{"id":31627,"date":"2019-10-31T21:42:14","date_gmt":"2019-10-31T18:42:14","guid":{"rendered":"https:\/\/prohoster.info\/blog\/informatsionnaya-bezopasnost-bankovskih-beznalichnyh-platezhej-chast-8-tipovye-modeli-ugroz\/"},"modified":"2019-10-31T21:42:14","modified_gmt":"2019-10-31T18:42:14","slug":"informatsionnaya-bezopasnost-bankovskih-beznalichnyh-platezhej-chast-8-tipovye-modeli-ugroz","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sk\/blog\/administrirovanie\/informatsionnaya-bezopasnost-bankovskih-beznalichnyh-platezhej-chast-8-tipovye-modeli-ugroz","title":{"rendered":"Informa\u010dn\u00e1 bezpe\u010dnos\u0165 bankov\u00fdch bezhotovostn\u00fdch platieb. \u010cas\u0165 8 \u2014 Typov\u00e9 modely hrozieb","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"<p><noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/post\/422329\/\"><img decoding=\"async\" alt=\"Informa\u010dn\u00e1 bezpe\u010dnos\u0165 bankov\u00fdch bezhotovostn\u00fdch platieb. \u010cas\u0165 8 \u2014 Typov\u00e9 modely hrozieb\" src=\"\/wp-content\/uploads\/2019\/04\/acac26db4761c25a5215f37ef9e8cb5b.jpg\" style=\"display:block;margin: 0 auto;\" \/><\/a><\/noindex><br \/>\n<noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/post\/422329\/#ABOUT\">O \u010dom je v\u00fdskum<\/a><\/noindex><\/p>\n<p><b class=\"spoiler_title\">Odkazy na in\u00e9 \u010dasti v\u00fdskumu<\/b><\/p>\n<ul>\n<li><noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/post\/344740\/\">Informa\u010dn\u00e1 bezpe\u010dnos\u0165 bankov\u00fdch bezhotovostn\u00fdch platieb. \u010cas\u0165 1 \u2013 Ekonomick\u00e9 z\u00e1klady.<\/a><\/noindex><\/li>\n<li><noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/post\/345194\/\">Informa\u010dn\u00e1 bezpe\u010dnos\u0165 bankov\u00fdch bezhotovostn\u00fdch platieb. \u010cas\u0165 2 \u2013 Typick\u00e1 IT infra\u0161trukt\u00fara banky.<\/a><\/noindex><\/li>\n<li><noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/post\/350852\/\">Informa\u010dn\u00e1 bezpe\u010dnos\u0165 bankov\u00fdch bezhotovostn\u00fdch platieb. \u010cas\u0165 3 \u2013 Tvorba po\u017eiadaviek na syst\u00e9m ochrany.<\/a><\/noindex><\/li>\n<li><noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/post\/351326\/\">Informa\u010dn\u00e1 bezpe\u010dnos\u0165 bankov\u00fdch bezhotovostn\u00fdch platieb. \u010cas\u0165 4 \u2013 Preh\u013ead \u0161tandardov modelovania hrozieb.<\/a><\/noindex><\/li>\n<li><noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/post\/413703\/\">Informa\u010dn\u00e1 bezpe\u010dnos\u0165 bankov\u00fdch bezhotovostn\u00fdch platieb. \u010cas\u0165 5 \u2013 100+ tematick\u00fdch odkazov o hackersk\u00fdch \u00fatokoch na banky.<\/a><\/noindex><\/li>\n<li><noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/post\/419027\/\">Informa\u010dn\u00e1 bezpe\u010dnos\u0165 bankov\u00fdch bezhotovostn\u00fdch platieb. \u010cas\u0165 6 \u2013 Anal\u00fdza bankov\u00fdch zlo\u010dinov.<\/a><\/noindex><\/li>\n<li><noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/post\/421161\/\">Informa\u010dn\u00e1 bezpe\u010dnos\u0165 bankov\u00fdch bezhotovostn\u00fdch platieb. \u010cas\u0165 7 \u2013 Z\u00e1kladn\u00fd model hrozieb.<\/a><\/noindex><\/li>\n<li><noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/post\/422329\/\">Informa\u010dn\u00e1 bezpe\u010dnos\u0165 bankov\u00fdch bezhotovostn\u00fdch platieb. \u010cas\u0165 8 \u2014 Typov\u00e9 modely hrozieb <\/a><\/noindex>(<b>Ste tu<\/b>)<\/li>\n<\/ul>\n<p>Tento \u010dl\u00e1nok uzatv\u00e1ra cyklus publik\u00e1ci\u00ed venovan\u00fdch zabezpe\u010deniu informa\u010dnej bezpe\u010dnosti bankov\u00fdch bezhotovostn\u00fdch platieb. Tu sa pozrieme na typick\u00e9 modely hrozieb, na ktor\u00e9 sa odkazovalo v <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/post\/421161\/\">z\u00e1kladnom modeli<\/a><\/noindex>:<\/p>\n<ul>\n<li><noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/post\/422329\/#TMUNC\">Typick\u00fd model hrozieb. Sie\u0165ov\u00e9 pripojenie<\/a><\/noindex>.<\/li>\n<li><noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/post\/422329\/#TMUIS\">Typick\u00fd model hrozieb. Informa\u010dn\u00fd syst\u00e9m zalo\u017een\u00fd na architekt\u00fare klient-server<\/a><\/noindex>.<\/li>\n<li><noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/post\/422329\/#TMUSRD\">Typick\u00fd model hrozieb. Syst\u00e9m obmedzen\u00e9ho pr\u00edstupu<\/a><\/noindex>.<\/li>\n<li><noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/post\/422329\/#TMUMI\">Typick\u00fd model hrozieb. Integra\u010dn\u00fd modul<\/a><\/noindex>.<\/li>\n<li><noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/post\/422329\/#TMUSKZI\">Typick\u00fd model hrozieb. Syst\u00e9m kryptografickej ochrany inform\u00e1ci\u00ed.<\/a><\/noindex><\/li>\n<\/ul>\n<p><\/p>\n<blockquote><p><b>HABR-WARNING !!!<\/b> V\u00e1\u017een\u00ed habrov\u010dania, toto nie je z\u00e1bavn\u00fd pr\u00edspevok. <br \/>\nSkryt\u00e9 za odkazom s\u00fa 40+ str\u00e1n materi\u00e1lov ur\u010den\u00fdch na <b>pomoc pri pr\u00e1ci alebo \u0161t\u00fadiu<\/b> \u013eu\u010fom \u0161pecializuj\u00facim sa na bankovn\u00edctvo alebo zabezpe\u010denie informa\u010dnej bezpe\u010dnosti. Tieto materi\u00e1ly s\u00fa kone\u010dn\u00fdm produktom v\u00fdskumu a s\u00fa nap\u00edsan\u00e9 v suchom ofici\u00e1lnom t\u00f3ne. V podstate s\u00fa to pr\u00edpravy pre intern\u00e9 dokumenty o IB. <\/p>\n<p>No a tradi\u010dne \u2013 <b>\u201epou\u017e\u00edvanie inform\u00e1ci\u00ed z \u010dl\u00e1nku na protipr\u00e1vne \u00fa\u010dely je trestn\u00e9 pod\u013ea z\u00e1kona\u201c<\/b>. Pr\u00edjemn\u00e9 \u010d\u00edtanie!\n<\/p><\/blockquote>\n<p><noindex><a rel=\"nofollow\" name=\"habracut\"><\/a><\/noindex><br \/>\nInform\u00e1cie pre \u010ditate\u013eov, ktor\u00ed sa oboznamuj\u00fa s v\u00fdskumom, po\u010dn\u00fac touto publik\u00e1ciou.<br \/>\n<noindex><a rel=\"nofollow\" name=\"ABOUT\"><\/a><\/noindex><\/p>\n<blockquote>\n<h2>O \u010dom je v\u00fdskum<\/h2>\n<p>\n\u010c\u00edtate sprievodcu pre odborn\u00edka zodpovedn\u00e9ho za zabezpe\u010denie informa\u010dnej bezpe\u010dnosti platieb v banke. <\/p>\n<p><b>Logika expoz\u00edcie<\/b><\/p>\n<p>Na za\u010diatku v <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/post\/344740\/\">\u010dasti 1<\/a><\/noindex> a <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/post\/345194\/\">\u010dasti 2<\/a><\/noindex> je op\u00edsan\u00fd objekt ochrany. Potom v <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/post\/350852\/\">\u010dasti 3<\/a><\/noindex> rozpr\u00e1va sa o tom, ako vytvori\u0165 syst\u00e9m ochrany a hovor\u00ed o potrebe formovania modelu hrozieb. V <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/post\/351326\/\">\u010dasti 4<\/a><\/noindex> rozpr\u00e1va sa o tom, ak\u00e9 modely hrozieb existuj\u00fa a ako ich formuj\u00fa. V <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/post\/413703\/\">\u010dasti 5<\/a><\/noindex> a <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/post\/419027\/\">\u010dasti 6<\/a><\/noindex> sa uv\u00e1dza anal\u00fdza re\u00e1lnych \u00fatokov. <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/post\/421161\/\">\u010cas\u0165 7<\/a><\/noindex> a <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/post\/422329\/\">\u010das\u0165 8<\/a><\/noindex> obsahuj\u00fa popis modelu hrozieb, vytvoren\u00e9ho na z\u00e1klade inform\u00e1ci\u00ed zo v\u0161etk\u00fdch predch\u00e1dzaj\u00facich \u010dast\u00ed.<\/p><\/blockquote>\n<p>\n<noindex><a rel=\"nofollow\" name=\"TMUNC\"><\/a><\/noindex><\/p>\n<h2>TYPICK\u00dd MODEL HROZIEB. SE\u0164OV\u00c9 SPOJENIE<\/h2>\n<p><\/p>\n<h3>Objekt ochrany, pre ktor\u00fd sa aplikuje model hrozieb (scope)<\/h3>\n<p>\nObjektom ochrany s\u00fa d\u00e1ta, ktor\u00e9 sa pren\u00e1\u0161aj\u00fa cez sie\u0165ov\u00e9 spojenie funguj\u00face v sie\u0165ach prenosu d\u00e1t zalo\u017een\u00fdch na z\u00e1sobn\u00edku TCP\/IP.<\/p>\n<p><b>Architekt\u00fara<\/b><\/p>\n<p><img decoding=\"async\" alt=\"Informa\u010dn\u00e1 bezpe\u010dnos\u0165 bankov\u00fdch bezhotovostn\u00fdch platieb. \u010cas\u0165 8 \u2014 Typov\u00e9 modely hrozieb\" src=\"\/wp-content\/uploads\/2019\/04\/7fec6dc479280db22a581595ae7fc493.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nPopis prvkov architekt\u00fary:<\/p>\n<ul>\n<li><i>\u201eKoncov\u00e9 uzly\u201c<\/i> \u2014 uzly, ktor\u00e9 si vymie\u0148aj\u00fa chr\u00e1nen\u00e9 inform\u00e1cie.<\/li>\n<li><i>\u201eMedziuzlov\u00e9 uzly\u201c<\/i> \u2014 prvky siete prenosu d\u00e1t: smerova\u010de, prep\u00edna\u010de, pr\u00edstupov\u00e9 servery, proxy servery a in\u00e9 zariadenia, cez ktor\u00e9 prech\u00e1dza prev\u00e1dzka sie\u0165ov\u00e9ho spojenia. Vo v\u0161eobecnosti m\u00f4\u017ee sie\u0165ov\u00e9 spojenie fungova\u0165 bez medziuzlov\u00fdch uzlov (priamo medzi koncov\u00fdmi uzlami).<\/li>\n<\/ul>\n<p><\/p>\n<h3>Hrozby bezpe\u010dnosti vy\u0161\u0161ieho stup\u0148a<\/h3>\n<p>\n<b>Dekompoz\u00edcia<\/b><\/p>\n<p>U1. Nepovolen\u00fd pr\u00edstup k pren\u00e1\u0161an\u00fdm d\u00e1tam.<br \/>\nU2. Nepovolen\u00e1 zmena pren\u00e1\u0161an\u00fdch d\u00e1t.<br \/>\nU3. Poru\u0161enie autorsk\u00e9ho pr\u00e1va pren\u00e1\u0161an\u00fdch d\u00e1t.<br \/>\n<noindex><a rel=\"nofollow\" name=\"TMUNCU1\"><\/a><\/noindex><\/p>\n<h3>U1. Nepovolen\u00fd pr\u00edstup k pren\u00e1\u0161an\u00fdm d\u00e1tam<\/h3>\n<p>\n<b>Dekompoz\u00edcia<\/b><br \/>\nU1.1. , vykon\u00e1van\u00e9 na koncov\u00fdch alebo medzi\u013eahl\u00fdch uzloch:<br \/>\nU1.1.1.  \u010d\u00edtan\u00edm \u00fadajov, ke\u010f sa nach\u00e1dzaj\u00fa v pam\u00e4\u0165ov\u00fdch zariadeniach uzla:<br \/>\nU1.1.1.1.  