Методи за защита от отдалечени атаки в Интернет

Методи за защита от отдалечени атаки в Интернет

Най-прости и евтини са административните методи за защита, като използване на силна криптография в мрежата, статични ARP-таблици, host-файлове вместо отдалечени DNS-сървъри, използване или неизползване на определени ОС и др.

Най - добрата антивирусна защита е превантивната дейност по спиране на заразяването на компютърните системи. За целта администраторът ( потребителят) трябва:

• 
  Да използва антивирусен софтуер за сканиране на всички пристигащи дискети, файлове, изпълними програми и файлове, прикачени към e-mail, преди да ги отвори в компютър, свързан в мрежата;
  
• 
  Да използва защитната стена на мрежата за защита от вируси, така че заразените файлове да не могат да се прехвърлят в мрежата;
  
• 
  Да инсталира антивирусен софтуер на всяка машина в мрежата, за да я защити от вируси, прехвърлящи се от заразени компютри;
  
• 
  Да се актуализира антивирусния софтуер.
  

При корпоративните мрежи защитата е възложена на системните администратори. С помощта на специални средства проверяват всеки входящ и изходяш файл за вируси.

За защита на потребителите от евентуални неприятности, в езика Java е предвиден модел за сигурност, наречен пясъчна кутия (Sandbox), в който са въведени ограничения върху възможностите на аплетите за достъп до ресурсите на потребителските компютри. Също така повечето браузъри предоставят възможност и за забрана на изпълнението на Java-аплети.

Друг проблем при обмяна на данни между Web-браузърите и Web-сървърите е свързан с това, че могат да бъдат прослушани и прехващани от нарушители. За това през последните години се обръща сериозно внимание на осигуряването на необходимата секретност на обмена. Като подгрупа на методите за защита могат да се отделят програмните методи. Към тях се включват защитените криптопротоколи, чието използване може да повиши надеждността на защита на съединенията. Могат да се отбележат две основни предложения за създаване на безопасни WWW-връзки, протоколите SHTTP и SSL.

SHTTP е защитена версия на протокола HTTP, осигуряваща секретност и проверка за автентичност на HTTP-транзакциите, обменяни между клиентите и Web-сървърите. SHTTP създава съобщения със SHTTP – заглавна част, придружена евентуално с цифров подпис, и същностна част в шифрован вид. Ключовете за шифриране могат да бъдат предварително договорени или да се генерират за всеки сеанс на връзка, като втория подход е по-разпространен. При него клиентът изпраща заявка за връзка със сървъра и получава положителен отговор, след което клиентския браузър изпраща на сървъра публичния си ключ и названието на алгоритъма за криптиране. Ако сървъра може да работи с посочения алгоритъм, генерира сесиен ключ, шифрира го с публичния ключ на клиента и му го изпраща. Изпращаните по време на сеанса съобщения се шифрират автоматично с установения сесиен ключ.

Решението SSL реализира шифриране на потока от транзакции на протоколите HTTP, FTP и др. както и проверка на автентичността на сървъра и клиента. В TCP/IP защитеният протокол SSL е разположен между транспортното и приложното нива. Използва се класическия подход за шифриране на данните със симетричен алгоритъм и секретен ключ, като сесийния ключ се шифрира с публичния ключ на клиента и му се изпраща. За автентикация на SSL-сървърите се използват сертификати, издавани от независими органи. Има няколко протокола, които осигуряват защита на предаването на информацията SSL (Secure Sockets Layer) и SET (Secure Electronic Transaction). За се осъществи плащането номера на кредитната карта трябва да е утвърден от банката за номера на кредитни карти.

