[ Pobierz całość w formacie PDF ]

Zastosowanie tylu różnych algorytmów praktycznie uniemożliwia intruzowi
po włamaniu się do systemu modyfikację plików bez zauważenia. Podrobienie
sygnatury jest wręcz niemożliwe, ponieważ włamywacz musiałby tak
zmodyfikować plik, aby wygenerowana dla niego sygnatura była identyczna ze
wzorcem. Istnieją dwie metody na znalezienie tej samej sygnatury: metoda siłowa
(ang. brute force) oraz poprzez odwrócenie funkcji szyfrującej.
Używając pierwszej metody można iteracyjnie skanować plik w poszukiwaniu
właściwej sygnatury. Dla sygnatury n-bitowej maksymalna ilość iteracji, to 2n-1.
Dla małych plików taka operacja jest bardzo prosta. Wykorzystując maszynę
Sun SparcStation 1+ o mocy obliczeniowej 12 MIPS, duplikat 16-bitowej sygnatury
CRC-16 dla 50kB pliku binarnego może być znaleziony w ciągu 40 sekund.
To samo dla sygnatury CRC-32 można uzyskać w ciągu 4 godzin.
Znając funkcję szyfrowania algorytmu można stworzyć funkcje odwrotną
i nie tracić tyle czasu na znalezienie odpowiedniej sygnatury. Na szczęście
większość funkcji mieszających jest funkcjami jednokierunkowymi (ang. one-way
hash function) co oznacza, że nie istnieje funkcja do nich odwrotna, a w dodatku są
BEZPIECZEC
STWO SYSTEMÓW KOMPUTEROWYCH 100
Rodzaje zabezpieczeń
funkcjami co najmniej 128-bitowymi, tak więc na dzień dzisiejszy technicznie
niemożliwe do złamania.
Badania przeprowadzone w laboratorium COAST przy Uniwersytecie Purdue,
wykazały wysoką skuteczność algorytmów mieszających. Testy przeprowadzono na
pięciu komputerach uniwersytetu oraz na dwóch w firmie Sun Microsystem, Inc.
A
ącznie sprawdzono 254 686 plików pod kątem duplikatów sygnatur, tzw. kolizji.
Dla każdego pliku wygenerowano sygnatury używając 16-bitowej komendy SunOS
sum, dwóch standardów CRC, 64-bitowego algorytmu DES-CBC oraz 128-
bitowych MD4, MD5 i Snefru.
Tabela 4. Wynik badań laboratorium COAST. Liczba kolizji sygnatur w zależności
od użytego algorytmu do ich utworzenia27
Liczba kolizji
Ilość identycznych
A
Ä…cznie
sygnatur
1 2 3 4 5 6 7 8 e"9
16-bit checksum (sum) 14177 6647 2437 800 235 62 12 2 1 24375
16-bit CRC 15022 6769 2387 677 164 33 5 0 0 25059
32-bit CRC 3 1 1 0 0 0 0 0 0 5
64-bit DES-CBC 1 1 0 0 0 0 0 0 0 2
128-bit MD4 0 0 0 0 0 0 0 0 0 0
128-bit MD5 0 0 0 0 0 0 0 0 0 0
128-bit Snefru 0 0 0 0 0 0 0 0 0 0
Dodatkowo przeprowadzono badania empiryczne polegajÄ…ce na znalezieniu
duplikatu 128-bitowej sygnatury Snefru dla pliku /bin/login używając przy tym 130
stacji roboczych Sun SparcStation 1, każda mogąca wygenerować 37 sygnatur
27
Gene H. Kim, Eugene H. Spafford, The Design and Implementation of Tripwire: A File System Integrity
Checker, COAST Laboratory Department of Computer Sciences Purdue University, 1994
BEZPIECZEC
STWO SYSTEMÓW KOMPUTEROWYCH 101
Rodzaje zabezpieczeń
algorytmu Snefru na sekundÄ™. Po kilkunastu tygodniach i wygenerowaniu
17 milionów sygnatur oraz porównaniu ich z 10 000 zapisanych nie znaleziono
żadnych duplikatów. Przeszukano w przybliżeniu 224 sygnatur, pozostało 1015.
Dużą zaletą Tripwire jest jego dostępność na prawie każdą platformę UNIX.
Kod programu został napisany w standardzie K&R C oraz dostosowany do
standardu POSIX, rezultatem czego jest dostępny na ponad 30 systemów BSD
i System-V, włączając w to Xenix i Unicos. Nowością jest szyfrowanie przez
program ważnych plików z których korzysta, algorytmem z kluczem jawnym
ElGamala. Pliki są dostępne do odczytu, ale do zapisu wymagane jest hasło.
Należy stanowczo podkreślić, że Tripwire nie daje gwarancji bezpieczeństwa
systemu, jest tylko elementem jego ochrony.
BEZPIECZEC
STWO SYSTEMÓW KOMPUTEROWYCH 102
Rodzaje zabezpieczeń
3. Kerberos
Kerberos jest systemem opartym na modelu dystrybucji kluczy (ang. key
distribution model) i gwarantuje bezpieczeństwo w sieci dzięki bezpiecznej
autoryzacji oraz szyfrowaniu sesji. Został opracowany na początku lat
osiemdziesiÄ…tych w Massachusetts Institute of Technology w ramach projektu
Athena, a swoja nazwę zapożyczył od imienia Cerbrus  trzygłowego psa
strzegÄ…cego bram Hadesu.
W skład systemu Kerberos wchodzą serwery bezpieczeństwa, serwery
aplikacji i danych oraz dostosowane do współpracy z tym systemem aplikacje
klienta. Koncepcja systemu opiera siÄ™ na wydawaniu przez centralny serwer tzw.
 biletów (ang. tickets) dla konkretnych usług sieciowych. Uzyskanie przez
użytkownika biletu wymaga każdorazowo podania hasła. Aby wyręczyć [ Pobierz całość w formacie PDF ]

zanotowane.pl

doc.pisz.pl

pdf.pisz.pl

ssaver.htw.pl