τρωτότητας οι οποίοι είναι εγκατεστηµένοι ως plugins, γραµµένοι στην γλώσσα Nessus Attack Scripting Language (NASL). Ο Nessus server περιµένει εισερχόµενες αιτήσεις από τους Nessus clients που επιθυµούν να πραγµατοποιήσουν συγκεκριµένους ελέγχους. Οι clients πρέπει να αυθεντικοποιούνται από τον server, πριν τους επιτραπεί να πραγµατοποιήσουν ελέγχους τρωτότητας. Αυτή η αρχιτεκτονική διευκολύνει την κεντρική διαχείριση των Nessus εγκαταστάσεων. Όλη η επικοινωνία µεταξύ πελάτη και διακοµιστή 85

86 86 πραγµατοποιείται µέσω µίας κρυπτογραφηµένης σύνδεσης TLS (Transport Layer Security). Το Nessus µπορεί να τρέξει µε δύο τρό πους: µε ή χωρίς αυθεντικοποίηση στο µηχάνηµα στόχο Όταν τρέχει χωρίς αυθεντικοποίηση, το Nessus εκτελεί αποµακρυσµένους Web-based ελέγχους ασφάλειας, ελέγχοντας πώς ανταποκρίνεται ο στόχος (κόµβος) σε συγκεκριµένους δικτυακούς ελέγχους. Από την άλλη, όταν τρέχει µε αυθεντικοποίηση, επιπροσθέτως, αποκτά πρόσβαση στον αποµακρυσµένο κόµβο και πραγµατοποιεί µια σειρά από τοπικούς ελέγχους ασφαλείας, όπως η επιβεβαίωση ότι είναι ενηµερωµένος ο κόµβος µε τις τελευταίες ενηµερώσεις και επιδιορθώσεις λογισµικού. Το NESSUS τρέχει σε Windows, Mac OS X καθώς και σε διάφορες εκδόσεις UNIX. Από την κονσόλα του Nessus server γίνεται η ενηµέρωση των Plugins και η διαχείριση των χρηστών. Μόλις γίνει η εκκίνησή του µπορεί να συνδεθούν οι clients. Ο Nessus server εκτελείται στο τοπικά ( ) και περιµένοντας συνδέσεις στη θύρα Για τη σύνδεση του γραφικού περιβάλλοντος του Nessus χρησιµοποιείται ένας φυλλοµετρητής ιστούς π.χ. Internet Explorer, Mozilla Firefox, κλπ., πληκτρολογώντας στη περιοχή διευθύνσεων Κατά την πρώτη σύνδεση ο φυλλοµετρητής εµφανίζει µηνύµατα σφάλµατος εξαιτίας του self-signed SSL πιστοποιητικού. Ο χρήστης αν χρησιµοποιεί Microsoft Internet Explorer µπορεί να συνεχίσει επιλέγοντας Continue to this website (not recommended), ενώ οι χρήστες του Firefox 3.x επιλέγοντας I Understand the Risks και µετά Add Exception. Στην επόµενη οθόνη ο χρήστης πληκτρολογεί το όνοµα χρήστη και το συνθηµατικό του και συνδέεται στο γραφικό περιβάλλον από όπου µπορεί να κάνεις τις επιλογές των ελέγχων. 86

87 87 Προκειµένου να διενεργηθεί µια σάρωση για ανίχνευση ευπαθειών απαιτείται να καθοριστεί πρώτα µια πολιτική ελέγχου. Ό χρήστης έχει τη δυνατότητα να εισάγει µια πολιτική ελέγχου ή να δηµιουργήσει µια νέα πατώντας το πλήκτρο Add. 87

