Wykład 4
Systemy Teleinformatyczne
w Transporcie Morskim
Joanna Szłapczyńska
Katedra Nawigacji, ZD Podstaw Informatyki i Sieci Komputerowych
Wykład 4
Zagrożenia bezpieczeństwa w sieciach komputerowych
Elementy polityki zapobiegania zagrożeniom w sieci
" zapory i filtracja pakietów
" mechanizmy NAT / PAT
" systemy IDS
" podstawy kryptografii
" szyfrowanie kluczem symetrycznym
" szyfrowanie klucz publiczny  klucz prywatny
" podpis cyfrowy
Page 2 Systemy Teleinformatyczne w Transporcie Morskim
Zagrożenia bezpieczeństwa w sieciach komput. (1)
Bezpieczeństwo w sieci można podzielić na następujące grupy
" bezpieczeństwo fizyczne sieci (wahania napięcia w sieci
energetycznej, zwarcia i przepięcia, wpływ temperatury, wilgotności,
itd.)  rozwiązania: UPS, monitoring i system alarmowania po
przekroczeniu wartości granicznych pewnych parametrów
(elektycznych, atmosferycznych, itd.).
" bezpieczeństwo transferu sieciowego (sieciowi włamywacze oraz
oprogramowanie (malware) próbujące przejąć transfer danych lub
nawet kontrolę nad pewnymi elementami sieci, itd.)  rozwiązanie:
wprowadzenie ścisłej polityki bezpieczeństwa sieciowego (zapory,
filtrowanie, itd.)
Page 3 Systemy Teleinformatyczne w Transporcie Morskim
Zagrożenia bezpieczeństwa w sieciach komput. (2)
cd. podziału bezpieczeństwa
" bezpieczeństwo danych (nieautoryzowany dostęp do danych,
podsłuchiwanie danych, itd.)  rozwiązanie: polityka tworzenia kopii
zapasowych danych, ponownie ścisła polityka bezpieczeństwa w
sieci, mechanizmy uwierzytelniania (login, hasło), szyfrowanie,
mechanizm IPSec, zabezpieczenia sieci WLAN, itd.
" bezpieczeństwo aplikacji (luki lub błędy oprogramowania mogą być
wykorzystane przez robaki i wirusy np. przychodzące za pośrednictwem
e-maili i w konsekwencji doprowadzić do niestabilnego działania
aplikacji lub nawet całego systemu)  rozwiązanie: polityka
uaktualniania i aplikowania poprawek do aplikacji (i systemu!),
korzystanie tylko z dobrze znanych programów lub programów od
znanych dostawców, itd.
Page 4 Systemy Teleinformatyczne w Transporcie Morskim
Zagrożenia bezpieczeństwa w sieciach komput. (3)
Ataki na poziomie protokołu IP  korzystają z braku obowiązkowego
uwierzytelniania w IP
" podszywanie się pod adres IP (IP spoofing)  fałszowanie z
ródłowego
adresu IP (a więc podszywanie się pod jakiś adres) które może służyć
ukryciu tożsamości atakującego, podszyciu się pod innego użytkownika sieci
i ingerowanie w jego aktywność sieciową lub wykorzystaniu uprawnień
posiadanych przez inny adres
" przejmowanie sesji IP (IP session hijacking)  sesja użytkownika jest
przejmowana przez atakującego. Jeśli np. użytkownik w trakcie ataku wysyłał
e-maila, atakujący może przejrzeć treść tego e-maila, dowolnie ją
zmodyfikować a następnie wywołać dowolną z dostępnych komend jako
użytkownik. Zaatakowany użytkownik widzi jedynie, że jego sesja wygasła
(co zazwyczaj oznacz konieczność ponownego zalogowania się) i może nie
być świadomy że nastąpił jakikolwiek atak
Page 5 Systemy Teleinformatyczne w Transporcie Morskim
Podszywanie się pod adres IP (IP spoofing)
Celem ataku przez X nie jest odbiór
jakichkolwiek danych, tylko sztuczne
wygenerowanie ruchu sieciowego z
B do A!
