Successfully reported this slideshow.
We use your LinkedIn profile and activity data to personalize ads and to show you more relevant ads. You can change your ad preferences anytime.
Zaufanie w systemach informatycznych Paweł Krawczyk
Kontakt z autorem: [email_address] Tel. +48-602-776959 Prezentacja udostępniona na licencji Creative Commons BY-NC-SA („uz...
Konspekt <ul><li>Kryteria zaufania
Analiza ryzyka
Funkcje bezpieczeństwa
Zaufanie oparte o reputację
Etyka bezpieczeństwa </li></ul>
Zaufanie do systemu informatycznego <ul><li>Zaufanie, wiarygodność systemu informatycznego </li><ul><li>Przekonanie, że da...
Jak opisać kryteria? <ul><li>Polityki (policies)
Procedury (procedures)
Standardy (standards)
Minimalne wymagania (baselines)
Wytyczne (guidelines) </li></ul>
Polityki bezpieczeństwa
Polityki bezpieczeństwa <ul><li>Wysokopoziomowe
Strategiczne
Wytyczają kierunek
Stabilne
Zawierają wynik decyzji politycznych </li><ul><li>Np.  &quot;Priorytetem organizacji jest...&quot; </li><ul><li>albo  &quo...
albo  &quot;...bezpieczeństwo i stabilność&quot; </li></ul></ul></ul>
Implementacja polityk <ul><li>Minimalne wymagania </li><ul><li>Określają ilościowo wymagany poziom siły mechanizmów bezpie...
Implementacja polityk <ul><li>Standardy </li><ul><li>Opisują obecność konkretnych mechanizmów bezpieczeństwa (hasła, szyfr...
Częste błędy w tworzeniu polityk <ul><li>Sprzeczne cele (oksymorony) </li><ul><li>&quot;maksymalizacja zysku za cenę ryzyk...
Zbyt obszerne, nieczytelne i nieprzyswajalne </li></ul><li>Tworzenie polityk &quot;na zapas&quot; i myślenie życzeniowe </...
Nierealne cele polityk <ul><li>Patologia pierwsza </li><ul><li>Podniesienie poziomu bezpieczeństwa tak wysoko, że zanika z...
Przykład: e-faktury, podpis kwalifikowany </li></ul><li>Patologia druga </li><ul><li>Ustalenie celów bezpieczeństwa tak wy...
Czy więcej bezpieczeństwa to lepiej? <ul><li>Bezpieczeństwo  służy  maksymalizacji zysku </li><ul><li>Poświęcamy krótkoter...
Dbamy o zysk długoterminowy </li></ul><li>Wartość graniczna bezpieczeństwa </li><ul><li>100% bezpieczeństwa = 0% działania...
Przyczynia się do realizacji  jej   celów </li></ul></ul>
Metody racjonalizacji polityk <ul><li>Rozbudowa na podstawie </li><ul><li>Potrzeb wewnętrznych
Wymagań zewnętrznych </li><ul><li>Prawo, standardy branżowe, wymagania klientów, przewaga konkurencyjna </li></ul></ul><li...
ROI = Return on Investment
ROSI = Return on Security Investment </li></ul></ul>
Analiza ryzyka
Analiza ryzyka <ul><li>Racjonalny i obiektywny opis ryzyk organizacji </li><ul><li>Umożliwia ich racjonalne  kontrolowanie...
Terminologia <ul><li>Zasoby chronione, aktywa ( assets )
Zagrożenie ( threat )
Czynnik zagrożenia ( threat agent )
Podatność ( vulnerability )
Narażenie na ryzyko ( exposure to risk )
Ryzyko ( risk )
Środki bezpieczeństwa, zabezpieczenia ( countermeasures )
Szkoda ( impact ) </li></ul>
Wyjaśnienia terminologii <ul><li>Zagrożenia </li><ul><li>Niezależne od nas, nie mamy na nie wpływu
Nie muszą nas dotyczyć, jeśli nie istnieje  czynnik  ( agent ) </li></ul><li>Podatność </li><ul><li>Istnieje jeśli odpowia...
Na podatność mamy wpływ </li></ul><li>Ryzyko </li><ul><li>Istnieje, jeśli istnieje  podatność </li></ul></ul>
Integralność ( integrity ) Modyfikacja (alternation) Zniszczenie ( destruction ) Dostępność ( availability ) Ujawnienie ( ...
Ryzyko = iloczyn prawdopodobieństwa wystąpienia  zagrożenia  i stopnia szkodliwości jej skutków (IEC 61508) Ryzyko = prawd...
