Securitatea si confidentialitatea datelor in retelele publice - Securitatea Informatica

Securitatea si confidentialitatea datelor in retelele publice

Securitatea tranzacţiilor efectuate în reţelele publice depinde de viteza de elaborare a standardelor, de calitatea elaborării produselor software menite să implementeze securitatea dar şi de accesibilitatea pe scară largă a algoritmilor de criptare ce fac chiar subiectul unor reglementări legislative. Problemele cu care se confruntă instituţiile care decid să folosească reţelele pentru financiare sunt aceleaşi, încă de la apariţia primelor sisteme informatice de acest fel:

problemele legate de securitatea internă – din statistici rezultă că cel puţin 75% dintre infracţiunile de securitate sunt făcute de către persoane din interior;
atacurile externe continue – atacurile hackerilor şi mijloacele de protecţie evoluează şi se amplifică reciproc într-un proces recursiv imposibil de oprit;
codul maliţios – este vorba de cod scris cu intenţia fie de a lăsa o „portiţă de acces” pentru cei ce o cunosc, fie de a produce pagube, fie de a servi în diverse scopuri programatorului ce l-a generat;
atacurile asupra serviciilor – sunt în continua extindere şi perfecţionare, încercând ocolirea mecanismelor ce asigură confidenţialitatea şi integritatea.

