(μετάφραση στα ελληνικά των διαφανειών του βιβλίου Operating Systems: Internals and Design Principles, 7/E, William Stallings) Ενότητα 12 (Κεφάλαια 15, 3.6, 7.5, 12.8) Προστασία Οι διαφάνειες αυτές έχουν συμπληρωματικό και επεξηγηματικό χαρακτήρα και σε καμία περίπτωση δεν υποκαθιστούν το βιβλίο Γιώργος Α. Παπαδόπουλος Τμήμα Πληροφορικής Πανεπιστήμιο Κύπρου Περιεχόμενα Πιστοποίηση. Έλεγχος πρόσβασης. Ανίχνευση αυθαίρετης εισόδου. Άμυνα από κακόβουλο λογισμικό. Αντιμετώπιση υπερχείλισης της προσωρινής μνήμης. Ασφάλεια στα Windows. 2 Πιστοποίηση Η πιστοποίηση (authentication) των χρηστών είναι ο θεμελιώδης λίθος στην ανάπτυξη μηχανισμών προστασίας του συστήματος και η πρώτη γραμμή άμυνας. Αποτελείται από 2 φάσεις: Αναγνώριση της ταυτότητας του χρήστη (οι ταυτότητες πρέπει να δίνονται στους χρήστες με προσοχή γιατί συχνά αποτελούν τη βάση προσδιορισμού των δικαιωμάτων πρόσβασης που έχει ο χρήστης στο σύστημα). Επιβεβαίωση της σχέσης που έχει ο χρήστης με την ταυτότητα που κατέχει. 3 1
Τρόποι πιστοποίησης Με βάση κάτι που ξέρει ο χρήστης. Συνθηματική λέξη, αριθμός PIN. Με βάση κάτι που έχει ο χρήστης. Κάρτα, σήμα RFID. Με βάση κάτι που είναι ο χρήστης. Βιομετρική εξέταση. Αν και η σωστή χρήση τους φέρνει αποτελέσματα, εν τούτοις έχουν και μειονεκτήματα, όπως: Ανακάλυψη συνθηματικών λέξεων. Κλοπή ή πλαστογραφία ταυτοτήτων. Αποδοχή χρήστη, κόστος, κλπ. 4 Πιστοποίηση με βάση τις συνθηματικές λέξεις Καθορίζει αν ο χρήστης μπορεί να έχει πρόσβαση στο σύστημα. Καθορίζει τα συγκεκριμένα δικαιώματα πρόσβασης του χρήστη (π.χ. αρχεία, ρουτίνες, κλπ.). Επιτρέπει στον χρήστη να αποφασίζει αν πρέπει να δώσει δικαιώματα πρόσβασης σε άλλους χρήστες. 5 Κωδικοτεμαχιζόμενα συνθήματα Χρησιμοποιείται στο Unix και άλλα Λ.Σ. Η συνθηματική λέξη που διαλέγει ο χρήστης συνδυάζεται με επιπλέον χαρακτήρες. Η σειρά χαρακτήρων που προκύπτει υποβάλλεται σε κωδικοτεμαχισμό. 6 2
Πιστοποίηση των συνθηματικών λέξεων στο UNIX 7 Εμπλουτισμός των συνθηματικών λέξεων Ο συνδυασμός (επέκταση) της συνθηματικής λέξης του χρήστη με επιπλέον χαρακτήρες ονομάζεται εμπλουτισμός (salting). Προλαμβάνει τη δημιουργία πανομοιότυπων συνθηματικών λέξεων (ακόμα και αν δύο χρήστες διαλέξουν την ίδια λέξη, ο εμπλουτισμός της θα δημιουργήσει δύο διαφορετικές λέξεις). Αυξάνει σημαντικά τη δυσκολία εύρεσης του συνθήματος με χρήση λεξικών. Καθιστά σχεδόν αδύνατο να εντοπισθεί αν ένας χρήστης με λογαριασμό σε πολλαπλά συστήματα χρησιμοποιεί το ίδιο σύνθημα. 8 Πιστοποίηση με βάση κάποιο αντικείμενο Κάρτα μνήμης (memory card). Έξυπνη κάρτα (smart card). 9 3
