Saites uz citÄm pÄtÄ«juma daļÄm
- (Jūs esat Ŕeit)
Å is raksts noslÄdz publikÄciju sÄriju, kas veltÄ«ta banku bezskaidras naudas norÄÄ·inu informÄcijas droŔības nodroÅ”inÄÅ”anai. Å eit mÄs apskatÄ«sim tipiskos draudu modeļus, kas minÄti rakstÄ :
- .
- .
- .
- .
HABRO-BRÄŖDINÄJUMS!!! CienÄ«jamie habrovieÅ”i, Å”is nav izklaidÄjoÅ”s ieraksts.
VairÄk nekÄ 40 lappuses materiÄlu, kas paslÄpti zem griezuma, ir paredzÄti palÄ«dzÄt darbÄ vai mÄcÄ«bÄs cilvÄki, kas specializÄjas banku vai informÄcijas droŔības jomÄ. Å ie materiÄli ir pÄtÄ«juma galaprodukts, un tie ir rakstÄ«ti sausÄ, formÄlÄ tonÄ«. BÅ«tÄ«bÄ tÄs ir iekÅ”ÄjÄs informÄcijas droŔības dokumentu sagataves.Nu tradicionÄli - "raksta informÄcijas izmantoÅ”ana nelikumÄ«giem nolÅ«kiem ir sodÄma ar likumu". ProduktÄ«va lasÄ«Å”ana!
InformÄcija lasÄ«tÄjiem, kuri iepazÄ«stas ar pÄtÄ«jumu, sÄkot ar Å”o publikÄciju.
Par ko ir pÄtÄ«jums?
JÅ«s lasÄt rokasgrÄmatu speciÄlistam, kurÅ” ir atbildÄ«gs par maksÄjumu informÄcijas droŔības nodroÅ”inÄÅ”anu bankÄ.
PrezentÄcijas loÄ£ika
SÄkumÄ in Šø dots aizsargÄjamÄ objekta apraksts. Tad iekÅ”Ä apraksta, kÄ izveidot droŔības sistÄmu un runÄ par nepiecieÅ”amÄ«bu izveidot draudu modeli. IN runÄ par to, kÄdi draudu modeļi pastÄv un kÄ tie veidojas. IN Šø Tiek sniegta reÄlu uzbrukumu analÄ«ze. Šø satur apdraudÄjuma modeļa aprakstu, kas izveidots, Åemot vÄrÄ informÄciju no visÄm iepriekÅ”ÄjÄm daļÄm.
TIPISKS DRAUDU MODELIS. TÄŖKLA SAVIENOJUMS
AizsardzÄ«bas objekts, kuram tiek piemÄrots apdraudÄjuma modelis (tvÄrums).
AizsardzÄ«bas objekts ir dati, kas tiek pÄrraidÄ«ti caur tÄ«kla savienojumu, kas darbojas uz TCP/IP steka bÄzes veidotos datu tÄ«klos.
Arhitektūra
Arhitektūras elementu apraksts:
- "Gala mezgli" ā mezgli, kas apmainÄs ar aizsargÄtu informÄciju.
- "Starpposma mezgli" ā datu pÄrraides tÄ«kla elementi: marÅ”rutÄtÄji, slÄdži, piekļuves serveri, starpniekserveri un citas iekÄrtas, caur kurÄm tiek pÄrraidÄ«ta tÄ«kla savienojuma trafika. KopumÄ tÄ«kla savienojums var darboties bez starpmezgliem (tieÅ”i starp gala mezgliem).
AugstÄkÄ lÄ«meÅa droŔības draudi
SadalÄ«Å”anÄs
U1. Neatļauta piekļuve pÄrsÅ«tÄ«tajiem datiem.
U2. PÄrsÅ«tÄ«to datu neatļauta modifikÄcija.
U3. PÄrsÅ«tÄ«to datu autortiesÄ«bu pÄrkÄpums.
U1. Neatļauta piekļuve pÄrsÅ«tÄ«tajiem datiem
SadalÄ«Å”anÄs
U1.1. <ā¦>, ko veic gala vai starpmezglos:
U1.1.1. <ā¦> nolasot datus, kamÄr tie atrodas resursdatora atmiÅas ierÄ«cÄs:
U1.1.1.1. <ā¦> RAM.
Paskaidrojumi par U1.1.1.1.
PiemÄram, resursdatora tÄ«kla steka datu apstrÄdes laikÄ.
U1.1.1.2. <ā¦> nepastÄvÄ«gajÄ atmiÅÄ.
Paskaidrojumi par U1.1.1.2.
PiemÄram, saglabÄjot pÄrsÅ«tÄ«tos datus keÅ”atmiÅÄ, pagaidu failus vai mijmaiÅas failus.
U1.2. <ā¦>, kas veikta treÅ”o puÅ”u datu tÄ«kla mezglos:
U1.2.1. <ā¦> izmantojot visu pakeÅ”u tverÅ”anas metodi, kas nonÄk resursdatora tÄ«kla saskarnÄ:
Paskaidrojumi par U1.2.1.
Visu pakeÅ”u tverÅ”ana tiek veikta, pÄrslÄdzot tÄ«kla karti uz izlaiduma režīmu (izlaidÄ«gs režīms vadu adapteriem vai monitora režīms Wi-Fi adapteriem).
U1.2.2. <ā¦> veicot Man-in-the-middle (MiTM) uzbrukumus, bet nepÄrveidojot pÄrsÅ«tÄ«tos datus (neskaitot tÄ«kla protokola pakalpojuma datus).
U1.2.2.1. Saite: .
U1.3. <ā¦>, kas veikta informÄcijas noplÅ«des dÄļ pa tehniskajiem kanÄliem (TKUI) no fiziskajiem mezgliem vai sakaru lÄ«nijÄm.
U1.4. <ā¦>, ko veic, uzstÄdot speciÄlus tehniskos lÄ«dzekļus (STS) gala vai starpmezglos, kas paredzÄti slepenai informÄcijas vÄkÅ”anai.
U2. PÄrsÅ«tÄ«to datu neatļauta modifikÄcija
SadalÄ«Å”anÄs
U2.1. <ā¦>, ko veic gala vai starpmezglos:
U2.1.1. <ā¦> nolasot datus un veicot izmaiÅas tajos, kamÄr tie atrodas mezglu atmiÅas ierÄ«cÄs:
U2.1.1.1. <ā¦> RAM:
U2.1.1.2. <ā¦> nepastÄvÄ«gajÄ atmiÅÄ:
U2.2. <ā¦>, ko veic datu pÄrraides tÄ«kla treÅ”o puÅ”u mezglos:
U2.2.1. <ā¦> veicot uzbrukuma cilvÄkiem (MiTM) un novirzot trafiku uz uzbrucÄja mezglu:
U2.2.1.1. UzbrucÄju aprÄ«kojuma fiziska pieslÄgÅ”ana izraisa tÄ«kla savienojuma pÄrtraukÅ”anu.
U2.2.1.2. Uzbrukumu veikŔana tīkla protokoliem:
U2.2.1.2.1. <ā¦> virtuÄlo lokÄlo tÄ«klu (VLAN) pÄrvaldÄ«ba:
U2.2.1.2.1.1. .
U2.2.1.2.1.2. SlÄdžu vai marÅ”rutÄtÄju VLAN iestatÄ«jumu neatļauta modifikÄcija.
U2.2.1.2.2. <ā¦> satiksmes marÅ”rutÄÅ”ana:
U2.2.1.2.2.1. MarÅ”rutÄtÄju statisko marÅ”rutÄÅ”anas tabulu neatļauta modifikÄcija.
U2.2.1.2.2.2. UzbrucÄju paziÅojumi par viltus marÅ”rutiem, izmantojot dinamiskos marÅ”rutÄÅ”anas protokolus.
U2.2.1.2.3. <ā¦> automÄtiskÄ konfigurÄcija:
U2.2.1.2.3.1. .
U2.2.1.2.3.2. .
U2.2.1.2.4. <ā¦> adresÄcijas un vÄrda izŔķirÅ”ana:
U2.2.1.2.4.1. .
U2.2.1.2.4.2. .
U2.2.1.2.4.3. Neatļautu izmaiÅu veikÅ”ana vietÄjo resursdatora nosaukumu failos (hosts, lmhosts utt.)
U3. PÄrsÅ«tÄ«to datu autortiesÄ«bu pÄrkÄpums
SadalÄ«Å”anÄs
U3.1. InformÄcijas autorÄ«bas noteikÅ”anas mehÄnismu neitralizÄcija, norÄdot nepatiesu informÄciju par autoru vai datu avotu:
U3.1.1. PÄrsÅ«tÄ«tajÄ informÄcijÄ ietvertÄs informÄcijas par autoru maiÅa.
U3.1.1.1. PÄrsÅ«tÄ«to datu integritÄtes un autorÄ«bas kriptogrÄfiskÄs aizsardzÄ«bas neitralizÄcija:
U3.1.1.1.1. Saite: .
U3.1.1.2. PÄrsÅ«tÄ«to datu autortiesÄ«bu aizsardzÄ«bas neitralizÄcija, kas Ä«stenota, izmantojot vienreizÄjos apstiprinÄjuma kodus:
U3.1.1.2.1. .
U3.1.2. InformÄcijas maiÅa par pÄrsÅ«tÄ«tÄs informÄcijas avotu:
U3.1.2.1. .
U3.1.2.2. .
TIPISKS DRAUDU MODELIS. INFORMÄCIJAS SISTÄMA, KAS BÅŖVÄTA UZ KLIENTA-SERVERA ARHITEKTÅŖRAS BÄZES
AizsardzÄ«bas objekts, kuram tiek piemÄrots apdraudÄjuma modelis (tvÄrums).
AizsardzÄ«bas objekts ir informÄcijas sistÄma, kas veidota uz klienta-servera arhitektÅ«ras bÄzes.
Arhitektūra
Arhitektūras elementu apraksts:
- "Klients" ā ierÄ«ce, kurÄ darbojas informÄcijas sistÄmas klienta daļa.
- "Serveris" ā ierÄ«ce, uz kuras darbojas informÄcijas sistÄmas servera daļa.
- "Datu veikals" ā informÄcijas sistÄmas serveru infrastruktÅ«ras daļa, kas paredzÄta informÄcijas sistÄmas apstrÄdÄto datu glabÄÅ”anai.
- "TÄ«kla savienojums" ā informÄcijas apmaiÅas kanÄls starp Klientu un Serveri, kas iet caur datu tÄ«klu. DetalizÄtÄks elementa modeļa apraksts ir sniegts .
Ierobežojumi
ModelÄjot objektu, tiek noteikti Å”Ädi ierobežojumi:
- LietotÄjs mijiedarbojas ar informÄcijas sistÄmu ierobežotos laika periodos, ko sauc par darba sesijÄm.
