SECURITATEA RETELELOR WIRELESS

SECURITATEA RETELELOR WIRELESS

1. Introducere

Retelele wireless sunt relativ mai putin sigure decat cele cablate datorita accesului mai facil la retea al persoanelor neautorizate aflate in zonele de acoperire ale punctelor de acces. Exista implicit in implementarea retelelor wireless diferite bariere care formeaza asa numita securitate de baza a retelelor wireless, care impiedica accesul neintentionat al persoanelor straine de retea aflate in aria de acoperire a unui punct de acces. Pentru persoane rau intentionate, cu buna pregatire in domeniu, de tipul hackerilor, securitatea acestor retele ca de altfel si a altora este discutabila.

Barierele de securitate (securitatea de baza) care au fost prevazute in protocoalele retelelor Wi-Fi asigura un nivel relativ scazut al securitatii acestor retele, ceea ce le-a franat intrucatva dezvoltarea. In iunie 2004 s-a adoptat standardul 802.11i care imbunatateste securitatea retelelor wireless.

Securitatea de baza a retelelor wireless este asigurata de urmatoarele functii implementate:

SSID (Service Set Identifiers);

WEP (Wired Equivalent Privacy);

Verificarea adresei MAC (Media Acces Control).

SSID este un cod care defineste apartenenta la un anumit punct de acces wireless. Toate dispozitivele wireless care vor sa comunice intr-o retea trebuie sa aiba SSID-ul propriu, setat la aceeasi valoare cu valoarea SSID-ului punctului de acces pentru a se realiza conectivitatea. In mod normal un punct de acces isi transmite SSID-ul la fiecare cateva secunde. Acest mod de lucru poate fi stopat astfel incat o persoana neautorizata sa nu poata descoperi automat SSID-ul si punctul de acces. Dar, deoarece SSID-ul este inclus in beacon-ul oricarei secvente wireless, este usor pentru un hacker dotat cu echipament de monitorizare sa-i descopere valoarea si sa se lege in retea.

WEP poate fi folosit pentru a ameliora problema transmiterii continue a SSID-ului prin criptarea traficului dintre clientii wireless si punctul de acces. Se realizeaza prin aceasta o autentificare printr-o cheie (shared-key authentication). Punctul de acces transmite clientului wireless o provocare pe care acesta trebuie s-o returneze criptata. Daca punctul de acces poate decripta raspunsul clientului, are dovada ca acesta poseda cheia valida si are dreptul de a intra in retea. WEP dispune de doua posibilitati de criptare - cu cheie de 64 de biti sau de 128 de biti.

Desigur, WEP nu asigura o securitate prea mare. Hackerul dotat cu echipament de monitorizare poate receptiona si inregistra intai provocarea plecata de la punctul de acces apoi raspunsul criptat al clientului si pe baza unor procesari se poate determina cheia pe care apoi o poate folosi pentru a intra in retea.

Verificarea adresei MAC. Se poate spori securitatea retelei daca admini-stratorul de retea utilizeaza filtrarea adreselor MAC, adica punctul de acces este configurat cu adresele MAC ale clientilor carora le este permis accesul in retea.

Din nefericire, nici aceasta metoda nu asigura o securitate prea mare. Un hacker poate sa inregistreze secvente din trafic si in urma unor analize poate sa extraga o adresa MAC pe care ulterior o poate folosi pentru a intra in retea .

2. Pericole in securitatea wireless

Institutul National de Standardizare si Tehnologie a intocmit o lista cu pericolele cele mai raspandite in securizarea retelelor wireless.

Toate vulnerabilitatile care exista intr-o retea cu fir sunt aplicabile si la retelele wireless.

Se poate obtine acces neautorizat pe calculatorul unei companii prin reteaua wireless, in multe cazuri nefiind securizata de firewall.

Informatii confidentiale necriptate sau criptate foarte slab ce se transmit intre doua echipamente wireless poate fi interceptata.

Atacuri Denial of Service (DoS) pot fi indreptate catre echipamente sau conexiuni wireless. Identitatea unor utilizatori autorizati se poate fura si folosi pentru a avea acces intr-o retea wireless.Informatii importante pot fi corupte in timpul sincronizarilor.Avand acces la informatii confidentiale se poate urmari chiar deplasarea si programul fizic al unei persoane.

Cine doreste acces neautorizat poate monta intentionat si fara stirea celor indreptatiti echipamente de transmisie wireless. Echipamentele handheld sunt usor de furat si de cele mai multe ori contin informatii confidentiale.

Se poate intampla ca virusi ce au corupt datele de pe un echipament mobil sa ajunga in reteaua fixa (cu fir).

Un motiv pentru a patrunde neautorizat intr-o retea wireless este de a lansa de acolo atacuri asupra altor retele si pentru a se ascunde identitatea sursei.

Pot exista si atacuri interne folosindu-se transmisia ad-hoc.

Dupa cum putem observa din aceasta lista pot exista pericolele la toate nivelele si trebuie sa fim pregatiti pentru orice situatie. Cel mai simplu exemplu ar fi cel cu furarea echipamentului mobil handheld.