Πιστοποίηση με χρήση κάρτας μνήμης Μπορεί να αποθηκεύσει δεδομένα αλλά όχι να τα επεξεργαστεί. ιαθέτει μαγνητική ταινία που αποθηκεύει έναν κώδικα ασφάλειας. Χρησιμοποιείται συνήθως σε συνδυασμό με μία συνθηματική λέξη ή αριθμό PIN. ημιουργεί ανάγκη για ύπαρξη ειδικών συσκευών ανάγνωσης καρτών. Μπορεί να κλαπεί, χαθεί ή πλαστογραφηθεί. εν είναι εύκολα αποδεκτή από τον χρήστη σε 10 περιβάλλοντα υπολογιστικών συστημάτων. Πιστοποίηση με χρήση έξυπνης κάρτας Αντίθετα με την κοινή κάρτα μνήμης, η έξυπνη κάρτα διαθέτει μικροεπεξεργαστή, μνήμη και θύρες Ε/Ε. Μερικά μοντέλα έχουν ενσωματωμένο κύκλωμα κρυπτογραφίας ή ψηφιακών υπογραφών. Υπάρχουν διαφορετικά μοντέλα με βάση: Τα φυσικά χαρακτηριστικά (κάρτα, κλειδί, κλπ.). Επικοινωνία με χρήστη (πληκτρολόγιο, αναγνώστης). Πρωτόκολλο πιστοποίησης: Στατικό, όπου ο χρήστης πιστοποιεί τον εαυτό του στην κάρτα και αυτή με τη σειρά της πιστοποιεί τον χρήστη στο σύστημα. υναμικό, όπου η πιστοποίηση βασίζεται στην περιοδική (π.χ. κάθε λεπτό) δημιουργία μίας συνθηματικής λέξης. Με βάση τη δημιουργία μίας ομάδας χαρακτήρων από το σύστημα και της σχετικής απάντησης από την κάρτα. 11 Βιομετρική πιστοποίηση Οι τεχνικές βιομετρικής πιστοποίησης χωρίζονται σε 2 κατηγορίες: Στατική. υναμική. 12 4
Στατική βιομετρική πιστοποίηση Βασίζεται στην αναγνώριση κάποιου μοναδικού για κάθε χρήστη φυσικού χαρακτηριστικού, όπως: Χαρακτηριστικά προσώπου. ακτυλικά αποτυπώματα. Γεωμετρία χεριού. Αμφιβληστροειδή χιτώνα. Χρησιμοποιεί τεχνικές αναγνώρισης προτύπων, που είναι πολύπλοκες και δαπανηρές. 13 υναμική βιομετρική πιστοποίηση Εδώ γίνεται χρήση κάποιου μοναδικού αλλά δυναμικού χαρακτηριστικού του χρήστη, όπως: Ίριδα. Γραφικός χαρακτήρας. Αναγνώριση φωνής. Ρυθμός πληκτρολόγησης. 14 Σύγκριση κόστους και ακρίβειας 15 5
Περιεχόμενα Πιστοποίηση. Έλεγχος πρόσβασης. Ανίχνευση αυθαίρετης εισόδου. Άμυνα από κακόβουλο λογισμικό. Αντιμετώπιση υπερχείλισης της προσωρινής μνήμης. Ασφάλεια στα Windows. 16 Είδη πολιτικών ελέγχου πρόσβασης Μία πολιτική ελέγχου πρόσβασης υπαγορεύει τι είδους πρόσβαση επιτρέπεται, κάτω από ποιες συνθήκες και από ποιους. Υπάρχουν 3 είδη: ιακριτική. Βασίζεται στην ταυτότητα της οντότητας και σε κανόνες που ορίζουν τι μπορεί να κάνει (ή όχι) η οντότητα αυτή. Ονομάζεται διακριτική γιατί μία οντότητα μπορεί να έχει το δικαίωμα να μεταφέρει κάποια δικαιώματα σε άλλες οντότητες. Υποχρεωτική. Κανόνες ασφάλειας ορίζουν τα δικαιώματα της κάθε οντότητας, τα οποία δεν μπορούν να μεταφερθούν από την ίδια σε άλλες οντότητες. Με βάση ρόλους. Τα δικαιώματα μίας οντότητας εξαρτώνται από το ρόλο της οντότητας στο σύστημα. 17 Μη αμοιβαία αποκλειόμενες πολιτικές 18 6
Πίνακας προστασίας Ένα είδος κανόνων ασφάλειας είναι ο πίνακας προστασίας (access matrix). 19 Λίστα ελέγχου προσπέλασης Επειδή πολλά στοιχεία του πίνακα είναι συνήθως άδεια (sparse matrix), ο πίνακας μπορεί να αναπαρασταθεί με βάση τις στήλες του, δημιουργώντας μία λίστα ελέγχου προσπέλασης (access control list) για κάθε οντότητα στο σύστημα. 20 Έλεγχος πρόσβασης αρχείων στο UNIX 21 7
