Wolność słowa w Internecie
Użytkownicy Internetu są bardzo przywiązani do swojej wolności wysyłania listów, uczestniczesnia w grupach dyskusyjnych, publikowania na stronach internetowych.
Internet jest bardzo niebiezpiecznym miejscem. Jedną z jego podstaw jest swoboda dostępu do sieci i swoboda wymiany wymiany informacji. Oznacza to że nasze komputery i informacje na nich zawarte są dostępne dla milionów ludzi, w tym setek komputerowych włamywaczy. A przez Internet dostępne i wymieniane przez jego użytkowników są nie tylko przepisy na wypiek serników wiedeńskich, ale i sposoby na wdarcie się do sieci lokalnych połączonych z Internetem.
Im dłużej jesteśmy w Internecie, bardziej znany i częściej odwiedzany jest nasz serwer, tym wieksze ryzyko ataku. Ruch w Internecie zwiększa się, więcej jest użytkowników, coraz doskonalsze narzędzia informatyczne. Coraz większa jest więc szansa, że niepożądani goście uzyskają swobodny dostęp do naszej sieci, a nasze dane zostaną zniszczone lub ukradzione.
Przeciwdziałać temu mają narzędzia zwane po angielsku "sieciowymi kurtynami przeciwpożarowymi" (network firewalls). Kurtyny takie tworzą zaporę między siecią lokalną i Internetem, zapobiegając przedostawaniu się niepożądanych danych. Budowa takich zapór jest trudniejsza niż w przypadku sieci lokalnych czy superkomputerów i podłączonych do nich terminali, dlatego, że w przypadku Internetu bardzo trudno jest określić, skąd naprawdę pochodzą dane czy jaka jest tożsamość naszego gościa. Internet jest jak żywioł: nie sposób dokładnie przewidzieć jego zachowania, a tym bardziej do końca go okiełznąć. Podobnie więc jak przeszkody przeciwpożarowe czy przeciwpowodziowe w realnym świecie firewalls nie są stuprocentowo skuteczne, ale potrafią sporo dla zrobić – przynamniej zapewnić administratorom sieć spokojniejszy sen.
Firewalls są tylko częścią systemu zabezpieczeń i mogą bardzo niewiele pomóc, jeśli nie wspierają ich precyzyjne i stosowane w praktyce zasady bezpieczeństwa.
Mogą być budowane na różne sposoby. Najczęściej stosowane są: fitrowanie informacji na routerach, komputery działające jako bramy, stworzenie wydzielonej sieci komputerowej do komunikacji z Internetem.
Najprostszym sposobem zabezpieczenia sieci komputerowej jest używanie programowalnego routera, urządzenia używanego do stworzenia stałego, szybkiego połączenia z Internetem. Router potrafi kontrolować ruch na poziomie pakietów IP, przepuszczając lub blokując dane wychodzące lub wchodzące na danych adres internetowy. Można w ten sposób określić, które komputery z danej firmy mogą korzystać z Internetu, a które mogą być z Internetu dostępne (by można na nich na przykład postawić serwer World-Wide Web), gdzie wolno się a gdzie nie wolno udać pracownikom wędującym po Internecie.
Odpowiednia konfiguracja routerów pozwala zabezpieczyć się przed niektórymi sposobami włamań i ograniczyć ruch na zewnątrz, ale routery nie potrafią poradzić sobie ze wszystkim. Trudności sprawiają im takie protokołu jak FTP, DNS i X11, dzie trzeba stosować inne mechanizmy zabezpieczeń. Nie zawsze można zaprogramować router, by odcinał od nas wszystkie potencjalnie groźne informacje.
Więcej możliwości daje użycie odzielnego komputera jako bramy na świat. Na takim komputerowym strażniku można zapisywać wychodzący i wchodzący ruch, analizować go na bieżąco w sposób automatyczny czy angażując do tego administratorów sieci. Komputer analizuje ruch na poziomie aplikacji, a nie na poziomie pakietów IP, dając dokładniejszy obraz tego, co dzieje się na tym właśnie odcinku autostrady informatycznej. Na komputerze stanowiącym bramę do Internetu mogą działać programy proxy, stanowiące bardziej uproszczone i bezpieczniejsze wersje oprogramowania pozwalającego na ruch poczty czy FTP.
