Z AMIAST WPROWADZENIA

Oko sieci

„Internet nigdy nie był anonimowy. Nasze ruchy w sieci są podglądane, a wszystko zapisywane. Wchodząc na strony WWW odsłaniamy się.

Pół biedy, gdy świadomie, gorzej, gdy bezwiednie”

tytuł i fragment artykułu Piotra Stasiaka z Polityki nr 38/2006 W 2006 r. jeden z największych w USA portali internetowych – AOL opublikował listę haseł wpisywanych przez każdego z losowo wybranej pró-by 658 tys. abonentów.

Przykłady wpisywanych haseł:

• imię i nazwisko abonenta - aby sprawdzić, co też o nim jest w necie,

• adres zamieszkania – aby sprawdzić, czy w pobliżu jest pizzeria, kwiaciarnia, czy klub ze striptizem,

• intymne pytania – aby ???

• mieszkańcy prestiżowych dzielnic szukali leku na depresję, psycho-analityka i detektywa, który wyśledzi podejrzanego o zdradę męża,

• pytania o bezbolesne samobójstwo, trucizny, karę za morderstwo

1 Materiał prezentowany przez autora w formie referatu na I Powiatowej Konferencji „Bezpiec-zeństwo dzieci i młodzieży w Internecie”, Wałbrzych 28.02.2008 r.

Choć dane były anonimowe – zamiast imion i nazwisk uczestników ankiety były numery – w łatwy sposób można było powiązać wyszukiwane informa-cje z konkretnymi osobami.

Sprawa AOL doprowadziła w USA do ogólnonarodowej debaty na temat granic prywatności w Internecie.

Problem jest również aktualny w Polsce. Według badań CBOS:

• co trzeci Polak używa Internetu,

• co dziesiąty robi w nim zakupy,

• co dziesiąty korzysta z usług bankowości.

Komputery osobiste stają się osobiste coraz bardziej – przechowują o nas mnóstwo informacji. Wchodząc do Internetu, zostawiamy po sobie mnóstwo śladów. Pokazujemy siebie jak na dłoni.

Dowód:

• gdy skończę pisać ten artykuł, włączę się do Internetu, aby go wy-słać do redakcji. W momencie wejścia w globalną sieć do mojego komputera zostanie przypisany unikatowy numer identyfikacyjny, tzw. numer IP, który jest jak internetowy dowód tożsamości. Wyglą-da on na przykład tak: 205.143.131.236.

• Serwer w firmie, który świadczy mi usługę dostępu do sieci, odnotu-je: „użytkownik Tadeusz Lewandowski połączył się z Internetem o danej godzinie i został mu nadany następujący numer IP”.

• Wyślę e-mail do redakcji. Komputery w redakcji też mają swoje nie-powtarzalne IP. Serwer w firmie telekomunikacyjnej odnotuje:

„o danej godzinie Tadeusz Lewandowski wysłał e-maila do następu-jącego adresata”.

Zapis połączeń pomiędzy numerami IP jest jak biling w tradycyjnej tele-fonii. To ślad, kto, kiedy i z kim się kontaktował. Jeśli z domowego kompu-tera wyślę komuś list z pogróżkami, to tak, jakbym zadzwonił do niego z domowego telefonu. W przypadku numeru IP odkrywamy się niejako na własne życzenie (świadomie lub nie). Jest to jednak konieczne – bez udo-stępnienia tej informacji, używanie sieci byłoby utrudnione. Bardziej nie-bezpieczne są te przypadki, gdy ktoś celowo włamuje się do naszego kom-putera, aby wyciągnąć cenne dane. W sieci pełno jest różnego rodzaju tzw.

pełzaczy – programów wędrujących po sieci, w poszukiwaniu niezabezpie-czonych komputerów. Również w naszym codziennym życiu jest wielu ta-kich, którzy chcieliby zajrzeć, co też cennego lub ciekawego ma w swoim komputerze konkurencja, czy też nasz kolega, współpracownik lub nasz szef.

Parafrazując powiedzenie:

„Pokaż mi twój komputer, a powiem ci, kim jesteś”.