X podrabiając pakiet
przekonuje B, że
pakiet wysłał A
B odpowiada
wysyłając pakiet do
A, potwierdzając
numer sesji z A
oraz podając swój
własny numer sesji
X podrabia kolejny
pakiet,
potwierdzający
aktualny numer
sesji
Page 6 Systemy Teleinformatyczne w Transporcie Morskim
Przejmowanie sesji IP (IP session hijacking)
Ofiara
Podsłuchanie numeru sesji
Atakujący
Ofiara
Atakujący
Page 7 Systemy Teleinformatyczne w Transporcie Morskim
Zagrożenia bezpieczeństwa w sieciach komput. (4)
Osobiste lub firmowe dane udostępniane w sieci (gromadzone na
serwerach dostępnych w sieci) mogą być zagrożone m.in. przez
" ataki DoS (Denial-of-Service) oraz podobne
" nieautoryzowany dostęp do danych i jego konsekwencje
Atak DoS (Denial-of-Service)
" atakujący host wysyła do atakowanego serwera więcej żądań obsługi niż
ten jest w stanie obsłużyć
" w wyniku tego atakowany serwer nie działa normalnie i nie może
obsługiwać innych (normalnych) żądań obsługi
" istnieje wiele wariantów ataku DoS, najbardziej popularnym jest
zarzucenie serwera pakietami w skoordynowany sposób
Page 8 Systemy Teleinformatyczne w Transporcie Morskim
Ataki DoS (Denial-of-Service)
Ataki DoS nie wymagają lokalnego dostępu do atakowanego
hosta, wykorzystują one bowiem luki w oprogramowaniu
sieciowym oraz pewne niedoskonałości protokołów sieciowych
(głównie IP)
Aplikacje sieciowe odbierające sztuczne i sfabrykowane dane w
ataku DoS zazwyczaj zabierają blisko 100% czasu CPU
Ataki DoS prowadzą do wyczerpania zasobów (np. dostępnej
pamięci RAM lub miejsca na HDD, przepustowości łącza, itd.) i
realizowane są za pośrednictwem  normalnych funkcji
serwera
Trwały atak DoS (Permanent Denial-of-Service) to atak który
niszczy system komputerowy w takim stopniu, że konieczna jest
re-instalacja systemu lub nawet wymiana części sprzętu
Page 9 Systemy Teleinformatyczne w Transporcie Morskim
Rozproszony atak DoS (Distributed Denial-of-Service)
Rozproszony atak DoS (Distributed Denial-of-Service) występuje,
gdy wiele hostów klienckich bierze udział w zalewaniu serwera
pakietami (zazwyczaj w skoordynowany sposób)
" zazwyczaj takie ataki skierowane są przeciwko web serwerom
Atakujące hosty klienckie w rozproszonym ataku DoS często robią to
nieświadomie, np. wcześniej będąc zarażone trojanem
zainstalowanym przez prawdziwy system atakujący
Ataki DoS a rozproszone DoS
" DoS  pojedynczy host atakuje system docelowy
" rozproszony DoS  host lub hosty atakują system docelowy za
pośrednictwem grupy hostów klienckich (lub ew. za pośrednictwem
złożonej, warstwowej struktury hostów klienckich)
Page 10 Systemy Teleinformatyczne w Transporcie Morskim
Page 11 Systemy Teleinformatyczne w Transporcie Morskim
Nieautoryzowany dostęp
Celem ataków nieautoryzowanego dostępu jest uzyskanie dostępu
do zasobów których normalnie atakowany host nie udostępniłby
atakującemu
" nielegalne wykonywanie komend (uruchamianych jako zwykły użytkownik
np. aby przeczytać treść e-maila lub jako administrator np. aby zmienić
nasz adres IP)
" naruszenie prywatności (polega na gromadzeniu danych, które jeśli
wpadną w niepowołane ręce np. konkurencji lub wroga mogą spowodować
znaczące problemy lub straty)
" zachowania destrukcyjne
manipulacja danymi - dobrze ukryte zmiany w danych mogące mieć
duże konsekwencje (np. zmiana numeru konta bankowego lub zmiana
dat lub kwot w planie projektu, itd.)