v opera\u010dnej pam\u00e4ti.<br \/>\n<i>Vysvetlenia k U1.1.1.1.<\/i><br \/>\nNapr\u00edklad po\u010das spracovania d\u00e1t sie\u0165ov\u00fdm z\u00e1sobn\u00edkom uzla.<\/p>\n<p>U1.1.1.2.  v pam\u00e4ti bez nap\u00e1jania.<br \/>\n<i>Vysvetlenia k U1.1.1.2.<\/i><br \/>\nNapr\u00edklad pri ukladan\u00ed pren\u00e1\u0161an\u00fdch d\u00e1t v cache, do\u010dasn\u00fdch s\u00faboroch alebo s\u00faboroch str\u00e1nkovania.<\/p>\n<p>U1.2. , vykon\u00e1van\u00e9 na vonkaj\u0161\u00edch uzloch siete prenosu \u00fadajov:<br \/>\nU1.2.1.  met\u00f3dou zachytenia v\u0161etk\u00fdch paketov, ktor\u00e9 prich\u00e1dzaj\u00fa na sie\u0165ov\u00e9 rozhranie uzla:<br \/>\n<i>Vysvetlenia k U1.2.1.<\/i><br \/>\nZachytenie v\u0161etk\u00fdch paketov sa uskuto\u010d\u0148uje preSwitchovan\u00edm sie\u0165ovej karty do ne\u010ditate\u013en\u00e9ho re\u017eimu (promiscuous mode pre dr\u00f4tov\u00e9 adapt\u00e9ry alebo re\u017eim monitorovania pre wi-fi adapt\u00e9ry).<\/p>\n<p>U1.2.2.  realizovan\u00edm \u00fatokov typu \u201e\u010dlovek uprostred (MiTM)\u201c, ale bez modifik\u00e1cie pren\u00e1\u0161an\u00fdch \u00fadajov (okrem spr\u00edstupnen\u00fdch \u00fadajov sie\u0165ov\u00fdch protokolov).<br \/>\nU1.2.2.1. Odkaz: <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/post\/422329\/#TMUNCU2\">\u201eTypov\u00fd model hrozieb. Sie\u0165ov\u00e9 pripojenie. U2. Neopr\u00e1vnen\u00e1 zmena pren\u00e1\u0161an\u00fdch \u00fadajov\u201c<\/a><\/noindex>.<\/p>\n<p>U1.3. , vykon\u00e1van\u00e9 na z\u00e1klade \u00faniku inform\u00e1ci\u00ed cez technick\u00e9 kan\u00e1ly (TKU) z fyzick\u00fdch uzlov alebo komunika\u010dn\u00fdch liniek.<\/p>\n<p>U1.4. , vykon\u00e1van\u00e9 in\u0161tal\u00e1ciou \u0161peci\u00e1lnych technick\u00fdch prostriedkov (\u0160TP) na koncov\u00e9 alebo medzi\u013eahl\u00e9 uzly, ur\u010den\u00fdch na tajn\u00fd zber inform\u00e1ci\u00ed.<br \/>\n<noindex><a rel=\"nofollow\" name=\"TMUNCU2\"><\/a><\/noindex><\/p>\n<h3>U2. Neopr\u00e1vnen\u00e1 zmena pren\u00e1\u0161an\u00fdch \u00fadajov<\/h3>\n<p>\n<b>Dekompoz\u00edcia<\/b><br \/>\nU2.1. , vykon\u00e1van\u00e1 na koncov\u00fdch alebo medzi\u013eahl\u00fdch uzloch:<br \/>\nU2.1.1.  \u010d\u00edtan\u00edm a vkladan\u00edm zmien do \u00fadajov, ke\u010f sa nach\u00e1dzaj\u00fa v pam\u00e4\u0165ov\u00fdch zariadeniach uzlov:<br \/>\nU2.1.1.1.  v opera\u010dnej pam\u00e4ti:<br \/>\nU2.1.1.2.  v pam\u00e4ti bez nap\u00e1jania:<\/p>\n<p>U2.2. , vykon\u00e1van\u00e1 na vonkaj\u0161\u00edch uzloch siete prenosu \u00fadajov:<br \/>\nU2.2.1.  vykonan\u00edm \u00fatokov typu \u201e\u010dlovek uprostred (MiTM)\u201c a presmerovan\u00edm prev\u00e1dzky na uzol \u00fato\u010dn\u00edkov:<br \/>\nU2.2.1.1. Fyzick\u00e9 pripojenie zariaden\u00ed \u00fato\u010dn\u00edka do preru\u0161enia sie\u0165ov\u00e9ho prepojenia.<br \/>\nU2.2.1.2. Vykon\u00e1vanie \u00fatokov na sie\u0165ov\u00e9 protokoly:<br \/>\nU2.2.1.2.1.  spr\u00e1vy virtu\u00e1lnych lok\u00e1lnych siet\u00ed (VLAN):<br \/>\nU2.2.1.2.1.1. <noindex><a rel=\"nofollow\" href=\"https:\/\/en.wikipedia.org\/wiki\/VLAN_hopping\">VLAN hopping<\/a><\/noindex>.<br \/>\nU2.2.1.2.1.2. Neopr\u00e1vnen\u00e1 zmena nastaven\u00ed VLAN na prep\u00edna\u010doch alebo smerova\u010doch.<br \/>\nU2.2.1.2.2.  smerovania prev\u00e1dzky:<br \/>\nU2.2.1.2.2.1. Neopr\u00e1vnen\u00e1 zmena tabuliek statick\u00e9ho smerovania smerova\u010dov.<br \/>\nU2.2.1.2.2.2. Anonciovanie falo\u0161n\u00fdch tr\u00e1s \u00fato\u010dn\u00edkmi prostredn\u00edctvom protokolov dynamick\u00e9ho smerovania.<br \/>\nU2.2.1.2.3.  automatick\u00e9ho konfigur\u00e1cie:<br \/>\nU2.2.1.2.3.1. <noindex><a rel=\"nofollow\" href=\"https:\/\/en.wikipedia.org\/wiki\/Rogue_DHCP\">Rogue DHCP<\/a><\/noindex>.<br \/>\nU2.2.1.2.3.2. <noindex><a rel=\"nofollow\" href=\"https:\/\/www.securitylab.ru\/analytics\/379619.php\">Rogue WPAD<\/a><\/noindex>.<br \/>\nU2.2.1.2.4.  adresovania a rozl\u00ed\u0161enia n\u00e1zvov:<br \/>\nU2.2.1.2.4.1. <noindex><a rel=\"nofollow\" href=\"https:\/\/ru.wikipedia.org\/wiki\/ARP-spoofing\">ARP spoofing<\/a><\/noindex>.<br \/>\nU2.2.1.2.4.2. <noindex><a rel=\"nofollow\" href=\"https:\/\/ru.wikipedia.org\/wiki\/DNS_spoofing\">DNS spoofing<\/a><\/noindex>.<br \/>\nU2.2.1.2.4.3. Vykonanie neopr\u00e1vnen\u00fdch zmien v lok\u00e1lnych s\u00faboroch mien uzlov (hosts, lmhosts a pod.)<br \/>\n<noindex><a rel=\"nofollow\" name=\"TMUNCU3\"><\/a><\/noindex><\/p>\n<h3>U3. Poru\u0161enie autorstva pren\u00e1\u0161an\u00fdch \u00fadajov<\/h3>\n<p>\n<b>Dekompoz\u00edcia<\/b><br \/>\nU3.1. Neutraliz\u00e1cia mechanizmov ur\u010denia autorstva inform\u00e1ci\u00ed uveden\u00edm falo\u0161n\u00fdch \u00fadajov o autorovi alebo zdroji \u00fadajov:<br \/>\nU3.1.1. Zmena \u00fadajov o autorovi, obsiahnut\u00fdch v pren\u00e1\u0161an\u00fdch inform\u00e1ci\u00e1ch.<br \/>\nU3.1.1.1. Neutraliz\u00e1cia kryptografickej ochrany integrity a autorstva pren\u00e1\u0161an\u00fdch \u00fadajov:<br \/>\nU3.1.1.1.1. Odkaz: <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/post\/422329\/#TMUSKZIU4\">\u201eTypov\u00fd model hrozieb. Syst\u00e9m kryptografickej ochrany inform\u00e1ci\u00ed.<br \/>\nU4. Vytvorenie elektronick\u00e9ho podpisu legitimn\u00e9ho podpisovate\u013ea pod falo\u0161n\u00fdmi \u00fadajmi\u201c<\/a><\/noindex>.<br \/>\nU3.1.1.2. Neutraliz\u00e1cia ochrany autorsk\u00fdch pr\u00e1v pren\u00e1\u0161an\u00fdch \u00fadajov, implementovanej pomocou jednorazov\u00fdch potvrdzovac\u00edch k\u00f3dov:<br \/>\nU3.1.1.2.1. <noindex>SIM swap<\/noindex>.<\/p>\n<p>U3.1.2. Zmena \u00fadajov o zdroji pren\u00e1\u0161anej inform\u00e1cie:<br \/>\nU3.1.2.1. <noindex><a rel=\"nofollow\" href=\"https:\/\/en.wikipedia.org\/wiki\/IP_address_spoofing\">IP spoofing<\/a><\/noindex>.<br \/>\nU3.1.2.2. <noindex><a rel=\"nofollow\" href=\"http:\/\/xgu.ru\/wiki\/MAC-spoofing\">MAC spoofing<\/a><\/noindex>.<\/p>\n<p>\n<noindex><a rel=\"nofollow\" name=\"TMUIS\"><\/a><\/noindex><\/p>\n<h2>TYPOV\u00dd MODELOV\u00dd \u00daTOK. INFORMA\u010cN\u00dd SYST\u00c9M VYBUDOVAN\u00dd NA Z\u00c1KLADOCH ARCHITEKT\u00daRY KLIENT-SERVER<\/h2>\n<p><\/p>\n<h3>Objekt ochrany, pre ktor\u00fd sa aplikuje model hrozieb (scope)<\/h3>\n<p>\nObjektom ochrany je informa\u010dn\u00fd syst\u00e9m vybudovan\u00fd na z\u00e1kladoch architekt\u00fary klient-server.<\/p>\n<p><b>Architekt\u00fara<\/b><br \/>\n<img decoding=\"async\" alt=\"Informa\u010dn\u00e1 bezpe\u010dnos\u0165 bankov\u00fdch bezhotovostn\u00fdch platieb. \u010cas\u0165 8 \u2014 Typov\u00e9 modely hrozieb\" src=\"\/wp-content\/uploads\/2019\/04\/f18c9c6c1e3d5372932d8c2a331284cf.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nPopis prvkov architekt\u00fary:<\/p>\n<ul>\n<li><i>\u201eKlient\u201c<\/i> \u2013 zariadenie, na ktorom funguje klientska \u010das\u0165 informa\u010dn\u00e9ho syst\u00e9mu.<\/li>\n<li><i>\u201eServer\u201c<\/i> \u2013 zariadenie, na ktorom funguje serverov\u00e1 \u010das\u0165 informa\u010dn\u00e9ho syst\u00e9mu.<\/li>\n<li><i>\u201e\u00dalo\u017eisko d\u00e1t\u201c<\/i> \u2013 \u010das\u0165 serverovej infra\u0161trukt\u00fary informa\u010dn\u00e9ho syst\u00e9mu ur\u010den\u00e1 na uchov\u00e1vanie \u00fadajov spracov\u00e1van\u00fdch informa\u010dn\u00fdm syst\u00e9mom.<\/li>\n<li><i>\u201eSie\u0165ov\u00e9 pripojenie\u201c<\/i> \u2013 kan\u00e1l v\u00fdmeny inform\u00e1ci\u00ed medzi Klientom a Serverom, prech\u00e1dzaj\u00faci cez sie\u0165 pren\u00e1\u0161ania \u00fadajov. Podrobnej\u0161\u00ed popis modelu prvku je uveden\u00fd v <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/post\/422329\/#TMUNC\">\u201eTypov\u00fd model \u00fatokov. Sie\u0165ov\u00e9 pripojenie\u201c<\/a><\/noindex>.<\/li>\n<\/ul>\n<p>\n<b>Obmedzenia<\/b><br \/>\nPri modelovan\u00ed objektu s\u00fa stanoven\u00e9 nasleduj\u00face obmedzenia:<\/p>\n<ol>\n<li>Pou\u017e\u00edvate\u013e interaguje s informa\u010dn\u00fdm syst\u00e9mom v r\u00e1mci kone\u010dn\u00fdch \u010dasov\u00fdch \u00fasekov naz\u00fdvan\u00fdch pracovn\u00e9 rel\u00e1cie.<\/li>\n<li>Na za\u010diatku ka\u017edej pracovnej rel\u00e1cie prebieha identifik\u00e1cia, autentifik\u00e1cia a autoriz\u00e1cia pou\u017e\u00edvate\u013ea.<\/li>\n<li>V\u0161etky chr\u00e1nen\u00e9 inform\u00e1cie s\u00fa uchov\u00e1van\u00e9 na serverovej \u010dasti informa\u010dn\u00e9ho syst\u00e9mu.<\/li>\n<\/ol>\n<p><\/p>\n<h3>Hrozby bezpe\u010dnosti vy\u0161\u0161ieho stup\u0148a<\/h3>\n<p>\n<b>Dekompoz\u00edcia<\/b><br \/>\nU1. Vykon\u00e1vanie neopr\u00e1vnen\u00fdch akci\u00ed \u00fato\u010dn\u00edkmi v mene legit\u00edmneho pou\u017e\u00edvate\u013ea.<br \/>\nU2. Neopr\u00e1vnen\u00e1 modifik\u00e1cia chr\u00e1nen\u00fdch inform\u00e1ci\u00ed po\u010das ich spracovania serverovou \u010das\u0165ou informa\u010dn\u00e9ho syst\u00e9mu.<br \/>\n<noindex><a rel=\"nofollow\" name=\"TMUISU1\"><\/a><\/noindex><\/p>\n<h3>U1. Vykon\u00e1vanie neopr\u00e1vnen\u00fdch akci\u00ed \u00fato\u010dn\u00edkmi v mene legit\u00edmneho pou\u017e\u00edvate\u013ea<\/h3>\n<p>\n<b>Vysvetlenia<\/b><br \/>\nObvykle sa v informa\u010dn\u00fdch syst\u00e9moch korel\u00e1cia akci\u00ed s vykon\u00e1vaj\u00facim pou\u017e\u00edvate\u013eom vykon\u00e1va pomocou:<\/p>\n<ol>\n<li>z\u00e1znamov \u010dinnosti syst\u00e9mu (logs). <\/li>\n<li>\u0161peci\u00e1lnych atrib\u00fatov objektov \u00fadajov, obsahuj\u00facich inform\u00e1cie o osobe, ktor\u00e1 ich vytvorila alebo zmenila.<\/li>\n<\/ol>\n<p>\nVo vz\u0165ahu k pracovnej rel\u00e1cii sa toto ohrozenie m\u00f4\u017ee dekomponova\u0165 na:<\/p>\n<ol>\n<li>vykonan\u00e9 v r\u00e1mci pracovnej rel\u00e1cie pou\u017e\u00edvate\u013ea.<\/li>\n<li>vykonan\u00e9 mimo pracovnej rel\u00e1cie pou\u017e\u00edvate\u013ea.