Ασφάλεια Υπολογιστικών Συστημάτων Ενότητα 1: Εισαγωγή Νικολάου Σπύρος Τμήμα Μηχανικών Πληροφορικής ΤΕ
Άδειες Χρήσης Το παρόν εκπαιδευτικό υλικό υπόκειται σε άδειες χρήσης Creative Commons. Για εκπαιδευτικό υλικό, όπως εικόνες, που υπόκειται σε άλλου τύπου άδειας χρήσης, η άδεια χρήσης αναφέρεται ρητώς. 2
Χρηματοδότηση Το παρόν εκπαιδευτικό υλικό έχει αναπτυχθεί στα πλαίσια του εκπαιδευτικού έργου του διδάσκοντα. Το έργο «Ανοικτά Ακαδημαϊκά Μαθήματα στο TEI Δυτικής Μακεδονίας και στην Ανώτατη Εκκλησιαστική Ακαδημία Θεσσαλονίκης» έχει χρηματοδοτήσει μόνο τη αναδιαμόρφωση του εκπαιδευτικού υλικού. Το έργο υλοποιείται στο πλαίσιο του Επιχειρησιακού Προγράμματος «Εκπαίδευση και Δια Βίου Μάθηση» και συγχρηματοδοτείται από την Ευρωπαϊκή Ένωση (Ευρωπαϊκό Κοινωνικό Ταμείο) και από εθνικούς πόρους. 3
Σκοποί ενότητας Σε αυτή την ενότητα πραγματοποιείται εισαγωγή στο μάθημα «Ασφάλεια Υπολογιστικών Συστημάτων». 4
Περιεχόμενα ενότητας (1/2) Χαρακτηριστικά μαθήματος. Τάσεις στο χώρο της ασφάλειας. Επιθέσεις, Υπηρεσίες & Μηχανισμοί. Επιθέσεις. Υπηρεσίες Ασφάλειας. Πιστοποίηση Ταυτότητας. Έλεγχος Πρόσβασης. Απόρρητο Δεδομένων. 5
Περιεχόμενα ενότητας (2/2) Ακεραιότητα Δεδομένων. Μη αποποίηση. Υπηρεσία Διαθεσιμότητας. Μηχανισμοί Ασφάλειας. Ανάπτυξη Προτύπων και RFC. Βιβλιογραφία. 6
Εισαγωγή
Χαρακτηριστικά μαθήματος Εξάμηνο Διδασκαλίας: Ζ. Διδακτικές Μονάδες: 5. Τελικός Βαθμός = Βαθμός Τελικής Εξέτασης. 8
Τάσεις στο χώρο της ασφάλειας Η εποχή της παγκόσμιας συνδεσιμότητας, των ιών και των χάκερ, της ηλεκτρονικής παρακολούθησης και της ηλεκτρονικής απάτης έχει οδηγήσει σε μια αυξημένη ανάγκη προστασίας των δεδομένων και των πόρων από την παράνομη αποκάλυψη, καθώς και στην ανάγκη διασφάλισης της αυθεντικότητας των δεδομένων και των μηνυμάτων, αλλά και της προστασίας των συστημάτων από επιθέσεις μέσω δικτύων. Η αύξηση των επιθέσεων συνάδει με την αυξανόμενη χρήση του Διαδικτύου, ενώ παράλληλα αυξάνεται η πολυπλοκότητα των πρωτοκόλλων, των εφαρμογών, αλλά και του ίδιου του Διαδικτύου. 9
Επιθέσεις, Υπηρεσίες & Απειλή (threat). Μηχανισμοί (1/2) Κίνδυνος εκμετάλλευσης ευπάθειας συστήματος. Επίθεση (attack). Σκόπιμη απόπειρα παράκαμψης υπηρεσιών ασφάλειας και παραβίαση συστήματος. Επίθεση Ασφάλειας (security attack). Κάθε πράξη που θέτει σε κίνδυνο υπονόμευσης της ασφάλειας πληροφοριών. 10
Επιθέσεις, Υπηρεσίες & Μηχανισμοί (2/2) Μηχανισμός Ασφάλειας (security mechanism). Ένας μηχανισμός που έχει στόχο τον εντοπισμό, την αποτροπή, ή την ανάκαμψη μετά από μια επίθεση ασφάλειας. Υπηρεσία Ασφάλειας (security service). Βελτιώνει την ασφάλεια συστημάτων επεξεργασίας δεδομένων και μετάδοσης πληροφοριών. Χρησιμοποιεί έναν ή περισσότερους μηχανισμούς ασφαλείας. 11