destrukcja danych  usuwanie lub niszczenie plików
Page 12 Systemy Teleinformatyczne w Transporcie Morskim
Zapory (firewalls) (1)
Zapora (firewall)  część systemu komputerowego lub sieci która
została zaprojektowana w celu blokowania nieautoryzowanego
dostępu oraz umożliwiania autoryzowanej komunikacji sieciowej
" jest to urządzenie lub oprogramowanie które skonfigurowano tak aby
umożliwiać lub blokować transmisje sieciowe na podstawie zbioru reguł
lub ew. innych kryteriów
" wszystkie pakiety wchodzące lub wychodzące z sieci LAN przechodzą
przez zaporę, która przegląda każdy z nich i blokuje te pakiety, które nie
spełniają założonych kryteriów
Page 13 Systemy Teleinformatyczne w Transporcie Morskim
Zapory (firewalls) (2)
Techniki stosowane w zaporach
" filtracja pakietów  poddaje inspekcji każdy pakiet w sieci i akceptuje bądz

odrzuca je opierając się na zbiorze reguł zdefiniowanym przez administratora.
Dość uciążliwa w konfiguracji, jednak efektywna i gdy już jest skonfigurowana 
wygodna dla użytkowników
" brama aplikacji  stosuje mechanizmy zabezpieczające dla wybranych
aplikacji, takich jak np. FTP czy Telnet. Metoda bardzo efektywna, jednak
może niekorzystnie wpływać na szybkość chronionych transferów
" brama połączeń - stosuje mechanizmy zabezpieczające w czasie zestawiania
połączenia TCP. Dla zestawionego, chronionego połączenia transfer pakietów
odbywa się bez dalszego sprawdzania  metoda nie ograniczająca szybkości
transmisji
" serwer proxy  przechwytuje wszystkie wiadomości wchodzące lub
wychodzące z sieci, poddaje je filtrowaniu i w przypadku akceptacji przekazuje
dalej i imieniu z
ródłowego hosta oraz odbierają ew. wyniki (cache owanie).
Serwery proxy ukrywają zatem prawdziwe adresy z
ródłowe pakietów
Page 14 Systemy Teleinformatyczne w Transporcie Morskim
Filtracja pakietów
Urządzenie lub oprogramowanie odpowiedzialne za filtrację pakietów
umożliwia (wpuszcza lub wypuszcza) tylko pakiety spełniające zadane
kryteria (bazując na danych z nagłówka). Typowe narzędzie filtracji
" posiada skonfigurowany zestaw reguł definiujących co należy zrobić z
odpowiednimi przychodzącymi lub wychodzącymi pakietami (akceptacja lub
odrzucenie)
" podstawowe elementy kryterium (reguły) to
" z
ródłowe oraz docelowe adresy IP
" z
ródłowe oraz docelowe adresy fizyczne MAC
" z
ródłowe oraz docelowe numery portów (porty lokalne i zdalne)
" jest zainstalowane w węz
le sieci lub w ramach wybranego hosta
" może reagować albo na bieżące wartości wybranych pól current (inspekcja
bezstanowa) lub też mieć jakąś pamięć stanu (inspekcja stanowa) np. aby
śledzić stan połączenia TCP
Page 15 Systemy Teleinformatyczne w Transporcie Morskim
NAT / PAT (1)
Mechanizm NAT (Network Address Translation)  to proces modyfikacji
adresów sieciowych w ramach nagłówka datagramu IP w czasie
przechodzenia tego datagramu przez router
" celem jest przemapowanie lokalnej przestrzeni adresów IP na inną (zewnętrzną)
" Zazwyczaj wykorzystywane gdy mamy mniej  publicznych adresów IP niż
hostów w naszym LANie
" NAT jest funkcją oferowaną przez routery
Typy NAT
" statyczny NAT  mapowanie statyczne jeden-do-jednego adresów IP (warstwa
sieciowa)
" dynamiczny NAT  dynamiczne mapowanie dwóch puli (niekoniecznie o tych
samych rozmiarach) adresów IP (warstwa sieciowa)