<\/li>\n<\/ol>\n<p>\nPracovn\u00e1 rel\u00e1cia pou\u017e\u00edvate\u013ea m\u00f4\u017ee by\u0165 iniciovan\u00e1:<\/p>\n<ol>\n<li>Sam\u00fdm pou\u017e\u00edvate\u013eom.<\/li>\n<li>\u00dato\u010dn\u00edkmi.<\/li>\n<\/ol>\n<p>\nV tejto f\u00e1ze bude vyzera\u0165 medzikrokov\u00e1 dekompoz\u00edcia tejto hrozby nasledovne:<br \/>\nU1.1. Neautorizovan\u00e9 akcie vykonan\u00e9 v r\u00e1mci rel\u00e1cie pou\u017e\u00edvate\u013ea:<br \/>\nU1.1.1. , nain\u0161talovan\u00e9ho napadnut\u00fdm pou\u017e\u00edvate\u013eom.<br \/>\nU1.1.2. , nain\u0161talovan\u00e9ho \u00fato\u010dn\u00edkmi.<br \/>\nU1.2. Neautorizovan\u00e9 akcie vykonan\u00e9 mimo rel\u00e1cie pou\u017e\u00edvate\u013ea.<\/p>\n<p>Z poh\u013eadu objektov informa\u010dnej infra\u0161trukt\u00fary, na ktor\u00e9 m\u00f4\u017eu \u00fato\u010dn\u00edci zasiahnu\u0165, bude medzikrokov\u00e1 dekompoz\u00edcia hrozieb vyzera\u0165 nasledovne:<\/p>\n<p>Prvky<br \/>\nDekompoz\u00edcia hrozieb<\/p>\n<p><b>U1.1.1.<\/b><br \/>\n<b>U1.1.2.<\/b><br \/>\n<b>U1.2.<\/b><\/p>\n<p>Klienta<br \/>\nU1.1.1.1.<br \/>\nU1.1.2.1.<\/p>\n<p>Sie\u0165ov\u00e9 pripojenie<br \/>\nU1.1.1.2.<\/p>\n<p>Server<\/p>\n<p>U1.2.1.<\/p>\n<p>\n<b>Dekompoz\u00edcia<\/b><br \/>\nU1.1. Neautorizovan\u00e9 akcie vykonan\u00e9 v r\u00e1mci rel\u00e1cie pou\u017e\u00edvate\u013ea:<br \/>\nU1.1.1. , nain\u0161talovan\u00e9ho napadnut\u00fdm pou\u017e\u00edvate\u013eom:<br \/>\nU1.1.1.1. \u00dato\u010dn\u00edci konali sami s Klientom:<br \/>\nU1.1.1.1.1 \u00dato\u010dn\u00edci vyu\u017eili \u0161tandardn\u00e9 prostriedky pr\u00edstupu k informa\u010dn\u00e9mu syst\u00e9mu:<br \/>\nU1.1.1.1.1.1. \u00dato\u010dn\u00edci pou\u017eili fyzick\u00e9 vstupno-v\u00fdstupn\u00e9 prostriedky Klienta (kl\u00e1vesnica, my\u0161, monitor alebo dotykov\u00fd displej mobiln\u00e9ho zariadenia):<br \/>\nU1.1.1.1.1.1.1. \u00dato\u010dn\u00edci konali v \u010dasoch, ke\u010f bola rel\u00e1cia akt\u00edvna, vstupno-v\u00fdstupn\u00e9 prostriedky boli dostupn\u00e9 a pou\u017e\u00edvate\u013e nebol pr\u00edtomn\u00fd.<br \/>\nU1.1.1.1.1.2. \u00dato\u010dn\u00edci vyu\u017eili prostriedky vzdialen\u00e9ho spravovania (\u0161tandardn\u00e9 alebo poskytovan\u00e9 \u0161kodliv\u00fdm k\u00f3dom) na ovl\u00e1danie Klienta:<br \/>\nU1.1.1.1.1.2.1. \u00dato\u010dn\u00edci konali v \u010dasoch, ke\u010f bola rel\u00e1cia akt\u00edvna, vstupno-v\u00fdstupn\u00e9 prostriedky boli dostupn\u00e9 a pou\u017e\u00edvate\u013e nebol pr\u00edtomn\u00fd.<br \/>\nU1.1.1.1.1.2.2. \u00dato\u010dn\u00edci vyu\u017eili prostriedky vzdialen\u00e9ho spravovania, ktor\u00fdch \u010dinnos\u0165 bola pre napadnut\u00e9ho pou\u017e\u00edvate\u013ea nevidite\u013en\u00e1.<br \/>\nU1.1.1.2. \u00dato\u010dn\u00edci fal\u0161ovali \u00fadaje v sie\u0165ovom pripojen\u00ed medzi Klientom a Serverom tak, aby boli vn\u00edman\u00e9 ako akcie legit\u00edmneho pou\u017e\u00edvate\u013ea:<br \/>\nU1.1.1.2.1. Odkaz: <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/post\/422329\/#TMUNCU2\">\u201eTypov\u00fd model hrozieb. Sie\u0165ov\u00e9 pripojenie. U2. Neopr\u00e1vnen\u00e1 zmena pren\u00e1\u0161an\u00fdch \u00fadajov\u201c<\/a><\/noindex>.<br \/>\nU1.1.1.3. \u00dato\u010dn\u00edci prin\u00fatili pou\u017e\u00edvate\u013ea vykona\u0165 uveden\u00e9 akcie pomocou met\u00f3d soci\u00e1lneho in\u017einierstva.<\/p>\n<p>U1.1.2  nain\u0161talovan\u00e9ho \u00fato\u010dn\u00edkmi:<br \/>\nU1.1.2.1. \u00dato\u010dn\u00edci konali s Klientom (<b>A<\/b>):<br \/>\nU1.1.2.1.1. \u00dato\u010dn\u00edci neutralizovali syst\u00e9m rozdelenia pr\u00edstupu k informa\u010dn\u00e9mu syst\u00e9mu:<br \/>\nU1.1.2.1.1.1. Odkaz: <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/post\/422329\/#TMUSRDU1\">\u201eTypov\u00fd model hrozieb. Syst\u00e9m obmedzenia pr\u00edstupu. U1. Neopr\u00e1vnen\u00e9 nadviazanie rel\u00e1cie v mene opr\u00e1vnen\u00e9ho pou\u017e\u00edvate\u013ea\u201c<\/a><\/noindex>. <br \/>\nU1.1.2.1.2. \u00dato\u010dn\u00edci vyu\u017eili \u0161tandardn\u00e9 prostriedky pr\u00edstupu k informa\u010dn\u00e9mu syst\u00e9mu<br \/>\nU1.1.2.2. \u00dato\u010dn\u00edci konali z in\u00fdch uzlov siete prenosu d\u00e1t, z ktor\u00fdch je mo\u017en\u00e9 nadviaza\u0165 sie\u0165ov\u00e9 spojenie so Serverom (<b>A<\/b>):<br \/>\nU1.1.2.2.1. \u00dato\u010dn\u00edci neutralizovali syst\u00e9m obmedzenia pr\u00edstupu k informa\u010dn\u00e9mu syst\u00e9mu:<br \/>\nU1.1.2.2.1.1. Odkaz: <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/post\/422329\/#TMUSRDU1\">\u201eTypov\u00fd model hrozieb. Syst\u00e9m obmedzenia pr\u00edstupu. U1. Neopr\u00e1vnen\u00e9 nadviazanie rel\u00e1cie v mene opr\u00e1vnen\u00e9ho pou\u017e\u00edvate\u013ea\u201c<\/a><\/noindex>. <br \/>\nU1.1.2.2.2. \u00dato\u010dn\u00edci vyu\u017eili ne\u0161tandardn\u00e9 prostriedky pr\u00edstupu k informa\u010dn\u00e9mu syst\u00e9mu.<br \/>\n<i>Vysvetlenia U1.1.2.2.2.<\/i><br \/>\n\u00dato\u010dn\u00edci mohli nain\u0161talova\u0165 \u0161tandardn\u00e9ho klienta informa\u010dn\u00e9ho syst\u00e9mu na extern\u00fd uzol alebo mohli vyu\u017ei\u0165 ne\u0161tandardn\u00fd softv\u00e9r, ktor\u00fd implementuje \u0161tandardn\u00e9 protokoly v\u00fdmeny medzi Klientom a Serverom.<\/p>\n<p>U1.2 Neopr\u00e1vnen\u00e9 akcie vykonan\u00e9 mimo rel\u00e1cie pou\u017e\u00edvate\u013ea.<br \/>\nU1.2.1 \u00dato\u010dn\u00edci vykonali neopr\u00e1vnen\u00e9 akcie a potom vykonali neopr\u00e1vnen\u00e9 zmeny v pracovn\u00fdch z\u00e1znamoch informa\u010dn\u00e9ho syst\u00e9mu alebo \u0161peci\u00e1lnych atrib\u00fatoch d\u00e1tov\u00fdch objektov, uv\u00e1dzaj\u00fac, \u017ee vykonan\u00e9 akcie vykonal legit\u00edmny pou\u017e\u00edvate\u013e.<br \/>\n<noindex><a rel=\"nofollow\" name=\"TMUISU2\"><\/a><\/noindex><\/p>\n<h3>U2. Neopr\u00e1vnen\u00e1 modifik\u00e1cia chr\u00e1nen\u00fdch inform\u00e1ci\u00ed po\u010das ich spracovania serverovou \u010das\u0165ou informa\u010dn\u00e9ho syst\u00e9mu<\/h3>\n<p>\n<b>Dekompoz\u00edcia<\/b><br \/>\nU2.1. \u00dato\u010dn\u00edci modifikuj\u00fa chr\u00e1nen\u00e9 inform\u00e1cie pomocou \u0161tandardn\u00fdch prostriedkov informa\u010dn\u00e9ho syst\u00e9mu a vykon\u00e1vaj\u00fa to v mene legit\u00edmneho pou\u017e\u00edvate\u013ea.<br \/>\nU2.1.1. Odkaz: <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/post\/422329\/#TMUISU1\">\u201eTypov\u00fd model hrozieb. Informa\u010dn\u00fd syst\u00e9m zalo\u017een\u00fd na architekt\u00fare klient-server. U1. Vykonanie neopr\u00e1vnen\u00fdch akci\u00ed \u00fato\u010dn\u00edkmi v mene legit\u00edmneho pou\u017e\u00edvate\u013ea\u201c<\/a><\/noindex>.<\/p>\n<p>U2.2. \u00dato\u010dn\u00edci modifikuj\u00fa chr\u00e1nen\u00e9 inform\u00e1cie pou\u017eit\u00edm mechanizmov pr\u00edstupu k d\u00e1tam, ktor\u00e9 nie s\u00fa predpokladan\u00e9 \u0161tandardn\u00fdm re\u017eimom fungovania informa\u010dn\u00e9ho syst\u00e9mu.<br \/>\nU2.2.1. \u00dato\u010dn\u00edci modifikuj\u00fa s\u00fabory, ktor\u00e9 obsahuj\u00fa chr\u00e1nen\u00e9 inform\u00e1cie:<br \/>\nU2.2.1.1. , vyu\u017e\u00edvan\u00edm mechanizmov pr\u00e1ce s s\u00fabormi poskytovan\u00fdch opera\u010dn\u00fdm syst\u00e9mom.<br \/>\nU2.2.1.2.  provokovan\u00edm obnovy s\u00faborov z neopr\u00e1vnene modifikovanej z\u00e1lo\u017enej k\u00f3pie.<\/p>\n<p>U2.2.2. \u00dato\u010dn\u00edci modifikuj\u00fa chr\u00e1nen\u00e9 inform\u00e1cie ulo\u017een\u00e9 v datab\u00e1ze (<b>A<\/b>):<br \/>\nU2.2.2.1. \u00dato\u010dn\u00edci neutralizuj\u00fa pr\u00edstupov\u00fd syst\u00e9m DBMS:<br \/>\nU2.2.2.1.1. Odkaz: <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/post\/422329\/#TMUSRDU1\">\u201eTypov\u00fd model hrozieb. Syst\u00e9m obmedzenia pr\u00edstupu. U1. Neopr\u00e1vnen\u00e9 nadviazanie rel\u00e1cie v mene opr\u00e1vnen\u00e9ho pou\u017e\u00edvate\u013ea\u201c<\/a><\/noindex>.<br \/>\nU2.2.2.2. \u00dato\u010dn\u00edci modifikuj\u00fa inform\u00e1cie pomocou \u0161tandardn\u00fdch rozhran\u00ed DBMS na pr\u00edstup k d\u00e1tam.<\/p>\n<p>U2.3. \u00dato\u010dn\u00edci modifikuj\u00fa chr\u00e1nen\u00e9 inform\u00e1cie neautorizovanou \u00fapravou algoritmov pr\u00e1ce spracov\u00e1vaj\u00faceho softv\u00e9ru.<br \/>\nU2.3.1. \u00dapravy podlieha zdrojov\u00fd k\u00f3d softv\u00e9ru.<br \/>\nU2.3.1. \u00dapravy podlieha strojov\u00fd k\u00f3d softv\u00e9ru.<\/p>\n<p>U2.4. \u00dato\u010dn\u00edci modifikuj\u00fa chr\u00e1nen\u00e9 inform\u00e1cie vyu\u017eit\u00edm zranite\u013enost\u00ed v softv\u00e9ri informa\u010dn\u00e9ho syst\u00e9mu.<\/p>\n<p>U2.5. \u00dato\u010dn\u00edci modifikuj\u00fa chr\u00e1nen\u00e9 inform\u00e1cie pri ich prenose medzi komponentmi serverovej \u010dasti informa\u010dn\u00e9ho syst\u00e9mu (napr\u00edklad medzi datab\u00e1zov\u00fdm serverom a aplika\u010dn\u00fdm serverom):<br \/>\nU2.5.1. Odkaz: <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/post\/422329\/#TMUNCU2\">\u201eTypov\u00fd model hrozieb. Sie\u0165ov\u00e9 pripojenie. U2. Neopr\u00e1vnen\u00e1 zmena pren\u00e1\u0161an\u00fdch \u00fadajov\u201c<\/a><\/noindex>.<\/p>\n<p>\n<noindex><a rel=\"nofollow\" name=\"TMUSRD\"><\/a><\/noindex><\/p>\n<h2>TYPOV\u00dd MODEL HROZBY. SYST\u00c9M ROZGRANICENIA PR\u00cdSTUPU<\/h2>\n<p><\/p>\n<h3>Objekt ochrany, pre ktor\u00fd sa aplikuje model hrozieb (scope)<\/h3>\n<p>\nObjekt ochrany, pre ktor\u00fd sa tento model hrozieb uplat\u0148uje, zodpoved\u00e1 objektu ochrany modelu hrozieb: \u201eTypov\u00fd model hrozieb. Informa\u010dn\u00fd syst\u00e9m postaven\u00fd na b\u00e1ze architekt\u00fary klient-server\u201c.