88 88 Μια πολιτική σχετίζεται µε τις επιθυµητές ρυθµίσεις της σάρωσης. Αυτές µπορούν να αφορούν: Παραµέτρους που ελέγχουν τεχνικά θέµατα όπως timeouts, αριθµό κόµβων, τύπους ανίχνευσης θυρών κλπ. Πιστοποιητικά για τοπική σάρωση (π.χ. Windows, SSH), αυθεντικοποίηση σάρωσης βάσης δεδοµένων Oracle, HTTP, FTP, POP, IMAP ή αυθεντικοποίηση βασισµένη στο Kerberos. Χαρακτηριστικά σάρωσης βασισµένα σε µεµονωµένα plugins ή οµάδες plugins Καθορισµός πολιτικής ελέγχων για βάσεις δεδοµένων, ρυθµίσεις για την ανίχνευση υπηρεσιών κλπ Οι έλεγχοι που διενεργούνται ως προεπιλογή είναι η ακόλουθοι: Safe checks (Ασφαλείς έλεγχοι): Απενεργοποιούνται τα plugins που µπορεί να οδηγήσουν σε άρνηση υπηρεσίας ή σε άλλες παρενέργειες στο σύστηµα Silent Dependencies (Απόκρυψη εξαρτήσεων): Η λίστα εξαρτήσεων δεν συµπεριλαµβάνεται στην αναφορά TCP Scan: Προσδιορίζονται τα ανοιχτά ports του στόχου SNMP Scan: Ανιχνεύονται οι υπηρεσίες SNMP στο στόχο Netstat SSH scan: Ελέγχονται οι ανοιχτές θύρες από το τοπικό µηχάνηµα. Βασίζεται στην εντολή netstat η οποία είναι διαθέσιµη µέσω της SSH σύνδεσης µε το στόχο 88

89 89 Netstat WMI scan: Ελέγχονται οι ανοιχτές θύρες από το τοπικό µηχάνηµα. Βασίζεται στην εντολή netstat η οποία είναι διαθέσιµη µέσω της WMI σύνδεσης µε το στόχο Ping κόµβου: Γίνεται ping στους αποµακρυσµένους κόµβους σε πολλαπλές θύρες για να προσδιοριστεί αν είναι σε λειτουργία. Εκτός από τις παραπάνω επιλογές ο χρήστης έχει τη δυνατότητα να καθορίσει και πια plugins θα χρησιµοποιηθούν στον εκάστοτε έλεγχο, ενεργοποιώντας ή απενεργοποιώντας τα από την αντίστοιχη καρτέλα. Η ενεργοποίηση ή απενεργοποίηση εξαρτήσεων µεταξύ των plugins αποτελεί ουσιαστική επιλογή αφού ένας αριθµός από Nessus plugins εξαρτώνται από τις πληροφορίες που συλλέγονται από άλλα plugins. Έχοντας καθορίσει ο χρήστης µια πολιτική ελέγχου, µπορεί να εκκινήσει την ανίχνευση ευπαθειών στους στόχους που έχει επιλέξει. Τα αποτελέσµατα των ελέγχων ασφάλειας µπο ρεί να τα δει ο χρήστης και κατά τον χρόνο που η διαδικασία ελέγχου βρίσκεται σε εξέλιξη. Η αναφορά πο υ παράγεται είναι ιδιαίτερα φιλική προ ς το χρήστη, αφού τα αποτελέσµατα κατηγοριοποιούνται ανάλογα µε το επίπεδο επικινδυνότητάς τους, ενώ παρέχονται και οδηγίες για την αντιµετώπισή τους. Οι Nessus clients υποστηρίζουν έναν πλήθος διαµορφώσεων και τρόπων παρουσίασης αναφορών των αποτελεσµάτων. Οι περισσότεροι clients υποστηρίζουν την ικανότητα της εξαγωγής των αποτελεσµάτων σε φιλική προς τον χρήστη HTML µορφή, αλλά παρέχουν και µία ή περισσότερες αµιγώς Nessus µορφές, όπως η NBE. Κάποιοι clients, επίσης, υποστηρίζουν την δυνατότητα να εξαχθούν αποτελέσµατα σε XML, PDF, LaTex ή σε βάσεις δεδοµένων, όπως επίσης, παρέχουν λειτουργίες σύγκρισης αποτελεσµάτων, ώστε να προκύπτουν χρήσιµα συµπεράσµατα από την αντιπαράθεση δύο ή παραπάνω αναφορών. 89

