Tietoturvallisuus osa 5

Esitys aiheesta: "Tietoturvallisuus osa 5"— Esityksen transkriptio:

1 Tietoturvallisuus osa 5
Tietoliikenneturvallisuus

2 Päämääränä on varmistaa:
Tietoliikenneturvallisuus koostuu toimenpiteistä, joilla varmistetaan televerkoissa välitettävien tietojen luottamuksellisuus, eheys ja käytettävyys. Päämääränä on varmistaa: viestien alkuperäisyys, koskemattomuus ja luottamuksellisuus. Lähettäjä ja vastaanottaja ja todentaa heidät tietoliikennelaitteiden fyysinen turvallisuus väärinreitityksen estäminen Tietoliikenneturvallisuuteen kuuluvat kaikki asiat, jotka koskevat teleliikennöintiä ja verkkojen rakentamista, suunnittelua jne.

3 Tietoliikenneturvallisuuteen vaikuttavat:
käytettävät tiedonsiirtovälineet tiedonsiirtoprotokollat tietoverkkotopologiat tietoturvatuotteet, turvasillat, ja turvareitittimet salausvälineet ja salausalgoritmit Tietoliikennetekniikka on ongelmallinen osa tietoturvallisuutta koska tekniikan kehitys on nopeaa. Jotta tietoturva pystytään pitämään riittävän korkealla tasolla on jatkuvasti seurattava alan kehitystä ja hankittava laitteistoja tai ohjelmistoja, joilla suojautua uhkia vastaan.

4 Tietoliikennejärjestelmän kerroksia

5 Kuvasta voidaan nähdä, että tietoturva on hyvin erilaista eri kerroksissa. Alimmilla kerroksilla turvallisuus koostuu pääosin fyysisestä turvallisuudesta. Korkeammilla tasoilla vaaditaan enemmän ohjelmisto- ja käyttöturvallisuutta. Korkeimpana on itse käyttäjä, jolloin kyseessä on henkilöstöturvallisuus. Eri kerrosten tietoturvaongelmat muodostuvat siis hyvin erilaisista tekijöistä. Ongelmien selvittämiseksi on syytä käydä läpi kaikki kerrokset ja niiden ongelmat.

6 Tiedonsiirron OSI –tasot
OSI =Open System Interconnection Fyysinen taso (kaapelit, siirtotiet) Siirtoyhteys (aloitus, lopetus, tark.bitit) Verkkokerros (paketointi, reitin valinta) Kuljetuskerros (pakettien lohkominen, kuljetuksen luotettavuus) Yhteystapakerros (yhteyden muod., purku) Esitystapakerros (tiedon formaatti, tietueet,…) Sovelluskerros (sovellusohjelmat: Outlook,…)

7 Fyysisen kerroksen (OSI1) tietoturvaongelmia
Fyysinen kerros huolehtii siitä, että sähköksi tai valoksi muutetut bitit siirretään siirtotien yli. Tässä kerroksessa (OSI 1.) on määritetty: kaapeloinnit, liittimet, toistimet, lähettimet ja erilaiset liityntä standardit. Fyysinen kerros on ainoa kerros, joka sisältää fyysisiä, konkreettisia asioita. Muilla kerroksilla käsitellään ainoastaan ohjelmistostandardeja.

8 ei-sallittu kytkeytyminen siirtotiehen tai laitteeseen
OSI:n ensimmäisen kerroksen tietoturvaongelmia ovat ei-sallittu kytkeytyminen siirtotiehen tai laitteeseen tiedon sieppaaminen siirtotiestä magneettisesti, optisesti, …. sähkömagneettisesti linkistä, tms. virheellisesti tehty siirtotie tai sen kytkentä. siirtotien tuhoutuminen kaivinkoneen, salamaniskun, tuhotyön tms. seurauksena. Siirtoteitä on hyvin erilaisia ja ne on toteutettu hyvin monella eri tekniikalla. Tyypillisimmät käytetyt tekniikat ovat koaksiaali- ja parikaapeli valokaapeli linkkiyhteys matkapuhelimet.

9 Jokainen siirtotie muodostaa omat ongelmansa ja kullakin on omat hyvät puolensa.
Koaksiaali- ja parikaapelien etuna on edullisuus ja melko hankala tiedon sieppaaminen. Linkkiyhteyksillä ja matkapuhelimilla on etuna pitkien tai liikkuvien yhteyksien helppo muodostaminen, mutta heikkoutena on tiedon helpohko siepattavuus. Valokaapelin etuna on suuri kapasiteetti ja vaikea siepattavuus, mutta heikkoutena on hinta.