<\/p>\n<p>Pod syst\u00e9mom rozgranicenia pr\u00edstupu pou\u017e\u00edvate\u013eov v tomto modeli hrozieb sa rozumie komponent informa\u010dn\u00e9ho syst\u00e9mu, ktor\u00fd vykon\u00e1va funkcie:<\/p>\n<ol>\n<li>Identifik\u00e1cie pou\u017e\u00edvate\u013eov.<\/li>\n<li>Autentifik\u00e1cie pou\u017e\u00edvate\u013eov.<\/li>\n<li>Autoriz\u00e1cie pou\u017e\u00edvate\u013eov.<\/li>\n<li>Protokolovania \u010dinnost\u00ed pou\u017e\u00edvate\u013eov.<\/li>\n<\/ol>\n<p><\/p>\n<h3>Hrozby bezpe\u010dnosti vy\u0161\u0161ieho stup\u0148a<\/h3>\n<p>\n<b>Dekompoz\u00edcia<\/b><br \/>\nU1. Neautorizovan\u00e9 nadviazanie rel\u00e1cie v mene leg\u00e1lneho pou\u017e\u00edvate\u013ea. <br \/>\nU2. Neautorizovan\u00e9 zv\u00fd\u0161enie privilegi\u00ed pou\u017e\u00edvate\u013ea v informa\u010dnom syst\u00e9me.<br \/>\n<noindex><a rel=\"nofollow\" name=\"TMUSRDU1\"><\/a><\/noindex> <\/p>\n<h3>U1. Neautorizovan\u00e9 nadviazanie rel\u00e1cie v mene leg\u00e1lneho pou\u017e\u00edvate\u013ea <\/h3>\n<p>\n<b>Vysvetlenia<\/b><br \/>\nRozklad tejto hrozby sa v obecn\u00fdch pr\u00edpadoch bude odv\u00edja\u0165 od pou\u017eit\u00e9ho typu syst\u00e9mov identifik\u00e1cie a autentifik\u00e1cie pou\u017e\u00edvate\u013eov. <\/p>\n<p>V tomto modeli sa bude uva\u017eova\u0165 iba syst\u00e9m identifik\u00e1cie a autentifik\u00e1cie pou\u017e\u00edvate\u013eov, ktor\u00fd pou\u017e\u00edva textov\u00fd login a heslo. Predpoklad\u00e1me, \u017ee login pou\u017e\u00edvate\u013ea je verejne dostupn\u00e1 inform\u00e1cia zn\u00e1ma \u00fato\u010dn\u00edkom.<\/p>\n<p><b>Dekompoz\u00edcia<\/b><br \/>\nU1.1.  na z\u00e1klade kompromit\u00e1cie prihlasovac\u00edch \u00fadajov:<br \/>\nU1.1.1. \u00dato\u010dn\u00edci skompromitovali prihlasovacie \u00fadaje pou\u017e\u00edvate\u013ea po\u010das ich ukladania.<br \/>\n<i>Vysvetlenia U1.1.1.<\/i><br \/>\nNapr\u00edklad, prihlasovacie \u00fadaje mohli by\u0165 nap\u00edsan\u00e9 na n\u00e1lepke prilepenej na monitore.<\/p>\n<p>U1.1.2. Pou\u017e\u00edvate\u013e n\u00e1hodne alebo \u00famyselne odovzdal pr\u00edstupov\u00e9 \u00fadaje \u00fato\u010dn\u00edkom.<br \/>\nU1.1.2.1. Pou\u017e\u00edvate\u013e vyslovoval prihlasovacie \u00fadaje nahlas pri vstupe.<br \/>\nU1.1.2.2. Pou\u017e\u00edvate\u013e \u00famyselne odovzdal svoje prihlasovacie \u00fadaje:<br \/>\nU1.1.2.2.1.  kolegom v pr\u00e1ci.<br \/>\n<i>Vysvetlenia U1.1.2.2.1.<\/i><br \/>\nNapr\u00edklad, aby ich mohli nahradi\u0165 po\u010das choroby.<\/p>\n<p>U1.1.2.2.2.  klientovi zamestn\u00e1vate\u013ea, ktor\u00ed vykon\u00e1vaj\u00fa pr\u00e1ce na objektoch informa\u010dnej infra\u0161trukt\u00fary.<br \/>\nU1.1.2.2.3.  tret\u00edm stran\u00e1m.<br \/>\n<i>Vysvetlenia U1.1.2.2.3.<\/i><br \/>\nJedn\u00fdm, ale nie jedin\u00fdm sp\u00f4sobom realiz\u00e1cie tejto hrozby je pou\u017e\u00edvanie met\u00f3d soci\u00e1lneho in\u017einierstva \u00fato\u010dn\u00edkmi.<\/p>\n<p>U1.1.3. \u00dato\u010dn\u00edci uh\u00e1dli prihlasovacie \u00fadaje pomocou met\u00f3dy hrubej sily:<br \/>\nU1.1.3.1.  s vyu\u017eit\u00edm \u0161tandardn\u00fdch pr\u00edstupov\u00fdch mechanizmov.<br \/>\nU1.1.3.2.  na z\u00e1klade predt\u00fdm zachyten\u00fdch k\u00f3dov (napr\u00edklad hashov hesiel) ulo\u017eenia prihlasovac\u00edch \u00fadajov.<\/p>\n<p>U1.1.4. \u00dato\u010dn\u00edci pou\u017eili \u0161kodliv\u00fd k\u00f3d na zachytenie prihlasovac\u00edch \u00fadajov pou\u017e\u00edvate\u013ea.<\/p>\n<p>U1.1.5. \u00dato\u010dn\u00edci extrahovali prihlasovacie \u00fadaje zo sie\u0165ov\u00e9ho spojenia medzi Klientom a Serverom:<br \/>\nU1.1.5.1. Odkaz: <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/post\/422329\/#TMUNCU1\">\u201eTypov\u00fd model hrozieb. Sie\u0165ov\u00e9 spojenie. U1. Neopr\u00e1vnen\u00e9 zozn\u00e1menie sa s pren\u00e1\u0161an\u00fdmi \u00fadajmi\u201c<\/a><\/noindex>.<\/p>\n<p>U1.1.6. \u00dato\u010dn\u00edci extrahovali prihlasovacie \u00fadaje zo z\u00e1znamov syst\u00e9mov monitorovania pr\u00e1ce:<br \/>\nU1.1.6.1.  syst\u00e9my videoz\u00e1znamu (v pr\u00edpade, \u017ee po\u010das \u010dinnosti sa zaznamen\u00e1vali stla\u010denia kl\u00e1vesov na kl\u00e1vesnici).<br \/>\nU1.1.6.2.  syst\u00e9my monitorovania \u010dinnosti zamestnancov pri po\u010d\u00edta\u010di. <br \/>\n<i>Vysvetlenia U1.1.6.2.<\/i><br \/>\nPr\u00edklad takejto s\u00fastavy \u2014 <noindex><a rel=\"nofollow\" href=\"https:\/\/www.staffcop.ru\">StuffCop<\/a><\/noindex>.<\/p>\n<p>U1.1.7. \u00dato\u010dn\u00edci skompromitovali prihlasovacie \u00fadaje pou\u017e\u00edvate\u013ea z d\u00f4vodu nedostatkov v procese ich prenosu.<br \/>\n<i>Vysvetlenia U1.1.7.<\/i><br \/>\nNapr\u00edklad, prenos hesiel v otvorenej forme prostredn\u00edctvom e-mailu.<\/p>\n<p>U1.1.8. \u00dato\u010dn\u00edci zistili prihlasovacie \u00fadaje sledovan\u00edm pracovn\u00e9ho seansu pou\u017e\u00edvate\u013ea pomocou syst\u00e9mov vzdialenej spr\u00e1vy.<\/p>\n<p>U1.1.9. \u00dato\u010dn\u00edci extrahovali prihlasovacie \u00fadaje v d\u00f4sledku ich \u00faniku prostredn\u00edctvom technick\u00fdch kan\u00e1lov (TKU):<br \/>\nU1.1.9.1. \u00dato\u010dn\u00edci zbadali, ako pou\u017e\u00edvate\u013e zad\u00e1va prihlasovacie \u00fadaje z kl\u00e1vesnice:<br \/>\nU1.1.9.1.1 \u00dato\u010dn\u00edci sa nach\u00e1dzali v tesnej bl\u00edzkosti pou\u017e\u00edvate\u013ea a videli zad\u00e1vanie prihlasovac\u00edch \u00fadajov vlastn\u00fdmi o\u010dami. <br \/>\n<i>Vysvetlenia U1.1.9.1.1<\/i><br \/>\nPodobn\u00e9 pr\u00edpady m\u00f4\u017eu zah\u0155\u0148a\u0165 \u010dinnosti kolegov v pr\u00e1ci alebo situ\u00e1ciu, ke\u010f je kl\u00e1vesnica pou\u017e\u00edvate\u013ea vidite\u013en\u00e1 pre n\u00e1v\u0161tevn\u00edkov organiz\u00e1cie.<\/p>\n<p>U1.1.9.1.2 \u00dato\u010dn\u00edci pou\u017eili \u010fal\u0161ie technick\u00e9 prostriedky, ako s\u00fa \u010falekoh\u013eady alebo drony, a videli zad\u00e1vanie prihlasovac\u00edch \u00fadajov cez okno. <br \/>\nU1.1.9.2. \u00dato\u010dn\u00edci z\u00edskali prihlasovacie \u00fadaje z z\u00e1znamov r\u00e1diovej komunik\u00e1cie medzi kl\u00e1vesnicou a syst\u00e9movou jednotkou po\u010d\u00edta\u010da v pr\u00edpade, \u017ee boli pripojen\u00e9 cez r\u00e1diov\u00e9 rozhranie (napr. Bluetooth).<br \/>\nU1.1.9.3. \u00dato\u010dn\u00edci uskuto\u010dnili odpo\u010d\u00favanie prihlasovac\u00edch \u00fadajov na z\u00e1klade ich \u00faniku cez kan\u00e1l ved\u013eaj\u0161\u00edch elektromagnetick\u00fdch \u017eiaren\u00ed a indukci\u00ed (PEM).<br \/>\n<i>Vysvetlenia U1.1.9.3.<\/i><br \/>\nPr\u00edklady \u00fatoku <noindex><a rel=\"nofollow\" href=\"https:\/\/www.youtube.com\/watch?v=tMSglPLIDYU\">tu<\/a><\/noindex> a <noindex><a rel=\"nofollow\" href=\"https:\/\/www.cl.cam.ac.uk\/~mgk25\/pet2004-fpd.pdf\">tu<\/a><\/noindex>. <\/p>\n<p>U1.1.9.4. \u00dato\u010dn\u00edk uskuto\u010dnil odpo\u010d\u00favanie zad\u00e1vania prihlasovac\u00edch \u00fadajov z kl\u00e1vesnice pou\u017eit\u00edm \u0161peci\u00e1lnych technick\u00fdch prostriedkov (\u0160TP), ur\u010den\u00fdch na tajn\u00e9 z\u00edskavanie inform\u00e1ci\u00ed.<br \/>\n<i>Vysvetlenia U1.1.9.4.<\/i><br \/>\nPr\u00edklady <noindex>zariaden\u00ed<\/noindex>. <\/p>\n<p>U1.1.9.5. \u00dato\u010dn\u00edci uskuto\u010dnili odpo\u010d\u00favanie zad\u00e1vania prihlasovac\u00edch \u00fadajov z kl\u00e1vesnice na z\u00e1klade <br \/>\nanal\u00fdzy Wi-Fi sign\u00e1lu, modifikovan\u00e9ho procesom stla\u010denia kl\u00e1vesov pou\u017e\u00edvate\u013eom.<br \/>\n<i>Vysvetlenia U1.1.9.5.<\/i><br \/>\nPr\u00edklad <noindex><a rel=\"nofollow\" href=\"https:\/\/threatpost.com\/keystroke-recognition-uses-wi-fi-signals-to-snoop\/120135\/\">\u00fatoky<\/a><\/noindex>.<\/p>\n<p>U1.1.9.6. \u00dato\u010dn\u00edci uskuto\u010dnili odpo\u010d\u00favanie zad\u00e1vania prihlasovac\u00edch \u00fadajov z kl\u00e1vesnice na z\u00e1klade anal\u00fdzy zvukov stla\u010denia kl\u00e1vesov.<br \/>\n<i>Vysvetlenia U1.1.9.6.<\/i><br \/>\nPr\u00edklad <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/post\/398545\/\">\u00fatoky<\/a><\/noindex>.<\/p>\n<p>U1.1.9.7. \u00dato\u010dn\u00edci uskuto\u010dnili odpo\u010d\u00favanie zad\u00e1vania prihlasovac\u00edch \u00fadajov z kl\u00e1vesnice mobiln\u00e9ho zariadenia na z\u00e1klade anal\u00fdzy \u00fadajov z akcelerometra.<br \/>\n<i>Vysvetlenia U1.1.9.7.<\/i><br \/>\nPr\u00edklad <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/post\/126806\/\">\u00fatoky<\/a><\/noindex>.<\/p>\n<p>U1.1.10. , predt\u00fdm ulo\u017een\u00fdch na Klientovi.<br \/>\n<i>Vysvetlenia U1.1.10.<\/i><br \/>\nNapr\u00edklad, pou\u017e\u00edvate\u013e mohol v prehliada\u010di ulo\u017ei\u0165 login a heslo na pr\u00edstup k ur\u010ditej str\u00e1nke.<\/p>\n<p>U1.1.11. \u00dato\u010dn\u00edci kompromitovali prihlasovacie \u00fadaje kv\u00f4li nedostatkom v procese odvolania pr\u00edstupov pou\u017e\u00edvate\u013eov.<br \/>\n<i>Vysvetlenia U1.1.11.<\/i><br \/>\nNapr\u00edklad, po odchode zamestnanca ostali jeho \u00fa\u010dty neblokovan\u00e9.<\/p>\n<p>U1.2.  vyu\u017eit\u00edm zranite\u013enost\u00ed v syst\u00e9me pr\u00edstupov\u00fdch pr\u00e1v.<br \/>\n<noindex><a rel=\"nofollow\" name=\"TMUSRDU2\"><\/a><\/noindex> <\/p>\n<h3>U2. Neopr\u00e1vnen\u00e9 z\u00edskanie opr\u00e1vnen\u00ed pou\u017e\u00edvate\u013ea v informa\u010dnom syst\u00e9me<\/h3>\n<p>\n<b>Dekompoz\u00edcia<\/b><br \/>\nU2.1  prostredn\u00edctvom neautorizovan\u00fdch zmien v \u00fadajoch obsahuj\u00facich inform\u00e1cie o privilegovan\u00fdch pou\u017e\u00edvate\u013eoch.<\/p>\n<p>U2.2  vyu\u017eit\u00edm zranite\u013enost\u00ed v syst\u00e9me pr\u00edstupov\u00fdch pr\u00e1v.<\/p>\n<p>U2.3.  z d\u00f4vodu nedostatkov v procese spr\u00e1vy pr\u00edstupu pou\u017e\u00edvate\u013eov.<br \/>\n<i>Vysvetlenia U2.3.