00-12-14 Säkerhet i Disposition distribuerade system � IT-säkerhet � Säkerhet i distribuerade system � Elektronisk identitet Torbjörn Wiberg � Krypteringsteknik Umeå universitet � PKI – Infrastruktur för certifikat Torbjorn.Wiberg@adm.umu.se 00-12-14 Torbjörn Wiberg, UmU 2 00-12-14 Torbjörn Wiberg, UmU 1 IT-säkerhet Sekretesskydd � Syftet med IT-säkerhet är att upprätthålla � Skydd mot obehörig access till data och system � sekretess (secrecy, confidentiality) � integritet � Det kan vara lagrade data eller data under överföring � tillgänglighet (availability) � … i systemets komponenter, dvs dess � Hoten utgörs av bristande rutiner eller dåliga � maskiner accesskydd, bristande rutiner eller dåliga behörighetskontrollsystem, oskyddade eller � program bristfälligt skyddade data vid överföringar � data 00-12-14 Torbjörn Wiberg, UmU 3 00-12-14 Torbjörn Wiberg, UmU 4 Integritetsskydd Tillgänglighet � Skydd mot otillåten/felaktig modifiering av � Attacker för att avbryta tillgången till data (och program) en resurs (denial-of-service attack, � Hoten utgörs av felaktiga/illvilliga program, DOS-attack) brister i filsystemet, fel/säkerhetsbrister i � En sådan attack är ofta det första datakommunikationen steget i en intrångsattack � En framgångsrik attack kan vara svår att upptäcka � overflow i buffertar kan leda till att � Komponenter i skyddet kan utgöras av systemets behörighetskontroller sätts ur kryptering eller digitala signaturer på data spel 00-12-14 Torbjörn Wiberg, UmU 5 00-12-14 Torbjörn Wiberg, UmU 6 Torbjörn Wiberg, UmU 1
00-12-14 IT-säkerhet, forts God IT-säkerhet � En förutsättning för god IT-säkerhet är att � IT-säkerheten i ett datasystem hotas � ha kunskap om tänkbara säkerhetsrisker när komponenter i systemet (riskerar � ha kunskap om möjliga åtgärder för att minska att) utsättas för (försök till) riskerna � intrång, avlyssning � göra sårbarhetsanalyser av sina system,dvs att för varje system identifiera och dokumentera dess � avbrott värde för organisationen, samt hot mot och brister i � modifiering dess säkerhet � göra prioriteringar bland tänkbara åtgärder för att � förfalskning begränsa sårbarheten. � ha klargjort hur ansvaret för IT-säkerhet fördelas i organisationen och hur incidenter hanteras 00-12-14 Torbjörn Wiberg, UmU 7 00-12-14 Torbjörn Wiberg, UmU 8 Interception Avbrott 00-12-14 Torbjörn Wiberg, UmU 9 00-12-14 Torbjörn Wiberg, UmU 10 Modifiering Förfalskning 00-12-14 Torbjörn Wiberg, UmU 11 00-12-14 Torbjörn Wiberg, UmU 12 Torbjörn Wiberg, UmU 2
00-12-14 Distribuerade system Distribuerade system, forts � I ett distribuerat system (DS) utgörs � De flesta av våra administrativa system är applikationen av program på en grupp distribuerade klient/serversystem. samverkande men autonoma (självständiga) � Det finns önskemål om ökad samverkan mellan datorer. universiteten t.ex. antagning. � Ansatsen är ofta att ett program utformats � Datornätens komponenter är DS för att erbjuda tjänster i det distribuerade � routing(vägvals)system systemet - att vara server i systemet. � domännamnsystemet - DNS � Programmen som utnyttjar serverns tjänster � I ett DS samverkar olika företag och är dess klienter. organisationer eventuellt i olika länder. � En server kan vara klient hos andra servrar. 00-12-14 Torbjörn Wiberg, UmU 13 00-12-14 Torbjörn Wiberg, UmU 14 Säkerhet i distribuerade Säkerhetskomponenter i ett system distribuerat system � I ett distribuerat system krävs att � De speciella förutsättningarna för säkerhet i tillfredsställande produkter/rutiner för distribuerade system har accentuerat följande funktioner ingår: behovet av en genomtänkt IT- � autentisering av kommunikationens parter säkerhetsstrategi � sekretessskyddad kommunikationskanal � För ett distribuerat system måste man � accesskontroll till applikationen förutsätta � integritetsskydd för data � att fysiskt skydd av hela systemet inte kan upprätthållas � att systemets svagheter därmed exponeras vitt 00-12-14 Torbjörn Wiberg, UmU 15 00-12-14 Torbjörn Wiberg, UmU 16 Autentisering Elektronisk identitet � Authenticate – establish the originality of � Vad är en elektronisk identitet? � T.ex att avgöra en om en persons (eller ett � Hur kan en elektronisk identitet program) är den den utger sig att vara användas? � Ex: Enkel autentisering - Användaren uppger sin användaridentitet och sitt lösenord, systemet � I botten ligger krypteringsteknik avgör på grundval av dessa användarens identitet. � Grundbulten i ett DSs säkerhet � Identiteten förvaras i ett certifikat � Mål: Autentiseringen utförs av en mekanism � Mera krypteringsteknik som är fristående från applikationen � PKI – en infrastruktur för certifikat � Vi behöver alltså elektroniska identiteter 00-12-14 Torbjörn Wiberg, UmU 17 00-12-14 Torbjörn Wiberg, UmU 18 Torbjörn Wiberg, UmU 3
