Biztonságtechnikai szakportál

A titkosítás a szöveg módosítása úgy, hogy azt csak egy titkos módszerrel lehet visszaállítani az eredeti, olvasható állapotra.

Ma olyan a korszakban élünk, amelyben az információ nagyon értékes lehet. Az ilyen értékes információ megvédésére mindenkinek és minden szervezetnek szüksége van.
Tárolt adataink valamint kommunikációink védelmére számos megoldás létezik az informatikában. Erre használhatunk tűzfalakat, mac address szűrést, titkosítást, adatrejtést, fizikai elválasztást és még számos eljárást. Jelen cikk ezen megoldások közül a titkosításokat, azon belül a korszerű, informatikában alkalmazott eljárásokat tárgyalja.
A titkosítás alapvető célja, hogy titkos adatokat juttassunk el a feladótól a címzettig egy nem biztonságos csatornán keresztül. A titkosítás másik célja, hogy a tárolt adatokhoz csak bizonyos személyek férhessenek hozzá.

A titkosítások lehetnek

• szimmetrikusak – amikor a kódoláshoz és a dekódoláshoz ugyanazt a kulcsot használjuk) és
• aszimmetrikusak – amikor a kódoláshoz és a dekódoláshoz más kulcsot használunk.

Szimmetrikus titkosítás

A szimmetrikus titkosítás előnye, hogy jóval gyorsabb, mint az aszimmetrikus titkosítás. Hátránya, hogy a feladónak és a címzettnek is ismernie kell a kulcsot, amit csak biztonságos csatornán javasolt elküldeni a feladótól a címzettnek, hiszen a kulcs megszerzésével bárki olvashatja az üzenetet.
Szimmetrikus kulcs alkalmazása esetén a kódolás és a dekódolás ugyanazzal a kulccsal történik. A kulcs lehet jelszó vagy kulcsfájl, esetleg ezek kombinációja.
Folyam (stream) titkosító algoritmus esetén a szöveget és a kulcsot bitenként XOR (kizáró vagy) művelettel összerendeljük. Ebben az esetben a kulcsnak és a szövegnek hasonló hosszúságúnak kell lennie, hogy ne lehessen felismerni az ismétlődést.

Az XOR művelet alkalmazása titkosításhoz

Szimmetrikus titkosítás például a DES, azonban ezt már nem szokták alkalmazni, mivel ez a titkosítás rövid időn belül visszafejthető.
Napjaink vezető szimmetrikus titkosító algoritmusainak az alábbiak mondhatóak:

• AES (Rijndael [‘reinda:l], az AES pályázat nyertese)
• Serpent (AES pályázatra készült)
• Twofish (AES pályázatra készült)

A fent listázott titkosító algoritmusok kombinálhatók is, így például, ha AES-el titkosítottunk egy adatot, azt még titkosíthatjuk Serpent algoritmussal is és a végeredményt tovább titkosíthatjuk Twofish-el. Akkor a legnagyobb a biztonság, ha ezeknél egymástól teljesen különböző kulcsot választunk.
Szimmetrikus titkosítást legtöbbször a tárolt adatok titkosítására alkalmazunk. A következő táblázat az néhány titkosítási algoritmus kódolási és dekódolási sebességét mutatja. A táblázat tartalmazza továbbá az egyes algoritmusok összefűzésével történő titkosítások sebességének mérését is. A táblázat az egyes algoritmusokat illetve algoritmusláncokat azok sebessége szerint csökkenő sorrendben ábrázolja.

A szimmetrikus algoritmusok kódolási és dekódolási sebességének összehasonlítása, a méréseket a szerző végezte

Aszimmetrikus titkosítás

Az aszimmetrikus titkosítás alkalmazása esetén a kódolási és dekódolási folyamat lassabb, mint a szimmetrikus módszereket alkalmazva. Emiatt ezt az eljárást nem szívesen alkalmazzák nagyméretű adatok titkosítására.
Az aszimmetrikus titkosítás esetén a kódolás egy nyilvános kulcs segítségével, még a dekódolás egy másik, úgynevezett titkos kulcs segítségével történik.