Najbardziej może bezpiecznym, ale i też najmniej wygodnym dla użytkowników rozwiązaniem jest stworzenie wydzielonej sieci do komunikacji z Internetem, która w szczególnym przypadku może składać się tylko z jednego komputera. Jeśli zamierza się tylko publikować informacje via World-Wide Web i prowadzić korespondencję przez jedną skrzynkę pocztową, to wystarczy pojedynczy komputer przyłączony do Internetu, ale wręcz zupełnie odcięty od pozostałych, zamknięty w oddzielnym pokoju, z którym dane będą wymieniane na dyskietkach przez uzbrojonego strażnika w ochronnym kombinezonie. Odkładając na bok nieco paranoidalną naturę takiego zabezpieczenia jest ono wysoce skuteczne.
Istotne zagrożenie może nieść w sobie udostępnianie usług FTP, czyli dostępu do bibliotek plików i przegrywania ich. FTP jako proces na serwerze ma stosunkowo duże prawa dostępu i każdy, kto znajdzie błąd bezpieczeństwa w oprogramowaniu FTP, może włamać się do samego serwera. Wyjściem z tej sytuacji jest kierowanie ruchu FTP przez proxy server, oddzielny serwer zawierający bezpieczną wersję FTP. Innym wyjściem jest ograniczenie ruchu FTP tylko do niektórych portów serwera, na których pracuje już oprogramowanie sprawdzające i filtrujące informacje. Oczywiście najprostszym wyjściem jest zrezygnowanie z serwera FTP, jeśli nie jest to absolutnie konieczne.
Wiele dzisiejszych produktów internetowych zawiera w sobie kilka serwerów: HTTP, FTP, Gopher... po łatwej i szybkiej instalacji często wszystkie procesy zaczynają działać, nie tylko zjadają zasoby komputera, ale i wystawiają erwer na niepotrzebne ryzyko. Jeżeli więc na przykład zamierza się postawić tylko serwer World-Wide Web, to warto zostawić działający tylko proces HTTP, a pozostałe, w tym FTP, wyłączyć.
Równie groźne jak FTP może być łączenie się z serwerami unixowymi używając protokołu X11, czyli mówiąc prościej, zdalne uruchamianie aplikacji graficznych. Istnieje możliwość zdalnego połączenia się z serwerem w taki sposób, by można było podejrzeć działania innych użytkowników, wydawane przez nich polecenia, dokonać zrzutów ekranów programów, na których pracują. Firewalls radzą sobie z tym blokując ruch X11 lub kierując go przez specjalne serwery proxy.
Domain Name Service jest jednym z żywotnych elementów każdej sieci wykorzystującej protokół TCP/IP, rodzajem książki telefonicznej, z której komputery dowiadują się, kto jest kim w danej sieci i jak można go znaleźć. Ale podobnie jak książka telefoniczna może być groźną bronią i w dobrze strzeżonej sieci DNS nie powinien być pokazywany na zewnątrz, a już na pewno nie w całości. Jednym ze sposobów jest tu stworzenie dwóch baz DNS: wewnętrznej, do której będą się odwoływały komputery w sieci i publicznej" dostępnej ze świata. Baza publiczna będzie tu znacznie okrojna, co daje spore zabezpieczenie: jeśli nie wie się nic o pewnych miejscach, nigdy tam się nie trafi ani nawet nie będzie próbować.
Podwójna baza DNS nie jest oczywiście cudownym środkiem: adresy wewnętrznych komputerów zostają w takich miejscach jak nagłówki wiadomości elektronicznych czy głosów na listach dyskusyjnych, gdy tylko użytkownicy będą wysyłać pocztę w świat i uważnie analizując takie publicznie dostępne źródła informacji można się sporo dowiedzieć o danej firmie.
Pierwszym etapem przed wprowadzaniem zasad bezpieczeństwa jest określenie, co właściwie ma być chronione: które cześci sieci, linie przesyłania informacji, dane, aplikacje. Drugim – kto i do czego może się dotykać i w jakich sytuacjach, czyli określenie praw dostępu dla użytkowników, informatyków, adminstratorów. Zasady bezpieczeństwa mogą być zbudowane w oparciu o precyzyjne wykreślenie tego, co jest, a co nie jest dozwolone.