" PAT (Port Address Translation) lub maskarada  mapowanie lokalnej puli
adresów IP na pojedynczy  publiczny adres IP z wykorzystaniem różnych
numerów portów (warstwa transportowa)
Page 16 Systemy Teleinformatyczne w Transporcie Morskim
NAT / PAT (2)
Prawidłowo skonfigurowany mechanizm NAT/PAT zwiększa
bezpieczeństwo transmisji w sieci z powodu
" separacji hostów oraz oferowanych przez nie usług od świata zewnętrznego
(Internetu)
" tablica translacji NAT/PAT kontroluje przychodzące i wychodzące pakiety
pakiet adresujący gniazdo sieciowe które nie jest uwzględnione w tablicy
NAT/PAT zostanie odrzucony
Page 17 Systemy Teleinformatyczne w Transporcie Morskim
Systemy IDS (Intrusion Detection Systems) (1)
System IDS (Intrusion Detection System) jest to urządzenie lub
oprogramowanie które
" monitoruje sieć i/lub system w celu wykrycia naruszeń polityki
bezpieczeństwa lub złośliwych zachowań (malicious activities)
" identyfikuje możliwe naruszenia bezpieczeństwa oraz stara się je
zatrzymać (Intrusion Prevention Systems - IPS)
" wysyła raporty dot. zagrożeń administratorom sieci
W przeciwieństwie do filtrów, systemy IDS dokonują inspekcji
danych przesyłanych w pakietach (a nie tylko ich nagłówków)
System IDS powinien stanowić
dodatkowe narzędzie do zapewnienia
bezpieczeństwa sieci i danych
Page 18 Systemy Teleinformatyczne w Transporcie Morskim
Systemy IDS (Intrusion Detection Systems) (2)
Techniki detekcji intruzów w systemach IDS
Reguła poszukuje pakietów ICMP pochodzących spoza monitorowanego hosta
" "!HOME_NET" które są adresowane do monitorowanego hosta "-> HOME_NET".
oparte na sygnaturach (np. Snort)
Głębokość ("depth ) reguły jest ustawiona na 32. Oznacza to, że Snort będzie
system ma dostęp do bazy sygnatur, każda z sygnatur stanowi pewien wzór
poszukiwał 32 bajtów w ramach każdego pakietu posiadających określoną zawartość
ataku
("content ). W przypadku odkrycia zgodności zawartości, Snort uruchomi "alert" dla
danego pakietu, a wiadomość zawartą w regule zapisze w logu "IDS152 - PING BSD".
baza sygnatur musi być stale uaktualniana
Pole "itype" określa typ komunikatu ICMP. W tym przypadku jest ono równe 8, co
Systemy te nie potrafią zareagować prawidłowo w przypadku nowego typu
oznacza komunikat echo request.
ataku, dla którego nie ma jeszcze gotowej sygnatury
alert icmp !$HOME_NET any -> $HOME_NET any (msg:"IDS152 - PING BSD";
content: "|08 09 0a 0b 0c 0d 0e 0f 10 11 12 13 14 15 16 17|"; itype: 8;
depth: 32;)
" oparte na anomaliach
system monitoruje typowy wzrzec (pattern) ruchu w sieci
system alarmuje gdy tylko ruch w sieci gwałtownie się zmienia w odniesieniu
do  normalnego wzorca
Page 19 Systemy Teleinformatyczne w Transporcie Morskim
Bezpieczna komunikacja
KRYPTOGRAFIA
Kluczowe cechy bezpiecznej komunikacji
" poufność  jedynie nadawca i odbiorca powinni być w stanie zrozumieć
wiadomość
" uwierzytelnianie punktów końcowych  odbiorca musi być pewnym, że
nadawca jest tym za kogo się podaje (również na odwrót!)
" integralność wiadomości  gwarancja, że wiadomość nie zostanie
zmieniona (przypadkowo ani celowo) w czasie transmisji od nadawcy do
odbiorcy
" bezpieczeństwo operacyjne  akcje podejmowane aby zapobiec
wysokopoziomowym atakom na nasze dane lub sprzęt (już omawiane:
zapory, NAT / PAT, IDS, itp.)