Źródło: Common Criteria for Information Technology Security Evaluation, Part 1: Introduction and general model, July 2009
Wycena ryzyka w praktyce #1 <ul><li>Określenie SLE ( Single Loss Expectancy ) </li><ul><li>SLE = AV x  EF </li><ul><li>AV ...
EF (Exposure Factor) [%] </li></ul></ul><li>Przykład </li><ul><li>Zysk z jednego dnia emisji reklam średnio 1000 zł </li><...
System przestaje działać  ->  reklamy się nie wyświetlają  ->  EF=100% </li></ul></ul></ul>
Wycena ryzyka w praktyce #2 <ul><li>Agregacja w skali rocznej </li><ul><li>AV roczny  = AV x 365 dni = 365'000 zł  </li></...
Wycena ryzyka w praktyce #3 <ul><li>ALE jest  wskazówką  do dalszych decyzji
Jak postąpić z danym ryzykiem? </li><ul><li>Jeśli  ograniczać , to  ile  wydać na zabezpieczenie? </li><ul><li>Wartość zab...
Postępowanie z ryzykiem <ul><li>Ograniczenie (reduction) </li><ul><li>Zabezpieczenia ( safeguards, controls ) </li></ul><l...
Jak weryfikować zaufanie?
Zaufanie... co do czego? <ul><li>Czy dana osoba jest tą, za którą się podaje?
Czy dany obiekt jest tym, jako który go opisano?
Czy dana osoba ma prawo czytać dany plik? </li></ul>
Poufność <ul><li>Formalne modele poufności
Środki prawne </li><ul><li>Penalizacja ujawnienia informacji niejawnej </li></ul><li>Środki organizacyjne </li><ul><li>Zas...
Formalne modele dostępu do danych <ul><li>Wywodzą się z polityk wojskowych
Realizują funkcje </li><ul><li>Poufności – kto może czytać/kopiować dane
Integralności – kto może zapisywać/zmieniać dane </li></ul><li>Wymagają klasyfikacji informacji </li><ul><li>Np. &quot;taj...
Opisują relacje między klasami </li></ul></ul>
Model Bell-LaPadula <ul><li>Model  poufności  (kontroli dostępu)
Upcoming SlideShare
Loading in …5
×

Zaufanie W Systemach Informatycznych

2,085 views

Published on

Prezentacja dla studentów Podyplomowych Studiów Zarządzania Bezpieczeństwem Informacji w Szkole Głównej Handlowej (SGH), kwiecień 2010.

Published in: Education
  • Be the first to comment

  • Be the first to like this

Zaufanie W Systemach Informatycznych

  1. 1. Zaufanie w systemach informatycznych Paweł Krawczyk
  2. 2. Kontakt z autorem: [email_address] Tel. +48-602-776959 Prezentacja udostępniona na licencji Creative Commons BY-NC-SA („uznanie autorstwa“, „użycie niekomercyjne“, „na tych samych warunkach“) http://creativecommons.org/licenses/by-nc-sa/3.0/pl/
  3. 3. Konspekt <ul><li>Kryteria zaufania
  4. 4. Analiza ryzyka
  5. 5. Funkcje bezpieczeństwa
  6. 6. Zaufanie oparte o reputację
  7. 7. Etyka bezpieczeństwa </li></ul>
  8. 8. Zaufanie do systemu informatycznego <ul><li>Zaufanie, wiarygodność systemu informatycznego </li><ul><li>Przekonanie, że dany system spełnia swoje zadanie zgodnie z określonymi kryteriami – np. polityką bezpieczeństwa (PN-I-02000:2002 pkt 3.2.017) </li></ul><li>Warunek konieczny: kryteria </li></ul>
  9. 9. Jak opisać kryteria? <ul><li>Polityki (policies)
  10. 10. Procedury (procedures)
  11. 11. Standardy (standards)
  12. 12. Minimalne wymagania (baselines)
  13. 13. Wytyczne (guidelines) </li></ul>
  14. 14. Polityki bezpieczeństwa
  15. 15. Polityki bezpieczeństwa <ul><li>Wysokopoziomowe
  16. 16. Strategiczne
  17. 17. Wytyczają kierunek
  18. 18. Stabilne
  19. 19. Zawierają wynik decyzji politycznych </li><ul><li>Np. &quot;Priorytetem organizacji jest...&quot; </li><ul><li>albo &quot;...maksymalizacja zysku za cenę ryzyka&quot;
  20. 20. albo &quot;...bezpieczeństwo i stabilność&quot; </li></ul></ul></ul>
  21. 21. Implementacja polityk <ul><li>Minimalne wymagania </li><ul><li>Określają ilościowo wymagany poziom siły mechanizmów bezpieczeństwa (długość hasła, długość kluczy szyfrujących, częstość zmiany haseł) </li></ul><li>Wytyczne </li><ul><li>Mogą mieć charakter niewiążący, zawierają zalecenia ( recommendations ) i najlepsze praktyki postępowania ( best practices ) </li></ul></ul>