Securizarea şi confidenţialitatea datelor transmise prin reţelele publice se realizează prin mai multe tehnici. Aceste tehnici vor fi prezentate în cele ce urmează. Criptografia. Criptarea este o metodă de protejare a informaţiilor sensibile stocate în sistemele de calcul, dar şi a celor care sunt transmise pe liniile de comunicaţie. Criptarea mesajelor de poştă electronică transmise prin reţea protejează informaţiile în cazul în care un intrus pătrunde în reţea. Informatiile care sunt criptate ramân sigure chiar dacă sunt transmise printr-o retea care nu oferă o securitate puternică. În multe versiuni ale unor sisteme de operare, fişierele care contin parolele utilizatorilor se stochează în formă criptată. Criptarea a devenit cea mai populară metodă de protecţie, atât pentru comunicatii, cât şi pentru datele cu caracter secret. Reţeaua Internet, spre exemplu, oferă servicii de criptare utilizatorilor săi. Pe măsura conştientizării beneficiilor aduse de utilizarea criptării, a dezavantajelor lipsei de protecţie a informatiilor şi a faptului că tehnologia de criptare a devenit mai accesibilă, criptarea devine o metoda atractivă de protejare a datelor, indiferent că este vorba de date secrete transmise prin reţea sau date obişnuite stocate în sistemul de calcul. Este remarcabil cât de des este folosită noţiunea de criptare-decriptare când este vorba de securitatea datelor. Transformarea datelor vehiculate folosind un anumit mecanism, astfel încât doar expeditorul şi destinatarul să poată inţelege informaţia, reprezintă una dintre cele mai vechi modalităţi de protejare a intereselor. Criptarea este cea mai importantă tehnologie în garantarea funcţionării diferitelor tipuri de plăţi electronice, protejând valorile electronice de furt, folosire necorespunzătoare sau falsificare. Departamentul Comerţului din SUA a aprobat de curând exportul tehnologiei de criptografiere PGP (Pretty Good Privacy) pe 128 de biţi numai către o serie de filiale ale unor firme americane din Europa. Aceasta se întâmplă din mai multe motive, principalele fiind dorinţa de a-şi păstra pentru ei posibilitatea unei criptări cât mai eficiente şi încercarea de a ţine departe de ultimele tehnologii celelalte ţări pentru a putea decripta mai uşor la nevoie mesajele acestora (cel puţin în mod teoretic). Când un utilizator se conectează la un sistem on-line prin intermediul computerului, se generează un număr oarecare (o secvenţă de cifre) ce îndeplineşte funcţia unei bancnote. Folosind un program de criptare (PGP, DES-CBC, TripleDES, MD5, RSA), PC-ul codifică mesajul şi îl transmite unei bănci. Mesajul este decodificat când utilizatorul face plata, sau, cu alte cuvinte, când îşi va debita contul. Vânzătorul va analiza semnătura digitală pentru autentificare şi o va trimite băncii sale, care îi va credita contul. Smart cardul încorporează softul de criptare în cipul magnetic, protejând astfel transmisiunile telefonice în care se încarcă sau se comunică valoarea conţinută. Toate firmele producătoare de software fac eforturi pentru determinarea soluţiilor de securitate optime aplicabile sistemelor furnizate. Netscape şi Microsoft dezvoltă API-uri (Crypto API şi Security Native API) pentru legarea funcţiilor criptografice de sistemele de navigare. Divizia JavaSoft a firmei Sun a anunţat din 1996 API-uri Java Card iar Gemplus şi Schlumberger, importanţi producători de cartele inteligente, au acordat licenţe pentru APIuri. Schlumberger a introdus din mai 1997 un smart-card Java, numit CyberFlex, care să asigure suport pentru SET (Secure Electronic Trasaction), publicat prima dată în august 1996, un standard de procesare în condiţii de siguranţă a cărţilor de credit, pentru reţele deschise. Acest standard avea la bază tehnologia de criptografiere RSA (Rivest, Shamir, Adleman) şi a fost susţinut ulterior de Visa International, MasterCard, Netscape şi Microsoft. Anterior, compania nordamericană Netscape Communications Corp. dezvoltase SSL (Secure Sockets Layer) ca protocol optim pentru criptografierea datelor, verificarea serverului, integritatea mesajelor şi, optional, pentru verificarile client pentru conexiunile TCP/IP, iar compania Microsoft Corp. Dezvoltase propria versiune de SSL, denumită PCT (Private Communications Technology), pentru ca apoi cu forţe reunite să dezvolte TLS (Transport Layer Security). Încă din 1997, MasterCard şi IBM s-au asociat cu o bancă din Danemarca pentru a pune la punct un sistem disponibil în 40-50 de ţări, sistem menit să protejeze cumpărăturile efectuate cu cărţi de credit prin Internet, folosind standardul SET. Oracle, IBM (initial cu propria familie de protocoale IKP – Internet Keyed Payment), Apple, Sun şi Netscape au dezvoltat standardul OpenCard. Tot încă din 1997, Conferinţa CardTech/SecureTech organizată în Florida, a reunite firme de prestigiu (Bull, HP, Microsoft, Schlumberger, Siemens-Nixdorf, Gemplus, IBM, Toshiba şi VeriFone Inc.) avand ca scop stabilirea unui standard de utilizare al smart cardurilor. RSA Data Security Inc., Redwood City, California, oferea cândva 100 dolari SUA celui care spărgea cheia de 129 cifre (425 biţi). Dar lui Derek Atkins, student la Massachusattes Institute of Technology nu i-a luat decât opt luni şi aprox.1.600 de calculatoare pentru a reuşi, iar la 19 iunie 1997 un grup de programatori, actionând concertat în Internet şi folosind un software produs de Rocke Verser, au reuşit spargerea codului de criptare DES (Data Encryption Standard), folosit pe scară largă de bănci şi companii pentru protejarea informaţiilor confidenţiale. Cheia mesajului criptat Strong cryptography makes the world a safer place a fost opera unui programator de la compania iNetz din Salt Lake şi a însemnat găsirea unei combinaţii numerice din cele 72 de catralioane de posibilităţi, după ce fuseseră testate aproximativ 25% dintre combinaţiile posibile. În primăvara anului 1997, la concursul internaţional, organizat de RSA Data Security Inc. pentru spargerea unui cod de 40 biţi, studentului elveţian Jacques Supca nu i-au trebuit decat 3 ore şi jumătate, în timp ce Ian Goldberg, un student de la Berkeley, a terminat doar cu câteva minute mai târziu. Ulterior, spargerea unei chei de 48 de biţi a durat numai 13 zile, fiind testate 281.474.976.710.656 de chei diferite (calculatoarele decriptează textul cifrat încercând cheile pe rând, una câte una). Încă din 1989, hacker-ul american Kevin David Mitnick, a reuşit să fure coduri telefonice pătrunzând în sistemul informatic al celei mai mari companii de telecomunicaţii (MCI) şi chiar până în inima comandamentului militar aerian nord-american, şi asta din locuinţa sa din Carolina de Nord. Înainte de arestare, în 1995, acesta reuşise să fure software pentru telefoane celulare şi să copieze deja 20.000 de numere de cărţi de credit din calculatorul central al Netcom, un ofertant de servicii Internet. Sistemul electronic de transfer bancar al Citibank a fost penetrat de matematicianul rus Vladimir Levin în august-septembrie 1995, când 2,8 milioane dolari SUA au fost vărsaţi în mai multe conturi din Finlanda, Israel şi California. Băncile din toata lumea comunică între acestea utilizand două sisteme principale, considerate sigure: Reuter şi S.W.I.F.T.. Reuter este o reţea informaţională ce se doreşte închisă, prin care băncile fac schimb de comunicate bancare atunci când încheie afaceri. Society for Worldwide Interbank Financial Telecomunications (S.W.I.F.T.) permite realizarea de tranzacţii comerciale între bănci, în măsură să efectueze acceptarea, validarea, stocarea şi livrarea mesajelor cifrate cunoscute doar de expeditor şi de primitor. Folosirea din ce în ce mai mult a tehnologiei de plată electronică pentru realizarea unor tranzacţii comerciale ce implică sume mari de bani reprezintă principala cauză a fraudei computerizate prin care sunt folosite reţelele de calculatoare (în special Internetul) pentru a spăla bani. Furturile masive din bănci prin pătrunderea în reţelele private ale acestora, spionajul comercial şi alte posibile delicte informatice reprezintă motive destul de serioase pentru a investi în mijloace puternice de securitate informatică. Publicatia Sunday Times, dezvăluia modul în care au fost jefuite de 400 milioane lire sterline, mai multe bănci şi instituţii financiare, prin amenintarea infiltrării în reţelele informatice. Chiar şi guvernul Statelor Unite a ajuns la concluzia că menţinerea securităţii sistemelor informatice şi a reţelelor de computere reprezintă cea mai importantă provocare a anilor ’90, peste 40 de atacuri având loc, începând din 1993, împotriva unor instituţii financiare din Londra şi New York. Cu toate că transferul masiv al banilor prin aceste reţele reprezintă o viziune asupra viitorului, acesta conţine de asemenea o ameninţare a stabilitatii monetare, a sistemului de schimb şi chiar a sistemului judiciar, neexistând practic legi scrise care să se refere cu precădere la banii electronici. Ca răspuns la aceasta ameninţare, Departamentul Judiciar al Statelor Unite a creat încă din anul 1992 o echipă cu rol în combaterea fraudei computerizate iar în prezent familiarizeaza procurori cu tehnici capabile a realiza o acuzare viabilă a celor ce încalcă legea utilizând reţelele de calculatoare. Tot în scopul combaterii fraudelor electronice din cyberspace, FinCEN (Financial Crimes Enforcement Network), organism infiinţat de Departamentul Trezoreriei, a ţinut un colocviu pe tema plăţilor electronice, pe 27 septembrie 1995, finalizat într-un raport intitulat Explorând lumea plăţilor în Cyberspace, o trecere în revista a tehnologiilor de plăţi electronice şi a celor mai importante probleme legale sau economice care le afectează. Tehnologia plăţilor electronice trebuie să permită persoanelor fizice să transfere fonduri importante, instantaneu, oriunde în lume, şi în acelaşi timp să rămână anonime, dar este foarte greu pentru autorităţi să încaseze taxele şi să lupte impotriva celor care încalcă legea. În majoritatea sistemelor intervin instituţiile financiare, care creează adevărate gâtuituri, prin care trebuie să treacă cantităţi importante de bani, a căror mişcare se face mai greu. BSA (Bank Secrecy Act) dă Secretarului Trezoreriei al SUA dreptul de a emite reguli care cer instituţiilor financiare să păstreze evidenţa tranzacţiilor, permiţând astfel monitorizarea activităţilor ce creează suspiciuni. Există, de asemenea, un Regulament al Consiliului Rezervelor Federale care supraveghează circulaţia electronică a banilor. Deoarece apar şi alte sisteme de plată electronică, măsurile care trebuie luate pentru a combate frauda electronică în cyberspace sunt destul de greu de stabilit. De exemplu, BSA cere ca la trecerea graniţei să fie declarate lichidităţile ce depăşesc 10.000 dolari SUA. Dar ar trebui că această regulă să fie aplicată şi smart-card-urilor? Ce reguli trebuiesc impuse tranzacţiilor ce implică plăţi electronice? Iată doar câteva întrebări care împreună cu problemele tehnice vor primi răspunsul aşteptat, în condiţiile în care tranzacţiile cu bani digitali au o pondere din ce în ce mai mare în toate statele lumii. Nu trebuie neglijată de asemenea fragilitatea criptărilor oferite de produsele comerciale. Algoritmii de criptare utilizaţi de marea majoritate a produselor software dar şi de unele produse hardware comerciale conferă o relativă protecţie faţă de un utilizator individual, care, eventual ar încerca să decripteze anumite date. La acest nivel decriptarea ar necesita investiţii mari şi durata de realizare ar fi de ordinul anilor, în cazul unor algoritmi mai putemici. Nu însă acelasi lucru se întâmpla la nivelul unor structuri de informatii, care ajung sa decripteze datele la nivel de secunde, unele fiind chiar creatori ai respectivilor algoritmi de criptare. Principalele protocoale de securizare a tranzacţiilor electronice se bazează pe algoritmi criptografici similari şi diferă prin maniera de furnizare a serviciilor şi prin situarea lor în raport cu ierarhia de protocoale TCP/IP. O serie de astfel de protocoale implementează securitatea la nivel de protocol de transport altele la nivel de sesiune, altele încearcă implementarea securităţii la nivel de aplicaţie (ftp, telnet, HTTP, e-mail) sau chiar la nivelul informaţiilor transmise prin utilizarea unor aplicaţii ce fac indescifrabile documentele transmise. Securitatea la nivel de protocol de transport se implementează prin includerea unor antete de autentificare în fiecare bloc de date transmis. În acelaşi sistem de securitate se practică şi încapsularea criptografică a informaţiilor din blocurile transmise. Un exemplu de astfel de protocol este protocolul TCP/IP. Securitatea la nivel de sesiune poate fi reprezentată de protocolul SSL care este frecvent utilizat. Acest sistem utilizează o combinaţie de sisteme de criptare cu chei publice şi simetrice care asigură implementarea confidenţialităţii, integrităţii datelor şi a autentificării serverului şi/sau a clientului. Autentitificarea clientului presupune existenţa unei perechi de chei criptografice : una publică şi una secretă. SSL foloseşte sisteme bazate pe chei publice pentru a schimba cheia de sesiune. O dată obţinută cheia de sesiune se poate folosi o varietate de algoritmi cu cheie secretă. Securitatea conexiunii realizată de SSL are următoarele proprietăţi:

o conexiunea este privată: cifrarea este prefaţată de protocolul de iniţiere care are rolul de a stabili o cheie simetrică de sesiune;
o autentificarea foloseşte sisteme de criptografie asimetrice
o conexiunea este sigura – transportul mesajelor include verificarea integrităţii folosind semnătura digitală cu chei publice (RSA, DSA etc) şi funcţii de criptare (MD5, SHA etc).

