Műszaki vagy emberi tényezőktől függ inkább? – Adathalászat kontra adatvédelem

Kik fenyegetik az információt, mint a XXI. század legértékesebb vagyontárgyát? Az informatikai biztonság elsősorban nem is műszaki kérdés. Bár a legtöbb kiadványban főként ezeket tárgyalják, ki kell emelnünk, hogy a biztonság elsősorban az emberi tényezőtől függ. A legnagyobb fenyegetést a számítógépekre és az informatikai adatokra nem a külső behatolók, hanem a saját alkalmazottak jelentik.

Az Egyesült Államokban az informatikai bűnözés által okozott, felderített és közölt kár meghaladja az éven­kénti 70 milliárd dollárt. A számítógépek nem követ­nek el bűnöket, azt az emberek követik el, akik bűnös célra használják azokat. Így tehát a rendszer védelmé­nek hatékonyságát az emberi oldalra történő odafigye­lés növelheti elsősorban, azaz „Soha ne feledkezzünk meg az emberről, amikor gépről beszélünk!”

Főként tehát a saját alkalmazottakra kell odafigyelni. A hálózatból kívülről behatolók és vírusterjesztők na­gyobb publicitást kapnak, így jobban felhívják a figyel­met a gyenge pontokra (az interneten napi 72 000, a NASA hálózatába évi 7000 detektált betörési kísérlettel, és naponta 6 új vírus megjelenésével számolhatunk), de az igazi veszély az intézményen belül van. Nincs az a pitbull-mutációkkal védett páncélterem, titkosító-, vagy bármiféle biztonsági rendszer, amit kellő isme­rettel, főleg belülről és csoportosan ne lehetne feltörni.

Az Egyesült Államokban külön országos központi, informatikai bűnözést nyilvántartó adatbank műkö­dik, amelynek néhány statisztikai adatát szemlélteti 1. ábránk. Ezen érdemes elgondolkodni!

Közismert, hogy a nyomozói gyakorlatban a “moti­váció, módszer és alkalom”-elvét alkalmazzák. A mo­tivált elkövető, ha hozzáférhet a rendszerhez, akkor biztosan megtalálja az alkalmat, és kidolgozza a módszert a károkozásra. A kormányzati és üzleti számítógépekbe behatoló kamaszok többé-kevésbé véletlenszerűen lesznek bűnelkövetők. Egy jelszó kita­lálása jó passzió. A külső elkövetőnek találgatnia kell, míg a belső alkalmazott tudja, hogy hol vannak a gyen­ge pontok és hol találja az érzékeny állományokat.

Az informatikai bűnözők gyakran a legokosabb és a legjobban képzett szakemberek közül kerülnek ki, akik úgy érzik, hogy a feladatukat képező rutinszerű munkánál jobbak a képességeik. Ez különösen a fiata­labbaknál fordulhat elő, akiknek még nincs professzi­onális felelősségérzetük. A motiváltság, a munkahelyi kihívás magas szintjének fenntartása elkerülhetővé teszi ezt a biztonsági problémát.

Az informatikai bűnelkövető azonban nem szükség­szerűen jól képzett szakember, lehet egy kis beosztott is, aki egészen véletlenül jön rá a lehetőségeire: “Jé, a géppel ezt is meg lehet csinálni!” Amennyiben elégedett és lojá­lis, akkor ezzel az újonnan megszerzett tudással nem fog ártani. Ha viszont sérelem éri, akár több hónappal ké­sőbb is – sőt, az intézménytől kilépve, sokszor pont a kon­kurencia kötelékében – felhasználhatja tapasztalatait.

Az informatikai bűnözők sokszor a bizalmi pozí­cióban lévők köréből kerülnek ki, akik az általuk jól ismert, normális munkarutinokat használva árthat­nak a rendszernek. Bármely biztonsági terv esetén ezen egyének tevékenységét kell gondosan felügyelni szoros ellenőrzéssel és hatékony nyilvántartással.

A bűneseteket legtöbbször nem egyedül követik el, ezek felében bűntársak működnek közre, mivel az egyén rátermettségét meghaladó képességekre lehet szükség, sőt, egy intézményen belüli elkövetőnek külső partnerei is lehetnek (2. ábra).