  22. 22. Implementacja polityk <ul><li>Standardy </li><ul><li>Opisują obecność konkretnych mechanizmów bezpieczeństwa (hasła, szyfrowanie danych, zapory sieciowe) </li></ul><li>Procedury </li><ul><li>Krok po kroku opisują sposób wykonywania określonych zadań w sposób bezpieczny (np. postępowanie z dokumentami wrażliwymi) </li></ul></ul>
  23. 23. Częste błędy w tworzeniu polityk <ul><li>Sprzeczne cele (oksymorony) </li><ul><li>&quot;maksymalizacja zysku za cenę ryzyka, bezpieczeństwo oraz stabilność&quot; </li></ul><li>Przemieszanie polityk z procedurami i standardami </li><ul><li>Trudność zmian lub zbyt częste zmiany
  24. 24. Zbyt obszerne, nieczytelne i nieprzyswajalne </li></ul><li>Tworzenie polityk &quot;na zapas&quot; i myślenie życzeniowe </li><ul><li>Zbyt dużo priorytetów = brak priorytetów </li></ul></ul>
  25. 25. Nierealne cele polityk <ul><li>Patologia pierwsza </li><ul><li>Podniesienie poziomu bezpieczeństwa tak wysoko, że zanika zysk krótko- i długoterminowy
  26. 26. Przykład: e-faktury, podpis kwalifikowany </li></ul><li>Patologia druga </li><ul><li>Ustalenie celów bezpieczeństwa tak wysoko, że mają one charakter &quot;myślenia życzeniowego&quot; </li></ul></ul>
  27. 27. Czy więcej bezpieczeństwa to lepiej? <ul><li>Bezpieczeństwo służy maksymalizacji zysku </li><ul><li>Poświęcamy krótkoterminowy zysk lub wydajność w celu uniknięcia długoterminowych strat
  28. 28. Dbamy o zysk długoterminowy </li></ul><li>Wartość graniczna bezpieczeństwa </li><ul><li>100% bezpieczeństwa = 0% działania </li></ul><li>Racjonalna polityka bezpieczeństwa </li><ul><li>Jest dostosowana do profilu ryzyka tej konkretnej organizacji
  29. 29. Przyczynia się do realizacji jej celów </li></ul></ul>
  30. 30. Metody racjonalizacji polityk <ul><li>Rozbudowa na podstawie </li><ul><li>Potrzeb wewnętrznych
  31. 31. Wymagań zewnętrznych </li><ul><li>Prawo, standardy branżowe, wymagania klientów, przewaga konkurencyjna </li></ul></ul><li>Uporządkowanie przy pomocy analizy ryzyka </li><ul><li>Jakościowa, ilościowa </li></ul><li>Racjonalizacja zabezpieczeń </li><ul><li>Analiza kosztów i zysków ( cost-benefit )
  32. 32. ROI = Return on Investment
  33. 33. ROSI = Return on Security Investment </li></ul></ul>
  34. 34. Analiza ryzyka
  35. 35. Analiza ryzyka <ul><li>Racjonalny i obiektywny opis ryzyk organizacji </li><ul><li>Umożliwia ich racjonalne kontrolowanie </li></ul><li>Analiza jakościowa ( qualitative ) </li><ul><li>Wysokie/średnie/niskie </li></ul><li>Analiza ilościowa ( quantitative ) </li><ul><li>Każde ryzyko ma wartość finansową </li></ul></ul>
  36. 36. Terminologia <ul><li>Zasoby chronione, aktywa ( assets )
  37. 37. Zagrożenie ( threat )
  38. 38. Czynnik zagrożenia ( threat agent )
  39. 39. Podatność ( vulnerability )
  40. 40. Narażenie na ryzyko ( exposure to risk )
  41. 41. Ryzyko ( risk )
  42. 42. Środki bezpieczeństwa, zabezpieczenia ( countermeasures )
  43. 43. Szkoda ( impact ) </li></ul>
  44. 44. Wyjaśnienia terminologii <ul><li>Zagrożenia </li><ul><li>Niezależne od nas, nie mamy na nie wpływu
  45. 45. Nie muszą nas dotyczyć, jeśli nie istnieje czynnik ( agent ) </li></ul><li>Podatność </li><ul><li>Istnieje jeśli odpowiada czynnikowi zagrożenia i nie istnieje odpowiednie zabezpieczenia
  46. 46. Na podatność mamy wpływ </li></ul><li>Ryzyko </li><ul><li>Istnieje, jeśli istnieje podatność </li></ul></ul>
  47. 47. Integralność ( integrity ) Modyfikacja (alternation) Zniszczenie ( destruction ) Dostępność ( availability ) Ujawnienie ( disclosure ) Poufność (c onfidentiality ) Trójkąt C.I.A.
