Илья Медведовский - Атака на Internet
Приведенные примеры являются лишь одной стороной общей проблемы идентификации в Internet. Несмотря на то что среднестатистический пользователь оставляет в Сети массу сведений о себе, мы не можем быть уверенными в том, что два захода с одного и того же адреса принадлежат одному и тому же пользователю, и наоборот, что один и тот же пользователь не может зайти с разных адресов.
Все предлагаемые решения этой проблемы имеют те или иные недостатки:
1. Средства аутентификации пользователей, встроенные в серверы, являются наиболее очевидным решением. В IIS разграничение доступа осуществляется средствами файловой системы, в Apache защита ставится на уровне каталогов путем размещения в общем каталоге конфигурационного файла (в разделе <Directory>) либо в локальных конфигурационных файлах (.htaccess) соответствующих директив, описывающих пути до файлов с именами групп, пользователей и паролей, а также права доступа для разных групп. После чего можно просто считать в нашем скрипте имя пользователя из переменной окружения REMOTE_USER. Этот подход имеет два минуса. Во-первых, далеко не всегда нам нужно что-то большее, чем простая идентификация пользователя. При дневном трафике в несколько десятков тысяч человек нам ни к чему заводить для каждого пользователя свою учетную запись. Но даже если нам потребуется аутентификация, мы столкнемся с проблемой открытой передачи паролей, потенциально приводящей к возможности их перехвата. Если же использовать средства более строгого шифрования паролей (digest-аутентификация в Apache, NT Challenge/Response в IIS), то есть вероятность столкнуться с несовместимостью и с юридическими проблемами (SSL).
2. Очень часто используются самодельные механизмы аутентификации, хранящие, как показано выше, имя и пароль пользователя непосредственно в спрятанных полях формы. Недостаток тут тот же – возможность перехвата. Неплохим решением является предварительная шифровка пароля, привязанная к IP-адресу пользователя, что сокращает возможности перехвата, хотя и не исключает его. Именно эта схема была реализована в скриптах управления пользовательским счетом баннерной системы Russian Link Exchange, занимающейся показами рекламных заставок – баннеров – на Web-серверах, однако в начале февраля 1999 в ней была обнаружена неприятная особенность. Оказалось, что зашифрованный пароль привязывался только к IP-адресу, сам же пароль по оплошности программиста выпадал из поля зрения. В итоге каждый пользователь системы мог получить доступ к любому счету. Публикация этого факта на открытых списках рассылки привела к громкому скандалу в узких кругах и ряду инцидентов, связанных с неправомочным переводом показов с одного счета на другой. К чести администрации системы следует заметить, что ошибка была исправлена в течение считанных часов, а все пострадавшие получили свои показы назад.
3. Еще одно решение, когда после первого входа в систему генерируется некоторый случайный идентификатор пользователя, никак не связанный с его именем или паролем. Идентификатор запоминается в базе сервера и записывается все в то же скрытое поле формы. При очередном обращении клиента проверяется, был ли уже зарегистрирован этот пользователь. Для предотвращения накопления в базе уже отключившихся пользователей вводится некоторая задержка и счетчик времени для каждого пользователя, хранящий время последнего обращения. Если время ожидания очередного запроса превысило задержку, пользователь из базы удаляется. Естественно, при каждом запросе счетчик времени обновляется. Данный способ наиболее эффективен именно в ситуации идентификации, а не аутентификации.
4. Наиболее популярный и достаточно надежный на сегодня способ, практически исключающий хранение информации в полях формы, – использование при идентификации сочетания IP-адреса пользователя и идентификатора, хранящегося вместе с прочей информацией в cookies. Основная проблема тут в нескольких процентах посетителей, отключающих cookies. Поэтому главную роль здесь играет мотивация – такому пользователю должна быть предъявлена убедительная причина, чтобы он включил их поддержку обратно.
Итак, подключаясь к Internet или открывая свой Web-сервер, вы всегда идете на некоторый риск. Устранить его полностью невозможно, но в ваших силах постараться свести риск до разумного минимума и не стать главным его источником. Надеемся, что в этом вам помогут материалы настоящей главы.Заключение
Заканчивая чтение предложенного материала об особенностях информационной безопасности Internet, читатель вправе спросить: Что же делать? Каковы реальные возможности защиты Internet? Как использовать Internet и свести риск до допустимых пределов? Список вопросов, конечно, можно продолжить. Сразу оговоримся, что для ответа на них необходимо написать еще одну книгу. Однако в кратком виде наше мнение по этому поводу изложим здесь.