Az emberi tényező adminisztratív szabályozásának igen jó, már az ’50-es években kidolgozott irodalma van, álljon itt néhány általános fogás. Rendkívül fon­tosak az egyértelmű, és részletes munkaköri leírások, továbbá elengedhetetlen a kötelezettségek szétválasz­tása, hogy senkinek ne lehessen jogosultsága a teljes rendszer feletti felügyeletre. Nagygépes környezetben a rendszerelemzők, az operátorok és az adatbevivők külön posztokat töltenek be és mindegyikük csak a rendszer egy részével foglalkozik. Hálózatba kötött gé­peknél viszont létezik egy központi rendszer­menedzser. Főként a külföldi bankoknál bevett szokás a rövid, de váratlan és kötelezően kivett szabadságok elrendelése. A sikkasztási folya­matokat egy-egy rövid szabadságolás derékba törheti. Elengedhetetlen, hogy a cégek a kulcspo­zíciókban lévő alkalmazottakat tegyék elköte­lezetté, s hogy rotálják a beosztottakat a mű­szakok, a számítógépek vagy projektek között. A rendszernek legyen alapvető szolgáltatása a programok és adatállományok használatának naplózása. Fent kell tartani a fizikai biztonságot. Létesíteni kell tehát olyan helyeket, ahova még a programozók és a rendszerelemzők sem léphet­nek be. Fenn kell tartani olyan jelszórendszert, amely csak a jogosultakat privilegizálja. Kilépő dolgozók esetén a cégvezetőknek azonnal be kell gyűjte­niük a kulcsokat, azonosító kártyákat és egyéb biztonsági eszközöket, s törölni kell az általuk használt jelszavakat.

Az internetes fenyegetésekről

Mivel az internet természetéből következően a szó szo­ros értelmében az egész világ számára nyitott, bizo­nyos alkalmazások – mint például üzleti tranzakciók lebonyolítása, vagy éppen államigazgatási ügyek inté­zése – számos problémát vetnek fel az információcsere titkosságát és a hozzáférés megfigyelését, ellenőrzését illetően. Ezek ugyan technikailag bizonyos mértékig megoldhatók a tárolt és a továbbított adatok titkosí­tását, rejtjelezését („kódolását”) szolgáló eszközökkel, de mégsem hagyhatók figyelmen kívül. A biztonság és a kockázatelemzés szempontjából teljesen kockázat­mentes állapot az interneten sem lesz soha elérhető!

Az interneten kétféle bűncselekményt lehet elkövet­ni. Az egyik a hagyományos bűncselekmény, mely­hez az internet – hasonlóan más eszközökhöz – csupán egyszerű kommunikációs eszközül szolgál (nem informatikai bűncselekmény például az infor­mációátadás egy ékszerüzlet kirablásához). A másik, amelyben magát a hálózatot és a számítástechnikai eszközöket használják fel jogellenes célok érdekében (informatikai bűncselekmények, főképp csalások). Ez ugyanakkor nem jelenti azt, mintha a hálózat mentes lenne a nem informatikai bűncselekményektől. A ká­bítószer-kereskedelemmel kapcsolatos információk, valamint a terrorista cselekményekhez és a maffiate­vékenységhez adott instrukciók mellett nagy mennyi­ségű pornografikus anyag is van forgalomban a hálóza­ton. Azon túl, hogy ezek támadást jelentenek a közrend és a közerkölcs ellen, felmerül a kiskorúak számára való hozzáférhetőség kérdése is. Jelen vizsgálatunk körén ez utóbbiak ugyan kívül esnek, de az informatikai bűn­cselekmények nagy mennyisége arra késztet minket, hogy figyelmünket a „nem-hagyományos” kérdésre összpontosítsuk.

Az informatikai bűncselekmények vonatkozásában négy olyan magatartástípust érintünk, amelyek káros hatással lehetnek az internet-felhasználókra:

Engedély nélküli hozzáférés (csatlakozás): Gyakran a bűncselekmények első lépését alkotja, és olyan fel­használót feltételez, aki engedély hiányában tudato­san csatlakozik rá egy hálózatra, kiszolgálóra vagy fér hozzá egy fájlhoz (például egy email postafiókhoz), vagy olyat, aki véletlenül létesít csatlakozást, fér hozzá valamihez, de tudatosan úgy dönt, hogy fenntartja az engedély nélküli kapcsolatot.