SSL furnizează următoarele servicii : autentificare server, cifrarea datelor şi integritatea mesajelor. Din familia protocoalelor de securizare a tranzacţiilor la nivel de sesiune mai fac parte şi protocoalele:

Simple Key Exchange for Internet Protocols (SKIP) – utilizează certificatele de chei publice pentru schimbarea unor chei criptografice simetrice, de lungă folosinţă între două părţi comunicante. Aceste certificate sunt obţinute prin utilizarea unui protocol separat.
Photuris – încearcă înlăturarea dezavantajelor SKIP generate de interceptarea de cheii de lungă folosinţă prin limitarea utilizării lor numai la autentificarea cheilor de sesiune ce au scurtă durată de folosinţă;
Internet Security Association and Key Management Protocol (ISAKMP) oferă un sistem generic de gestiune a cheilor şi nu unul specific, ca la SKIP sau Photuris, fiind mai flexibil în ceea ce priveşte algoritmul de criptare folosit.

Securitate la nivel protocol de transport se asigură în doua moduri: implementarea unui mecanism de securitate în Intranet şi Extranet şi securitatea implementată la nivel de reţele private (VPN). O reţea privată virtuală conectează componentele şi resursele unei reţele private prin intermediul unei reţele publice. Altfel spus, o reţea privată virtuală este o extensie a intranetului unei firme peste o reţea publică, cum este Internetul. VPN permite utilizatorilor să comunice prîntr-un tunel – procedeul se numeşte tunneling -prin Internet sau o altă reţea publică, în aşa fel încât participanţii la tunel să se bucure de aceeaşi securitate şi posibilităţi puse la dispoziţie numai în reţelele private. Pentru înţelegerea noţiunii tunneling se poate proceda prin analogia comunicaţiei dintre calculatoare, cu comunicaţia dintre persoane, prin poştă. Astfel, se pot considera calculatoarele care comunică ca şi cum ar fi două persoane, iar Internetul ar analogul fi sistemului poştal. Unitatea de transmisie este scrisoarea (pachetul de date). O persoană pune scrisoarea la poştă, iar apoi, ulterior, o armată de poştaşi, şoferi, aviatori, hamali, etc. mută scrisoarea la destinatarul acesteia. Scrisorile se pierd uneori, iar poşta nu garantează că acestea vor ajunge la destinaţie în proporţie de 100%, similar se petrec lucrurile şi în Internet. Se presupune în continuare că avem de a face cu o ţară care nu vrea să adere la convenţiile poştale internaţionale, care nu recunoaşte timbrele, care trimite scrisorile în pungi în loc de plicuri şi la care plata se face direct funcţionarilor. Să mai presupunem că, din anumite motive, scrisorile noastre trebuie să traverseze această ţară (şi nu avem un avion la dispoziţie). Soluţia pentru această problemă ar fi ca sistemul poştal internaţional să creeze în acest scop o organizaţie specială, cu filiale la două graniţe ale acestei ţări. Atunci cînd un plic trebuie să traverseze această ţară, acesta este livrat la graniţă, este băgat într-o pungă şi plata este făcută unui funcţionar, cu rugămintea de a trimite punga la cealaltă graniţă. Cînd punga ajunge dincolo, cealaltă filială extrage din pungă plicul, după care îl re-inserează în circuitul poştal normal. Traseul poştal între cele două filiale se numeşte în terminologia Internetului tunel. Numele este destul de natural, pentru că obiectul de transportat (plicul) intră într-o zonă întunecoasă şi iese abia la capătul celălalt la lumină. În general, avem de a face cu un tunel când datele trimise cu un anumit protocol sunt împachetate folosind un alt protocol de transmisiune, şi sunt despachetate apoi la celălalt capăt. În afară de TCP/IP şi reţelele de tip OSI, există o mulţime de alte feluri de reţele de calculatoare, în general dezvoltate de marile companii de calculatoare, toate incompatibile între acestea. De pildă, IBM are propriul model, numit SNA, Compaq are DecNet (moştenit de la compania Digital), Apple are Appletalk, etc. Din această cauză, la ora actuală în lume există o bază mare instalată de reţele care funcţionează cu protocoale diferite. Dar aceste reţele nu sunt însă sortite să rămînă izolate; acestea pot fi folosite ca punţi de legătură în Internet folosind conceptul de tunel. Acest fenomen se întâlneşte foarte des. În Statele Unite, spre exemplu, compania de telecomunicaţii Sprint, care posedă o mare parte din coloana vertebrală a Internetului, foloseşte pentru asta reţeaua proprie care rulează protocolul ATM; la capetele reţelei ATM se află rutere multiprotocol IP/ATM, care formează tunele prin reţeaua ATM pentru a transporta traficul Internet. VPN permite oamenilor care lucrează la distanţă, cum ar fi agenţii comerciali sau chiar sucursale ale companiei, să se conecteze într-o manieră sigură şi controlată la un server de corporaţie aflat într-o reţea locală (LAN), folosind infrastructura furnizată de o interreţea publică (cum ar fi Internetul, spre exemplu). Din perspectiva utilizatorului, tehnologia VPN este o conexiune punct-la punct între calculatorul propriu şi serverul corporaţiei. Natura inter-reţelei intermediare nu este relevantă, pentru că datele sunt transmise printr-o legătură dedicată, particulară. Tehnologia VPN permite, de asemenea, unei corporaţii să se conecteze la sucursale sau la alte companii (Extranet) prîntr-o inter-reţea publică, păstrând comunicaţia sigură. Conexiunea VPN peste Internet lucrează logic ca o legătură WAN între două site-uri, în ambele cazuri, conexiunea securizată peste Internet apare utilizatorului ca o comunicaţie într-o reţea particulară – în ciuda faptului că această comunicaţie se desfăşoară peste o interreţea publică – de unde şi numele de Reţea Privată Virtuală. Tehnologia VPN este o soluţie pentru problemele legate de tendinţa afacerilor spre operare de la distanţă, operaţii distribuite global şi operaţii de parteneriat foarte interdependente, în care lucrătorii trebuie să se poate conecta la resursele centrale, să comunice unul cu altul, iar companiile trebuie să-şi administreze eficient stocurile pentru un ciclu de producţie scurt. Pentru a le furniza salariaţilor posibilitatea de a se conecta la resursele corporaţiei, indiferent de locul unde se află, o corporaţie trebuie să implementeze o soluţie de acces la distanţă care să fie scalabilă şi fiabilă. În mod tipic, corporaţiile aleg între un departament de administrare a informaţiei, caz în care un departament al companiei este însărcinat cu cumpărarea, instalarea şi întreţinerea unei mulţimi de modem-uri şi a unei infrastructuri de reţea particulară sau VAN (Value-Added Network), când plătesc o companie externă pentru cumpărarea, instalarea şi întreţinerea mulţimii de modem-uri. Nici una din aceste soluţii nu este eficientă din punct de vedere al costului, fiabilităţii şi scalabilităţii. Utilizările cele mai comune ale VPN-urilor sunt:

Accesul utilizatorilor de la distanţă prin Internet – VPN permite accesul de la distanţă al utilizatorilor Ia resursele corporaţiei prin intermediul Internetului, păstrând secretul informaţiei. În loc de a folosi o linie închiriată, a face un apel pe distanţă lungă până la un server de acces la reţea, utilizatorul stabileşte mai întâi o conexiune prin dial-up cu ISP-ul local. Folosind conexiunea locală la ISP, software-ul VPN creează o reţea privată virtuală între utilizator şi serverul VPN prin intermediul Internetului.
Conectarea reţelelor prin Internet – în locul folosirii unui circuit închiriat de lungă distanţă între o sucursală şi companie, ambele routere pot folosi un circuit dedicat cu un ISP local pentru conexiunea la Internet. Software-ul VPN foloseşte conexiunile ISP locale şi Internetul pentru a crea o reţea privată virtuală între router-ul sucursalei şi router-ul corporaţiei. Se recomandă ca router-ul central, care este folosit şi drept server VPN, să fie legat la ISP cu o linie dedicată.
Conectarea calculatoarelor în intranet – în unele inter-reţele de corporaţie, datele departamentale au nevoie de protecţie sporită, ceea ce justifică deconectarea fizică a LAN-ului în care se află de la inter-reţeaua corporaţiei; acest lucru creează probleme de accesibilitate la informaţii a unui utilizator care nu este legat fizic la acel LAN, separat fizic de restul reţelei. VPN permite ca un LAN al departamentului să fie legat fizic de inter-reţeaua corporaţiei, dar separat de un server VPN. Serverul VPN nu funcţionează ca un router care ar permite accesul oricui la LAN-ul din context. Utilizând VPN, administratorul de reţea se poate asigura că numai utilizatorii din inter-reţeaua corporaţiei, care au acreditivele necesare, pot crea o conexiune cu serverul VPN şi câştigă accesul la resursele protejate din acel departament. În plus, toate comunicaţiile în VPN pot fi criptate pentru păstarea confidenţialităţii datelor. Acei utilizatori care nu au acreditive nu pot accesa LAN-ul departamental.

În afară de economiile directe realizate prin eliminarea costisitoarelor linii private şi a modemurilor pentru acces, implementarea unui VPN oferă firmelor o serie de avantaje importante:

Flexibilitatea – Internetul aduce un grad de flexibilitate comunicaţiei, care nu a mai fost disponibilă vreodată. Corporaţiile îşi pot conecta sucursalele la reţeaua proprie prin simpla conectare a acestora la Internet.
Simplitatea administrării. În cazul unei interconectări complete a sucursalelor unei organizaţii, liniile private pot furniza multe dificultăţi pe durata utilizării. Trebuie instalate şi administrate linii între fiecare două sucursale, spre exemplu. Folosind Internetul, nu trebuie decât să se asigure fiecărei sucursale acces la această reţea. În cazul accesului de la distanţă al utilizatorilor, problemele de administrare sunt transferate, în totalitate, furnizorului de servicii de Internet (Internet Service Provider).
Insensibilitatea la învechirea morală a tehnologiei. Riscul învechirii morale a tehnologiei se transferă de la corporaţie la ISP. Accesul la distanţă prin Internet permite utilizatorilor să folosească tehnologii de acces variate, inclusiv ISDN şi modemuri. Noile tehnologii de acces permiţând viteză mare, cum ar fi ADSL, ATM, o organizaţie va putea profita de acestea fără să facă investiţii în echipamente. Furnizorii serviciilor de Internet (ISP), conexiuni la Internet, suportă majoritatea costurilor schimbării tehnologiilor. Pentru acest motiv efortul modernizării este mult mai puţin semnificativ pentru aceştia, sub raport financiar. Deoarece aceste costuri se recuperează relativ repede urmare a numărului mare de consumatori de conexiuni Internet ce vor beneficia implicit de avantajele acestor progrese tehnologice.
Scalabilitatea. Pe măsură ce cererea de acces la distanţă creşte, organizaţia nu va avea nevoie să cumpere şi să instaleze echipamente de comunicaţie noi. E nevoie doar de comandarea unui nou cont de acces la un ISP.
Conectivitatea globală. Pe măsură ce economia continuă să se globalizeze, reţelele organizaţiilor trebuie să crească în afara graniţelor statale. Infrastructura cu fibră optică pentru linii private de calitate nu este disponibilă în peste tot. Internetul, pe de altă parte, este ideal pentru conectivitate internaţională. Protocolul Internetului (IP) poate rula pe orice infrastructură de comunicaţie.

O soluţie VPN pentru ca să fie viabilă trebuie să realizeze cel puţin câteva deziderate esenţiale:

o Autentificarea utilizatorului. Soluţia trebuie să verifice identitatea utilizatorului şi să permită accesul prin VPN numai utilizatorilor autorizaţi. În plus, soluţia trebuie să permită monitorizarea şi jurnalizarea activităţilor, pentru a arăta cine şi când a accesat o anume informaţie.
o Gestionarea adreselor. Soluţia trebuie să asocieze unui client o adresă din reţeaua privată şi să asigure că adresele private rămân secrete.
o Criptarea datelor. Datele transferate prin reţeaua publică trebuie făcute ilizibile pentru clienţii neautorizaţi.
o Gestiunea cheilor. Soluţia trebuie să genereze §i să împrospăteze cheile de criptare pentru client şi pentru server.
o Suport multiprotocol. Soluţia trebuie să fie capabilă să manevreze protocoalele existente în reţelele publice, cum ar fi Internet Protocol (IP), Internet Packet Exchange (IPX) etc.

Securizarea unei retele private virtuale VPN se poate face, de regulă, prin tehnicile tunneling, IPSecured preccum şi alte soluţii specifice VPN. Protocoalele IPSecured se bazează pe:

Antete de autorizare (Authorisation Header) – cu ajutorul caruia se verifică identitatea expeditorului;
Încapsularea din raţionamente de securitate (Encapsulation Security Payload – ESP) – partea de incapsulare în scopuri de asigurarea sigurantei;
Criptarea datelor pentru asigurarea securităţii împotriva monitorizărilor (ascultărilor);
Schimb de chei de acces (Negotiation and Key Exchange Protocol – IKE) – permite negocierea metodelor de securizare şi a cheilor de schimb de informaţii.