1. P

ODSTAWOWE POJĘCIA BEZPIECZEŃSTWA INFORMATYCZNEGO Bezpieczeństwo określane jest jako miara zaufania co do niepodatności na zagrożenia. Pojęcie to jest również używane w kontekście informatycz-nym.

W specjalistycznej literaturze informatycznej można spotkać szereg okre-śleń występujących w tytułach opracowań:

• bezpieczeństwo teleinformatyczne ,

• bezpieczeństwo systemów informatycznych

• bezpieczeństwo informacji ,

• bezpieczeństwo danych ,

• niebezpieczeństwo komputerowe.

Zbliżonym pojęciem jest ochrona, często błędnie stosowana zamiennie z bezpieczeństwem, a nawet jedno pojęcie jest definiowane za pomocą drugiego.

Jeżeli jako bezpieczeństwo informatyczne określimy miarę zaufania, że system informatyczny (komputer) pozostanie nienaruszony, to ochrona jest środkiem do osiągnięcia bezpieczeństwa.

Jeżeli system (komputer) chronimy, to wcale nie musi oznaczać, że jest on bezpieczny. Bezpieczeństwo jest więc pojęciem nadrzędnym w stosunku do ochrony. Nie ma też jednego uniwersalnego środka ochrony, gdyż do przeciwdziałania różnym zagrożeniom konieczne jest stosowanie różnych metod.

Z punktu widzenia bezpieczeństwa nie chronimy komputera, lecz zawarte w nim określone dane lub dlatego, że do tych danych umożliwia nam do-stęp.

Powyższe wnioski nie oznaczają, że nie należy chronić wartości mate-rialnych sprzętu komputerowego, ale pod tym względem ochrona ta nie różni się od ochrony innych dóbr materialnych.

Nie wszystkie dane trzeba i należy chronić, stąd podział na informacje wrażliwe i niewrażliwe.

Informacje wrażliwe dla określonego podmiotu są to wszelkie informa-cje, które mogą zostać wykorzystane przeciwko interesom tego podmiotu przez ujawnienie, nieudostępnienie oraz zmanipulowanie jawne lub skryte.

Wrażliwość informacji tez nie jest jednorodna. Można wiec wyróżnić trzy podstawowe rodzaje wrażliwości danych a tym samym trzy aspekty bezpieczeństwa danych (wrażliwych):

o poufność, o integralność, o dostępność.

Każdy z tych elementów podatny jest na inne zagrożenia. Trzy najważniej-sze filary bezpieczeństwa informacji to:

o poufność (Confidentiality),

o nienaruszalność (Integrity), o dostępność (Availability).

• poufność jest to prawo jednostki do decydowania o tym, jakimi in-formacjami chce się podzielić z innymi ludźmi i jakie informacje jest skłonna od nich przyjąć,

• nienaruszalność (integralność) danych to cecha określająca, że da-ne nie różnią się od danych źródłowych i nie zostały przypadkowo lub umyślnie zmienione, ujawnione lub zniszczone,

• dostępność jest to atrybut danych opisujących stopień ochrony, ja-kiej one mogą podlegać, uzgodniony przez osoby lub organizacje otrzymujące te dane.

2. Z

AGROŻENIA SYSTEMÓW INFORMATYCZNYCH

Można wymienić następujące najważniejsze zagrożenia systemu infor-matycznego:

• przechwycenie danych

• modyfikacja danych,

• zniszczenie danych,

• czasowe blokowanie dostępu do danych,

• celowe lub przypadkowe przerwy w pracy systemu (sabotaż, awarie).

Wymienione zagrożenia mogą występować pojedynczo lub w grupie.

System informatyczny może być podatny na szereg różnorodnych zagrożeń.

Można je podzielić na dwie podstawowe grupy:

• zagrożenia informatyczne – oddziaływają na system informatyczny środkami informatycznymi (wirusy, hakerzy, itp.),

• zagrożenia nieinformatyczne – oddziaływają na sprzęt komputerowy i oprogramowanie przez otoczenie i infrastrukturę (np. awaria zasi-lania, kradzież wyposażenia informatycznego, itp.).

