Bezpečnost informačních systémů – rizika (3. díl)
Zkusíme nastínit několik možných způsobů, jak je možné se do systému dostat.
Například:
- možnost první: prolomení hesla hrubou silou
- možnost druhá: prolomení hesla sociálním útokem
- možnost třetí: hardwarové útoky
Jedním z nejjednodušších způsobů, jak se potencionální narušitel dostane do vašeho systému je uhodnutí hesla. V současné době již existuje natolik dokonalý software, který je schopen během poměrně krátkého časového okamžiku vyzkoušet obrovské množství kombinací znaků (tzv. útok hrubou silou). Kromě toho tyto programy disponují obsáhlým slovníkem, z něhož se generují nejčastější řetězce používané jako hesla.
Můžete si být téměř jistí, že hesla typu: "heslo", "jméno_vaší_přítelkyně" nebo „rok narození“ není žádný zvláštní problém odhalit. Některé systémy, se brání tak, že uživateli, který opakovaně zadá chybné heslo, dočasně zablokují přístup. Obrana však má výraznou slabinu ve své nevybíravosti – přístup je zablokován každému bez rozdílu. Takže pokud je nastaveno, že se uživatel smí zmýlit jen třikrát jinak následuje odmítnutí přístupu na 12 hodin, stane se administrátor tím nejúspěšnějším „útočníkem“.
Kdo z uživatelů čte přihlašovací jméno, když je tam pokaždé stejné, že? Avšak stačí, aby se z počítače přihlásil někdo jiný a než si „pravý“ uživatel všimne změny loginu, je mimo hru. Nebo se ve vyplňování jména uklepne. Jenomže nastavit deset omylů a potom odepření na pět minut také není právě vhodné. Na takovém obyčejném úřadu, kde se žije od sedmi do čtyř odpoledne, by takové nastavení dovolilo bez rizika vyzkoušet každý den mimo pracovní dobu 1 800 možností.
Dalším nebezpečím jsou tzv. sociální útoky, využívající k proniknutí do systému vaší chybu a případně znalosti o vaší osobě. Takže není vhodné jako heslo používat své rodné číslo, jméno manželky za svobodna, svůj oblíbený nápoj a nebo oblíbenou postavu z večerníčku.
Bohaté zkušenosti správců sítí hovoří jednoznačně: není problém zavolat, představit se jako správce sítě, požádat kohokoliv o sdělení uživatelského jména a hesla a dostat správnou odpověď.
Také při návštěvě kanceláří se dost často objevují hesla nalepená přímo na terminálu případně na klávesnici a o vhodnosti jejich výběru ani nemluvě. Jak by mělo tedy heslo vypadat? Nejdůležitější je sám heslo chránit. Tzn. nikam jej nepsat, nikomu nesdělovat, zvláště ne do telefonu a používat různá hesla pro různé systémy. Často se totiž stane, že musíte jedno heslo sdílet s více lidmi.
Zároveň je třeba se mít na pozoru před různými internetovými službami a protokoly. Například HTTP autentifikace, telnet nebo POP3 protokol pro čtení pošty posílají heslo přes síť buď nezašifrované a nebo zašifrované známou, obousměrnou (tj. heslo lze dešifrovat) metodou.
Všechny tyto služby už mají v současné době své "bezpečnější brášky", například SSL, SSH a podobně. Velké firmy si najímají lidi, kteří provádí sociální útoky přímo na zaměstnance dané organizace. Kdo své heslo prozradí, má problém.
Druhým důležitým prvkem ochrany je vhodná volba hesla. Heslo by mělo být alespoň 6 – 8 znaků dlouhé a kromě velkých a malých písmen by mělo obsahovat ještě další znaky, jako jsou číslice, interpunkční znaménka a další speciální znaky. Mělo by být také snadno zapamatovatelné, protože tím, že si ho nemusíte nikam napsat, zvýšíte jeho bezpečnost. V žádném případě by heslo nemělo být tvořeno jedním slovem, bezpečná není ani kombinace slova a číslice (např. jirka2).
Oblíbeným, ale dnes již známým trikem je psát na klávesnici heslo o jedno (nebo více) písmenko doprava (a nebo doleva), takže například místo hesla "franta" vznikne "gtsmys". Nejlepší heslo vznikne tak, že si vymyslíte tu nejobskurnější kombinaci znaků a pak si ji zapamatujete. Lze ale také vytvořit heslo tak, že vezmete první písmena prvních několika slov nějaké básničky, budete střídat malá a velká písmena – například "sPpO,pZl" (oblíbená Skákal pes přes oves).
Také je možné zvolit možnost, že uživateli se při změně hesla vypíše několik variant, které systém vygeneruje a uživatel si musí jednu z nich vybrat. V neposlední řadě je také třeba vědět, jak s hesly nakládá samotný operační systém.
Vzhledem k rostoucí oblibě Linuxu a dalších klonů Unixu na serverech, budeme se věnovat právě tomuto operačnímu systému. Ve starších systémech anebo ve špatně nakonfigurovaných systémech, se hesla ukládala do souboru /etc/passwd. Tento soubor měl práva nastavena tak, že jej mohl číst jakýkoliv uživatel. Hesla zde samozřejmě byla uložena v zašifrované podobě – pomocí funkce crypt. Modernější systémy používají soubor passwd pouze k uložení údajů o uživateli a heslo je uloženo v souboru /etc/shadow, který však může číst pouze root (správce) – tím je zaručena větší bezpečnost. I když je funkce crypt nesymetrická tj. ze zakódovaného tvaru nelze zpětně určit původní heslo, je možné zneužít znalosti zakódovaného tvaru k "útoku hrubou silou". V současné době se již ke kódování hesel používají bezpečnější algoritmy, např. MD5.
Využívají k útoku nedokonalosti hardware. Mezi nejznámější patří tzv. sniffing, tj. na síti odposloucháváme pakety, které nám nepatří. Například na jednom z nejrozšířenějších typů sítí Ethernet se data neposílají konkrétnímu počítači, což ani není možné, ale celému segmentu. Pomocí vhodného software tak lze donutit síťovou kartu, aby zachytávala všechny datové pakety, nejen ty určené počítači, kde je instalovaná. V nich je pak možné najít spoustu zajímavých informací, například uživatelské jméno a heslo.
Odposlouchávat komunikaci lze i "napíchnutím se" na kabel mezi počítačem a modemem. K technicky náročnějším odposlechům patří například "odposlech monitoru" – každý monitor vyzařuje silné elektromagnetické pole, které je možno zachytit anebo instalace nějakého záznamového zařízení mezi klávesnici a počítač. Do této skupiny by se dala zařadit i fyzická bezpečnost serveru. Pokud jej nemáte řádně zabezpečený, můžete mít ochranu jakou chcete, když si někdo počítač odnese anebo si "půjčí" disk, dostane se do něj vždycky.
Ochrana počítače heslem v BIOSu je naprosto nedostatečná, jednak nezabrání vyjmutí disku a navíc lze snadno zrušit resetováním paměti CMOS. I zde však existuje pomoc – některé programy dokáží zašifrovat disk, takže ten kdo nezná heslo, nemá šanci získat jakákoliv data. Pokud však heslo zapomenete, jste bez šance i vy, zachránit data již nedokáže nikdo. Je vidět, že způsobů, jak se někam dostat je opravdu hodně.
V oblasti bezpečnosti informačních systémů tak platí zlaté pravidlo prověřovat, prověřovat prověřené a pro jistotu ještě prověřit to ostatní. S tím vším vám může pomoci bezpečnostní audit nezávislé poradenské autority.
Odpovědět na příspěvek