Un protocol de tip IPSecured poate contribui la securizarea unui sistem de tipul ebanking prin faptul că include antete de autentificare ce se pot asocia utilizatorului uman sau aplicaţiei care utilizează serviciile puse la dispoziţie de sistem. ESP combină autentificarea cu criptarea pentru a asigura confidenţialitatea serviciilor. Internet Key Exchange (IKE) se utilizează pentru schimbul de chei, pentru autorizarea unor tranzacţii sau a accesului într-o zonă de servicii securizată. Pentru a concluziona importanţa reţelelor virtuale private toată lumea este de acord cu faptul că acestea reduc foarte mult costurile pentru comunicaţiile de date ale unei companii şi asigură o securitate care rivalizează cu cea a unei reţele particulare implementate cu linii închiriate. În privinţa implementării, s-au demarcat clar două curente: unul în favoarea tunelării la nivelul 2 (PPTP, L2TP), care are ca avantaj încapsularea oricărui protocol de legătură de date şi altul în favoarea tunelării la nivelul 3 (IPSec). Pentru prima variantă există şi implementări hardware, pentru a doua, numai implementări software care sunt însă foarte flexibile. În anii următori se preconizează o creştere a rolului VPN. În perspectiva trecerii la standardul IPv6, protocolul IPSec a fost gândit pentru a fi complet compatibil cu noul standard. Securitatea la nivel de transport. Un avantaj important al protocoalelor de securitate la nivel de transport este acela că sunt independente de protocoalele de aplicaţie şi că protocoalele la nivel înalt pot fi suprapuse transparent peste acestea. Cele mai frecvente protocoale de securitate la nivel de transpport sunt SSL(Secure Socket Layer), PCT (Private Communication Techology) dezvoltat de Microsoft şi TLS(Transport Layer Security) protocol de a cărei standardizare se ocupă organizaţia IETF(Internet Engineering Task Force). Standardul pentru protocolul SSL a fost stabilit de compania nordamericană Netscape Communications şi furnizează servicii de autentificare, compresie de date, criptare şi integritate a datelor pentru o serie de protocoale de nivel aplicaţie din Internet. Deşi SSL a fost creat iniţial pentru securizarea Web ului, acesta este compus la ora actuală dintr-un întreg nivel de protocoale care operează peste protocolul Internet TCP. Cea mai răspândită utilizare a SSL este în protejarea comunicaţiilor HTTP. Orice URL care începe cu https indică utilizarea protocolului HTTP protejat de SSL. Scopul principal al protocolului SSL este acela de a realiza securiatea conexiunii între două aplicaţii. Realizarea securităţii conexiunii presupune asigurarea a trei elemente de bază :

o Conexiunea este secretă în sensul că se asigură confidenţialitatea datelor care sunt comunicate prin ea. Pentru aceasta este utilizată criptografia simetrica – algoritmi ca DES, RC4 etc, după ce, într-o primă fază, protocolul implică un schimb de informaţii între entităţile comunicante pentru a stabili cheia secretă de criptare.
o Entitatea pereche poate fi autentificată utilizând cripografia cu chei publice – criptografia asimetrică; se utilizează algoritmi de criptare ca RSA, DSS etc;
o Conexiunea este fiabilă, în sensul că transportul mesajelor implică şi o verificare a integrităţii acestora folosind un cod de autentificare – Message Authentication Code (MAC) cu cheie. Pentru calculul codului de autentificare sunt folosite funcţii hash sigure cum ar fi SHA-1, MD5 etc.

Protocolul SSL este compus din două niveluri: protocolul de înregistrare – defineşte formatul de bază pentru toate pachetele de date transmise în cadrul unei sesiuni şi protocolul de negociere- creează mesajele de negociere şi le paseaza nivelului de înregistrare. Protocolul TLS este o variantă a protocolului SSL v3.0. Diferenţele între cele două protocoale constau în modul de calcul al valorii de autentificare(MAC), o standardizare mai strictă a ordinii mesajelor, a conţinutului lanţurilor de certificare şi mesajele de alertă care sunt mai numeroase în varianta TLS. TLS furnizează următoarele servicii:

Autentificarea entităţii – entităţile pereche pot fi autentificare folosind tehnici criptografice asimetrice (ex : RSA sau DSA). TLS utilizează semnături digitale. Autentificarea entităţilor este opţională, dar, în general, se cere a fi făcută la cel puţin unul din capetele de comunicaţie.
Stabilirea cheii – cheia secretă este negociată între entităţile pereche ce comunică. Protocolul de înregistrare TLS derivă în mod unic cheile pentru cifrare şi pentru realizarea intergrităţii datelor din materialul de chei stabilit de protocolul de negociere TLS.

Exemple de utilizare a protocoalelor din familia SSL se întâlnesc frecvent în lumea reală în cazul aplicaţiilor de tip client/server pentru a îmbunătăţi securitatea accesului la distanţă la obiecte sau la baze de date, în cazul aplicaţiilor e-banking pentru a securiza tranzacţiile bancare, administrarea la distanţă a unor sisteme informatice, securizarea magazinelor on-line şi a aplicaţiilor ce permit achiziţia sau rezervarea de bilete online. Securitate la nivel de aplicaţie. Paralel cu protocoalele la nivel sesiune s-au făcut o serie de eforturi pentru securizarea aplicaţiilor standard Internet dintre care voi atrage atenţia asupre a două dintre acestea: mesageria (poşta) electronică şi World Wide Web – HTTP. Aplicaţiile de mesagerie electronică, incluzând aici programele pentru poşta electronică şi aplicaţiile cu capabilităţi de transfer de mesaje sunt un bun exemplu de clasă de aplicaţii ale căror necesităţi de securitate nu pot fi acoperite doar prin măsurile de securitate a reţelei. Comunicarea prin mesaje sigure necesitâ protejarea de la expeditor la destinatar (end-to-end) într-un mediu în care mesajele pot traversa conexiuni de reţea multiple şi gateway-uri necunoscute. Mesajele pot fi înscrise pentru transmitere, respectiv recepţionate prin intermediul unor sisteme finale care acceptă mai mulţi utilizatori diferiţi. Vulnerabilitatea poştei electronice din punct de vedere al securităţii, datorată mediului nesigur pe care mesajele îl tranzitează în drumul lor de la expeditor la destinatar, reprezintă una din problemele actuale ale comunicaţiei în reţelele de calculatoare. Serviciile de securitate necesare pentru transferul sigur de mesaje sunt extrem de diverse. Pentru simplificarea prezentării acestea vor fi divizate în două categorii: (a) Serviciile de securitate de bază sunt măsuri de protecţie ce se aplică unui mesaj ca unitate de date de sine stătătoare. Acestea sunt, în general, independente de modul de înscriere al mesajelor pentru transmitere, transferul prin reţea şi mecanismele de livrare putând fi implementate în întregime la nivelul aplicaţiei instalate pe staţia de lucru a utilizatorului. Serviciile de protecţie de bază includ:

o Autentificarea originii datelor – asigură receptorul că mesajul provine de la cel ce se pretinde a fi transmiţătorul acestuia. Serviciul de autentificarea originii datelor verifică identitatea transmiţătorului pe baza unei anumite chei criptografice ce o posedă doar respectiva persoană.
o Integritatea conţinutului – protejeazâ conţinutul mesajului împotriva modificărilor ce pot apărea între transmiţător şi receptor, inclusiv împotriva modificărilor introduse de un atacator. Acest serviciu este în general integrat cu cel de autentificare a originii datelor.
o Confidenţialitatea conţinutului – protejează conţinutul mesajului împotriva divulgării acestuia faţă de interceptori ce se pot interpune între transmiţător şi receptor. De exemplu, două firme care fac afaceri pe baza unui acord de confidenţialitate mutuală (non-disclosure agreement) au nevoie de un astfel de serviciu în comunicarea mesajelor dintre acestea.
o Nerepudierea originii – furnizează receptorului o dovadă asupra originii mesajului şi conţinutului său. Prin acest serviciu se poate oferi dovada imediată şi indubitabilă că o astfel de comandă a fost trimisă de clientul respectiv.