- Katras darba sesijas sÄkumÄ lietotÄjs tiek identificÄts, autentificÄts un autorizÄts.
- Visa aizsargÄtÄ informÄcija tiek glabÄta informÄcijas sistÄmas servera daļÄ.
AugstÄkÄ lÄ«meÅa droŔības draudi
SadalÄ«Å”anÄs
U1. UzbrucÄju neatļautu darbÄ«bu veikÅ”ana likumÄ«ga lietotÄja vÄrdÄ.
U2. AizsargÄtas informÄcijas neatļauta modifikÄcija tÄs apstrÄdes laikÄ, ko veic informÄcijas sistÄmas servera daļa.
U1. UzbrucÄju neatļautu darbÄ«bu veikÅ”ana likumÄ«ga lietotÄja vÄrdÄ
Paskaidrojumi
Parasti informÄcijas sistÄmÄs darbÄ«bas tiek korelÄtas ar lietotÄju, kurÅ” tÄs veicis, izmantojot:
- sistÄmas darbÄ«bas žurnÄli (žurnÄli).
- Ä«paÅ”ie datu objektu atribÅ«ti, kas satur informÄciju par lietotÄju, kurÅ” tos izveidojis vai modificÄjis.
SaistÄ«bÄ ar darba sesiju Å”os draudus var sadalÄ«t:
- <ā¦> veikta lietotÄja sesijas laikÄ.
- <ā¦> izpildÄ«ts Ärpus lietotÄja sesijas.
LietotÄja sesiju var uzsÄkt:
- Pats lietotÄjs.
- Ä»aunprÄtÄ«gie faktori.
Å ajÄ posmÄ Å”Ä« apdraudÄjuma starpposma sadalÄ«Å”anÄs izskatÄ«sies Å”Ädi:
U1.1. LietotÄja sesijas laikÄ tika veiktas neatļautas darbÄ«bas:
U1.1.1. <ā¦> instalÄjis uzbrukuÅ”ais lietotÄjs.
U1.1.2. <ā¦> instalÄjuÅ”i uzbrucÄji.
U1.2. Ärpus lietotÄja sesijas tika veiktas neatļautas darbÄ«bas.
No informÄcijas infrastruktÅ«ras objektu viedokļa, kurus var ietekmÄt uzbrucÄji, starpposma draudu dekompozÄ«cija izskatÄ«sies Å”Ädi:
elementi
Draudu sadalÄ«Å”anÄs
U1.1.1.
U1.1.2.
U1.2.
Klients
U1.1.1.1.
U1.1.2.1.
TÄ«kla savienojums
U1.1.1.2.
Serveris
U1.2.1.
SadalÄ«Å”anÄs
U1.1. LietotÄja sesijas laikÄ tika veiktas neatļautas darbÄ«bas:
U1.1.1. <ā¦> instalÄjis uzbrukuÅ”ais lietotÄjs:
U1.1.1.1. UzbrucÄji rÄ«kojÄs neatkarÄ«gi no klienta:
U1.1.1.1.1. UzbrucÄji izmantoja standarta informÄcijas sistÄmas piekļuves rÄ«kus:
Š£1.1.1.1.1.1. UzbrucÄji izmantoja Klienta fiziskos ievades/izvades lÄ«dzekļus (tastatÅ«ru, peli, monitoru vai mobilÄs ierÄ«ces skÄrienekrÄnu):
U1.1.1.1.1.1.1. UzbrucÄji darbojÄs laika periodos, kad sesija bija aktÄ«va, bija pieejamas I/O iespÄjas un lietotÄjs nebija klÄt.
Š£1.1.1.1.1.2. UzbrucÄji izmantoja attÄlÄs administrÄÅ”anas rÄ«kus (standarta vai ļaunprÄtÄ«ga koda nodroÅ”inÄti), lai kontrolÄtu Klientu:
U1.1.1.1.1.2.1. UzbrucÄji darbojÄs laika periodos, kad sesija bija aktÄ«va, bija pieejamas I/O iespÄjas un lietotÄjs nebija klÄt.
Š£1.1.1.1.1.2.2. UzbrucÄji izmantoja attÄlÄs administrÄÅ”anas rÄ«kus, kuru darbÄ«ba uzbrukuÅ”ajam lietotÄjam ir neredzama.
U1.1.1.2. UzbrucÄji aizvietoja datus tÄ«kla savienojumÄ starp Klientu un Serveri, pÄrveidojot tos tÄ, lai tie tiktu uztverti kÄ likumÄ«ga lietotÄja darbÄ«bas:
U1.1.1.2.1. Saite: .
U1.1.1.3. UzbrucÄji piespieda lietotÄju veikt viÅu norÄdÄ«tÄs darbÄ«bas, izmantojot sociÄlÄs inženierijas metodes.
Š£1.1.2 <ā¦>, ko instalÄjuÅ”i uzbrucÄji:
U1.1.2.1. UzbrucÄji rÄ«kojÄs no Klienta (Š):
U1.1.2.1.1. UzbrucÄji neitralizÄja informÄcijas sistÄmas piekļuves kontroles sistÄmu:
U1.1.2.1.1.1. Saite: .
Š£1.1.2.1.2. UzbrucÄji izmantoja standarta informÄcijas sistÄmas piekļuves rÄ«kus
U1.1.2.2. UzbrucÄji darbojÄs no citiem datu tÄ«kla mezgliem, no kuriem varÄja izveidot tÄ«kla savienojumu ar serveri (Š):
U1.1.2.2.1. UzbrucÄji neitralizÄja informÄcijas sistÄmas piekļuves kontroles sistÄmu:
U1.1.2.2.1.1. Saite: .
U1.1.2.2.2. UzbrucÄji izmantoja nestandarta piekļuves lÄ«dzekļus informÄcijas sistÄmai.
Paskaidrojumi U1.1.2.2.2.
UzbrucÄji var instalÄt standarta informÄcijas sistÄmas klientu treÅ”Äs puses mezglÄ vai izmantot nestandarta programmatÅ«ru, kas ievieÅ” standarta apmaiÅas protokolus starp Klientu un Serveri.
U1.2 Neatļautas darbÄ«bas tika veiktas Ärpus lietotÄja sesijas.
U1.2.1 UzbrucÄji veica nesankcionÄtas darbÄ«bas un pÄc tam veica nesankcionÄtas izmaiÅas informÄcijas sistÄmas darbÄ«bas žurnÄlos vai speciÄlajos datu objektu atribÅ«tos, norÄdot, ka viÅu veiktÄs darbÄ«bas ir veicis likumÄ«gs lietotÄjs.
U2. AizsargÄtas informÄcijas neatļauta modifikÄcija tÄs apstrÄdes laikÄ, ko veic informÄcijas sistÄmas servera daļa
SadalÄ«Å”anÄs
U2.1. UzbrucÄji modificÄ aizsargÄto informÄciju, izmantojot standarta informÄcijas sistÄmas rÄ«kus, un dara to likumÄ«ga lietotÄja vÄrdÄ.
U2.1.1. Saite: .
U2.2. UzbrucÄji modificÄ aizsargÄto informÄciju, izmantojot datu piekļuves mehÄnismus, ko neparedz informÄcijas sistÄmas normÄla darbÄ«ba.
U2.2.1. UzbrucÄji modificÄ failus, kas satur aizsargÄtu informÄciju:
U2.2.1.1. <ā¦>, izmantojot operÄtÄjsistÄmas nodroÅ”inÄtos failu apstrÄdes mehÄnismus.
U2.2.1.2. <ā¦> provocÄjot failu atjaunoÅ”anu no nesankcionÄtas modificÄtas rezerves kopijas.
U2.2.2. UzbrucÄji modificÄ aizsargÄto informÄciju, kas glabÄjas datu bÄzÄ (Š):
U2.2.2.1. UzbrucÄji neitralizÄ DBVS piekļuves kontroles sistÄmu:
U2.2.2.1.1. Saite: .
U2.2.2.2. UzbrucÄji modificÄ informÄciju, izmantojot standarta DBVS saskarnes, lai piekļūtu datiem.
U2.3. UzbrucÄji modificÄ aizsargÄto informÄciju, nesankcionÄti mainot to apstrÄdÄjoÅ”Äs programmatÅ«ras darbÄ«bas algoritmus.
U2.3.1. Programmatūras pirmkods var tikt mainīts.
U2.3.1. Programmatūras maŔīnkods var tikt mainīts.
U2.4. UzbrucÄji modificÄ aizsargÄto informÄciju, izmantojot informÄcijas sistÄmu programmatÅ«ras ievainojamÄ«bas.
U2.5. UzbrucÄji modificÄ aizsargÄto informÄciju, kad tÄ tiek pÄrsÅ«tÄ«ta starp informÄcijas sistÄmas servera daļas komponentiem (piemÄram, datu bÄzes serveri un lietojumprogrammu serveri):
U2.5.1. Saite: .
TIPISKS DRAUDU MODELIS. PIEKÄ»UVES KONTROLES SISTÄMA
AizsardzÄ«bas objekts, kuram tiek piemÄrots apdraudÄjuma modelis (tvÄrums).
AizsardzÄ«bas objekts, kuram Å”is draudu modelis tiek piemÄrots, atbilst apdraudÄjuma modeļa aizsardzÄ«bas objektam: āTipisks draudu modelis. InformÄcijas sistÄma, kas veidota uz klienta-servera arhitektÅ«ras.
Å ajÄ apdraudÄjuma modelÄ« lietotÄja piekļuves kontroles sistÄma ir informÄcijas sistÄmas sastÄvdaļa, kas Ä«steno Å”Ädas funkcijas:
- LietotÄja identifikÄcija.
- LietotÄja autentifikÄcija.
- LietotÄju autorizÄcijas.
- LietotÄja darbÄ«bu reÄ£istrÄÅ”ana.
AugstÄkÄ lÄ«meÅa droŔības draudi
SadalÄ«Å”anÄs
U1. Neatļauta sesijas izveide likumÄ«ga lietotÄja vÄrdÄ.
U2. Neatļauta lietotÄja privilÄÄ£iju palielinÄÅ”ana informÄcijas sistÄmÄ.
U1. Neatļauta sesijas izveide likumÄ«ga lietotÄja vÄrdÄ
Paskaidrojumi
Å Ä« apdraudÄjuma sadalÄ«Å”anÄs parasti bÅ«s atkarÄ«ga no izmantoto lietotÄju identifikÄcijas un autentifikÄcijas sistÄmu veida.
Å ajÄ modelÄ« tiks Åemta vÄrÄ tikai lietotÄja identifikÄcijas un autentifikÄcijas sistÄma, izmantojot teksta pieteikumvÄrdu un paroli. Å ajÄ gadÄ«jumÄ mÄs pieÅemsim, ka lietotÄja pieteikÅ”anÄs ir publiski pieejama informÄcija, kas zinÄma uzbrucÄjiem.
