Сочинение на тему Информационная безопасность
- Опубликовано: 22.06.2020
- Предмет: Информационная наука
- Темы: Компьютерная безопасность, шифрование
RFC 6520 позволяет партнерам использовать механизм поддержки активности, чтобы знать, что они все еще подключены к уровню TLS (Transport Layer Security) в недорогом поместье, с целью снижения накладных расходов клиент / сервер с помощью долгоживущих соединения. Как реализовано heartbeat, клиент отправляет пакет heartbeat_request, который содержит произвольную полезную нагрузку и поле, определяющее длину полезной нагрузки. Этот запрос в случае успеха получает ответ от сервера, который содержит точную копию полезной нагрузки.
Функциональность Heartbeat была введена в версии 1.0.1 OpenSSL, в то время как она была неизвестна, в ней была обнаружена уязвимость, была ли она включена по умолчанию и что все реализации уязвимы. Эта уязвимость не была обнаружена примерно 2 года спустя Нилом Мехта из Google, когда на следующий день OpenSSL выпустила исправление в OpenSSL 1.0.1g. По прогнозам, пострадали 24-55% всех HTTPS-сервисов в Alexa Top 1 Million. Это влияние коснулось не только служб HTTPS, но и серверов электронной почты, Tor Project, клиентов Bitcoin и даже устройств Android (версия 4.1.1). Уязвимость затронула основные веб-сайты, на которых распространяется эта уязвимость, например Google, Youtube, Instagram и Netflix.
Причина уязвимости проста: когда код был создан, разработчик доверял внешнему пользовательскому вводу, не проверяя его достоверность, что допускает перегрузку буфера при вводе недопустимого ввода. Например, если пользователь поставил полезную нагрузку как «KENT» с полем длиной 4, ответ от сервера будет «KENT». Но если клиент поместил полезную нагрузку как «KENT» с полем длиной 100, поскольку длина поля не сравнивалась с фактической длиной полезной нагрузки, ответом будет «KENT» плюс следующие 96 символов в памяти. Эти биты возвращенной памяти могут содержать важную информацию, такую как криптографические ключи и информацию для входа в систему, что представляет серьезную угрозу безопасности.
Тот факт, что уязвимость, обнаруженная в процессе проверки кода, показывает, что в методах, которые OpenSSL внедрила для поиска эксплойтов в своем коде, есть недостаток. Было обнаружено, что инструменты статического анализа вряд ли найдут этот эксплойт, поскольку код OpenSSL был слишком сложным для этих инструментов по умолчанию, что требовало большого количества настроек. Большинство приложений для Fuzz-тестирования обращают внимание не на перечитывание буфера, а на переписывание буфера, поэтому при тестировании формы эта уязвимость не обнаружена.
Различные процессы проверки могли бы обнаружить эту уязвимость, например, сфокусированные ручные выборочные проверки всех полей ввода, которым нельзя доверять, отрицательное тестирование, которое вызывает сбои, а не успех, и Fuzzing with output output, чтобы проверить, соответствует ли результат ожидаемым.
Проект также мог бы быть реализован с использованием более безопасного языка программирования. «Основной фактор, лежащий в основе уязвимости Heartbleed, заключается в том, что язык программирования C, используемый OpenSSL, не встраивает какие-либо механизмы обнаружения или контрмеры для неправильного ограничения буфера, включая перезапись и перезапись буфера». Хотя этот подход в будущем предотвратит подобные уязвимости, потребуется много усилий, чтобы переместить проект на другой язык, а также, возможно, замедлить работу программы.
Поскольку OpenSSL – это проект с открытым исходным кодом, поэтому они не получают наибольшую сумму финансирования (2000 долларов в год за счет пожертвований), что означает, что процессы проверки кода ограничены имеющимися у них ресурсами. Это ограничивает способы проверки программного обеспечения и предотвращает рассмотрение проекта более интенсивными процессами. Исходя из этого, я понял, что проекты с открытым исходным кодом должны лучше финансироваться, если крупные корпорации так полагаются на них, что пользовательский ввод никогда не следует доверять и всегда проверять, а эксплойты не всегда можно обнаружить – даже с помощью лучших инструментов статического анализа. Рецензирование вашего кода также может уменьшить количество ошибок, допущенных к выпуску, а также других методов, перечисленных выше. Это также говорит о том, что нынешние процедуры тестирования могут быть недостаточными, поскольку необходимо вносить или корректировать возможные изменения.
Уязвимость FREAK SSL / TLS
Уязвимость FREAK в OpenSSL была вызвана бэкдором, установленным правительством США, когда любые экспортируемые продукты, использующие «сильное» шифрование, также должны были применять «слабое» шифрование (известное как экспортный класс) , Идея была проста, ключ экспортного уровня был ограничен 512-битным ключом RSA, так как в 90-х годах его можно было взломать, но для этого требовался суперкомпьютер. В то время это было замечательно для спецслужб, но с течением времени компьютеры становились все более мощными, позволяя легко и просто взламывать 512-битные ключи RSA. При этом реализация «Ключа экспорта» все еще сохранялась после отмены законодательства, а ошибка в OpenSSL означала, что атака «человек посередине» может вынудить пользователей использовать более слабый ключ экспорта.
