Download to read offline
Tieturi-internet-ohjelmointi-1998
- 1. Tietoturvan toteuttaminen web-palvelussa Internet-ohjelmoijan ajankohtaispäivät17.-18.12 1998 Jari Pirhonen, CISSP (Jari.Pirhonen@atbusiness.com) AtBusiness Communications Oy http://www.atbusiness.com/
- 2. Määritelmä “Trustworthiness of anNetworked Information System does what it is required - despite environmental disruption, human user and operator errors, and attacks by hostile parties - and that it does not do other things. Design and implementation errors must be avoided, eliminated, or somewhat tolerated. Addressing only some aspects of the problem is not sufficient. Moreover, achieving trustworthiness requires more than just assembling components that are themselves trustworthy.” “Insecurity exists; insecurity cannot be destroyed; insecurity can be moved around” Trust in Cyberspace Committee on Information Systems Trustworthiness Editor Fred B. Schneider
- 3. “Turvallinen” … EI tarkoitayhtään mitään ellet tiedä • mitä riskeeraat, jos tieto ei ole suojassa • keneltä suojaat tietosi • mitä tapahtuu, jos menetät tietosi • kuinka paljon olet valmis panostamaan tietojen turvaamiseksi • mitkä ovat vastuusi ja velvollisuutesi
- 4. Tietoturva on liiketoimintaongelma • TietoturvaEI OLE teknologiaongelma DATA Tietoturvakerrokset Organisaatio + hallinto Henkilökunta Fyysinen Laitteistot Tietoliikenne Ohjelmistot Hallinta
- 5. Tavoite • Tunnista tarpeesija velvollisuutesi! • Luottamuksellisuus - eheys - käytettävyys “Tietoturvakaava” Tietoturvallisuus = uhka-analyysi + tietoturvapolitiikka + tekninen implementointi + monitorointi ja auditointi + reagointi rikkomuksiin
- 6. Uhat Internetissä WWW Henkilöllisyyden väärentäminen Verkkoviestienväärentäminen Verkkoviestien kuuntelu Palvelujen kuormitus Palvelun “imitointi” Protokollat Reititys Sovellukset Käyttöjärjestelmät Löysä tietoturvapolitiikka Tiukka tietoturvapolitiikka Puolueeton alue Selain Java/ActiveX Pluginit Internet
- 7. Hyökkäykset “TOP 10” 1.sosiaaliset keinot 2. salasanat 3. luottamusmalli 4. tietoturvatoteutus 5. versiot ja konfigurointi 6. vaarallinen linkki 7. hyökkäysten tunnistaminen 8. laitteisto 9. salausalgoritmien toteutus 10. salausalgoritmit
- 8. Tutkimuksia • 1996 CSI/FBIComputer Security Survey – 42% kyselyyn osallistuneista Fortune 500 yrityksistä oli joutunut hyökkäyksen kohteeksi. – 32% ilmoitti menettäneensä yhteensä yli 100 miljoonaa dollaria tietoturvarikkomuksissa. • 1997 CSI/FBI Computer Security Survey (http://www.njh.com/general/fbi.html) – kysely kohdistettu 520 tietoturva-ammattilaiselle USAn yrityksissä, virastoissa finanssilaitoksissa ja yliopistoissa – virukset, laitevarkaudet, verkkohyökkäykset, sabotaasi – 64% joutunut hyökkäyksen kohteeksi viimeisen 12 kk:n aikana – 75% kärsi taloudellisia vahinkoja – 46% ilmoitti menettäneensä yhteensä yli 136 miljoonaa dollaria tietoturvarikkomuksissa – Sisäinen/ulkoinen: 80/20 => 50/50
- 9. Tutkimuksia • FBI 1997/ USAn yritysten raportoimat vahingot – finanssirikokset $11.2 miljoonaa – televiestintärikokset $17.2 miljoonaa – yrityskohtaisen tiedon varkaudet $33.5 miljoonaa – tiedon tai verkkojen sabotointi $2.1 miljoonaa – virukset $7 miljoonaa – kannettavien tietokoneiden varkaudet $5.2 miljoonaa • EU 1996 – 1300 yritystä – 54% oli huomannut tietoturvarikkeitä – 25% menetti vahingoissa yli $250 000 – 70% ei osannut arvioida vahinkoja – 48% kärsi oman henkilökunnan rikkomuksista
- 10. Tutkimuksia • Dan Farmerweb-site survey 1996 – 2200 tutkitusta web-palvelusta n. 70% olisi helposti murtauduttavissa – kriittiset, näkyvät palvelut haavoittuvampia kuin satunnainen testiryhmä • Prowatch Secure verkkomonitorointi tuotteen asiakaskunta 1997 – 556 464 häytystä, vakavia hyökkäyksiä 0.5-5 kpl/kk/asiakas – www-palveluihin kohdistetuista hyökkäyksistä 100% kauppa-paikkoihin – “A hacker? That’s just the price of doing business on the Internet, son”
- 11. Tapauksia • Panix SYNflooding 1997 – Internet palveluntarjoaja “pommitettiin” toimintakyvyttömäksi • SexyGirls 1997 – Käyttäjän modeemiyhteys ohjattiin Moldovialaisen puhelinyhtiön kautta • InterNIC DNS / Kashpureff 1997 – Nimipalvelun muutos: www.internic.com => www.alternic.com • Salgado / varasti 100,000 luottokorttinumeroa yritysten tietokannoista 1997 – lankesi FBI:n ansaan myydessään numeroita 260 000 dollarilla • Pentagon HackAttack 1998 – USA:n hallituksen koneisiin murtauduttiin
- 12. Tapauksia • Chaos ComputerClub / ActiveX + Intuit 1997 – ActiveX-komponentti ajasti automaattisen maksun käyttäjän tililtä • Web-graffiti: FOX, Yahoo, UNICEF,CIA,DoJ,Rolling Stones,Telia, NASA, Kriegsman Fur,US Air Force,Cyberpromotions,Crack a Mac,Pentagon, Whitepower – hacked.net tilastoi vuonna 1997 368 muutettua web-palvelua, 1998 tammi- helmikuussa jo yli 200 kpl. • New Tear attack1998: Nasa, Navy, lukuisia yliopistoja – Vastalause Microsoftille Bill Gatesin esiintyessä senaatille • Worcesterin lentokenttä 1997: hakkerit saivat pois toiminnasta mm. lennonjohdon puhelinpalvelut, sääpalvelut, lentokentän turvapalvelut ja paloaseman järjestelmät.