Kárt okozó tevékenység vagy kárt okozó anyagok közzé­tétele: Ha a bűnelkövető egyszer bejutott egy kiszolgá­lóba, lehetősége nyílik, hogy fájlokat tulajdonítson el, azokat lemásolja, vagy kárt okozó információt ter­jesszen, mint például vírusokat vagy férgeket. Annak ellenére, hogy az ilyen magatartás nem sorolható be egyértelműen egyetlen pontosan meghatározott jogi kategóriába sem, gyakran minősítik szerzői jogi ka­lózkodásnak (az adatok eltulajdonítása, eltávolítása és használata az adatok tulajdonosának tudomása nélkül) vagy szabotázsnak (az adatok vagy a szoftve­rek megváltoztatása, módosítása vagy megsemmi­sítése, amelynek hatásaként megbénul a rendszer vagy a kiszolgáló tevékenysége az interneten).

Információ illetéktelen elfogása: Ebben az esetben a ha­cker, észlelve az (interneten) továbbított elektronikus impulzusokat, meg tudja szerezi a nem neki szánt infor­mációt. Amikor az ilyen törvénytelen információszerzés nem az illetéktelen hozzáférés keretében történik, rend­kívül nehéz felderíteni. Megjegyzendő, hogy a fénykábe­lek egy-egy aknafedél alatt igen könnyen „tapperelhetők”.

Előnyös szolgáltatás nyújtása közben adatlopás: A legközis­mertebb adathalászati tevékenységet bátran nevezhetjük a Facebook „Zuckerberg-cselének”. Mi történt a közelmúlt­ban? A kongresszusi meghallgatáson ötből kettőre csak kí­nos, elfogadhatatlan magyarázkodást kaptak a szenátorok.

Hiába a rengeteg figyelmeztetés, az elrettentő példák, sokan még mindig bíznak az ajánlkozásuk és leírásaik szerint csodatevő programokban. Ezek vagy totálisan fe­leslegesek, vagy kártékonyak – több a kár, mint a haszon, az viszont látványos…[1].

Álljon most példaként a Microsoft igen kiváló adatbá­zis-kezelője az MS Access, melynek van olyan kimeneti alak­ja, hogy az értékes szellemi tulajdont jelentő programot kódolva rejti el. Így az mdb (Microsoft Data Base) kiter­jesztésű fájl mde (Microsoft Database Encryted) formá­ban kerül forgalomba – az újabb verziók accdb illetve accde-ként. Na már most, ha rákérdezünk a keresőben a kulcsszavakra, hogy „convert accde to accdb” a negy­venkétezer találat alapján majdnem biztosan máris alkalmazhatunk egy trójai falovat!

A [2]-es publikáció szerint utánanéztek a fenti dolognak, de nagyon úgy tűnik, hogy ingyenes (és megbízható) megol­dás erre nem létezik. Még a fizetős változatok sem képesek teljesen visszaállítani a forrásfájlt, legfeljebb arra van esély, hogy az adattáblákat importálhatják a titkosított fájlból.

A kriminalitás napjainkban tapasztalt mértékű intenzitását részben az ellene folytatott küzdelem nehézségei magyarázzák; nemzetközi szinten általá­ban, de az interneten különösen. Ezek közül az első a jogellenes cselekmény felderítésében és el­követőjének megtalálásában áll. Az informatikai szabotázscselek­ményeket gyorsan végrehajtják, de a kiváltott funkciózavar követ­keztében általában gyorsan fel is fedezik. Ugyanez nem mondható el az engedély nélküli hozzáférés­ről, az információ-elfogásról, vagy a kalózkodásról. Az interneten te­vékenykedő szereplők sokfélesége (felhasználó, hozzáférés-szolgáltató, ki­szolgáló, kiszolgáló-rendszerope­rátor stb.) nem teszi egyszerűbbé annak meghatározását, kit terhel a büntetőjogi felelősség. Így meg­állapítható azon felhasználó büntetőjogi felelőssége, aki szándékosan terjeszt el egy vírust valamely kiszol­gálón, de bizonyos esetekben a kiszolgáló büntetőjogi felelőssége is. A nemzetközi informatikai bűnözés együtt fejlődik az internettel. A használók a világ minden táján megtalálhatók, és így igen nagy a va­lószínűsége annak, hogy a bűnelkövető és az áldozat különböző országok eltérő törvényi szabályozása alá tartozik majd. Habár a nemzetközi jogi együtt­működési megállapodások és a kétoldalú kiadatási szerződések igyekeznek orvosolni a nemzetközi bű­nözés által okozott problémák egy részét, de ezen igye­kezet gyakran ütközik korlátokba.