Page 20 Systemy Teleinformatyczne w Transporcie Morskim
Kryptografia  podstawowe definicje
the quick brown fox jumps over the lazy dog
Tekst jawny/zwykły (plaintext)  oryginalne dane (nie zawsze tekst!)
które nadawca chce przetransmitować do odbiorcy
Szyfrogram (ciphertext)  tekst jawny przetworzony do postaci
nieczytelnej dla osób postronnych
WKH TXLFN EURZQ IRA MXPSV RYHU WKH ODCB GRJ
Klucz (key)  tajny parametr (znany tylko nadawcy i odbiorcy) kontekstu
wymiany konkretnej wiadomości
Szyfrowanie (encryption)  proces konwersji tekst jawny -> szyfrogram
sparametryzowanej przez klucz
Deszyfrowanie (decryption)  proces odwrotny do szyfrowania
(szyfrogram -> tekst jawny) sparametryzowany przez klucz
Szyfr (cipher lub cypher)  para algorytmów do szyfrowania oraz
deszyfrowania
Page 21 Systemy Teleinformatyczne w Transporcie Morskim
Nowoczesne podejścia do kryptografii (1)
Systemy z kluczem symetrycznym  tylko jeden klucz jest znany
oraz wykorzystywany w procesach szyfrowania i deszyfrowania
zarówno przez nadawcę jak i odbiorcę
Odczytany tekst jawny
Tekst jawny
Szyfrogram
Deszyfrowanie
Szyfrowanie
Ten sam klucz
(wspólny
sekret)
Page 22 Systemy Teleinformatyczne w Transporcie Morskim
Nowoczesne podejścia do kryptografii (2)
Systemy z kluczem publicznym  każda z komunikujących się
stron (nadawca i odbiorca) posiada swoją własną parę kluczy:
publiczny oraz prywatny wykorzystywane odpowiednio do
szyfrowania i deszyfrowania (a więc w sumie są 4 klucze dla obu
stron transmisji)
Bartek
Witaj
Szyfrowanie
Alu!
Klucz
publiczny
Alice
Ala
Witaj
Deszyfrowanie
Alu!
Klucz
prywatny
Page 23 Systemy Teleinformatyczne w Transporcie Morskim
Alice
Notacja kluczy szyfrujących / deszyfrujących
Przykładowy klucz szyfrujący KA
Przykładowy klucz deszyfrujący KB
Przykładowy tekst jawny m
KA(m) jest szyfrogramem (klucz KA użyty przez algorytm szyfrujący
dla tekstu jawnego m)
KB(KA(m)) to odczytany tekst jawny, co oznacza, że klucz KB został
użyty do zdeszyfrowania szyfrogramu KA(m) (poprzednio
stworzonego przez klucz KA użyty przez algorytm szyfrujący dla
tekstu jawnego m)
KA+ oznacza klucz publiczny a KA- klucz prywatny, odpowiednio też
KB+ i KB-
Page 24 Systemy Teleinformatyczne w Transporcie Morskim
Kryptografia z kluczem symetrycznym (1)
W systemach z kluczem symetrycznym zachodzi KA = KB (a więc
dokładnie ten sam klucz jest wykorzystywany do szyfrowania oraz
deszyfrowania)
Klucz musi być sekretny (znany tylko nadawcy i odbiorcy)  jeśli klucz
nie jest sekretny i zna go ktoś inny wtedy nie ma już bezpiecznej
wymiany danych!
Tekst jawny Odczytany tekst jawny
Szyfrogram
Deszyfrowanie
Szyfrowanie
Ten sam klucz
(wspólny
sekret)
Page 25
Systemy Teleinformatyczne w Transporcie Morskim
Kryptografia z kluczem symetrycznym (2)
Szyfry z kluczem symetrycznym
" szyfry blokowe  tekst jawny m jest dzielony na bloki danych, a każdy z
bloków jest szyfrowany oddzielnie. Algorytm działa na zasadzie ustalonej
transformacji dużych bloków tekstu jawnego m
" szyfry strumieniowe  szyfrowanie tekstu jawnego m odbywa się
szeregowo znak po znaku (jak w strumieniu danych). Algorytm działa na
zasadzie zmiennej w czasie transformacji na pojedynczych znakach tekstu
jawnego
Page 26 Systemy Teleinformatyczne w Transporcie Morskim
Kryptografia z kluczem symetrycznym (3)
Najpopularniejsze szyfry z kluczem symetrycznym
" DES (64-bit szyfr blokowy)
" AES (128-bit szyfr blokowy)
" RC4 (szyfr strumieniowy)
Szyfry z kluczem symetrycznym
" są szybkie w procesie szyfrowania / deszyfrowania do i z tekstu jawnego
" klucz (wspólny sekret) nie może być łatwo i bezpiecznie
przetransportowany i współdzielony w sieci
W praktyce systemy z kluczem symetrycznym nie mogą stanowić
głównego i jedynego narzędzia zabezpieczenia transmisji, często
stanowią dodatkowe zabezpieczenie
Page 27 Systemy Teleinformatyczne w Transporcie Morskim
Kryptografia z kluczem publicznym (1)
Załóżmy, że Ala oraz Bartek próbują się skomunikować
Ala posiada dwa klucze: klucz publiczny KA+ (znany wszystkim) oraz
klucz prywatny KA- (sekretny, znany tylko jej!)