Se pot lua masuri simple pentru a preveni acest lucru: nu stocam pentru timp indelungat informatii confidentiale pe echipament, lasam datele importante pe calculatorul de la lucru sau acasa, daca se poate activam functia de autolock cu parola si folosim codul PIN.

Mai jos este prezentata o lista ce contine cateva etape pe care ar fi bine sa le urmam cand implementam securitatea unei retele wireless:

Sa activam tinerea log-urilor pentru sistem. Log-urile sunt foarte importante deoarece ne permit sa urmarim cine incearca sa obtina acces neautorizat in reteaua noastra. Pot fi folosite ca si dovezi daca situatia o cere.

Daca permitem cumva accesul utilizatorilor de tip guest (neautentificati) atunci trebuie sa separam reteaua corporate de reteaua wireles (WLAN) prin plasarea acesteia din urma in DMZ(Data Management Zone) sau prin interpunerea unui firewall intre cele doua.

Trebuie sa stim destul de bine pana unde se intinde reteaua wireless. Pentru aceasta trebuie facuta o inspectie a retelei cu un echipamet wireless mobil.

Trebuie sa stim tot timpul componenta retelei wireless. Daca se mai adauga sau se ia un access point este un lucru foarte important. Toate acestea trebuie documentate.

Din cand in cand ar fi bine sa facem cate un audit de securitate pentru a descoperi vulnerabilitatile din reteaua wireless. Trebuie sa scanam reteaua pentru vulnerabilitatile des intalnite si daca cumva exista trebuie inlaturate cat de repede se poate.

Daca se poate este bine sa implementam o regula care sa ceara clientilor din reteaua wireless sa fie dotati cu un antivirus sau cu un software de firewall.

3. Sfaturi in securizarea retelei

Urmatoarele lucruri sunt bine de stiut pentru oricine gestioneaza o retea wireless:

La fel ca intr-o retea cu fir dam share numai la ce este nevoie. Nu dam share la partitii intregi, ci mai bine la mai multe directoare. In functie si de nivelul de confidentialitate ar trebui puse parole pe aceste directoare.

Daca folosim pentru autentificare WEP, avem grija sa folosim si metoda Shared Key. Schimbam cat de des se poate cheia WEP si o alegem cat mai dificila.

Avem grija sa securizam accesul la access point cu o parola complexa si nu o lasam pe cea standard.

Dam disable la administrarea access point-ului wireless, aceasta insemnand ca nu se va putea modifica nimic in configurarea echipamentului decat daca suntem conectat la reteaua cu fir.

Pentru retelele mai mici putem folosi si un filtru de adrese MAC.

Schimbam SSID-ul default cu unul mai complex care sa nu aiba sens pentru cei din exterior si care sa ofere cat mai putine informatii despre reteaua noastra.

Dam disable la SSID broadcasting. In felul acesta nu toata lumea din zona va vedea ca reteaua wireless exista.

Daca implementam reteaua wireless in cladire incercati sa punem access point-ul cat mai in centru pentru ca semnalul sa nu depaseasca cu mult limitele fizice ale locatiei.

Cea mai sigura metoda ar fi utilizarea unui VPN(Virtual Private Network) pentru conexiunea wireless. Este destul de usor de configurat si are beneficii majore in comparatie cu alte mijloace de securizare.

Metode de securizare

Exista mai multe metode de securizare, unele mai putin puternice iar altele care pot oferi chiar o siguranta mai mare decat o retea cablata.

1)Ascunderea SSID-ului. Teoretic aceasta masura de securizare nu permite afisarea numelui retelei atunci cand cineva scaneaza dupa retele wireless. Astfel,teoretic nu se pot conecta decat cei care cunosc deja exact numele retelei (SSID-ul). Practic aceasta metoda nu da intotdeauna cele mai bune rezultate deoarece SSID-ul poate fi aflat prin interceptarea unei conexiuni intre un client si respectivul AP. In plus, ascunderea SSID-ului poate avea influente negative asupra performantei retelei in primul rand cand este folosit roaming-ul wireless.

2)Access Control List (ACL). ACL este definit printr-o lista de adrese MAC de care Access Point-ul tine cont atunci cand stabileste o conexiune cu un client. Aceasta lista poate insemna pentru AP fie lista de MAC-uri pentru care are voie sa stabileasca o conexiune, fie lista celor care nu au voie sa se conecteze la AP-ul respectiv. Aceasta metoda de securizare nu este recomandata deoarece un client nedorit isi poate schimba adresa MAC a placii de retea cu una valida. Chiar programul de client al placilor wireless Intel permite acest lucru din interfata proprie.

3)Wired Equivalent Privacy (WEP). WEP este o metoda de securizare de nivel mediu care se foloseste de algoritmul de criptare RC Aceasta metoda este mai eficienta decat cele prezentate mai sus insa nu si suficienta.