SET e протокол, който улеснява автентификацията на транзакциите с кредитни карти, разработен от VISA и MasterCard. SET дефинира формата на съобщенията, формата на сертификата и процедурата за обменяне на съобщение. Има 4 полета – клиент, търговец, сертифицираща организация и шлюз за плащане, който свързва Интернет със съответните мрежи на банките. Всяко поле изисква свой собствен сертификат, а клиента трябва да има цифров портфейл. SSL – проектиран за използване от TCP за осигуряване на надеждна и сигурна услуга “точка – точка”, осигурява основни услуги за сигурност на различни протоколи от по-високо ниво, в особеност за HTTP например S-HTTP, който протокол осигурява сигурност и шифриране. S-HTTP използва SSL между сървъра и браузъра, за да може клиента да изпрати засекретена информация за заявката си. Разликата между протоколите SSL и SET се състои в следното:

• 
  SSL не включва сертификат на клиента, изискващ специален софтуер (цифров портфейл) на клиентската страна, а SET използва цифров портфейл;
  
• 
  SSL е вграден в браузъра и не се изисква специален софтуер, SET е много по-сложен от него;
  
• 
  SET е построен върху SSL и скрива информация за клиентска кредитна карта от търговец и информация за заявката от банката, а пък SSL не го прави.
  

Достъпът до ресурсите на сървърите може да се разреши само за компютри със зададени IP-адреси или принадлежащи към определена подмрежа или област. Съществуват, обаче, възможности за преодоляване на тези ограничения, а и няма гаранция, че на някой от тези компютри не работят нарушители. За това ограниченията по мрежови адреси трябва да се комбинират с ограничения по потребителско име и парола.

Някои от автентикационните схеми се базират на използването на цифрови сигнатури и цифрови подписи. Определянето им се реализира с помощта на сигурни еднопосочни хеш-функции и на асиметрични криптографски алгоритми.

Следващата група методи за защита от отдалечени атаки са така наречените програмно-апаратни методи. В тях се включват:

• 
  Програмно-апаратни шифратори на мрежовия трафик;
  
• 
  Методиката Firewall;
  
• 
  Защитните мрежови криптопротоколи;
  
• 
  Програмни средства за откриване на атаки (IDS – Intrusion Detection Systems или ICE – Intrusion Countermeasures Elecktronics);
  
• 
  Програмни средства за анализ на защитеността;
  
• 
  Защитени мрежови ОС.
  

Целта на защитната стена е да защити мрежата от външни атаки. Тя следи и управлява трафика към и от защитената мрежа. Нормално се намира на шлюза на мрежата между организацията и външния свят, но може също така да се намира и в точките за достъп до хост. С помощта на Firewalls могат да се забранят сайтовете по името на домейна или IP-адреса. Съществуват различни варианти на такава защита, които са следните:

• 
  Маршрутизаторите с вградени Firewalls за явяват отразяващи рутери. В случая Firewalls осигуряват защита на мрежовото ниво на OSI-модела, като филтрират IP-пакетите и отхвърлят забранените такива;
  
• 
  Firewall компютър с две мрежови карти – едната за връзка с подмрежата, а другата за връзка с Интернет. Такъв подход е възможен и за защита на достъпа до компютрите на различни отдели във вътрешната мрежа на потребителя;
  
• 
  Когато даден сървър е защитен с Firewall се инсталира Proxy. Тази програма ще приема заявките от вън и ще ги препраща към съответния сървър. По принцип Proxy-сървърите осъществяват връзки от името на потребителите на една мрежа със сървърите в Интернет и могат да контролират трафика по потребители и мрежови протоколи. Firewalls с Proxy се явяват защитни стени на приложно ниво.
  

В общия случай методиката Firewall реализира следните основни функции:

• 
  Филтрация на мрежовия трафик на много нива;
  
• 
  Proxy-схема с допълнителна идентификация и автентификация на потребителите на Firewall-хоста. Идеята на proxy-схемата се сътои в създаването на съединения с крайни адресати през междинен proxy-сървър на Firewall-хоста;
  
• 
  Създаване на частни мрежи с виртуални IP-адреси. Използва се за скриване на истинската топология на вътрешните IP-мрежи.
  