Kiedy Bartek chce wysłać Ali wiadomość m ( Witaj Alu! ) wtedy
" Bartek bierze klucz publiczny Ali KA+
" Bartek tworzy szyfrogram KA+(m) wiadomości za pomocą ustalonego
algorytmu szyfrującego
Kiedy Ala odbierze szyfrogram KA+(m) wtedy bierze swój klucz
prywatny KA- aby zdeszyfrować szyfrogram za pomocą ustalonego
algorytmu i w ten sposób przywraca pierwotną postać wiadomości m
KA-(KA+(m)) = m
Page 28 Systemy Teleinformatyczne w Transporcie Morskim
Kryptografia z kluczem publicznym (2)
Bartek
Witaj
Szyfrowanie
Alu!
Klucz
publiczny Ali
KA+
Ala
Witaj
Deszyfrowanie
Alu!
Klucz
prywatny Ali
KA-
Page 29 Systemy Teleinformatyczne w Transporcie Morskim
Kryptografia z kluczem publicznym (3)
Bartek również posiada dwa klucze: publiczny KB+ (dostępny dla
wszystkich) oraz prywatny KB- (sekretny, znany tylko jemu!)
Kiedy Ala chce wysłać Bartkowi odpowiedz
procedura jest
powtarzana, ale teraz klucz publiczny KB+ jest używany do stworzenia
szyfrogramu, a klucz prywatny KB- do deszyfrowania
KB-(KB+(m)) = m
Jak się okazuje również odwrotne operacje na kluczach publicznym i
prywatnym spełniają tę równość (zastosowanie: podpis cyfrowy,
opisane póz
niej)
K+ (K- (m)) = m
Publiczny klucz szyfrujący K+ oraz prywatny klucz deszyfrujący K- są
powiązane matematycznie i wspólnie generowane, lecz w
sensownym czasie nie można wyznaczyć klucza prywatnego tylko na
podstawie znajomości klucza publicznego
Page 30 Systemy Teleinformatyczne w Transporcie Morskim
Kryptografia z kluczem publicznym (4)
Najbardziej popularnym algorytmem w kryptografii z kluczem publicznym jest
algorytm RSA
Kryptografia z kluczem publicznym jest
" bezpieczna (tylko publiczne klucze są przesyłane w sieci, a i tak są one dostępne
dla wszystkich, klucze prywatne pozostają 100% tajne)
" złożone obliczeniowo (!!!) dla szyfrowania i deszyfrowania tekstu jawnego
W praktyce łączymy klucze publiczny/prywatny oraz klucz symetryczny
Takie rozwiązania są zgodne z bezpieczną transmisją i zapewniają
" poufność
" uwierzytelnianie punktów końcowych
" integralność wiadomości
Page 31 Systemy Teleinformatyczne w Transporcie Morskim
Klucze sesji
Klucz sesji jest kluczem w szyfrowaniu z kluczem symetrycznym
wysyłanym za pomocą szyfrowanej (za pomocą klucza
publicznego) transmisji
Kiedy obie strony transmisji posiadają już swój (ten sam) klucz
sesji, mogą swobodnie i bezpiecznie korzystać z szyfrowania z
kluczem symetrycznym w czasie  właściwej transmisji (która
będzie znacznie szybsza niż w przypadku korzystania z klucza
publicznego do  właściwej transmisji )  poufność spełniona !
