Export page to Open Document format View page as slide show

Tietoturvan perusteet

Mitä tieto on?

  • Keskustelua
  • Tietoa on valtavasti ja kaikkialla
    • Tietoa tiedosta (muutoshistoria, tietotyyppi …)
  • Tieto voi olla monessa muodossa
    • Päässä, paperilla, tietokoneella, näkyvillä…
    • Digitaaliset muodot (Ykkösiä ja nollia)
      • Valona, sähkönä.
      • Levykkeellä, cd:llä, nauhalla, usb-tikulla…
  • Tietoa käsitellään monella tavalla
    • Kynällä, Tietokoneella, kännykällä
  • Tiedon muotoa voidaan vaihtaa
    • Tulostin muuttaa sähköisen tiedon fyysisesti paperille
  • Tietoa siirretään monella tavalla
    • puhumalla, verkossa, usb-tikuilla…
  • Tietoturvallisuus Tietojen ja tiedonkäsittelyn turvallisuus

Tietoturvan tavoitteet

from: http://upload.wikimedia.org/wikipedia/commons/thumb/f/fe/Information_security_components_JMK.png/674px-Information_security_components_JMK.png

Tietoturvan päätavoitteet (CIA triad) ovat

  • luottamuksellisuus. (Confidentiality)
  • eheys (Integrity)
  • saatavuus (käytettävyys) (Availability)

Nämä tavoitteet ovat osittain ristiriidassa toistensa kanssa. Tämän johdosta joudutaan tilanteen mukaan tekemään kompromissejä.

Luottamuksellisuus

  • Tietoon pääsee käsiksi ainoastaan ne, joilla siihen on oikeus.
  • Mitä oikeuksia
    • Esimerkiksi: näkeminen, muuttaminen, tuhoaminen.
  • Kuka päättää oikeuksista
    • Tiedon omistaja, erillinen oikeus oikeuksien myöntöön, joku ryhmästä…
  • Kuka valvoo oikeuksien käyttöä
    • kuka valvoo valvojaa?

Eheys

  • Tiedot ovat muuttumattomia
    • Tiedot tiedosta ovat muuttumattomia
    • Tallennettua tietoa ei oikeudeton ole päässyt muokkaamaan
    • Vastaanottaja saa tiedon siinä muodossa kuin lähettäjä sen on lähettänyt.
  • Eheyteen liittyviä kysymyksiä
    • Onko teksti alkuperäinen eikä jonkun matkalla muokkaama?
    • Onko tieto luotu aikaleiman osoittamaan aikaan?
  • Eheä on eri asia kuin oikea.
    • Poliitikon lausunto verkossa voi olla juuri se mitä poliitikko on sanonut, vaikka asiat siinä eivät pitäisikään paikkaansa.
      • Tieto on eheää, mutta politiikko ei tiennyt mistä puhui.
    • “100% tietoturva-kurssille osallistujista valmistuu diplomi-insinööriksi”
      • Lause on siinä muodossa kuin sen wikiin kirjoitin eli eheä. Tieto ei välttämättä kuitenkaan pidä paikkaansa (joku voi jättää opinnot keskenkin tai valmistua vain Tekniikan kandiksi)

Saatavuus

  • Tiedon tulee olla niiden käytettävissä, jotka sitä tarvitsevat
  • Tietoon pitää päästä käsiksi riittävän nopeasti
    • Tiedon, joka tarvitaan 5 minuutin sisällä, saamiseen ei saa kulua 10 minuuttia
  • Tiedon saannin pitää olla riittävän helppoa
    • Yksi vs monta lukkoa

Päätavoitteiden soveltaminen

  • Tietoturva on osa riskien hallintaa
  • Tietoturvan tavoitteena on löytää sopiva kompromissi jossa nämä kolme perustavoitetta ovat kyseiseen tilanteeseen sopivasti balanssissa
    • Onko tärkeämpää että henkilökunta pääsee käsiksi tietoon nopeasti ja helposti vai että ulkopuoliset eivät tietoon pääse käsiksi.
  • Ei ole olemassa yhtä oikeaa ratkaisua
    • turvamenetelmät pitää valita tilanteen mukaan

Teesejä

  • Turvallisuus ei ole tuote vaan prosessi
  • Turvallisuus ei ole mustavalkoinen vaan täynnä harmaan eri sävyjä
  • Tietoja tarvitsee suojata vain niiden arvon verran
    • Kassakaappia ei kannata ostaa leivän säilytystä varten… ainakaan suomessa.
  • Tietoturva on yhtä vahva kuin sen heikoin lenkki.
    • Ei voida olettaa että hyökkääjä käyttää sitä reittiä, joka on suojattu.
    • Etuoveen lukkojen lisääminen siirtää hyökkääjän takaovella
    • Suojaamalla lentokentät terroristit vaihtavat kohteeksi junat.