Защитна стена може да бъде всяко устройство, използвано като ме­ханизъм за контрол на достъпа до конкретна мрежа или набор от мрежи. В повечето случаи защитните стени служат да предотвратят достъпа на външни лица до вътрешната мрежа. Но защитните сте­ни могат да служат за създаване на по-сигурни участъци вътре във вътрешната локална мрежа за особено важни функции като ведомос­ти, разплащания и R&D системи. Те могат да се разполагат не само по външните граници. Самите устройства “защитни стени” обикновено са отделни компютри, маршрутизатори или защитни приспособления. Защитните приспособления обикновено са специфични хардуерни устройства, често работещи под специфична операцион­на система. Защитните стени са проектирани да служат като контролно-пропускателна точка към и от мрежата Ви. Те обработват пристига­щите заявки. Проверяват дали трябва да бъде пропуснат или не мрежовият трафик, на базата на предварително дефинирани правила или “политики”. Пропускат се само заявките за връзка от оторизирани хостове към оторизирани дестинации, останалите заявки се отхвърлят.

Защитните стени могат да анализират входящите пакети от раз­лични протоколи. На базата на този анализ, защитната стена може да предприеме различни действия. Следователно защитната стена може да изпълнява действия в зависимост от дадено условие. Тези условни конструкции се наричат правила. По принцип, когато издигате защитна стена, вие я обзавеждате с правила, отразяващи политиката за достъп на вашата организация. В това отношение, защитните стени са за мрежите това, което са схемите на потребителските привилегии за операционните систе­ми. Но проверката за право на достъп е само част от това, което мо­гат съвременните защитни стени. През последните две години съз­дателите на защитни стени започнаха да прилагат подхода “кухненска мивка” – т.е. добавят в стената всичко, ОСВЕН кухненска мивка. Някои от допълнителните възможности са следните:

• 
  Филтриране на съдържанието. Филтрирането на съдържанието пома­га за блокиране на някои сайтове, а също и защитава от някои видове опасни аплети и код на ActiveX и Java;
  
• 
  Виртуални частни мрежи (VPN). VPN се използват за сигурно
  пренасяне на трафика от точка А до точка В, обикновено през враждебна мрежа (като Интернет);
  
• 
  Транслиране на мрежови адреси (Network Address Translation – NAT). Транслирането на мрежовите адреси често се използва за асоцииране на забранени или резервирани блокове адреси с валидни такива (например, асоцииране на 10.0.100.3 с 206.246.131.227). Макар че NАТ не е непременно защитно средство, първите NАТ устройства, появили се в корпоративните мрежи, обикновено са част от защитна стена.
  
• 
  Балансиране на натоварването. Балансирането на натоварването е изкуството на сегментиране и разпределяне на трафика. Някои защитни стени сега мо­гат да Ви помогнат да насочите Web и FТР трафика по разпреде­лен начин;
  
• 
  Устойчивост на срив. Някои от съвременните защитни стени поддържат ня­кои много хитроумни средства за справяне със сривове. Често на­ричани Нigh-Аvаilability (НА), усъвършенстваните средства за устойчивост на срив често позволяват защитните стени да рабо­тят на чифтове, като едното устройство стои в готовност и може да поеме работата, ако другото се срине;
  
• 
  Откриване на проникване. Терминът “откриване на прониква­ не” може да означава много неща, но в случая, някои производите­ли започват да интегрират продукт от съвсем различен тип в своите защитни стени. Това само по себе си не създава проблем,
  но хората трябва да знаят какво допълнително натоварване мо­же да представлява това за защитната стена.
  

Макар да е привлекателна мисълта да да управляват всички тези средства от един продукт, трябва да се гледа скептчно към подхода “кухненска мивка”. Защитните стени винаги се поставят като ключово звено в защитата.

1. 
   Защита на електронната поща
   

Основната идея на защитата на електронната поща е да се създаде за хакерите и любопитните максимално неудобства.