In standardul 802.11 securitatea WEP este definita ca o metoda medie de protectie a utilizatorului indreptatit sa foloseasca reteaua. Aceasta este eficienta impotriva hackerilor ocazionali care nu au cunostinte aprofundate in domeniul criptarii de date folosita in transmisiile wireless. Impotriva celor care cunosc metoda de functionare a protocolului WEP acesta se dovedeste inutil. Exista o multime de materiale care descriu in detaliu metodele prin care WEP poate fi invins. Pe langa documentatie exista si programe care exploateaza in mod automat slabiciunile WEP.

Problema principala a WEP consta in folosirea algoritmului de criptare RC4 care este simetric, adica foloseste o cheie comuna pentru criptare si decriptare a traficului (shared key). Din punct de vedere hardware avantajul consta in solicitarea scazuta a puterii de calcul a procesorului.

          Dezavantajul pe care il prezinta cheia comuna de criptare este ca oricand se pot intercepta pachete de date care contin si cheile de criptare. Acestea pot fi comparate si tinand cont de algoritmul folosit de WEP se poate deduce usor cheia valida pentru pachetele ce urmeaza a fi trimise. Durata procesului de depistare a tuturor cheilor valide este invers proportionala cu traficul care se efectueaza pe respectiva retea in acel moment.

In concluzie, acest mod de criptare nu este recomandat.

4)Wi-Fi Protected Access (WPA / WPA 2). Dintre toate solutiile de securizare a unei retele wireless prezentate pana acum cele bazate pe WPA (1 sau 2), sunt cele mai eficiente.

WPA este o tehnologie puternica pentru securizarea retelelor wireless. Aceasta ofera protectia datelor - prin folosirea unor algoritmi avansati de criptare - si control de acces / autentificare utilizatorilor. Diferenta majora intre WPA si WPA2 consta in algoritmul de criptare folosit. Pentru WPA este folosit TKIP (Temporal Key Integrity Protocol), iar pentru WPA 2 este folosit AES-CCMP.

Datorita numeroaselor vulnerabilitati ale WEP, Alianta Wi - Fi impreuna cu IEEE au reusit la inceputul anului 2003 sa aduca pe piata un nou protocol mai puternic, compatibil cu echipamentele Wi - Fi, mult mai sigur si mult mai fiabil.

WPA a fost conceput sa functioneze pe hardware deja existent ca un upgrade software. Acest protocol este o parte componenta a noului standard 802.11i, iar WPA 2 este compatibil in totalitate cu acest standard. Atunci cand este corect configurat, WPA se asigura ca numai utilizatorii indreptatiti pot folosi reteaua si ca transmisiunile de date sunt intotdeauna protejate prin folosirea criptarii.

Atat WPA, cat si WPA 2 sunt structurate pe doua categorii:

Pentru acasa sau pentru micile organizatii (SOHO) este recomandata folosirea variantei WPA / WPA 2 - Personal (WPA - PSK). Aceasta foloseste o singura parola (Pre-Shared Key) pentru toti utilizatorii. Astfel, pentru a avea acces la retea toti utilizatorii indreptatiti sa o foloseasca trebuie sa detina aceasta parola. Diferenta intre WEP si WPA - PSK este ca modalitatea prin care se transmite cheia de criptare este mult mai sigura.

Pentru firme mari sau retele care necesita o securitate sporita se recomanda folosirea variantei WPA / WPA 2 - Enterprise. Aceasta se bazeaza pe un server extern sau chiar inclus in Access Point (AP) pentru a executa autentificarea utilizatorilor. Fiecare utilizator poate avea un username si o parola proprie cu ajutorul carora se autentifica la retea sau se poate autentifica cu ajutorul certificatelor digitale .

Diferenta intre WPA si WPA 2 consta in protocoalele de criptare folosite. Astfel, WPA 1 foloseste TKIP, iar WPA 2 foloseste AES-CCMP.

TKIP (Temporal Key Integrity Protocol) este bazat pe o varianta modificata a schemei de criptare RC In plus, cheia temporala este combinata cu adresa MAC a transmitatorului pentru a genera o cheie initiala. Cheia initiala este combinata cu un vector de initializare pentru a crea chei unice pentru fiecare pachet.

Fiecare cheie astfel creata este folosita pentru a cripta un singur pachet de date cu ajutorul algoritmului RC

AES-CCMP (Advanced Encryption Standard - Counter Mode CBC - MAC Protocol) este algoritmul de criptare folosit in cel mai nou standard de securizare al retelelor wireless 802.11i. Metoda de criptare AES foloseste algoritmul Rijndael de tipul 'symetric-block' care foloseste segmente de date de 128 de biti si chei de 128, 192 sau 256 de biti. AES-CCMP foloseste aceeasi lungime de segmente de date dar restrictioneaza lungimea cheii la 128 de biti. Acest algoritm inglobeaza doua metode sofisticate de criptare ( Counter Mode si CBC - MAC) si le adapteaza la frame-uri ethernet pentru a asigura un protocol robust de securitate intre clientul mobil si access point. AES este oricum o metoda de criptare foarte puternica, dar Counter Mode se asigura ca un intrus nu va observa redundanta algoritmului de criptare, iar metodele de verificare a integritatii mesajului folosite de CBC - MAC se asigura ca 'mesajul' nu a fost modificat.