  48. 48. Ryzyko = iloczyn prawdopodobieństwa wystąpienia zagrożenia i stopnia szkodliwości jej skutków (IEC 61508) Ryzyko = prawdopodobieństwo, że określone zagrożenie wykorzysta określoną podatność systemu (PN-I-02000:2002) ASSET IMPACT THREAT VULNERABILITY
  49. 49. Źródło: Common Criteria for Information Technology Security Evaluation, Part 1: Introduction and general model, July 2009
  50. 50. Wycena ryzyka w praktyce #1 <ul><li>Określenie SLE ( Single Loss Expectancy ) </li><ul><li>SLE = AV x EF </li><ul><li>AV (Asset Value) [$]
  51. 51. EF (Exposure Factor) [%] </li></ul></ul><li>Przykład </li><ul><li>Zysk z jednego dnia emisji reklam średnio 1000 zł </li><ul><li>AV = 1000zł </li></ul><li>Ciągłość pracy systemu 98% </li><ul><li>To nie jest EF!
  52. 52. System przestaje działać -> reklamy się nie wyświetlają -> EF=100% </li></ul></ul></ul>
  53. 53. Wycena ryzyka w praktyce #2 <ul><li>Agregacja w skali rocznej </li><ul><li>AV roczny = AV x 365 dni = 365'000 zł </li></ul><li>ARO ( Annual Rate of Occurence ) </li><ul><li>ARO = 2% (100%-98%) = 7,3 dnia w roku </li></ul><li>ALE (Annual Loss Expectancy) </li><ul><li>ALE = SLE x ARO = 7300 zł </li></ul><li>Obiektywna miara ryzyka w skali roku </li><ul><li>Zagrożenie – 2% przerwa w pracy systemu </li></ul></ul>
  54. 54. Wycena ryzyka w praktyce #3 <ul><li>ALE jest wskazówką do dalszych decyzji
  55. 55. Jak postąpić z danym ryzykiem? </li><ul><li>Jeśli ograniczać , to ile wydać na zabezpieczenie? </li><ul><li>Wartość zabezpieczenia: ALE – ALE zabezp – KOSZT zabezp </li></ul></ul><li>` Dodatkowe narzędzia – ROI i ROSI </li></ul>
  56. 56. Postępowanie z ryzykiem <ul><li>Ograniczenie (reduction) </li><ul><li>Zabezpieczenia ( safeguards, controls ) </li></ul><li>Akceptacja (acceptance) </li><ul><li>Świadoma i racjonalna, oparta na przesłankach </li></ul><li>Przeniesienie (transfer) </li><ul><li>Ubezpieczenie, outsourcing </li></ul><li>Unikanie (avoidance) </li><ul><li>Zaprzestanie ryzykownego działania </li></ul><li>Ignorowanie (ignorance) </li><ul><li>Patologiczna forma akceptacji </li></ul></ul>
  57. 57. Jak weryfikować zaufanie?
  58. 58. Zaufanie... co do czego? <ul><li>Czy dana osoba jest tą, za którą się podaje?
  59. 59. Czy dany obiekt jest tym, jako który go opisano?
  60. 60. Czy dana osoba ma prawo czytać dany plik? </li></ul>
  61. 61. Poufność <ul><li>Formalne modele poufności
  62. 62. Środki prawne </li><ul><li>Penalizacja ujawnienia informacji niejawnej </li></ul><li>Środki organizacyjne </li><ul><li>Zasada wiedzy koniecznej ( need to know ) </li></ul><li>Środki techniczne </li><ul><li>Szyfrowanie danych </li></ul></ul>
  63. 63. Formalne modele dostępu do danych <ul><li>Wywodzą się z polityk wojskowych
  64. 64. Realizują funkcje </li><ul><li>Poufności – kto może czytać/kopiować dane
  65. 65. Integralności – kto może zapisywać/zmieniać dane </li></ul><li>Wymagają klasyfikacji informacji </li><ul><li>Np. &quot;tajne&quot;, &quot;jawne&quot;
  66. 66. Opisują relacje między klasami </li></ul></ul>
  67. 67. Model Bell-LaPadula <ul><li>Model poufności (kontroli dostępu)
  68. 68. Poziomy klasyfikacji poufności </li><ul><li>&quot;Niższy&quot;, &quot;Taki sam jak mój&quot;, &quot;Wyższy&quot; </li></ul><li>&quot;Read down – write up&quot; </li><ul><li>Mogę czytać dane tylko z &quot;niższe&quot; lub &quot;takie same&quot; </li><ul><li>&quot;simple security property&quot; </li></ul><li>Mogę zapisywać dane tylko &quot;wyższe&quot; lub &quot;takie same&quot; </li><ul><li>&quot;star security property&quot; (*-property) </li></ul></ul></ul>
  69. 69. Integralność <ul><li>Dane są zmieniane tylko przez uprawnione osoby </li><ul><li>Tylko uprawniona osoba ma prawo zmian </li><ul><li>Kontrola dostępu do danych </li><ul><li>Nie ma praw zapisu, nie można zmienić </li></ul></ul><li>Nieuprawnione zmiany są wykrywalne </li><ul><li>Kontrola integralności za pomocą funkcji skrótu </li></ul></ul></ul>
  70. 70. Model Biba <ul><li>Model integralności (&quot;czystości&quot; danych)
  71. 71. Poziomy klasyfikacji integralności j.w.
