Kompiuterinių tinklų saugumas darosi aktuali problema vis platesniam žmonių ratui. Kuo labiau plinta Internetas, kuo daugiau žmonių ir ištisų kompanijų prisijungia prie jo, tuo aktualesnė darosi vietinio kompiuterių tinklo apsauga, jei jis prijungtas prie Interneto.

Nemažai apie prisijungimo prie Interneto potencialias problemas rašoma Simson Garfinkel, Gene Spafford knygoje Web Security & Commerce [GS97]. Tai pakankamai nauja knyga, išleista 1997 metų birželio mėnesį. Todėl čia galima rasti pakankamai šviežios informacijos. Aprašyti ir keli konkretūs atvejai, kurie turi mus įtikinti, kad įsilaužimo grėsmė yra reali.

Pavyzdžiui 1996 metų rugpjūčio mėnesį buvo įsilaužta į Jungtinių Amerikos Valstijų Teisingumo Departamento WWW serverį, http://www.usdoj.gov. Įsilaužėliai įveikė serverio apsaugą ir modifikavo pirmuosius puslapius. Pakeistas puslapis Internete prabuvo kelias valandas, kol FTB nesureagavo į ataką ir neatjungė serverio. Likusį savaitgalį (įsilaužta buvo šeštadienio rytą) Teisingumo Departamento WWW serveris buvo nepasiekiamas.

1996 metų rugsėjo mėnesį grupė įsilaužėlių iš Švedijos įsibrovė į CŽV WWW serverį (http://www.odci.gov/cia). Įsilaužėliai panašiai kaip ir pirmuoju atveju – modifikavo pirmuosius puslapius. Sprendimas buvo irgi panašus, pradžioje WWW serveris buvo atjungtas nuo Interneto.

Aukščiau paminėtais atvejais kompanijos nepatyrė tiesioginių finansinių nuostolių. Tik pakankamai nukentėjo jų prestižas, nes žiniasklaida pakankamai pagarsino šiuos įsilaužimus. Tačiau kitu atveju kompanijai pasisekė mažiau. 1996 metais įsibrovus į vienos iš su iD Software bendradarbiaujančių firmų serverius iš ten buvo pavogti Quake žaidimo išeities tekstai. Nuostolius iD Software vertino dešimtimis tūkstančių dolerių.

Dar blogiau galėjo baigtis įsilaužimas į Bhadha atominių tyrimų centrą (http://www.barc.ernet.in) 1998 metų birželio mėnesį. Grupė įsilaužėlių sugebėjo įveikti apsaugą ir pakeitė WWW titulinį puslapį bei parsisiuntė penkis megabaitus elektroninio pašto ir duomenų. Indijos tuo metu vykdytų branduolinių sprogdinimų duomenų tarp jų atrodo nebuvo.

Norint maksimaliai apsaugoti tinklo kompiuterius nuo įsilaužėlių iš Interneto, reikia kaip galima labiau atskirti vidinį tinklą nuo Interneto. Vienas iš veiksmingesnių metodų – ugnies siena. Tačiau vien ugnies siena visiškai neapsisaugosime. Kaip ir bet kuria kita viena priemone. Reikia kompleksinio sprendimo ([CZw95]). Darbe, šalia paketų filtrų, kurie yra ugnies sienos dalis, panaudotas TCP apvalkalas.

Apie ungnies sienos konfigūravima Linux operacinėje sistemoje galima pasiskaityti Mark Grennan sudarytame Firewalling and Proxy Server HOWTO ([FwPri]). Čia duodami pakankamai konkretūs patarimas, kaip ką reikėtų konfigūruoti. Tačiau tai nėra ilgalaikė informacija, nes jau naujoje 2.2 Linux branduolio versijoje ugnies siena bus realizuota kitaip. Bendresnių sprendimų kaip konstruoti ugnies sienas, kaip saugiai konfigūruoti priėjimą prie atskirų Interneto servisų geriau ieškoti D.Brent Chapman, Elizabeth D.Zwicky knygoje Building Internet Firewalls

Ten pat galima rasti ir ugnies sienos schemą. Tinklo duomenų paketai iš Interneto atskirti nuo vidinio tinklo dviem maršrutizatoriais, kuriuose sukonfigūruoti paketų filtrai.