90 90 Nikto Το Nikto είναι ένα πρόγραµµα που ανήκει στην κατηγορία των web server και CGI scanners,το οποίο πιο συγκεκριµένα είναι ένα εργαλείο που έχει σαν στόχο την εύρεση αρχείων web και την εξέταση του server και CGI scripts για αδυναµίες ασφάλειας. Το Nikto εξετάζει τους web servers σε πολλές κατηγορίες: για κακές ρυθµίσεις προεπιλεγµένα (default) αρχεία και script µη ασφαλή αρχεία και script µη ενηµερωµένο λογισµικό Το πρόγραµµα υποστηρίζει port scanning και µπορεί να καταλάβει αν τρέχει κάποιος web server σε κάποιο port. Ο κώδικας του προγράµµατος καθώς και οι έλεγχοι που εκτελούνται µπορούν να ενηµερωθούν (update) αυτόµατα από το internet για να εντοπίζονται οι νέες αδυναµίες. Στον κατάλογο plugins το αρχείο user_scan_database.db χρησιµοποιείται για την προσθήκη επιπλέον ελέγχων που έχουν καθοριστεί από τον χρήστη. Το Nikto αφήνει αποτύπωµα (footprint) όταν εξετάζει έναν server. Αν και µπορεί να µην είναι εύκολο να εντοπιστεί το nikto από IDS, ο έλεγχος εντοπίζεται και καταγράφεται στα logs εξαιτίας των πολλών άκυρων αιτηµάτων. Το nikto εκτελείται σε παράθυρο εντολών και η γενική µορφή εντολής είναι Wnikto 32 [-h target] [options] µε το περιεχόµενο της πρώτης αγκύλης να είναι υποχρεωτικό,όπου target η διεύθυνση του προς εξέταση µηχανήµατος. Προαιρετικά ακολουθούν κάποιες επιλογές που περιγράφονται παρακάτω. Στην έκδοση για Linux η σύνταξη εντολής είναι παρόµοια (Nikto [-h target] [options]) και οι επιλογές είναι οι ίδιες. Επιλογές του Nikto allcgi : Γίνεται σάρωση σε όλους τους πιθανούς καταλόγους CGI ανεξάρτητα από το αν υπάρχουν ή όχι. cookies : Εµφανίζονται τα cookies που λήφθηκαν κατά τη διάρκεια του ελέγχου. evasion [number] : Τεχνικές αποφυγής IDS του LibWhisker.( 1 Random URI encoding (non-utf8) findonly : Κάνει port scan για να εντοπίσει web servers αλλά δεν κάνει ελέγχους σε αυτούς. output : Η έξοδος γράφεται σε αρχείο κειµένου. mutate : Το πρόγραµµα κάνει όλους τους ελέγχους (checks) που βρίσκονται σε όλα τα αρχεία.db. Αυτό έχει σαν αποτέλεσµα µεγάλο αριθµό ελέγχων. port : Ο αριθµός της θύρας /των θυρών που ψάχνει το nikto για web servers. Ο default αριθµός είναι 80 (αν δεν χρησιµοποιηθεί η επιλογή). ssl : Force SSL mode on port(s) listed. timeout : timeout για κάθε αίτηση, η προεπιλογή είναι 10 sec. Όλες οι παραπάνω επιλογές µπορούν και να γραφτούν µόνο µε το αρχικό τους γράµµα (π.χ. -t). Υπάρχουν ωστόσο κάποιες επιλογές που γράφονται µόνο µε το πλήρες όνοµα όπως π.χ. verbose : Εµφανίζονται επιπλέον πληροφορίες κατά τη διάρκεια της εκτέλεσης. Φαίνεται πώς αντιδρά ο server σε κάθε αίτηση. debug : Εµφανίζονται ακόµα περισσότερες λεπτοµέρειες. update : Για την ενηµέρωση της βάσης δεδοµένων µε τους ελέγχους. Σύνδεση στοcirt.net. 90