A legismertebb ilyen eljárás az RSA, amely a nevét a három megalkotójáról kapta:
Rivest, Shamir, Adleman

A gyakorlatban a működése úgy néz ki, hogy a kommunikáció résztvevői rendelkeznek saját nyilvános és titkos kulccsal.
A nyilvános kulcs segítségével titkosítható az adat, amely ezután már csak a hozzá tartozó – kizárólag a címzett birtokában lévő – titkos kulcs segítségével fejthető vissza. A nyilvános kulcsról tudni kell, hogy nem állítható elő belőle a titkos kulcs, és a nyilvános kulcs segítségével nem dekódolható az üzenet.
A folyamat tehát a következő a küldő és a címzett között:

• a címzett megosztja az ő nyilvános kulcsát
• a küldő a kapott nyilvános kulcs alapján kódolja az üzenetet
• a küldő elküldi az így titkosított üzenetet a címzettnek
• a címzett csak nála meglévő titkos kulcs segítségével visszafejti az üzenetet

PGP-módszer

A PGP-módszer alkalmazása egyesíti a szimmetrikus titkosítás gyorsaságát és az aszimmetrikus titkosítás biztonságát. Lényege, hogy az adat szimmetrikus titkosítással kódolt és e mellé elküldi a feladó a hozzá tartozó kulcsot aszimmetrikus titkosítással kódolva. A szimmetrikus titkosításhoz használt kulcsot véletlenszám-generátorral állítják elő, és jellemzően csak egyszer használják fel. Ezt a kulcsot session key-nek is nevezik. A session key kis mérete miatt a titkosítása relatív gyorsan történik.
A folyamat a következőképpen zajlik le a feladó és a címzett között:

• előállítják a szimmetrikus kulcsot
• ezen szimmetrikus kulcs segítségével titkosítják az adatot
• a címzett nyilvános kulcsa segítségével titkosítják a szimmetrikus kulcsot
• a titkosított adatot és titkosított szimmetrikus kulcsot elküldik a címzetthez
• a címzett saját titkos kulcsa segítségével dekódolja a szimmetrikus kulcsot
• a szimmetrikus kulcs segítségével dekódolja az adatot

Őszi Arnold

Óbudai Egyetem Bánki Donát Gépész és Biztonságtechnikai Mérnöki Kar
oszi.arnold@bgk.uni-obuda.hu

Kapcsolódó írásunk

Személyes adatok korszerű informatikai védelme a gyakorlatban

Dr. Pataki Gábor, adatvédelmi szakjogász és Molnár Gábor, az L-Tender Consulting ügyvezetője a személyes adatok kezeléséről beszélt az MBF III. Konferenciáján. Előadásukban adataink védelmének fontosságára hívták fel a figyelmet.

Sokan nincsenek tisztában, hogyan védjék a saját és partnereik, munkatársaik adatait. A Nemzeti Adatvédelmi és Információszabadság Hatóság 2012-ben 18 600 000, 2013-ban 20 550 000 forint bírságot szabott ki a helytelen adatkezelésért, és több mint 30 eljárás folyamatban van.

Ellenőrzések

Az ellenőrzések során kiderült, sok helyütt, nagyvállalatoknál, önkormányzatoknál nincs megfelelő adatkezelési utasítás.
Idén különös figyelmet fordítottak a társkereső oldalak adatkezelésére, főként a 18 éven aluliak védelmére, és volt egy 3 milliós bírság ebben a témakörben. Vizsgálták a munkaerő közvetítőket is, hogyan kezelik a jelentkezők adatait, hiszen rengeteg magánszemély adatait gyűjtik össze. A legutóbbi bírság összege1 millió 200 ezer forint volt. Az előadó hangsúlyozta, nagyon fontos megfelelő figyelmet fordítani a szerződések tartalmára.
Adatkezelési szempontból lényeges vizsgálati szempont a követeléskezelés, a termékbemutatók, az adatbázisok vétele–eladása és még sok más terület is.

Személyes adat

Mi számít személyes adatnak? Gyakorlatilag minden: a névtől, a születési időtől kezdve az internet használata is, hiszen itt is nyomon követik szokásainkat.
Mindenki érintett, jobban vagy kevésbé, aki bármilyen tevékenységet végez. Egy átlagos magyar cégnél ott vannak a munkavállalók adatai, ha családi adókedvezményre jogosult, a házastársé is, ha elektronikus beléptetőrendszer van a cégnél, további adatokat gyűjtenek. Gyűlnek az adatok az állásra pályázók beküldött önéletrajzaiból is, s általában szabályozatlan, hogy ezeket az adatokat meddig tárolják.

Az előadás

Hatósági ellenőrzések

A hatósági ellenőrzések nagy része bejelentés alapján történik, elégedetlen ügyfél, a konkurencia, elküldött munkatárs tesz bejelentést. A jogosulatlan adatkezelés súlyos esetben akár 3 évig terjedő börtönnel is büntethető bűncselekmény, bár a gyakorlatban főleg pénzbüntetéssel sújtható szabálysértés, amely a 2011. évi CXII. törvény hatálya alá tartozik.

Belső szabályozás

A szolgáltatáshoz kapcsolódó adatkezelés vállalatonként változik, ezeknél a cégeknél egyedi belső szabályozásra van szükség Az ügyfélszolgálatoknál mindig adatkezelési tájékoztatóval kell kezdeni a beszélgetést, nem lehet úgy fölvenni az adatokat, hogy az ügyfél ne tudja, mi történik vele.