(b) Serviciile de securitate extinse fac mai mult decât să protejeze mesajul ca o entitate de date independentă. Serviciile de confirmare furnizează transmiţătorului notificări securizate asupra faptului că mesajul a fost livrat la destinate sau, cel puţin, că a ajuns în nodul următor de pe calea de transfer. Serviciile de confirmare sunt diferite, în funcţie de protocolul folosit pentru securizarea mesajelor, dar acestea pot include:

o Dovada livrării – furnizează transmiţătorului asigurarea că mesajul a fost livrat receptorului dorit fără modificări în timpul transferului.
o Dovada înscrierii – furnizează transmiţătorului asigurarea că mesajul a fost acceptat de către transmiţătorului iniţial pentru a fi transferat către receptorii doriţi. Acest serviciu este foarte util atunci când aplicaţia care generează mesajul aparţine unei organizaţii diferite de cea căreia aparţine transmiţătorului iniţial.
o Nerepudierea livrării – furnizează transmiţătorului unui mesaj dovada de necontestat că mesajul a fost livrat receptorului dorit fără să fi suferit modificări în timpul transferului.
o Nerepudierea înscrierii – furnizează transmiţătorului unui mesaj dovada de necontestat că mesajul a fost acceptat de către transmiţătorului iniţial pentru a fi transmis spre receptor.

Alte servicii de securitate extinsă pot fi furnizate de anumite protocoale de transfer electronic de mesaje, pentru a satisface cerinţe specifice anumitor medii de operare. De exemplu, protocoalele proiectate a fi folosite în mediile militare pot include servicii de etichetare, care ataşează o etichetă de securitate flecărui mesaj, pentru a indica nivelul de securitate necesar a fi asigurat pentru mesajul respectiv şi alte informaţii de control al autorizării. Există definite mai multe protocoale de securitate pentru transferui de mesaje folosite în conjuncţie cu poşta electronică din Internet sau cu alte servicii de mesagerie electronică care interfaţează cu poşta din Internet prin intermediul gateway-urilor. Insăşi multitudinea de protocoale de securitate este o problemă, deoarece majoritatea acestorprotocoale nu interoperează între acestea, îngreunând sarcina utilizatorilor de a găsi produse software care să le permită schimbul de mesaje securizate cu toţi ceilalţi utilizatori cu care doresc să comunice. Diversitatea aplicaţiilor care folosesc aceste protocoale şi lipsa lor de interoperabilitate este una dintre mai mari piedici împotriva extinderii folosirii lor pe scară largă. Dintre cele mai cunoscute protocoale de securitate pentru poşta electronică se pot enumera : standardul PEM(Privacy Enhanced Mail) – poşta electronică cu facilităţi de securitate; standardul MIME(Multipurpose Internet Mail Extensions) – standardul pentru poşta electronică cu facilităţi multimedia. Protocolul HTTP (HyperText Transfer Protocol) este protocolul folosit în comunicaţia dintre clienţii şi serverele WWW. Specificaţia iniţială a protocolului HTTP includea un suport destul de modest pentru securitate, care odată cu extinderea folosirii acestui protocol s-a dovedit a fi insuficient. Grupul de lucru care se ocupă de securitatea tranzacţiilor Web (Web Transaction Security Work Group) din IETF a dezvoltat un set de cerinţe şi specificaţii pentru adăugarea de servicii de securitate la tranzacţiile ce folosesc protocolul HTTP. Ca o evoluţie din punct de vedere al securităţii la nivelul protocolului HTTP a fost realizat Secure-HTTP(S-HTTP), extensie cu capabilităţi de securitate a protocolului HTTP. S-HTTP lucrează la nivelul aplicaţie şi criptează mesajele dintre un client (de obicei un browser) şi un server. S-HTTP este total compatibil cu HTTP, facilităţile de securitate fiind ignorate în cazul în care una din părţile comunicante nu suportă decât HTTP. S-HTTP a fost proiectat avându-se în vedere flexibilitatea, permiţând atât clientului, cât şi serverului să negocieze tipul de criptare ce va fi folosită ulterior în comunicaţia dintre ei şi puterea criptografică a algoritmului ce va fi folosit. S-HTTP poate realiza autentificarea atât a clientului, cât şi a serverului, folosind semnături digitale şi poate verifica integritatea datelor folosind MAC-uri (coduri de autentificare a mesajelor). S-HTTP este un protocol de comunicaţie orientat pe mesaje, care asigură securizarea acestor mesaje atunci când acestea sunt transmise folosind HTTP. Protocolul furnizează deci servicii de securitate pentru confidenţialitatea tranzacţiilor, integritatea datelor şi nerepudierea originii datelor. S-HTTP oferă flexibilitate în alegerea modului de gestionare a cheilor criptografice, algoritmilor criptografici şi a politicilor de securitate prin opţiunea de negociere între părţi pentru fiecare tranzacţie. În aplicaţiile client – server S-HTTP pot fi folosite mai multe tipuri de mesaje securizate, cum ar fi mesajele conforme standardelor PKCS, MOSS sau PEM. În timp ce SSL şi TLS operează la nivelul transport, S-HTTP asigură tranzacţii end-to-end, prin adăugarea de capabilităţi criptografice la mesajele de la nivelul aplicaţie. De aceea, în timp ce SSL şi TLS sunt protocoale independente de aplicaţie, S-HTTP este strâns legat de protocolul HTTP, care este un protocol de tip cerere-răspuns şi nu poate asigura securitatea în aplicaţii care folosesc un alt protocol decât HTTP. Pe de altă parte, în timp ce SSL criptează întreaga sesiune dintre client şi server, SHTTP este capabil să cripteze mesaje individuale, ceea ce constituie un avantaj pentru anumite tipuri de aplicaţii. Protecţia mesajelor S-HTTP poate fi asigurată în trei moduri: semnături digitale, integritatea datelor şi cifrarea datelor. Orice mesaj poate fi semnat, criptat, autentificat şi se poate aplica orice combinaţie ale celor trei tehnici amintite. În plus, protocolul furnizează un mecanism simplu de tip cerere-răspuns bazat pe informaţii specifice, generate pentru fiecare sesiune în parte, permiţând astfel ambelor entităţi comunicante să fie sigure de faptul că informaţiile transmise sunt proaspete. S-HTTP nu necesită în mod obligatoriu folosirea certificatelor de chei publice (sau a cheilor publice) pentru clienţi, deoarece suportă şi mod de operare bazat pe algoritmi de criptare simetrici. Sunt suportate mecanisme multiple de gestiune a cheilor, incluzând partajarea manuală a secretelor, certificate de chei publice şi tichete Kerberos. Un caz particular îl constituie posibilitatea utilizării criptării simetrice folosind chei de sesiune comunicate în prealabil între cele două părţi. Dacă asupra mesajelor schimbate folosind protocolul S-HTTP se aplică semnătura digitală, atunci pentru verificarea acestei semnături de către receptor se va folosi un certificat digital care conţine cheia publică a transmiţătorului. Certificatul trebuie să fie într-un format standard (în general se foloseşte formatul pentru certificate descris în standardul X.509 sau X.509v3). Acest certificat este fie ataşat la mesaj, fie achiziţionat pe o cale independentă de către receptor. O situaţie specială este aceeaîn care certificatul este semnat cu cheia privată corespunzătoare cheii publice pe care o atestă în cazul în care avem de-a face cu certificate auto-semnate (self-signed certificates). Algoritmii de semnătură digitală suportaţi de protocolul S-HTTP versiunea 1.2 sunt RSA şi DSA. Pentru cifrarea simetrică în S-HTTP a mesajelor sunt folosite cifruri bloc în modul CBC iar pentru cifrarea antetelor mesajelor sunt folosite cifruri bloc în modul ECB – Electronic Code Book. S-HTTP furnizează un mod de verificare a integrităţii mesajului şi a autenticităţii celui ce 1-a transmis prin calcularea unei valori hash a conţinutului inclus în mesajele SHTTP. Versiunea 1.2 a protocolului S-HTTP foloseşte construcţii HMAC (descrise în RFC 2104) bazate pe algoritmii criptografici de hash MD2, MD5 sau SHA-1. S-HTTP defineşte un nou cuantificator de protocol, shttp://. Folosirea acestui cuantificator ca parte dintr-un URL indică faptul că serverul ţintă suportă S-HTTP şi că se va executa o procesare S-HTTP. Suportul pentru criptare nu este obligatoriu, ci doar recomandat; clienţii şi serverele care implementează serviciul de criptare trebuie să suporte unul din următorii trei algoritmi în modurile ECB şi CBC: DES, RC2 sau CDMF. Este recomandat de asemenea ca agenţii SHTTP să suporte şi serviciul de verificare a semnăturii digitale; este recomandat ca serverele să asigure suport pentru generarea semnăturii. Securitate prin firewalls. În linii mari, un firewall este un sistem care impune o politică de control a accesului între două reţele. Acesta reprezintă implementarea politicii de securitate în termeni de configurare a reţelei. Un firewall este un sistem plasat la graniţa dintre două reţele şi posedă următoarele proprietăţi:

