Gflimited. A Megállapodás és a feladat. - Belső elkülönített hálózat kialakítása és monitorozása üzemeltetése.

Átírás

1 Gflimited A Megállapodás és a feladat A feladat egy olyan szerverkörnyezet kiválasztása és üzemeltetése, ami nem köthető sem személyhez sem céghez. A szerverek és a kliensgépek titkosítása jelszavazása és egy olyan biztonságos munkakörnyezet kialakítása, ami megfelel a jelen kor követelményeinek. Feladat tehát: -server kiválasztása -belső levelezés kialakítása -Behatolás védelem web adatvédelem kialakítása -Kliens gépek titkosítása -Biztonsági protokolok kialakítása lokális adatlopás ellen. - Belső elkülönített hálózat kialakítása és monitorozása üzemeltetése. -Website biztonsági tesztelése javaslatétel az esetleges védelmi hiányosságok kijavítására -IBSZ elkészítése Ezen lokális rendszer üzemeltetését havi 100 ezer forintért vállaltam további költségek a havi 2500 forint internet használati díj amit havi rendszerességgel. A projekt április 20.-án kezdődött. Ezek a költségek a külső szakértők esetleges bevonását nem fedezik.

2 Szerver választás A szerver választásnál fontos tényező volt az Eu-n kívüli helyszín mivel ez volt a megrendelő kifejezett kérése. A választás ezért egy olyan szerverszolgáltatóra esett akik cloud technológiát alkalmaznak. Az adatokat ( ek, címjegyzékek, naptárbejegyzések, és kedvenc linkek) internetes szerveren való tárolásának egyik legnagyobb előnye, hogy bárhonnan könnyen elérhetők, és akkor sem vesznek el, ha a saját számítógépünk tönkremegy. Ez egyben a cloud computing hátránya is: mivel nem tudjuk pontosan hol tárolják a fájlt nem lehetünk biztosak afelől, hogy mindig épségben fog maradni, vagy hogy illetéktelenek nem férnek hozzá. Ezeknek a problémáknak a megoldására természetesen léteznek biztonságos technológiák, a kérdés inkább arról szól, hogy mi magunk mennyire bízunk meg egy szolgáltatóban. Az alapján, hogy az egyes informatikai rétegek (felhasználói rendszerek és felhasználók; alkalmazások; adattárolás; felső rétegeket kiszolgáló infrastrukturális szolgáltatások; hardver) hová

3 kerülnek fizikai értelemben, melyik server kezeli őket, mennyire változtathatók, többféle számítási felhőről beszélhetünk. Előnye: A serveren tárolt adatok fizikális értelemben nem lokalizálható és nem egy szerveren tároltak a felhő több szerverből áll ami a világ több részén tárolódik. A site kiléte nehezen lokalizálható. Könnyen átmozgatható a világ bármely tájára akár 15 percen belül. Hátránya: Mivel több site is használja a felhőt egy azon ip cím alatt, ezért ha a többi site-ot támadás éri akkor a mi serverünk is átmeneti üzemzavart szenvedhet. Megoldás: Több szerverre támaszkodva és kellő szinkronizációval elkerülhető, ha megfelelő szinkronban vannak egy esetleges támadás során kiiktatják ez egyik szervert és a másik működésbe lép. Ez csak a károkozó támadások ellen nyújt védelmet a célzott adatlopó technikák ellen más módszerekkel kell védekezni. Ilyen pl az SSL SSL: Az SSL (Secure Socket Layer) egy protokoll réteg, amely a szállítási rétegbeli protokoll (pl. TCP/IP) és valamely alkalmazási rétegbeli protokoll (pl. HTTP) között helyezkedik el, az OSI terminológia szerinti viszony- és megjelenítési réteg feladatait látva el. Webböngészésnél például az SSL biztosítja a biztonságos kommunikációt a kliens (böngésző) és a szerver (webszerver) között. Autentikációhoz digitálisan aláírt tanusítványokat használ, a kommunikáció titkosítva zajlik (az SSL handshake során közösen megegyeznek egy kulcsban, ebből generálják azután az egy session erejéig használatos session keyt, és ezt használják valamely szimmetrikus titkosító algoritmussal, pl. DES, AES, stb). E szerver (HUP) is támogatja az SSL-en keresztüli böngészést. Az SSL fontos tényező a web titkosításban és megnehezíti az egyszerű adatlopási kísérleteket. Támadási Formák A ezek a legelterjedtebb támadási formák az oldal ezeknek a technikáknak a nagy részének nem képes ellenállni. SQL Injection XSS - Cross Site Scripting (Perzisztens és nem perzisztens) CSRF - Cross-Site Request Forgeries Smuggling (SQL Smuggling, XSS Smuggling, stb.) HTTP header injection