<\/i><br \/>\nPr\u00edklad 1. Pou\u017e\u00edvate\u013eovi bol poskytnut\u00fd pr\u00edstup v\u00e4\u010d\u0161\u00ed, ne\u017e by potreboval pod\u013ea slu\u017eobn\u00fdch povinnost\u00ed.<br \/>\nPr\u00edklad 2. Po presune pou\u017e\u00edvate\u013ea na in\u00fa poz\u00edciu neboli doteraj\u0161ie poskytnut\u00e9 pr\u00edstupov\u00e9 pr\u00e1va odvolan\u00e9.<\/p>\n<p>\n<noindex><a rel=\"nofollow\" name=\"TMUMI\"><\/a><\/noindex><\/p>\n<h2>TYPOV\u00dd MODEL HROZBY. INTEGRA\u010cN\u00dd MODUL<\/h2>\n<p><\/p>\n<h3>Objekt ochrany, pre ktor\u00fd sa aplikuje model hrozieb (scope)<\/h3>\n<p>\nIntegra\u010dn\u00fd modul je s\u00fabor objektov informa\u010dnej infra\u0161trukt\u00fary ur\u010den\u00fd na organizovanie v\u00fdmeny inform\u00e1ci\u00ed medzi informa\u010dn\u00fdmi syst\u00e9mami.<\/p>\n<p>Vzh\u013eadom na to, \u017ee v korpor\u00e1tnych sie\u0165ach nie je v\u017edy mo\u017en\u00e9 jednozna\u010dne oddeli\u0165 jeden informa\u010dn\u00fd syst\u00e9m od druh\u00e9ho, mo\u017eno integra\u010dn\u00fd modul pova\u017eova\u0165 aj za spojovac\u00ed \u010dl\u00e1nok medzi komponentmi v r\u00e1mci jedn\u00e9ho informa\u010dn\u00e9ho syst\u00e9mu.<\/p>\n<p><b>Architekt\u00fara<\/b><br \/>\nV\u0161eobecn\u00e1 sch\u00e9ma integra\u010dn\u00e9ho modulu vyzer\u00e1 nasledovne:<\/p>\n<p><img decoding=\"async\" alt=\"Informa\u010dn\u00e1 bezpe\u010dnos\u0165 bankov\u00fdch bezhotovostn\u00fdch platieb. \u010cas\u0165 8 \u2014 Typov\u00e9 modely hrozieb\" src=\"\/wp-content\/uploads\/2019\/04\/6b91d59698b761a14aef7f1c4fbec325.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nPopis prvkov architekt\u00fary:<\/p>\n<ul>\n<li><i>\u201eServer v\u00fdmeny (SV)\u201c<\/i> \u2013 uzol \/ slu\u017eba \/ komponent informa\u010dn\u00e9ho syst\u00e9mu, ktor\u00fd vykon\u00e1va funkciu v\u00fdmeny \u00fadajov s in\u00fdm informa\u010dn\u00fdm syst\u00e9mom.<\/li>\n<li><i>\u201eProstredn\u00edk\u201c<\/i> \u2013 uzol \/ slu\u017eba ur\u010den\u00e1 na organizovanie interakcie medzi informa\u010dn\u00fdmi syst\u00e9mami, ale nepatriaca do ich zlo\u017eenia. <br \/>\nPr\u00edkladmi <i>\u201eProstredn\u00edkov\u201c<\/i> m\u00f4\u017eu by\u0165 slu\u017eby elektronickej po\u0161ty, podnikov\u00e9 servisn\u00e9 zbery (enterprise service bus \/ SoA-architekt\u00fara), extern\u00e9 s\u00faborov\u00e9 servery at\u010f. Vo v\u0161eobecnosti integra\u010dn\u00fd modul nemus\u00ed obsahova\u0165 \"Prostredn\u00edkov\".<\/li>\n<li><i>\u201eSoftv\u00e9r na spracovanie \u00fadajov\u201c<\/i> \u2013 s\u00fabor programov, ktor\u00fd realizuje protokoly v\u00fdmeny \u00fadajov a konverziu form\u00e1tov. <br \/>\nNapr\u00edklad konverzia \u00fadajov z form\u00e1tu UFEBS do form\u00e1tu ABS, zmena stavov spr\u00e1v po\u010das prenosu at\u010f.<\/li>\n<li><i>\u201eSie\u0165ov\u00e9 pripojenie\u201c<\/i> zodpoved\u00e1 objektu pop\u00edsan\u00e9mu v typovom modeli hrozieb \u201eSie\u0165ov\u00e9 pripojenie\u201c. Niektor\u00e9 sie\u0165ov\u00e9 pripojenia z t\u00fdch, ktor\u00e9 s\u00fa zn\u00e1zornen\u00e9 na sch\u00e9me vy\u0161\u0161ie, nemusia existova\u0165.<\/li>\n<\/ul>\n<p><b>Pr\u00edklady integra\u010dn\u00fdch modulov<\/b><\/p>\n<p><i>Sch\u00e9ma 1. Integr\u00e1cia ABS a ARM KBR cez extern\u00fd s\u00faborov\u00fd server<\/i><\/p>\n<p>Na vykon\u00e1vanie platieb poveren\u00fd pracovn\u00edk banky stiahne z ABS elektronick\u00e9 platobn\u00e9 dokumenty a ulo\u017e\u00ed ich do s\u00faboru (vlastn\u00e9ho form\u00e1tu, napr\u00edklad SQL dump) na zdie\u013eanej zlo\u017eke (\u2026SHARE) s\u00faborov\u00e9ho servera. Potom sa tento s\u00fabor pomocou konverzn\u00e9ho skriptu prevedie na s\u00fabor form\u00e1tu UFEBS, ktor\u00fd potom na\u010d\u00edta ARM KBR. <br \/>\nPo tomto poveren\u00fd pracovn\u00edk \u2014 pou\u017e\u00edvate\u013e AR\u041c KBR \u2014 \u0161ifruje a podpisuje prijat\u00fd s\u00fabor a odosiela ho do platobn\u00e9ho syst\u00e9mu Banky Ruska.<\/p>\n<p>Pri pr\u00edchode platieb z Banky Ruska AR\u041c KBR vykon\u00e1va ich de\u0161ifrovanie a kontrolu elektronick\u00e9ho podpisu, po \u010dom ich zapisuje vo forme s\u00faborov vo form\u00e1te UFEBS na s\u00faborov\u00fd server. Pred importom platobn\u00fdch dokumentov do ABS sa prev\u00e1dzaj\u00fa pomocou konverzn\u00e9ho skriptu z form\u00e1tu UFEBS do form\u00e1tu ABS. <\/p>\n<p>Predpokladajme, \u017ee v tejto sch\u00e9me ABS funguje na jednom fyzickom serveri, AR\u041c KBR funguje na vyhradenom po\u010d\u00edta\u010di a konverzn\u00fd skript pracuje na s\u00faborovom serveri.<\/p>\n<p><img decoding=\"async\" alt=\"Informa\u010dn\u00e1 bezpe\u010dnos\u0165 bankov\u00fdch bezhotovostn\u00fdch platieb. \u010cas\u0165 8 \u2014 Typov\u00e9 modely hrozieb\" src=\"\/wp-content\/uploads\/2019\/04\/bef53aaa1deaee5adeca620204345642.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nZhodnos\u0165 objektov prejedn\u00e1vanej sch\u00e9my s prvkami modelu integra\u010dn\u00e9ho modulu:<br \/>\n<i>\u00abServery v\u00fdmeny zo strany ABS\u00bb<\/i> \u2013 server ABS.<br \/>\n<i>\u00abServery v\u00fdmeny zo strany AR\u041c KBR\u00bb<\/i> \u2013 po\u010d\u00edta\u010d AR\u041c KBR.<br \/>\n<i>\u201eProstredn\u00edk\u201c<\/i> \u2013 extern\u00fd s\u00faborov\u00fd server.<br \/>\n<i>\u201eSoftv\u00e9r na spracovanie \u00fadajov\u201c<\/i> \u2013 konverzn\u00fd skript.<\/p>\n<p><i>Sch\u00e9ma 2. Integr\u00e1cia ABS a AR\u041c KBR pri umiestnen\u00ed spolo\u010dnej sie\u0165ovej zlo\u017eky s platbami na AR\u041c KBR<\/i><\/p>\n<p>V\u0161etko podobne ako v sch\u00e9me 1, ale samostatn\u00fd s\u00faborov\u00fd server sa nepou\u017e\u00edva, namiesto toho sa zdie\u013ean\u00e1 zlo\u017eka (\u2026SHARE) s elektronick\u00fdmi platobn\u00fdmi dokumentmi umiest\u0148uje na po\u010d\u00edta\u010di s ARM KBR. Konverzn\u00fd skript tie\u017e funguje na ARM KBR.<\/p>\n<p><img decoding=\"async\" alt=\"Informa\u010dn\u00e1 bezpe\u010dnos\u0165 bankov\u00fdch bezhotovostn\u00fdch platieb. \u010cas\u0165 8 \u2014 Typov\u00e9 modely hrozieb\" src=\"\/wp-content\/uploads\/2019\/04\/7d3ecde6d78b2c45e1249236c7da925b.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nZhodnos\u0165 objektov prejedn\u00e1vanej sch\u00e9my s prvkami modelu integra\u010dn\u00e9ho modulu:<br \/>\nPodobne ako v Sch\u00e9me 1, ale <i>\u201eProstredn\u00edk\u201c<\/i> sa nepou\u017e\u00edva.<\/p>\n<p><i>Sch\u00e9ma 3. Integr\u00e1cia ABS a AR\u041c KBR-N cez IBM WebSphere MQ a realiz\u00e1cia podpisu elektronick\u00fdch dokumentov \u201ena strane ABS\u201c<\/i><\/p>\n<p>ABS funguje na platforme, ktor\u00fa nepodporuje SKZIS SCAD Signat\u00fara. Podpis odch\u00e1dzaj\u00facich elektronick\u00fdch dokumentov sa vykon\u00e1va na \u0161peci\u00e1lnom serveri elektronick\u00e9ho podpisu (Server EP). Tento server tie\u017e kontroluje elektronick\u00fd podpis nad prich\u00e1dzaj\u00facimi dokumentmi z Banky Ruska.<\/p>\n<p>ABS vyklad\u00e1 na Server EP s\u00fabor s platobn\u00fdmi dokumentmi vo vlastnom form\u00e1te.<br \/>\nServer EP s pomocou konverzn\u00e9ho skriptu prev\u00e1dza s\u00fabor na elektronick\u00e9 spr\u00e1vy vo form\u00e1te UFEBS, po \u010dom sa tieto elektronick\u00e9 spr\u00e1vy podpisuj\u00fa a odosielaj\u00fa na IBM WebSphere MQ.<\/p>\n<p>AR\u041c KBR-N sa prihlasuje k IBM WebSphere MQ a z\u00edskava podp\u00edsan\u00e9 platobn\u00e9 spr\u00e1vy, po \u010dom poveren\u00fd pracovn\u00edk \u2014 pou\u017e\u00edvate\u013e AR\u041c KBR \u2014 ich \u0161ifruje a odosiela do platobn\u00e9ho syst\u00e9mu Banky Ruska.<\/p>\n<p>Pri prij\u00edman\u00ed platieb z Banku Ruska ARM KBR-N ich de\u0161ifruje a overuje elektronick\u00fd podpis. \u00daspe\u0161ne spracovan\u00e9 platby vo forme de\u0161ifrovan\u00fdch a podp\u00edsan\u00fdch elektronick\u00fdch spr\u00e1v form\u00e1tu UFEBS s\u00fa pren\u00e1\u0161an\u00e9 do IBM WebSphere MQ, odkia\u013e ich prij\u00edma Server EP.<\/p>\n<p>Server EP overuje elektronick\u00fd podpis prijat\u00fdch platieb a uklad\u00e1 ich do s\u00faboru form\u00e1tu ABS. Potom opr\u00e1vnen\u00fd zamestnanec \u2014 pou\u017e\u00edvate\u013e ABS \u2014 nahr\u00e1va vzniknut\u00fd s\u00fabor do ABS v riadnom porad\u00ed.<\/p>\n<p><img decoding=\"async\" alt=\"Informa\u010dn\u00e1 bezpe\u010dnos\u0165 bankov\u00fdch bezhotovostn\u00fdch platieb. \u010cas\u0165 8 \u2014 Typov\u00e9 modely hrozieb\" src=\"\/wp-content\/uploads\/2019\/04\/b1bd9c224b18dc84cca5f8bdc7d69713.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nZhodnos\u0165 objektov prejedn\u00e1vanej sch\u00e9my s prvkami modelu integra\u010dn\u00e9ho modulu:<br \/>\n<i>\u201eServer v\u00fdmeny zo strany ABS\u201c<\/i> \u2013 server ABS.<br \/>\n<i>\u201eServer v\u00fdmeny zo strany ARM KBR\u201c<\/i> \u2014 po\u010d\u00edta\u010d ARM KBR.<br \/>\n<i>\u201eProstredn\u00edk\u201c<\/i> \u2013 Server EP a IBM WebSphere MQ.<br \/>\n<i>\u201eSoftv\u00e9r na spracovanie \u00fadajov\u201c<\/i> \u2013 skript-konvertor, SKZI SKAD Podpis na Serveri EP.<\/p>\n<p><i>Sch\u00e9ma 4. Integr\u00e1cia Servera DBO a ABS cez API, poskytovan\u00e9 vyhraden\u00fdm serverom v\u00fdmeny<\/i><\/p>\n<p>Povedzme, \u017ee v banke sa pou\u017e\u00edva nieko\u013eko syst\u00e9mov dia\u013ekov\u00e9ho bankovn\u00edctva (DBO): <\/p>\n<ul>\n<li>\u201eInternet Klient-Banka\u201c pre fyzick\u00e9 osoby (IKB FO);<\/li>\n<li>\u201eInternet Klient-Banka\u201c pre pr\u00e1vnick\u00e9 osoby (IKB PO). <\/li>\n<\/ul>\n<p>\nNa zabezpe\u010denie informa\u010dnej bezpe\u010dnosti sa v\u0161etka interakcia ABS so syst\u00e9mami DBO uskuto\u010d\u0148uje cez vyhraden\u00fd server v\u00fdmeny, ktor\u00fd funguje v r\u00e1mci informa\u010dn\u00e9ho syst\u00e9mu \u201eABS\u201c.<\/p>\n<p>\u010ealej sa budeme zaobera\u0165 procesom interakcie syst\u00e9mu DBO IKB PO s ABS.