Ha modemed van, távozz!

A kívülről történő betörésekre hivatkozva – mint a bel­ső hacking utáni második legnagyobb biztonsági koc­kázatra – az igazán profi cégek azonnali elbocsátással büntetik, ha valakinek modem van az íróasztalán. Itt internet-hozzáférés csak a cég megfelelően (tűzfallal) vé­dett hálózatán legális. Sok informatikai betörőprogram használ egy „háborús tárcsázásnak” nevezett technikát, amikor a gép kipróbál több ezer telefonszámot is egy tét­len modem megtalálása céljából. Ha a tulajdonos éppen nem használja a gépét, akkor a hacker hatásosan „el tud­ja fogni”, és hozzá tud férni ahhoz a hálózathoz, amely­hez az adott számítógép kapcsolódik.

Magától értetődik, hogy a jog nem hagyja figyelmen kívül a nemzetközi bűnözés me­redeken emelkedő tendenciáját. Az e tárgyban született nemzet­közi kezdeményezéseken felül az amerikai és a kanadai jog az európai országok többségé­hez hasonlóan kriminalizálta a fent említett háromféle in­formatikai magatartást, vagyis az engedély nélküli hozzáfé­rést (csatlakozást), a kárt okozó anyagok terjesztését és az infor­máció engedély nélküli elfogását. Itt és most nem bocsátkozha­tunk a részletekbe, csak utalunk az [2]-től [4]-es publikációkra. Ez utóbbit 3. ábránkon kiegészítjük a Lord Bacon-féle másik – és meg­hökkentően egyedi – rejtjelező módszerrel.

Az IT-biztonság komplex fo­galma akkor valósul meg, ha a szervezet az újnál újabb fenye­getések ellen dinamikusan ke­zeli az informatikai rendszerrel kapcsolatba kerülő humán erő­forrásokat (vezetők, fejlesztők, kezelők, adminisztrátorok, biztonsági szakemberek, stb.); az informatikai folyama­tokat megvalósító konkrét számítástechnikai eszközöket, rendszereket; az informatikai rendszerek környezetét (ob­jektumok elhelyezése, tápellátása, kommunikációs kap­csolatai, stb.); s a rendszerekre, üzemeltetésre vonatkozó törvényeket, szabályozásokat, előírásokat, dokumentáció­kat, biztonsági elveket (koncepció, stratégia, „politika”).

A legtöbb intézménynél a védelem több okból is tá­vol áll attól, hogy kielégítőnek nevezhessük. Egyrészt a felső vezetők nincsenek teljesen tisztában azzal, hogy a biztonság elsősorban az ő felelősségük és annak ki kell terjedni az egész szervezetre (tisztelet a kivételnek, amint jelen vizsgálatunkban észleltük), másrészt úgy gondol­ják, hogy a biztonság csupán műszaki kérdés, pedig a legbonyolultabb biztonsági rendszert is egy célratörő, főleg megfelelő pozícióban lévő egyén fel tudja törni. A biztonság a munkahelyeken kezdődik és nem csupán a nagy központi feldolgozó csarnokokra vonatkozik. A vé­dekezés kényelmetlenséget okoz, mivel a nem jogosult felhasználók kiszűrésére alkalmazott eljárások a legitim felhasználókat is meggyanúsítva, hátráltatják a munkát. Az intézmények pedig azt szeretnék, hogy a róluk ki­alakult kép kedvező legyen, ennélfogva nagyon sok in­formatikai bűneset azért nem kerül a nyilvánosság elé, mert a felső vezetők félnek a cég „imázsvesztésétől”.