5. Metode de securizare a retelelor wireless pentru situatii speciale

1)Tunele VPN (Virtual Private Network). In cazul hot-spot-urilor publice access point-ul pentru acces este lasat in mod intentionat 'open system' pentru a face accesul clientilor cat mai usor. In acest caz securitatea retelei trebuie abordata altfel. Aici, pentru securizarea transmisiunilor de date se folosesc tunele VPN intre server si client criptand transmisiunea de date in totalitatea ei.

Disconfortul tunelelor VPN consta in necesitatea unui soft special din partea clientului. Reteaua wireless se poate folosi totusi si fara 'clientul VPN' insa conexiunea nu va fi criptata.

2)RADIUS (autentificare, schimbare dinamica de chei de criptare). RADIUS este folosit pentru autentificarea intr-o retea a mai multor utilizatori, fiecare cu o parola proprie. Utilizatorii pot fi separati in grupuri sau individual, iar fiecare grup sau individ poate avea un anumit nivel de acces. Este folosit in primul rand in retele mari, acolo unde siguranta este pe primul loc. RADIUS impreuna cu protocolul de securizare WPA formeaza o pereche perfecta facand dintr-o retea wireless o retea foarte sigura. Daca mai adaugam si criptarea AES-CCMP obtinem o retea securizata la nivel de aplicatii militare.

6. Categorii de atacuri asupra retelelor

Amenintarile la adresa securitatii unei retele de calculatoare pot avea urmatoarele origini: dezastre sau calamitati naturale, defectari ale echipamentelor, greseli umane de operare sau manipulare, fraude. Primele trei tipuri de amenintari sunt accidentale, in timp ce ultima este intentionata. Cateva studii de securitate a calculatoarelor estimeaza ca jumatate din costurile implicate de incidente sunt datorate actiunilor voit distructive, un sfert dezastrelor accidentale si un sfert greselilor umane. Acestea din urma pot fi evitate sau in cele din urma reparate printr-o mai buna aplicare a regulilor de securitate (salvari regulate de date, discuri oglindite, limitarea drepturilor de acces).

In amenintarile datorate actiunilor voite se disting doua categorii principale de atacuri: pasive si active.

Atacuri pasive - sunt acelea in cadrul carora intrusul observa informatia ce trece prin 'canal' fara sa interfereze cu fluxul sau continutul mesajelor. Ca urmare, se face doar analiza traficului prin citirea identitatii partilor care comunica si 'invatand' lungimea si frecventa mesajelor vehiculate pe un anumit canal logic, chiar daca continutul acestora este neinteligibil. Atacurile pasive au urmatoarele caracteristici comune:

-nu cauzeaza pagube (nu se sterg sau se modifica date);

-incalca regulile de confidentialitate;

-obiectivul este de a 'asculta' datele schimbate prin retea;

-pot fi realizate printr-o varietate de metode cum ar fi supravegherea legaturilor telefonice sau radio, exploatarea radiatiilor electromagnetice emise, rutarea datelor prin noduri aditionale mai putin protejate.

Atacuri active - sunt acelea in care intrusul se angajeaza fie in furtul mesajelor, fie in modificarea, reluarea sau inserarea de mesaje false. Aceasta inseamna ca el poate sterge, intarzia sau modifica mesaje, poate sa faca inserarea unor mesaje false sau vechi, poate schimba ordinea mesajelor fie pe o anumita directie, fie pe ambele directii ale unui canal logic. Aceste atacuri sunt serioase deoarece modifica starea sistemelor de calcul, a datelor sau a sistemelor de comunicatii.

Exista  urmatoarele tipuri de amenintari active:

Mascarada - este un tip de atac in care o entitate pretinde a fi o alta entitate. De exemplu un utilizator incearca sa se substitue altuia sau un serviciu pretinde a fi un alt serviciu in intentia de a lua date secrete (numarul cartii de credit, parola sau cheia algoritmului de criptare). O 'mascarada' este insotita de regula de o alta amenintare activa, cum ar fi inlocuirea sau modificarea mesajelor;

Reluarea - se produce atunci cand un mesaj sau o parte a acestuia este reluata (repetata) in intentia de a produce un efect neautorizat. De exemplu, este posibila reutilizarea informatiei de autentificare a unui mesaj anterior. In conturile bancare reluarea unitatilor de date implica dublari si/sau alte modificari nereale ale valorii conturilor;

Modificarea mesajelor - face ca datele mesajului sa fie alterate prin modificare, inserare sau stergere. Poate fi folosita pentru a se schimba beneficiarul unui credit in transferul electronic de fonduri sau pentru a modifica valoarea acelui credit. O alta utilizare poate fi modificarea campului destinatar/expeditor al postei electronice;

Refuzul serviciului - se produce cand o entitate nu izbuteste sa indeplineasca propria functie sau cand face actiuni care impiedica o alta entitate de la indeplinirea propriei functii;

Repudierea serviciului - se produce cand o entitate refuza sa recunoasca un serviciu executat. Este evident ca in aplicatiile de transfer electronic de fonduri este important sa se evite repudierea serviciului atat de catre emitator, cat si de catre destinatar.