Чтобы договориться о том, какой ключ использовать, был реализован набор шифров. Идея состояла в том, чтобы позволить «сильным» клиентам общаться с «сильными» серверами, в то же время обеспечивая «не сильную» совместимость для иностранных клиентов.
Эксплойт работает следующим образом:
- В сообщении приветствия клиентов запрашивается стандартный набор шифров “RSA”.
- Злоумышленник MITM меняет это сообщение, чтобы вместо него запросить «экспорт RSA»
- Сервер отвечает 512-битным ключом экспорта RSA, подписанным своим долгосрочным ключом
- Клиент принимает слабый ключ из-за ошибки OpenSSL / STL
- Злоумышленник использует модули RSA для восстановления соответствующего ключа расшифровки RSA
- Когда клиент шифрует «предварительный секрет» на сервере, злоумышленник может расшифровать его в виде открытого текста и вставить все, что захочет.
Одной из опасностей уязвимости FREAK было то, что время не было для нее ограничивающим фактором, поскольку генерация новых ключей RSA обходится дорого. Некоторые ключи генерируются при запуске сервера и повторно используют этот ключ на протяжении всего срока службы сервера. «Apache mod_ssl по умолчанию генерирует один ключ RSA экспортного уровня при запуске сервера и просто повторно использует этот ключ» (Green, 2015).
После того, как ключ получен и проанализирован, любой сеанс, в котором может происходить человек, находящийся в середине атаки, теперь можно мгновенно расшифровать, пока сервер не будет перезапущен.
В результате использования этой уязвимости «безопасная связь» перестала быть безопасной, даже если браузер клиента говорит, что связь с сетью безопасна. Это позволяет хакерам получать конфиденциальную информацию, такую как имена пользователей и пароли для любых посещаемых вами веб-сайтов. Это также включает в себя предоставление информации, такой как ввод банковских реквизитов на веб-сайт, что делает вас чрезвычайно уязвимыми для мошенничества.
Чтобы предотвратить атаки такого типа, достаточно отключить экспортные сертификаты, поскольку ключи больше не могут генерироваться с использованием нарушенного стандарта. Более новые версии OpenSSL исправили эксплойт, поэтому важно постоянно обновлять все программное обеспечение до последних исправлений.
Правительства не должны вмешиваться в стандарты шифрования, так как это оставляет всех уязвимыми после обнаружения черного хода.
Обход брандмауэров
Фишинг
Фишинг – это попытка получить учетные данные путем убеждения, чаще всего с использованием электронной почты. К содержимому электронного письма может быть прикреплено вредоносное ПО, замаскированное под распознаваемый файл, в надежде, что вы его запустите. Наиболее распространенные методы фишинга – это «Подводная охота». При таком подходе электронные письма создаются для того, чтобы выглядеть законно, и содержат личную информацию о конкретном человеке, такую как личная информация, интересы, партнеры. Стиль письма, скорее всего, будет напоминать стиль письма, копирующего стиль и содержание.
Решение для предотвращения этого типа атак состоит в том, чтобы блокировать любой материал, исходящий из Интернета, в сеть. Поддержание брандмауэра в актуальном состоянии с последними исправлениями также рекомендуется. Однонаправленные шлюзы могут использоваться для пропуска информации из внутренней сети, но не для предотвращения внешнего доступа в систему.
Атака выставленных серверов
Серверы могут быть уязвимы в широком диапазоне, причем некоторые из них полностью предотвратимы, поскольку системы, на которых они работают, работают с данными последних версий. Иногда атаки могут быть выполнены на плохо реализованном программном обеспечении, таком как внедрение SQL и межсайтовый скриптинг. Некоторые атаки трудно защитить, например, атаки типа «отказ в обслуживании». Некоторые эксплойты Zero Day невозможно предотвратить, хотя некоторые системы защиты на основе аномалий могут их обнаружить. Большинство известных атак можно предотвратить с помощью систем обнаружения вторжений на хост. После того, как все пароли по умолчанию были изменены, следующим шагом будет запрет доступа к серверам напрямую через брандмауэр, а размещение его за однонаправленным шлюзом.
Социальная инженерия
Социальная инженерия – это обработка получения информации посредством наблюдения и влияния. Наблюдения могут включать поиск учетных данных для входа в систему на столе или наблюдение за тем, как кто-то вводит свои учетные данные в компьютер. Попытки получить доступ к системе, связавшись с ИТ-отделом или системным администратором с правдоподобной историей, также являются еще одним способом получения учетных данных. Иногда регистраторы нажатия клавиш устанавливаются на компьютеры в надежде получить учетные данные.