Digitaalimaailma ja sen vaikutus tietoturvaan

  • Uhat digitaalisessa maailmassa muistuttavat reaalimaailman uhkia
    • Pankki voidaan ryöstää niin fyysisesti tai sähköisestikin
    • Salakuuntelu voidaan toteuttaa jugurttipurkilla tai tietokoneella
  • Keinot eroavat
    • tiirikka vs. ohjelmisto.
  • Kiristys, uhkaus, lahjonta: tehoavat kaikissa ympäristöissä
  • Automaatio tuo uusia mahdollisuuksia
    • Toistot helppoja
    • Pienistä puroista suuria jokia (salami hyökkäys)
    • 1/100000 mahdollisuuksia voidaan hyödyntää
  • Tiedonhaku ja yhdistäminen
    • vakoilu vs. tiedon louhinta
  • Etähyökkäykset
    • Ei tarvitse olla fyysisesti paikalla → potentiaalisten hyökkäjien määrä kasvaa
  • Hyökkäykset automatisoitavissa
    • Hajautetut hyökkäykset
  • Hyökkäykset eivät kunnioita valtio rajoja
    • Lainsäädännöt ovat maakohtaisia
  • Tieto leviää nopeasti
    • Turvallisuusaukot
    • Ohjeet
    • Hyökkäystyökalut
      • Yksi ohjelma → monta hyökkääjää → enemmän tuhoa
      • Työkaluja osaa käyttää lahjattomampikin
  • Tiedon leviämisen kontrollointi vaikeaa
    • Kiina, kirjastot jne.
  • Hyökkäykset tapahtuvat nopeasti
    • Reagointi hyökkäykseen liian hidasta (rosvot ovat karussa ennen sheriffin tuloa)
    • Ennakointi on tärkeää

Uhat

  • Suojamenetelmät on kehitetty torjumaan erilaisia uhkia.
  • Suojautumisen suunnittelussa ja suojamenetelmien valinnassa tulee ymmärtää mitä uhkia on olemassa
  • Uhat voivat kohdistua joko
    • Itse tietoa kohtaan
    • Tiedonkäsittelyä kohtaan
    • Tiedontallennus ja käsittely laitteistoa kohtaan

Uhat tietoja kohtaan

  • Tietojen vuotaminen /varastaminen
    • Ulkopuolinen pääsee käsiksi tietoihin (asiakasrekisteri)
    • Tietoon päästään käsiksi liian aikaisin (tuotejulkistus)
  • Käytettävyyden häiritseminen
    • Tietoa tarvitseva ei pääse tietoon käsiksi
      • Verkkokaupan sivut tukossa
    • Tiedon tuhoaminen.
  • Tietojen muuntaminen
    • Muutetaan tiedon sisältöä (maksumääräykset, lentoreitit…)
    • Muokataan tiedon metadataa (tietoa tiedosta) → tiedon merkitys tai tulkinta muuttuu
  • Väärentäminen
    • Lähetetään tietoja muiden nimissä
  • Tietojen lavastaminen
    • Lavastetaan tietoliikenne tapahtumia
    • Toistetaan vanhoja tietoliikenne tapahtumia

Uhat laitteistoa kohtaan

  • Huolimattomuus, asiantuntemattomuus ja vahingot
  • Sabotaasit
  • Tekniset viat
  • Toimiiko oikein
  • Varkaudet
  • Luvaton käyttö
    • Väärinkäyttö
    • Zombie

Ohjelmistoihin kohdistuvat uhat

  • Käytön rajoittaminen
    • Poistaminen
    • Tuhoaminen
    • Käyttöoikeuksien muokkaaminen
  • Muuntaminen
    • Virukset, troijalaiset, madot, takaovet, tietovuodot
  • Varkaus
    • Fyysinen media
    • Laiton kopiointi
  • Luvaton käyttö
    • Lisenssirikkomukset

Muut haavoittuvat kohteet

  • Tallennusmedia
    • Vanhat varmuuskopiot
    • Tulosteet
  • Verkot
    • Riskien kasvu
  • Käytönhallinta
    • Toiminnan häirintä
    • Oikeuksien kasvattaminen

Hyökkäykset

Rikokset: Tavoitteena yleensä taloudellinen hyöty

  • Väärennökset
    • Rahat, osakkeet, tunnistetiedot jne.
  • Huijaukset
  • Tietovarkaudet (intellectual property)
    • Laittomat kopiot (piratismi)
    • Lisenssirikkomukset
  • Henkilöllisyysvarkaudet (identity theft)
    • Esiintyminen toisena henkilönä
    • Luottokorttitiedot, rekisteritiedot, salasanat…
    • Verkosta löytyy henkilötietoja paljon
  • Brändi varkaudet (brand theft)
    • Isoihin yrityksiin ja tuotemerkkeihin luotetaan
    • Verkkosivun väärentäminen
    • Typo-haukat eli kirjoistusvirheiden hyväksikäyttäjät
    • Liikennevarkaudet
      • uudelleen reititykset
      • Nimipalvelun kaappaus