A jó védelmi rendszer az intézmény működésének ve­szélyeztetését minimalizálja; különböző jogosultságot biz­tosít a felhasználók igénye és felelőssége szerint; a felhasz­nálókat egyértelműen felelős­sé tudja tenni az informatikai akciókért; szétválasztja a fel­használókat, a programokat, az adatállományokat és a forrá­sokat; s azonosítja a visszaélési kísérleteket, és védekező lépé­seket tesz.

A piacgazdaság új, komplex követelményeket támaszt és kínál – elég csak gondolnunk az elektronikus postára, vagy (a hazánkban ugyan egyelőre nem túlzottan terjedő) elektro­nikus kereskedelemre. Ezekhez elengedhetetlenek a szigorú azonosítási eljárások, a hozzá­férés-szabályozás és a szervezet adott infrastruktúrájával való együttműködés képes­sége. Vegyünk ehhez az olyan műszaki követelménye­ket, mint az adatok megbízható vétele és tárolása, a tartalomvédelem, a frekvenciasáv hatékony használa­ta, az inter-operativitás, a minimális fogyasztás igénye, stb. Az államigazgatás további igényeket támaszt: meg­bízható, ugyanakkor hatékony rejtjelezést! Az USA-ban ehhez a Szövetségi Adatfeldolgozási Szabvány (Federal Information Processing Standard – FIPS) 140-2 jelzésű, hiteles, minősített eszközöket ír elő.

Tökéletes biztonság nincs, az mindig viszonylagos: azzal jellemezhető, hogy a rendszer mennyire képes ellenállni a fenyegetéseknek. Egy adatkezelő rendszer tehát akkor mondható biztonságosnak, ha a fenyege­tések nyomán jelentkező kockázat (risks) megfelelő intézkedések révén elviselhető mértékűre csökkent. Ezért mindenekelőtt a következő kérdést kell megfogalmaz­nunk: milyen szigorú biztonsági követelményeket kell teljesítenünk ahhoz, hogy vagyonunkat biztonságban tudhassuk? A követelmények megfogalmazását követő­en arra kell választ találnunk, hogy milyen vagyonunk tényleges biztonsági helyzete. Végezetül bizonyosságot kell szereznünk; hogy nyugodtan alhassunk, meg kell tudnunk: mennyire bízhatunk abban, hogy vagyonunk a meghatározott színvonalon biztonságban van. Lényegé­ben ezek a biztonság menedzselésének alapkérdései.

A biztonság tanúsítása során elfogulatlan, független tanúsító megvizsgálja a kívánt rendszert vagy terméket és igazolja, hogy az az előírt követelményrendszernek, a meghatározott biztonsági szintnek megfelel-e vagy nem. A tanúsítás akkor értékes, ha nemcsak önmagában értel­mezhető, hanem összehasonlítható; azaz, ha nem eseti, hanem általánosan elfogadott, egységes, szabványos kö­vetelményrendszer az alapja. A tanúsítás értékét tovább növeli, ha azt az állam által erre felhatalmazott, jegyzett cég végzi. Az állami felhatalmazás esetében ugyanis arról van szó, hogy a céget és az általa használt eljárást állami szerv megvizsgálta, alkalmasnak találta, és az alkalmassá­got folyamatosan felügyeli. Tanúsítani – értelemszerűen – csak létező adatkezelő rendszert vagy terméket lehet.

A biztonsági helyzet értékelése során elfogulatlan, füg­getlen vizsgáló megismeri az adatkezelő rendszer vagy termék biztonsági helyzetét és valamilyen módszerrel ki­mutatja az elfogadhatatlan kockázatokat jelentő gyenge pontokat. Két szokásos munkamódszere az ún. követel­ményes és a kockázatelemzéses. Nemcsak meglévő, ha­nem tervezett helyzet biztonsága is értékelhető: a munka tehát mind létező, működő, mind tervezett rendszer vagy termék esetében elvégezhető.

Követelményes vizsgálat esetén az alap valamilyen elő­zetesen meghatározott követelményrendszer. A vizsgáló azt veszi számba, hogy mely előírt követelmények nem teljesülnek.