Всички потребители и системни администратори се стремят към максимална сигурност, но разработката на единна криптографска технология среща затруднения, поради различната политика в тази сфера на страните по света. Цялостната архитектура за сигурност в Интернет би трябвало да обхваща всички нива протоколи от протоколния стек TCP/IP, върху който се базират мрежите Интернет и Интранет. Защитата от прeхват на информацията се изпълнява с помощта на шифриране на съобщението. Бяха предложени различни схеми за шифриране на електронната поща, но нито една не стана масова. Една от най-популярните приложения е PGP. В миналото използването на PGP беше проблематично заради използването на шифриране, забранено за експорт от САЩ. Търговската версия на PGP има в себе си plug-in-и за няколко популярни програми за електронна поща, което я прави удобна за включване в писмото на електронен подпис и криптиране. Последните версии на PGP използват лицензирана версия на алгоритъма за шифриране с отворени ключове RSA.

Политиката на сигурност за електронната поща включва следните елементи:

• 
  Електронната поща на дадена организация се предоставя на сътрудниците и само за изпълнение на своите служебни задължения. Поради това всички служители трябва да използват по същия начин, както и всяко друго официално средство на организацията;
  
• 
  Трябва да се използват само утвърдени пощенски програми;
  
• 
  Конфиденциалната информация не трябва да се изпраща с помощта на електронната поща. Ако все пак се налага трябва да бъде изпратена, трябва да бъде зашифрирана така, че да може да я прочете този за когото е предназначен;
  
• 
  На служещите е забранено да използват анонимни римейлери;
  
• 
  Всички електронни писма, създавани и съхранявани в компютрите на информацията са собственост на организацията и не са персонални. Организацията има право на достъп до електронната поща на служещите си, ако за това има сериозни причини;
  
• 
  Съдържанието на електронното писмо не може да бъде разкрито освен с цел осигуряване на сигурността или по искане на съдебни органи;
  
• 
  Електронната поща на организацията трябва да осигурява само един елекронен адрес за всеки служител;
  
• 
  Каталозите за електронните адреси на служителите не трябва да са общо достъпни;
  
• 
  Служителите не трябва да позволяват на никого да изпращат писма с използване на техните собствени идентификатори.
  
• 
  Никой от външните посетители няма право да използва електронната поща на организацията;
  
• 
  Всички входящи писма трябва да се проверяват за вируси;
  
• 
  Пощенските клиенти трябва да бъдат конфигурирани така, че всяко съобщение да бъде подписано с цифровия подпис на подателя;
  
• 
  Пощенските сървъри трябва да бъдат конфигурирани така, че да отхвърлят посмата, които не са адресирани до организацията;
  
• 
  Изходните писма могат да бъдат избирателно проверявани за да се гарантира спазването на политиката на сигурност;
  
• 
  Трябва да се води дневник за раздадените електронни адреси на служителите и своевременно да се обновяват.
  
• 
  Съхраняването на официалните документи, изпращани чрез електронната поща става в срокове указани от ръководителя на организацията.
  
• 
  16. За предотвратяване на случайно изтриване на писма, служителите изпращат копие на съобщенията в официалния архив на информационната система. Съхраняват се входящите и изходящите писма заедно с приложенията.
  

Електронната търговия е процес, при който търговските операции се извърш­ват по електронен път. За разлика от реалните сделки, при е-сделките се извършва информационен обмен чрез компютърни мрежи. Напоследък под електронна търговия се разбират главно сделки в Интернет.

Сигурността е основен проблем за електронната търговия. Двете страни в едина сделка трябва да се познават или да могат да намерят достатъчно информация една за друга, за да са уверени в коректността си. В допълнение на това трябва да имат надежден начин за разплащане и за пред­пазване на компютърните им системи от външни нападения - особено когато са част от мрежа.

С развитието на комуникационните и информационните технологии се увеличава риска от разбиване на системите за криптиране и неоторизиран достъп до информацията защитавана от тях. С достатъчно мощен компютър и знания за алгоритмите на криптиране е възможно да се атакуват и разкрият тайните ключове. Времето, необходимо за това, зависи от дължината на ключа, поради което се налага дължините на ключовете непрекъснато се увеличават.

