Визначення мети, об’єкту та предмету наукового дослідження
Метою даної роботи є вивчення небезпек, які полягають у несанкціонованому віддаленому доступі до інформації та на основі існуючих засобів захисту визначення найкращого способу уникнення загрози та забезпеченню наступних вимог:
запобігання відтіканню, розкраданню, втраті, перекручуванню, підробці інформації;
запобігання загрозам безпеки особистості, суспільства, держави;
запобігання несанкціонованим діям зі знищення модифікації, перекручення, копіювання, блокування інформації;
запобігання інших форм незаконного втручання в інформаційні ресурси та інформаційні системи, забезпечення правового режиму документованої інформації як об'єкта власності;
захист конституційних прав громадян на збереження особистої таємниці та конфіденційності персональних даних, що є в інформаційних системах;
збереження державної таємниці, конфіденційності документованої інформації згідно з законодавством;
забезпечення прав суб'єктів в інформаційних процесах при розробці, виробництві та застосуванні інформаційних систем, технологій та засобів їх забезпечення. Об’єктом дослідження виступає інформація та програмне і апаратне забезпечення, яке призначено для захисту інформації від несанкціонованого віддаленого доступу до неї.
Предметом дослідження були визначенні основні загрози інформації, як об’єкта захисту:
загрози цілісності:
знищення;
модифікація;
загрози доступності:
блокування;
знищення;
загрози конфіденційності:
несанкціонований доступ (НСД);
витік;
розголошення.
Також в даній роботі, як предмет дослідження будуть розглядатися основні види захисту інформації:
Технічний — забезпечує обмеження доступу до носія повідомлення апаратно-технічними засобами (антивіруси, фаєрволи, маршрутизатори, токіни, смарт-карти тощо):
попередження витоку по технічним каналам;
попередження блокування.
Інженерний — попереджує руйнування носія внаслідок навмисних дій або природного впливу інженерно-технічними засобами (сюди відносять обмежуючі конструкції, охоронно-пожежна сигналізація).
Криптографічний — попереджує доступ до за допомогою математичних перетворень повідомлення (ІП):
попередження несанкціонованої модифікації;
попередження НС розголошення.
Організаційний — попередження доступу на об'єкт інформаційної діяльності сторонніх осіб за допомогою організаційних заходів (правила розмежування доступу).
Аналіз сучасних методів та засобів, що застосовуються для віддаленого незаконного заволодіння інформацією
Аналіз механізмів практичних реалізацій атак у мережі Internet дозволяють сформулювати причини, по яких реалізація даних загроз виявилася можливою. Особливо відзначимо, що розглянуті нижче причини ґрунтуються на базових принципах побудови мережної взаємодії об'єктів розподіленої обчислювальної системи.
Для усунення причин атак на інфраструктуру і базові протоколи мережі найчастіше необхідно або відмовитися від певних служб (наприклад, DNS), або змінити конфігурацію системи (наявність широкомовного середовища приводить до можливості програмного прослуховування каналу), або змінити систему в цілому.
3.1 Відсутність виділеного каналу зв'язку
Першою розглядуваною віддаленою атакою був “аналіз мережного трафіку”. Нагадаємо, що дана атака полягає в прослуховуванні каналу передачі повідомлень у мережі. Результат цієї атаки ‑ по-перше, з'ясування логіки роботи розподіленої обчислювальної системи і, по-друге, перехоплення потоку інформації, яким обмінюються об'єкти системи. Така атака програмно можлива тільки у випадку, якщо кракер знаходиться в мережі з фізично широкомовним середовищем передачі даних, як, наприклад, усім відоме середовище Ethernet (на відміну від Token Ring, що не є широкомовної, але й не має достатнього поширення). Очевидно, що дана атака була б неможливою, якби в кожного об'єкта системи для зв'язку з будь-яким іншим об'єктом мався виділений канал (варіант фізичного прослуховування такого каналу не розглядається, тому що без специфічних апаратних засобів підключення до нього неможливо). Крім фізичного виділеного каналу зв’язку проблему вирішить також використання віртуальних приватних мереж.