SadalÄ«Å”anÄs
U1.1. <ā¦> akreditÄcijas datu apdraudÄjuma dÄļ:
U1.1.1. UzbrucÄji, saglabÄjot tos, apdraudÄja lietotÄja akreditÄcijas datus.
Paskaidrojumi U1.1.1.
PiemÄram, akreditÄcijas datus var rakstÄ«t uz lÄ«mlapiÅas, kas pielÄ«mÄta pie monitora.
U1.1.2. LietotÄjs nejauÅ”i vai ļaunprÄtÄ«gi nodeva piekļuves informÄciju uzbrucÄjiem.
U1.1.2.1. Ieejot, lietotÄjs skaļi izrunÄja akreditÄcijas datus.
U1.1.2.2. LietotÄjs apzinÄti kopÄ«goja savus akreditÄcijas datus:
U1.1.2.2.1. <ā¦> darba kolÄÄ£iem.
Paskaidrojumi U1.1.2.2.1.
PiemÄram, lai viÅi to varÄtu aizstÄt slimÄ«bas laikÄ.
U1.1.2.2.2. <ā¦> darba devÄja darbuzÅÄmÄjiem, kas veic darbus informÄcijas infrastruktÅ«ras objektos.
U1.1.2.2.3. <ā¦> treÅ”ajÄm personÄm.
Paskaidrojumi U1.1.2.2.3.
Viena, bet ne vienÄ«gÄ iespÄja Å”o draudu Ä«stenoÅ”anai ir uzbrucÄju izmantot sociÄlÄs inženierijas metodes.
U1.1.3. UzbrucÄji izvÄlÄjÄs akreditÄcijas datus, izmantojot brutÄlÄ spÄka metodes:
U1.1.3.1. <ā¦> izmantojot standarta piekļuves mehÄnismus.
U1.1.3.2. <ā¦> akreditÄcijas datu glabÄÅ”anai izmantojot iepriekÅ” pÄrtvertus kodus (piemÄram, paroļu jaucÄjus).
U1.1.4. UzbrucÄji izmantoja ļaunprÄtÄ«gu kodu, lai pÄrtvertu lietotÄja akreditÄcijas datus.
U1.1.5. UzbrucÄji izvilka akreditÄcijas datus no tÄ«kla savienojuma starp klientu un serveri:
U1.1.5.1. Saite: .
U1.1.6. UzbrucÄji ieguva akreditÄcijas datus no darba uzraudzÄ«bas sistÄmu ierakstiem:
U1.1.6.1. <ā¦> videonovÄroÅ”anas sistÄmas (ja darbÄ«bas laikÄ tika ierakstÄ«ti tastatÅ«ras taustiÅsitieni).
U1.1.6.2. <ā¦> sistÄmas darbinieku darbÄ«bu uzraudzÄ«bai pie datora
Paskaidrojumi U1.1.6.2.
Å Ädas sistÄmas piemÄrs ir .
U1.1.7. UzbrucÄji apdraudÄja lietotÄju akreditÄcijas datus pÄrraides procesa trÅ«kumu dÄļ.
Paskaidrojumi U1.1.7.
PiemÄram, paroļu nosÅ«tÄ«Å”ana skaidrÄ tekstÄ pa e-pastu.
U1.1.8. UzbrucÄji ieguva akreditÄcijas datus, pÄrraugot lietotÄja sesiju, izmantojot attÄlÄs administrÄÅ”anas sistÄmas.
U1.1.9. UzbrucÄji ieguva akreditÄcijas datus to noplÅ«des rezultÄtÄ, izmantojot tehniskos kanÄlus (TCUI):
U1.1.9.1. UzbrucÄji novÄroja, kÄ lietotÄjs ievadÄ«ja akreditÄcijas datus no tastatÅ«ras:
U1.1.9.1.1. UzbrucÄji atradÄs lietotÄja tieÅ”Ä tuvumÄ un savÄm acÄ«m redzÄja akreditÄcijas datu ievadi.
Paskaidrojumi U1.1.9.1.1
Pie Å”Ädiem gadÄ«jumiem pieder darba kolÄÄ£u rÄ«cÄ«ba vai gadÄ«jums, kad lietotÄja tastatÅ«ra ir redzama organizÄcijas apmeklÄtÄjiem.
U1.1.9.1.2. UzbrucÄji izmantoja papildu tehniskos lÄ«dzekļus, piemÄram, binokļus vai bezpilota lidaparÄtu, un redzÄja akreditÄcijas datu iekļūŔanu caur logu.
U1.1.9.2. UzbrucÄji ieguva akreditÄcijas datus no radio sakariem starp tastatÅ«ru un datora sistÄmas bloku, kad tie bija savienoti, izmantojot radio interfeisu (piemÄram, Bluetooth).
U1.1.9.3. UzbrucÄji pÄrtvÄra akreditÄcijas datus, nopludinot tos pa viltus elektromagnÄtiskÄ starojuma un traucÄjumu kanÄlu (PEMIN).
Paskaidrojumi U1.1.9.3.
Uzbrukumu piemÄri Šø .
U1.1.9.4. UzbrucÄjs pÄrtvÄra akreditÄcijas datu ievadi no tastatÅ«ras, izmantojot Ä«paÅ”us tehniskos lÄ«dzekļus (STS), kas paredzÄti informÄcijas slepenai iegÅ«Å”anai.
Paskaidrojumi U1.1.9.4.
piemÄri .
U1.1.9.5. UzbrucÄji pÄrtvÄra akreditÄcijas datu ievadi no tastatÅ«ras, izmantojot
Wi-Fi signÄla analÄ«ze, ko modulÄ lietotÄja taustiÅu nospieÅ”anas process.
Paskaidrojumi U1.1.9.5.
PiemÄrs .
U1.1.9.6. UzbrucÄji pÄrtvÄra akreditÄcijas datu ievadi no tastatÅ«ras, analizÄjot taustiÅu nospieÅ”anas skaÅas.
Paskaidrojumi U1.1.9.6.
PiemÄrs .
U1.1.9.7. UzbrucÄji pÄrtvÄra akreditÄcijas datu ievadi no mobilÄs ierÄ«ces tastatÅ«ras, analizÄjot akselerometra rÄdÄ«jumus.
Paskaidrojumi U1.1.9.7.
PiemÄrs .
U1.1.10. <ā¦>, kas iepriekÅ” saglabÄts KlientÄ.
Paskaidrojumi U1.1.10.
PiemÄram, lietotÄjs pÄrlÅ«kprogrammÄ var saglabÄt pieteikumvÄrdu un paroli, lai piekļūtu noteiktai vietnei.
U1.1.11. UzbrucÄji apdraudÄja akreditÄcijas datus lietotÄju piekļuves atcelÅ”anas procesa nepilnÄ«bu dÄļ.
Paskaidrojumi U1.1.11.
PiemÄram, pÄc lietotÄja atlaiÅ”anas viÅa konti palika atbloÄ·Äti.
U1.2. <ā¦> izmantojot piekļuves kontroles sistÄmas ievainojamÄ«bas.
U2. Neatļauta lietotÄja privilÄÄ£iju paaugstinÄÅ”ana informÄcijas sistÄmÄ
SadalÄ«Å”anÄs
U2.1 <ā¦>, veicot nesankcionÄtas izmaiÅas datos, kas satur informÄciju par lietotÄja privilÄÄ£ijÄm.
U2.2 <ā¦>, izmantojot piekļuves kontroles sistÄmas ievainojamÄ«bas.
U2.3. <ā¦> lietotÄju piekļuves pÄrvaldÄ«bas procesa nepilnÄ«bu dÄļ.
Paskaidrojumi U2.3.
1. piemÄrs. LietotÄjam tika dota lielÄka piekļuve darbam, nekÄ viÅam bija nepiecieÅ”ams biznesa apsvÄrumu dÄļ.
2. piemÄrs. PÄc tam, kad lietotÄjs tika pÄrcelts uz citu vietu, iepriekÅ” pieŔķirtÄs piekļuves tiesÄ«bas netika atsauktas.
TIPISKS DRAUDU MODELIS. INTEGRÄCIJAS MODULIS
AizsardzÄ«bas objekts, kuram tiek piemÄrots apdraudÄjuma modelis (tvÄrums).
IntegrÄcijas modulis ir informÄcijas infrastruktÅ«ras objektu kopums, kas paredzÄts informÄcijas apmaiÅas organizÄÅ”anai starp informÄcijas sistÄmÄm.
Å emot vÄrÄ to, ka korporatÄ«vajos tÄ«klos ne vienmÄr ir iespÄjams viennozÄ«mÄ«gi nodalÄ«t vienu informÄcijas sistÄmu no citas, integrÄcijas moduli var uzskatÄ«t arÄ« par savienojoÅ”o saiti starp komponentiem vienas informÄcijas sistÄmas ietvaros.
Arhitektūra
IntegrÄcijas moduļa vispÄrinÄtÄ diagramma izskatÄs Å”Ädi:
Arhitektūras elementu apraksts:
- "ApmaiÅas serveris (SO)" ā informÄcijas sistÄmas mezgls/pakalpojums/komponents, kas veic datu apmaiÅas funkciju ar citu informÄcijas sistÄmu.
- "Starpnieks" ā mezgls/pakalpojums, kas paredzÄts mijiedarbÄ«bas organizÄÅ”anai starp informÄcijas sistÄmÄm, bet nav to daļa.
PiemÄri "Starpnieki" var bÅ«t e-pasta pakalpojumi, uzÅÄmuma pakalpojumu kopnes (uzÅÄmuma pakalpojumu kopne / SoA arhitektÅ«ra), treÅ”o puÅ”u failu serveri utt. KopumÄ integrÄcijas modulis nedrÄ«kst saturÄt āStarpniekusā. - "Datu apstrÄdes programmatÅ«ra" ā programmu kopums, kas realizÄ datu apmaiÅas protokolus un formÄtu konvertÄÅ”anu.
PiemÄram, datu konvertÄÅ”ana no UFEBS formÄta uz ABS formÄtu, ziÅojumu statusu maiÅa pÄrraides laikÄ utt. - "TÄ«kla savienojums" atbilst standarta āTÄ«kla savienojumaā apdraudÄjuma modelÄ« aprakstÄ«tajam objektam. Daži no iepriekÅ” redzamajÄ diagrammÄ redzamajiem tÄ«kla savienojumiem var nepastÄvÄt.
IntegrÄcijas moduļu piemÄri
ShÄma 1. ABS un AWS KBR integrÄcija, izmantojot treÅ”Äs puses failu serveri
Lai veiktu maksÄjumus, pilnvarots bankas darbinieks lejupielÄdÄ elektroniskos maksÄjumu dokumentus no bankas pamatsistÄmas un saglabÄ tos failÄ (savÄ formÄtÄ, piemÄram, SQL dump) tÄ«kla mapÄ (...SHARE) uz failu servera. PÄc tam Å”is fails, izmantojot pÄrveidotÄja skriptu, tiek pÄrveidots par failu kopu UFEBS formÄtÄ, ko pÄc tam nolasa CBD darbstacija.