В света на цифровата сигурност утвърдените световни сертифициращи организации разчитат на много строги политики и процедури за издаване на сертификати и благодарение на тях поддържат доверието на своите клиенти. За по-голяма сигурност тези организации задължително използват специален хардуер, който гарантира невъзможността за изтичане на важна информация, като например лични ключове. Сред най-известните утвърдени световни сертифициращи организации са компаниите: VeriSign Inc., Thawte Consulting, GlobalSign NV/SA, Baltimore Technologies, TC TrustCenter AG, Entrust Inc. и др.

Всяка сертифицираща организация има свой сертификат и съответстващ на него личен ключ, с който подписва сертификатите, които издава на своите клиенти. Една сертифицираща организация може да бъде от първо ниво (top-level certification authority; root СА) или да бъде от някое следващо ниво.

Криптографията, базирана на публични ключове осигурява надежден метод за цифрово подписване, при който се използват двойки публични и лични ключове. Едно лице полага цифров подпис под дадено електронно съобщение (файл, документ, е-mail и др.) чрез личния си ключ. Разгледано технически цифровото подписване на едно съобщение се извършва на две стъпки:

• 
  Алгоритъм за хеширане. Входно съобщение. Хеш-стойност (МD5, SНА1, ...);
  
• 
  Алгоритъм за цифров подпис (DSА, RSA, ...). Цифров подпис Личен ключ.
  

Цифровият подпис позволява на получателя на дадено подписано съобщение да провери истинския му произход и неговата цялостност (интегритет). Процесът на проверка (верификация) на цифров подпис има за цел да установи дали дадено съобщение е било подписано с личния ключ, който съответства на даден публичен ключ. Проверката на цифров подпис не може да установи дали едно съобщение е подписано от дадено лице. За да проверим дали едно лице е подписало дадено съобщение, е необходимо да се сдобием с истинския публичен ключ на това лице. Това е възможно или чрез получаване на публичния ключ по сигурен път (например на дискета или СD) или с помощта на инфраструктурата на публичния ключ чрез използване на цифрови сертификати. Без да имаме сигурен начин за намиране на истинския публичен ключ на дадено лице не можем да имаме гаранция, че даден документ е подписан наистина от него.

Има три възможности за получаване на невалиден цифров подпис:

• 
  Ако цифровият подпис е подправен (не е истински), при дешифрирането му с публичния ключняма да се получи оригиналната хеш-стойност на съобщението, а някакво друго число;
  
• 
  Ако документът е бил променян (подправян) след подписването му, текущата хеш-стойност,изчислена от подправения документ, ще бъде различна от оригиналната хеш-стойност, защото наразлични документи съответстват различни хеш-стойности;
  
• 
  Ако публичният ключ не съответства на личния ключ, който е използван за подписването, получената от цифровия подпис при дешифрирането с неправилен ключ оригинална хеш-стойност няма да е вярната.
  

У нас е приет Закон за електронния документ и електронния подпис, който урежда всички въпроси по използването на електронните документи и електронните подписи. Регистрирани са два доставчика на удостоверителни услуги (ДУУ) за универсален електронен подпис-   „Информационно обслужване“ АД и „БАНКСЕРВИЗ“ АД . Решенията за регистрирането на ДУУ са взети на основание чл.35, ал.1, т.1 от Закона за електронния документ и електронния подпис (ЗЕДЕП).  Удостоверенията за универсален електронен подпис на регистрираните ДУУ могат да бъдат изтеглени и от уеб сайтовете им или получени на място от съответната фирма.

През последните години у нас се наблюдава значително нарастване на броя на националните дебитни карти. Това доведе до необходимост от създаване на Система за електронни плащания на стоки и услуги чрез Интернет с банкови карти, която да има достатъчно сигурност за участниците в платежния процес.

Основната разлика между системите в България еРау.bg и BGРАУ е коренно различната архитектура на стоящите в основите им платформи - едната (еРау.bg) разчита на идентификация, подходяща за дебитни карти с потребителско име и парола, докато другата (BGРАY) е пригодена за разплащания с кредитни карти, при които в оф-лайн търговията не се изисква идентификация с парола. От тук произтичат и принципните раличия в софтуерните решения, финансовите инструменти и протоколите за сигурност.

.