91 91 Κεφάλαιο 4 ο : ΕΥΡΕΣΗ ΕΠΙΣΦΑΛΩΝ ΣΗΜΕΙΩΝ Έλεγχος στον agent.csd.auth.gr Nmap Γίνεται σάρωση θυρών µε το πρόγραµµα Nmap για να βρεθούν οι ανοιχτές θύρες, οι υπηρεσίες που χρησιµοποιούν τις θύρες και το λειτουργικό σύστηµα,επιλέχθηκε ο τύπος σάρωσης SYN Stealth Scan και σαρώθηκαν οι προεπιλεγµένες θύρες (default). Επίσης ενεργοποιήθηκε η επιλογή για την ανίχνευση της έκδοσης του λειτουργικού συστήµατος. Στο πεδίο Target δίνεται το agent.csd.auth.gr και στο πεδίο Command δίνεται προεπιλεγµένα η εντολή nmap -T4 -A -v agent.csd.auth.gr. Τα αποτελέσµατα είναι τα εξής: Starting Nmap 5.51 ( ) at :15 Θερινή ώρα GTB NSE: Loaded 57 scripts for scanning. Initiating Ping Scan at 02:15 Scanning agent.csd.auth.gr ( ) [4 ports] Completed Ping Scan at 02:15, 0.19s elapsed (1 total hosts) Initiating Parallel DNS resolution of 1 host. at 02:15 Completed Parallel DNS resolution of 1 host. at 02:15, 0.00s elapsed Initiating SYN Stealth Scan at 02:15 Scanning agent.csd.auth.gr ( ) [1000 ports] Discovered open port 22/tcp on Discovered open port 80/tcp on Completed SYN Stealth Scan at 02:15, 7.39s elapsed (1000 total ports) Initiating Service scan at 02:15 Scanning 2 services on agent.csd.auth.gr ( ) Completed Service scan at 02:15, 6.08s elapsed (2 services on 1 host) Initiating OS detection (try #1) against agent.csd.auth.gr ( ) Retrying OS detection (try #2) against agent.csd.auth.gr ( ) Initiating Traceroute at 02:15 Completed Traceroute at 02:15, 0.06s elapsed Initiating Parallel DNS resolution of 11 hosts. at 02:15 Completed Parallel DNS resolution of 11 hosts. at 02:15, 0.05s elapsed NSE: Script scanning Initiating NSE at 02:15 Completed NSE at 02:15, 0.69s elapsed 91

92 92 Nmap scan report for agent.csd.auth.gr ( ) Host is up (0.035s latency). Not shown: 998 filtered ports PORT STATE SERVICE VERSION 22/tcp open ssh OpenSSH 5.5p1 Debian 6 (protocol 2.0) ssh-hostkey: 1024 d6:4e:8f:de:a5:76:1b:c2:ff:1a:7d:b1:88:ed:27:8a (DSA) _2048 ff:1f:99:e5:30:36:4e:4d:45:33:12:ac:34:96:91:3f (RSA) 80/tcp open http Apache httpd ((Debian)) _http-methods: GET HEAD POST OPTIONS _http-title: Site doesn't have a title (text/html; charset=iso ). Warning: OSScan results may be unreliable because we could not find at least 1 open and 1 closed port Aggressive OS guesses: Linux (92%), Linux (91%), ZoneAlarm Z100G WAP (91%), Riverbed Steelhead 200 proxy server (91%), Linux (89%), Linux (89%), Linux (89%), Linux (88%), Linux (88%), Linux (CentOS 4.4) (88%) No exact OS matches for host (test conditions non-ideal). Uptime guess: days (since Sun Oct 16 22:22: ) Network Distance: 11 hops TCP Sequence Prediction: Difficulty=199 (Good luck!) IP ID Sequence Generation: All zeros Service Info: OS: Linux 92