<br \/>\nServer DBO, ktor\u00fd od klienta obdr\u017e\u00ed n\u00e1le\u017eite overen\u00e9 platobn\u00e9 pr\u00edkazy, mus\u00ed na jeho z\u00e1klade vytvori\u0165 pr\u00edslu\u0161n\u00fd dokument v ABS. Na to inform\u00e1cie za pomoci API pren\u00e1\u0161a na server v\u00fdmeny, a ten n\u00e1sledne vklad\u00e1 d\u00e1ta do ABS. <\/p>\n<p>Pri zmene zostatkov na \u00fa\u010dte klienta ABS formuje elektronick\u00e9 upozornenia, ktor\u00e9 sa prostredn\u00edctvom servera v\u00fdmeny pren\u00e1\u0161aj\u00fa na server DBO.<\/p>\n<p><img decoding=\"async\" alt=\"Informa\u010dn\u00e1 bezpe\u010dnos\u0165 bankov\u00fdch bezhotovostn\u00fdch platieb. \u010cas\u0165 8 \u2014 Typov\u00e9 modely hrozieb\" src=\"\/wp-content\/uploads\/2019\/04\/63f88ad151996e7ddaa883349a6d8e22.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nZhodnos\u0165 objektov prejedn\u00e1vanej sch\u00e9my s prvkami modelu integra\u010dn\u00e9ho modulu:<br \/>\n<i>\u201eServer v\u00fdmeny zo strany DBO\u201c<\/i> \u2013 server DBO IKB PO.<br \/>\n<i>\u201eServer v\u00fdmeny zo strany ABS\u201c<\/i> \u2013 server v\u00fdmeny.<br \/>\n<i>\u201eProstredn\u00edk\u201c<\/i> \u2013 ch\u00fdba.<br \/>\n<i>\u201eSoftv\u00e9r na spracovanie \u00fadajov\u201c<\/i> \u2013 komponenty Servera DBO zodpovedn\u00e9 za pou\u017e\u00edvanie API servera v\u00fdmeny, komponenty servera v\u00fdmeny zodpovedn\u00e9 za pou\u017e\u00edvanie API ABS.<\/p>\n<h3>Hrozby bezpe\u010dnosti vy\u0161\u0161ieho stup\u0148a<\/h3>\n<p>\n<b>Dekompoz\u00edcia<\/b><br \/>\nU1. Zavedenie falo\u0161n\u00fdch inform\u00e1ci\u00ed \u00fato\u010dn\u00edkmi prostredn\u00edctvom integra\u010dn\u00e9ho modulu. <br \/>\n<noindex><a rel=\"nofollow\" name=\"TMUMIU1\"><\/a><\/noindex><\/p>\n<h3>U1. Zavedenie falo\u0161n\u00fdch inform\u00e1ci\u00ed \u00fato\u010dn\u00edkmi prostredn\u00edctvom integra\u010dn\u00e9ho modulu <\/h3>\n<p><b>Dekompoz\u00edcia<\/b><br \/>\nU1.1. Neopr\u00e1vnen\u00e1 modifik\u00e1cia legit\u00edmnych \u00fadajov pri ich prenose cez sie\u0165ov\u00e9 spojenia:<br \/>\nU1.1.1 Odkaz: <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/post\/422329\/#TMUNCU2\">\u201eTypov\u00fd model hrozieb. Sie\u0165ov\u00e9 pripojenie. U2. Neopr\u00e1vnen\u00e1 zmena pren\u00e1\u0161an\u00fdch \u00fadajov\u201c<\/a><\/noindex>.<\/p>\n<p>U1.2. Prenos falo\u0161n\u00fdch \u00fadajov po komunika\u010dn\u00fdch kan\u00e1loch v mene legit\u00edmneho \u00fa\u010dastn\u00edka v\u00fdmeny:<br \/>\nU1.1.2 Odkaz: <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/post\/422329\/#TMUNCU3\">\u201eTypov\u00fd model hrozieb. Sie\u0165ov\u00e9 pripojenie. U3. Poru\u0161enie autorsk\u00fdch pr\u00e1v pren\u00e1\u0161an\u00fdch \u00fadajov\u201c<\/a><\/noindex>.<\/p>\n<p>U1.3. Neopr\u00e1vnen\u00e1 modifik\u00e1cia legit\u00edmnych \u00fadajov pri ich spracovan\u00ed na serveroch v\u00fdmeny alebo prostredn\u00edkovi:<br \/>\nU1.3.1. Odkaz: <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/post\/422329\/#TMUISU2\">\u201eTypov\u00fd model hrozieb. Informa\u010dn\u00fd syst\u00e9m postaven\u00fd na architekt\u00fare klient-server. U2. Neopr\u00e1vnen\u00e1 modifik\u00e1cia chr\u00e1nen\u00fdch inform\u00e1ci\u00ed po\u010das ich spracovania serverovou \u010das\u0165ou informa\u010dn\u00e9ho syst\u00e9mu\u201c<\/a><\/noindex>.<\/p>\n<p>U1.4. Vytvorenie na serveroch v\u00fdmeny alebo prostredn\u00edkovi falo\u0161n\u00fdch \u00fadajov v mene legit\u00edmneho \u00fa\u010dastn\u00edka v\u00fdmeny:<br \/>\nU1.4.1. Odkaz: <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/post\/422329\/#TMUISU1\">\u201eTypov\u00fd model hrozieb. Informa\u010dn\u00fd syst\u00e9m postaven\u00fd na architekt\u00fare klient-server. U1. Vykon\u00e1vanie neopr\u00e1vnen\u00fdch akci\u00ed zlo\u010dincami v mene legit\u00edmneho pou\u017e\u00edvate\u013ea.\u201c<\/a><\/noindex><\/p>\n<p>U1.5. Neopr\u00e1vnen\u00e1 modifik\u00e1cia \u00fadajov pri ich spracovan\u00ed pomocou softv\u00e9ru na spracovanie \u00fadajov:<br \/>\nU1.5.1.  prostredn\u00edctvom neopr\u00e1vnen\u00fdch zmien vykonan\u00fdch \u00fato\u010dn\u00edkmi v nastaveniach (konfigur\u00e1cii) softv\u00e9ru na spracovanie \u00fadajov.<br \/>\nU1.5.2.  prostredn\u00edctvom neopr\u00e1vnen\u00fdch zmien vykonan\u00fdch \u00fato\u010dn\u00edkmi v spustite\u013en\u00fdch s\u00faboroch softv\u00e9ru na spracovanie \u00fadajov.<br \/>\nU1.5.3.  prostredn\u00edctvom \u0161kodliv\u00e9ho interakt\u00edvneho riadenia softv\u00e9ru na spracovanie \u00fadajov \u00fato\u010dn\u00edkmi.<\/p>\n<p>\n<noindex><a rel=\"nofollow\" name=\"TMUSKZI\"><\/a><\/noindex><\/p>\n<h2>TYPOV\u00dd MODEL HROZIEB. SYST\u00c9M KRYPTOGRAFICKEJ OCHRANY INFORM\u00c1CI\u00cd<\/h2>\n<p><\/p>\n<h3>Objekt ochrany, pre ktor\u00fd sa aplikuje model hrozieb (scope)<\/h3>\n<p>\nOchrann\u00fdm objektom je syst\u00e9m kryptografickej ochrany inform\u00e1ci\u00ed pou\u017e\u00edvan\u00fd na zabezpe\u010denie informa\u010dn\u00e9ho syst\u00e9mu.<\/p>\n<p><b>Architekt\u00fara<\/b><br \/>\nZ\u00e1kladom ka\u017ed\u00e9ho informa\u010dn\u00e9ho syst\u00e9mu je aplika\u010dn\u00fd softv\u00e9r (AS), ktor\u00fd realizuje jeho cie\u013eov\u00fa funkcionalitu. <\/p>\n<p>Kryptografick\u00e1 ochrana sa zvy\u010dajne realizuje prostredn\u00edctvom volania kryptografick\u00fdch primit\u00edvov z biznis logiky aplika\u010dn\u00e9ho softv\u00e9ru, ktor\u00e9 s\u00fa umiestnen\u00e9 v \u0161pecializovan\u00fdch kni\u017eniciach \u2013 kryptojadroch.<\/p>\n<p>Kryptografick\u00e9 primit\u00edvy zah\u0155\u0148aj\u00fa n\u00edzko\u00farov\u0148ov\u00e9 kryptografick\u00e9 funkcie, ako s\u00fa:<\/p>\n<ul>\n<li>za\u0161ifrova\u0165 \/ de\u0161ifrova\u0165 blok \u00fadajov;<\/li>\n<li>vytvori\u0165 \/ overi\u0165 elektronick\u00fd podpis bloku \u00fadajov;<\/li>\n<li>vypo\u010d\u00edta\u0165 hash funkciu bloku \u00fadajov;<\/li>\n<li>formova\u0165 \/ na\u010d\u00edta\u0165 \/ vylo\u017ei\u0165 k\u013e\u00fa\u010dov\u00e9 inform\u00e1cie;<\/li>\n<li>a pod.<\/li>\n<\/ul>\n<p>\nBiznis logika aplika\u010dn\u00e9ho softv\u00e9ru prostredn\u00edctvom kryptografick\u00fdch primit\u00edvov realizuje vy\u0161\u0161\u00ed \u00farov\u0148ov\u00fd funkcion\u00e1l:<\/p>\n<ul>\n<li>za\u0161ifrova\u0165 s\u00fabor na k\u013e\u00fa\u010doch vybran\u00fdch pr\u00edjemcov;<\/li>\n<li>nastavi\u0165 zabezpe\u010den\u00e9 sie\u0165ov\u00e9 pripojenie;<\/li>\n<li>informova\u0165 o v\u00fdsledkoch kontroly elektronick\u00e9ho podpisu;<\/li>\n<li>a podobne.<\/li>\n<\/ul>\n<p>\nInterakcia biznis logiky a kryptom\u00f4dre m\u00f4\u017ee prebieha\u0165:<\/p>\n<ul>\n<li>priamo, vyvolan\u00edm kryptografick\u00fdch primit\u00edvov biznis logikou z dynamick\u00fdch kni\u017en\u00edc kryptom\u00f4dre (.DLL \u2013 pre Windows, .SO \u2013 pre Linux);<\/li>\n<li>nepriamo, cez kryptografick\u00e9 rozhrania \u2013 ob\u00e1lky (wrappers), napr\u00edklad MS Crypto API, Java Cryptography Architecture, PKCS#11 a in\u00e9. V tomto pr\u00edpade biznis logika komunikuje s kryptointerf\u00e1som, ktor\u00fd potom preklad\u00e1 volanie na pr\u00edslu\u0161n\u00fd kryptom\u00f3d, ktor\u00fd sa v takomto pr\u00edpade naz\u00fdva kryptoprovajder. Pou\u017e\u00edvanie kryptografick\u00fdch rozhran\u00ed umo\u017e\u0148uje aplika\u010dn\u00e9mu softv\u00e9ru abstrahova\u0165 od konkr\u00e9tnych kryptografick\u00fdch algoritmov a by\u0165 flexibilnej\u0161ie.<\/li>\n<\/ul>\n<p>\nM\u00f4\u017eeme rozl\u00ed\u0161i\u0165 dve typick\u00e9 sch\u00e9my organiz\u00e1cie kryptom\u00f4dre:<\/p>\n<p><i>Sch\u00e9ma 1 \u2013 Monolitick\u00e1 kryptom\u00f4dra<\/i><br \/>\n<img decoding=\"async\" alt=\"Informa\u010dn\u00e1 bezpe\u010dnos\u0165 bankov\u00fdch bezhotovostn\u00fdch platieb. \u010cas\u0165 8 \u2014 Typov\u00e9 modely hrozieb\" src=\"\/wp-content\/uploads\/2019\/04\/e5186d11e4e0e9ad9361f3935228bc30.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\n<i>Sch\u00e9ma 2 \u2013 Rozdelen\u00e1 kryptom\u00f4dra<\/i><br \/>\n<img decoding=\"async\" alt=\"Informa\u010dn\u00e1 bezpe\u010dnos\u0165 bankov\u00fdch bezhotovostn\u00fdch platieb. \u010cas\u0165 8 \u2014 Typov\u00e9 modely hrozieb\" src=\"\/wp-content\/uploads\/2019\/04\/9953d524fbee78d7e4eb917e9d56a38f.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nPrvky na uveden\u00fdch sch\u00e9mach m\u00f4\u017eu by\u0165 bu\u010f samostatn\u00fdmi modulmi softv\u00e9ru pracuj\u00facimi na jednom po\u010d\u00edta\u010di, alebo sie\u0165ov\u00fdmi slu\u017ebami, ktor\u00e9 komunikuj\u00fa v r\u00e1mci v\u00fdpo\u010dtovej siete.<\/p>\n<p>Pri pou\u017eit\u00ed syst\u00e9mov postaven\u00fdch na sch\u00e9me 1 aplika\u010dn\u00fd softv\u00e9r a kryptom\u00f4dra pracuj\u00fa v r\u00e1mci jednej prev\u00e1dzkov\u00e9ho prostredia kryptoprostriedku (SVK), napr\u00edklad na rovnakom po\u010d\u00edta\u010di, pod spr\u00e1vou rovnak\u00e9ho opera\u010dn\u00e9ho syst\u00e9mu. Pou\u017e\u00edvate\u013e syst\u00e9mu zvy\u010dajne m\u00f4\u017ee sp\u00fa\u0161\u0165a\u0165 v tomto prostred\u00ed aj \u010fal\u0161ie programy, vr\u00e1tane t\u00fdch, ktor\u00e9 obsahuj\u00fa \u0161kodliv\u00fd k\u00f3d. V tak\u00fdchto podmienkach existuje v\u00e1\u017eny riziko \u00faniku s\u00fakromn\u00fdch kryptografick\u00fdch k\u013e\u00fa\u010dov.<\/p>\n<p>Na minimaliz\u00e1ciu rizika sa pou\u017e\u00edva sch\u00e9ma 2, pri ktorej je kryptom\u00f4dra rozdelen\u00e1 na dve \u010dasti:<\/p>\n<ol>\n<li>Prv\u00e1 \u010das\u0165 spolu s aplika\u010dn\u00fdm softv\u00e9rom pracuje v ned\u00f4veryhodnom prostred\u00ed, kde existuje riziko nakazenia \u0161kodliv\u00fdm k\u00f3dom. T\u00fato \u010das\u0165 budeme naz\u00fdva\u0165 \u2013 \u201eprogramov\u00e1 \u010das\u0165\u201c.