Megoldás az adatkezelésre

Mi lehet a megoldás? Az L-Tender Consulting cég módszere: a helyszínen felmérik, milyen adatokat használnak, audit jelentést írnak, elkészítik a szabályzatot, amely minden egyes adatkezelést rögzít, ezt bejelentik az adatvédelmi a hatóságnak, – a nyilvántartás kötelező – s ha ez megvan, akkor rendben a cég.

Interjú dr. Pataki Gáborral és Molnár Gáborral

Alan Turing elgondolása szerint öt perces chat beszélgetés során az ember képes kiszűrni, hogy géppel beszélget-e vagy sem. Azonban az 1950-ben írt tanulmány alapján felállított teszten egy magát Eugene Goostmannak kiadó számítógép átment, megtévesztve a vele kommunikáló szakértők 33 százalékát.

A Turing teszt lényege, hogy a gép emberszerű vonásait vizsgálja meg, mennyire képes meggyőző lenni az MI, hogyan tud párbeszédbe elegyedni az emberrel. A teszt során írott szövegben kell kommunikálnia a tesztalanyokkal egy-egy embernek, viszont a tesztalanyoknak csak az egyike valódi személy, a másik egy számítógép. A teszt lényege, hogy a tesztalanyok meggyőzzék chat partnerüket a saját valódiságukról. A sikeres teszthez a kísérletben résztvevők 30 százalékának meggyőzése szükséges, ami eddig egyetlen számítógépnek sem sikerült.

A mostani eredmény 3 százalékkal szárnyalta túl a szükséges értéket, ami elsőre nem tűnhet soknak, de a kutatók állítása szerint már további fejlesztésekre fogja sarkallni a szakembereket, és rövid időn belül ugrásszerű fejlődés várható a mesterséges intelligencia területén. Azonban már a 33 százalékos megtévesztés is rendkívül magasnak számít, és komoly biztonságtechnikai problémákat vet fel, hiszen az online kommunikációban eddig is komoly veszélyforrást jelentettek az előre programozott számítógépek, amelyek rendszereket terheltek le, illetőleg adatokat próbáltak lopni a felhasználóktól pusztán annak segítségével, hogy egy másik embernek adták ki magukat. Amennyiben a mesterséges intelligenciának ilyen irányú felhasználása ugrásszerű fejlődésnek indul, a biztonságtechnikai szakembereknek is fel kell készülniük azoknak a támadásoknak a kivédésére, amelyek során MI technológia bevetésére lehetőség nyílik.

Tekintettel arra, hogy az online kommunikáció kizárólag emberi résztvevők jelenléte mellett is hordoz számtalan veszélyt, a „gondolkodó számítógép” megjelenésével újabb veszélyforrások tárulnak fel. 2012-ben már 29 százalékos eredménnyel végzett a teszten ennek a chatrobotnak az elődje, tehát mindössze két évre volt szükség ehhez a szintű fejlesztéshez. Egy olyan világban, ahol a mesterséges intelligencia eredményesen képes elhitetni magáról, hogy egy mindössze 13 éves ukrán kisfiú (a legutóbbi, sikeres teszt során így történt), a biztonságtechnikai szakembereknek komoly kihívásokkal kell majd szembenézniük. Habár Murray Shanahan, az Imperial College London mesterséges intelligencia kutatója erősen vitatja a teszt eredményességét, az MI fejlődését senki sem hagyhatja figyelmen kívül.

Forrás: Naked Security

Kapcsolódó cikkek:

A biztonsági szakembereknek jól kell érteniük az informatikához (is)

A hónap fenyegetése a drive-by letöltés

Védd magad – és az adataidat!

IT biztonsági trendek

A drive-by-download olyan malware letöltést jelöl, mely a háttérben fut észrevétlenül, a felhasználó tudta és beleegyezése nélkül. Az ilyen kéretlen letöltés a böngészők, illetőleg a böngésző plug-in-ek sebezhetőségét használja ki.

Hogyan működik?

A hacker rejtett, rosszindulatú tartalmat helyez el egy weboldalon beleszőve a drive-by-t aktiváló kódokat a magába a weboldalba. Ezáltal nem kell a felhasználót egy adott felületre csábítania, hanem védett, hiteles weboldalak betöltésével tudja megfertőzni a gépet. Amint a felhasználó betölti a felületet, a drive-by aktivizálja magát, megváltoztatja a böngésző működését, és feltűnésmentesen elindítja a háttérben a malware letöltését.

Kell-e aggódni a veszély miatt?