10 datapaketin tai sen osan sieppaaminen
Siirtoyhteystason (OSI2) tietoturvaongelmia OSI:n taso 2 eli siirtoyhteys huolehtii tiedon luotettavasta siirtämisestä fyysistä siirtotietä pitkin. Tällä kerroksella data paketoidaan ja paketteihin lisätään erilaisia tarkistuskoodeja virheellisten bittien pääsemien läpi ilman, että virheenkorjaus paljastaa sen. Mitä pienempi on virhesuhde sen vähemmän on virheellisiä bittejä mutta sen helpommin data on siepattavissa. Tyypillinen virhesuhde 1: :106 datapaketin tai sen osan sieppaaminen

11 Koska erilaisten siirtoyhteyksien periaatteet ovat julkisia ja hyvin määriteltyjä
Voidaan tehdä laite tai ohjelmisto, jolla esimerkiksi Ethernet-paketista saadaan poimittua haluttu tieto. Tämä on mahdollista esimerkiksi väärentämällä MAC-osoite (Media Access Control), jolloin kaikki tiettyyn osoitteeseen tarkoitetut paketit pystytään analysoimaan ja käsittelemään.

12 OSI:n tasolla 2 tietoturvaa voidaan parantaa estämällä luvaton kytkeytyminen siirtotiehen tai estää siirtotien luvaton kuuntelu. Valokaapelissa estäminen on melko helppoa, mutta muissa kaapelointi vaihtoehdoissa melko hankalasti toteutettavissa. Linkkiyhteyksissä linjan kuuntelu ja tiedon sieppaaminen on melko helppoa, eikä sitä voida täysin estää juuri mitenkään.

13 Verkkokerroksen (OSI3) tietoturvaongelmia
OSI:n taso 3 eli verkkokerros huolehtii pakettien reitittämisestä erilaisten verkkojen yli oikeaan aliverkko-osoitteeseen. Internetin tietoturvaongelmat ovat pääosin verkkokerroksessa tapahtuvia. Olennaisena osana tässä kerroksessa ovat verkko-osoitteet ja niiden oikeellisuus. Tietoturvaongelmia verkkokerroksella ovat: paketin joutuminen väärään osoitteeseen. Tähän voi olla useita erilaisia syitä, joista osa johtuu satunnaisista virheistä verkon eri osissa ja osa tahallisesti tehdyistä virheistä. paketin häviäminen tai kahdentuminen paketin liian hidas kulkeutuminen

14 Tarkistusleimoja ovat muun muassa sarjanumerot ja aikaleimat
Miksi verkko-osoitteita ei salata ja näin estetä virheellisten osoitteiden käyttö? Tätä ei voida tehdä siksi, että reitittimet ja muut verkkokomponentti eivät saisi salatuista osoitteista selvää. Reitittimet eivät tunnistaisi salattuja osoitteita.Periaate verkkokerroksessa on aivan samanlainen kuin normaalissa postiliikenteessä. Läh+vast.ott Jokainen paketti pitää varustaa lähettäjän ja vastaanottajan osoitteella ja jos paketin kulkeutumista halutaan seurata tai varmistua sen siirtymisestä oikeaan kohteeseen, se voidaan varustaa erilaisilla tarkistusleimoilla eli se lähetetään kirjattuna. Tarkistusleimoja ovat muun muassa sarjanumerot ja aikaleimat

15 Sarjanumeroiden avulla pystytään huomaamaan pakettien kahdentuminen tai häviäminen ja
aikaleimoilla huomataan paketin hidas kulkeutuminen. Miten asia on käytännössä toteutettu riippuu protokollasta

16 Kuljetuskerroksen (OSI4) tietoturvaongelmia
OSI:n neljäs kerros eli kuljetuskerros tarjoaa suoran yhteyden liikennöivien järjestelmien välille. Se häivyttää alla olevat erilaiset siirtojärjestelmät ja tästä ylöspäin palvelut ovat suunnilleen samanlaisia kuin paikallisessa koneessa olevat palvelut. Kuljetusprotokollat sisältävät yleensä virheen korjauksen ja uudelleen lähetyksen

17 Kuljetuskerroksen tietoturvaongelmat liittyvät siirtovirheisiin eli tiedon varmaan kuljetukseen lähdeosoitteesta kohdeosoitteeseen. Mikäli siirtotie on huono tai käytetään liikennöintinopeutta, joka ei vastaa laitteiden tai siirtoteiden laatua, voi syntyä siirtovirheitä. Siirtovirheitä voidaan korjata tai estää erilaisilla tekniikoilla.

18 Siirtovirheitä voidaan korjata tai estää erilaisilla tekniikoilla.
Yleisin tekniikka on käyttää riittävästi redundanssia, jolloin läpimenneistä biteistä voidaan päätellä syntyneet virheet ja tarvittaessa korjata ne. Huonona puolena redundanssilla on, että siirtokapasiteettia kuluu turhaan.

19 Yhteysjaksokerroksen (OSI5) tietoturvaongelmia
OSI:n taso viisi eli yhteysjaksokerros muodostaa ja purkaa yhteydet liikennöivien sovellusten välille. Tällä kerroksella myös jaksotetaan liikenne yhteyden aikana loogisiin osiin. Tietoturvaongelmia yhteysjaksokerroksessa ovat muun muassa, että yhteys voidaan luoda eri sovelluksella kuin mitä on tarkoitettu ja näin voidaan päästä kasiksi arkaluontoisiin tietoihin.