Tuhoaminen

  • Laitteiston fyysinen tuhoaminen
  • Ohjelmistojen tuhoaminen
  • Tiedon tuhoaminen
    • Alexandrian kirjasto
  • Terrorismi
    • Sekasorron kylväminen

Julkisuushyökkäykset

  • Tavoitteena otsikoihin pääsy mutta ei suoranainen taloudellinen hyöty
    • Esim. Artemiksen temppelin polttanut Herostratus
  • Julkisuushyökkäyksellä uhkailulla voidaan kiristää kohteelta rahaa.
  • Tekijät usein opiskelijoita; paljon resursseja, paljon aikaa, vähän rahaa.
  • Kohteena usein järjestelmät, joissa on ajateltu ettei suojauksen murtaminen ole rahallisesti kannattavaa.
  • Seuraukset voivat olla ikäviä
    • Paljastavat aukot myös rikollisille, jotka voivat käyttää niitä hyväkseen
    • Rikollisten hyökkäyksistä voidaan olla hiljaa ja hyväksyä pienet tappio, mutta julkisuushyökkääjät tiedottavat asiasta moneen paikkaan
      • Murretulla kauppapaikalla ei käy asiakkaita.
  • Lisäävät välillisesti turvallisuutta
    • Turva-aukoista ei aina välitetä, jos ne eivät ole julkisia.
    • Löytyneet turva-aukot paikataan tuotteista.
      • Imago kysymys
  • Eri tyyppisiä julkisuushyökkäyksiä

1. Verkkosivujen muuntaminen

  • Murtaudutaan yritysten tai yhteisöjen verkkosivuille ja muutetaan niiden sisältöä.
    • Joskus tehty itse, julkisuuden saamiseksi.
    • Tapahtuu nykyään jo niin usein etteivät enää ylitä uutiskynnystä.
      • Maaliskuussa 2000 ensimmäisellä viikolla 65 kappaletta verkkosivujen muuntohyökkäyksiä.

2. Palvelunestohyökkäykset Denial Of Service (DoS)

  • Estetään käyttäjien pääsy tarjottuun palveluun
    • (Puhelinyhteys kaikkiin ISP:n modeemeihin)
    • Palvelimen pommittaminen usealla pienellä viestillä joihin vastaaminen tukkii yhteydet.
    • Reaalimaailmassa boikotit, lakot ja barrikaadit
  • Voidaan käyttää myös apuna rikolliseen toimintaan
    • Autojen automaattihälyytyksen usea perättäinen käynnistäminen yöllä aiheuttaa auton omistajan kytkemään hälytyksen pois päältä
    • Paljon erilaisia variaatioita mm. sodankäynnissä.
  • Hajautettu palvelunesto

Laki pohjaiset hyökkäykset

  • Vakuutetaan tuomari ja jury, että mahdollinen turva-aukko on olemassa.
    • Esim: Esitetään, että rahaa ei ole nostettu tililtä vaan joku on käyttänyt tietoturva-aukkoa hyväksi.
    • Australiassa elokuussa 2005 tarkistesummaan laskentaan käytettävässä funktiossa olevaa teoreettista puutetta hyödynnettiin onnistuneesti puolustuksena ylinopeus sakkoa vastaan.
      • Kiistettiin kameran kuvan oikeellisuus.
  • Hankitaan sellaista tietoa järjestelmästä, jota ei muuten saisi selville.
    • Todistaakseen, että järjestelmä on virheetön joutuu puolustus kertomaan järjestelmän toiminnan yksityiskohtia
  • Käytetään lakitupaa uhkana
    • viivytys taistelu voi olla voitto
    • varoja sidotaan juristien palkkoihin (palvelun esto)
  • Menestys riippuu aina maan lainsäädännöstä.

Liikenneanalyysi

  • Tutkitaan viestintätapoja, ei viestien sisältöä
    • Kenen kanssa kommunikoidaan
    • Koska kommunikoidaan
    • Kuinka kauan viestitään
    • Minkä kokoisia viestejä
      • Esim: verkkoselailussa lyhyet viestit tekstejä, keskikokoiset kuvia, suuret videota.
    • Koko viestinnän määrä
    • Miten viesteihin reagoidaan
      • A lähettää pitkän viestin B:lle. B vastaa lyhyellä viestillä ja lähettää monta pitkää viestiä monelle muulle henkilölle → A antaa käskyjä alaisilleen ja B kuittaa.
    • Muutokset normaaleihin viestintä kuvioihin.
  • Joskus tieto kenen kanssa viestitään kertoo enemmän kuin mitä itse viestin sisältö.
    • Ennen pommituksia Irakiin, pizzakuljetukset Pentagoniin kasvoivat normaalista huomattavasti.
  • Salattu viesti ei salattujen viestien joukossa.
  • ECHELON
    • Massiivinen seurantajärjestelmä, jonka uskotaan valvovan kaikkea.
    • Seuraa eri liikennekanavia ja tallentaa tiedot
    • Analysoi tallennetut tiedot ja ryhmittelee ne
    • Lopullisen analyysin tekevät ihmiset
Last modified: 2013/07/01 14:42