Безопасность Internet
Изначально Сеть создавалась как незащищенная открытая система, предназначенная для информационного общения постоянно возрастающего числа пользователей. При этом подключение новых пользователей должно было быть максимально простым, а доступ к информации – наиболее удобным, что явно противоречит принципам создания защищенной системы, безопасность которой должна быть описана на всех стадиях ее создания и эксплуатации, а пользователи – наделены четкими полномочиями. Создатели Internet не стремились к этому, да и требования защиты настолько бы усложнили проект, что сделали бы его реализацию вряд ли возможной.
Вывод: Сеть Internet создавалась как незащищенная система, не предназначенная для хранения и обработки конфиденциальной информации. Более того, защищенная Сеть не смогла бы стать информационным образом мировой культуры, ее прошлого и настоящего – в этом самостоятельная ценность Internet, и, возможно, отсутствие необходимой безопасности есть плата за такое высокое назначение.
Следствие: Многие пользователи заинтересованы в том, чтобы глобальная сеть стала системой с категорированной информацией и полномочиями пользователей, подчиненными установленной политике безопасности.
Однако наиболее яркие творения человеческого разума через некоторое время начинают жить самостоятельно, развиваясь и выходя за первоначальные замыслы создателей. Поэтому слабая защищенность Сети все сильнее беспокоит ее пользователей, особенно в связи с появлением электронной коммерции.
Будет ли Сеть защищенной
И да, и нет. В Internet постоянно, но очень медленно (сказывается отсутствие централизованного управления) будут появляться все новые и новые средства сетевой защиты, защищенные протоколы обмена и т. д. Все это естественным путем повысит общий уровень защищенности, однако говорить о безопасной Сети в целом даже в ближайшее десятилетие было бы, на наш взгляд, неразумно. Тем не менее Internet – защищена ли Сеть или нет – как глобальная информационная среда всемирного общения является одним из величайших достижений человечества в подходящем к концу XX столетии.
Перечень информационных ресурсов Internet, посвященных вопросам информационной безопасности
Зарубежные сайты
First (Forum of Incident Response and Security Teams): http://www.first.orq
CERT (Computer Emergensy Response Team): http://www.cert.ora
CIAC (Computer Incident Advisory Capability): http://ciac.llnl.gov
NASIRC (NASA Automated Systems Incident Response Capability): http://nasirc.nasa.aov
DoD Information Analysys Center (IAC): http://www.dtic.dla.mil/iac
NSA (National Security Agency): http://www.nsa.aov:8080
FBI Computer crime information: http://www.fbi.aov/compcrim.html
COAST (Computer Operations, Audit, and Security Technology): http://www.cs.purdue.edu/coast
Отечественные сайты
СЦЗИ (Специализированный центр защиты информации при СПбГТУ): http://www.ssl.stu.neva.ru
Spy Market Pro: http://www.spymarket.com
HackZone: http://www.hackzone.ru
НПО «Информзащита»: http://www.infosec.ru
ИКСИ (Институт криптографии, связи: http://www.fssr.ru
Библиотека сетевой безопасности: http://secijrity.tsu.ru
Частная жизнь в Интернете: http://www.tamos.com/privacy/ru/
Использованная литература
1. Гайкович В., Першин А. Безопасность электронных банковских систем. – М.: Издательство «Единая Европа», 1994.
2. Клименко С., Уразметов В. Internet. Среда обитания информационного общества. – М.: Российский центр физико-технической информатики, 1995.
3. Лори Б., Лори П. Apache / Перевод с англ. – К.: Издательская группа BHV, 1997.
4. Люцарев В. С. и др. Безопасность компьютерных сетей на основе Windows NT. – М.: Издательский отдел «Русская редакция», 1998.
5. Маркоф Д., Хефнер К. Хакеры. – К.: Полиграфкнига, 1996.
6. Найк Д. Стандарты и протоколы Интернета / Перевод с англ. – М.: Издательский отдел «Русская редакция» ТОО «Channel Trading Ltd», 1999.
7. Ростовцев А. Г. Элементы криптологии. – СПб.: Издательство СПбГТУ, 1995.
8. Соболев К. Исследование системы безопасности в Windows NT // Hackzone – территория взлома, № 1–2, 1998.
9. Спейнаур С., Куэрсиа В. Справочник Web-мастера / Перевод с англ. – К.: Издательская группа BHV, 1997.
10. Столл К. Яйцо кукушки, или Преследуя шпиона в компьютерном лабиринте. – М.: Издательский центр «Гарант», 1996.
