Θέματα ασφάλειας

Το περιβάλλον ασφάλειας

• χαθούν, καταστραφούν, ή σβηστούν,
• αλλοιωθούν
• διαδοθούν χωρίς την απαιτούμενη δικαιοδοσία

Επιπλέον το ίδιο το σύστημα μπορεί να:

• χρησιμοποιηθεί χωρίς άδεια,
• γίνει αντικείμενο βανδαλισμού.

Ενδεχόμενα κίνητρα για τις παραπάνω πράξεις μπορεί να είναι:

• περιέργεια,
• άμεσο οικονομικό όφελος,
• πρόκληση,
• εμπορική και βιομηχανική κατασκοπία,

Ακόμα, σε μια ευνομούμενη πολιτεία πρέπει να προστατεύεται και η ιδιωτική σφαίρα του κάθε πολίτη (Νόμος για την προστασία του ατόμου από την επεξεργασία δεδομένων προσωπικού χαρακτήρα).

Πολιτικές και μηχανισμοί ασφαλείας

Πιστοποίηση ταυτότητας

• μια μυστική πληροφορία (κάτι που γνωρίζει ο χρήστης),
• μια συσκευή (κάτι που κατέχει ο χρήστης),
• βιομετρικά χαρακτηριστικά (κάτι που είναι ο χρήστης),
• τον τόπο (κάπου που βρίσκεται ο χρήστης).

Προσδιορισμός προστασίας

• Η προστασία των αρχείων ή άλλων στοιχείων του συστήματος (λ.χ. συσκευών, διαμοιρασμένης μνήμης, σηματοφόρων κ.λπ.) μπορεί να οργανωθεί με βάση περιοχές προστασίας (security domain) στις οποίες ο χρήστης ο χρήστης έχει ορισμένα δικαιώματα (rights).
• Αυτή μπορεί να υλοποιηθεί με βάση μια λίστα ελέγχου προσπέλασης (access control list) ή μια λίστα προσδιορισμού δικαιωμάτων (capability list).

Μερικά προβλήματα

Βανδαλισμός (vandalism)

Η δόλια βλάβη η παρεμπόδιση χρήσης ενός πληροφοριακού συστήματος.

Δούρειος ίππος (Trojan horse)

Ένα πρόγραμμα το οποίο παραβιάζει μια πολιτική ασφάλειας εμφανιζόμενο να εκτελεί άλλες λειτουργίες από αυτές που πραγματικά εκτελεί.

Ιός (Virus)

Πρόγραμμα το οποίο κολλάει σε άλλα προγράμματα αλλάζοντας το εκτελέσιμο τμήμα τους.

Σκουλήκι (Worm)

Πρόγραμμα το οποίο εξαπλώνεται πολλαπλασιαζόμενο από σύστημα σε σύστημα.

Ωρολογιακή βόμβα (Time bomb)

Διάταξη (εκτός των προδιαγραφών) στον κώδικα ενός προγράμματος η οποία ενεργοποιείται μια συγκεκριμένη χρονική στιγμή.

Καταπακτή (trapdoor)

Διάταξη στον κώδικα ενός προγράμματος η οποία επιτρέπει την παράκαμψη ενός μηχανισμού ασφαλείας.

Ασφάλεια στο Internet

rsh/rexec/rlogin

Προβληματική η πιστοποίηση του χρήστη

telnet/ftp

Μεταφορά των κωδικών και των δεδομένων χωρίς κρυπτογράφηση

NFS/SMB

Προβληματική η πιστοποίηση

SMTP

Εύκολη η δημιουργία πλαστών μηνυμάτων

WWW

Δύσκολη η υλοποίηση ασφαλών συναλλαγών

Εκτελέσιμο περιεχόμενο (π.χ. Java, ActiveX)

Δύσκολος ο έλεγχος του περιεχομένου

Άλλες υπηρεσίες

Συχνές ανασφαλείς υλοποιήσεις

Ο ανθρώπινος παράγοντας

• Συχνά ο ανθρώπινος παράγοντας είναι ο ασθενέστερος κρίκος της αλυσίδας ασφαλείας.
• Ο άνθρωπος μπορεί να ξεχάσει να ελέγξει κάτι,
• να παραπλανηθεί, ή
• να δωροδοκηθεί.