In cazul atacurilor active se inscriu si unele programe create cu scop distructiv si care afecteaza uneori esential securitatea calculatoarelor. Exista o terminologie care poate fi folosita pentru a prezenta diferitele posibilitati de atac asupra unui sistem. Acest vocabular este bine popularizat de 'povestile' despre 'hackeri'. Atacurile presupun in general fie citirea informatiilor neautorizate, fie (in cel mai frecvent caz) distrugerea partiala sau totala a datelor sau chiar a calculatoarelor. Ce este mai grav este posibilitatea potentiala de infestare prin retea sau copieri de dischete a unui mare numar de masini. Dintre aceste programe distructive amintim urmatoarele:

Virusii - reprezinta programe inserate in aplicatii care se multiplica singure in alte programe din spatiul rezident de memorie sau de pe discuri; apoi, fie satureaza complet spatiul de memorie/disc si blocheaza sistemul, fie dupa un numar fixat de multiplicari devin activi si intra intr-o faza distructiva (care este de regula exponentiala);

Bomba software - este o procedura sau parte de cod inclusa intr-o aplicatie 'normala', care este activata de un eveniment predefinit. Autorul bombei anunta evenimentul lasand-o sa 'explodeze', adica sa faca actiunile distructive programate;

Viermii - au efecte similare cu cele ale bombelor si virusilor. Principala diferenta este aceea ca nu rezida la o locatie fixa sau nu se duplica singuri. Se muta in permanenta, ceea ce ii face dificil de detectat. Cel mai renumit exemplu este Viermele INTERNET-ului, care a scos din functiune o parte din INTERNET in noiembrie 1988;

Trapele - reprezinta accese speciale la sistem care sunt rezervate in mod normal pentru proceduri de incarcare de la distanta, intretinere sau pentru dezvoltatorii unor aplicatii. Ele permit insa accesul la sistem, eludand procedurile de identificare uzuale;

Calul Troian - este o aplicatie care are o functie de utilizare foarte cunoscuta si care intr-un mod ascuns indeplineste si o alta functie. Nu creeaza copii. De exemplu, un hacker poate inlocui codul unui program normal de control 'login' prin alt cod, care face acelasi lucru, dar aditional copiaza intr-un fisier numele si parola pe care utilizatorul le tasteaza in procesul de autentificare. Ulterior folosind acest fisier hacker-ul va penetra foarte usor sistemul.

7. Criptare

Tehnologia de criptare asigura ca mesajele nu sunt interceptate sau citite de altcineva decat destinatarul autorizat.

Criptarea este folosita pentru a proteja date care sunt transportate printr-o retea publica si foloseste algoritmi matematici avansati pentru a cifra mesajele si documentele atasate. Exista mai multe tipuri de algoritmi de criptare, dar unii sunt mai siguri decat altii. In cei mai multi algoritmi, datele originale sunt criptate folosind o anumita cheie de criptare, iar computerul destinatar sau utilizatorul pot descifra mesajul folosind o cheie de decriptare specifica.

Algoritmii de criptare determina construirea si schimbarea acestor chei.

Mai jos sunt prezentate cele mai cunoscute metode si algoritmi de criptare:

-Algoritmi cu cheie publica

-Algoritmi cu cheie secreta

-Cifru pe blocuri de date

-Functii hash

-Generatoarele de numere aleatoare

-Algoritmii cu Cheie Publica

*Algoritmii cu cheie publica folosesc chei diferite pentru criptare si decriptare, iar cheia de decriptare nu poate fi (practic) derivata din cheia de criptare. Algoritmii cu cheie publica sunt importanti pentru ca pot fi folositi pentru transmiterea cheilor de criptare sau alte date in mod sigur chiar daca cele doua parti nu pot sa fie de acord cu cheia secreta. Toate metodele sunt relativ lente si sunt folosite de obicei pentru a cripta cheile (generate aleator) care sunt apoi folosite pentru a cripta datele folosind un cifru simetric:

RSA (Rivest-Shamir-Adelman) este cel mai cunoscut algoritm de criptare folosind chei publice. Poate fi folosit de asemenea pentru criptare de date cat si pentru logare (criptare parole, etc.). Este considerat a fi sigur (greu de decriptat) cand cheile au o marime suficienta (512 biti inseamna nesigur, 768 biti inseamna siguranta moderata si 1024 biti inseamna siguranta buna). Securitatea RSA-ului se bazeaza pe dificultatea de a factoriza intregi mari. RSA este acum cel mai important algoritm cu cheie publica. Este patentat in Statele Unite si gratis oriunde in lume.

Diffie-Hellman este la fel un algoritm care foloseste cheia publica pentru trimiterea de chei. La fel ca RSA este considerat a fi sigur (greu de decriptat) cand cheile au o marime suficienta. Securitatea acestui algoritm se bazeaza pe dificultatea problemei logaritmilor discreti (care se crede ca este echivalenta ca operatii cu factorizarea intregilor mari). Exista de asemenea un asa cunoscut 'timing attack' prin care algoritmul poate fi spart in urma unor cautari dar care dureaza foarte mult.

