Please enable JavaScript.

Coggle requires JavaScript to display documents.

16. Síťové aplikace a bezpečnost II (Autentizace a šifrování (autentizační…

- - - - s magn. proužkem - obs. neměnnou informaci - možné přepsat (nejsou bezp.)
      - čipové karty - operace s daty (SIM karta)
    - - tajemství v kalk. a autent. serveru/synchro. hodinách
    - - hw klíč
      - přidává PC novou fci - umožňuje sw zjistit jeho přítomnost
      - spuštění apl. - ověření připojení klíče k PC
  - - - negarantuje novost
      - uložení - útok
      - šifrováno symetr. klíčem
      - A pošle heslo B
      - př.: SMTP, POP3, IMAP,...
      - B mám v databázi hesla - najde záznam A - porovná
      - autentizace
    - - netrefíme se - blok - jiný mechanismus
      - --> zjednodušení PINu
      - posílení bezp. - omezujeme počet pokusů
      - nemůžu použít u hesla - někdo by mi mohl zablokovat přístup (denial of service)
      - předpoklad - vlastním token (mobil...) - dvoufaktorová autentizace
  - - - symetrická
        
        tento sym. klíč - zašifr. V asymetrické šifry
        
        dešifr. - majitel S
        
        text - sym. + náhodně gener. klíč
        
        typy
        
        proudové
        
        text po bitech
        
        FISH, RC4
        
        blokové
        
        blok většinou 64b
        
        AES (128b), Blowfish, DES, IDEA,...
        
        rozdělí text na bloky stejné vel. + doplní poslendí blok na = velikost
        
        často společně s asym.
        
        + nízká výpočetní náročnost
        
        1 klíč - šifr i dešifr
        
        - sdílení S - předem domluva
      - asymetrická
        
        utajení komun, el. podpis - možnost prokázat autora
        
        klíč
        
        veřejný - šifrování - příjemce nemusí znát
        
        soukromý - dešifrování - odesílatel nezná
        
        šifr. i dešifr. jiné klíče (V, S)
        
        nesdílí tajemství
        
        s veřejným klíčem
        
        princip
        
        dešifrování - S drží v tajnost
        
        klíče matematicky souvisí - podm. - nemožnost z V získat S
        
        příjemce zveřejní V - kdokoliv může šifrovat
        
        jednocestné fce (násobení - snadné, rozklad ne)
        
        šifr: c = f(m, e)
        
        dešifr: m = g(c, d)
        
        elektronický podpis
        
        pošle podpis + zprávu příjemci
        
        ověření - pouze V
        
        uživatel - chce poslat zprávu - spočítá dig. podpis (má S)
        
        ověřitelnost a utajení - podepíše S + zašifruje V příjemce
        
        opačné než asym. kryptogr. - zpráva podepsána S, ověřena V
        
        buď celý dokument / část - otisk (hash)
        
        hašovací fce: jednosměrnost, one-to-one, pevná délka
        
        zástupci
        
        RSA
        
        ElGamal
        
        prolomení - problém diskrétního log. - složitý problém
        
        šifr. data 2* delší než nešifr.
        
        DSA
  - - - = dig. podepsaná zpráva
      - obs.: jméno vlastníka V + V (+ doba platnosti + podpis vydavatele certifikátu)
- - - - sledování využití
    - - šifrování
    - - oprávnění použít / odepření přístupu
    - - ochrana před modifikací
    - - vůči systému i kom. partnerovi
      - a) heslo
      - b) s využitím náhodných čísel
        
        náh. číslo posláno B --> B zašifruje + pošle zpět číslo a zprávu; řeší problém čerstvosti
      - c) vzájemně s využ. náhodných čísel
    - - potvrzení přijetí
  - - - FTP -> FTPS
      - HTTP -> HTTPS
      - protokoly apl. vrstvy nutno upravit
    - - IPSec
        
        ESP encapsulation security payload (+důvěrnost)
        
        módy
        
        transportní (IPSec hlavička mezi IP hlavičku a tělo zprávy)
        
        tunelovací (IPSec hlavička před IP hlavičku + nová IP hlavička)
        
        AH - authentication header (autentizace, integrita)
        
        není třeba upravovat aplikace, ale nemá autom. prostředky pro správu klíčů
        
        kolekceprotokolů pro zajištění bezpečenosti
    - - PGT - pro zasílání bezp. pošty (důvěrnost, integrita, autentizace, nepopíratelnost), jako dig. podpis
      - vlastní mechanismy aplikací
- - - - klient si dle certifikátu ověří autentičnost serveru (certifikát obs. V serveru)
      - klient vygeneruje základ šifr. klíče - šifr. komunikace - zašifruje ho pomocí V, pošle
      - server - odpověď - obs. certifikát serveru
      - server - S - základ šifr. klíče - generace hlavního klíče
      - klient - požadavek na SSL spojení (+ infa)
      - potvrzení - šifrování tímto klíčem - končí handshake
      - V - zveřejnění - rozšifruje jen majitel S
      - ustanoveno spojení - šifrované
      - asymetrická šifra - každá strana dvojce klíčů (S, V)
    - - důvěra k mnoha certifikátům
        
        v PC předinstalováno několik CA
        
        těm se automaticky důvěřuje
        
        může se tam dostat ale i jiná CA
      - podepsaný certifikát je dobrý certifikát
        
        předpoklad uživatele
        
        mohl podepsat útočník
      - povolení nebezpečených šifer
        
        prolomení
        
        můžou být povoleny prolomené
      - provozovatel serveru
        
        HTTPS/SSL dokáže zjistit důvěryhodnost jen na cestě od klienta k serveru + naopak
        
        provozovatel serveru - může nešifrovaně uložit do nechráněné databáze
  - - - vytváří log. kanály (SA) - vždy jednosměrné (duplex - 2 SA)
  - - - b) aplikační brány (proxy fw)
        
        komunikace - 2 spojení
        
        klient - iniciuje - připojí se na apl. bránu - ta zpracuje spojení
        
        brána - na zákl. požadavku - otevře nové spojení k serveru
        
        odpověď zachytí brána - předá klientovi
        
        server nevidí adresu klienta, ale jen brány (NAT)
        
        + vysoké zabezpečení
        
        na aplikační vrstvě
        
        zcela odděluje sítě
        
        - náročné na HW, rychlost
      - c) stavové paketové filtry
        
        + zrychlení
        
        - nižší bezpečnost než u bran
        
        kontrola stejně jako paketové + uložení infa o povolených spojeních
      - a) paketové filtry
        
        nejjednodušší
        
        přesně určují, z jaké adresy a portu + kam budou pakety doručeny
        
        na síťové a transportní vrstvě
        
        + rychlost
        
        - nízká úroveň kontroly spojení (zneužití otevřených portů)