<\/li>\n<li>Druh\u00e1 \u010das\u0165 pracuje v d\u00f4veryhodnom prostred\u00ed na vyhradenom zariaden\u00ed, ktor\u00e9 obsahuje \u00falo\u017eisko s\u00fakromn\u00fdch k\u013e\u00fa\u010dov. \u010ealej t\u00fato \u010das\u0165 budeme naz\u00fdva\u0165 \u2013 \u201ehardv\u00e9rov\u00e1 \u010das\u0165\u201c.<\/li>\n<\/ol>\n<p>\nRozdelenie kryptojadra na softv\u00e9rov\u00fa a hardv\u00e9rov\u00fa \u010das\u0165 je ve\u013emi podmienen\u00e9. Na trhu s\u00fa syst\u00e9my postaven\u00e9 na sch\u00e9me so rozdelen\u00fdm kryptojadrom, av\u0161ak ich \u201ehardv\u00e9rov\u00e1\u201c \u010das\u0165 je reprezentovan\u00e1 ako obraz virtu\u00e1lneho stroja \u2014 virtual HSM (<noindex><a rel=\"nofollow\" href=\"https:\/\/www.unboundtech.com\/product\/unbound-key-control\/\">pr\u00edklad<\/a><\/noindex>).<\/p>\n<p>Interakcia oboch \u010dast\u00ed kryptojadra prebieha tak, \u017ee s\u00fakromn\u00e9 kryptografick\u00e9 k\u013e\u00fa\u010de sa nikdy nepren\u00e1\u0161aj\u00fa do softv\u00e9rovej \u010dasti a teda nem\u00f4\u017eu by\u0165 ukradnut\u00e9 pomocou \u0161kodliv\u00e9ho k\u00f3du.<\/p>\n<p>Rozhranie interakcie (API) a s\u00fabor kryptografick\u00fdch primit\u00edvov poskytovan\u00fdch aplika\u010dn\u00fdm softv\u00e9rom kryptojadrom s\u00fa v oboch pr\u00edpadoch rovnak\u00e9. Rozdiel spo\u010d\u00edva v sp\u00f4sobe ich implement\u00e1cie.<\/p>\n<p>Tak\u017ee pri pou\u017eit\u00ed sch\u00e9my s rozdelen\u00fdm kryptojadrom prebieha interakcia medzi softv\u00e9rovou a hardv\u00e9rovou \u010das\u0165ou nasleduj\u00facim sp\u00f4sobom:<\/p>\n<ol>\n<li>Kryptografick\u00e9 primit\u00edvy, ktor\u00e9 nevy\u017eaduj\u00fa pou\u017eitie s\u00fakromn\u00e9ho k\u013e\u00fa\u010da (napr\u00edklad v\u00fdpo\u010det hash funkcie, overenie elektronick\u00e9ho podpisu a pod.), vykon\u00e1va softv\u00e9rov\u00e1 \u010das\u0165.<\/li>\n<li>Kryptografick\u00e9 primit\u00edvy, ktor\u00e9 pou\u017e\u00edvaj\u00fa s\u00fakromn\u00fd k\u013e\u00fa\u010d (vytvorenie elektronick\u00e9ho podpisu, de\u0161ifrovanie \u00fadajov a pod.), vykon\u00e1va hardv\u00e9rov\u00e1 \u010das\u0165.<\/li>\n<\/ol>\n<p>\nIlustrujeme pr\u00e1cu rozdelen\u00e9ho kryptojadra na pr\u00edklade vytv\u00e1rania elektronick\u00e9ho podpisu:<\/p>\n<ol>\n<li>Softv\u00e9rov\u00e1 \u010das\u0165 vypo\u010d\u00edta hash funkciu podpisovan\u00fdch \u00fadajov a prostredn\u00edctvom kan\u00e1la v\u00fdmeny medzi kryptojadlami odo\u0161le t\u00fato hodnotu do hardv\u00e9rovej \u010dasti.<\/li>\n<li>Hardv\u00e9rov\u00e1 \u010das\u0165, vyu\u017e\u00edvaj\u00fac s\u00fakromn\u00fd k\u013e\u00fa\u010d a hash, vytvor\u00ed hodnotu elektronick\u00e9ho podpisu a prostredn\u00edctvom kan\u00e1la v\u00fdmeny ju odo\u0161le do softv\u00e9rovej \u010dasti.<\/li>\n<li>Softv\u00e9rov\u00e1 \u010das\u0165 vr\u00e1ti prijat\u00fa hodnotu do aplika\u010dn\u00e9ho softv\u00e9ru.<\/li>\n<\/ol>\n<p>\n<b>Osobitosti kontroly spr\u00e1vnosti elektronick\u00e9ho podpisu<\/b><\/p>\n<p>Ke\u010f prij\u00edmaj\u00faca strana dostane \u00fadaje podp\u00edsan\u00e9 elektronick\u00fdm podpisom, mus\u00ed prejs\u0165 nieko\u013ek\u00fdmi etapami kontroly. Pozit\u00edvny v\u00fdsledok kontroly elektronick\u00e9ho podpisu sa dosiahne iba pri \u00faspe\u0161nom prechode v\u0161etk\u00fdmi etapami kontroly.<\/p>\n<p><i>Etapa 1. Kontrola integrity \u00fadajov a autorsk\u00fdch pr\u00e1v k \u00fadajom.<\/i><\/p>\n<p><u>Obsah etapy.<\/u> Prebieha kontrola elektronick\u00e9ho podpisu \u00fadajov pod\u013ea pr\u00edslu\u0161n\u00e9ho kryptografick\u00e9ho algoritmu. \u00daspe\u0161n\u00e9 vykonanie tejto f\u00e1zy nazna\u010duje, \u017ee \u00fadaje neboli modifikovan\u00e9 od okamihu ich podp\u00edsania a tie\u017e, \u017ee podpis bol vytvoren\u00fd s\u00fakromn\u00fdm k\u013e\u00fa\u010dom, ktor\u00fd zodpoved\u00e1 verejn\u00e9mu k\u013e\u00fa\u010du na overenie elektronick\u00e9ho podpisu.<br \/>\n<u>Miesto vykonania f\u00e1zy:<\/u> kryptojadro.<\/p>\n<p><i>F\u00e1za 2. Kontrola d\u00f4very k verejn\u00e9mu k\u013e\u00fa\u010du podpisuj\u00faceho a kontrola platnosti s\u00fakromn\u00e9ho k\u013e\u00fa\u010da elektronick\u00e9ho podpisu.<\/i><br \/>\n<u>Obsah etapy.<\/u> F\u00e1za pozost\u00e1va z dvoch medzi\u010dl\u00e1nkov\u00fdch podf\u00e1z. V prvej sa zistil, \u010di bol verejn\u00fd k\u013e\u00fa\u010d na overenie elektronick\u00e9ho podpisu d\u00f4veryhodn\u00fd v \u010dase podp\u00edsania \u00fadajov. V druhej sa sk\u00fama, \u010di bol s\u00fakromn\u00fd k\u013e\u00fa\u010d elektronick\u00e9ho podpisu platn\u00fd v \u010dase podp\u00edsania \u00fadajov. V\u0161eobecne plat\u00ed, \u017ee platnosti t\u00fdchto k\u013e\u00fa\u010dov sa nemus\u00ed zhodova\u0165 (napr\u00edklad pre kvalifikovan\u00e9 certifik\u00e1ty k\u013e\u00fa\u010dov na overenie elektronick\u00e9ho podpisu). Sp\u00f4soby overovania d\u00f4very k verejn\u00e9mu k\u013e\u00fa\u010du podpisuj\u00faceho ur\u010duj\u00fa pravidl\u00e1 elektronick\u00e9ho dokumentov\u00e9ho obehu, prijat\u00e9 z\u00fa\u010dastnen\u00fdmi stranami.<br \/>\n<u>Miesto vykonania f\u00e1zy:<\/u> aplik\u00e1cia \/ kryptojadro.<\/p>\n<p><i>F\u00e1za 3. Kontrola opr\u00e1vnen\u00ed podpisuj\u00faceho.<\/i><br \/>\n<u>Obsah etapy.<\/u> V s\u00falade s ustanoven\u00fdmi pravidlami elektronick\u00e9ho dokumentov\u00e9ho obehu sa kontroluje, \u010di mal podpisuj\u00faci pr\u00e1vo overi\u0165 chr\u00e1nen\u00e9 \u00fadaje. Pre pr\u00edklad uvedieme situ\u00e1ciu poru\u0161enia opr\u00e1vnen\u00ed. Predpokladajme, \u017ee existuje organiz\u00e1cia, kde v\u0161etci zamestnanci maj\u00fa elektronick\u00fd podpis. Do vn\u00fatornej syst\u00e9mu elektronick\u00e9ho dokumentov\u00e9ho obehu prich\u00e1dza pr\u00edkaz ved\u00faceho, ale podp\u00edsan\u00fd elektronick\u00fdm podpisom ved\u00faceho skladu. Preto tak\u00fdto dokument nem\u00f4\u017ee by\u0165 pova\u017eovan\u00fd za legit\u00edmny.<br \/>\n<u>Miesto vykonania f\u00e1zy:<\/u> aplik\u00e1cia.<\/p>\n<p><b>Predpoklady prijat\u00e9 pri opise objektu ochrany<\/b><\/p>\n<ol>\n<li>Kan\u00e1ly prenosu inform\u00e1ci\u00ed, s v\u00fdnimkou kan\u00e1lov v\u00fdmeny k\u013e\u00fa\u010dov, prech\u00e1dzaj\u00fa tie\u017e cez aplik\u00e1ciu, API a kryptojadro.<\/li>\n<li>Inform\u00e1cie o d\u00f4veryhodnosti verejn\u00fdch k\u013e\u00fa\u010dov a\/alebo certifik\u00e1tov, ako aj inform\u00e1cie o opr\u00e1vneniach vlastn\u00edkov verejn\u00fdch k\u013e\u00fa\u010dov, sa umiest\u0148uj\u00fa do \u00falo\u017eiska verejn\u00fdch k\u013e\u00fa\u010dov.<\/li>\n<li>Aplik\u00e1cia pracuje s \u00falo\u017eiskom verejn\u00fdch k\u013e\u00fa\u010dov cez kryptojadro.<\/li>\n<\/ol>\n<p><\/p>\n<h3>Pr\u00edklad informa\u010dn\u00e9ho syst\u00e9mu chr\u00e1nen\u00e9ho pomocou SKZI<\/h3>\n<p>\nNa ilustr\u00e1ciu predt\u00fdm predstaven\u00fdch sch\u00e9m zv\u00e1\u017eme hypotetick\u00fd informa\u010dn\u00fd syst\u00e9m a vyzdvihnime na \u0148om v\u0161etky \u0161truktur\u00e1lne prvky. <\/p>\n<p><b>Opis informa\u010dn\u00e9ho syst\u00e9mu<\/b><\/p>\n<p><img decoding=\"async\" alt=\"Informa\u010dn\u00e1 bezpe\u010dnos\u0165 bankov\u00fdch bezhotovostn\u00fdch platieb. \u010cas\u0165 8 \u2014 Typov\u00e9 modely hrozieb\" src=\"\/wp-content\/uploads\/2019\/04\/74f3e2fd669ed97f50253fbb4b348f6f.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nDve organiz\u00e1cie sa rozhodli zavies\u0165 medzi sebou pr\u00e1vne z\u00e1v\u00e4zn\u00fd elektronick\u00fd obeh dokumentov (EOD). Na tento \u00fa\u010del uzavreli dohodu, v ktorej stanovili, \u017ee dokumenty bud\u00fa zasielan\u00e9 prostredn\u00edctvom e-mailu, pri\u010dom musia by\u0165 \u0161ifrovan\u00e9 a podp\u00edsan\u00e9 kvalifikovan\u00fdm elektronick\u00fdm podpisom. Ako prostriedky na vytv\u00e1ranie a spracovanie dokumentov sa maj\u00fa pou\u017e\u00edva\u0165 kancel\u00e1rske programy z bal\u00edka Microsoft Office 2016 a ako prostriedky kryptografickej ochrany \u2014 KSK ZI KryptoPRO a softv\u00e9r na \u0161ifrovanie KryptoARM.<\/p>\n<p><b>Opis infra\u0161trukt\u00fary organiz\u00e1cie 1<\/b><\/p>\n<p>Organiz\u00e1cia 1 sa rozhodla, \u017ee nain\u0161taluje KSK ZI KryptoPRO a softv\u00e9r KryptoARM na APM pou\u017e\u00edvate\u013ea \u2014 fyzick\u00fd po\u010d\u00edta\u010d. K\u013e\u00fa\u010de na \u0161ifrovanie a elektronick\u00fd podpis bud\u00fa ulo\u017een\u00e9 na k\u013e\u00fa\u010dovom nosi\u010di ruToken, ktor\u00fd pracuje v re\u017eime vyberate\u013en\u00e9ho k\u013e\u00fa\u010da. Pou\u017e\u00edvate\u013e bude pripravova\u0165 elektronick\u00e9 dokumenty lok\u00e1lne na svojom po\u010d\u00edta\u010di, po \u010dom ich za\u0161ifruje, podp\u00ed\u0161e a odo\u0161le pomocou lok\u00e1lne nain\u0161talovan\u00e9ho emailov\u00e9ho klienta.<\/p>\n<p><b>Opis infra\u0161trukt\u00fary organiz\u00e1cie 2<\/b><\/p>\n<p>Organiz\u00e1cia 2 sa rozhodla prenies\u0165 funkcie \u0161ifrovania a elektronick\u00e9ho podpisu na vyhraden\u00fa virtu\u00e1lnu stanicu. Pri tom v\u0161etky kryptografick\u00e9 oper\u00e1cie bud\u00fa vykon\u00e1van\u00e9 automaticky. <\/p>\n<p>Na tento \u00fa\u010del je na vyhradenej virtu\u00e1lnej ma\u0161ine zriaden\u00fdch nieko\u013eko zdie\u013ean\u00fdch zlo\u017eiek: \u201e\u2026In\u201c, \u201e\u2026Out\u201c. Do zdie\u013eanej zlo\u017eky \u201e\u2026In\u201c sa automaticky umiestnia s\u00fabory prijat\u00e9 od dod\u00e1vate\u013ea v ne\u0161ifrovanej forme. Tieto s\u00fabory bud\u00fa de\u0161ifrovan\u00e9 a bude skontrolovan\u00fd ich elektronick\u00fd podpis.<\/p>\n<p>Do prie\u010dinka &#171;&#8230;Out&#187; pou\u017e\u00edvate\u013e umiestni s\u00fabory, ktor\u00e9 je potrebn\u00e9 za\u0161ifrova\u0165, podp\u00edsa\u0165 a posla\u0165 obchodn\u00e9mu partnerovi. Samotn\u00e9 s\u00fabory pou\u017e\u00edvate\u013e priprav\u00ed na svojom APM.