Βασικές αρχές κρυπτογραφίας

• την εμπιστευτικότητα (confidentiality) με κρυπτογράφηση (cryptography),
• την ακεραιότητα (integrity) (προορισμού, περιεχομένου, προέλευσης) με αυθεντικοποίηση (authentication)
• την ταυτοποίηση (identification) με ψηφιακές υπογραφές (digital signatures)

Για την υλοποίηση των παραπάνω χρησιμοποιούνται αλγόριθμοι:

• συμμετρικής κρυπτογράφησης (symmetric encryption)
• κρυπτογράφησης δημοσίου κλειδιού (public key encryption)
• αφομοίωσης μηνυμάτων (message digest)

Τέλος για τη φύλαξη και ασφαλή διανομή στοιχείων των ψηφιακών υπογραφών μπορούν να χρησιμοποιηθούν έμπιστες τρίτες οντότητες (trusted third parties)

Βιβλιογραφία

• Andrew S. Tanenbaum Σύγχρονα λειτουργικά συστήματα. σ. 248-278 Εκδόσεις Παπασωτηρίου, 1993.

• Δημήτρης Γκρίτζαλης και Στέφανος Γκρίτζαλης Ασφάλεια λειτουργικών συστημάτων. Εκδόσεις ΜΙΤ Εκπαιδευτική - Αναπτυξιακή, 1993.

• Peter J. Denning. Computers Under Attack: Intruders, Worms, and Viruses. Addison-Wesley, 1990.

• Tom Forester and Perry Morrison. Computer Ethics: Cautionary Tales and Ethical Dilemmas in Computing. MIT Press, 1990.

• F. T. Grampp and R. H. Morris. UNIX operating system security. Bell System Technical Journal, 63(8), October 1984.

• Stefanos Gritzalis and Diomidis Spinellis. Addressing threats and security issues in World Wide Web technology. In Proceedings CMS '97 3rd IFIP TC6/TC11 International joint working Conference on Communications and Multimedia Security, pages 33–46, Athens, Greece, September 1997. IFIP, Chapman & Hall.

• Stefanos Gritzalis and Diomidis Spinellis. Cryptographic protocols over open distributed systems: A taxonomy of flaws and related protocol analysis tools. In 16th International Conference on Computer Safety, Reliability and Security: SAFECOMP '97, pages 123–137, York, UK, September 1997. European Workshop on Industrial Computer Systems: TC-7, Springer Verlag.

• Robert Morris. Password security: A case history. Communications of the ACM, 22(11):594–597, November 1979.

• Charles Pfleeger. Security in Computing. Prentice-Hall, 1996.

• Dennis M. Ritchie. On the security of UNIX. In UNIX Programmer's manual: Supplementary Documents, volume 2, pages 592–594. Holt, Rinehart and Winston, seventh edition, 1982.

• Eugene H. Spafford. The internet worm program: An analysis. Technical Report CSD-TR-823, Purdue University, West Lafayette, IN 47907-2004, November 1988.

• Ken L. Thompson. Reflections on trusting trust. Communications of the ACM, 27(8):761–763, 1984.

Εργασία στο εργαστήριο

Αρχεία που σχετίζονται με την ασφάλεια

/etc/passwd (5)

Κωδικοί χρηστών (πλασματικοί)

/etc/shadow (5)

Κωδικοί χρηστών (πραγματικοί, χωρίς δικαίωμα πρόσβασης)

/etc/group (5)

Μέλη ομάδων

/etc/shells (5)

Επιτρεπόμενοι φλοιοί

/etc/inetd.conf (5)

Παρεχόμενες υπηρεσίες του Internet

Εντολές που σχετίζονται με την ασφάλεια

chmod (1)

Αλλαγή των χαρακτηριστικών προστασίας ενός αρχείου

chown (1)

Αλλαγή του ιδιοκτήτη ενός αρχείου

chgrp (1)

Αλλαγή της ομάδας-ιδιοκτήτη ενός αρχείου

newgrp (1)

Αλλαγή της ομάδας ενός χρήστη

Κλήσεις που σχετίζονται με την ασφάλεια

chmod (2)

Αλλαγή των χαρακτηριστικών προστασίας ενός αρχείου

setuid (2)

Αλλαγή του χρήστη που εκτελεί μια διεργασία

• Περιεχόμενα

 Τελευταία αλλαγή: Δευτέρα, 2 Αυγούστου 2004 12:27 πμ
 Εκτός αν αναφέρεται κάτι διαφορετικό, όλο το πρωτότυπο υλικό της σελίδας αυτής του οποίου δημιουργός είναι ο Διομήδης Σπινέλλης παρέχεται σύμφωνα με τους όρους της άδειας «Creative Commons Attribution-Share Alike 3.0 Greece License».