PÄc tam pilnvarotais darbinieks - automatizÄtÄs darba vietas KBR lietotÄjs - Å”ifrÄ un paraksta saÅemtos failus un nosÅ«ta tos uz Krievijas Bankas maksÄjumu sistÄmu.
Kad tiek saÅemti maksÄjumi no Krievijas Bankas, KBR automatizÄtÄ darba vieta tos atÅ”ifrÄ un pÄrbauda elektronisko parakstu, pÄc tam reÄ£istrÄ tos failu kopas veidÄ UFEBS formÄtÄ failu serverÄ«. Pirms maksÄjuma dokumentu importÄÅ”anas ABS, tie tiek konvertÄti, izmantojot pÄrveidotÄja skriptu no UFEBS formÄta uz ABS formÄtu.
MÄs pieÅemsim, ka Å”ajÄ shÄmÄ ABS darbojas vienÄ fiziskajÄ serverÄ«, KBR darbstacija darbojas speciÄlÄ datorÄ un pÄrveidotÄja skripts darbojas failu serverÄ«.
AplÅ«kojamÄs diagrammas objektu atbilstÄ«ba integrÄcijas moduļa modeļa elementiem:
āApmaiÅas serveris no ABS pusesā - ABS serveris.
āApmaiÅas serveris no AWS KBR pusesā ā datora darbstacija KBR.
"Starpnieks" - treÅ”Äs puses failu serveris.
"Datu apstrÄdes programmatÅ«ra" - pÄrveidotÄja skripts.
2. shÄma. ABS un AWS KBR integrÄcija, ievietojot koplietotu tÄ«kla mapi ar maksÄjumiem AWS KBR
Viss ir lÄ«dzÄ«gs 1. shÄmai, taÄu netiek izmantots atseviŔķs failu serveris, tÄ vietÄ datorÄ ar CBD darbstaciju tiek ievietota tÄ«kla mape (...SHARE) ar elektroniskajiem maksÄjumu dokumentiem. PÄrveidotÄja skripts darbojas arÄ« CBD darbstacijÄ.
AplÅ«kojamÄs diagrammas objektu atbilstÄ«ba integrÄcijas moduļa modeļa elementiem:
LÄ«dzÄ«gi kÄ 1. shÄmÄ, bet "Starpnieks" nav izmantots.
ShÄma 3. ABS un automatizÄtas darba vietas KBR-N integrÄcija caur IBM WebSphera MQ un elektronisko dokumentu parakstÄ«Å”ana āABS pusÄā
ABS darbojas platformÄ, kuru neatbalsta CIPF SCAD paraksts. IzejoÅ”o elektronisko dokumentu parakstÄ«Å”ana tiek veikta uz Ä«paÅ”a elektroniskÄ paraksta servera (ES Server). Tas pats serveris pÄrbauda no Krievijas Bankas ienÄkoÅ”o dokumentu elektronisko parakstu.
ABS augÅ”upielÄdÄ failu ar maksÄjuma dokumentiem savÄ formÄtÄ ES serverÄ«.
ES serveris, izmantojot pÄrveidotÄja skriptu, konvertÄ failu elektroniskajos ziÅojumos UFEBS formÄtÄ, pÄc tam elektroniskie ziÅojumi tiek parakstÄ«ti un pÄrsÅ«tÄ«ti uz IBM WebSphere MQ.
Darbstacija KBR-N piekļūst IBM WebSphere MQ un saÅem no turienes parakstÄ«tus maksÄjumu ziÅojumus, pÄc tam pilnvarots darbinieks - KBR darbstacijas lietotÄjs - tos Å”ifrÄ un nosÅ«ta Krievijas Bankas maksÄjumu sistÄmai.
Kad tiek saÅemti maksÄjumi no Krievijas Bankas, automatizÄtÄ darba vieta KBR-N tos atÅ”ifrÄ un pÄrbauda elektronisko parakstu. VeiksmÄ«gi apstrÄdÄti maksÄjumi atÅ”ifrÄtu un parakstÄ«tu elektronisku ziÅojumu veidÄ UFEBS formÄtÄ tiek pÄrsÅ«tÄ«ti uz IBM WebSphere MQ, no kurienes tos saÅem ElektroniskÄ paraksta serveris.
ElektroniskÄ paraksta serveris pÄrbauda saÅemto maksÄjumu elektronisko parakstu un saglabÄ tos failÄ ABS formÄtÄ. PÄc tam pilnvarotais darbinieks - ABS lietotÄjs - noteiktajÄ veidÄ augÅ”upielÄdÄ iegÅ«to failu ABS.
AplÅ«kojamÄs diagrammas objektu atbilstÄ«ba integrÄcijas moduļa modeļa elementiem:
āApmaiÅas serveris no ABS pusesā - ABS serveris.
āApmaiÅas serveris no AWS KBR pusesā ā datoru darbstacija KBR.
"Starpnieks" ā ES serveris un IBM WebSphere MQ.
"Datu apstrÄdes programmatÅ«ra" ā skriptu pÄrveidotÄjs, CIPF SCAD paraksts ES serverÄ«.
ShÄma 4. RBS servera un bankas pamatsistÄmas integrÄcija, izmantojot API, ko nodroÅ”ina Ä«paÅ”s apmaiÅas serveris
PieÅemsim, ka banka izmanto vairÄkas attÄlinÄtÄs bankas sistÄmas (RBS):
- "Interneta klients-banka" fiziskÄm personÄm (IKB FL);
- "Interneta klients-banka" juridiskÄm personÄm (IKB LE).
Lai nodroÅ”inÄtu informÄcijas droŔību, visa mijiedarbÄ«ba starp ABS un attÄlinÄtajÄm banku sistÄmÄm tiek veikta caur speciÄlu apmaiÅas serveri, kas darbojas ABS informÄcijas sistÄmas ietvaros.
TÄlÄk mÄs apsvÄrsim mijiedarbÄ«bas procesu starp IKB LE RBS sistÄmu un ABS.
RBS serverim, saÅemot no klienta atbilstoÅ”i apliecinÄtu maksÄjuma uzdevumu, uz tÄ pamata ABS ir jÄizveido atbilstoÅ”s dokuments. Lai to izdarÄ«tu, izmantojot API, tas pÄrsÅ«ta informÄciju uz apmaiÅas serveri, kas, savukÄrt, ievada datus ABS.
Mainoties klienta konta atlikumiem, ABS Ä£enerÄ elektroniskus paziÅojumus, kas tiek pÄrsÅ«tÄ«ti uz attÄlo bankas serveri, izmantojot maiÅas serveri.
AplÅ«kojamÄs diagrammas objektu atbilstÄ«ba integrÄcijas moduļa modeļa elementiem:
āApmaiÅas serveris no RBS pusesā ā IKB YUL RBS serveris.
āApmaiÅas serveris no ABS pusesā - apmaiÅas serveris.
"Starpnieks" - klÄt.
"Datu apstrÄdes programmatÅ«ra" ā RBS servera komponenti, kas atbild par apmaiÅas servera API izmantoÅ”anu, apmaiÅas servera komponenti, kas ir atbildÄ«gi par pamata bankas API izmantoÅ”anu.
AugstÄkÄ lÄ«meÅa droŔības draudi
SadalÄ«Å”anÄs
U1. Nepatiesas informÄcijas ievadÄ«Å”ana, ko veic uzbrucÄji, izmantojot integrÄcijas moduli.
U1. Nepatiesas informÄcijas ievadÄ«Å”ana, ko veic uzbrucÄji, izmantojot integrÄcijas moduli
SadalÄ«Å”anÄs
U1.1. LeÄ£itÄ«mu datu neatļauta modifikÄcija, pÄrraidot, izmantojot tÄ«kla savienojumus:
U1.1.1 saite: .
U1.2. Nepatiesu datu pÄrsÅ«tÄ«Å”ana, izmantojot sakaru kanÄlus likumÄ«ga apmaiÅas dalÄ«bnieka vÄrdÄ:
U1.1.2 saite: .
U1.3. LeÄ£itÄ«mu datu neatļauta modifikÄcija to apstrÄdes laikÄ Exchange serveros vai starpniekÄ:
U1.3.1. Saite: .
U1.4. Nepatiesu datu izveide Exchange serveros vai starpniekÄ likumÄ«ga apmaiÅas dalÄ«bnieka vÄrdÄ:
U1.4.1. Saite:
U1.5. Neatļauta datu pÄrveidoÅ”ana, apstrÄdÄjot, izmantojot datu apstrÄdes programmatÅ«ru:
U1.5.1. <ā¦> jo uzbrucÄji veic nesankcionÄtas izmaiÅas datu apstrÄdes programmatÅ«ras iestatÄ«jumos (konfigurÄcijÄ).
U1.5.2. <ā¦> jo uzbrucÄji veic nesankcionÄtas izmaiÅas datu apstrÄdes programmatÅ«ras izpildÄmajos failos.
U1.5.3. <ā¦> uzbrucÄju veiktÄs interaktÄ«vas datu apstrÄdes programmatÅ«ras kontroles dÄļ.
TIPISKS DRAUDU MODELIS. KRIPTOGRAFISKÄS INFORMÄCIJAS AIZSARDZÄŖBAS SISTÄMA
AizsardzÄ«bas objekts, kuram tiek piemÄrots apdraudÄjuma modelis (tvÄrums).
AizsardzÄ«bas objekts ir kriptogrÄfiska informÄcijas aizsardzÄ«bas sistÄma, ko izmanto informÄcijas sistÄmas droŔības nodroÅ”inÄÅ”anai.
Arhitektūra
Jebkuras informÄcijas sistÄmas pamatÄ ir lietojumprogrammatÅ«ra, kas realizÄ tÄs mÄrÄ·a funkcionalitÄti.
KriptogrÄfiskÄ aizsardzÄ«ba parasti tiek Ä«stenota, izsaucot kriptogrÄfijas primitÄ«vus no lietojumprogrammatÅ«ras biznesa loÄ£ikas, kas atrodas specializÄtÄs bibliotÄkÄs ā kriptokodos.
KriptogrÄfiskie primitÄ«vi ietver zema lÄ«meÅa kriptogrÄfijas funkcijas, piemÄram:
- Å”ifrÄt/atÅ”ifrÄt datu bloku;
- izveidot/pÄrbaudÄ«t datu bloka elektronisko parakstu;
- aprÄÄ·ina datu bloka jaucÄjfunkciju;
- Ä£enerÄt/ielÄdÄt/augÅ”upielÄdÄt galveno informÄciju;
- uc
LietojumprogrammatÅ«ras biznesa loÄ£ika Ä«steno augstÄka lÄ«meÅa funkcionalitÄti, izmantojot kriptogrÄfijas primitÄ«vus:
- Å”ifrÄt failu, izmantojot atlasÄ«to adresÄtu atslÄgas;
- izveidot droŔu tīkla savienojumu;
- informÄ par elektroniskÄ paraksta pÄrbaudes rezultÄtiem;
- un tÄ tÄlÄk.