Érdemes. A drive-by letöltés észrevétlenül működik, és megakadályozni is nagyon nehéz. A böngészők nagy része tartalmaz olyan hibafaktorokat, amelyeket az ilyen típusú programok ki tudnak használni, nem beszélve a zero-day támadás lehetőségéről, amikor egy eddig még publikálásra nem került szoftverhibát aknáznak ki a drive-by letöltés programok.

Hogyan lehet védekezni ellene?

Hatékony endpoint/végpont biztonsági szoftver, valamint web biztonsági filter együttes használatával csökkenthető a kockázat. Érdemes biztonsági patcheket is beszerezni a böngészőhöz, valamint olyan alkalmazásokat, amelyek a zero-day támadásokat hivatottak kivédeni (pl. F-Secure DeepGuard 2.0 vagy Cyberoam WAF).

Forrás: Dana Tamir, igazgató, Trusteer biztonsági vállalat, IBM

Kapcsolódó cikkek:

 Hibrid IT előadássorozat és képzés Magyarországon

Védd magad – és az adataidat!

 IT biztonsági trendek

Az okostelefonos alkalmazások veszélyei

A NetAcademia május 22-én hetedik alkalommal rendezi meg szokásos tavaszi konferenciáját, ahova főként a biztonsági technológiák iránt bitszinten érdeklődő szakembereket várja előadásokkal etikus hekkelés témában. A konferencia helyszíne ezúttal a Lurdy Mozi lesz, és az idei rendezvényen a közösségi médiában előforduló visszaélések is szerepet kapnak majd.

A legújabb számítógépes hekkelési technikákat és kivédésüket évről évre bemutató egynapos összejövetelen ezúttal meglepő bemutatóra készülnek a konferencia előadói. Egy ma már elavultnak számító mobiltelefon segítségével indítják el a negyedik GSM szolgáltatót, melyre majd 10 méteres körzetben lehet 1 órán keresztül rákapcsolódni az idei Ethical Hacking Konferencián. A rendezvényt szervező NetAcademia Oktatóközpont ügyvezető igazgatója, Fóti Marcell így nyilatkozott a bemutatóval kapcsolatban: „Ma már szinte minden tudható a régebben az ismeretlenség homályában rejtőzködő GSM szabványról, s persze annak hibáiról is. Tomcsányi Domonkos előadása jó példa arra, hogy bárki által beszerezhető információk és eszközök segítségével milyen egyszerű egy fantom GSM szolgáltatást indítani, majd azon keresztül félrevezető hívásokat kezdeményezni, és hamis SMS-eket küldeni.”
Kovács Zsombor, a Deloitte képviseletében a kínai okostelefonok biztonságtechnikai buktatóit fogja elemezni a rendezvényen, valamint téma lesz az ilyen típusú készülékek operációs rendszerének túlzott mértékű adatkiszivárogtatása is.

A közösségi média határok nélküli játéktér

A közösségimédia-szolgáltatások és -alkalmazások ma már olyannyira népszerűek, hogy szinte nincs olyan szervezet, amely ne lenne valamilyen formában elérhető ezeken az oldalakon is. „Az idei Ethical Hacking Konferencián arra is példákat láthat majd a várhatóan 500 fős közönség, hogy ezeken a felületeken mi mindent tud megtenni egy rossz szándékú felhasználó” – tette hozzá Fóti Marcell.
Oroszi Eszter, a GRID CEE Zrt. tanácsadója szenzitív információk megszerzésére, és az azokkal való visszaélés lehetőségeire is mutat olyan módszereket, amelyek segítségével lényeges vállalati, bizalmas információk birtokába juthat egy támadó. Az előadás demonstrálja továbbá, hogyan alkalmazhatóak a közösségi média eszközei kártékony tartalmak terjesztésére.
A 9:00-től 17:00-ig tartó konferencia a JavaScript felhasználásával kapcsolatos biztonságtechnikai problémákra is kitér. Az Ethical Hacking Konferencia programjainak listája a Netacademia weboldalán érhető el, ahol az érdeklődők online jelentkezhetnek a rendezvényre.

Részletes program és jelentkezés: VII. EthicalHacking Konferencia

Kapcsolódó cikk: Az okostelefonos alkalmazások veszélyei

Az általános őrzés-védelmi kockázatok feltárásakor az adatvédelemtől kezdve, az objektum helyén, környezetén át egészen a megbízó tevékenységéig számos szempontot kell figyelembe venni.

Az általános őrzés-védelmi kockázatok ismertetésekor induljunk ki az őrzés-védelem definíciójából, miszerint az őrzés-védelem nem más, mint:
a védendő személy, szervezet vagy objektum rendeltetésszerű működését veszélyeztető szándékos, jogellenes cselekmények megelőzésére, illetve elhárítására irányuló eszközök és tevékenységek rendszere.