  72. 72. &quot;Read up – write down&quot; </li><ul><li>Mogę czytać tylko dane &quot;czystsze&quot; lub &quot;takie same&quot;
  73. 73. Mogę zapisywać tylko dane &quot;brudniejsze&quot; lub &quot;takie same&quot; </li></ul><li>Integralność danych </li><ul><li>Np. precyzja pomiarów, zaokrągleń, skala map </li></ul></ul>
  74. 74. Funkcje bezpieczeństwa <ul><li>Poufność ( Confidentiality )
  75. 75. Integralność ( Integrity )
  76. 76. Dostępność ( Availability )
  77. 77. Autentyczność ( Authenticity )
  78. 78. Niezaprzeczalność ( Non - repudiation )
  79. 79. Rozliczalność ( Accountability )
  80. 80. Anonimowość ( Anonymity ) </li></ul>
  81. 81. Model kratowy <ul><li>Krata ( security lattice ) – opis uprawnień </li><ul><li>Obiekty sklasyfikowane jako {kategoria, poziom} </li><ul><li>{Osobowe, służbowy}
  82. 82. {Osobowe, wrażliwe}
  83. 83. {Projekty, służbowy}
  84. 84. {Projekty, zastrzeżone} </li></ul><li>Podmiot ma przypisany zakres dostępu </li><ul><li>Pracownik HR – {Osobowe, *}
  85. 85. Pracownik finansów – {Osobowe, służbowy}
  86. 86. Inżynier – {Projekty, służbowy}
  87. 87. Menedżer – {Projekty, *} </li></ul></ul></ul>
  88. 88. Modele macierzowe <ul><li>Zbiory wejściowe </li><ul><li>S ( subjects ) – podmioty (np. użytkownicy)
  89. 89. O ( objects ) – obiekty (np. Pliki) </li></ul><li>Uprawnienia </li><ul><ul><li>Odczyt, Zapis, Dopisanie, Wykonanie... </li></ul></ul><li>Reprezentacja polityki bezpieczeństwa </li><ul><li>A ( access ) – macierz dostępu </li><ul><li>S1 -> O -> O1
  90. 90. S2 -> O,Z -> O2 </li></ul></ul></ul>
  91. 91. Zastosowanie modeli kontroli dostępu <ul><li>Połączenie elementów wszystkich w/w modeli w systemach operacyjnych </li><ul><li>Prawa dostępu do plików </li></ul><li>Discretionary vs Mandatory Access Control </li><ul><li>DAC – właściciel decyduje o uprawnieniach
  92. 92. MAC – administrator decyduje o uprawnieniach </li></ul><li>W praktyce </li><ul><li>Security Enhanced Linux, AppArmor
  93. 93. Windows Vista – Mandatory Integrity Control </li><ul><li>Internet Explorer Protected Mode </li></ul></ul></ul>
  94. 94. Autentyczność <ul><li>Podstawa kontroli dostępu </li><ul><li>Autentyczność podmiotów i obiektów </li></ul><li>Przykłady </li><ul><li>Wiadomości ( message )
  95. 95. Kanału łączności ( peer entity )
  96. 96. Pochodzenia danych ( data origin )
  97. 97. Tożsamości osoby ( identity ) </li></ul></ul>
  98. 98. Uwierzytelnianie <ul><li>Identyfikacja </li><ul><li>Tożsamość deklarowana </li></ul><li>Uwierzytelnianie </li><ul><li>Weryfikacja i potwierdzenie tożsamości </li></ul><li>Wiele metod weryfikacji </li><ul><li>Różne poziomy pewności = różny koszt
  99. 99. Wynik – potwierdzenie tożsamości
  100. 100. Wybór poziomu wystarczającego na podstawie analizy ryzyka </li></ul></ul>
