Securitatea informației

Cele 3 elemente ale securității informației sunt confidențialitatea (Confidentiality), integritatea (Integrity) și disponibilitatea (Availability), numite CIA. Autenticitatea, trasabilitatea responsabilității, fiabilitatea și nerepudierea sunt elemente luate în considerare în plus față de cele 3 și nu fac parte din ele.

Integritatea este proprietatea prin care informația se menține exactă și completă, fără falsificare, ștergere sau distrugere. Accesul rezervat persoanelor autorizate este confidențialitatea, utilizarea atunci când este nevoie este disponibilitatea, iar caracterul autentic este autenticitatea — toate diferite de integritate.

Disponibilitatea este proprietatea de a putea folosi sistemul atunci când este nevoie și se crește prin proiectare tolerantă la defecte: dublare, redundanță, copii de siguranță. Criptarea servește confidențialității, detectarea falsificării prin valori hash integrității, iar semnătura digitală autenticității și nerepudierii — nu cresc direct disponibilitatea.

Nerepudierea este proprietatea prin care autorul unui act — trimitere, aprobare etc. — nu poate nega ulterior că l-a făcut; se realizează prin semnătura digitală etc. Funcționarea consecventă este fiabilitatea, urmărirea acceselor este trasabilitatea responsabilității, iar utilizarea rezervată persoanelor autorizate este confidențialitatea.

Încheierea unei asigurări mută povara pierderilor, la materializarea riscului, asupra unui terț — societatea de asigurări —, deci corespunde „transferului riscului”. Evitarea înseamnă renunțarea la activitatea care generează riscul, reducerea înseamnă micșorarea probabilității sau impactului prin măsuri, iar reținerea (acceptarea) înseamnă asumarea riscului fără măsuri.

Ransomware-ul este malware-ul care face sistemul inutilizabil — de exemplu criptând datele — și cere o răscumpărare (ransom) în schimbul recuperării; și în instituțiile medicale s-au raportat cazuri cu oprirea fișei medicale electronice. Furtul tastelor apăsate este keylogger-ul, plantarea ușii din spate este backdoor-ul, iar abuzarea macrourilor este virusul de macro.

Atacul țintit vizează o anumită organizație sau persoană: prin mesaje ingenios deghizate în comunicări de la parteneri sau de serviciu, determină deschiderea atașamentelor și infectarea cu malware pentru a pătrunde. Trimiterea în masă către destinatari nespecificați este spamul, atacul simultan de la numeroase echipamente-intermediar este DDoS, iar infectarea nediscriminată contrazice natura „țintirii unui anumit destinatar”.

Phishingul este procedeul prin care, cu e-mailuri care imită instituții financiare sau servicii reale, victimele sunt ademenite către site-uri false și puse să introducă ID-uri, parole, numere de card etc., care sunt furate. Supraîncărcarea prin trafic masiv este atacul DoS, interceptarea pachetelor este sniffingul, iar acapararea privilegiilor prin vulnerabilități este descrierea accesului neautorizat.

Atacul DDoS (refuz de serviciu distribuit) diferă de DoS prin folosirea ca intermediari a numeroaselor echipamente infectate cu boți și trimiterea simultană de trafic masiv de la surse distribuite. Fiind multe surse, blocarea este dificilă. Criptarea și răscumpărarea descriu ransomware-ul, ademenirea către site-uri false phishingul, iar pătrunderea de la un singur calculator nu este caracteristica DDoS.

Regula 3-2-1 înseamnă păstrarea a 3 copii ale datelor (originalul + 2), stocarea pe 2 tipuri diferite de suporturi și păstrarea a 1 copie offsite, de exemplu la distanță. Păstrând o copie deconectată de la rețea, te pregătești pentru situația în care ransomware-ul criptează și copiile de siguranță. Celelalte variante vorbesc despre intervale de copiere sau configurarea alimentării și nu redau conținutul regulii.