Sistemele cu cheie publica bazate pe curbele eliptice nu au prea fost folosite datorita faptului ca timpul consumat pentru executie este foarte mare, dar au devenit mai cunoscute cu aparitia calculatoarelor mai rapide. Algoritmul este considerat sigur dar nu poate fi asa de bine urmarit ca RSA-ul de exemplu.

DSS (Digital Signature Standard). Design-ul lui nu a fost facut public si multi oameni au avut probleme folosindu-l.

ElGamal public key cryptosystem.Bazat de asemenea pe problema algoritmilor discreti.

*Algoritmi cu cheie secreta (algoritmi simetrici) folosesc aceeasi cheie si pentru criptare si pentru decriptare de aceea li se mai spun si algoritmi simetrici.

IDEA (International Data Encryption Algorithm) este un algoritm dezvoltat la ETH Zurich in Elvetia. Foloseste o cheie de 128 de biti si este considerat a fi sigur. Este unul dintre cei mai buni algoritmi publici cunoscuti. Este un algoritm destul de nou si nici o spargere a lui nu a fost publicata pana acum.

RC4 este un cifru dezvoltat de RSA Data Security Inc. Algoritmul este foarte rapid, dar securitatea sa nu este foarte bine cunoscuta, dar nici spargerea lui nu pare a fi foarte usoara.

SAFER este un algoritm dezvoltat de J. L. Massey (unul din creatorii lui IDEA). Sunt cunoscute doua variante una pe 64 de biti si una pe 128.

Cifru bazat pe functiile hash. Orice functie puternica hash poate fi tranformata intr-un cifru.Ideea generala este ca functia hash este folosita ca un generator aleator de numere, iar pe valoarea hash este facut XOR cu data de criptat. Cand toti au fost folositi o noua valoare hash este obtinuta modificand cheia.

Enigma este un cifru folosit in al doilea razboi mondial de catre germani.

*Cifru pe blocuri de date:

Multe dintre aceste cifruri cunoscute (IDEA, DES, BLOWFISH) sunt cifruri pe blocuri de date. Acest lucru inseamna ca se ia un bloc fix de date (de obicei 64 de biti) si se transforma in alt bloc de 64 de biti folosind cheia selectata. Daca acelasi bloc este criptat de doua ori cu aceeasi cheie atunci blocul rezultat este acelasi (aceasta metoda se numeste Electronic Code Book mode sau ECB). Aceasta informatie poate fi utila pentru un atacator.

In aplicatiile practice este de dorit sa rezulte blocuri identice criptate pentru diferite blocuri de criptat. Pentru acest lucru se folosesc doua metode:

Modul CFB: blocul este obtinut prin criptarea blocului precedent si apoi facut XOR cu valoarea de criptat.

Modul CBC: blocul este obtinut prin XOR cu blocul cifrat cu blocul criptat precedent si apoi criptat cu valoarea rezultata.

*Functiile hash:

MD5 (Message Digest Algorithm 5) este un algoritm sigur dezvoltat la RSA Data Security, Inc. Poate fi folosit pentru a cripta un bloc arbitrar de lungime variabila intr-o valoare pe 128 biti. MD5 este foarte folosit si este considerat sigur. Totusi s-au raportat unele slabiciuni ale algoritmului.

MD2, MD4: Acestia sunt niste algoritmi mai vechi de la RSA Data Security.

SHA (Secure Hash Algorithm). Acesta este un algoritm hash criptografic publicat de Guvernul Statelor Unite. Produce o valoare hash de 160 de biti dintr-o valoare de lungime arbitrara. Multi il considera algoritm bun.

*Generatoare de numere aleatoare:

Sistemele criptografice au nevoie de generatoare de numere aleatoare foarte puternice. Numerele intr-un astfel de sistem se repeta foarte usor si astfel slabesc sistemul de criptare.

8.Autentificarea in retea

Aceasta se poate face in general prin trei modalitati:

1. Pe baza de username si parola - fiecare utilizator dispune de un username si de o parola cu ajutorul carora poate fi identificat si autentificat in retea. Si aici exista mai multe standarde care pot fi folosite.
2. Pe baza de certificate digitale - utilizatorii se conecteaza la retea cu ajutorul unor certificate digitale unice generate in mod automat de server si distribuite in prealabil acestora. Cu ajutorul certificatelor serverul stabileste identitatea utilizatorilor si decide daca respectivul client poate accesa reteaua sau nu.
3. Pe baza de smart card / cheie hardware - utilizatorii se folosesc de smart card-ul sau cheia hardware (in general un dispozitiv USB) distribuite anterior de administratorul retelei.

9. Politici de securitate

Securitatea electronica este definita astfel: "acele politici, recomandari si actiuni necesare minimizarii riscului aferent efectuarii tranzactiilor electronice, risc ce se refera la brese in sistem, intruziuni sau furt". Masurile de securitate nu garanteaza eliminarea completa a oricarui risc, dar poate sa-l reduca la un nivel acceptabil.

Securitatea IT se concentreaza pe crearea unei platforme de calcul unde persoane sau programe sa nu poata desfasura actiuni pentru care nu au drepturi alocate.