93 93 93

94 94 94

95 95 Παίρνουµε σηµαντικές πληροφορίες για τον Host κάνοντας κλικ στην καρτέλα Host details αλλά και στην καρτέλα Nmap Output όπως οι ανοιχτές θύρες 22 και 80 και τι υπηρεσίες χρησιµοποιούνται : εξυπηρέτης http στη port 80 και ssh στη θύρα 22. Πληροφορίες για το είδος των υπηρεσιών όπως του εξυπηρέτη στη θύρα 80 ότι είναι στην έκδοση Apache httpd ((Debian)) που φαίνονται στην καρτέλα Ports/Hosts 95

96 96 Το λειτουργικό σύστηµα είναι Linux 2.6.9, ελέγχθηκαν 1000 θύρες. 96

97 97 Συνοπτικά οι σηµαντικότερες πληροφορίες που παίρνουµε από το scan του host agent.csd.auth.gr µε το πρόγραµµα Nmap είναι οι εξής: Scanning agent.csd.auth.gr ( ) [1000 ports]: µας δίνει την DNS διεύθυνση του host που ανιχνεύεται σε εύρος 1000 θυρών. Βρίσκει 2 ανοιχτές θύρες (ports), τις 22 και 80 που αµφότερες χρησιµοποιούν πρωτόκολλο tcp. Παρέχονται επιπλέον πληροφορίες για τις θύρες 22 και 80 όπως τις εκδόσεις των λειτουργικών που τρέχουν: OpenSSH 5.5p1 Debian 6 (protocol 2.0) για τη θύρα 22 και ότι είναι ανοιχτή. Επίσης δίνονται τα κλειδιά DSA και RSA του πακέτου SSH: ssh-hostkey: 1024 d6:4e:8f:de:a5:76:1b:c2:ff:1a:7d:b1:88:ed:27:8a (DSA) και 2048 ff:1f:99:e5:30:36:4e:4d:45:33:12:ac:34:96:91:3f (RSA) Για τη θύρα 80: Apache httpd ((Debian)) µια έκδοση του Apache server που εάν έχει κάποια γνωστή τρύπα ασφαλείας κάποιος έµπειρος hacker/cracker θα µπορούσε να εισβάλλει στο σύστηµα. Αναφορικά µε το scanάρισµα του λειτουργικού συστήµατος, εµφανίζεται προειδοποίηση για την αξιοπιστία των αποτελεσµάτων καθώς η ανίχνευση δεν µπορεί να βρει ένα 1 ανοιχτή ή µια κλειστή θύρα. Warning: OSScan results may be unreliable because we could not find at least 1 open and 1 closed port Εµφανίζονται όµως κάποια αποτελέσµατα του OS scanning Το λειτουργικό σύστηµα µε τα δεδοµένα που µπορεί να ανιχνεύσει το Nmap είναι Linux της έκδοσης 2.6 και αναφέρονται πιθανότητες για ακριβέστερη πρόβλεψη της έκδοσης Linux που χρησιµοποιείται. ίνονται αναλυτικά τα βήµατα της διαδικασίας TRACEROUTE που µας δείχνει το µονοπάτι που ακολούθησε το πρόγραµµα για να φτάσει στο host στόχο και να τον σκανάρει. 97