Criptografia cu cheie simetrică folosește aceeași cheie la criptare și decriptare, deci cheia trebuie partajată în siguranță cu partenerul (problema distribuirii cheilor). Perechea de chei publică–privată este criptografia cu cheie publică, iar certificatul de cheie publică este mecanismul PKI. Ca viteză, criptografia simetrică este mai rapidă — afirmația despre lentoare este inversată.

RSA este algoritmul reprezentativ al criptografiei cu cheie publică, bazat pe dificultatea factorizării numerelor mari; se folosește atât la criptare, cât și la semnături digitale. AES, DES și 3DES sunt toate algoritmi de criptografie cu cheie simetrică, la care aceeași cheie servește criptării și decriptării.

Când scopul este confidențialitatea, criptarea se face cu „cheia publică a destinatarului (B)”, astfel încât doar destinatarul să poată decripta. Decriptarea o poate face doar B, care deține cheia privată pereche. Prelucrarea cu cheia privată a lui A este cazul semnăturii digitale, iar cheia privată a lui B este o cheie pe care nimeni în afară de B nu are voie să o dețină, deci nu poate fi folosită la criptare.

Mesajul a fost criptat cu cheia publică a destinatarului B, deci la decriptare se folosește perechea ei, „cheia privată a lui B”. Cheia privată o deține doar B, deci alții nu pot decripta. Cheia publică a expeditorului servește verificării semnăturii digitale, iar ce a fost criptat cu cheia publică a lui B nu se poate decripta tot cu cheia publică a lui B.

Semnătura digitală se creează prelucrând valoarea hash a documentului cu „cheia privată a expeditorului”, iar destinatarul o verifică cu „cheia publică a expeditorului”. Cheia privată o deține doar autorul, deci reușita verificării confirmă că el a creat documentul. Cheia publică a destinatarului se folosește la criptarea pentru confidențialitate — atenție, direcția este inversă față de semnătură.

Semnătura digitală realizează detectarea falsificării prin compararea valorilor hash (integritatea) și confirmarea autorului prin faptul că doar cheia privată a expeditorului o poate crea (autenticitate, nerepudiere). Documentul în sine nu este criptat, deci prevenirea interceptării (confidențialitatea) nu este garantată; nu are legătură nici cu disponibilitatea sau accelerarea comunicației.

Funcția hash este o funcție unidirecțională care generează din date de lungime arbitrară un rezumat (valoare hash) de lungime fixă; reconstituirea datelor originale din valoarea hash este practic imposibilă. Din aceeași intrare se obține întotdeauna aceeași valoare hash (tocmai de aceea servește la detectarea falsificării), iar lungimea valorii hash este fixă pentru fiecare algoritm, neproporțională cu lungimea datelor.

Metoda hibridă combină avantajele celor două: volumul mare de date se criptează cu criptografia simetrică, rapidă, iar criptografia cu cheie publică se folosește doar la partajarea cheii simetrice, afectată de problema distribuirii cheilor. Combinația inversă ar prelucra datele cu criptografia cu cheie publică, lentă — irațional. Criptarea dublă simetrică și refolosirea perechilor de chei nu descriu metoda hibridă.

Autoritatea de certificare (CA) verifică identitatea solicitantului, emite certificatul de cheie publică (certificatul electronic) care garantează corespondența dintre cheia publică și deținător și gestionează revocarea. Astfel previne substituirea cheilor publice. Criptarea datelor este prelucrarea utilizatorului, administrarea centralizată a parolelor revine serverului de autentificare, iar detectarea și blocarea intruziunilor IDS/IPS.

HPKI este infrastructura de chei publice a domeniului sănătății, medicinei și bunăstării; poate certifica prin certificate electronice calificările naționale — medic, farmacist etc. — și calitatea de administrator de instituție și se folosește la semnături electronice. Infrastructura guvernamentală este GPKI, certificatele SSL de server sunt un alt mecanism, pentru dovedirea serverelor web, iar metodele de criptare ale LAN-ului fără fir sunt WPA2 etc.

HTTPS este protocolul care protejează comunicația web HTTP prin criptare SSL/TLS, realizând verificarea partenerului prin certificatul de server și criptarea conținutului. SMTP servește trimiterii de e-mailuri, DHCP atribuirii automate a adreselor IP, iar FTP transferului de fișiere — niciunul nu are ca scop protejarea comunicației web.

