2 · Zabezpečení systémů

Zabezpečení systémů

• Tohle je úvod do kyberbezpečnosti CS50.
• Tento týden se zaměříme na sítě a systémy.
• Minule jsme představili šifrování jako způsob zabezpečení informací.

Wi-Fi

• Pravděpodobně sis všimla, že existují zabezpečené i nezabezpečené sítě.
• Zabezpečené sítě používají šifrování, aby chránily data mezi tebou a dalšími zařízeními.
• Wi-Fi Protected Access, zkráceně WPA, je způsob ochrany Wi-Fi sítí využívající šifrování.

HTTP

• Hypertext Transfer Protocol, tedy HTTP, je nešifrovaný způsob přenosu dat.
• Při použití HTTP můžeš být zranitelná vůči útoku prostředníka. Útočník může vložit další HTML kód do stahovaného obsahu. Do všech stránek navštěvovaných přes HTTP by tak mohl přidávat reklamy nebo také škodlivý kód.
• Existují i další hrozby. Packet sniffing, odposlech paketů, umožňuje útočníkovi nahlížet do dat přenášených mezi stranami. Číslo platební karty vložené do nezabezpečeného paketu by tak mohl odhalit a ukrást.
• Cookies jsou malé soubory či datové hodnoty, které web ukládá do tvého počítače. Web díky nim může poznat, kdo jsi, zobrazit e-maily nebo uchovat nákupní košík. Původní poznámky v této souvislosti zmiňují session hijacking, únos relace, a vložení supercookie umožňujícího sledování.
• Jak se proti takové hrozbě bránit?

HTTPS

• HTTPS je zabezpečená varianta HTTP.
• Provoz mezi stranami je šifrovaný.
• Ochranu zajišťuje TLS, které využívá také kryptografii s veřejným klíčem.
• Web má veřejný klíč, jehož vazbu na web potvrzuje třetí strana v certifikátu typu X.509. Web má také soukromý klíč.
• Certifikační autority, tedy CA, jsou důvěryhodné třetí strany, které vydávají certifikáty.
• Když navštívíš web, prohlížeč stáhne jeho certifikát a při ověřování pracuje s algoritmem a hashovou hodnotou.
• Původní poznámky popisují další krok jako použití veřejného klíče a podpisu certifikátu k ověření, že výsledná hashová hodnota odpovídá dříve získané hodnotě.
• Když se hodnoty shodují, prohlížeč vyhodnotí příslušné ověření jako úspěšné a spojení jako zabezpečené.
• HTTPS nás matematicky chrání, ale existují výjimky.
• SSL stripping je útok zneužívající nešifrované HTTP při přesměrovávání komunikace. V příkladu přednášky může útočník přesměrovat uživatele také na škodlivý web, který sice používá HTTPS, ale není zamýšleným cílem.
• Jedním z opatření je HSTS, neboli HTTP Strict Transport Security. Server tím prohlížeči sdělí, aby na daný web přistupoval zabezpečeným spojením.

VPN

• VPN, tedy virtuální privátní síť, vytváří šifrovaný kanál mezi dvěma body.
• Provoz přenášený tímto VPN kanálem je šifrovaný.
• Používání VPN ale má také vedlejší účinky.
• Protože spojení mezi stranami vede přes druhou stranu a její IP adresu, může webovým službám tvoje komunikace připadat jako provoz pocházející z její IP adresy místo tvé původní adresy.
• Lidé proto často používají VPN, aby působili, že se nacházejí v jiné zemi.

SSH

• SSH je zabezpečený protokol umožňující spouštění příkazů na vzdáleném serveru.

• Pokud chceš komunikovat se vzdáleným počítačem a spouštět na něm příkazy, můžeš použít příkaz ssh. Následující příklad ukazuje připojení k serveru Stanfordovy univerzity. K úspěšnému připojení bys stále potřebovala odpovídající přihlašovací údaje a oprávnění.

  ssh stanford.edu
  

• Máš-li potřebná přístupová práva, můžeš příkazy spouštět přímo na vzdáleném serveru.

Porty

• Čísla portů směrují síťový provoz ke konkrétním službám na serveru.
• Například port 80 se používá pro HTTP, 443 pro HTTPS a 22 pro SSH.
• Servery na těchto portech poslouchají příchozí provoz.
• Útočníci mohou provádět skenování portů, při kterém zkoušejí různé porty a zjišťují, zda přijímají komunikaci.
• Penetrační testování je činnost, kterou může odborník provádět při hledání bezpečnostních zranitelností souvisejících s porty.
• Etický hacking je oprávněné, legální testování takových zranitelností.
• Firewall je software chránící služby blokováním neoprávněného přístupu, včetně přístupu z napadených služeb na zařízení.
• Firewally mohou využívat IP adresy, tedy adresy přiřazené počítačům v síti, k omezení komunikace zvenčí.
• Mohou používat také deep packet inspection, hlubokou kontrolu paketů. Zkoumají při ní data uvnitř paketů, například obsah zajímavý pro firmu. Ta může tímto způsobem kontrolovat, zda posíláš e-mail tisku nebo jiným stranám, které považuje za protivníky.
• Hlubokou kontrolu lze provádět prostřednictvím proxy: zařízení uprostřed komunikace, přes které provoz vstupuje do sítě a odchází z ní. Na této proxy může škola či firma měnit adresy, zaznamenávat navštěvované URL a snad také chránit uživatele před škodlivým chováním.

Malware

• Malware je škodlivý software, který poškozuje počítač nebo narušuje jeho bezpečnost.
• Virus je software, který se připojí k programu či systému v počítači. Po instalaci může mít velmi široké možnosti.
• Červ, anglicky worm, je škodlivý software schopný přecházet z jednoho počítače na druhý přes bezpečnostní mezery.
• V původním příkladu software vytvářející botnet napadne tvůj počítač a další počítače a umožní útočníkovi vydávat příkazy tisícům infikovaných zařízení. Botnet označuje takto vytvořenou síť.
• Počítače v botnetu lze využít k útokům denial of service: zasílají serveru mnoho požadavků, aby ho zpomalily či vyřadily. Pokud útok přichází z tisíců IP adres mnoha počítačů, jde o distribuované odepření služby, DDoS.

Antivirus

• Antivirový software rozpoznává viry a v ideálním případě je dokáže odstranit.
• Automatické aktualizace mají být zapnuté, aby opravovaly bezpečnostní mezery v předchozích verzích softwaru.
• Přesto můžeš být zranitelná vůči zero-day útokům, které zneužívají dosud neznámé zranitelnosti dříve, než výrobce připraví opravu.

Co jsme probrali

V této lekci jsme se věnovali zabezpečení systémů. Probrali jsme:

• Jak se zabezpečují bezdrátové sítě.
• Jak lze zabezpečenými i nezabezpečenými protokoly odesílat a přijímat data v síti.
• Jak mohou virtuální privátní sítě šifrovat síťový provoz.
• Porty a zranitelnosti, kterých útočníci zneužívají.
• Různé druhy malwaru.
• Jak antivirus pomáhá bránit instalaci škodlivého softwaru do počítače.

Uvidíme se příště!