4 SQL Column Truncation (MySql max_packet_size 1M) LFI és RFI (Locale és Remote File Include ) DoS, DDoS (Denial of Service, Distributed Denial of Service) ebbe már belefutottunk amúgy egy roppant egyszerű de hatásos metódus Brute Force (viharszerű támadások) Social Engineering/Aranymosás Megoldás: További tesztelés szükséges egy átmeneti tárhellyel hogy a szükséges védelmi hibák kijavításra kerüljenek. Amit az Ervin javasolt a lokális server véleményem szerint több okból sem biztonságos mivel alkalom adtán a magyar szerverparkokban sokkal könnyebben megjelennek busónak öltözött úriemberek mivel a gép egy fizikai helyhez van kötve Belső Levelezés A belső levelezés kialakításra került, amivel, nagyobb biztonsággal tudunk egymás között levelezni mivel ez is a felhő részét képezi így szerves része a site-nak. A levelezőrendszerünk képes titkosított levelezésre az adott bealításokkal. Előnye: Belső levelezés nem megfigyelhető Hátránya: Hozzá kell szokni.

5 Kliens gépek védelme. Kliens gépek gépek vagy lokális gépek védelme talán az egyik legfontosabb része a tevékenységünknek. A lokális gépek tikosítása és biztonságossá tétele több layer-en keresztülműködik. Lokális biztonság: A Lokális biztonságra bár az emberek 90 %- a azt hiszi elég a 4 karakteres jelszó nagyot tévednek. A mai technikákkal ez a kb 15 perces munkát jelent bármilyen középszintű informatikus számára. A Windows jelszavak, mint olyanok hamis biztonságot nyújtanak, de semmi többet. Több metódus is létezik ennek a problémának a megoldására. File Vault: Ez egy széf, amely a merevlemezen egy tikosított részt képez, amely különálló rekeszként működik. Ez nem rossz technika, de vannak ennél jóval kifinomultabb technikák is amelyek a Komoly szakemberek számára is fejtörést okoznak. Javaslatom a következő: Az elfogadható tagadás (plausible deniability) a esetében egy olyan két részből álló, szteganográfiára jellemző védelem, ami a jelszó ismeretének esetén is meggátolhatja a titkosított adatok illetéktelen fél általi felfedését. A program segítségével készíthető rejtett kötet. A már létező titkosított köteten belül létrehozható még egy kötet, amit egy másik jelszóval vagy kulcsfájllal nyithatunk meg. A kötet lényege, hogy teljes mértékben felfedhetetlen. Még ha a külső titkosított kötet meg is van nyitva, a belső rejtett kötet létét semmilyen formában nem lehet bizonyítani. Rejtett kötet készítésénél ajánlott, ha a külső kötet FAT fájlrendszerű, mert NTFS esetében kétszer több helyre van szükségünk (az NTFS a meghajtó közepén tárol a lemezzel kapcsolatos fontos adatokat). Viszont csak NTFS rendszeren tudunk 4GB-nál nagyobb fájlokat létrehozni a fájlrendszert az adott kötet létrehozásánál lehet meghatározni. A titkosított kötetek azonosíthatatlanok. Amennyiben védett adatainkat egy tároló fájlban raktározzuk el, erről a fájlról nem lehet megmondani, hogy valóban tároló fájl. A jelszó ismerete vagy a kulcsfájl használata nélkül a tároló fájlról semmilyen módszerrel nem lehet eldönteni, hogy tényleg tároló fájl-e, ami védve van vagy pedig valóban nem tároló fájl. Bocsi de ezt nem tudom egyszerűbben leírni. Metódus 2

6 Windows operációs rendszert tartalmazó partíció illetve meghajtó teljes titkosítására. Ennek értelmében rendszerindítás előtt meg kell adni a szükséges jelszót, ahhoz hogy az betöltsön, illetve írni vagy olvasni lehessen a merevlemezre. Ez a jogosultság ellenőrzés nem csak az operációs rendszert, hanem az egész tárterületet védi. A legbiztonságosabb metódus mikor a gépen van egy csali op rendszer semmilyen adatot nem tartalmaz csupán egy félrevezetés ezt a technikát a hírszerzés a mai napig használja. Míg a valódi adat egy másik jelszóval elérhető, így még ha az alanyt kényszerítik is a jelszó átadására akkor sem kell aggódnia az adatok biztonságáért. Az Merevlemez képe az álcázás után. Biztonságos böngészés a neten avagy itt az ip hol az ip Mi az ip??? Az internetet használó számítógépek minden tranzakció során (például egy weboldal megjelenítésekor) megadják IP-címüket, ami révén elvileg be lehet azonosítani az adott gép helyét és tulajdonosát, illetve egy adott géppel végzett tevékenységekről sok információt lehet gyűjteni. A gyakorlatban a számítógépek jelentős része az internetszolgáltatójától rendszeresen új IP-címet kap, így azonosítása csak a szolgáltató együttműködésével lehetséges, aki csak rendőri megkeresésre és más jól meghatározott esetekben adhatja ki az információkat. Mivel kifejezett kérés volt hogy a gépek ne használjanak hazai ip-ket a regisztráció érdekében ezért több módszert is javasoltam. Ilyen Pl az Ip changer ami folyamatosan ugráltatja az ip-t. Cserébe nagyon lassítja a rendszert.