Page 32 Systemy Teleinformatyczne w Transporcie Morskim
Integralność wiadomości
Integralność wiadomości oznacza, że wiadomość w żaden
sposób nie została zmieniona na drodze od nadawcy do odbiorcy
Samo spełnieni poufności (szyfrowana transmisja z kluczem sesji)
nie zapewnia nam integralności danych
Aby zapewnić spełnienie integralności wiadomości wprowadza
się funkcje skrótu oraz kody MAC
Page 33 Systemy Teleinformatyczne w Transporcie Morskim
Funkcje skrótu (1)
Funkcja skrótu (hash function) H(m) bierze oryginalny tekst
jawny m i tworzy na jego podstawie krótki, o stałej długości
łańcuch tzw. skrót (digest)
" H(m) musi posiadac cechę, że znalezenie dwóch różnych tekstów
jawnych m1 & m2 takich, że H(m1) = H(m2) nie powinno być możliwe
obliczeniowo
" jeśli wysyłamy (za pomocą szyfrowanego połączenia) połączoną
wiadomość : m+H(m) zamiast samego tekstu jawnego m ewentualnym
napastnikom będzie znacznie trudniej zmodyfikować tekst m w czasie
transmisji
" H(m) to funkcja jednokierunkowa, tzn.
nie jest możliwe obliczenie wiadomości
tylko na podstawie skrótu
" np. MD5, SHA-1, itp.
Page 34 Systemy Teleinformatyczne w Transporcie Morskim
Funkcje skrótu (2)
Wiadomość m
Skrót
Funkcja
Lis
skrótu
Rudy lis
Funkcja
biegnie po
skrótu
lodzie
Rudy lis
Funkcja
idzie po
skrótu
lodzie
Page 35 Systemy Teleinformatyczne w Transporcie Morskim
Kody MAC (Message Authentication Code) (1)
Kod MAC (Message Authentication Code) to połączona wiadomość
wyposażona w dodatkowy klucz symetryczny s (klucz uwierzytelnienia)
" odbiorca i nadawca znają tajny klucz s
" skrót obliczany jest dla tekstu m połączonego z kluczem s :
H(m+s) = kod MAC
" wiadomość m połączona z kodem MAC H(m+s) jest wysyłana do odbiorcy
" odbiorca odbiera m & H(m+s) i stara się samodzielnie obliczyć kod MAC
jedynie na podstawie wiadomości m. Jeśli obliczony i odebrany kody MAC are
są równe to OK, w przeciwnym wypadku coś nie tak  integralność
wiadomości spełniona !
Nie należy mylić kodów MAC (kryptografia) z adresami fizycznymi
MAC ani podwarstwą MAC (podwarstwa w warstwie łącza danych
ISO/OSI) !
Page 36 Systemy Teleinformatyczne w Transporcie Morskim
Kody MAC (Message Authentication Code) (1)
Nadawca Odbiorca
Wiadomość m
Wiadomość m
Wiadomość
Klucz s Klucz s
Jeśli równe -> OK.
Jeśli nierówne -> coś nie tak
Page 37 Systemy Teleinformatyczne w Transporcie Morskim
Podpis cyfrowy (1)
Podpis cyfrowy jest metodą udowodnienia autentyczności cyfrowej
wiadomości lub dokumentu która
" została stworzona i wysłana przez znanego nadawcę (uwierzytelnienie)
" nie została zmodyfikowana w czasie transmisji (integralność wiadomości)
" posiada właściwość, że ten kto podpisał wiadomość nie może się póz
niej
wyprzeć tego podpisu (jednoznaczność)
Page 38 Systemy Teleinformatyczne w Transporcie Morskim
Podpis cyfrowy (2)
Podpis cyfrowy wykorzystuje funkcje skrótu, algorytm podobny do
MAC oraz klucze publiczne i prywatne (podpis cyfrowy kluczy tych
używa w odwrotnej kolejności wobec  normalnego szyfrowania
kluczem publicznym)
" dla wiadomości m obliczany jest skrót H(m)
" skrót H(m) jest następnie szyfrowany za pomocą (sekretnego) klucza
prywatnego nadawcy KA-
" odbiorca odbiera wiadomość m i skrót H(m) (deszyfruje go za pomocą
publicznego klucza nadawcy KA+), następnie sam oblicza skrót
wiadomości H (m). Porównuje oba skróty (H(m)= H (m)?), jeśli są równe
to OK, jeśli nie -> coś nie tak!
Page 39 Systemy Teleinformatyczne w Transporcie Morskim
Podpis cyfrowy (3)
y
ródło: magazyn Next 4/2009
Page 40 Systemy Teleinformatyczne w Transporcie Morskim