Az általános őrzés-védelmi kockázatok esetén olyan kockázatokról beszélünk, amelyek

• a megbízóra,
• a védett objektumra,
• a védett személyre vagy
• a védett vagyonra jelenthetnek veszélyt.

Adatvagyon

Amikor védett vagyonról beszélünk, akkor mindenképpen tekintettel kell lenni az úgynevezett adatvagyonra is. A védendő adat vagy információ jelenléte, alapjában véve őrzés-védelmi kockázatot jelent, de a rendeltetésszerű működést veszélyeztető kockázatok vagy rendkívüli helyzet esetében kiemelt kockázatkezelést igényelhet. Az adatvagyon minősítésétől függően akár jelentős mértékben is növelheti a biztonsági kockázat szintjét, ezért fontos figyelembe venni az őrzés-védelmi kockázatok és ezzel együtt a védelmi feladatokat meghatározásakor is.

Az őrzés-védelmi kockázatok meghatározásánál figyelembe kell vennünk továbbá

• a védendő objektum elhelyezkedését,
• környezetét,
• építészeti jellegéből adódó mechanikai védelmét,
• a telepített mechanikai védelmet
• az elektronikus jelzőrendszereket,
• az élőerő jelenlétét.

Befolyásolhatják a kockázati szintet a környező épületek funkciói, a megközelíthetőség, a környék infrastruktúrája, közbiztonsága is.
Általános őrzés-védelmi szempontból felmerülő kockázatok esetében feltétlenül vizsgálni kell, hogy megbízó milyen egyéb jellemzői lehetnek hatással az őrzés-védelmi feladatra. Kockázatot befolyásoló jellemző lehet a megbízó verseny- vagy a közszférában betöltött szerepe, pozíciója. További kockázatnövelő tényező lehet a megbízó tevékenysége, a tevékenységének különböző vonatkozású hatásai más szervezetekre, vállalkozásokra, a társadalomra vagy akár az egyénre is. Ilyen hatás lehet, például ha a megbízó tőkeerősebb, mint a versenyszféra adott területén a vetélytársai, vagy ha a megbízó tevékenységéből adódóan veszélyes anyagokkal foglalkozik. Kockázatnövelő tényező a megbízó médiaszereplése, illetve annak gyakorisága. Ezek a jellemzők befolyásolják a szolgáltató által védett objektumba belépő ügyfelek körét, az ügyfélforgalom nagyságát, a megbízó közmegítélését, ezáltal a megbízó objektumaiban az őrzés-védelmi feladatokat is.

A védett vagyon ellen irányuló kockázatok kezelése 

Az őrzés-védelem legnagyobb részét az objektumvédelem teszi ki. A hazai bűnügyi statisztikákból kiindulva az ismerté vált bűncselekmények 65 százaléka vagyon ellen irányul (táblázat).

Ismertté vált vagyonelleni bűncselekmények száma és aránya

(Belügyminisztérium Koordinációs és Statisztikai Osztály, crimestat.b-m.hu, letöltés: 2011.11.24.)

Figyelembe véve a bűnügyi statisztikákat az őrzés-védelmi feladatok jelentős részét a vagyon elleni bűncselekmények megelőzése teszi ki. Ilyen típusú kockázatok kezelésére a megbízó részéről megfelelő intézkedés valamilyen be- és kilépési rend bevezetése és az élőerő általi folyamatos fenntartása és ezzel együtt a védett objektumban való tartózkodás szabályozása. Fontos megjegyezni, hogy be- és kiléptetéskor nem csak a személyforgalomra kell gondolnunk, hanem az objektum területére be- vagy onnan kilépő gépjárművekre is. Be- és kiléptetési rend kialakításakor célszerű valamilyen regisztráció bevezetése. A védett objektumba rendszeresen be- és kilépő személyek, például az ott dolgozók és az oda eseti alkalommal be- és kilépni akaró személyek például vendégek, ügyfelek vagy karbantartó személyzet részére. Ezzel együtt szükséges a gépjárművek regisztrációja valamint adott esetben a gépjárművek átvizsgálása is. A regisztráció vagy beléptetés kezelésére alkalmazhatunk csak papíralapú rendszert, elektronikus beléptetőrendszert, illetve a kettő kombinációját. Gyakorlatban a beléptetési rend a védett objektumba történő jogosulatlan belépés kockázatát oldja meg. Az épületben való tartózkodás rendje általában arról szól, hogy az eseti alkalommal belépők épületen belüli mozgásáért ki a felelős, illetve hogy az épületen belül az eseti belépők ne mozogjanak felügyelet nélküli. A vagyon elleni bűncselekmények kockázatának megoldását segíti a kulcskezelési rend, amelyben szabályozva van, hogy különböző helyiségek kulcsait kik jogosultak felvenni, illetve a kulcsok felvételét és leadását hogyan kell dokumentálni.
A vagyon elleni bűncselekmények kockázatát csökkenti az anyagok, eszközök a megbízó területére történő be- és kiszállításának szabályozása. Természetesen ezek az intézkedések elsősorban a megbízó vagyonának, értéktárgyainak a megóvására irányulnak, de ezzel együtt növelik a védett objektum területén tartózkodók saját értékeinek biztonságát.