- 13. Tapauksia • AUSnet 1995:Skeeve Stevens vei 1250 luottokortin tiedot ja välitti ne Internetiin, yrityksen kotisivu muutettiin. 500 luottokorttia jouduttiin peruuttamaan ja korvauksia käyttäjille maksettiin $300.000, Paljon negatiivista julkisuutta. Stevens tuomittiin 3 vuodeksi vankeuteen. • Deutche Telekom/T-Online 1998: kaksi 16-vuotiasta tunkeutui ISP:n järjestelmiin ja varasti satoja pankkiyhteystietoja
- 14. • Tutkimus 1990ja 1995: komennoille (>80 kpl) generoitiin satunnaissyöte ja tutkittiin käyttäytymistä • SunOS, Solaris, HP-UX, AIX, IRIX, Ultrix, Nextstep, Linux, GNU työkalut • Komennot eivät osanneet käsitellä virheellistä syötettä: komento tai kone kaatui, komento jäi epämääräiseen tilaan • virheellisesti toimivien osuus: kaupalliset Unixit 18-23%, Linux 9%, GNU 6% • 1990 ja 1995 tutkimuksissa löydettiin samoja virheitä Unix-komentojen luotettavuus ftp://grilled.cs.wisc.edu/technical_papers/fuzz-revisited.ps Solaris 7 has 12 million lines of code with less than10% new, in contrast with Windows NT 5.0 with million lines of code and over 50% new
- 15. Web-palvelun turvaaminenVahvasalaus Vahva käyttäjätunnistus Valtuutus Käyttäjähallinta Liitynnätoper. järjestelmiin Maksaminen Operointi Seuranta Perustoimet: minimaalinenkj, patchit, palvelimen sijoitus, palomuuri Web-palvelin: oikeaoppinen asennus, SSL, varmenteet, ACL, tunnus/salasana
- 16. Sovellusnäkökulma WWW Cobol, Java, C,C++, Tuxedo,… Oracle, Informix, Solid, SQL Server,... RMI, DCOM, IIOP, MQ, JDBC,... HTML, Corba, CGI, COM, ASP, VB, JavaScript, Perl, Java, LDAP,... Java, JavaScript, COM, Corba, VB,... HTTP, RMI, DCOM,IIOP,...
- 17. Sovelluskehityksen haasteet • kiire,kiire, kiire • beta-kulttuuri • kilpailevat standardit • välineiden ja protokollien runsaus, nopea kehitys • ympäristön vaikeus: hajautettu oliomalli, C++ • valmiskomponentit • tietoturva koetaan add-on piirteenä • sovelluksista testataan toiminnallisuutta ei tietoturvaa => toimiva sovellus ei välttämättä ole turvallinen • tietoturva ei ole hauskaa
- 18. The Mythical Man-Month Ohjelma 1aikayksikkö Ohjelmistotuote • testaus • dokumentaatio • yleiskäyttöisyys • ylläpito Ohjelmistokomponentti • määritellyt rajapinnat • integrointi • yhteistoiminta Tuotteistettu ohjelmistokomponentti 3x 3x 9x Frederick P. Brooks
- 19. Vinkkejä • Tietoturva mietittäväalusta pitäen sovelluksen osaksi • Tietoturvaexpertti mukaan projektiin • Käytetään koeteltuja välineitä ja komponentteja • Käytä mahdollisimman “riisuttua” ajoalustaa (NT, Unix) • Tehdään sovelluksista siirrettäviä => alustaa voidaan vaihtaa • Kaikki on suojattava: sulje paitsi etuovi, myös takaovi ja ikkunat. Varmista savupiippu ja saranat. Pääseekö autotallin kautta sisään? • KISS
- 20. Vinkkejä • Älä luotakäyttäjään • Älä luota client tai server-sovellukseen • Älä luota alla olevaan järjestelmään • Ohjelmalla oltava vain välttämättömät oikeudet • Tekeehän ohjelma vain sen mitä pitää? • Tarkista kutsujen paluuarvot • Älä luota systeemin tilaan • Älä pidä luottamuksellista tietoa salaamattomana tiedostoissa tai puskureissa • Ajattele niin kuin hakkeri
- 21. Häpeänaiheita • Salasanat käyttäjäntunnistamiseksi web-palvelussa - selväkielisenä verkossa • Luottokorttinumeroiden varastointi web-palvelimen tietokantoihin • Loppukäyttäjä tekee tietoturvapäätökset
- 22.
- 23. Motto? "History has taughtus: never underestimate the amount of money, time, and effort someone will expend to thwart a security system. It's always better to assume the worst. Assume your adversaries are better than they are...Give yourself a margin for error. Give yourself more security than you need today. When the unexpected happens you'll be glad you did.” Bruce Schneier, Counterpane Systems