o tot traficul dintre cele două reţele trebuie să treacă prin acesta;
o este permisă trecerea numai a traficului autorizat prin politica locală de securitate;
o sistemul însuşi este imun la încercările de penetrare a securităţii acestuia.

Deoarece un firewall este dispus la intersecţia dintre două reţele, acesta poate fi folosit şi în alte scopuri decât acela al controlului accesului:

• pentru monitorizarea comunicaţiilor dintre o reţea internă şi o reţea externă ;
• un firewall poate fi folosit pentru interceptarea şi înregistrarea tuturor comunicaţiilor dintre reţeaua internă şi exterior;
• dacă o organizaţie are mai multe reţele, separate din punct de vedere geografic, fiecare având câte un firewall, există posibilitatea programării acestor firewall-uri pentru a cripta automat conţinutul pachetelor transmise între acestea. În acest fel, pe suportul Internet, organizaţia îşi poate realiza propria reţea virtuală privată.

Pentru a asigura un nivel corespunzător de securitate o organizaţie are nevoie de o politică de securitate pentru a preveni accesul neautorizat la resursele şi informaţiile de pe reţeaua privată. Chiar dacă organizaţia nu este conectată la Internet, ea tot ar trebui să-şi stabilească o politică internă de securitate pentru a controla accesul utilizatorilor la anumite subreţele şi pentru a proteja informaţiile cu caracter confidenţial. Este important de subliniat că un firewall nu este numai un dispozitiv sau o combinaţie de dispozitive ce furnizează securitate pentru o reţea, firewall-ul este parte a unei politici generale de securitate şi are rolul de a crea un perimetru de securitate în jurul resurselor informaţionale ale organizaţiei. Politica de securitate trebuie să stabilească responsabilităţile utilizatorilor din punct de vedere al securităţii, modul de acces la reţea şi metodele de autentificare a utilizatorilor interni sau aflaţi la distanţă, mecanismele de criptare a datelor memorate sau transmise prin reţea, măsurile de protecţie împotriva viruşilor etc. Politica de securitate trebuie să identifice toate punctele potenţiale de atac şi să le protejate pe toate la acelaşi nivel de securitate. Într-o exprimare extrem de plastică, dar în acelaşi timp extrem de sugestivă a implementa un firewall fără o politică de securitate corespunzătoare este ca şi cum ai pune o uşă blindată la intrarea unui cort. Există un număr greu de definit de scenarii de atac al unei reţele şi este greu de descris un atac tipic al unei reţele, deoarece intruşii au diferite niveluri de pregătire tehnică şi diferite motivaţii. Unii consideră acest lucru o provocare iar alţii doresc să fure informaţii confidenţiale pentru profit. Unul din scenarii este colectarea de informaţii. În general, primul pas spre a pătrunde în reţeaua unei organizaţii îl reprezintă adunarea de informaţii despre acea reţea. Pentru colectarea acestor informaţii există o serie de instrumente software pe care un atacator le poate folosi. Protocolul SNMP poate fi folosit pentru a examina tabela unui router neprotejat, pentru a determina topologia reţelei ţintă. Programul traceroute poate oferi adresele reţelelor şi routerelor intermediare în calea spre o posibilă ţintă. Serverele DNS pot fi interogate pentru a obţine informaţii referitoare la tipul calculatoarelor din reţeaua internă, numele şi adresele IP asociate acestora. Programul finger poate oferi informaţii despre utilizatorii unui calculator gazdă (numele de login, numerele de telefon, data ultimei conectări în sistem etc.). Programul ping poate fi folosit pentru a determina dacă un anume calculator există şi este accesibil. Acest instrument simplu poate fi folosit într-un program de scanare a tuturor staplor posibile pentru a forma o listă a staţiilor existente într-o reţea. După colectarea informaţiilor despre ţintă, atacatorii încearcă să verifice fiecare staţie pentru a descoperi breşe de securitate. Pentru aceasta, un atacator are la dispoziţie câteva soluţii, cum ar fi:

o scrierea unui mic program care să încerce să se conecteze la porturile specifice acestor servicii de pe staţiile ţintă. Ieşirea programului este o listă de staţii care suportă serviciile respective şi, prin urmare, pot fi uşor atacate;
o folosirea unor programe profesionale de scanare a securităţii sistemelor, cum ar fi Internet Security Scanner (ISS) sau Security Administmtor Tool for Auditing Networks (SATAN). Aceste programe determină slăbiciunile fiecărei staţii ţinând seama de vulnerabilităţile specifice sistemului de operare şi aplicaţiilor ce rulează pe staţia respectivă. De menţionat că aceste programe sunt disponibile gratuit pe Internet.

