http://ssc.users.ro

1. http://ssc.users.ro Curs 7 – Stocareasigura a datelor, PKI, securitate email Bogdan Carstoiu

2. De cestocaresigura? Definitie: Securitateastocariiimpune un grup de parametriisisetari care facresursele de stocaredisponibilenumaipentruutilizatoriautorizatisiretele de incredere. Parametriise aplica la: • Hardware • Aplicatii • Protocoale de comunicatie; • Politici de securitate Implicatiipentru storage area network (SAN): • Reteaaccesibilapersoanelorautorizate, organizatii, agentii; • Reteasigurasistabilaintr-o varietate de conditii de mediusi volume de date utilizate;

3. De cestocaresigura? Cateva date statistice: • Circa 70% din companiiies din afaceridupa o pierderemajora de date; • Aproximativ 20% din companii au parte de dezastremajore la fiecarecinciani; • Numaiaproximativ 35% din planurile de recuperare in urmadezastrelor au functionatcand au fost testate.

4. Metode de asigurarea securitatii Catevametode: • Serviciilene-necesaretrebuiedezactivate • Datelesensibilevorficriptate • Update regulat la sistemul de operare • Auditareaperiodica • Redundantamediilor de stocarepoateprevenipierdereadatelorin caz de defect hardware • Utilizatoriiinformatidespreprincipiilesipoliticile de securitate Criterii de alegere a solutiei de securitate: • Costulimplementariisistemului de securitatereprezinta un procentmic din “valoarea” datelorprotejate; • Costulpentruatacator (banisitimp) pentru a compromitesistemulestefoarte mare.

5. Stocarelocalavs. cloud Surprinzatorstocarea in cloud asigurao protectiemaibuna a datelor (pastrareabanilorintr-o bancaestemaisiguradecatacasa). • In cloud avem o multime de sisteme de securitatepentru ca esteechipatpentru a protejadatele a milioane de utilizatori. • Permitelucrulcolaborativla un fisier de date ce nu estedescarcatpe un calculator sautransportatpe stick USB. Stocat in “cloud” esteprotejat de securitateaintrinseca a acestuia. • Patch-urile de securitatesuntaplicateimediatsipetoateserverelespredeosebire de o companie mica; • Datelesunt replicate pemaimulteservere in maimultelocatii; • Solutiilesuntmultmaiieftineintrucat se adreseazaunuinumar mare de utilizatori;

6. Recomandari (bunepractici) Pelangametodele de asigurarea securitatiireteleise adauga: • Izolareadiverselortipuri de traficsi a sistemelor: utilizare VLAN sau Fiber Channel zonal pentruseparareaintretraficul de stocaresi alt trafic al retelei; • Separareafizica e echipamentelor de stocare de alteechipamente cu acceslimitatnumaipersoanelor de incredere; • Restrictionareafizica a accesului la patch panel-urisiswitch-uri • Utilizaresistemelor de intrusion detection si/saufisierepentruinregistrare/auditiare/monitorizare => alertareala incercari de accesneuzualesauneautorizate • Planificareariguroasaa backup-urilor, pastrarecopiilorin afaralocatiei cu asigurarea ca mediul de backup estesecurizatfizic; • Criptareadatelor, inclusivbackup sipastrareacheilor de criptareseparat de date

7. Public Key Infrastructure (PKI) • PKI - Hardware, software, oameni, politici, proceduri care au ca scopfacilitareagenerarii, managemntului, distribuirii, stocariisirevocariicertificatelordigitale, • Certificat digital – un document care folosestesemnaturadigitalapentru a lega o cheiepublica de o identitate data. In PKI semnaturaestecea a unui CA. In web of trust este self signed. • Certificate Authority – entitate care se ocupa cu emiterea de certificate digitale. Certificatul digital certificaproprietateacheiipublice din respectivulcertificat. • Root CA – autoritatile in care au incredereprogramele(cum arfibrowserele web). Sunt de regulacomerciale. Fara PKI securitateape Internet arfiprobabilimposibil de mentinut(cine in cine saaibaincredere??)