Küldemények kockázata

Kiemelt kockázatú intézmények esetében nem lehet figyelmen kívül hagyni a levél jellegű küldemények kockázatát. Ide tartoznak a rendőrségi szakzsargonban bűnös szándékú robbanó postai küldeményeknek nevezett levélbombák vagy más postai küldeménynek, csomagnak álcázott robbanóeszközök, vagy valamilyen fertőző anyaggal szennyezett levelek, és bizonyos elkövetői körökben egyre inkább terjedő olyan küldemények, amelyek valós fenyegetést jelentő szerkezetet, anyagot nem tartalmaznak, de néhány jellemzőjük megegyezik ilyen küldeményekével. Az ilyen küldemények alkalmasak lehetnek pánik okozásra, a rendeltetésszerű működés megzavarására és speciális felderítő eszközök használata nélkül hatósági eljárás kiváltására, ez pedig a rendeltetésszerű működés részleges vagy teljes leállítását eredményezheti.
A megbízó szempontjából különös jelentősége van az ilyen típusú kockázatnak, hiszen ez a fajta kockázat egyszerre hordozza magában az életveszély, valamint jelentős anyagi kár bekövetkezésének és a rendeltetésszerű működés zavarásának vagy leállásának lehetőségét. Ilyen kockázat hatásos kezelése csak speciális eszközökkel lehetséges. Ha nincs a védett objektumra és a védelmi feladatot ellátó biztonsági szolgálatra vonatkozó olyan intézkedési rend, amelyet a rendőrség elfogad, akkor egy esetleg bekövetkező ilyen esetben az intézkedő hatóság kiürítéssel, azaz a rendeltetésszerű működés teljes felfüggesztésével kezdi meg az intézkedést.

A Magyar Biztonsági Fórum 2014-es szeminárium-sorozatának következő eseménye: Az adatvédelem napja.

Időpont
2014. január 23., 09:00-tól 16:00-ig

Helyszín: Forwarders Plaza
2045 Törökbálint
Tó Park utca 3.

A részletes tematika letöltése

A jelentkezési lap letöltése

 Az informatika biztonságáról, fejlődési irányvonalairól és stratégiákról tartott előadást Fábián Zoltán, a Computerworld B2B ágazatvezetője a III. MBF Konferencián.

Az IT biztonság témája aktuális: nemrég került nyilvánosságra, az amerikai szakszolgálatok az interneten kémkednek a különböző országok után. Ennek fényében hangsúlyozta az előadó: Titkosítsunk! Fábián Zoltán ebben a témakörben három területtel foglalkozott előadásában: az IT biztonsággal, a trendekkel, s azzal, hogy milyen stratégiákat kövessünk.

Az IT egyre hangsúlyosabb szerephez jut az üzleti életben, a kiváló IT ma már versenyelőnyt jelent. Az informatikai biztonság létfontosságú, alapvető érdek, hogy úgy működjön a rendszer, ahogy kitalálták. A rendszert azonban védeni kell. Nem csak a filmekből ismert adatlopások okozhatnak súlyos károkat, a szándékos vagy véletlen tényezők is, és le is lassíthatják a rendszert.
Egy felmérés szerint a külső, rosszindulatú károkozás kevesebb, mint a negyede a rendszert gyengítő tényezőknek, körülbelül ilyen arányú a belső, szándékos károkozás. A hibák 19 százaléka az oktatás hiányosságából származik, ha például a rendszergazda nem megfelelően frissít, sok a vírusfertőzés. Az adatszivárgás a károk 21 százalékát jelenti – ebben gyakran maguk a felhasználók hibásak, rengeteg helyen kiderült, hogy 123456 volt a jelszó.

Tekintse meg az előadásról készült videót

A vírusfertőzés egyre veszélyesebb, több országban tizenéves éves gyerekek irkálják a hekker programokat, egészen egyszerű dolgokon tud elcsúszni egy vállalkozás élete. A vírusirtó rendszerek fejlesztésével igyekeznek mindig egy lépéssel előbb járni, mindig a legfrissebbet érdemes alkalmazni.