BBN Internet Services określiła w swoim czasie cztery poziomy bezpieczeństwa, zaczynające się od "P":
Pierwszy, paranoidalny poziom bezpieczeństwa jest nie tyle wyrazem dbałości o bezpieczeństwo co znakiem, że informatycy danej firmy nie potrafią poradzić sobie z wprowadzeniem zabezpieczeń. Przynosi on więcej szkód niż pożytku, jako że pracownicy są odcinani od informacji zgromadzonych w Internecie, wymiany poczty elektronicznej a być może także kontaktu z pracownikami w lokalnych biurach czy na delegacjach.
Ostatni poziom świadczy albo o nieznajomości rzeczy albo o anarchii jako stylu działania firmy. Może on prowadzić do celowych zniszczeń, ale jeszcze częściej do przypadkowych, nieumyślnych uszkodzeń systemu przez użytkowników, którzy dostają zbyt potężne zabawki do ręki.
Dwa pośrednie poziomy są dość podobne w skutkach, a wybór jednego z nich zależy raczej od generalnego stylu działania firmy. Ważne, by zasady bezpieczeństwa były jasne i znane, naruszanie ich karane, by nie było zbyt wielu wyjątków. Zasady bezpieczeństwa powinny się zmieniać wraz z rozwojem firmy, jej systemów informatycznych i sytuacją w Internecie; nie rzadziej niż raz na rok warto je przejrzeć i zaktualizować.
Największym problemem dla sieci lokalnych, jak wynika z przeprowadzonych w 1994 roku badań Ernst & Young, jest niepowołany dostęp do ich zasobów, a także możliwość przerw w działaniu systemów, naruszenie tajności korespondencji czy ich techniczne uszkodzenie, co może być konsekwencją włamań do sieci, ale oczywiście także niesprawnego działania samego systemu.
W tym samym badaniu za najbardziej niebezpieczne uznane zostały komputery z MS-DOS, nieco mniej Macintosh, Windows, bardziej bezpieczne są maszyny z OS/2 i Unix; najbardziej bezpieczne są duże systemy mainframe.
Istotnym problemem mogą być też niewystarczające siły ludzkie czy środki w budźetach firm przeznaczone na zabezpieczenia.
Z drugiej jednak strony przy znajomości zagrożeń, istnieniu rozmaitych technik zabezpieczeń, tuzinom konferencji, konsultacji i innego typu informacji na temat bezpieczeństwa, wprowadzanie zabezpieczeń w życie nie jest zbyt imponujące, jak można sądzić po tym badaniu. Większość firm ma działajace programy antywirusowe, ale już mniej niż połowa – firewalls, jeszcze mniej systemy kodowania plików i wiadomości elektronicznych.
Oczywiście zastanawiając się nad problemem bezpieczeństwa i wprowadzaniem niezbędnej ochrony nie można zapominać, że jest to po prostu uboczny skutek rozwoju telekomunikacji i komputerów, powstania Internetu i światowej wymiany informacji, jaką nam daje. Zabezpieczenia nie powinny ograniczać dostępu użytkowników do Internetu wtedy, gdy jest on konieczny z punktu widzenia interesów firmy.
Zabezpieczenia przeciwwłamaniowe sieci powinny być po prostu takim samym zadaniem służb informatycznych jak ciągłe działanie komputerów, ochrona przed wirusami, tworzenie kopii zapasowych danych, zapewnienie ciągłości i odpowiedniej szybkości transmisji danych, nadawanie użytkownikom praw dostępu – wszystko po to, by system mógł służyć pracownikom w jak najlepszym wykonywaniu ich zadan.
Jednym z największych zatrzeżeń, jakie ma świat korporacyjny do Internetu, jest poziom bezpieczeństwa istniejących w nim i przesyłanych danych. Poziom ten jest uznawany za niezadowalający. Standardy stanowiące podstawę Internetu były opracowywane raczej z myślą o szybkim i bezbłędnym przesyłaniu danych niż o ich ochronie. Mniejsze systemy wymiany informacji, takie jak Lotus Notes, są zdecydowanie lepiej pomyślane, jeśli chodzi o bezpieczeństwo danych, i tym samym bardziej godne zaufania.