Отже, причина успіху даної атаки ‑ наявність широкомовного середовища передачі даних чи відсутність виділеного каналу зв'язку між об'єктами розподіленої обчислювальної системи.
3.2 Недостатня ідентифікація й аутентифікація
Як уже підкреслювалося, проблема ідентифікації й аутентифікації суб'єктів і об'єктів розподіленої системи має надзвичайно важливе значення. Від її розв’язання залежить безпека розподіленої обчислювальної системи у цілому. Приклади успішно здійснених віддалених атак, розглянуті у попередніх пунктах, доводять, що відсутність у розроблювачів заздалегідь визначеної концепції і принципів ідентифікації об'єктів розподіленої обчислювальної системи залишають кракерові потенційну можливість компрометації об'єктів системи. Стандартними способами компрометації суб'єктів і об'єктів РО є:
видача себе за який-небудь об'єкт чи суб'єкт із присвоєнням його прав і повноважень для доступу в систему (наприклад, розглянуті загрози пов’язані із підміною довіреного суб'єкта чи об'єкта мережі);
введення у систему помилкового об'єкта, що видає себе за довірений об'єкт системи (наприклад, загроза “хибний об'єкт розподіленої обчислювальної системи”).
3.3 Взаємодія об'єктів без встановлення віртуального каналу
Одним з найважливіших питань, на які необхідно відповісти, говорячи про ідентифікацію й аутентифікацію об'єктів і суб'єктів розподіленої обчислювальної системи, є питання про види взаємодії між суб'єктами й об'єктами у межах розподіленої системи. Взаємодія між суб'єктами й об'єктами може бути двох видів:
з використанням віртуального каналу;
без використання віртуального каналу.
Практика
показує, що 99% взаємодій між об'єктами
в мережі Internet проходить із встановленням
такого каналу (при будь-якому FTP-, TELNET-,
HTTP- і т.п. підключенні використовується
протокол TCP, а отже, створюється ВК). Це
відбувається тому, що взаємодія по
віртуальному каналі є єдиним динамічним
способом захисту мережного з'єднання
об'єктів розподіленої обчислювальної
системи: у процесі створення ВК об'єкти
обмінюються динамічно вироблюваною
ключовою інформацією, що дозволяє
унікально ідентифікувати канал. У
противному випадку для розпізнавання
об'єктів розподіленої системи довелося
б використовувати масив статичної
ідентифікаційної інформації, унікальний
для кожного об'єкта. А це означає, що ми
одержуємо стандартну проблему статичного
розподілу ключів (матриця 
),
що можливе тільки на обмеженій підмножині
об'єктів, але не в Internet.
Отже ідентифікація об'єктів РОМ при відсутності статичної ключової інформації можлива тільки при взаємодії об'єктів з використанням віртуального каналу. Тобто взаємодія без встановлення ВК є однією з можливих причин успіху віддалених атак на розподілені обчислювальні системи.
Однак помилково вважати розподілену обчислювальну систему безпечною, навіть якщо уся взаємодія об'єктів відбувається зі створенням ВК.
3.4 Використання нестійких алгоритмів ідентифікації
На жаль, взаємодія об'єктів по віртуальному каналі у розподіленій системі не є панацеєю від усіх проблем, зв'язаних з ідентифікацією об'єктів розподіленої обчислювальної системи. ВК - необхідна, але не достатня умова безпечної взаємодії. Надзвичайно важливим у даному випадку стає вибір алгоритму ідентифікації при створенні віртуального каналу. Основна вимога, котра пред’являється до цих алгоритмів, полягає в наступному: перехоплення ключової інформації, якою обмінюються об'єкти розподіленої обчислювальної системи при створенні ВК, не повинна дозволити атакуючому одержати підсумкові ідентифікатори каналу й об'єктів (див. параграф “Причини успіху віддалених атак у мережі Internet”). Однак у базових алгоритмах ідентифікації, використовуваних при створенні ВК в більшості існуючих мережних ОС, ця вимога практично не враховується. Так, наприклад, у протоколі TCP ідентифікаторами каналу й об'єктів є два 32-бітних числа, формованих у процесі створення TCP-з'єднання (див. параграф “Підміна одного із суб'єктів TCP-з'єднання в мережі Internet”).