Išorinis maršrutizatorius sulaiko nepageidautinus tinklo duomenų paketus iš Interneto bei neišleidžia vidinio tinklo vartotojų tiesiogiai į Internetą. Prie perimetro tinklo prijungti kompiuteriai paprastai prieinami tiek iš vidaus, tiek iš išorės. Taip pat jie gali dirbti taprininkais vidinio tinklo vartotojams į Internetą. Ir vidinis maršrutizatorius nepraleidžia paketų iš Interneto į vidinį tinklą bei nereikalingu paketų iš vidinio tinklo į Interneta.

Jeigu pasirenkame schema su išskirtais maršrutizatoriais, ypač jei tai Cisco produktai, tai idėjų, kaip padaryti tokią sistemą saugesne galima rasti pačiame Cisco paruoštame dokumente Increasing Security On IP Networks. Be bendro pobūdžio minčių apie tinklų saugumą čia galima rasti ir konkrečių Cisco maršrutizatoriaus konfigūravimo pavyzdžių.

Tačiau klasikinėse UNIX realizacijose iškyla problema: neįmanoma izoliuoti proceso nuo visų jo darbui nebūtinų resursų ([GS96]). Ši problema sprendžiama įvairiai. Albert Kahalan sudarytame The Linux Kernel Wish List ([AKi]) galima rasti minčių, kaip tai galėtų būti išspresta Linux branduolyje arba artimuose branduoliui moduliuose.

Kitas klaidų šaltinis – buferio perpildymas programose dalinai sprendžiamas panaudojant Solar Designer Linux branduolio pataisymą ([SDi]). Buferis perpildomas panašiose į žemiau pavaizduotają situacijose.

void internetas (char *str)
{
char eil[120];

strcpy (eil, str);

Mes kopijuojame funkcijai perduotą eilutę į fiksuoto dydžio buferį. Tačiau gali įvykti taip, kad šaltinio eilutė yra ilgesnė negu išskirtas buferio ilgis. Tuomet tolimesnis scenarijus būna toks: kadangi daugelyje C realizacijų vieta lokaliems kintamiesiems išskiriame steke, o čia pat yra ir grįžimo iš funkcijos adresas, tai tas adresas yra sugadinamas išeities eilutės duomenimis. Geriausiu atveju tuomet programos vykdymas nutrūks. Blogiausiu atveju galima apskaičiuoti šaltinio eilutę ir sugrįžimo adresą sugadinti taip, kad valdymas būtų perduotas į išeities eilutės kūną.

Solar Designer pataisymas padaro steko segmentą nevykdomu. Taigi eliminuojama pavojingo kodo įvykdymo galimybė. Tiesa šis pataisymas nėra universalus, jis egzistuoja tik Linux operacinei sistemai ir jį, gana sudėtingai, bet galima apeiti.

Potencialiai pavojingų funkcijų sarašą bei nurodymus kaip jų reikėtų vengti savo programose galime rasti [GS96] 707psl. Tai pirmiausia būtų gets(), strcpy() ir strcat(). Vietoj jų siūloma naudoti atitinkamai fgets(), strncpy() ir strncat(). O toliau sekančias funkcijas iš sisteminių bibliotekų reikėtų naudoti labai atsargiai. Tai sprintf(), fscanf(), scanf(), sscanf(), vsprintf(), realpath(), getopt(), getpass(), streadd(), strecpy(), strtrns().

Kai kuriose, ypač reikalaujančiose padidinto saugumo, sistemose gets() funkcijos net nėra sisteminėse bibliotekose, nes tai vienareikšmiška buferio perpildymo galimybė.

Gana išsamų vaizdą apie vienos ar kitos operacinės sistemos buvusias saugumo spragas galima susidaryti pavarčius pašto sąrašų archyvus. Tokius kaip Bugtraq [BQi], Best of Security ir panašius. Jų privalumas prieš oficialius šaltinius – čia niekas neslepiama. Taip pat išsakoma nemažai įdomių minčių apie kompiuterinių tinklų bei operacinių sistemų saugumą.

Views All Time
Views All Time
2532
Views Today
Views Today
1
0 0