  101. 101. Klasyfikacja metod uwierzytelniania <ul><li>Coś, co wiesz ( something you know ) </li><ul><li>Hasło, kod PIN </li></ul><li>Coś, co masz ( something you have ) </li><ul><li>Token, identyfikator RFID, karta kryptograficzna </li></ul><li>Coś, czym jesteś ( something you are ) </li><ul><li>Techniki biometryczne </li></ul><li>Techniki kombinowane </li><ul><li>Uwierzytelnienie dwuskładnikowe ( two-factor authentication ) </li></ul></ul>
  102. 102. Strona techniczna <ul><li>Hasła ( password, pass-phrase )
  103. 103. Hasła jednorazowe </li><ul><ul><li>Pregenerowane - TAN ( Transaction Authentication Numbers ), &quot;zdrapki&quot;, OTP ( One-time password )
  104. 104. Generowane – RSA SecurID, SafeWord, YubiKey, CERB, sToken, SMS... </li></ul></ul><li>Identyfikatory zbliżeniowe (RFID) </li><ul><ul><li>Samo posiadanie identyfikatora, ewentualnie z PIN </li></ul></ul></ul>
  105. 105. Kryptografia asymetryczna <ul><li>Dowód posiadania klucza prywatnego </li><ul><li>SSL/TLS, ISAKMP/IKE (IPSec), SSH – uwierzytelnienie kanału łączności
  106. 106. Podpis elektroniczny - PGP, S/MIME – uwierzytelnienie pochodzenia wiadomości </li></ul><li>Lokalizacja klucza prywatnego </li><ul><li>Program, system operacyjny
  107. 107. Karta kryptograficzna
  108. 108. W obu przypadkach dodatkowe hasło (PIN) </li></ul></ul>
  109. 109. Strona organizacyjna <ul><li>Identyfikator, hasło, klucz, token, karta... </li><ul><li>Komu wydać?
  110. 110. Jak przywiązać je do tożsamości?
  111. 111. Na jakiej podstawie? </li></ul><li>Środowisko instytucjonalne i korporacyjne </li><ul><li>Wydzielony dział z odpowiednimi uprawnieniami </li></ul><li>Środowiska heterogeniczne </li><ul><li>B2B, B2C, G2C
  112. 112. Znacznie bardziej złożony problem </li></ul></ul>
  113. 113. Zaufana trzecia strona <ul><li>Architektury zaufania </li><ul><li>&quot;Każdy ufa każdemu&quot; ( mesh, web of trust ) </li><ul><li>Każdy weryfikuje tożsamość i swoje zaufanie do każdego
  114. 114. Problematyczna skalowalność </li></ul><li>Wszyscy ufamy jednemu podmiotowi </li><ul><li>Zaufana trzecia strona (TTP) poświadcza tożsamość wszystkich uczestników
  115. 115. Usługom TTP towarzyszą zobowiązania formalne (umowy cywilno-prawne) dotyczące zakresu gwarancji </li></ul></ul></ul>
  116. 116. Użytkownik Centrum Certyfikacji (CA) Bank Internetowy
  117. 117. Użytkownik Certyfikat X.509 (SSL) Certyfikat nadrzędny (root CA) Centrum Certyfikacji (CA) Bank Internetowy
  118. 118. Niezaprzeczalność <ul><li>Ochrona przed wyparciem się danej operacji </li><ul><li>Podpisanie umowy, dokonanie zakupu, złożenie zlecenia przelewu, zrzeczenie się praw, zgoda na... </li></ul><li>Wyprzeć się można zawsze... </li><ul><li>Przesłanki, że wyparcie jest nieuzasadnione
  119. 119. Mogą być one gromadzone środkami prawnymi lub technicznymi </li></ul></ul>
  120. 120. Niezaprzeczalność #1 <ul><li>Uzależnienie usługi od poświadczenia deklaracji </li><ul><li>&quot;Tak, wyrażam zgodę na otrzymywanie reklam...&quot;
  121. 121. &quot;Tak, przeczytałem i akceptuję regulamin...&quot; </li></ul><li>W razie wyparcia </li><ul><li>Klient zaznaczył kratkę &quot;Tak...&quot;
  122. 122. Bez tego realizacja usługi nie była możliwa