Очевидно, що створення віртуального каналу з використанням нестійкого алгоритму ідентифікації не дозволяє надійно убезпечити розподілену обчислювальну систему від підміни об'єктів і виступає в якості однієї з причин успіху віддалених атак на розподілені обчислювальні системи.
3.5 Відсутність контролю за віртуальними каналами зв'язку
Об'єкти розподіленої системи, взаємодіючи по віртуальних каналах, можуть піддаватися типовій атаці “відмова в обслуговуванні”. Її особливість полягає в тому, що, діючи абсолютно легальними засобами системи, можна віддалено добитися порушення її працездатності. Нагадаємо, що дана погроза реалізується за допомогою передачі багатьох запитів на створення з'єднання (віртуального каналу), у результаті чого переповняється черга запитів, або система, зайнята обробкою відповідей на запити, узагалі перестає функціонувати. У чому причина успіху даної атаки? У відсутності необхідного контролю над з'єднанням. При цьому задачу контролю можна поділити на дві підзадачі:
контроль за створенням з'єднання;
контроль за використанням з'єднання.
Якщо шляхи вирішення другої задачі зрозумілі – як правило з'єднання розривається по тайм-ауті, визначеному системою, ‑ так зроблено у всіх відомих мережних ОС (однак виникає серйозна проблема вибору конкретного значення тайм-ауту), то контроль за створенням ВК досить складний: у системі, де відсутня статична ключова інформація про всі її об'єкти, неможливо відокремити хибні запити на створення з'єднання від справжніх. Очевидно також, що якщо один суб'єкт мережної взаємодії буде мати можливість анонімно займати необмежене число каналів зв'язку з віддаленим об'єктом, то подібна система може бути цілком паралізована даним суб'єктом (саме так працює мережа Internet у стандарті IPv4). Таким чином, якщо будь-який об'єкт у розподіленій системі може анонімно послати повідомлення від імені іншого об'єкта (наприклад, у Internet маршрутизатори не перевіряють IP-адресу відправника), то в подібній розподіленій обчислювальній мережі практично неможливий контроль за створенням віртуальних з'єднань. Тому основна причина типової загрози “відмова в обслуговуванні” ‑ це відсутність прийнятного вирішення задачі контролю за маршрутом повідомлень.
3.6 Відсутність можливості контролювати маршрут повідомлень
У розподілених обчислювальних мережах як початковою інформацію, що ідентифікує об'єкт, зазвичай виступає його адреса. Під адресою об'єкта розуміється визначена системою унікальна інформація, якою він наділяється при підключенні до розподіленої обчислювальної мережі. Тепер усі повідомлення від інших об'єктів розподіленої обчислювальної мережі, послані на цю адресу, надійдуть на даний об'єкт. Шлях, чи, як прийнято говорити, маршрут повідомлення, визначається топологією розподіленої обчислювальної мережі і проходить через сукупність вузлів ‑ маршрутизаторів (роутерів). Отже, у кожному пакеті, що приходить на об'єкт, може бути цілком описаний його маршрут ‑ список адрес маршрутизаторів, пройдених на шляху до адресата. Такий збережений у пакеті маршрут стане інформацією, що аутентифікуватиме (підтверджуватиме) з точністю до підмережі справжність адреси відправника (ця ідея вже реалізована в системі електронної пошти, що використовує протокол SMTP). Інший варіант аутентифікації даної адреси ‑ фільтрація маршрутизатором пакетів з хибною адресою.
