Bezpieczeństwo – pojęcia wstępne

Opracował: Zbigniew Suski

1

Bezpieczeństwo komputerowe - wstęp

Główne zagadnienia wykładu

Komputer jest bezpieczny, jeżeli jego użytkownik może na nim polegać, a zainstalowane oprogramowanie działa zgodnie
ze stawianymi mu oczekiwaniami.

S. Garfinkel – Bezpieczeństwo w Unixie i Internecie

Zaufanie - ufamy, że system będzie przechowywał i chronił nasze dane.

Z praktycznego punktu widzenia błędy w oprogramowaniu stwarzają takie samo zagrożenie jak nieupoważnieni użytkow-
nicy. Wynika z tego, że bezpieczeństwo łączy się z testowaniem sprzętu i oprogramowania oraz unikaniem błędów użyt-
kownika.

Formalna definicja bezpieczeństwa nie jest raczej zbyt ważna. Należy jednak zdawać sobie sprawę z tego co się chroni,
po co określone rzeczy chronić i przed czym chronić. Nieznajomość tych zagadnień utrudnia lub wręcz uniemożliwia
stworzenie systemu ochrony.

Jedną z naturalnych funkcji systemu operacyjnego jest uniemożliwienie różnym ludziom lub programom zakłócania pracy
innych. Bezpieczeństwo systemu nie polega jednak jedynie na ochronie pamięci.

System bezpieczeństwa powinien kontrolować sposób dostępu użytkowników do zasobów. Mechanizmy te są jednak
słabe, jeżeli nie są poprawnie skonfigurowane, używane bezmyślnie lub zawierają błędy.

Oczekiwania użytkowników są zwykle w sprzeczności z zasadami bezpieczeństwa. Trend ten występuje zwłaszcza u
użytkowników bezpłatnych nie komercyjnych wersji oprogramowania systemowego.

Sami użytkownicy muszą uczestniczyć w zmienianiu swego nastawienia do problemów bezpieczeństwa systemu.

Kradzież informacji następuje w sposób ciągły i niewidoczny!
Ile są warte informacje przechowywane przez systemy komputerowe Twojej firmy? Tyle co Twoja firma! Systemy kom-
puterowe przechowują wszystkie dokumenty, dane finansowe, projekty – całą wartość intelektualną w Twojej organizacji.
Kradzież talerza ze stołówki zostanie zauważona w ciągu godzin. Kradzież informacji może zostać nigdy nie wykryta. Co
więcej w kradzieży informacji mogą brać udział lub pomagać Twoi najbardziej lojalni pracownicy – tylko dlatego, że nie
wiedzą, że robią coś złego (ponad 75% ataków pochodzi z wnętrza firmy).

Przeprowadzona w 1996r. przez FBI i CSI (Computer Security Institute) analiza bezpieczeństwa systemów sieciowych
428 organizacji w USA wykazała, że:

•

41% badanych potwierdziło włamanie do ich sieci lub użycie zasobów sieci przez niepowołane osoby;

•

37%

stanowiły instytucje medyczne, a 21% instytucje finansowe.

•

Szpiegostwo gospodarcze było przyczyną 50% ataków ( wykradanie informacji biznesowych od konkurencji);

•

50% badanych nie miało opracowanej Polityki Bezpieczeństwa ochrony informacji ( z pozostałych 50% posiadających

zasady ochrony informacji, aż połowa nie stosowała się do nich);

•

20% badanych nie wiedziało czy zostały zaatakowane czy też nie!

Dla porównania wyniki badań 1300 firm przeprowadzonych w tym samym roku przez Ernst&Young w USA i Kanadzie:

•

54% badanych firm poniosło straty w wyniku włamań;

•

78% firm odnotowało straty z powodu wirusów komputerowych;

•

42% firm odnotowało niszczące ataki z zewnątrz ( destabilizacja systemu jest gorsza w skutkach niż samo włamanie

do niego);

•

25% firm straciło w wyniku włamań ponad 250 tys. dolarów, a 15% ponad 1 mln. dolarów.