00-12-14 What is an Electronic How Can an Electronic Identity? Identity Be Used? � An electronic way to prove that You are You � It can be used to authenticate � You (to systems) � You identify Yourself and present Your chosen electronic identity to a trusted � documents or messages You have digitally signed authority that issues a Certificate that � systems You are responsible for certifies that the particular electronic � Authenticate – establish the originality of identity belongs to You � Non-repudiation – A process or method that � Trust has to be earned! ensures that once You have signed a document or identified Yourself to a system � Your identity is a pair of crypto keys for You can’t deny that Public Key Cryptography 00-12-14 Torbjörn Wiberg, UmU 19 00-12-14 Torbjörn Wiberg, UmU 20 Legal Status Elektronisk identitet � EU directive � Swedish law � Vad är en elektronisk identitet? � Shall be implemented � Law from Jan01 � Hur kan en elektronisk identitet within two years � Qualified signatures användas? � Two levels of shall always be � I botten ligger krypteringsteknik certificates accepted where a signature is required � An qualified signature � Identiteten förvaras i ett certifikat shall be accepted in all � Issuers of qualified states signatures has to � Mera krypteringsteknik inform the supervising � Supervising authority � PKI – en infrastruktur för certifikat authority (Keep a list of issuers) 00-12-14 Torbjörn Wiberg, UmU 21 00-12-14 Torbjörn Wiberg, UmU 22 Public Key Cryptography Cryptography - Overview � Cryptography functions � Public Key Cryptography � Secret key (e.g., DES) � It can be used to authenticate � Public key (e.g., RSA) � Persons � Message digest (e.g., MD5) � Signatures (documents) Security � Systems ! (The same technique can be used to Cryptography Security algorithms services encipher data (to, for Secret Public Message Privacy Authentication Message instance,exchange crypto keys)) key key digest integrity (e.g., DES) (e.g., RSA) (e.g., MD5) 00-12-14 Torbjörn Wiberg, UmU 23 00-12-14 Torbjörn Wiberg, UmU 24 Torbjörn Wiberg, UmU 4
00-12-14 Public Key Cryptography? - Public Key Cryptography? What Is It? � A pair of keys – one private (pr) and one � What is it? public (pu) � Advantages � A cryptographic method that uses pairs � Disadvantages of keys with the property: � Problems � Dec (pu, Enc (pr, m)) = m = Dec (pr, Enc (pu, m) � You keep the private key to yourself and make the public key known � The keys have to be carefully chosen 00-12-14 Torbjörn Wiberg, UmU 25 00-12-14 Torbjörn Wiberg, UmU 26 Public Key Cryptography? - Public Key Cryptography? - (Dis)Advantages Problems � All compared to shared (secret) key � You have to make your key known! cryptography � People getting your public key has to trust that it is Your key. + You need only one pair of keys to use � There has to be a way of saying that your key cryptography in communicating with shall no longer be used (revoke the key) when many � Time has gone and you need a longer key - The keys are longer (10x) � You suspect that your key has been compromised - The Enc/Dec functions are often slow 00-12-14 Torbjörn Wiberg, UmU 27 00-12-14 Torbjörn Wiberg, UmU 28 The Public Key Is Stored in a Elektronisk identitet Certificate � One way to make Your public key known � Vad är en elektronisk identitet? is to store it in a certificate and publish � Hur kan en elektronisk identitet it användas? � The certificate is signed � I botten ligger krypteringsteknik � By signing a certificate the signer � Identiteten förvaras i ett certifikat certifies that the information in the certificate is correct � Mera krypteringsteknik � The certifier has to be trusted � PKI – en infrastruktur för certifikat 00-12-14 Torbjörn Wiberg, UmU 29 00-12-14 Torbjörn Wiberg, UmU 30 Torbjörn Wiberg, UmU 5
Recommend
More recommend