Irányvonalak

A trendekről szólva kiemelte: várhatóan mamutméretű vállalatok és sok pici vállalkozás lesz, átalakulnak a munkavégzési szokások. A multik méreteik miatt kevésbé rugalmasan működhetnek, sok tevékenység kikerül külső cégekhez, s ezzel az adatok is kikerülnek.
Egyre többen használnak táblagépet, okostelefont – ezekbe bármilyen adatot, sőt vírust bárki beírhat, ez óriási fenyegetettséget jelent. (Néhány cégnél a vendégnek a portán le kell adni a telefont.)
A felmérések szerint Európában rossz a helyzet, a vállalkozások 63 százaléka digitális középkorban él, mielőbb fel kell zárkóznunk.

Alapvetően fontos a biztonsági normák betartása, a valóban titkos jelszó, a Windows, a vírusirtó állandó frissítése, s hogy megbízható legyen a szállító és az üzemeltető.
Nagyon hasznos a mélyebb elemzés, szakértő biztonsági céggel felméretni, mennyire sérülékeny a rendszer, és mit kell tenni a védelmére. Érdemes olyan eszközöket alkalmazni, amelyek szétválasztják a vállalat és a magánélet ügyeit.

Az alkalmazottak egyre több cégnél használják saját mobil eszközeiket, az okostelefonokat és a táblagépeket a munkával kapcsolatos feladatokra. Ez az új irányvonal arra kényszeríti a kis és nagy cégeket, hogy alkalmazkodjon a „Hozd magaddal a telefonod” (Bring Your Own Device, BYOD) szokáshoz, és megvédje az IT-hálózata biztonságát. A Security Sales & Integration írásában vizsgálja az okostelefonok munkahelyi használatát az Egyesült Államokban.

A biztonsági és az informatikai vezetők nem repesnek az örömtől a „Hozd magaddal a telefonod” (Bring Your Own Device, BYOD) elterjedése kapcsán, hiszen előfordult már, hogy, az alkalmazott a saját okostelefonján keresztül vett le a céges hálózatról anyagot oly módon, hogy közben a vállalati hálózatot rosszindulatú támadásnak tette ki. Az ilyen esetek védekezésre ösztönzik a vállalkozásokat, és olyan alkalmazásokat adnak munkatársaiknak, amelyekkel már biztonsággal használhatják a munkához saját készülékeiket. Növeli a BYOD gyors terjedését, hogy egyre több alkalmazás könnyen hozzáférhető a felhőalapú szolgáltatások számára.

Felmérés

Egy, a közelmúltban készített tanulmány szerint a Cisco partner cégeinek 90 százalékánál használják az alkalmazottak a saját okostelefonjaikat a munkájukhoz. Ezen belül is a munkatársak 39 százaléka nem védi jelszóval a készülékét, emellett 52 százalékuk hozzáfér a nem védett céges WiFi-hálózathoz.

Szabályozás

Miközben a mobil eszközök növelik a munkavégzés rugalmasságát, a cégek próbálják szabályozni az adatok hozzáférési jogosultságait, állítja Paul Boucherle, az Ohio-i székhelyű Matterhorn Consulting munkatársa. „Az IT részlegek még csak a kezdeti szakaszában vannak a szabályozásnak, mert ez nagyon munka” – tette hozzá Boucherle.

NFC-s megoldások

Kézenfekvő megoldásként egyre több biztonságtechnikai alkalmazás is használja a mobil eszközöket. Közel már az az idő, amikor a rövid hatótávolságú vezeték nélküli kommunikációra (Near Field Communication – NFC) képes okostelefonokat (NFC-képes okostelefonok) széles körben használják a beléptetőrendszerekben és hitelesítő alkalmazásokban.

Fejlesztések

Azok a fejlesztők, akik időben befektetnek munkát és pénzt vezető szerephez juthatnak a BYOD piacon mondta Julian Lovelock, a HID Global alelnöke.
„Ez nem fog egyik napról a másikra menni, de a mobilalapú hitelesítés lesz az egyik olyan terület, ahol a befektetés nagyon gyorsan megtérül. A hitelesítést egyaránt lehet használni a fizikai hozzáférés esetében, mint például a beléptetés és a cyber térben is az adatokhoz való hozzáféréshez.”

Négy lépés

A Vector Resources, IT vállalkozás a kaliforniai Torrance-ból már technológiákat és szolgáltatásokat is biztosít BYOD alapú alkalmazásokhoz, bizonyítva a mobil eszközök gyors terjedését a biztonsági és IT területen. A gomba módra szaporodó alkalmazások egyike egy egészségbiztosítási pénztáré, ennél az alkalmazásnál fontos volt az elszámolásokhoz, hogy az ügyfelek használhassák okostelefonjaikat.
„Sok vállalkozás foglalkozik védett egészségügyi információk továbbításával elektronikus rendszerek számára. Sokan használják szerződött orvosok és egészségügyi dolgozók ezeket az alkalmazásokat, és ők nem szeretnék, hogy bárki is korlátozza a mobil eszközök használatát” – tájékoztat Patrick Luce, a Vector igazgatója. „Óriási a kereslet a megfelelő biztonságú BYOD előírások és technológiák iránt.”