Zagrożenia nieinformatyczne występują częściej i stanowią większe zagrożenie.

Statystyka typowych zagrożeń

Typy zagrożeń. Przybliżona częstość występowania podstawowych typów zagrożeń (wg FBI):

• 55% pomyłki ludzi,

• 20% problemy fizycznych zabezpieczeń (np. katastrofy, awarie zasi-lania),

• 10% nieuczciwy personel,

• 9% niezadowolony personel (mający korzyści z defektu systemu),

• 4% wirusy,

• 2% ataki z zewnątrz.

Przykładowe metody stosowane przez intruzów:

• zmowa kilku sprawców (dobrowolna lub wymuszona);

• celowe powodowanie awarii w momentach, gdy trzeba wykonać ważne i terminowe prace, aby np. wymusić zatrudnianie podstawio-nych osób do jej usunięcia;

• wywoływanie fałszywych alarmów, aby „uśpić" czujność osób odpo-wiedzialnych za bezpieczeństwo przed rzeczywistym atakiem;

• oferowanie na korzystnych warunkach „interesującego" oprogramo-wania, zawierającego robaki, bomby, konie trojańskie i wirusy;

• techniki typu sniffing i spoofing w celu zdobycia hasła zezwalającego na dostęp;

• świadome szyfrowanie przez intruza plików użytkownika, aby zosta-ły one uznane za bezwartościowe lub uszkodzone;

• stara, prosta metoda poszukiwania na śmietnikach zlokalizowanych w pobliżu firmy (banki, zakłady ubezpieczeń) wyrzuconych tabulo-gramów (dyskietek, taśm magnetycznych), w celu pozyskania z nich informacji;

• rozmowy towarzyskie z osobami, które mają skłonności do chwale-nia się swoją pozycją w firmie; jeśli kilka mało znaczących z osobna faktów zostanie dobrze skojarzonych i zinterpretowanych, może dać bezcenną informację intruzowi;

• podszywanie się pod kontrolera legalności oprogramowania („policja softwareowa"), co pozwala na dostęp do komputera;

• penetracja systemu poprzez pocztę elektroniczną;

• rozmaite techniki podsłuchu począwszy od podłączania się do prze-wodów sygnałowych, a skończywszy na emisji ujawniającej;

• zbieranie wywiadu od niezadowolonych pracowników firmy lub świe-żo zwolnionych;

• szantaż, korupcja;

• „wyłudzanie" informacji pod pozorem zawierania umów, oferowania usług, współpracy;

• tzw. „ankietowanie", czyli rozsyłanie do firm „niewinnych" ankiet, zapytań, propozycji.

3. P

ODSTAWOWE ŚRODKI OCHRONY DANYCH

1. Kontrola dostępu do systemu informatycznego – polega na ograni-czeniu dostępu do systemu informatycznego lub niektórych jego zasobów.

Tylko wybrane osoby mają dostęp na podstawie: hasła, karty lub klucza elektronicznego lub cech biometrycznych. W ten sposób chronimy pouf-ność, integralność i dostępność danych.

2. Ochrona kryptograficzna – polega na takim przekształceniu danych, że odczytanie ich jest możliwe jedynie przy wykorzystaniu specjalnego opro-gramowania lub urządzeń. Jest to obecnie powszechnie stosowana metoda ochrony poufności danych. Nawet jeśli intruzowi uda się przechwycić dane, będą one dla niego bezużyteczne.

3. Podpis elektroniczny – jest technologią informatyczną służącą do po-twierdzania autentyczności i integralności dokumentów elektronicznych.

4. Sieciowe systemy zaporowe – przez blokowanie niepożądanego ru-chu sieciowego chronią komputer lub sieć przed zewnętrzną ingerencją.

W ten sposób przez ograniczanie dostępu do danych chronimy ich pouf-ność, integralność i dostępność.

5. Tworzenie kopii zapasowych – przez wytworzenie dodatkowej kopii danych i umieszczenie jej na bezpiecznym nośniku, chronimy się przed utratą dostępu do danych.