Предотвращение такого рода атак может быть достигнуто с помощью двухфакторной аутентификации, поскольку попытка входа в систему сгенерирует одноразовый код, который обычно можно получить только с использованием разных учетных данных. Использование однонаправленных шлюзов не позволит злоумышленнику связаться с сервером.
Перехват пользовательских сеансов
Взлом сеанса пользователя может быть осуществлен с использованием атак «человек посередине». Это можно легко сделать с помощью бесплатного программного обеспечения, такого как расширение Firesheep для Firefox. Вы можете запустить это программное обеспечение в локальной сети, что позволит вам перехватывать потоки http. Команды могут быть вставлены в эти перехваченные потоки. Олицетворение сети точек доступа также может иметь желаемый эффект.
Чтобы предотвратить эту форму атаки, шифрование связи между сервером и клиентом может предотвратить подделку команд. Желательно также информировать пользователей о том, что они должны сообщать о сообщениях шифрования с предупреждениями и не продолжать. Однонаправленные шлюзы могут использоваться для предотвращения попадания в систему команд из ненадежных сетей.
Воздействие искусственных липких пальцев на системы отпечатков пальцев
Целью данной статьи было оценить безопасность терминалов для отпечатков пальцев, задав вопрос, могут ли эти устройства распознавать и отклонять поддельные пальцы, сделанные с использованием легкодоступных материалов, таких как желатин и силикон. Это важный вопрос, поскольку биометрические данные нельзя изменить, например, пин-код или пароль, поэтому защита от злоупотреблений является импортом.
В статье рассматриваются многие слабые места системы отпечатков пальцев, такие как принудительное сотрудничество, низкая частота ложных срабатываний, которая принимает несанкционированные пальцы, отрубленные пальцы, искусственные клоны пальцев и атака по ошибке. Они обнаружили, что один из тестируемых терминалов будет принимать отпечатки пальцев, не требующие искусственного пальца.
Dishonest действует с помощью искусственных пальцев, которые проверяются на системах отпечатков пальцев, при условии, что они будут приняты. Нечестные действия будут состоять из регистрации реальных и липких пальцев в систему. Два искусственных пальца были сформованы после настоящих пальцев, а один был создан полностью искусственно. Было показано, что искусственные пальцы, мы их формованные или полностью искусственные, могут быть приняты и использованы для нечестных действий.
Для эксперимента они создали липкие пальцы (названные так, потому что желатин имеет текстуру, похожую на текстуру конфет), используя форму пальца, а другой – отпечаток пальца. Было проведено четыре типа испытаний, каждый из которых состоял из двух этапов. Первым этапом было проверить, можно ли зарегистрировать палец в системе; Следующим шагом было выяснить, можно ли использовать палец для проверки после его регистрации. Эти тесты включали в себя живые пальцы и липкие пальцы и пытались проверить их, используя зарегистрированный палец, а также их коллегу (например, зарегистрированный реальный палец, пытались проверить с помощью липкого пальца).
Предотвращение атак такого типа может быть выполнено с помощью обнаружения «живи и здоров». Обнаружение «живого и здорового» – это набор измерений, которые используются для оценки того, является ли палец реальным, путем анализа не только отпечатков пальцев, но и реального пальца. К этому можно приблизиться, измеряя температуру, влажность, электрическое сопротивление, содержание пузырьков и многое другое. Позволяя терминалу анализировать эти функции, он позволяет терминалу различать настоящий и липкий палец с гораздо большей достоверностью. Функции, анализируемые системами «живи и работай», также могут различать, был ли отрезан палец.
Если предотвращение доступа имеет высокий приоритет, требование более одного пальца может значительно увеличить время, необходимое для проведения атаки. Очистка терминала после предоставления доступа также может помешать кому-либо создавать копии отпечатка пальца, используя оставшийся остаток.
Аргумент «нечего скрывать»
Проблема с аргументом «ничего не скрывать» заключается в том, что никто не может по-настоящему договориться о том, что такое конфиденциальность, что делает его широко используемым термином.
Агентства хотят собрать как можно больше информации о людях, от их имени, социальных сетей, местоположения, изображений, личных сообщений и многого другого. Чем больше данных этих агентств …
Забастовка предвидения преимуществ (DoS) – это концентрированное, механизированное усилие по созданию чрезмерных неудобств для объективной структуры с огромным объемом предложений по ее закрытию для использования.
Вас вдохновляют инфекции, DDoS-атаки или внезапные наводнения? при условии, что это действительно так, вам следует подумать о том, чтобы стать действительным программистом, в любом другом
Безопасность информационных систем Фишинговый фишинг был знаком в результате второй по важности атаки (вымогатели получают награды с лучшей стороны). В случае фишинг-атак злоумышленники проводят подробные