Wojna informatyczna – Określa techniki ataku na systemy komputerowe stosowane przez hackerów, szpiegów, terrory-
stów, wywiad wojskowy. Media i prasa coraz częściej donoszą o sensacyjnych włamaniach dokonanych przez młodocia-
nych hackerów do rządowych i wojskowych informacji. Te włamania dało się wykryć i złapać sprawców, ale skoro mło-
dzieży udaje się wchodzić do sieci z tajemnicami państwowymi to co dopiero profesjonalistom, których działalności nie da
się zauważyć. Szpiedzy gospodarczy mogą zrobić prawie wszystko, włącznie z przejęciem kontroli nad firmą czy organi-
zacją. Najczęściej chodzi im o kradzież dokumentów: bazy danych (osobowe, firm itp.), kontrakty, umowy handlowe. Taka
kradzież jest prowadzona w sposób ciągły, niezauważalny przez wiele lat. Jeżeli ktoś ma cenne dane to ktoś spróbuje je
ukraść.

Bezpieczeństwo – pojęcia wstępne

Opracował: Zbigniew Suski

2

Terroryści szantażują firmy grożąc zniszczeniem danych w systemie komputerowym lub jego destabilizacją.

Obecnie istnieją narzędzia, które potrafią zdestabilizować pracę całego systemu informatycznego bez konieczności
wchodzenia do niego np. przy użyciu bomby mikrofalowej, która niszczy system w jednej chwili.

Wywiady wojskowe inwigilują systemy informatyczne wielu krajów. W najbliższym czasie urządzenia destabilizu-

jące systemy komputerowe staną się rozstrzygającym elementem w konfliktach międzypaństwowych, ponieważ systemy
obrony działają w oparciu o systemy informatyczne.

HACKER – 1. Osoba, której sprawia przyjemność poznawanie szczegółowej wiedzy na temat systemów komputerowych i
rozszerzanie tej umiejętności – w przeciwieństwie do większości użytkowników komputerów, którzy wolą nauczyć się
niezbędnego minimum. 2. Osoba, która entuzjastycznie zajmuje się oprogramowaniem i nie lubi teorii dotyczącej tej dzie-
dziny.

Guy L.Steele i inni – The Hacker’s Dictionary

Kategorie bezpieczeństwa

Poufność – ochrona danych przed odczytem i kopiowaniem przez osobę nieupoważnioną. Jest to ochrona nie tylko ca-

łości danych, ale również ich fragmentów.

Spójność danych – ochrona informacji (również programów) przed usunięciem lub jakimikolwiek nieuprawnionymi zmia-

nami. Np. zapisy systemu rozliczania, kopie zapasowe, atrybuty plików.

Dostępność – ochrona świadczonych usług przed zniekształceniem i uszkodzeniem. Niemożność skorzystania z syste-

mu często daje taki sam efekt jak utrata danych.

Prawidłowość – zapewnienie pracy systemu zgodnej z oczekiwaniami użytkowników. Dotyczy sprzętu i oprogramowa-

nia. Można to uważać za prawidłowość danych i programów.

Sterowanie – regulowanie dostępu do systemu (określonych osób).
Audyt (inspekcja) – niepodatny na zniszczenie i uszkodzenie mechanizm rejestracji zdarzeń zachodzących w systemie.

Umożliwia identyfikację sprawców i ich działanie. Nie tylko obcy działają destruktywnie.

Dokumenty normatywne

Pomarańczowa księga (Trusted Computer Evaluation Criteria) definiuje kryteria zaliczania systemu do poszczegól-

nych poziomów bezpieczeństwa (ufności).

Czerwona księga (Trusted Networking Interpretation) zawiera kryteria oceny bezpieczeństwa sieci komputerowych.
Zielona księga (Password Management Guideline) zawiera wytyczne dotyczące stosowania i wykorzystania haseł.

Poziomy bezpieczeństwa ( wg Pomarańczowej Księgi)

Poziom D obejmuje systemy, które posiadają jedynie fizyczną ochronę przed dostępem. W systemach tej kla-

sy, każdy kto posiada fizyczny dostęp do komputera, ma nieskrępowany dostęp do wszystkich jego zasobów. Przykładem
systemu tej klasy jest komputer IBM PC z systemem MS-DOS bez zabezpieczeń hasłowych.

Poziom C1 zapewnia elementarne bezpieczeństwo użytkownikom pracującym w środowisku wieloużytkowni-

kowym i przetwarzającym dane o jednakowym poziomie tajności. Systemy C1 stosują techniki kontroli oparte na ograni-
czaniu dostępu na podstawie trzech kategorii użytkowników: właściciel, grupa, pozostali. Każdy użytkownik ma pełną
kontrolę nad obiektami, które stanowią jego własność. Większość systemów unixowych zalicza się do tej klasy.