Λίστα ελέγχου προσπέλασης στο UNIX 22 Λίστα προσδιοριστών δικαιωμάτων Εναλλακτικά, μπορεί να αναπαρασταθεί με βάση τις γραμμές, οπότε δημιουργείται μία λίστα προσδιοριστών δικαιωμάτων (capability list) για κάθε χρήστη. 23 Εκτεταμένος πίνακας προστασίας 24 8
Οργάνωση της συνάρτησης για έλεγχο πρόσβασης 25 Εντολές για έλεγχο πρόσβασης 26 Έλεγχος πρόσβασης με βάση ρόλους Βασίζεται στην αρχή των ελάχιστων αναγκαίων δικαιωμάτων. Κάθε ρόλος σχετίζεται με ένα ελάχιστο αριθμό δικαιωμάτων που χρειάζεται μία οντότητα για να παίξει αυτόν τον ρόλο. Κάθε χρήστης σχετίζεται με ένα ρόλο. Πολλαπλοί χρήστες οι οποίοι έχουν τον ίδιο ρόλο έχουν και τα ίδια δικαιώματα. 27 9
Σχέση χρηστών, ρόλων και πόρων 28 Χρήση πίνακα προστασίας για αναπαράσταση ρόλων 29 Χρήση εκτεταμένου πίνακα προστασίας για αναπαράσταση ρόλων 30 10
Τείχος προστασίας Το τείχος προστασίας (firewall) υλοποιείται με τη χρήση ενός Η/Υ μέσω του οποίου γίνεται όλη η επικοινωνία των Η/Υ ενός τοπικού δικτύου με τον έξω κόσμο. Αυτός ο Η/Υ εφαρμόζει μία σειρά πολιτικών ασφάλειας και προστασίας όλων των πόρων του τοπικού δικτύου. Οποιαδήποτε μορφής επικοινωνία από τον έξω κόσμο θα πρέπει πρώτα να ικανοποιήσει αυτές τις πολιτικές πριν ο Η/Υ επιτρέψει στην επικοινωνία αυτή να ολοκληρωθεί. Ο ίδιος ο Η/Υ είναι αδύνατον να προσβληθεί από κακόβουλες ενέργειες. 31 Περιεχόμενα Πιστοποίηση. Έλεγχος πρόσβασης. Ανίχνευση αυθαίρετης εισόδου. Άμυνα από κακόβουλο λογισμικό. Αντιμετώπιση υπερχείλισης της προσωρινής μνήμης. Ασφάλεια στα Windows. 32 Βασικοί ορισμοί Με αυθαίρετη είσοδο, αναφερόμαστε στο γεγονός ή συνδυασμό γεγονότων που οδηγεί σε κάποια οντότητα να αποκτήσει ή να προσπαθήσει να αποκτήσει πρόσβαση στο σύστημα χωρίς να έχει σχετική εξουσιοδότηση. Οδηγεί στην ανάπτυξη μηχανισμών προστασίας οι οποίοι σε πραγματικό χρόνο εντοπίζουν και αναφέρουν τέτοιου 33 είδους γεγονότα. 11
Ανιχνευτικά συστήματα ασφάλειας Υπάρχουν 2 κατηγορίες: Αυτά που επικεντρώνονται σε ένα σύστημα μόνο. Αυτά που ελέγχουν το δίκτυο και μέσω αυτού τις συσκευές που κάνουν χρήση του. 34 Βασικά στοιχεία ενός ανιχνευτικού συστήματος ασφάλειας Αισθητήρες. Συγκεντρώνουν δεδομένα (πακέτα δικτύου, αρχεία καταγραφών, κλπ.) και τα προωθούν στους αναλυτές. Αναλυτές. Αναλύουν τα δεδομένα που παραλαμβάνουν από τους αισθητήρες ή άλλους αναλυτές για να εντοπίσουν επιτυχείς ή όχι προσπάθειες αυθαίρετης εισόδου. ιεπαφή χρήστη. Επιτρέπει στον χρήστη να δει τα αποτελέσματα της ανάλυσης του ανιχνευτή. 35 Συμπεριφορά χρηστών 36 12