98 98 Nikto Οι πληροφορίες που δίνονται από το scan του agent.csd.auth.gr από το πρόγραµµα Nikto είναι οι εξής: Μας εµφανίζεται η ακριβής έκδοση του Αpache server που τρέχει ο host. Αυτό σε περίπτωση που η συγκεκριµένη έκδοση έχει κάποια γνωστή τρύπα ασφάλειας ενδεχοµένως να µπορεί να χρησιµοποιηθεί για κάποια επίθεση. Σε αντίθεση µε τον host όπως θα φανεί παρακάτω που η έκδοση του Apache δεν φαίνεται θα έπρεπε ο διαχειριστής του συστήµατος να αποκρύψει την έκδοση του server ώστε να µην φαίνεται για να µηδενίσει την πιθανότητα επίθεσης από κάποιον γνώστη της έκδοσης που τρέχει. Ο φάκελος phpmyadmin είναι ανοιχτός σε πρόσβαση προς όλους και θα πρέπει να γίνει απόκρυψη του, Καθώς όπως µας ενηµερώνει το πρόγραµµα έχει αρχεία µε πληροφορίες για τις βάσεις δεδοµένων που χρησιµοποιούνται και εκτός από την απόκρυψη του προτείνει την προστασία του φακέλου ώστε να είναι ορατός από χρήστες µε αυξηµένα δικαιώµατα. Ο φάκελος είναι ανοιχτός και αυτό αποτελεί τρύπα ασφάλειας καθώς περιέχει το λεγόµενο php.info που παρέχει πληροφορίες οι οποίες εάν αξιοποιηθούν από κάποιον γνώστη θα δηµιουργηθεί κίνδυνος για το σύστηµα. Φαίνονται επίσης οι βιβλιοθήκες που είναι φορτωµένες δηµιουργώντας κενό στην σφάλεια. Προτείνεται η αναβάθµιση ή το κλείσιµο αυτού του φακέλου από τον διαχειριστή. Στον φάκελο manual περιέχονται εγχειρίδια χρήσης του Apache server. Στον φάκελο icons υπάρχει µια λίστα από εικονίδια. Στον φάκελο /manual/images επίσης υπάρχουν κάποια εικονίδια. εν υπάρχει κανένας κίνδυνος γιατί οι φάκελοι αυτοί δεν έχουν σηµαντικές πληροφορίες αλλά αν υπήρχαν άλλα αρχεία µεγαλύτερης σηµασίας ίσως αποτελούσαν απειλή για την ασφάλεια. Εξετάστηκαν 3577 αντικείµενα. Αναφέρεται ο συνολικός αριθµός των αρχείων που ελέγχθηκαν και ο αριθµός των αρχείων που αναφέρθηκαν. 98

99 99 Nessus 99

100

101 101 Με το Nessus παίρνουµε πληροφορίες παρόµοιες µε αυτές του Nmap. ύο ανοιχτές θύρες 22 και 80. εν ανιχνεύεται κάποιος σόβαρος κίνδυνος αλλά περιγράφονται ακριβώς τα πρωτόκολλα και οι εκδόσεις των server που χρησιµοποιούνται. Στη θύρα 22 υποστηρίζονται εκδόσεις του SSH Protocol. Ο τύπος του server SSH και πληροφορίες για τη συγκεκριµένη έκδοση. Ένας κίνδυνος εµφανίζεται στη θύρα 80 : Synopsis: The web server running on the remote host is affected by a denial of service vulnerability. Μας ενηµερώνει το πρόγραµµα ότι o server είναι ευάλωτος σε επιθέσεις denial of service. Περιγράφεται ακριβώς το πρόβληµα Description: The version of Apache HTTP Server running on the remote host is affected by a denial of service vulnerability. Making a series of HTTP requests with overlapping ranges in the Range or Request-Range request headers can result in memory and CPU exhaustion. A remote, unauthenticated attacker could exploit this to make the system unresponsive. Exploit code is publicly available and attacks have reportedly been observed in the wild. Προτείνεται η αναβάθµιση σε Apache httpd ή νεότερη έκδοση ή η εγκατάσταση κάποιου plug-in για να διορθωθεί το πρόβληµα. eb9.html η πλήρης αναφορά και η επισήµανση του προβλήµατος 101

102 102 Nmap Starting Nmap 5.51 ( ) at :59 Θερινή ώρα GTB NSE: Loaded 57 scripts for scanning. Initiating Ping Scan at 03:00 Scanning ( ) [4 ports] Completed Ping Scan at 03:00, 0.19s elapsed (1 total hosts) Initiating Parallel DNS resolution of 1 host. at 03:00 Completed Parallel DNS resolution of 1 host. at 03:00, 0.01s elapsed Initiating SYN Stealth Scan at 03:00 Scanning ( ) [1000 ports] Discovered open port 80/tcp on Discovered open port 443/tcp on Completed SYN Stealth Scan at 03:00, 19.42s elapsed (1000 total ports) Initiating Service scan at 03:00 Scanning 2 services on ( ) Completed Service scan at 03:00, 12.48s elapsed (2 services on 1 host) Initiating OS detection (try #1) against ( ) Retrying OS detection (try #2) against ( ) Initiating Traceroute at 03:00 Completed Traceroute at 03:00, 0.09s elapsed Initiating Parallel DNS resolution of 11 hosts. at 03:00 Completed Parallel DNS resolution of 11 hosts. at 03:00, 0.06s elapsed NSE: Script scanning Initiating NSE at 03:00 Completed NSE at 03:00, 3.56s elapsed Nmap scan report for ( ) Host is up (0.039s latency). Not shown: 998 filtered ports PORT STATE SERVICE VERSION 102