Επιθέσεις (1/3) Διακοπή: Μία επίθεση ως προς τη διαθεσιμότητα. Υποκλοπή: Μία επίθεση ως προς το απόρρητο - την εμπιστευτικότητα. Τροποποίηση: Μία επίθεση ως προς την ακεραιότητα δεδομένων. Προσποίηση: Μία επίθεση στην αυθεντικότητα. 12
Επιθέσεις (2/3) Παθητικές επιθέσεις. Σκοπός: Απόκτηση πληροφοριών κατά τη μετάδοσή τους. Δύσκολες στη ανίχνευση. Κρυπτογράφηση Παραδείγματα: Απελευθέρωση - Αποκάλυψη περιεχομένου μηνύματος (release of message contents). Ανάλυση κίνησης (traffic analysis). 13
Επιθέσεις (3/3) Ενεργητικές επιθέσεις. Σκοποί: Τροποποίηση ροής δεδομένων. Δημιουργία ψεύτικης ροής δεδομένων. Παραδείγματα: Μεταμφίεση (masquerade). Επανεκπομπή (reply). Τροποποίηση μηνυμάτων (modification of messages). Άρνηση εξυπηρέτησης (denial of service). 14
Υπηρεσίες Ασφάλειας Πιστοποίηση ταυτότητας (authentication). Έλεγχος πρόσβασης. Απόρρητο δεδομένων. Ακεραιότητα δεδομένων. Μη αποποίηση. Υπηρεσία διαθεσιμότητας. 15
Πιστοποίηση Ταυτότητας Διασφάλιση ότι η οντότητα είναι αυτή που ισχυρίζεται ότι δημιούργησε ή έστειλε τα στοιχεία. Διασφάλιση ότι δεν υπάρχουν παρεμβολές από τρίτους. Δυο υπηρεσίες: Πιστοποίηση ταυτότητας ομότιμης οντότητας (peer entity authentication). Πιστοποίηση ταυτότητας προέλευσης δεδομένων (data origin authentication). 16
Έλεγχος Πρόσβασης Περιορισμός/έλεγχος πρόσβασης. Ταυτοποίηση οντοτήτων. Χρήση πόρων μόνο από εξουσιοδοτημένες οντότητες. 17
Απόρρητο Δεδομένων (1/2) Εμπιστευτικότητα σύνδεσης (Connection Confidentiality). Προστασία δεδομένων όλων των χρηστών μιας σύνδεσης. Ασυνδεσμική εμπιστευτικότητα (Connectionless Confidentiality). Προστασία δεδομένων όλων των χρηστών μεμονωμένου τμήματος δεδομένων. 18
Απόρρητο Δεδομένων (2/2) Εμπιστευτικότητα επιλεγμένου πεδίου (Selective- Field Confidentiality). Εμπιστευτικότητα επιλεγμένων πεδίων δεδομένων σε μια σύνδεση ή τμήμα δεδομένων. Εμπιστευτικότητα ροής κίνησης (Traffic-Flow Confidentiality). Προστασία πληροφοριών από παρατήρηση ροών επικοινωνίας. 19
Ακεραιότητα Δεδομένων Ακεραιότητα σύνδεσης με αποκατάσταση (Connection integrity with Recovery). Ακεραιότητα σύνδεσης χωρίς αποκατάσταση (Connection Integrity without Recovery). Ακεραιότητα σύνδεσης επιλεγμένου πεδίου (Selective-Field Connection Integrity). Ασυνδεσμική ακεραιότητα (Connectionless Integrity). Ασυνδεσμική ακεραιότητα επιλεγμένου πεδίου (Selective-Field Connectionless Integrity). 20
Μη αποποίηση Αποτρέπει αποστολέα/παραλήπτη από άρνηση μηνύματος που μεταδόθηκε. Μη αποποίηση, προέλευση (Origin). Απόδειξη ότι το μήνυμα στάλθηκε από το καθορισμένο μέλος. Μη αποποίηση, προορισμός (Destination). Απόδειξη ότι το μήνυμα παραλήφθηκε από το καθορισμένο μέλος. 21