A kockázatelemzéses vizsgálat első lépése a későbbi szűken értelmezett kockázatelemzés alapjának rögzítése: az adatok és a működés, azaz a munkafolyamatok értéke­inek számszerűsítése. A gyenge pontok és a fenyegetések meghatározását követően, a kockázatelemzés a fenyegeté­sek által okozott lehetséges kár nagysága, és a bekövetke­zés gyakorisága alapján kimutatja a biztonsági szempont­ból legkritikusabb területeket.

Itt hívjuk fel a figyelmet arra, hogy csak akkor szabad a kockázatelemzéses munkamódszert alkalmazni, ha an­nak számszerű alapjai megteremthetőek, valamint ren­delkezésre állnak statisztikák a bekövetkezett kárese­ményekről. Ha a számszerű alapok ésszerű mennyiségű munkaráfordítással nem teremthetőek meg, vagy nin­csenek statisztikák, a követelményes munkamódszert célszerű, illetve kell választani.

A biztonsági követelmények meghatározása a fent írtakhoz hasonlóan, két fő munkamódszerrel lehet­séges. A biztonsági helyzet értékeléséhez hasonlóan, a mind meglévő, működő, mind tervezett rendszer vagy ter­mék esetében elvégezhető. A biztonsági követelmények meghatározása itt azt jelenti, hogy a vizsgáló megismeri az adatkezelő rendszer vagy termék rendeltetését, a vele kezelt adatok körét, és ennek alapján előírja, hogy mely szabványos biztonsági osztály követelményeit kell a rend­szernek vagy terméknek teljesítenie.

A kockázatelemzéses munkamódszer esetében a vizsgáló – kockázatelemzéses munkamódszerrel – ki­mutatja az adatkezelő rendszer vagy termék biztonsá­gi szempontból legkritikusabb területeit; a biztonsági követelményeket a feltárt biztonsági hiányosságok képezik. A biztonsági vizsgálatok nyomán értelemsze­rűen a biztonságot növelő intézkedési javaslatok is készülhetnek. A biztonsági követelmények meghatá­rozására, helyzetének értékelésére, valamint fokának tanúsítására napjainkban számos munkamódszer, szabvány, ajánlás áll rendelkezésre. Amint kifejtettük, a jó szakember számára napjainkban elengedhetetlen ehhez jól megalkotott relációs adatbázis-kezelő hasz­nálata (MMM, 2004. január, p. 58 – 59).

A rossz protokoll

A mobil eszközök azért jelentenek új biztonsági kihí­vást, mivel pontosan hordozhatóságuk korlátozza a feldolgozási sebességet, a tárolókapacitást és magát a drótnélküli rádiókommunikációs csatornát. A rossz protokoll pedig feltörhetővé teszi a mégoly megfejthetet­lennek tűnő rejtjelezést is – nézzük hogyan!

A rejtjelezés hatékonysága az alkalmazott algoritmus­tól, a rejtjelezés helyétől és idejétől, valamint a kulcskivá­lasztás kritériumaitól, generálásától, szétosztásától és táro­lásától függ. Egy rejtjeles szöveg (kriptogram) akkor lehet feltétlenül biztos, ha az egyetlen helyes megoldáshoz sem ad elégséges információt.

Shannon már a ’40-es években kimutatta, hogy az egyet­len, matematikailag feltétlenül biztos rejtjelező eljárás a Vernam-féle “egyszeri szalag”. Nevét onnan kapta, hogy az ötvenes években két lyukszalagot kombináltak össze: az eredeti szöveget, és egy véletlenszám által generáltat. Ennek máig is ható, nagy jelentőségét bizonyítja, hogy a Moszkva-Washington “forró drót” ma is ezt az elvet – technikailag kissé modernizálva – alkalmazza. Eszerint egy rejtjeles szöveg (kriptogram) akkor lehet feltétle­nül biztos, ha az egyetlen helyes megoldáshoz sem ad elégséges információt. Ehhez Shannon egy “unicitási távolságot” definiált, ami azt jelenti, hogy a rejtjelezen­dő szöveg redundanciájának meg kell haladnia a kulcs információját. Tekintve, hogy az egyszeri szalag unicitá­si távolsága végtelen, ezért ez az egyetlen matematikailag feltétlenül biztos rendszer.