103 103 80/tcp open http Apache httpd _http-methods: No Allow or Public header in OPTIONS response (status code 302) http-title: \xce\x91\xce\xa1\xce\x99\xce\xa3\xce\xa4\xce\x9f\xce\xa4\xce\x95\xce\x9b\xce\x95\xce\x99 \xce\x9f \xce\xa0\xce\x91\xce\x9d\xce\x95\xce\xa0\xce\x99\xce\xa3\xce\xa4\xce\x97\xce\x9c\xce\x9 9\xCE\x9F \xce\x98\xce\x95\xce\xa3\xce\xa3\xce\x91\xce\x9b... _Requested resource was 443/tcp open ssl/http Apache httpd _sslv2: server still supports SSLv2 http-title: 302 Found _Did not follow redirect to _http-methods: No Allow or Public header in OPTIONS response (status code 302) Warning: OSScan results may be unreliable because we could not find at least 1 open and 1 closed port Device type: WAP storage-misc remote management specialized print server switch broadband router general purpose Running (JUST GUESSING): AVM embedded (91%), D-Link embedded (91%), Linksys embedded (91%), Dell embedded (91%), Google embedded (91%), HP embedded (91%), Linksys Linux 2.4.X (91%), Linux 2.4.X (91%) Aggressive OS guesses: AVM FRITZ!Box FON WLAN 7170 WAP (91%), D-Link DNS-323 NAS device or Linksys WRT300N wireless broadband router (91%), Dell Remote Access Controller 5/I (DRAC 5/I) (91%), Google Mini search appliance (91%), HP 4200 PSA (Print Server Appliance) model J4117A (91%), HP Brocade 4Gb SAN switch (91%), Linksys WRV200 wireless broadband router (91%), Linux (91%), Linux (embedded) (91%), Linux (Ubuntu ) (91%) No exact OS matches for host (test conditions non-ideal). Uptime guess: days (since Sat Oct 15 20:56: ) Network Distance: 11 hops TCP Sequence Prediction: Difficulty=197 (Good luck!) IP ID Sequence Generation: All zeros TRACEROUTE (using port 80/tcp) HOP RTT ADDRESS ms mygateway1.ar7 ( ) ms bbras-llu-lsf-11l500.forthnet.gr ( ) ms core-lsf-08ae0.forthnet.gr ( ) ms core-kln-10te0-2-0.forthnet.gr ( ) 103

104 ms core-ath-08-gi2-0-0.forthnet.gr ( ) ms core-ath-10.forthnet.gr ( ) ms grnet.gr-ix.gr ( ) ms kol1-to-eie2.backbone.grnet.gr ( ) ms clientrouter.auth.koletti-1.access-link.grnet.gr ( ) ms atlantas-bb.ccf.auth.gr ( ) ms ( ) Read data files from: C:\Program Files\Nmap OS and Service detection performed. Please report any incorrect results at Nmap done: 1 IP address (1 host up) scanned in seconds Raw packets sent: 3114 ( KB) Rcvd: 78 (4.408KB) 104

105

106

107 107 Λειτουργικό σύστηµα Linux (Ubuntu ) Ports used: 80 Protocol: tcp State: open 107

108 108 Ανοιχτές οι θύρες 80 και 443 για υπηρεσίες εξυπηρέτη σε έκδοση Apache httpd. 108