Якщо в розподіленій обчислювальній мережі не передбачити подібного контролю за маршрутом повідомлення, то адреса відправника повідомлення, не зможе бути нічим підтвердженою. Таким чином, у системі буде існувати можливість роботи від імені будь-якого об'єкта шляхом вказування у заголовку повідомлення чужої адреси відправника (IP Spoofing). У подібній розподіленій обчислювальній мережі важко буде визначити, відкіля насправді прийшло повідомлення, а отже визначити координати атакуючого (у Internet неможливо знайти ініціатора односпрямованої віддаленої атаки).
Отже, відсутність у розподіленій обчислювальній мережі можливості контролювати маршрут повідомлень також є причиною успіху віддалених атак, по-перше, через складність контролю за створенням з’єднання і, по-друге, через можливість анонімного відправлення повідомлення.
3.7 Відсутність повної інформації про об'єкти розподіленої обчислювальної мережі
У розподіленій системі з розгалуженою структурою, що складається з великого числа об'єктів, може виникнути ситуація, коли для доступу до визначеного хосту в суб'єкта взаємодії не виявиться необхідної інформації, тобто адреси даного об'єкта.
Пояснимо це на простому прикладі. Припустимо, що користувач мережі Internet вирішив підключитися, наприклад, до WWW-сервера фірми Novell. Він знає її назву, але не має інформації про IP-адресу чи імені її сервера. У цьому випадку користувач може послати циркулярний запит усім хостам у мережі, сподіваючись, що цікавлячий його сервер надішле шукану адресу. Очевидно, що в глобальній мережі використання даної схеми, щонайменше, нерозумно. Тому користувач може підключитися до найближчого відомого йому пошуковому серверу (наприклад www.google.com) щоб запросити адресу шуканої фірми.
Отже, можливі наступні алгоритми віддаленого пошуку. У першому випадку, коли такий пошук здійснюється усередині сегмента мережі, суб'єкт системи надсилає циркулярний запит, що одержують усі об'єкти розподіленої обчислювальної мережі, і той з них, для кого призначалося повідомлення, передає у відповідь необхідну для адресації інформацію. В другому випадку, коли необхідно здійснити глобальний пошук, суб'єкт розподіленої системи надсилає запит на найближчий інформаційно-пошуковий сервер, що, просканувавши свою базу, або відішле у відповідь на запит знайдену адресу, або звернеться до наступного в системі пошуково-інформаційному серверу. Таким чином, якщо в розподіленій системі існують об'єкти, інформація про які апріорно не визначена, то для забезпечення нормального функціонування системи необхідно використовувати описані вище алгоритми віддаленого пошуку.
Прикладом розподіленої обчислювальної мережі із закладеною невизначеністю є Internet, у якій, по-перше, у хостів, що знаходяться в одному сегменті може не бути інформації про апаратні адреси один одного і, по-друге, застосовуються не придатні для безпосередньої адресації мнемонічні імена хостів.
Очевидно, що в системі подібного типу існує потенційна небезпека внесення помилкового об'єкта і підміни одного об'єкта іншим шляхом передачі хибної відповіді на пошуковий запит.
3.8 Відсутність криптозахисту повідомлень
У розподілених системах зв'язок між її об'єктами здійснюється по віртуальних каналах зв'язку, а отже, кракер має принципову можливість прослухати канал, одержавши несанкціонований доступ до інформації, якою обмінюються по мережі її абоненти. Якщо ця інформація не зашифрована, то виникає загроза атаки типу “аналіз мережевого трафіка”.
Використання криптостійких алгоритмів шифрування пакетів обміну між об'єктами розподіленої обчислювальної системи на канальному (що звичайно виконується апаратно і на сьогоднішній день рідко зустрічається в звичайних мережах) і прикладному рівнях OSI робить мережний аналіз практично безглуздим. Якщо в мережі використовуються алгоритми шифрування пакетів на мережному ‑ прикладному рівнях, то шифрування застосовується тільки до полів даних пакетів відповідних рівнів, але не до їхніх заголовків; таким чином, атакуючий, перехопивши пакет, може аналізувати отриману службову інформацію.