Pewnym rozwiązaniem dla zabezpieczenia prowadzonych w Internecie transakcji finansowych czy w ogólne wymiany danych jest nowy standard SSL, wprowadzany między innymi przez Netscape Corporation. Poziom Bezpiecznych Pakietów [danych], jak można by było przetłumaczyć SSL, mieści się pomiędzy poziomem sieciowym TCP/IP a poziomem aplikacji (HTTP czy FTP), co znaczy w praktyce, że nie narusza zarówno podstawowego standardu przesyłania danych w Internecie – protokołu TCP/IP, ani nie zmusza do wykorzystywania innych typów aplikacji niż standardowe oprogramowanie HTTP (dokumenty World-Wide Web) czy FTP (biblioteki plików).
SSL opiera się na technologii RSA, kombinacji klucza publicznego i klucza prywatnego. Informacje zakodowane przy pomocy klucza publicznego RSA mogą być odkodowane tylko z użyciem odpowiadającego mu klucza prywatnego. RSA to algorytm kryptograficzny o zmiennej długości, który szyfruje dane opierając się na formułach matematycznych.
Istotnym elementem jest długość klucza czy też długośc algorytmu; im jest on dłuższy – z im większej ilości bitów się składa – tym trudniej złamać zakodowaną nim wiadomość. Klucz może mieć od 40 do 1024 bitów. Im jest dłuższy, tym jest trudniejszy do pokonania, ale pokonany zawsze być może.
Udowodnił to Damien Doligez, pracownik naukowy francuskiego instytutu badań i nauk komputerowych mieszczącego się w Le Chesnay we Francji. Złamał on 40-bitowy klucz; zajęło mu to osiem dni pracy stu dwudziestu stacji roboczych i dwóch superkomputerów. Złamanie 41-bitowego klucza zajełoby mu przy tym samym sprzęcie dwakroć tyle czasu, a 48-bitowego – dwieście pięćdziesiąt razy więcej, czyli pięć lat pracy tych komputerów.
Netscape Corporation konstruuje swoje przeglądarki i serwery w dwóch wersjach: pozwalającej na użycie 40-bitowego klucza i 128-bitowego, praktycznie nie do złamania dziś. Ta druga wersja jest dostępna jednak tylko dla użytkowników ze Stanów Zjednoczonych. Powodem sa ograniczenia eksportowe nałożone przez amerykańskie prawo. Amerykańska instytucja wywiadu elelktronicznego - Narodowa Agencja Bezpieczeństwa (NSA) - chce mieć po prostu pewność, że poza granicami Stanów nikt nie będzie używał kodów, które amerykańskie agencje wywiadowcze nie będą mogły złamać. Biorąc pod uwagę to, że większość producentów oprogramowania i sprzętu komputerowego ma swoje siedziby w Stanach, to jest to właściwie prawo mające wpływ na cały świat.
Jak skuteczny jest system zabezpieczeń oparty o RSA, biorąc pod uwagę ograniczenia eksportowe? Nawet 40-bitowy klucz chroni przed złamaniem przez większość systemów, które może mieć do dyspozycji potencjalny przeciwnik. Szansa, że ktoś, kto przechwytuje dane, posiada odpowiedni sprzęt i oprogramowanie, by je złamać, staje się bardzo mała. Wejscie w posiadanie potrzebnych na to zasobów i czas, jaki trzeba poświęcić, kosztowałoby więcej, niż warta byłaby uzyskana tą drogą informacja – już tańszy byłby zapewne rajd komandosów na siedzibę danej firmy.
Źródło: John Bryan, Build a Firewall, Byte, kwiecień 1995.
25 września 1996
› Nieoczekiwane zagrożenie (29 stycznia 2004)
› Mitnick o hackerach (6 marca 2003)
› Robak w bazie SQL (2 lutego 2003)
› Tak łatwe do złamania (12 grudnia 2002)
› Narzędzia bezpieczeństwa z firmy Symantec (9 grudnia 2002)
› Coraz mniej odporny na uszkodzenia (27 listopada 2002)
› Zagrożeni cyberterroryzmem (20 listopada 2002)
› Brytyjczyk uderza na amerykańskie serwery (14 listopada 2002)
› Internautów obawy o bezpieczeństwo (9 sierpnia 2001)
› Łatanie dziur w elektronicznym podpisie PGP (26 marca 2001)