8. Securitate email Problematicauzuala: • Ce se incearcaprotejat • Impotriva cui Ce se urmareste: • Confidentialitate – pe email se trimitinformatii private • Autenticitate – cine trimite email in realitate • Anti-spam • Phishing Strategiigenerale: • Criptareacontinutuluimesajului cu o cheiesimetrica, utilizand o cheie de traficgenerataaleator • Utilizareacriptografiei cu cheipublicepentrucriptareapentrutotibeneficiarii • Semnaturadigitala a mesajului

9. Problemesecuritate email • Nu toatesistemele de mail acceptatoatecaractereleintr-un set de caracteredat • Transformarilecriptografice nu implicadoarschimbariminore; • Codificare: EBCEDIC – ASCII? Unicode? Tab – blank? • Solutie:codificareintreg email in base64utilizandcaractereleacceptate de toatesistemele A-Z, a-z, 0-9, +, /; • Base64 converteste 3 caracterenecodate, ex ASCII in 4 caracterecodate ASCII. Ca rezultat se obtine un overhead de 33%. Se remarcacodificareadiferitafunctie de pozitia in grupulcelor 3 octericesuntcodificatipentru a produce 4 caractere; • Numaiacestecaractere au importanta, oricealtcevaestesters la receptieinclusivspatiilealbe.

10. Signing Semnatura: • Daca se semneaza plaintext siapoi se cripteaza, identitateatransmitatoruluiesteascunsatuturorexceptandadevaratiireceptori • Daca se semneazatextulcriptat, un gateway poateverificasemnatura – unadintrecelemaibunemerode anti-spam si anti-phishing. Headere: • Headerelesuntschimbate in tranzit • Valorilecampurilor in header sunt in formar ASCII si nu poateficodat base64 • Exemplu evident: Received: se adaugacate o linie • Mai putin evident: adresele de mail sunt de multeorirescrisepentruascundereamasinilor interne siprezentarea de adreseclare in exterior • In consecintaheaderele nu pot fiprotejateprin scheme de securizare email.

11. Criptare email – S/MIME S/MIME (Secure / Multipurpose Internet Mail Extensions) este un standard pentrucriptarea cu cheiepublicasisemnareamesajelor de mail incapsulate MIME. • S/MIME furnizeazaurmatoareleserviciicriptograficepentruaplicatiile de mesagerieelectronica: • Autentificare • Integritateamesajuluisinerepudiereaoriginii (utilizandsemnaturidigitale) • Caracterulprivatsisecuritateadatelor (utilizandcriptare) • O practicabunaeste de a utilizachei private sicertificateleasociate separate pentrusemnaturasipentrucriptare. Asa se permitepastrarea in siguranta a cheii de criptarefara a compromiteproprietatea de nerepudiere a cheii de semnatura.

12. Probleme - S/MIME • Nu tot software-ul email manipuleaza S/MIME. Pentrucompatibilizare se atasaza un fisier (devineconfuz). • S/MIME nu estepropriupentruclientii webmail. Probleme in browser, practica de securitatecere ca cheiaprivatasa fie accesibilautilizatorului, darinaccesibilaserveruluide webmail. Metoda de securizare cu semnatura webmail cere ca browserulsa execute cod pentru a produce semnatura (bresa de securitate). • S/MIME suntdimensionatepentrusecuritate end to end. Nu se vacriptanumaimesajulcisi malware. Dacamesajulestescanatoriunde in afara de punctul final, malware vafidistribuit cu succes. • Solutii: • Realizareascanarii malware la statiaterminaladupadecriptare; • Pastrareacheii private pe gateway server a.i. decriptareasa se poata face inaintede scanare la gateway (are dezavantajul ca oricine cu acces la gateway server poatecitimailuri ale altorutilizatori). • Utilizareascanerelor de continutcapabilesacertificecontinutulmesajelorcriptate

13. Criptare email - Pretty Good Privacy • Pretty Good Privacy (PGP)este un program care realizeazacriptaresiautentificare. El esteadeseautilizatpentrusemnarea, criptareasidescriptarea email pentru a crestesecuritatea. • Criptarea PGP utilizeazacriptarea cu cheiepublicasi include un sistem care leagacheiapublica de numeutilizatorsi/sauadresa email. • In implementarilerecente a fostadaugat X.509 care utilizeaza o abordareierarhicabazatapeautoritate de certificare. • PGP suportaautentificareamesajelorsiverificareaintegritatiipentrudeterminareaalterariimesajuluisi a autentificariitransmitatoruluiprinsemnaturadigitala. • Semnaturadigitalaestecreata fie cu algoritm RSA fie DSA. PGP calculeaza o cheie hash de la plaintext sicreaza o semnaturadigitalautilizandcheiaprivata a transmitatorului. • PGP include un mod de revocare a certificatelorsisuporta data expirarecertificat. • Calitateasecurizarii. PGP esteconsideratunuldintremecanismelesigure. Pemasurace au fostdescoperitevulnerabilitatiacestea au fost remediate.