Az igazgató hozzátette, négy fő lépésből áll BYOD alkalmazása a vállalkozásoknál:

• a BYOD használatának szabályozása,
• a megfelelő biztonsági technológiák kialakítása a mobil eszközök használatához,
• a szoftverlicencek megvásárlása,
• a felhasználók képzése.

Képzés

A fejlesztőknek megfelelően ki kell képezniük a telepítőket a BYOD technológiákkal kapcsolatban. Bár ez csak egy része a gyorsan fejlődő területnek állítja Chuck Wilson, a rendszerfejlesztők szövetségének, a National Systems Contractors Association (NSCA) ügyvezetője. Majd hozzá teszi a különféle szakmai szövetségeknek is fontos szerepe lesz majd a BYOD legjobb megoldásainak megismertetésében, elterjesztésében, a kockázatok feltárásában és a nyereség növelésében.
„Nem szabad gondolkodás nélkül átvenni a technológiákat, mivel ezek számos kockázatot rejtenek magukban. A telepítőnek kettős feladata van, saját üzleti szempontjai mellett az ügyfele biztonságára is vigyáznia kell.”

Forrás: Security Sales & Integration, securitysales.com

Előfordulnak gondok abból, ha a biztonsági szakember nem kellően jártas az informatikában. Mára az IT világa annyira áthatja a biztonságtechnikát, hogy elengedhetetlen a biztonsági szakemberek megfelelő informatikai képzése.

Nemrégiben Ausztráliában okozott gondot a biztonsági szakemberek nem elégséges számítógépes tudása. A Googl Wharf 7 office programján keresztül hackelte meg valaki épületfelügyeleti rendszerek bejelentkezési adatait, és átvette az irányítást a beléptetőrendszer felett. Ha a rendszer a távoli hozzáférés érdekében kapcsolódott az internethez, de nem a rendszergazda bejelentkezése volt az alapértelmezett, akkor a hacker könnyen betört a rendszerbe, és szerezte meg a bizalmas adatokat és vette át az ellenőrzését az ajtók felett.

Elég kínos az eset, de mit tegyünk, hogy ez ne történhessen meg még egyszer?

• Nem kell mindent csatlakoztatni az internethez

Gyakran előfordul, hogy csak azért csatlakozunk egy helyi hálózathoz vagy az Internethez, mert lehet. Végfelhasználó esetén ez nem gond, de ha a telepítő, a szerelő vagy a biztonsági vezető csatlakozik bárhol a hálózatra, akkor nem kellő védelem esetén betörés áldozata lehet. Így ha épp nincs szükség a távoli hozzáférésre, akkor nem csatlakozzon az Internetre.

• Szoftverei mindig legyenek naprakészek

Az említett ausztráliai esetben azért lehetett könnyen betörni a beléptetőrendszerbe, mert volt egy hiba a szoftverben, amely megakadályozta, hogy bárki megváltoztatása a rendszer alapértelmezett jelszavát. De nem csak ez volt a gond, mert ehhez a programhibához már volt javítás, de ezt nem telepítették. A szoftverek naprakészen tartása lényeges, mégis egyszerű lépés a számítógépes bűnözés elleni védekezés során.

• Információcsere

Beszélgessen az IT szakemberekkel, és beszéljen az ügyfél IT munkatársával. Sok biztonsági szakember kerüli a kommunikációt, mert attól tart, tudatlannak nézik. Házon belül is az IT-szakemberek is rengeteg tudással rendelkeznek, nem árt kérdezni őket, és fontos az is, hogy tudják, mit is tesz a biztonsági szakember. Érdemes megtudni tőlük, milyen biztonsági intézkedéseket tesznek a cég rendszereinek védelme érdekében.

• Önképzés

Tanulja meg a legfontosabb internetes biztonsági lépéseket, mert így képes lesz követni a beszélgetést az IT-szakemberekkel. Ezzel elnyeri a bizalmukat, és ha valaha megtámadják a rendszert, akkor bízhat abban, hogy mindent megtett ennek elkerülése érdekében.

A fizikai és a digitális biztonság területén átfedés van, és ez egyre nő. A biztonsági vezetőknek, telepítőknek, szerelőknek folyamatos továbbképzésre van szükségük a számítógépes biztonságterületén. A naprakész tudás segít megelőzni a veszélyes helyzeteket a biztonság területén.

Colin Bodbyl, a Zeecure.com alapítója

Forrás: www.ifsecglobal.com