Autentificarea multifactor combină cel puțin 2 elemente diferite dintre cunoaștere (parola), posesie (cardul IC etc.) și biometrie (amprenta etc.); combinarea cardului IC (posesie) cu parola (cunoaștere) se încadrează. Două parole sau două întrebări secrete repetă același element — cunoașterea — și nu constituie multifactor.

Autentificarea biometrică folosește trăsături corporale — amprentă, vene, iris —, deci nu există grija uitării sau pierderii; în schimb, erorile de respingere greșită a titularului și de acceptare greșită a altei persoane nu pot fi eliminate complet. Trăsăturile corporale nu pot fi reemise ca parolele și nici împrumutate altora, deci celelalte variante sunt greșite.

Autentificarea cu parolă de unică folosință (one-time password) folosește parole care pot fi utilizate o singură dată, deci, chiar dacă comunicația este interceptată, reconectarea cu aceeași valoare nu este posibilă. Autentificarea challenge/response are un efect similar. Trimiterea în clar a parolei fixe și autentificarea doar cu ID sunt vulnerabile la interceptare și ghicire, iar păstrarea în clar pe card duce la abuz imediat în caz de scurgere.

Single sign-on este mecanismul prin care, după o singură autentificare, mai multe sisteme interconectate pot fi folosite fără autentificări suplimentare; crește confortul și reduce povara gestionării parolelor. În schimb, dacă informațiile de autentificare sunt compromise, aria afectată se lărgește, deci protejarea infrastructurii de autentificare devine importantă. Limitarea conectărilor simultane, schimbarea periodică a parolei și partajarea terminalului nu descriu SSO.

Baza controlului accesului este principiul privilegiului minim — acordarea drepturilor limitat la sfera necesară îndeplinirii atribuțiilor — împreună cu păstrarea jurnalului de audit al accesărilor. Jurnalul este indispensabil pentru descurajarea fraudei și urmărirea ulterioară. Acordarea de drepturi de administrator tuturor sau păstrarea activă a conturilor foștilor angajați creează teren propice pentru accesul neautorizat, iar neînregistrarea jurnalului de audit compromite responsabilitatea (trasabilitatea).

Serverul expus către exterior se plasează în DMZ, o zonă tampon separată de un firewall atât de exterior, cât și de interior. Astfel, chiar dacă serverul public este atacat și compromis, atacatorul nu ajunge direct în rețeaua internă. Amplasarea în rețeaua internă sau în segmentul terminalelor extinde daunele produse de o intruziune, iar conectarea directă fără firewall lasă serverul fără apărare.

IDS detectează comunicațiile care indică o intruziune și notifică administratorul, în timp ce IPS, pe lângă detectare, execută automat și acțiuni de apărare precum blocarea comunicației respective. Varianta care inversează rolurile este greșită, iar distincția nu se face după rețea cu sau fără fir. Eliminarea virușilor revine software-ului antivirus, iar criptarea unei tehnologii de criptare — niciuna nu este o funcție a IDS/IPS.

VPN construiește pe o rețea publică o linie dedicată virtuală prin criptare și autentificare; există VPN IPsec și VPN SSL, folosite pentru protejarea conexiunilor între sedii sau pentru accesul de la distanță. DNS asociază numele de domeniu cu adresele IP, NTP sincronizează ora, iar DHCP alocă automat adresele IP — niciunul dintre acestea nu protejează calea de comunicație.

Măsura directă împotriva atacurilor care exploatează o breșă de securitate este aplicarea promptă a programului de corecție (patch-ul de securitate) distribuit de furnizor, eliminând astfel însăși vulnerabilitatea. Multe atacuri exploatează vulnerabilități cunoscute, ale căror patch-uri nu au fost încă aplicate. Copia de siguranță ajută la recuperarea ulterioară a daunelor, întărirea parolei ține de autentificare, iar filtrul de confidențialitate este o măsură fizică — niciuna nu elimină vulnerabilitatea.