Cerintele de securitate pe care trebuie sa le indeplineasca un sistem informatic sunt:

1) Identificarea - reprezinta procesele si procedurile necesare pentru stabilirea unei identitati unice pentru un utilizator sau o entitate in cadrul unui sistem informatic.

Identificarea permite contabilizarea tuturor operatiunilor individuale si previne accesul neautorizat.

2) Autentificarea - este procedura pentru verificarea identitatii entitatii care solicita acces la un sistem, procesul prin care sistemul valideaza informatiile de conectare oferite de entitatea utilizatoare.

3) Controlul accesului - determina ce anume poate face o anumita entitate autentificata in sistem, avand in vedere: controlul accesului la sistem, controlul accesului la retea, clasificarea informatiei, privilegiile.

4) Responsabilitatea - este strans legata de masurile de securitate impuse utilizatorilor sistemului care vor fi raspunzatori pentru actiunile intreprinse dupa conectarea la sistem.

5) Auditul de securitate se ocupa cu analiza inregistrarilor activitatilor executate pentru a determina daca sistemul de protectie este in concordanta cu politicile si procedurile de securitate stabilite. Scopul unui audit este de a identifica slabiciunile legate de securitate sau a esecurilor care pot fi corectate sau controlate.

6) Integritatea sistemului - pentru a se mentine integritatea sistemului se iau urmatoarele masuri:

- separarea proceselor si datelor utilizatorilor;

- separarea proceselor si datelor sistemului;

protejarea software-ului, datelor si hardware-ului de modificari, fie ca acestea sunt voite sau accidentale;

- controlul actiunilor si operatiilor de intretinere.

7) Integritatea informatiilor - presupune mecanisme de protectie a datelor impotriva distrugerii sau accesului neautorizat si mecanisme de inregistrare a modificarilor survenite.

8) Fiabilitatea serviciilor - se refera la cat de usor si sigur un utilizator autentificat poate accesa si utiliza resursele unui sistem.

9)Documentarea privind securitatea - este vitala pentru mentinerea unui anumit sistem de securitate operational si eficient.

Politicile de securitate formale vor dicta cerintele de baza si obiectivele pe care trebuie sa le indeplineasca o tehnologie.

Politica de securitate este o componenta a politicilor de dezvoltare a companiei prin care:

- se garanteaza continuitatea functionala a proceselor de afacere;

- se asigura protectia informatiilor confidentiale.

Pentru a realiza un sistem de protectie eficient este necesar sa se parcurga urmatoarele cinci etape:

- evaluarea riscurilor;

- definirea politicii de securitate;

- implementarea;

- administrarea;

- auditul.

Figura 1: Etape pentru un sistem de protectie eficient

Politica de securitate la nivelul unei organizatii joaca un rol esential fiind responsabila chiar de managementul afacerilor. Pentru stabilirea politicii de securitate vor fi parcurse etapele:

- se analizeaza riscurile majore ale organizatiei (pentru definirea procedurilor prin intermediul carora vor fi prevenite riscurile ca urmare a aparitiei unor evenimente nedorite);

- se defineste politica de securitate (pentru tratarea componentelor la care nu pot fi prevenite anumite actiuni fara a impune masuri de protectie);

- stabilirea unui plan de urgenta care se va aplica in cazul in care masurile de protectie sunt invinse;

- deoarece aceste probleme nu pot fi rezolvate numai prin definirea unei politici de securitate si prin investirea de bani pentru anumite activitati, in final se cere acordul sefului departamentului de management pentru acceptarea unor riscuri.

Exista mai multe motive pentru care trebuie sa concepem o politica de securitate pentru sisteme si reteaua din care ele fac parte.

- o politica solida ne permite sa conturam securitatea ca un 'sistem' decat doar un set de diferite caracteristici. Spre exemplu, fara o politica, un administrator poate decide sa inchida accesul telnet pentru ca transmite parole necriptate, dar sa lase deschis accesul ftp, ce detine aceeasi slabiciune. O politica buna de securitate ne permite sa identificam masurile ce merita aplicate si cele care nu.

- pentru a diagnostica problemele, conduce audituri sau depista intrusii este posibil sa trebuiasca sa interceptam traficul prin retea, sa inspectam istoricul autentificarilor si comenzilor utilizatorilor si sa analizam directoarele home.

Utilizatorii trebuie instiintati de aceste actiuni pentru ca altfel ele pot deveni ilegale.

- conturile de utilizator compromise reprezinta unele din cele mai comune amenintari securitatii unui sistem. Trebuie sa se explice utilizatorilor importanta securitatii si cum sa practice o securitate solida (spre exemplu sa nu-si scrie parolele pe un bilet lipit pe biroul acestora).

Politica efectiva este un document sau mai multe documente ce evidentiaza caracteristicile retelei si ale sistemului (cum ar fi serviciile oferite), utilizarea acceptabila si utilizarea interzisa, 'practici solide' de securitate si asa mai departe. Toti utilizatorii ar trebui instiintati de politica de securitate, dar si de modificarile aduse acesteia in vederea actualizarii.