Biznesa loÄ£ikas un kriptogrÄfijas kodola mijiedarbÄ«bu var veikt:
- tieÅ”i, ar biznesa loÄ£iku, izsaucot kriptogrÄfijas primitÄ«vus no kriptogrÄfijas kodola dinamiskajÄm bibliotÄkÄm (.DLL operÄtÄjsistÄmai Windows, .SO operÄtÄjsistÄmai Linux);
- tieÅ”i, izmantojot kriptogrÄfiskÄs saskarnes - iesaiÅotÄjus, piemÄram, MS Crypto API, Java Cryptography Architecture, PKCS#11 utt. Å ajÄ gadÄ«jumÄ biznesa loÄ£ika piekļūst kriptogrÄfijas interfeisam, un tas pÄrvÄrÅ” zvanu uz atbilstoÅ”o kriptogrÄfijas kodolu, kas Å”o gadÄ«jumu sauc par kriptovalÅ«tu nodroÅ”inÄtÄju. KriptogrÄfisko saskarÅu izmantoÅ”ana ļauj lietojumprogrammatÅ«rai abstrahÄties no konkrÄtiem kriptogrÄfijas algoritmiem un bÅ«t elastÄ«gÄkai.
Kriptokodola organizÄÅ”anai ir divas tipiskas shÄmas:
1. shÄma ā MonolÄ«ts kriptogrÄfijas kodols
2. shÄma ā sadalÄ«ts kriptogrÄfijas kodols
IepriekÅ” minÄto diagrammu elementi var bÅ«t vai nu atseviŔķi programmatÅ«ras moduļi, kas darbojas vienÄ datorÄ, vai tÄ«kla pakalpojumi, kas mijiedarbojas datortÄ«klÄ.
Izmantojot sistÄmas, kas izveidotas saskaÅÄ ar 1. shÄmu, lietojumprogrammatÅ«ra un kriptogrÄfijas kodols darbojas vienÄ kriptogrÄfijas rÄ«ka (SFC) darbÄ«bas vidÄ, piemÄram, tajÄ paÅ”Ä datorÄ, kurÄ darbojas viena un tÄ pati operÄtÄjsistÄma. SistÄmas lietotÄjs, kÄ likums, var palaist citas programmas, tostarp tÄs, kas satur ļaunprÄtÄ«gu kodu, tajÄ paÅ”Ä darbÄ«bas vidÄ. Å Ädos apstÄkļos pastÄv nopietns privÄto kriptogrÄfisko atslÄgu noplÅ«des risks.
Lai samazinÄtu risku, tiek izmantota 2. shÄma, kurÄ kriptogrÄfijas kodols ir sadalÄ«ts divÄs daļÄs:
- PirmÄ daļa kopÄ ar lietojumprogrammatÅ«ru darbojas neuzticamÄ vidÄ, kur pastÄv risks inficÄties ar ļaunprÄtÄ«gu kodu. MÄs Å”o daļu sauksim par āprogrammatÅ«ras daļuā.
- OtrÄ daļa darbojas uzticamÄ vidÄ Ä«paÅ”Ä ierÄ«cÄ, kurÄ ir privÄtÄs atslÄgas krÄtuve. TurpmÄk Å”o daļu sauksim par āaparatÅ«ruā.
Kriptokodola sadalÄ«Å”ana programmatÅ«ras un aparatÅ«ras daļÄs ir ļoti patvaļīga. TirgÅ« ir sistÄmas, kas veidotas pÄc shÄmas ar dalÄ«tu kriptokodolu, bet kuras āaparatÅ«rasā daļa tiek parÄdÄ«ta virtuÄlÄs maŔīnas attÄla formÄ - virtuÄlÄ HSM ().
Kriptokodola abu daļu mijiedarbÄ«ba notiek tÄ, ka privÄtÄs kriptogrÄfiskÄs atslÄgas nekad netiek pÄrsÅ«tÄ«tas uz programmatÅ«ras daļu un attiecÄ«gi nevar tikt nozagtas, izmantojot ļaunprÄtÄ«gu kodu.
MijiedarbÄ«bas saskarne (API) un kriptogrÄfijas primitÄ«vu kopums, ko lietojumprogrammatÅ«rai nodroÅ”ina kriptogrÄfijas kodols, abos gadÄ«jumos ir vienÄdi. AtŔķirÄ«ba ir to Ä«stenoÅ”anas veidÄ.
TÄdÄjÄdi, izmantojot shÄmu ar sadalÄ«tu kriptokodolu, programmatÅ«ras un aparatÅ«ras mijiedarbÄ«ba tiek veikta saskaÅÄ ar Å”Ädu principu:
- KriptogrÄfiskÄs primitÄ«vas, kurÄm nav nepiecieÅ”ams izmantot privÄto atslÄgu (piemÄram, jaucÄjfunkcijas aprÄÄ·inÄÅ”ana, elektroniskÄ paraksta pÄrbaude utt.), veic programmatÅ«ra.
- KriptogrÄfiskÄs primitÄ«vas, kurÄs tiek izmantota privÄtÄ atslÄga (elektroniskÄ paraksta izveide, datu atÅ”ifrÄÅ”ana utt.), tiek veiktas ar aparatÅ«ru.
IlustrÄsim sadalÄ«tÄ kriptogrÄfijas kodola darbu, izmantojot elektroniskÄ paraksta izveides piemÄru:
- ProgrammatÅ«ras daļa aprÄÄ·ina parakstÄ«to datu jaucÄjfunkciju un pÄrsÅ«ta Å”o vÄrtÄ«bu uz aparatÅ«ru, izmantojot apmaiÅas kanÄlu starp kriptogrÄfijas kodoliem.
- AparatÅ«ras daļa, izmantojot privÄto atslÄgu un hash, Ä£enerÄ elektroniskÄ paraksta vÄrtÄ«bu un nosÅ«ta to programmatÅ«ras daļai, izmantojot apmaiÅas kanÄlu.
- ProgrammatÅ«ras daļa atgriež saÅemto vÄrtÄ«bu lietojumprogrammatÅ«rai.
ElektroniskÄ paraksta pareizÄ«bas pÄrbaudes iezÄ«mes
Kad saÅÄmÄja puse saÅem elektroniski parakstÄ«tus datus, tai jÄveic vairÄkas pÄrbaudes darbÄ«bas. PozitÄ«vs elektroniskÄ paraksta pÄrbaudes rezultÄts tiek sasniegts tikai tad, ja visi verifikÄcijas posmi ir veiksmÄ«gi pabeigti.
1. posms. Datu integritÄtes un datu autorÄ«bas kontrole.
Skatuves saturs. Datu elektroniskais paraksts tiek pÄrbaudÄ«ts, izmantojot atbilstoÅ”u kriptogrÄfijas algoritmu. SekmÄ«ga Ŕī posma pabeigÅ”ana norÄda, ka dati nav mainÄ«ti kopÅ” to parakstÄ«Å”anas brīža, kÄ arÄ« to, ka paraksts tika veikts ar privÄto atslÄgu, kas atbilst publiskajai elektroniskÄ paraksta pÄrbaudes atslÄgai.
Skatuves atraÅ”anÄs vieta: kriptogrÄfijas kodols.
2. posms. ParakstÄ«tÄja publiskajai atslÄgai uzticÄÅ”anÄs kontrole un elektroniskÄ paraksta privÄtÄs atslÄgas derÄ«guma termiÅa kontrole.
Skatuves saturs. Posms sastÄv no diviem starpposmiem. Pirmais ir noteikt, vai elektroniskÄ paraksta pÄrbaudes publiskÄ atslÄga datu parakstÄ«Å”anas laikÄ bija uzticama. Otrais nosaka, vai elektroniskÄ paraksta privÄtÄ atslÄga bija derÄ«ga datu parakstÄ«Å”anas brÄ«dÄ«. Parasti Å”o atslÄgu derÄ«guma termiÅi var nesakrist (piemÄram, elektroniskÄ paraksta pÄrbaudes atslÄgu kvalificÄtiem sertifikÄtiem). Metodes uzticÄ«bas parakstÄ«tÄja publiskajai atslÄgai noteikÅ”anai nosaka mijiedarbÄ«bas puÅ”u pieÅemtie elektronisko dokumentu pÄrvaldÄ«bas noteikumi.
Skatuves atraÅ”anÄs vieta: lietojumprogrammatÅ«ra / kriptogrÄfijas kodols.
3. posms. ParakstÄ«tÄja pilnvaru kontrole.
Skatuves saturs. SaskaÅÄ ar noteiktajiem elektronisko dokumentu pÄrvaldÄ«bas noteikumiem tiek pÄrbaudÄ«ts, vai parakstÄ«tÄjam bija tiesÄ«bas apliecinÄt aizsargÄtos datus. KÄ piemÄru minÄsim situÄciju ar pilnvaru pÄrkÄpÅ”anu. PieÅemsim, ka ir organizÄcija, kurÄ visiem darbiniekiem ir elektroniskais paraksts. IekÅ”ÄjÄ elektroniskÄ dokumentu pÄrvaldÄ«bas sistÄma saÅem rÄ«kojumu no pÄrvaldnieka, bet parakstÄ«ts ar noliktavas pÄrziÅa elektronisko parakstu. AttiecÄ«gi Å”Ädu dokumentu nevar uzskatÄ«t par likumÄ«gu.
Skatuves atraÅ”anÄs vieta: lietojumprogrammatÅ«ra.
PieÅÄmumi, kas izdarÄ«ti, aprakstot aizsardzÄ«bas objektu
- InformÄcijas pÄrraides kanÄli, izÅemot atslÄgu apmaiÅas kanÄlus, arÄ« iet caur lietojumprogrammatÅ«ru, API un Å”ifrÄÅ”anas kodolu.
- InformÄcija par uzticÄÅ”anos publiskajÄm atslÄgÄm un (vai) sertifikÄtiem, kÄ arÄ« informÄcija par publiskÄs atslÄgas Ä«paÅ”nieku pilnvarÄm atrodas publisko atslÄgu krÄtuvÄ.
- LietojumprogrammatÅ«ra darbojas ar publisko atslÄgu krÄtuvi, izmantojot kriptogrÄfijas kodolu.
Ar CIPF aizsargÄtas informÄcijas sistÄmas piemÄrs
Lai ilustrÄtu iepriekÅ” parÄdÄ«tÄs diagrammas, aplÅ«kosim hipotÄtisku informÄcijas sistÄmu un izcelsim visus tajÄ esoÅ”os strukturÄlos elementus.