  123. 123. Musiał być więc świadomy treści deklaracji </li></ul></ul>
  124. 124. Niezaprzeczalność #2 <ul><li>Podpis elektroniczny składany kluczem prywatnym </li><ul><li>Zakaz tworzenia kopii klucza prywatnego (prawny)
  125. 125. Niemożność skopiowania klucza prywanego (techniczny)
  126. 126. Dostęp do klucza po podaniu PIN (techniczny)
  127. 127. Zakaz udostępniania PIN innym osobom (prawny) </li></ul><li>Wnioski </li><ul><li>Tylko właściciel może złożyć podpis </li><ul><li>Lub złamać prawo, lub zostać do tego zmuszonym... </li></ul></ul></ul>
  128. 128. Dostępność <ul><li>Kontrola dostępu </li><ul><li>Nieautoryzowane osoby nie mogą zmienić lub usunąć danych </li></ul><li>Środki techniczne </li><ul><li>Replikacja, kopie zapasowe, kolokacja </li></ul><li>Środki organizacyjne </li><ul><li>Plany awaryjne, delegacja odpowiedzialności, testowanie środków technicznych </li></ul></ul>
  129. 129. Rozliczalność <ul><li>Mozliwość przypisania działań podmiotom </li><ul><li>Funkcja audytu ( audit )
  130. 130. Zależy od skutecznego potwierdzenia tożsamości </li></ul><li>Środki techniczno-organizacyjne </li><ul><li>Obligatoryjne dzienniki </li><ul><li>Systemowe (logi), wejścia-wyjścia (pomieszczenia) </li></ul><li>Ochrona integralności dzienników </li></ul></ul>
  131. 131. Anonimowość <ul><li>Dostęp do obiektu bez ujawniania tożsamości podmiotu </li><ul><li>Ochrona prywatności </li></ul><li>Pozorna sprzeczność z rozliczalnością i kontrolą dostępu </li><ul><li>W praktyce – poufność informacji o tożsamości </li></ul></ul>
  132. 132. Anonimowa kontrola dostępu <ul><li>Model tradycyjny </li><ul><li>Identyfikacja -> Uwierzytelnienie -> Uprawnienia </li></ul><li>Ograniczone udostępnianie informacji ( limited disclosure ) </li><ul><li>&quot;Uprawnienia na okaziciela&quot; (Microsoft U-Prove)
  133. 133. Dowód wiedzy zerowej ( zero knowledge proof )
  134. 134. Anonymizacja danych ( anonymisation ) </li><ul><li>Tokenizacja (tokenisation), </li></ul></ul></ul>
  135. 135. Gradacja siły mechanizmów bezpieczeństwa <ul><li>Koszt użycia jest funkcją siły zabezpieczenia </li><ul><li>Najmniejsza, wystarczająca siła mechanizmów
  136. 136. Racjonalizacja kosztów i optymalizacja procesu </li></ul><li>Pułapka unifikacji (&quot;one size fits all&quot;) </li><ul><li>Konieczność dostosowania do procesu o najwyższych wymaganiach
  137. 137. Paraliż procesów o niższych wymaganiach </li></ul></ul>
  138. 138. Przykłady <ul><li>Bankowość elektroniczna
  139. 139. IDA (Interchange of Data between Administrations) Authentication Policy </li></ul><ul><ul><li>Hasła lub kody PIN
  140. 140. Hasła jednorazowe
  141. 141. Klucze kryptograficzne przechowywane programowo
  142. 142. Klucze kryptograficzne przechowywane sprzętowo </li></ul></ul><ul><li>FIPS 200 (NIST) </li></ul>
  143. 143. Zaufanie oparte o reputację
  144. 144. Zaufanie oparte o reputację <ul><li>W odniesieniu do osób </li><ul><li>Systemy aukcyjne, mikropożyczkowe...
  145. 145. Systemy oceny sklepów, prawników, lekarzy...