Emberi tényező

Persze lehet mégoly matematikailag biztos ez is, a kulcsként szolgáló „szalagot” futárral, lepecsételt diplomatatáskában kell a másik félnek átadni, hisz akár a „drótos”, akár a műholdas átvitel lehallgatható, meghamisítható, elirányítható. És itt jön megint az „emberi tényező”…

Most egy – elsőre talán viccesnek ható – ógörög módszerre térünk ki. Saját technikai eszközeikkel ők alkalmazták először a háborúkat is eldöntő „matema­tikailag biztos egyszeri szalagot” (legalábbis az elvet – és van-e valami, amit a görögök nem?).

Nos, lekopaszították egy emberszámba alig vett rab­szolga fejét, és szép görög kalligráfiával rátetoválták az üzenetet. Ezután mintegy két hetet kellett csupán vár­ni hajának kellő hosszúságú növekedésére. Útra kelt, és áthaladt az ellenséges területeken is – a módszer igazán egyszeri lehetett!

Beszéljünk most két – a második világháborúban alkalmazott – az ellenfelek által megfejthetetlennek bizonyult módszerről is!

Az Egyesült Államok hadserege navahó indián nyel­ven küldte a hadászatilag sorsdöntő információkat, sőt még azon belül is „transzformáltak” – például a sas jelentette a repülőgépet, medve a tankokat, stb.

A németek a teljesen mechanikus Enigma rejtjele­zője előtt pedig megállt a szövetségesek tudománya. Erről a szerzőnek két, egymásnak ellentmondó infor­mációja van. Jó pár évvel ezelőtt napilap írt arról, hogy a szövetségesek egyszerű lopással jutottak a megfej­téshez. A németek elkövették azt a fatális tévedést – mondhatjuk banánhéj-hatásnak is – hogy postai úton továbbították a készüléket. Lengyelországban egy szombati postazárást követően vasárnap hajnalig elég volt az idő a megfejtésre, aztán mintha mi sem történt volna, ment minden tovább a németeknek a biztosnak vélt úton. És emberezrek élete múlott ezen…

Most viszont [5]-ben arról olvashatunk, hogy Alan Turing és Goldon Welchmann „Bomba” nevű gépükkel a Bletchley Parki angol lehallgató központban 1940 kö­zepétől rendszeresen tudták olvasni a német légierő üzeneteit, majd a szövetségesek egy U-110 tengeralatt­járó elfogásával jutottak a géphez, és ez tovább könnyí­tette Turing munkáját.

Visszatérve a mai műszaki kérdésekre: jelenlegi is­mereteink szerinti egyszeri szalagon kívül az összes többi, matematikailag nem feltétlenül biztos rejtjele­zés hatékonysága is nagyban függ az alkalmazott al­goritmustól, a rejtjelezés helyétől és idejétől, valamint a kulcskiválasztás kritériumaitól, generálásától, szét­osztásától és (főleg hierarchikus) tárolásától. Sőt azt kell mondani, hogy aktív támadások ellen a titkosító transzformáción túl megfelelő, további szabályokkal kell gondoskodni a manipuláció megnehezítéséről – ezek a kripto-protokollok.

A „sikeres” elrontás

Még a legerősebb rejtjelező transzformáció sem nyújt kellő védettséget hibásan tervezett protokollkörnyezet­ben, ezért ebbe a körbe tartozik a partner hitelességének megállapítása, a megszemélyesítés felfedése, sőt meg­akadályozása is. Álljon itt egy példa, hogy a napjainkban “legerősebbnek” ítélt kettős kulcsú (például RSA) rejtje­lezést rossz protokollal hogyan “sikerülhet” elrontani. Például egy “sima” kód-kulccsal az adó, míg egy másik kóddal a vevő titkosít. Csakhogy a kulcsok eltéríthetők — nem biztos, hogy az kapja, akinek az adó szánta.

Ezzel szemben az MIT-n évtizedekkel ezelőtt kifejlesz­tett Kerberos a maximális bizalmatlansággal él, ugyan­akkor minimális terheket rak a felhasználókra (4. ábra).