InformÄcijas sistÄmas apraksts
Abas organizÄcijas nolÄma savÄ starpÄ ieviest juridiski nozÄ«mÄ«gu elektronisko dokumentu pÄrvaldÄ«bu (EDF). Lai to izdarÄ«tu, viÅi noslÄdza lÄ«gumu, kurÄ noteica, ka dokumenti tiks pÄrsÅ«tÄ«ti pa e-pastu, vienlaikus tiem jÄbÅ«t Å”ifrÄtiem un parakstÄ«tiem ar kvalificÄtu elektronisko parakstu. KÄ rÄ«ki dokumentu izveidei un apstrÄdei jÄizmanto Office programmas no Microsoft Office 2016 pakotnes, bet kÄ kriptogrÄfiskÄs aizsardzÄ«bas lÄ«dzeklis jÄizmanto CIPF CryptoPRO un Å”ifrÄÅ”anas programmatÅ«ra CryptoARM.
OrganizÄcijas infrastruktÅ«ras apraksts 1
1. organizÄcija nolÄma, ka tÄ instalÄs CIPF CryptoPRO un CryptoARM programmatÅ«ru lietotÄja darbstacijÄ ā fiziskajÄ datorÄ. Å ifrÄÅ”anas un elektroniskÄ paraksta atslÄgas tiks glabÄtas ruToken atslÄgu datu nesÄjÄ, darbojoties izgÅ«stamÄs atslÄgas režīmÄ. LietotÄjs sagatavos elektroniskos dokumentus lokÄli savÄ datorÄ, pÄc tam tos Å”ifrÄs, parakstÄ«s un nosÅ«tÄ«s, izmantojot lokÄli instalÄtu e-pasta klientu.
OrganizÄcijas infrastruktÅ«ras apraksts 2
2. organizÄcija nolÄma pÄrvietot Å”ifrÄÅ”anas un elektroniskÄ paraksta funkcijas uz Ä«paÅ”u virtuÄlo maŔīnu. Å ajÄ gadÄ«jumÄ visas kriptogrÄfijas darbÄ«bas tiks veiktas automÄtiski.
Lai to izdarÄ«tu, speciÄlajÄ virtuÄlajÄ maŔīnÄ tiek organizÄtas divas tÄ«kla mapes: ā...Inā, ā...Outā. Faili, kas saÅemti no darÄ«juma partnera atvÄrtÄ veidÄ, tiks automÄtiski ievietoti tÄ«kla mapÄ āā¦Inā. Å ie faili tiks atÅ”ifrÄti un elektroniskais paraksts tiks pÄrbaudÄ«ts.
LietotÄjs ievietos mapÄ āā¦Outā failus, kas ir jÄÅ”ifrÄ, jÄparaksta un jÄnosÅ«ta darÄ«juma partnerim. LietotÄjs pats sagatavos failus savÄ darbstacijÄ.
Lai veiktu Å”ifrÄÅ”anas un elektroniskÄ paraksta funkcijas, virtuÄlajÄ maŔīnÄ ir instalÄta CIPF CryptoPRO, CryptoARM programmatÅ«ra un e-pasta klients. Visu virtuÄlÄs maŔīnas elementu automÄtiskÄ pÄrvaldÄ«ba tiks veikta, izmantojot sistÄmas administratoru izstrÄdÄtus skriptus. Skriptu darbs tiek reÄ£istrÄts žurnÄlfailos.
ElektroniskÄ paraksta kriptogrÄfiskÄs atslÄgas tiks novietotas uz marÄ·iera ar neatgÅ«stamu JaCarta GOST atslÄgu, kuru lietotÄjs savienos ar savu lokÄlo datoru.
Tokens tiks pÄrsÅ«tÄ«ts uz virtuÄlo maŔīnu, izmantojot specializÄtu USB-over-IP programmatÅ«ru, kas instalÄta lietotÄja darbstacijÄ un virtuÄlajÄ maŔīnÄ.
SistÄmas pulkstenis lietotÄja darbstacijÄ 1. organizÄcijÄ tiks noregulÄts manuÄli. 2. organizÄcijÄ paredzÄtÄs virtuÄlÄs maŔīnas sistÄmas pulkstenis tiks sinhronizÄts ar hipervizora sistÄmas pulksteni, kas savukÄrt tiks sinhronizÄts internetÄ ar publiskajiem laika serveriem.
CIPF strukturÄlo elementu identificÄÅ”ana
Pamatojoties uz iepriekÅ” sniegto IT infrastruktÅ«ras aprakstu, mÄs izcelsim CIPF strukturÄlos elementus un ierakstÄ«sim tos tabulÄ.
Tabula - CIPF modeļa elementu atbilstÄ«ba informÄcijas sistÄmas elementiem
Vienuma nosaukums
OrganizÄcija 1
OrganizÄcija 2
Lietojumprogrammatūra
CryptoARM programmatūra
CryptoARM programmatūra
ProgrammatÅ«ras daļa no kriptogrÄfijas kodola
CIPF CryptoPRO CSP
CIPF CryptoPRO CSP
Kripto pamata aparatūra
nÄ
JaCarta GOST
API
MS CryptoAPI
MS CryptoAPI
Publisko atslÄgu veikals
LietotÄja darbstacija:
- HDD;
- standarta Windows sertifikÄtu veikals.
Hipervizors:
- HDD.
VirtuÄlÄ iekÄrta:
- HDD;
- standarta Windows sertifikÄtu veikals.
PrivÄtÄ atslÄgu glabÄtuve
ruToken atslÄgu nesÄjs, kas darbojas izgÅ«stamÄs atslÄgas režīmÄ
JaCarta GOST atslÄgu nesÄjs, kas darbojas nenoÅemamÄ atslÄgas režīmÄ
PubliskÄs atslÄgas apmaiÅas kanÄls
LietotÄja darbstacija:
- RAM.
Hipervizors:
- RAM.
VirtuÄlÄ iekÄrta:
- RAM.
PrivÄto atslÄgu apmaiÅas kanÄls
LietotÄja darbstacija:
ā USB kopne;
- RAM.
nÄ
ApmaiÅas kanÄls starp kriptogrÄfijas kodoliem
trÅ«kst (nav Å”ifrÄÅ”anas pamata aparatÅ«ras)
LietotÄja darbstacija:
ā USB kopne;
- RAM;
ā USB-over-IP programmatÅ«ras modulis;
- tīkla interfeiss.
OrganizÄcijas korporatÄ«vais tÄ«kls 2.
Hipervizors:
- RAM;
- tīkla interfeiss.
VirtuÄlÄ iekÄrta:
ā tÄ«kla interfeiss;
- RAM;
ā USB-over-IP programmatÅ«ras modulis.
Atveriet datu kanÄlu
LietotÄja darbstacija:
ā ievades-izejas lÄ«dzekļi;
- RAM;
- HDD.
LietotÄja darbstacija:
ā ievades-izejas lÄ«dzekļi;
- RAM;
- HDD;
- tīkla interfeiss.
OrganizÄcijas korporatÄ«vais tÄ«kls 2.
Hipervizors:
ā tÄ«kla interfeiss;
- RAM;
- HDD.
VirtuÄlÄ iekÄrta:
ā tÄ«kla interfeiss;
- RAM;
- HDD.
DroÅ”s datu apmaiÅas kanÄls
Internets.
OrganizÄcijas korporatÄ«vais tÄ«kls 1.
LietotÄja darbstacija:
- HDD;
- RAM;
- tīkla interfeiss.
Internets.
OrganizÄcijas korporatÄ«vais tÄ«kls 2.
Hipervizors:
ā tÄ«kla interfeiss;
- RAM;
- HDD.
VirtuÄlÄ iekÄrta:
ā tÄ«kla interfeiss;
- RAM;
- HDD.
Laika kanÄls
LietotÄja darbstacija:
ā ievades-izejas lÄ«dzekļi;
- RAM;
- sistÄmas taimeris.
Internets.
2. organizÄcijas korporatÄ«vais tÄ«kls,
Hipervizors:
ā tÄ«kla interfeiss;
- RAM;
- sistÄmas taimeris.
VirtuÄlÄ iekÄrta:
- RAM;
- sistÄmas taimeris.
VadÄ«bas komandu pÄrraides kanÄls
LietotÄja darbstacija:
ā ievades-izejas lÄ«dzekļi;
- RAM.
(CryptoARM programmatÅ«ras grafiskais lietotÄja interfeiss)
VirtuÄlÄ iekÄrta:
- RAM;
- HDD.
(AutomatizÄcijas skripti)
KanÄls darba rezultÄtu saÅemÅ”anai
LietotÄja darbstacija:
ā ievades-izejas lÄ«dzekļi;
- RAM.
(CryptoARM programmatÅ«ras grafiskais lietotÄja interfeiss)
VirtuÄlÄ iekÄrta:
- RAM;
- HDD.
(AutomatizÄcijas skriptu žurnÄlfaili)
AugstÄkÄ lÄ«meÅa droŔības draudi
Paskaidrojumi
PieÅÄmumi, kas veikti, sadalot draudus:
- Tiek izmantoti spÄcÄ«gi kriptogrÄfijas algoritmi.
- KriptogrÄfiskie algoritmi tiek droÅ”i izmantoti pareizajos darbÄ«bas režīmos (piem. netiek izmantots liela apjoma datu Å”ifrÄÅ”anai, tiek Åemta vÄrÄ atslÄgas pieļaujamÄ slodze utt.).
- UzbrucÄji zina visus izmantotos algoritmus, protokolus un publiskÄs atslÄgas.
- UzbrucÄji var lasÄ«t visus Å”ifrÄtos datus.
- UzbrucÄji spÄj reproducÄt jebkurus programmatÅ«ras elementus sistÄmÄ.
SadalÄ«Å”anÄs
U1. PrivÄto kriptogrÄfisko atslÄgu kompromitÄÅ”ana.
U2. Viltus datu Å”ifrÄÅ”ana likumÄ«gÄ sÅ«tÄ«tÄja vÄrdÄ.
U3. Å ifrÄtu datu atÅ”ifrÄÅ”ana, ko veic personas, kuras nav likumÄ«gas datu saÅÄmÄjas (uzbrucÄji).
U4. LikumÄ«ga parakstÄ«tÄja elektroniskÄ paraksta izveide zem nepatiesiem datiem.
U5. PozitÄ«va rezultÄta iegÅ«Å”ana no viltotu datu elektroniskÄ paraksta pÄrbaudes.
U6. Kļūdaina elektronisko dokumentu pieÅemÅ”ana izpildei sakarÄ ar problÄmÄm elektronisko dokumentu plÅ«smas organizÄÅ”anÄ.
U7. Neatļauta piekļuve aizsargÄtiem datiem to apstrÄdes laikÄ, ko veic CIPF.
U1. PrivÄto kriptogrÄfisko atslÄgu kompromitÄÅ”ana
U1.1. PrivÄtÄs atslÄgas izgÅ«Å”ana no privÄto atslÄgu krÄtuves.