  146. 146. Systemy historii kredytowej, bazy dłużników... </li></ul><li>W odniesieniu do sieci </li><ul><li>Czarne listy adresów IP </li><ul><li>DNSBL (DNS Blocklist) </li></ul><li>Klasyfikacja treści </li><ul><li>WCF (Web Content Filtering) </li></ul></ul></ul>
  147. 147. Reputacja a funkcje bezpieczeństwa <ul><li>Reputacja może być przywiązana do mniej lub bardziej anonimowego identyfikatora </li><ul><li>&quot;marysia123&quot; – w serwisach aukcyjnych
  148. 148. 10.2.3.4 – w czarnych listach adresów IP
  149. 149. http://www.casino124.net/ - w systemach klasyfikacji stron </li></ul><li>Potwierdzenie tożsamości stron nie jest kluczowe </li><ul><li>&quot;Czy chcę z nim rozmawiać&quot; zamiast &quot;kim on jest?&quot; </li></ul></ul>
  150. 150. Reputacja osób <ul><li>Odpowiedź na anonimowość drobnego handlu elektronicznego </li><ul><li>&quot;Czy chcę kupić/sprzedać coś tej osobie na odległość?&quot;
  151. 151. &quot;Jaki jest poziom ryzyka tej transakcji?&quot; </li></ul><li>Ułatwia podjęcie decyzji
  152. 152. Poprawia konkurencję
  153. 153. Ogranicza nadużycia
  154. 154. Nie jest doskonała </li></ul>
  155. 155. Reputacja osób <ul><li>Przykładowe kryteria </li><ul><li>Działający adres email -> email z kodem
  156. 156. Działający adres pocztowy -> list z kodem
  157. 157. Telefon komórkowy -> SMS
  158. 158. Konto bankowe -> przelew na 0,01 zł
  159. 159. Historia w KRD, BIK, InfoMonitor, ERIF
  160. 160. Jest zatrudniony -> kontakt z pracodawcą
  161. 161. Co o nim myślą inni użytkownicy -> komentarze </li></ul></ul>
  162. 162. Reputacja domen i adresów IP <ul><li>Odpowiedź na patologie takie jak spam, włamania do serwerów i phishing </li><ul><li>Serwer: &quot;Czy chcę przyjąć połączenie z tego IP?&quot;
  163. 163. Klient: &quot;Czy chcę wejść na tą stronę?&quot; </li></ul><li>Często oparte o DNS (DNSBL) </li><ul><li>Szybka, rozproszona, replikowalna baza danych </li></ul></ul>
  164. 164. Czarne listy IP <ul><li>Spammerzy </li><ul><li>&quot;Z tych IP otrzymaliśmy spam&quot; </li></ul><li>Open proxy/open relay </li><ul><li>&quot;Te serwery są niedostatecznie zabezpieczone&quot; </li></ul><li>Podsieci konsumenckie </li><ul><li>&quot;Te adresy są przydzielane konsumentom i nie powinny na nich działać serwery&quot; </li></ul><li>Prognozujące (predictive) </li><ul><li>&quot;Te adresy należą do firm spammerskich&quot; </li></ul></ul>
  165. 165. Klasyfikacja stron WWW <ul><li>Reputacja strony WWW </li><ul><li>Przynależność do określonej kategorii </li><ul><li>Systemy WCF- kilkadziesiąt kategorii i kilkaset podkategorii
  166. 166. &quot;Czarne listy&quot; (OpenDNS, Google Safe Browsing, Microsoft Smart Screen) </li></ul><li>Wg adresu URL </li></ul><li>Polityka bezpieczeństwa określa dopuszczalny dostęp </li></ul>
  167. 167. Zaufanie w branży bezpieczeństwa
  168. 168. Zaufanie do branży <ul><li>Szczególne oczekiwania wobec branży bezpieczeństwa </li><ul><li>Por. tajemnica lekarska, adwokacka, maklerska, spowiedzi...
  169. 169. Bezpieczeństwo – nie tylko dochowanie tajemnicy </li></ul><li>Jak buduje się zaufanie do branży i ekspertów </li><ul><li>Certyfikacje zawodowe
  170. 170. Kodeksy etyki zawodowej </li></ul></ul>
  171. 171. Kompetencje zawodowe <ul><li>Systemy certyfikacji zawodowej </li><ul><li>Certyfikaty ogólne – CISSP, CISA, CISM </li></ul><li>Wymóg rozwoju zawodowego </li><ul><li>CPE – publikacje, konferencje, wykłady... </li></ul><li>Udokumentowane doświadczenie
  172. 172. Kodeks etyczny
  173. 173. Certyfikaty produktowe </li><ul><li>Microsoft, Cisco... </li></ul></ul>
  174. 174. Etyka w bezpieczeństwie <ul><li>Zaufanie do ekspertów i branży
  175. 175. Dylematy moralne i prawne </li><ul><li>Prowizje od producentów
  176. 176. Korupcja </li></ul><li>Branżowe kodeksy etyczne </li><ul><li>(ISC)2 Code of Ethics
  177. 177. ISACA Code of Professional Ethics
  178. 178. RFC 1087 &quot;Ethics and the Internet&quot; </li></ul></ul>
  179. 179. Przykład - (ISC)2 <ul><li>Kanon kodeksu (ISC)2 </li><ul><li>Protect society, the commonwealth, and the infrastructure.
  180. 180. Act honorably, honestly, justly, responsibly, and legally.
  181. 181. Provide diligent and competent service to principals.
  182. 182. Advance and protect the profession. </li></ul><li>Kolejność istotna! </li></ul>
  183. 183. Kontakt z autorem: [email_address] Tel. +48-602-776959 Prezentacja udostępniona na licencji Creative Commons BY-NC-SA („uznanie autorstwa“, „użycie niekomercyjne“, „na tych samych warunkach“) http://creativecommons.org/licenses/by-nc-sa/3.0/pl/

×