6. Ochrona przed oprogramowaniem destrukcyjnym – stosując opro-gramowanie antywirusowe, chronimy się przed atakiem programów szko-dliwych na integralność, poufność

i dostępność danych.

7. Regulacje prawne dotyczące bezpieczeństwa danych – znajomość przepisów prawa związanych z bezpieczeństwem informatycznym i użytko-waniem oprogramowania jest konieczna, by spełnić prawne wymogi ochro-ny daochro-nych (np. dane osobowe, informacje niejawne), znać prawne możliwo-ści możliwo-ścigania przestępstw informatycznych, jak również, żeby samemu nie popełniać nieświadomie przestępstw (prawo licencyjne programów kompu-terowych, prawo autorskie). Dobrze opracowane prawo jest również środ-kiem ochrony danych.

4. B

EZPIECZEŃSTWO SYSTEMÓW OPERACYJNYCH

Bezpieczeństwo systemu operacyjnego jest ważnym, aczkolwiek często nie-docenianym elementem bezpieczeństwa informatycznego. Można je podzie-lić na:

A. Bezpieczeństwo funkcjonalne systemu operacyjnego

W zakresie bezpieczeństwa funkcjonalnego (strukturalnego), czyli tego, które zapewnia producent, mogą się znaleźć następujące środki ochrony:

• bezpieczny system plików, umożliwiający przydzielanie uprawnień do zasobów oraz szyfrowanie danych,

• mechanizmy szyfrowania danych,

• zarządzanie kluczami prywatnymi i publicznymi,

• zarządzanie dostępem do zasobów (hasła, zabezpieczenia przy po-mocy kart elektronicznych i urządzeń biometrycznych),

• zapora sieciowa,

• centrum zabezpieczeń koordynujące współdziałanie zabezpieczeń in-tegralnych systemu operacyjnego i zewnętrznych (np. programów antywirusowych, zapór sieciowych).

Po systemie operacyjnym możemy się spodziewać co najwyżej tylko takiego poziomu bezpieczeństwa, jaki zaprojektował dla niego producent i przedstawił w jego parametrach.

B. Bezpieczeństwo skonfigurowane przez użytkownika

Po instalacji systemu operacyjnego, Service Pack-ów i poprawek ko-nieczne jest wykonanie między innymi następujących czynności:

• skonfigurowanie konta administratora – zmienić nazwę, ustalić bez-pieczne hasło, praca powinna odbywać się na koncie, które nie ma uprawnień administratora,

• utworzenie i skonfigurowanie kont użytkowników,

• zainstalowanie bezpiecznego systemu plików np. NTFS,

• ustalenie praw dostępu do plików i katalogów,

• niedopuszczanie osób postronnych,

• zabezpieczenie dostępu do rejestru i plików konfiguracyjnych,

• stosowanie zabezpieczeń sprzętowych,

• pozostawienie tylko niezbędnych protokołów sieciowych,

• wyłączenie usług, które nie są wykorzystywane,

• skonfigurowanie zapory sieciowej.

System operacyjny, w którym nie dokonano włączenia zabezpieczeń i ich odpowiedniej konfiguracji jest tak samo mało bezpieczny, jak system który, nie ma żadnych zabezpieczeń.

5. W

YBRANE METODY KONTROLI DOSTĘPU DO SYSTEMU

5.1. Kontrola dostępu na podstawie haseł

Hasła są integralną częścią zabezpieczeń systemów informatycznych.

Pomimo wielu wad tej metody kontroli dostępu do elementów systemu, jest ona wybierana najczęściej jako podstawowe zabezpieczenie. Główną zaletą stosowania haseł jest łatwość ich stosowania dla przeciętnego użytkownika, w przeciwieństwie do metod skomplikowanych, wymagających pewnej wprawy i czasu potrzebnego do pokonania wymagań dostępu.

Matematyczne podstawy wyliczenia ilości możliwych haseł:

(ilość haseł) = (ilość znaków)długość hasła

gdyż z matematycznego punktu widzenia są to wariacje z powtórzeniami.

Przykład 1 – hasło silne

W dokumencie ZESZYTY NAUKOWE (Stron 153-160)