Un administrator inteligent de reţea poate folosi aceste instrumente înaintea unui atacator, pentru a descoperi şi corecta potenţialele lacune de securitate. Intruşii folosesc rezultatele obţinute pentru a-şi alege ţinta şi modul de atac. După obţinerea accesului la un sistem protejat intrusul are, în genere, mai multe opţiuni disponibile. Astfel, acesta poate încerca să distrugă dovezile atacului şi să creeze o nouă breşă în sistemul de securitate prin care să poată intra chiar dacă atacul original a fost descoperit. Se poate instala un program de monitorizare a pachetelor din reţea (sniffer), prin intermediul căuia un intrus poate să obţină nume de conturi şi parole pentru serviciile de Telnet şi FTP, care să-i permită să-şi dezvolte atacul şi asupra altor staţii. Un intrus poate găsi alte staţii care au încredere în staţia compromisă, extinzând atacul asupra întregii reţele a organizaţiei. Dacă poate obţine acces privilegiat la o staţie, atacatorul poate citi e-mail-uri, fişiere private, poate fura aceste fişiere sau poate distruge date importante. Un firewall controlează accesul între Internet şi reţeaua privată a unei organizaţii. Fără acest firewall, fiecare staţie din reţeaua privată este expusă atacurilor de penetrare iniţiate din afara reţelei. Aceasta înseamnă că securitatea reţelei se bazează în mod exclusiv pe securitatea calculatoarelor componente, fiind necesar ca toate acestea să coopereze pentru realizarea unui nivel înalt şi uniform de securitate. Cu cât reţeaua devine mai largă, cu atât este mai greoaie administrarea acestor calculatoare în scopul menţinerii lor la acelaşi nivel (înalt) de securitate. Pe măsură ce greşelile şi carenţele în ceea ce priveşte securitatea reţelei devin tot mai obişnuite, penetrăriler au loc nu ca rezultat al unor atacuri complexe, ci mai ales datorită erorilor de configurare sau administrare. Folosirea unui firewall pentru asigurarea securităţii reţelelor furnizează numeroase avantaje, ajutând şi la creşterea nivelului de securitate al calculatoarelor component dintre care vor fi enumerate doar cele mai importante:

(a) Concentrarea securităţii. Pentru a asigura securitatea unei reţele, un firewall poate fi o soluţie mai puţin costisitoare din punctul de vedere al administrării în sensul că programele care trebuie modificate şi software-ul adiţional care trebuie instalat pot fi localizate (în totalitate sau în cea mai mare parte) î|n sistemul firewall, spre deosebire de situaţia în care acestea ar fi fost distribuit pe toate calculatoarele din reţea. Folosirea altor soluţii de securitate, cum ar fi Kerberos, spre exemplu, implică modificări la fiecare calculator din reţea.
(b) În timp ce Kerberos şi alte tehnici au avantajele lor (care le fac mai indicate în anumite situaţii), firewall-urile tind să fie mai uşor de implementat şi administrat, software-ul specializat executându-se numai pe acestea.
(c) Instituirea unei politici de acces în reţea. Un firewall furnizează mijloacele de control al accesului într-o reţea privată. Unele calculatoare gazdă pot fi fi accesibile din exterior, în timp ce altele pot fi protejate efectiv faţă de accesul nedorit. De exemplu, o organizaţie poate interzice accesul din exterior la calculatoarele din reţeaua proprie, cu excepţia celor care asigură serviciile de poştă electronică şi WWW. Un firewall asigură, pe cale de consecinţă, mijloace pentru implementarea şi impunerea unei politici a accesului în reţea, fumizând un control asupra serviciilor disponibile şi accesului utilizatorilor la acestea. Fără un firewall, o astfel de politică ar depinde în întregime doar de cooperarea dintre utilizatori.
(d) Protecţia serviciilor vulnerabile. Un firewall poate contribui la creşterea nivelului de securitate al unei reţele, reducând riscurile la care aceasta este supusă, prin filtrarea serviciilor care sunt în mod inerent nesigure, cum ar fi NFS, NlS sau finger. Serviciul finger, de exemplu, poate furniza atacatorilor informaţii despre cât de des este folosit un sistem, dacă sistemul are utilizatori activi la un moment dat şi dacă poate fi atacat fără a atrage atenţia.Monitorizarea şi realizarea unor statistici cu privire la folosirea reţelei. Dacă întregul trafic spre / dinspre Internet trece printr-un firewall, atunci există posibilitatea monitorizării acestuia şi furnizării de statistici cu privire la folosirea reţelei. Colectarea de date privitoare la încercările de atac asupra reţelei permite verificarea rezistenţei firewall-ului la asemenea încercări, iar realizarea de statistici este folositoare pentru analizarea riscurilor şi pentru studiile de dezvoltare a reţelei.

În afara avantajelor folosirii unui firewall există, de asemenea, o serie de dezavantaje şi un număr de probleme de securitate, care nu pot fi rezolvate prin intermediul acestuia. Încă de la început trebuie subliniat faptul că un firewall nu este un panaceu universal pentru rezolvarea tuturor problemelor de securitate ale reţelelor conectate la Internet. Printre dezavantajele utilizării unui firewall se pot enumera:

I. Restricţionarea accesului la unele servicii. Un firewall impune, de cele mai multe ori, restricţionarea sau blocarea accesului la unele servicii considerate vulnerabile, servicii care sunt însă solicitate intens de utilizatori (de exemplu TELNET,FTP etc.)- Totuşi, acest dezavantaj nu este specific numai firewall-urilor, accesul la anumite servicii putând fi restricţionat la fel de bine şi la nivelul calculatoarelor gazdă, în funcţie de politica de securitatea organizaţiei. O politică de securitate bine planificată, care pune în balanţă atât cerinţele de securitate în reţea, cât şi nevoile utilizatorilor, poate duce la reducerea problemelor aduse de restricţionarea accesului la unele servicii.
II. Protecţia scăzută faţă de atacurile provenite din interior. În general, un firewall nu asigură o protecţie faţă de ameninţările interne. Un firewall nu poate opri o persoană din interiorul reţelei de a copia informaţii pe o dischetă şi de a le furniza apoi celor interesaţi. Un firewall nu poate asigura proteciie împotriva unor uşi secrete existente într-o reţea, cum ar fi, de exemplu, permiterea nerestricţionată a accesului prin modem la unele dintre calculatoarele interne. Este total nerecomandată investirea de resurse importante într-un firewall, dacă celelalte modalităţi posibile pentru furtul datelor sau pentru atac împotriva sistemului sunt neglijate.
III. Protecţia scăzută faţă de viruşi. Firewall-urile nu pot asigura protecţie împotriva utilizatorilor care aduc local, din arhivele Internet, programe infectate de viruşi. Din cauză că aceste programe pot fi codificate sau comprimate în mai multe moduri, un firewall nu le poate scana în scopul identificării semnăturilor virale. Această problemă a programelor infectate rămâne şi va trebui rezolvată prin alte metode, din care cea mai recomandată ar fi instalarea unui software antivirus pe fiecare staţie din reţea.
IV. Viteza de comunicaţie cu exteriorul. Un firewall reprezintă o potenţială gâtuire pentru traficul dintre reţeaua internă şi exterior. Totuşi, această limitare nu constituie o problemă în reţelele legate cu exteriorul prin linii de mare viteză.
V. Fiabilitatea protecţiei firewall. O reţea protejată prin firewall îşi concentrează securitatea într-un singur loc, spre deosebire de varianta distribuirii securităţii între mai multe sisteme. O compromitere a firewall-ului poate fi dezastruoasă pentru celelalte sisteme (mai puţin protejate) din reţea. Un contra-argument la acest dezavantaj constă în faptul că incidentele de securitate apar, mai degrabă, pe măsură ce numărul de sisteme din reţea creşte, iar distribuirea securităţii între acestea face să crească modalităţile în care reţeaua poate fi atacată.

În ciuda tuturor acestor probleme şi dezavantaje, se recomandă ca protejarea resurselor unei reţele să se facă atât prin intermediul firewall-urilor, cât şi al altor mijloace şi tehnici de securitate.

Twitter Digg Delicious Stumbleupon Technorati Facebook


Nici un comentariu inca... Fii primul care lasa un comentariu!

Lasa un raspuns

This site is protected by Comment SPAM Wiper. This site is protected by WP-CopyRightPro