Συστήματα ασφάλειας επικεντρωμένα σε ένα σύστημα Προσθέτουν ένα επιπλέον επίπεδο λογισμικού για ασφάλεια το οποίο παρακολουθεί το σύστημα για μη εξουσιοδοτημένες ενέργειες. Μπορεί να εντοπίσει τέτοιου είδους ενέργειες και από εσωτερικές και από εξωτερικές πηγές. Συλλέγει πληροφορίες για τη συμπεριφορά των νόμιμων χρηστών μέσα σε ένα χρονικό διάστημα τις οποίες τις υποβάλλει σε στατιστική ανάλυση με σκοπό να μπορεί να ξεχωρίζει τη νόμιμη από τη μη νόμιμη χρήση του συστήματος. Η ανάλυση αυτή μπορεί να σχετίζεται με τη συχνότητα που κάποια γεγονότα συμβαίνουν ή με το κλασσικό προφίλ ενός νόμιμου ή μη νόμιμου χρήστη. Εν κατακλείδι, οι αναλύσεις αυτές προσπαθούν να ορίσουν τι είναι φυσιολογική ή μη φυσιολογική συμπεριφορά ενός χρήστη. 37 Περιεχόμενα Πιστοποίηση. Έλεγχος πρόσβασης. Ανίχνευση αυθαίρετης εισόδου. Άμυνα από κακόβουλο λογισμικό. Αντιμετώπιση υπερχείλισης της προσωρινής μνήμης. Ασφάλεια στα Windows. 38 Χρήση αντιβιοτικών προγραμμάτων Η ιδανική προσέγγιση είναι η πρόληψη με σκοπό να μην εισέλθει ιός στο σύστημα. Σχεδόν αδύνατο για όλες τις περιπτώσεις. Η επόμενη καλύτερη προσέγγιση είναι η εξής ακολουθία ενεργειών: Εντόπιση εισβολής ιού και σε ποιο μέρος του συστήματος έχει αυτό γίνει. Προσδιορισμός του είδους του ιού. Εξάλειψη του ιού. 39 13
Γενικευμένη αποκωδικοποίηση Επιτρέπει τον εντοπισμό ακόμα και των πιο πολύπλοκων πολυμορφικών ιών. Για να μπορέσει να εκτελεσθεί, ο πολυμορφικός ιός πρέπει πρώτα να αποκωδικοποιηθεί. Τα αρχεία στα οποία θα μπορούσε να βρίσκεται ένας τέτοιος ιός εξετάζονται από ένα γενικευμένο αποκωδικοποιητή, ο οποίος περιλαμβάνει τα ακόλουθα: Έναν εξομοιωτή της ΚΜΕ που αντανακλάει τη δομή της πραγματικής ΚΜΕ και μέσω του οποίου εκτελείται ο κώδικας των αρχείων. Μία μονάδα που εξετάζει τον κώδικα καθώς αυτός εκτελείται από τον εξομοιωτή με σκοπό να εντοπίσει ίχνη γνωστών ιών. Μία μονάδα ελέγχου που συντονίζει τις λειτουργίες του 40 γενικευμένου αποκωδικοποιητή. Ψηφιακά απρόσβλητο σύστημα Μία προσέγγιση στην ανάπτυξη ψηφιακών συστημάτων που να είναι απρόσβλητα σε επιθέσεις από ιούς. ημιουργήθηκε από την ΙΒΜ και επεκτάθηκε περεταίρω από τη Symantec. Γίνεται χρήση των προαναφερθεισών τεχνικών με σκοπό τον άμεσο εντοπισμό ενός ιού στο σύστημα, την εξάλειψή του, αλλά και την ενημέρωση άλλων συστημάτων για την ύπαρξη του ιού αν είναι καινούργιος. 41 Λειτουργία ενός ψηφιακά απρόσβλητου συστήματος 42 14
Λογισμικό απαγόρευσης απειλητικής συμπεριφοράς Είναι ενσωματωμένο στο Λ.Σ. Παρακολουθεί τη συμπεριφορά των προγραμμάτων που εκτελούνται και τα εμποδίζει να προβούν σε ενέργειες που θεωρεί ότι είναι απειλητικές. Επικεντρώνεται σε ενέργειες όπως προσπάθεια: Ανοίγματος ή διαγραφής αρχείων, διαβάσματος ή τροποποίησης των περιεχόμενων τους. Μορφοποίησης δίσκου. Αλλαγής στη λογική εκτέλεσης ενός προγράμματος. Αλλαγής στις παραμέτρους του συστήματος. Αποστολής εκτελέσιμου κώδικα μέσω ηλεκτρονικού ταχυδρομείου. Επικοινωνίας μέσω του δικτύου. 43 Λειτουργία του λογισμικού απαγόρευσης απειλητικής συμπεριφοράς 44 Αντιμετώπιση σκουληκιών: Ανάγκες Γενικευμένη προσέγγιση, ικανή να αντιμετωπίσει πολλά διαφορετικά είδη. Άμεση χρονικά αντίδραση μετά τον εντοπισμό. Ανθεκτική σε προσπάθειες αποφυγής εντοπισμού. Ελάχιστο κόστος σε επιβολή περιορισμών. Αποφυγή ανάγκης τροποποίησης του κώδικα του Λ.Σ. Ικανότητα αντιμετώπισης εξωτερικών επιθέσεων αλλά και εν των έσω. 45 15