U1.2. PrivÄtÄs atslÄgas iegÅ«Å”ana no objektiem kriptogrÄfijas rÄ«ka darbÄ«bas vidÄ, kurÄ tÄ var Ä«slaicÄ«gi atrasties.
Paskaidrojumi U1.2.
Objekti, kas var Ä«slaicÄ«gi saglabÄt privÄto atslÄgu, ir:
- RAM,
- pagaidu faili,
- apmainīt failus,
- hibernÄcijas faili,
- momentuzÅÄmumu faili virtuÄlo maŔīnu ākarstajÄā stÄvoklÄ«, tostarp apturÄto virtuÄlo maŔīnu RAM satura faili.
U1.2.1. PrivÄto atslÄgu izvilkÅ”ana no darba RAM, iesaldÄjot RAM moduļus, noÅemot tos un pÄc tam nolasot datus (iesaldÄÅ”anas uzbrukums).
Paskaidrojumi U1.2.1.
PiemÄrs .
U1.3. PrivÄtÄs atslÄgas iegÅ«Å”ana no privÄtÄs atslÄgas apmaiÅas kanÄla.
Paskaidrojumi U1.3.
Tiks sniegts Å”o draudu Ä«stenoÅ”anas piemÄrs .
U1.4. Kriptokodola neatļauta modifikÄcija, kÄ rezultÄtÄ uzbrucÄjiem kļūst zinÄmas privÄtÄs atslÄgas.
U1.5. PrivÄtÄs atslÄgas kompromitÄÅ”ana tehniskÄs informÄcijas noplÅ«des kanÄlu (TCIL) izmantoÅ”anas rezultÄtÄ.
Paskaidrojumi U1.5.
PiemÄrs .
U1.6. PrivÄtÄs atslÄgas kompromitÄÅ”ana Ä«paÅ”u tehnisko lÄ«dzekļu (STS) izmantoÅ”anas rezultÄtÄ, kas paredzÄti slepenai informÄcijas izguvei (ābugsā).
U1.7. PrivÄto atslÄgu kompromitÄÅ”ana to uzglabÄÅ”anas laikÄ Ärpus CIPF.
Paskaidrojumi U1.7.
PiemÄram, lietotÄjs glabÄ savus galvenos multivides failus darbvirsmas atvilktnÄ, no kuras uzbrucÄji tos var viegli izgÅ«t.
U2. Viltus datu Å”ifrÄÅ”ana likumÄ«ga sÅ«tÄ«tÄja vÄrdÄ
Paskaidrojumi
Å is drauds tiek Åemts vÄrÄ tikai datu Å”ifrÄÅ”anas shÄmÄm ar sÅ«tÄ«tÄja autentifikÄciju. Å Ädu shÄmu piemÄri ir norÄdÄ«ti standartizÄcijas ieteikumos . CitÄm kriptogrÄfijas shÄmÄm Å”is drauds nepastÄv, jo Å”ifrÄÅ”ana tiek veikta ar saÅÄmÄja publiskajÄm atslÄgÄm, un tÄs parasti ir zinÄmas uzbrucÄjiem.
SadalÄ«Å”anÄs
U2.1. SÅ«tÄ«tÄja privÄtÄs atslÄgas kompromitÄÅ”ana:
U2.1.1. Saite: .
U2.2. Ievaddatu aizstÄÅ”ana atvÄrtÄ datu apmaiÅas kanÄlÄ.
Piezīmes U2.2.
TÄlÄk ir sniegti Å”o draudu Ä«stenoÅ”anas piemÄri. Šø .
U3. Å ifrÄtu datu atÅ”ifrÄÅ”ana, ko veic personas, kuras nav likumÄ«gas datu saÅÄmÄjas (uzbrucÄji)
SadalÄ«Å”anÄs
U3.1. Å ifrÄto datu saÅÄmÄja privÄto atslÄgu kompromitÄÅ”ana.
U3.1.1 saite: .
U3.2. Å ifrÄtu datu aizstÄÅ”ana droÅ”Ä datu apmaiÅas kanÄlÄ.
U4. LikumÄ«ga parakstÄ«tÄja elektroniskÄ paraksta izveide zem nepatiesiem datiem
SadalÄ«Å”anÄs
U4.1. LikumÄ«ga parakstÄ«tÄja elektroniskÄ paraksta privÄto atslÄgu kompromitÄÅ”ana.
U4.1.1 saite: .
U4.2. ParakstÄ«to datu aizstÄÅ”ana atvÄrtÄ datu apmaiÅas kanÄlÄ.
Piezīme U4.2.
TÄlÄk ir sniegti Å”o draudu Ä«stenoÅ”anas piemÄri. Šø .
U5. PozitÄ«va rezultÄta iegÅ«Å”ana no viltotu datu elektroniskÄ paraksta pÄrbaudes
SadalÄ«Å”anÄs
U5.1. UzbrucÄji pÄrtver ziÅojumu darba rezultÄtu pÄrsÅ«tÄ«Å”anas kanÄlÄ par negatÄ«vu elektroniskÄ paraksta pÄrbaudes rezultÄtu un aizstÄj to ar ziÅojumu ar pozitÄ«vu rezultÄtu.
U5.2. UzbrucÄji uzbrÅ«k uzticÄ«bai sertifikÄtu parakstÄ«Å”anai (SCRIPT ā visi elementi ir nepiecieÅ”ami):
U5.2.1. UzbrucÄji Ä£enerÄ publisko un privÄto atslÄgu elektroniskajam parakstam. Ja sistÄma izmanto elektroniskÄ paraksta atslÄgu sertifikÄtus, tad tie Ä£enerÄ elektroniskÄ paraksta sertifikÄtu, kas ir pÄc iespÄjas lÄ«dzÄ«gÄks to datu paredzÄtÄ sÅ«tÄ«tÄja sertifikÄtam, kura ziÅojumu vÄlas viltot.
U5.2.2. UzbrucÄji veic nesankcionÄtas izmaiÅas publisko atslÄgu krÄtuvÄ, nodroÅ”inot publiskajai atslÄgai nepiecieÅ”amo uzticÄ«bas un pilnvaru lÄ«meni.
U5.2.3. UzbrucÄji paraksta nepatiesus datus ar iepriekÅ” Ä£enerÄtu elektroniskÄ paraksta atslÄgu un ievieto to droÅ”ajÄ datu apmaiÅas kanÄlÄ.
U5.3. UzbrucÄji veic uzbrukumu, izmantojot likumÄ«ga parakstÄ«tÄja elektroniskÄ paraksta atslÄgas, kurÄm beidzies derÄ«guma termiÅÅ” (SCRIPT ā visi elementi ir nepiecieÅ”ami):
U5.3.1. UzbrucÄji apdraud likumÄ«ga sÅ«tÄ«tÄja elektroniskÄ paraksta privÄtÄs atslÄgas, kurÄm beidzies derÄ«guma termiÅÅ” (paÅ”laik nav derÄ«gas).
U5.3.2. UzbrucÄji aizstÄj laiku laika pÄrraides kanÄlÄ ar laiku, kurÄ apdraudÄtÄs atslÄgas vÄl bija derÄ«gas.
U5.3.3. UzbrucÄji paraksta nepatiesus datus ar iepriekÅ” apdraudÄtu elektroniskÄ paraksta atslÄgu un ievada to droÅ”ajÄ datu apmaiÅas kanÄlÄ.
U5.4. UzbrucÄji veic uzbrukumu, izmantojot likumÄ«ga parakstÄ«tÄja kompromitÄtas elektroniskÄ paraksta atslÄgas (SCRIPT ā visi elementi ir nepiecieÅ”ami):
U5.4.1. UzbrucÄjs izveido publiskÄs atslÄgas krÄtuves kopiju.
U5.4.2. UzbrucÄji apdraud viena likumÄ«gÄ sÅ«tÄ«tÄja privÄtÄs atslÄgas. ViÅÅ” pamana kompromisu, atsauc atslÄgas, un informÄcija par atslÄgas atsaukÅ”anu tiek ievietota publisko atslÄgu krÄtuvÄ.
U5.4.3. UzbrucÄji aizvieto publisko atslÄgu krÄtuvi ar iepriekÅ” kopÄtu.
U5.4.4. UzbrucÄji paraksta nepatiesus datus ar iepriekÅ” apdraudÄtu elektroniskÄ paraksta atslÄgu un ievada to droÅ”ajÄ datu apmaiÅas kanÄlÄ.
U5.5. <ā¦> sakarÄ ar kļūdu esamÄ«bu elektroniskÄ paraksta pÄrbaudes 2. un 3. posma ievieÅ”anÄ:
Paskaidrojumi U5.5.
Tiek sniegts Å”o draudu Ä«stenoÅ”anas piemÄrs .
U5.5.1. ElektroniskÄ paraksta atslÄgas sertifikÄta uzticamÄ«bas pÄrbaude tikai pÄc uzticamÄ«bas klÄtbÅ«tnes sertifikÄtam, ar kuru tas ir parakstÄ«ts, bez CRL vai OCSP pÄrbaudÄm.
Paskaidrojumi U5.5.1.
ÄŖstenoÅ”anas piemÄrs .
U5.5.2. Veidojot uzticamÄ«bas Ä·Ädi sertifikÄtam, sertifikÄtu izsniedzÄjas iestÄdes netiek analizÄtas
Paskaidrojumi U5.5.2.
PiemÄrs uzbrukumam pret SSL/TLS sertifikÄtiem.
UzbrucÄji savam e-pastam iegÄdÄjÄs likumÄ«gu sertifikÄtu. PÄc tam viÅi izveidoja krÄpnieciskas vietnes sertifikÄtu un parakstÄ«ja to ar savu sertifikÄtu. Ja akreditÄcijas dati netiek pÄrbaudÄ«ti, tad, pÄrbaudot uzticÄ«bas Ä·Ädi, tÄ izrÄdÄ«sies pareiza, un attiecÄ«gi arÄ« krÄpnieciskais sertifikÄts bÅ«s pareizs.
U5.5.3. Veidojot sertifikÄtu uzticamÄ«bas Ä·Ädi, starpposma sertifikÄti netiek pÄrbaudÄ«ti, vai tie nav atsaukti.
U5.5.4. CRL tiek atjauninÄti retÄk, nekÄ tos izsniedz sertifikÄcijas iestÄde.
U5.5.5. LÄmums par uzticÄÅ”anos elektroniskajam parakstam tiek pieÅemts pirms tiek saÅemta OCSP atbilde par sertifikÄta statusu, nosÅ«tÄ«ta pÄc pieprasÄ«juma, kas veikts vÄlÄk par paraksta Ä£enerÄÅ”anas laiku vai agrÄk par nÄkamo CRL pÄc paraksta Ä£enerÄÅ”anas.
Paskaidrojumi U5.5.5.