Poziom C2 udostępnia, obok cech poziomu C1, także prowadzenie dla każdego użytkownika indywidualnie

dziennika zdarzeń, związanych z bezpieczeństwem oraz środki do określania zakresu rejestrowanych zdarzeń (podsys-
tem Audit). Systemy tej klasy posiadają więc rejestrację zdarzeń i rozszerzoną identyfikację użytkowników. Podsystem
Audit tworzy zapisy na bazie zdarzeń powodowanych akcjami użytkownika, mających wpływ na bezpieczeństwo. Zakres
tych zdarzeń może określić administrator systemu dla każdego użytkownika oddzielnie. Poziom C2 stawia też dodatkowe
wymagania dotyczące szyfrowanych haseł, które muszą być ukryte w systemie (niedostępne dla zwykłych użytkowni-
ków). W systemach unixowych klasy C1 szyfrowane hasła mogły znajdować się w pliku /etc/passwd.

Poziom B1 jest pierwszym z poziomów, wprowadzających różne stopnie tajności (np."Tajne","Poufne" itp.). W

systemach tej klasy obok cech wymaganych dla C2 stosuje się etykiety określające stopień tajności dla podmiotów (pro-
cesów, użytkowników) i przedmiotów (plików). Zezwolenie na dostęp do danych zapisanych w pliku udzielane jest pod-
miotom na podstawie analizy etykiet. Opatrzone etykietami procesy, pliki czy urządzenia zawierają pełny opis stopnia
tajności obiektu oraz jego kategorii.

Bezpieczeństwo – pojęcia wstępne

Opracował: Zbigniew Suski

3

Poziom B2 określa wymagania, sprowadzające się do takich elementów, jak: etykietowanie każdego obiektu w

systemie, formalna weryfikacja poprawności modelu bezpieczeństwa systemu, przeprowadzenie testów penetracyjnych
dla wykrycia ewentualnych "dziur" w modelu.

Poziom B3 wymusza izolację pewnych dziedzin (obszarów) za pomocą rozwiązań sprzętowych. Dziedzinę

bezpieczeństwa może stanowić część bazy dotyczącej ochrony (ang. Trusted computing base (TCB)), monitor dostępu
itp. Sprzętowe mechanizmy zarządzania pamięcią chronią daną dziedzinę przed dostępem lub modyfikacją ze strony
oprogramowania funkcjonującego w innej dziedzinie.

Poziom A1 wymaga formalnego matematycznego dowodu poprawności modelu bezpieczeństwa, jak również

formalnej specyfikacji systemu i bezpiecznej dystrybucji.

Historia prac nad dokumentami normatywnymi:
Rok 1990 - w ramach ISO rozpoczęto prace nad opracowaniem międzynarodowego standardu kryteriów oceny bezpie-

czeństwa systemów informatycznych.

Rok 1991, Europa – pod patronatem Komisji Europejskiej opublikowano przygotowany przez Francję, Niemcy, Holandię i

Wlk. Brytanię projekt Information Technology Security Evaluation Criteria v. 1.2 (ITSEC).

Rok 1993, Kanada – opublikowano Canadian Trusted Computer Product Evaluation Criteria v. 3.0 (CTCPEC) łączący

cechy ITSEC i TCSEC.

Rok 1993, USA – opublikowano Federal Criteria for Information Technology Security v. 1.0 (FC)jako konkurencyjną wo-

bec kanadyjskiej próbę połączenia standardów USA i Europy.

Czerwiec 1993 – organizacje, które opracowały CTCPEC, FC, TCSEC, ITSEC podjęły wspólną pracę w ramach projektu

o nazwie Common Criteria (CC) mającego na celu połączeniu ww. standardów.

Rok 1996 – wersja 1.0 CC została zaaprobowana przez ISO.
Rok 1997 – wersja beta CC v. 2.0 stanowiąca podstawę do opracowania normy ISO/IEC 15408 o nazwie Evaluation Cri-

teria for Information Technology Security.

Rok 1998 – podpisanie umowy pomiędzy organizacjami z państw uczestniczących w projekcie CC, certyfikującymi pro-

dukty informatyczne, o wzajemnym uznawaniu certyfikatów bezpieczeństwa wydawanych na podstawie CC.

Literatura:
1. S.Garfinkel,

G.Spafford.

Practical Unix and Internet Security. O’Reilly & Associates 1996 (tłum. RM 1997).

2. V.Ahuja.

Network & Internet Security. Academic Press 1996 (tłum. MIKOM 1997).

3. D.Atkins.

Internet Security: Professional Reference. New Riders Publishing 1997 (tłum. LT&P 1997)

4. L.Klander.

Hacker Proof. Jamsa Press, 1997 (tłum. MIKOM 1998).