Αντιμετώπιση σκουληκιών: Τρόποι Ανίχνευση ιχνών από γνωστά σκουλήκια. Εξέταση του κώδικα μηνυμάτων. Εξέταση των πακέτων που κινούνται στο δίκτυο. Εξέταση υπερβολικά τυχαίας επικοινωνίας μεταξύ διαφορετικών συστημάτων. Περιορισμό των διαφορετικών επικοινωνιών που λαμβάνουν χώρα ταυτόχρονα. Περιορισμό της εξερχόμενης κυκλοφορίας επικοινωνιών πάνω από κάποιο όριο. 46 Αντιμετώπιση δικτύων μποτς και συνέργων διαχείρισης Οι προαναφερθείσες τεχνικές μπορούν να χρησιμοποιηθούν και για τα μποτς όπου προσπάθεια εδώ είναι η αποφυγή να καταφέρουν να δημιουργήσουν δίκτυο. Τα σύνεργα διαχείρισης είναι δύσκολο να εντοπισθούν. Χρησιμοποιείται συνήθως ένας συνδυασμός τεχνικών που ανιχνεύει και το σύστημα και το δίκτυο. 47 Περιεχόμενα Πιστοποίηση. Έλεγχος πρόσβασης. Ανίχνευση αυθαίρετης εισόδου. Άμυνα από κακόβουλο λογισμικό. Αντιμετώπιση υπερχείλισης της προσωρινής μνήμης. Ασφάλεια στα Windows. 48 16
Παράδειγμα υπερχείλισης προσωρινής μνήμης 1 49 Παράδειγμα υπερχείλισης προσωρινής μνήμης 2 50 Υπερχείλιση της προσωρινής μνήμης και ασφάλεια Η υπερχείλιση της προσωρινής μνήμης (buffers) αποτελεί ένα κλασσικό τρόπο παραβίασης ενός συστήματος. Αν υπερχειλίσει η μνήμη, είναι δυνατόν να μεταφερθεί η εκτέλεση του προγράμματος σε ρουτίνες κάποιου εισβολέα. Η αντιμετώπιση μπορεί να γίνει με 2 τρόπους: Κατά τη διάρκεια της μεταγλώττισης του προγράμματος σε γλώσσα μηχανής. Κατά τη διάρκεια εκτέλεσης του προγράμματος. 51 17
Αποφυγή υπερχείλισης κατά τη μεταγλώττιση Μερικές γλώσσες προγραμματισμού δεν επιτρέπουν τεχνικές προγραμματισμού που τυχόν να οδηγήσουν σε υπερχείλιση. Επιβολή ελέγχου στον τρόπο που προγραμματίζουν οι προγραμματιστές σε ένα περιβάλλον. Μερικοί μεταφραστές εισαγάγουν αυτόματα στα προγράμματα κώδικα που ελέγχει για υπερχειλίσεις. 52 Αποφυγή υπερχείλισης κατά την εκτέλεση Επικεντρώνεται στη διαχείριση της ιδεατής μνήμης για να αλλάζουν οι ιδιότητες περιοχών της μνήμης ή να εμποδίζονται οι επίδοξοι εισβολείς να εντοπίζουν που ακριβώς στη μνήμη βρίσκονται οι buffers. Απαγορεύει την εκτέλεση κώδικα σε στοίβες με τη λογική ότι η στοίβα συνήθως έχει δεδομένα και όχι εκτελέσιμο κώδικα. Αλλάζει τυχαία το χώρο της μνήμης που βρίσκονται οι στοίβες για κάθε διεργασία. Τοποθετεί σελίδες-φύλακες μεταξύ των σελίδων μίας διεργασίας που εντοπίζουν προσπάθειες εγγραφής σε μνήμη εκτός των ορίων της διεργασίας. 53 Περιεχόμενα Πιστοποίηση. Έλεγχος πρόσβασης. Ανίχνευση αυθαίρετης εισόδου. Άμυνα από κακόβουλο λογισμικό. Αντιμετώπιση υπερχείλισης της προσωρινής μνήμης. Ασφάλεια στα Windows. 54 18
ομές ασφάλειας 55 ιάνυσμα πρόσβασης 56 19