LielÄkajÄ daÄ¼Ä CA noteikumos par sertifikÄta atsaukÅ”anas laiku tiek uzskatÄ«ts tuvÄkÄ CRL, kurÄ ir informÄcija par sertifikÄta atsaukÅ”anu, izdoÅ”anas brÄ«dis.
U5.5.6. SaÅemot parakstÄ«tus datus, netiek pÄrbaudÄ«ts, vai sertifikÄts pieder sÅ«tÄ«tÄjam.
Paskaidrojumi U5.5.6.
Uzbrukuma piemÄrs. SaistÄ«bÄ ar SSL sertifikÄtiem: var netikt pÄrbaudÄ«ta izsauktÄ servera adreses atbilstÄ«ba sertifikÄta CN lauka vÄrtÄ«bai.
Uzbrukuma piemÄrs. UzbrucÄji kompromitÄja viena maksÄjumu sistÄmas dalÄ«bnieka elektroniskÄ paraksta atslÄgas. PÄc tam viÅi uzlauza cita dalÄ«bnieka tÄ«klu un viÅa vÄrdÄ nosÅ«tÄ«ja ar kompromitÄtÄm atslÄgÄm parakstÄ«tus maksÄjumu dokumentus maksÄjumu sistÄmas norÄÄ·inu serverim. Ja serveris tikai analizÄ uzticÄ«bu un nepÄrbauda atbilstÄ«bu, krÄpnieciski dokumenti tiks uzskatÄ«ti par likumÄ«giem.
U6. Kļūdaina elektronisko dokumentu pieÅemÅ”ana izpildei sakarÄ ar problÄmÄm elektronisko dokumentu plÅ«smas organizÄÅ”anÄ.
SadalÄ«Å”anÄs
U6.1. SaÅÄmÄja puse nekonstatÄ saÅemto dokumentu dublÄÅ”anos.
Paskaidrojumi U6.1.
Uzbrukuma piemÄrs. UzbrucÄji var pÄrtvert dokumentu, kas tiek nosÅ«tÄ«ts adresÄtam, pat ja tas ir kriptogrÄfiski aizsargÄts, un pÄc tam atkÄrtoti nosÅ«tÄ«t to pa droÅ”u datu pÄrraides kanÄlu. Ja saÅÄmÄjs nekonstatÄ dublikÄtus, tad visi saÅemtie dokumenti tiks uztverti un apstrÄdÄti kÄ dažÄdi dokumenti.
U7. Neatļauta piekļuve aizsargÄtiem datiem to apstrÄdes laikÄ, ko veic CIPF
SadalÄ«Å”anÄs
U7.1. <ā¦> informÄcijas noplÅ«des dÄļ pa sÄnu kanÄliem (sÄnu kanÄla uzbrukums).
Paskaidrojumi U7.1.
PiemÄrs .
U7.2. <ā¦> sakarÄ ar aizsardzÄ«bas pret nesankcionÄtu piekļuvi CIPF apstrÄdÄtajai informÄcijai neitralizÄÅ”anas dÄļ:
U7.2.1. CIPF darbÄ«ba, pÄrkÄpjot CIPF dokumentÄcijÄ aprakstÄ«tÄs prasÄ«bas.
U7.2.2. <ā¦>, kas veikta, jo ir ievainojamÄ«bas:
U7.2.2.1. <ā¦> aizsardzÄ«bas lÄ«dzekļi pret nesankcionÄtu piekļuvi.
U7.2.2.2. <ā¦> CIPF pats.
U7.2.2.3. <ā¦> kriptogrÄfijas rÄ«ka darbÄ«bas vide.
Uzbrukumu piemÄri
TÄlÄk apskatÄ«tie scenÄriji acÄ«mredzami satur informÄcijas droŔības kļūdas un kalpo tikai iespÄjamo uzbrukumu ilustrÄÅ”anai.
1. scenÄrijs. ApdraudÄjumu U2.2 un U4.2 ievieÅ”anas piemÄrs.
Objekta apraksts
AWS KBR programmatÅ«ra un CIPF SCAD paraksts ir instalÄti fiziskÄ datorÄ, kas nav savienots ar datortÄ«klu. FKN vdToken tiek izmantots kÄ atslÄgas nesÄjs režīmÄ, kas strÄdÄ ar nenoÅemamu atslÄgu.
NorÄÄ·inu noteikumos pieÅemts, ka norÄÄ·inu speciÄlists no sava darba datora lejupielÄdÄ elektroniskos ziÅojumus skaidrÄ tekstÄ (vecÄs KBR darbstacijas shÄma) no speciÄla droÅ”a failu servera, pÄc tam ieraksta tos pÄrnÄsÄjamÄ USB zibatmiÅÄ un pÄrsÅ«ta uz KBR darbstaciju, kur tie ir Å”ifrÄti un parakstÄs. PÄc tam speciÄlists pÄrsÅ«ta droÅ”us elektroniskos ziÅojumus uz atsavinÄto datu nesÄju un pÄc tam caur savu darba datoru ieraksta tos uz failu serveri, no kurienes tie nonÄk UTA un pÄc tam Krievijas Bankas maksÄjumu sistÄmÄ.
Å ajÄ gadÄ«jumÄ atvÄrto un aizsargÄto datu apmaiÅas kanÄlos bÅ«s: failu serveris, speciÄlista darba dators un atsveÅ”inÄtie mediji.
Uzbrukums
NeautorizÄti uzbrucÄji speciÄlista darba datorÄ uzstÄda tÄlvadÄ«bas sistÄmu un, rakstot maksÄjuma uzdevumus (elektroniskos ziÅojumus) uz pÄrvedamu datu nesÄju, viena no tiem saturu aizvieto skaidrÄ tekstÄ. SpeciÄlists pÄrsÅ«ta maksÄjuma uzdevumus uz KBR automatizÄto darba vietu, paraksta un Å”ifrÄ tos, nepamanot aizstÄÅ”anu (piemÄram, sakarÄ ar lielu maksÄjuma uzdevumu skaitu lidojumÄ, nogurumu utt.). PÄc tam viltotais maksÄjuma uzdevums, izejot cauri tehnoloÄ£iskajai Ä·Ädei, nonÄk Krievijas Bankas maksÄjumu sistÄmÄ.
2. scenÄrijs. ApdraudÄjumu U2.2 un U4.2 ievieÅ”anas piemÄrs.
Objekta apraksts
Dators ar instalÄtu darbstaciju KBR, SCAD parakstu un pievienotu atslÄgu nesÄju FKN vdToken darbojas tam paredzÄtÄ telpÄ bez personÄla piekļuves.
AprÄÄ·inu speciÄlists izveido savienojumu ar CBD darbstaciju attÄlÄs piekļuves režīmÄ, izmantojot RDP protokolu.
Uzbrukums
UzbrucÄji pÄrtver detaļas, ar kurÄm aprÄÄ·inu speciÄlists izveido savienojumu un strÄdÄ ar CBD darbstaciju (piemÄram, izmantojot ļaunprÄtÄ«gu kodu savÄ datorÄ). PÄc tam viÅi savienojas viÅa vÄrdÄ un nosÅ«ta viltotu maksÄjuma uzdevumu Krievijas Bankas maksÄjumu sistÄmai.
3. scenÄrijs. ApdraudÄjuma ievieÅ”anas piemÄrs U1.3.
Objekta apraksts
ApskatÄ«sim vienu no hipotÄtiskÄm iespÄjÄm ABS-KBR integrÄcijas moduļu ievieÅ”anai jaunai shÄmai (AWS KBR-N), kurÄ izejoÅ”o dokumentu elektroniskais paraksts notiek ABS pusÄ. Å ajÄ gadÄ«jumÄ mÄs pieÅemsim, ka ABS darbojas, pamatojoties uz operÄtÄjsistÄmu, kuru neatbalsta CIPF SKAD paraksts, un attiecÄ«gi kriptogrÄfijas funkcionalitÄte tiek pÄrsÅ«tÄ«ta uz atseviŔķu virtuÄlo maŔīnu - ABS-KBR integrÄciju. modulis.
KÄ atslÄgas nesÄjs tiek izmantots parastais USB marÄ·ieris, kas darbojas izgÅ«stamÄs atslÄgas režīmÄ. PieslÄdzot atslÄgas datu nesÄju hipervizoram, izrÄdÄ«jÄs, ka sistÄmÄ nav brÄ«vu USB portu, tÄpÄc tika nolemts USB marÄ·ieri savienot, izmantojot tÄ«kla USB centrmezglu, un virtuÄlajÄ ierÄ«cÄ instalÄt USB-over-IP klientu. maŔīna, kas sazinÄtos ar centrmezglu.
Uzbrukums
UzbrucÄji pÄrtvÄra elektroniskÄ paraksta privÄto atslÄgu no sakaru kanÄla starp USB centrmezglu un hipervizoru (dati tika pÄrsÅ«tÄ«ti skaidrÄ tekstÄ). Izmantojot privÄto atslÄgu, uzbrucÄji Ä£enerÄja viltotu maksÄjuma uzdevumu, parakstÄ«ja to ar elektronisko parakstu un nosÅ«tÄ«ja izpildei uz KBR-N automatizÄto darba vietu.
ScenÄrijs 4. ApdraudÄjumu ievieÅ”anas piemÄrs U5.5.
Objekta apraksts
ApskatÄ«sim to paÅ”u shÄmu kÄ iepriekÅ”ÄjÄ scenÄrijÄ. PieÅemsim, ka elektroniskie ziÅojumi, kas nÄk no KBR-N darbstacijas, nonÄk mapÄ ā¦SHAREIn, bet tie, kas nosÅ«tÄ«ti uz KBR-N darbstaciju un tÄlÄk uz Krievijas Bankas maksÄjumu sistÄmu, nonÄk ā¦SHAREout.
MÄs arÄ« pieÅemsim, ka, ievieÅ”ot integrÄcijas moduli, atsaukto sertifikÄtu saraksti tiek atjauninÄti tikai tad, kad tiek atkÄrtoti izsniegtas kriptogrÄfiskÄs atslÄgas, kÄ arÄ« ka ...SHAREIn mapÄ saÅemtie elektroniskie ziÅojumi tiek pÄrbaudÄ«ti tikai integritÄtes kontrolei un uzticamÄ«bas kontrolei publiskajÄ atslÄgÄ. Elektroniskais paraksts.
Uzbrukums
UzbrucÄji, izmantojot iepriekÅ”ÄjÄ scenÄrijÄ nozagtÄs atslÄgas, parakstÄ«ja viltotu maksÄjuma uzdevumu, kurÄ bija informÄcija par naudas saÅemÅ”anu krÄpnieciskÄ klienta kontÄ, un ievadÄ«ja to droÅ”ajÄ datu apmaiÅas kanÄlÄ. TÄ kÄ nav pÄrbaudes, ka maksÄjuma uzdevumu parakstÄ«jusi Krievijas Banka, tas tiek pieÅemts izpildei.
Avots: www.habr.com