Υπηρεσία Διαθεσιμότητας Διαθεσιμότητα για χρήση από εξουσιοδοτημένη οντότητα. Αφορά σύστημα ή πόρο συστήματος. Επιθέσεις οδηγούν σε απώλεια ή μείωση διαθεσιμότητας. Επιθέσεις άρνησης εξυπηρέτησης. Ιός που σβήνει αρχεία. 22
Μηχανισμοί Ασφάλειας Κρυπτογράφηση (Encipherment/Encryption). Ψηφιακή Υπογραφή (Digital Signature). Έλεγχος Πρόσβασης (Access Control). Ακεραιότητα δεδομένων (Data Integrity). Ανταλλαγή πιστοποίησης ταυτότητας (Authentication Exchange). Προσαύξηση κίνησης (Traffic Padding). Έλεγχος δρομολόγησης (Routing Control). Μηχανισμός επικύρωσης (Notarization). 23
Ανάπτυξη Προτύπων και RFC Επιτροπή Αρχιτεκτονικής Διαδικτύου. Internet Architecture Board (IAB). Ομάδα Σχεδιασμού του Διαδικτύου. Internet Engineering Task Force (IETF). Καθοδηγητική Ομάδα Οργάνωσης του Διαδικτύου. Internet Engineering Steering Group (IESG). 24
Σημείωμα Αναφοράς Copyright ΤΕΙ Δυτικής Μακεδονίας, Νικολάου Σπύρος. «Ασφάλεια Υπολογιστικών Συστημάτων». Έκδοση: 1.0. Κοζάνη 2015. Διαθέσιμο από τη δικτυακή διεύθυνση: 25
Σημείωμα Αδειοδότησης Το παρόν υλικό διατίθεται με τους όρους της άδειας χρήσης Creative Commons Αναφορά, Μη Εμπορική Χρήση Παρόμοια Διανομή 4.0 [1] ή μεταγενέστερη, Διεθνής Έκδοση. Εξαιρούνται τα αυτοτελή έργα τρίτων π.χ. φωτογραφίες, διαγράμματα κ.λ.π., τα οποία εμπεριέχονται σε αυτό και τα οποία αναφέρονται μαζί με τους όρους χρήσης τους στο «Σημείωμα Χρήσης Έργων Τρίτων». [1] http://creativecommons.org/licenses/by-nc-sa/4.0/ Ως Μη Εμπορική ορίζεται η χρήση: που δεν περιλαμβάνει άμεσο ή έμμεσο οικονομικό όφελος από την χρήση του έργου, για το διανομέα του έργου και αδειοδόχο. που δεν περιλαμβάνει οικονομική συναλλαγή ως προϋπόθεση για τη χρήση ή πρόσβαση στο έργο. που δεν προσπορίζει στο διανομέα του έργου και αδειοδόχο έμμεσο οικονομικό όφελος (π.χ. διαφημίσεις) από την προβολή του έργου σε διαδικτυακό τόπο. Ο δικαιούχος μπορεί να παρέχει στον αδειοδόχο ξεχωριστή άδεια να χρησιμοποιεί το έργο για εμπορική χρήση, εφόσον αυτό του ζητηθεί. 26
Διατήρηση Σημειωμάτων Οποιαδήποτε αναπαραγωγή ή διασκευή του υλικού θα πρέπει να συμπεριλαμβάνει: το Σημείωμα Αναφοράς. το Σημείωμα Αδειοδότησης. τη δήλωση Διατήρησης Σημειωμάτων. το Σημείωμα Χρήσης Έργων Τρίτων (εφόσον υπάρχει). μαζί με τους συνοδευόμενους υπερσυνδέσμους. 27
Βιβλιογραφία 1. Κρυπτογραφία για Ασφάλεια Δικτύων Αρχές και Εφαρμογές, Stallings. 2. Βασικές Αρχές Ασφάλειας Δικτύων: Εφαρμογές και Πρότυπα, William Stallings. 3. Ασφάλεια δικτύων 6η Έκδοση, McClure Stuart, Scambray Joel, Kurtz George. 4. Ασφάλεια Πληροφοριακών συστημάτων, Παγκαλος Γ., Μαυριδης Ι. 28
Τέλος Ενότητας