A Kerberos használója egyszerű, – titkosítást nem igénylő – rejtjelezés nélküli szöveget küld a jogosult­sági szerverhez, amely válaszul erre hitelesítő adatokat küld vissza. Ezelőtt azonban ezeket a hitelesítő adatokat rejtjelezi egy olyan kulccsal, amelyet csak a használó és a Kerberos ismer. Ezt a titkos jelszót rejtjelezett formá­ban a kulcsosztó állomás (KDC) adatbázisában tárolják. Amint ez megérkezik a használóhoz, ő a kulccsal vissza­fejti. Amennyiben valamilyen oknál fogva nem tudná visszafejteni, máris képtelen lesz a további lépésekre. Így a jogosultság elnyerése a kliens munkaállomásán és nem a Kerberos biztonsági szerver szintjén történik.

Dollármilliós incidensek

Ma a nagyobb cégek mindössze harmada képes mérni és értékelni saját informatikai biztonsági mutatóit, noha a biztonsági incidensek évente dollármilliós kárt okoznak nekik. Ezt állapította meg 2002-ben a KPMG első nemzetközi információbiztonsági felmérése. A KPMG munkatársai világszerte olyan cégeket vizsgál­tak, amelyeknek éves forgalma meghaladta az 50 mil­lió dollárt. A felmérés szerint a cégek a vírusokat és az információs rendszert illegálisan feltörő behatolókat (hackereket) jelölték meg a legfőbb veszélyforrásnak. A vizsgálatok azonban azt mutatták, hogy a vírusok (a cégek 61 százaléka számolt be vírustámadásról) után a technikai berendezések lopása okozza a legtöbb kárt (38 százalék). Hackertámadást a cégek 12 százaléka je­lentett – ez csak a hatodik leggyakoribb veszélyforrás.

Noha a vizsgált cégek informatikai költségvetésük 10 százalékát fordítják a biztonságra, azt már nem elle­nőrzik, megtérül-e ez a ráfordítás. Egy-egy informatikai biztonsági probléma kezelése átlagosan 108 ezer dollár kiadást jelent a társaságoknak. Ennek ellenére a legtöbb vállalat túl magabiztos saját biztonsági színvonalát te­kintve: 58 százalékuk tartja úgy, hogy minden ésszerű lépést megtett a védekezésért, ugyanakkor közülük is minden tizedik elismerte, hogy semmilyen formában nem méri a biztonsági lépések hatékonyságát, sőt 52 százalékuk nem rendelkezik olyan rendszerrel, amely észleli az illetéktelen behatolást. A valódi teljesítményt mindössze a cégek mintegy harmada (35 százalék) ké­pes mérni és értékelni, míg a vállalatok több mint fele azt sem tudta megmondani, mennyit költ az informati­kai biztonság megteremtésére.

VÖRÖS GÁBOR

IRODALOM

---

[1] Ne dőljünk be a hókuszpókusz szoftvereknek – Chip Magazin 2014/7 p.110
[2] Személyes közlés Győri Ferenc főszerkesztő úrtól – Chip Ma­gazin, MediaCity Kft. 2019. május
[3] A számítógépes információbiztonság alapjai – LSI Oktatóköz­pont 2001
[4] Nem kell feltalálni – Információbiztonsági szabványok – Mű­szaki Magazin 2005/10
[5] Kiváló leírás a kriptográfiáról: https://bit.ly/2kmFOwD
[6] A második világháború történte – Ringler Axel Springer Ma­gyarország Kft 2019 p. 44
[7] Davies – Price: Security for Computer Networks – John Wiley & Sons, Second Edition, 1989
[8] Shannon: Communication Theory of Secrecy Systems – Bell System Technical Journal vol 28. p. 656, 1948. október
[9] Hunt,C: TCP/IP Network Administration – John Willey’s London, 1998
[10] A megfigyelések és lehallgatások kora – Chip Magazin, Media­City Kft. 2010. június
[11] Biztonsági tippek profiktól – Chip Magazin, MediaCity Kft. 2010. június

A cikk a Természet Világa 2019. októberi számában (150. évf. 10. sz.) jelent meg.