20 Tietoturvaongelmia OSI:n tasolla 6
Esitystapakerroksen (OSI6) tietoturvaongelmia Tietoturvaongelmia OSI:n tasolla 6 OSI:n kerros kuusi eli esitystapakerros määrittelee siirron aikana käytettävän esitystavan ja miten siitä neuvotellaan. Esitystapakerroksessa tietoturvaongelmat ovat samanlaisia kuin tasolla 5. (esim. toisen sovelluksen käyttö)

21 Sovelluskerroksen (OSI7) tietoturvaongelmia
OSI:n ylin kerros eli sovelluskerros määrittelee sovellukset ja niiden rajapinnat, joita varten koko yhteys on itse asiassa luotu. Sovelluksia ovat mm. sähköposti, tiedoston siirto, päätekäyttö, tietokantatoiminnot jne. Käyttäjän omat sovellukset kuten tekstinkäsittely ja taulukkolaskenta, voivat käyttää tällä kerroksella olevia sovelluksia hyväksi.

22 Tietoturvaongelmia ovat:
käytetään sellaista sovellusta, jota tiedon haltija ei ole sallinut, jolloin päästään käsiksi arkaluontoisiin tietoihin luodaan yhteys eri sovelluksella kuin mihin yhteyttä käytetään. Näin voidaan saada suuremmat käyttöoikeudet kuin mitä on ollut tarkoitus. Sovelluskerrokseen ei siis itsessään kuulu mitään tietoturvaongelmia, vaan ne johtuvat ihmisten käyttäytymisestä.

23 Edellä olevasta huomattiin eri kerrosten tehtävät ja niin myös niiden tietoturvaongelmat ovat hyvin erilaisia. Alimmilla tasoilla pahimpia uhkia ovat siirtoteihin kohdistuvat fyysiset uhat ja mitä ylemmäs kerroksissa mennään sen korostetummaksi muodostuu ihmisen toiminta. Sovellustasolla lähes kaikki uhkatekijät ovat ihmisen aiheuttamia. Alimmilla tasoilla ihmisen aiheuttamat uhat ovat välillisiä, kuten siirtotien katkeaminen kaivinkoneen aiheuttamana.

24 Jokainen taso antaa mahdollisuuden rikolliseen toimintaan eikä mitään tasoa voida saada täysin turvalliseksi. Mikäli rikollista toimintaa ei oteta huomioon, ovat kaikki kerrokset turvallisia ja niiden tietoturva ongelmiin on olemassa ratkaisuja. Sen sijaan rikollista toimintaa vastaan ei ratkaisuja aina löydy. Varsinkaan jos ratkaisun on oltava taloudellinen

25 IP-protokollan tietoturvaongelmat
IP (Internet Protocol) on yhteydetön tietosähkepalvelu, joka vastaa tietosähkeiden reitittämisestä. Sen palvelutapahtumat eli primitiivit ovat: send eli tietosähkeen lähetys deliver eli tietosähkeen jakelu TCP, UDP ja ICMP tasoille IP-protokolla perustuu IP-osoitteisiin, jotka jaetaan tällä hetkellä kolmeen luokkaan. 1. A-luokka osoitetta / verkko 2. B-luokka 65534 osoitetta /verkko 3. C-luokka 254 osoitetta/ verkko

26 IP-osoitteiden avulla tapahtuvaa reititystä voidaan huijata monella eritavalla Esimerkiksi
lähdereitityksen käyttäminen eli käyttämällä IP:n optiota Loose Source Routing luodaan TCP-yhteys toiseen koneeseen haluttua reitittimien polkua käyttäen. Vastaajakoneen on vastattava sanomaan samaa polkua käyttäen. Näin tunkeutuja voi luoda yhteyden mihin tahansa koneeseen ja pakottaa se keskustelemaan tiettyä polkua pitkin. Lähettämällä vääriä reititystietoja RIP (Routing Information Protocol) avulla ja saada reitittimet ja muut tietokoneet uskomaan uuteen reititykseen.

27 IP-osoitteiden avulla toimiva verkko ei itse asiassa ole turvaton mutta sitä ei ole suojattu tahallisesti tapahtuvia hyökkäyksiä vastaan. Jos verkko on fyysisesti turvallinen ja siihen ei voi kytkeytyä luvatta, on IP-protokollaan perustuva verkko turvallinen.

28 VAHAN tarkistuslista Tietoliikenne- turvallisuus
Onko viestin lähettäjän ja vastaanottajan identiteetti turvattu ulkopuolisilta? Onko tarvittaessa varauduttu käyttämään muita tiedonsiirtotapoja? Ovatko sisäjohtoverkot ja jakamot suojattuja Tietoliikenne- turvallisuus Onko varmistettu, että käyttäjä ei pääse päätteeltään oikeudettomasti muihin työasemiin ja palvelimen tiedostoihin Onko ulkopuolisissa yhteyksissä käytössä salausalgoritmit ja turvallinen avainten hallinta Voiko sanoman lähettää vain halutulle vastaanottajalle?