14. Criptare email - ID based • ID-based cryptography (sau Identity-Based Encryption (IBE) sau identity-based cryptography)este un tip de criptografie cu cheiepublica in care cheiapublica a unuiutilizatoreste o informatieunicadespreidentitateasa (de ex. adresa email, numelesaunumeledomeniuluisauadresa IP). • Prima implementarebazatapeadresa de mail PKI introdusa de Adi Shamirsipermiteutilizatorilorsaverificesemnaturadigitalautilizandnumai o informatiepublica (identificatorutilizator). • Identity-based systems permit oricareipartisagenereze o cheiepublicapornind de la o valoare a identitatiicunoscute ca un sir ASCII. O a treia parte, de incredere, numitasiPrivate Key Generator (PKG), genereazacheile private corespondente. Pentruoperare PKG creazamaster public keysipastreazamaster private keycorespunzatoare. Cu master public key orice parte poatecalcula o cheiepublicacorespunzandidentitatii (ID) princombinarea master public key cu valoarea ID. Pentru a obtine o cheieprivatacorespondentaparteaautorizatasautilizezeidentitatea ID contacteaza PKG care utilizeaza master private key pentrugenerareacheii private pentruidentitatea data ID. • Ca rezultatpartile pot criptamesajesauverificaidentitatifara o distributieprealabila a cheilorintrediversiparticipantiindividuali.

15. Criptare email - ID based Avantaje: • Numarfinit de utilizatori, dupacetotiutilizatorii au primitcheisecretul de terta parte poatefidistrus • IBE eliminanecesitateainfrastructurii de distributie a cheilorpublice • Facilitatiinteresanteprinposibilitatea de codificare a informatiiloraditionale (data de expiraremesaj, timestamp). Dateleincapsulate in ID suntsimilare cu deschidereaunuinou canal intretransmitatorsi PKG cu autenticitategarantata. Dezavantaje: • Deoarece PKG genereazachei private pentruutilizatori el poatedecriptasi/sausemnaoricemesajfaraautorizare • Datoritaabordariicentralizatepentru PKG, criptografia IB nu esteutilizabila in super-retele • Necesita un canal sigurintreutilizatorsi PKG pentrutransmitereacheii private la intrarea in sistem. O solutiefezabilaeste o conexiune SSL.

16. Phishing Definitie: Este un procesfraudulosprin care se incearcaobtinerea de informatiisensibile cum sunt: numeutilizatori, parole siinformatiidetaliatepentrucarti de credit prindeghizarea ca o entitate de incredereintr-o comunicatieelectronica. • Falsificatransmitatorul e-mail ca fiind de la o institutiefinanciarasau de la web site-uricunoscute. • Redirecteazautilizatoriipentruintroducerea de detaliipe un site pirat care arataaproapeidentic cu cel original • De regulacereintreruperealegaturii active, dacaaceastaexista, sirevalidareacontului • Chiarcand se utilizeazaautentificarea, utilizatorultrebuiesa fie experimentatpentru a detecta ca site-ulestefals • Adeseapretinde ca a fostsuspendatcontulsicerereintroducereadatelor • Este un exemplu de tehnica de manipularepentru a pacaliutilizatoriisi a exploatacunostinteleprecare in securitate web

17. Phishing Tehnicipe care se bazeaza: • Social Engineering (Manipularesociologica) – bazatapereactiaoamenilor la lucrurice au importantapentruei. Subiectelegenereazapanicasiceractiuneimediata "to restore access to your bank account" • Link manipulation – utilizareaunorformeprin care se creaza un link in email la un site web falsificat. • Filter evasion – Atacatoriiutilizeazaimagini in loc de text pentru a face dificiladetectareaatacului de filtrele anti-phishing. • Website forgery – utilizare de JavaScript pentrualterarecontinutbara de adrese, utilizare de cross-site scripting, man-in-the-middle. Se poateutilizasi Flash. • Phone phishing – atacce nu necesita in site fals. Mesajul care aparent vine de la bancacereutilizatorilorsasune la un numarpentruproblemele relative la cont. Se invitautilizatorulsaintroducacontulsipinul. Voice phishing (Vishing) poateutiliza un caller ID falspentru a creaaparentaapelului de la o organizatie de incredere.

18. Combatere phishing • Social responses – pregatireapopulatieipentru a recunoasteatentatele phishing. In 2004, intr-un experiment cu un astfel de atac, 80% dintrestudentiiuneiadintreacademiilemilitare a raspuns cu date personale. Este necesaracertificarea in prealabilfara a introduce date. • Technical responses – implementarea de masuri de combatere in browsere. Printremasuri se pot enumera: utilizarea SSL pentruautentificare server, utilizareaautoritatilor de certificare, includerea de filtre anti phishing, introducerea de parole numaiaruncicand se justifica (ex, la Bank of America se cereutilizatoruluisaintroducaparolanumaidupacebanca a afisat o imagine proprieutilizatorului). • Legal responses – adaptarealegislatiei la conditiileactuale de utilizare IT.