7 A Proxy A proxy egy tűzfalszerver jobbára, ami továbbítja esetünkben a kéréseket így az ip címünket is el tudjuk rejteni, de nem teljes biztonsággal. proxynak, helyesebben proxy szervernek (angol helyettes, megbízott, közvetítő ) nevezzük az olyan szervert (számítógép vagy szerveralkalmazás), ami a kliensek kéréseit köztes elemként más szerverekhez továbbítja. A kliens csatlakozik a proxyhoz, valamilyen szolgáltatást (fájlt, csatlakozást, weboldalt vagy más erőforrást) igényel, ami egy másik szerveren található. A proxy szerver a kliens nevében eljárva csatlakozik a megadott szerverhez, és igényli az erőforrást a számára. Torrent jellegű kommunikáció (biztonságos és gyors) 3. megoldás belső hálózat használata, Amely egy belső hálózaton, mint pl torrent kliens futtatja végig az a böngésző álltal küldött fogadott információt. Fejlesztését eredetileg az Amerikai Tengerészgyalogság kezdeményezte, majd az Electronic Frontier Foundation vette kézbe. Az alapelv A felhasználó (kezdeményező) egy klienst futtat a gépén, amely csatlakozik a hálózathoz. Időnként megújítja az egész kimenő útvonalat (circuit). A hálózatban résztvevő tagok opcionálisan konfigurálhatják a kliensüket úgynevezett node-nak. A node engedélyezi, hogy rajta keresztül csomagok fussanak, de nem engedélyezi a hálózatból való kilépést a hagyományos internetre. A hálózat minden tagja titkosítva kommunikál egymással 128 bites szimmetrikus kulcsolású kódokat használva, melyeket egy aszimmetrikus kulcsolású ún. handshake (kézfogás) után hoztak létre.

8 A kezdeményező minden csomagra először rátesz egy véletlenszerű mester-kulcsot (egy kódot, melyet csak ő és végül a exit gép ismer) majd mind a mesterkulccsal titkosított csomag és a mesterkulcs három részre tagolódik és minden csomagrészlet kap külön-külön egy-egy első szintű kulcsot. Az első-szintű kulcs az a kulcs amelyet az első szintű node-okkal (a közvetlen kapcsolatokkal) hoztunk létre a handshake után. Ez valahogy így néz ki. Végeredményképpen a hálózat Ezzel megpróbálta felhívni a figyelmet, hogy a nem titkosításra, hanem anonimizálásra szolgál, tehát nem az átküldött adatot védi, hanem a névtelenséget. A csak egy dolgot garantál : a szerver nem fogja ismerni a kliens valódi IP címét. Ez a megoldás is mind sok más sajnos lassítja a kapcsolatot. Megjegyzés: Mivel egyikőtök sem nagyon használja a klienseket így sajnos a regisztrációk 75% a Bláthy Ottó utcából és a saját internetszolgáltatótoktól jön ezeket a bejegyzéseket a serveretek naplózza. Így könnyen kideríthető hogy minden regisztrációt ti kézzel csináltok.

9 Összegzés Jelen pillanatban a rendszer Lokálisan igen sebezhető a helyi gépek jelszavai gyengék és a file lockert senki sem használja. A hálózatomon rendre megjenek gépek megosztott dokumentumokkal ezért játszi könnyedséggel el lophatják az adataitokat a házban dolgozók akik rácsatlakoznak a wifimre. A megosztásokat rendbe kéne rakni a gépen. Jelen pillanatban a biztonsági skálátok az 1-10 es skálán 2 re taksálom a hálózaton nagyon védtelenek vagytok és a website-ra is ráfér egy kis biztonsági tesztelés Ennek a rendszernek az üzemeltetése és a monitorozása is fontos tényező. A site-on történő mozgás nem pusztán jó indulatú és csak magyarországról érdeklődnek utána tréfás kedvű hackerek. Ez a grafikon jelöli a Gflimited oldal látogatóit országokra lebontva. Nem mind jószándékú.

10 A szerver tűzfala az elmult hónapban némi módosítással együtt több bot támadást vészelt át nagyját hiba nélkül. Robots/Spiders visitors (Top 25) - Full list - Last visit Az oldal és a hálózat biztonságossá tétele és üzemeltetése véleményem szerint még koránt sem ért véget rengeteg megoldatlan feladat áll még a gfl előtt.