O politica de securitate ar trebui sa contina cel putin urmatoarele subiecte:

Utilizare acceptabila

o Aplicatii Screen saver;

o Manipularea parolei;

o Descarcarea si instalarea aplicatiilor;

o Informatii ce mentioneaza ca utilizatorii sunt monitorizati;

o Utilizarea de aplicatii anti-virus.

Manipularea informatiei sensibile (in orice forma scrisa, hartie sau format digital):

o Curatarea biroului si incuierea informatiilor confidentiale;

o Oprirea sistemului PC inainte de a parasi spatiul;

o Utilizarea encriptiei;

o Manipularea cheilor colegilor de incredere;

o Manipularea materialului confidential in calatorii;

o Manipularea echipamentului de calculator in calatorii;

o Manipularea sistemului laptop in calatorii si stationarile la hoteluri.

Utilizatori diferiti pot necesita nivele sau tipuri diferite de acces, deci politica poate

varia pentru a acoperi toate situatiile.

Politica de securitate poate deveni foarte mare in continut, iar informatiile vitale pot fi usor uitate. Politica pentru personalul IT poate contine informatii ce sunt confidentiale pentru utilizatorul obisnuit, fiind vitala impartirea acesteia in mai multe politici mai mici; spre ex. Politica de Utilizare Acceptabila, Politica pentru parole, Politica pentru Mesageria Electronica si Politica pentru Accesul la Distanta.

Abordarea ce mai buna privind politicile de securitate aplicate in cadrul unei retele este de a aplica un set de politici de baza la nivelul intregului domeniu, politici care sa se aplice tuturor masinilor (servere si statii de lucru) si tuturor utilizatorilor. Aceste politici vor fi completate diferentiat cu alte politici suplimentare, aplicabile anumitor roluri functionale pe care le au serverele si statiile din retea.

Aceasta abordare simplifica modul de gestionare al politicilor si ne asigura ca avem un nivel de securitate de baza (baseline) pentru intreaga retea.

Doua lucruri sunt foarte importante atunci cand dorim sa asiguram un nivel de securitate de baza pentru toate sistemele din retea:

- sistemele trebuie sa fie mentinute la zi din punct de vedere al patch-urilor si fix-urilor de securitate;

- trebuie sa aplicam un set de configurari de securitate de baza pe toate sistemele din retea, adica sa facem intarirea securitatii sistemelor (hardening). Despre acest lucru vom vorbi in continuare.

Iata cateva setari de securitate care merita luate in considerare pentru securizarea de baza a sistemelor si pot fi aplicate cu un Group Policy Template la nivelul intregului domeniu Active Directory.

Politici de audit:

- Account logon & Management;

- Directory Service Access;

- Object Access;

- System Events.

Privilegiile utilizatorilor:

- Allow log-on locally;

- Logon cu Terminal Services;

- Deny log-on as a batch job;

- Deny force shutdown from Remote system.

Cel mai simplu este sa pornim de la un template cu masuri de securitate pe care sa-l adaptam la cerintele noastre si sa-l aplicam in intreaga retea. Putem face acest lucrucu ajutorul lui Security Configuration Manager. Acesta contine: template-uri care definesc setarile ce trebuie aplicate pentru cateva configuratii tipice, snap-in-ul MMC Security Configuration & Analysis, utilitarul linie de comanda SECEDIT cu ajutorul caruia se poate automatiza procesul de aplicare al politicilor.

Template-urile de securitate sunt fisiere text cu extensia .inf ce contin un set predefinit de setari de securitate. Aceste setari pot fi adaptate si aplicate asupra sistemelor din retea. Setarile de securitate disponibile includ: aplicarea de ACL-uri pe chei de Registry si fisiere, aplicarea de politici de conturi si parole, parametri de start la servicii,setarea de valori ale unor chei de Registry. Template-urile sunt aditive, adica se pot aplica succesiv mai multe template-uri. Ordinea de aplicare este importanta: setarile din ultimul template aplicat vor suprascrie setarile anterioare. Template-urile pot fi aplicate global, cu ajutorul Group Policy sau individual cu ajutorul Security Configuration & Analysis.

Template-urile pot fi obtinute din mai multe surse: Windows Server 2003 vine cu un set predefinit de template-uri, in Windows Server 2003 Security Guide se pot gasi template-uri aditionale.

Security Configuration & Analysis este un snap-in MMC cu ajutorul caruia putem crea o baza de date cu setari de securitate, putem importa template-uri si putem aplica setari suplimentare, iar apoi putem compara setarile sistemului cu template-ul creat in baza de date. Comparatia este non-distructiva, adica sunt raportate doar diferentele intre starea actuala a sistemului si template-ul ales. De asemenea, putem aplica setarile respective asupra sistemului curent.

SECEDIT este un utilitar linie de comanda cu ajutorul caruia putem automatiza operatiile de aplicare ale template-urilor folosind script-uri. Parametrii programului permit analiza, configurarea, importul, exportul, validarea sau rollback-ul setarilor de securitate aplicate sistemelor.

Aplicand template-uri de securitate asupra sistemelor obtinem un nivel de securitate de baza peste care putem cladi suplimentar.