<br \/>\nNa vykon\u00e1vanie funkci\u00ed \u0161ifrovania a elektronick\u00e9ho podpisu sa na virtu\u00e1lnu stanicu nain\u0161talovali KSK ZI KryptoPRO, softv\u00e9r KryptoARM a emailov\u00fd klient. Automatick\u00e9 riadenie v\u0161etk\u00fdch prvkov virtu\u00e1lnej stanice bude realizovan\u00e9 pomocou skriptov, ktor\u00e9 vyvinuli syst\u00e9mov\u00ed administr\u00e1tori. Pr\u00e1ca skriptov bude protokolovan\u00e1 do s\u00faborov denn\u00edka (logs).<\/p>\n<p>Kryptografick\u00e9 k\u013e\u00fa\u010de elektronick\u00e9ho podpisu bud\u00fa ulo\u017een\u00e9 na tokene s nevy\u0165ahovate\u013en\u00fdm k\u013e\u00fa\u010dom JaCarta GOST, ktor\u00fd pou\u017e\u00edvate\u013e pripoj\u00ed k svojmu lok\u00e1lnemu po\u010d\u00edta\u010du.<\/p>\n<p>Token bude pren\u00e1\u0161an\u00fd na virtu\u00e1lnu ma\u0161inu pomocou \u0161pecializovan\u00fdch softv\u00e9rov\u00fdch prostriedkov USB-over-IP, nain\u0161talovan\u00fdch na pracovnej stanici pou\u017e\u00edvate\u013ea a na virtu\u00e1lnej ma\u0161ine.<\/p>\n<p>Syst\u00e9mov\u00e9 hodiny na pracovnej stanici pou\u017e\u00edvate\u013ea v organiz\u00e1cii 1 bud\u00fa upravovan\u00e9 manu\u00e1lne. Syst\u00e9mov\u00e9 hodiny \u0161pecializovanej virtu\u00e1lnej ma\u0161iny v organiz\u00e1cii 2 bud\u00fa synchronizovan\u00e9 so syst\u00e9mov\u00fdmi hodinami hyperv\u00edzora, ktor\u00e9 sa zase, prostredn\u00edctvom internetu, synchronizuj\u00fa s verejn\u00fdmi \u010dasov\u00fdmi servermi.<\/p>\n<p><b>Identifik\u00e1cia \u0161truktur\u00e1lnych prvkov SKZI<\/b><br \/>\nNa z\u00e1klade vy\u0161\u0161ie uveden\u00e9ho opisu IT infra\u0161trukt\u00fary identifikujeme \u0161truktur\u00e1lne prvky SKZI a zap\u00ed\u0161eme ich do tabu\u013eky.<\/p>\n<p><i>Tabu\u013eka \u2014 Zodpovednos\u0165 prvkov modelu SKZI vo\u010di prvkom informa\u010dn\u00fdch syst\u00e9mov<\/i> <\/p>\n<p><b>N\u00e1zov prvku<\/b><br \/>\n<b>Organiz\u00e1cia 1<\/b><br \/>\n<b>Organiz\u00e1cia 2<\/b><\/p>\n<p>Aplika\u010dn\u00e9 SW<br \/>\nSW KryptoARM<br \/>\nSW KryptoARM<\/p>\n<p>Softv\u00e9rov\u00e1 \u010das\u0165 kryptom\u00f3dulu<br \/>\nSKZI KryptoPRO CSP<br \/>\nSKZI KryptoPRO CSP<\/p>\n<p>Hardv\u00e9rov\u00e1 \u010das\u0165 kryptom\u00f3dulu<br \/>\nneexistuje<br \/>\nJaCarta GOST<\/p>\n<p>API<br \/>\nMS CryptoAPI<br \/>\nMS CryptoAPI<\/p>\n<p>\u00dalo\u017eisko verejn\u00fdch k\u013e\u00fa\u010dov<br \/>\nPracovn\u00e1 stanica pou\u017e\u00edvate\u013ea:<br \/>\n \u2014 pevn\u00fd disk;<br \/>\n \u2014 \u0161tandardn\u00e9 \u00falo\u017eisko certifik\u00e1tov Windows.<br \/>\nHyperv\u00edzor:<br \/>\n \u2014 pevn\u00fd disk.<\/p>\n<p>Virtu\u00e1lna ma\u0161ina:<br \/>\n \u2014 pevn\u00fd disk;<br \/>\n \u2014 \u0161tandardn\u00e9 \u00falo\u017eisko certifik\u00e1tov Windows.<\/p>\n<p>\u00dalo\u017eisko s\u00fakromn\u00fdch k\u013e\u00fa\u010dov<br \/>\nK\u013e\u00fa\u010dov\u00fd nosi\u010d ruToken, pracuj\u00faci v re\u017eime vy\u0165ahovate\u013en\u00e9ho k\u013e\u00fa\u010da<br \/>\nK\u013e\u00fa\u010dov\u00fd nosi\u010d JaCarta GOST, pracuj\u00faci v re\u017eime nevy\u0165ahovate\u013en\u00e9ho k\u013e\u00fa\u010da<\/p>\n<p>Kan\u00e1l v\u00fdmeny verejn\u00fdch k\u013e\u00fa\u010dov<br \/>\nPracovn\u00e1 stanica pou\u017e\u00edvate\u013ea:<br \/>\n \u2014 opera\u010dn\u00e1 pam\u00e4\u0165.<\/p>\n<p>Hyperv\u00edzor:<br \/>\n \u2014 opera\u010dn\u00e1 pam\u00e4\u0165.<\/p>\n<p>Virtu\u00e1lna ma\u0161ina:<br \/>\n \u2014 opera\u010dn\u00e1 pam\u00e4\u0165.<\/p>\n<p>Kan\u00e1l v\u00fdmeny s\u00fakromn\u00fdch k\u013e\u00fa\u010dov<br \/>\nPracovn\u00e1 stanica pou\u017e\u00edvate\u013ea:<br \/>\n \u2014 USB zbernica;<br \/>\n \u2014 opera\u010dn\u00e1 pam\u00e4\u0165.<br \/>\nneexistuje<\/p>\n<p>Kan\u00e1l v\u00fdmeny medzi kryptom\u00f3dulmi<br \/>\nneexistuje (bez hardv\u00e9rovej \u010dasti kryptom\u00f3dulu)<br \/>\nPracovn\u00e1 stanica pou\u017e\u00edvate\u013ea:<br \/>\n \u2014 USB zbernica;<br \/>\n \u2014 opera\u010dn\u00e1 pam\u00e4\u0165;<br \/>\n \u2014 softv\u00e9rov\u00fd modul USB-over-IP;<br \/>\n \u2014 sie\u0165ov\u00e9 rozhranie.<\/p>\n<p>Podnikov\u00e1 sie\u0165 organiz\u00e1cie 2.<\/p>\n<p>Hyperv\u00edzor:<br \/>\n \u2014 opera\u010dn\u00e1 pam\u00e4\u0165;<br \/>\n \u2014 sie\u0165ov\u00e9 rozhranie.<\/p>\n<p>Virtu\u00e1lna ma\u0161ina:<br \/>\n \u2014 sie\u0165ov\u00e9 rozhranie;<br \/>\n \u2014 opera\u010dn\u00e1 pam\u00e4\u0165;<br \/>\n \u2014 softv\u00e9rov\u00fd modul USB-over-IP.<\/p>\n<p>Kan\u00e1l v\u00fdmeny verejn\u00fdch \u00fadajov<br \/>\nPracovn\u00e1 stanica pou\u017e\u00edvate\u013ea:<br \/>\n \u2014 vstupno-v\u00fdstupn\u00e9 zariadenia;<br \/>\n \u2014 opera\u010dn\u00e1 pam\u00e4\u0165;<br \/>\n \u2014 pevn\u00fd disk.<br \/>\nPracovn\u00e1 stanica pou\u017e\u00edvate\u013ea:<br \/>\n \u2014 vstupno-v\u00fdstupn\u00e9 zariadenia;<br \/>\n \u2014 opera\u010dn\u00e1 pam\u00e4\u0165;<br \/>\n \u2014 pevn\u00fd disk;<br \/>\n \u2014 sie\u0165ov\u00e9 rozhranie.<\/p>\n<p>Podnikov\u00e1 sie\u0165 organiz\u00e1cie 2.<\/p>\n<p>Hyperv\u00edzor:<br \/>\n \u2014 sie\u0165ov\u00e9 rozhranie; <br \/>\n \u2014 opera\u010dn\u00e1 pam\u00e4\u0165;<br \/>\n \u2014 pevn\u00fd disk.<\/p>\n<p>Virtu\u00e1lna ma\u0161ina: <br \/>\n \u2014 sie\u0165ov\u00e9 rozhranie; <br \/>\n \u2014 opera\u010dn\u00e1 pam\u00e4\u0165;<br \/>\n \u2014 pevn\u00fd disk.<\/p>\n<p>Kan\u00e1l v\u00fdmeny chr\u00e1nen\u00fdch \u00fadajov<br \/>\nInternet.<\/p>\n<p>Podnikov\u00e1 sie\u0165 organiz\u00e1cie 1.<\/p>\n<p>Pracovn\u00e1 stanica pou\u017e\u00edvate\u013ea:<br \/>\n \u2014 pevn\u00fd disk;<br \/>\n \u2014 opera\u010dn\u00e1 pam\u00e4\u0165;<br \/>\n \u2014 sie\u0165ov\u00e9 rozhranie.<\/p>\n<p>Internet.<\/p>\n<p>Podnikov\u00e1 sie\u0165 organiz\u00e1cie 2.<\/p>\n<p>Hyperv\u00edzor:<br \/>\n \u2014 sie\u0165ov\u00e9 rozhranie; <br \/>\n \u2014 opera\u010dn\u00e1 pam\u00e4\u0165;<br \/>\n \u2014 pevn\u00fd disk.<\/p>\n<p>Virtu\u00e1lna ma\u0161ina: <br \/>\n \u2014 sie\u0165ov\u00e9 rozhranie; <br \/>\n \u2014 opera\u010dn\u00e1 pam\u00e4\u0165;<br \/>\n \u2014 pevn\u00fd disk.<\/p>\n<p>Kan\u00e1l prenosu \u010dasu<br \/>\nPracovn\u00e1 stanica pou\u017e\u00edvate\u013ea:<br \/>\n \u2014 vstupno-v\u00fdstupn\u00e9 zariadenia;<br \/>\n \u2014 opera\u010dn\u00e1 pam\u00e4\u0165;<br \/>\n \u2014 syst\u00e9mov\u00fd \u010dasova\u010d.<\/p>\n<p>Internet. <br \/>\nPodnikov\u00e1 sie\u0165 organiz\u00e1cie 2,<\/p>\n<p>Hyperv\u00edzor:<br \/>\n \u2014 sie\u0165ov\u00e9 rozhranie;<br \/>\n \u2014 opera\u010dn\u00e1 pam\u00e4\u0165;<br \/>\n \u2014 syst\u00e9mov\u00fd \u010dasova\u010d.<\/p>\n<p>Virtu\u00e1lna ma\u0161ina:<br \/>\n \u2014 opera\u010dn\u00e1 pam\u00e4\u0165;<br \/>\n \u2014 syst\u00e9mov\u00fd \u010dasova\u010d.<\/p>\n<p>Kan\u00e1l prenosu riadiacich pr\u00edkazov<br \/>\nPracovn\u00e1 stanica pou\u017e\u00edvate\u013ea:<br \/>\n \u2014 vstupno-v\u00fdstupn\u00e9 zariadenia;<br \/>\n \u2014 opera\u010dn\u00e1 pam\u00e4\u0165.<\/p>\n<p>(Grafick\u00e9 pou\u017e\u00edvate\u013esk\u00e9 rozhranie SW KryptoARM)<\/p>\n<p>Virtu\u00e1lna ma\u0161ina:<br \/>\n \u2014 opera\u010dn\u00e1 pam\u00e4\u0165;<br \/>\n \u2014 pevn\u00fd disk.<\/p>\n<p>(Automatiza\u010dn\u00e9 skripty)<\/p>\n<p>Kan\u00e1l prij\u00edmania v\u00fdsledkov pr\u00e1ce<br \/>\nPracovn\u00e1 stanica pou\u017e\u00edvate\u013ea:<br \/>\n \u2014 vstupno-v\u00fdstupn\u00e9 zariadenia;<br \/>\n \u2014 opera\u010dn\u00e1 pam\u00e4\u0165.<\/p>\n<p>(Grafick\u00e9 pou\u017e\u00edvate\u013esk\u00e9 rozhranie SW KryptoARM)<\/p>\n<p>Virtu\u00e1lna ma\u0161ina:<br \/>\n \u2014 opera\u010dn\u00e1 pam\u00e4\u0165;<br \/>\n \u2014 pevn\u00fd disk.<\/p>\n<p>(S\u00fabory protokolov pr\u00e1ce automatiza\u010dn\u00fdch skripty)<\/p>\n<p><\/p>\n<h3>Hrozby bezpe\u010dnosti vy\u0161\u0161ieho stup\u0148a<\/h3>\n<p>\n<b>Vysvetlenia<\/b><\/p>\n<p>Predpoklady prijat\u00e9 pri dekompoz\u00edcii hrozieb:<\/p>\n<ol>\n<li>Pou\u017e\u00edvaj\u00fa sa odoln\u00e9 kryptografick\u00e9 algoritmy.<\/li>\n<li>Kryptografick\u00e9 algoritmy sa pou\u017e\u00edvaj\u00fa bezpe\u010dn\u00fdm sp\u00f4sobom v spr\u00e1vnych prev\u00e1dzkov\u00fdch re\u017eimoch (napr\u00edklad, <noindex><a rel=\"nofollow\" href=\"http:\/\/cryptowiki.net\/index.php?title=Electronic_Code_Book\">ECB<\/a><\/noindex> nepou\u017e\u00edva sa na \u0161ifrovanie ve\u013ek\u00fdch objemov d\u00e1t, pri\u010dom sa zoh\u013ead\u0148uje pr\u00edpustn\u00e1 z\u00e1\u0165a\u017e k\u013e\u00fa\u010da a pod.).<\/li>\n<li>\u00dato\u010dn\u00edci poznaj\u00fa v\u0161etky pou\u017eit\u00e9 algoritmy, protokoly a verejn\u00e9 k\u013e\u00fa\u010de.<\/li>\n<li>\u00dato\u010dn\u00edkom s\u00fa \u00fadaje za\u0161ifrovan\u00e9 pr\u00edstupn\u00e9 na \u010d\u00edtanie.<\/li>\n<li>\u00dato\u010dn\u00edci s\u00fa schopn\u00ed reprodukova\u0165 ak\u00e9ko\u013evek softv\u00e9rov\u00e9 prvky v syst\u00e9me.<\/li>\n<\/ol>\n<p>\n<b>Dekompoz\u00edcia<\/b><\/p>\n<p>U1. Kompromit\u00e1cia uzavret\u00fdch kryptografick\u00fdch k\u013e\u00fa\u010dov.<br \/>\nU2. \u0160ifrovanie podvrhnut\u00fdch d\u00e1t v mene legit\u00edmneho odosielate\u013ea.<br \/>\nU3. De\u0161ifrovanie za\u0161ifrovan\u00fdch d\u00e1t osobami, ktor\u00e9 nie s\u00fa legit\u00edmnymi pr\u00edjemcami d\u00e1t (\u00fato\u010dn\u00edkmi).<br \/>\nU4. Vytvorenie elektronick\u00e9ho podpisu legit\u00edmneho podpisovate\u013ea pod podvrhnut\u00fdmi d\u00e1tami.<br \/>\nU5. Z\u00edskanie pozit\u00edvneho v\u00fdsledku kontroly elektronick\u00e9ho podpisu podvrhnut\u00fdch d\u00e1t.<br \/>\nU6. Chybn\u00e9 prijatie elektronick\u00fdch dokumentov na vykonanie v d\u00f4sledku probl\u00e9mov v organiz\u00e1cii elektronick\u00e9ho obehu dokumentov.<br \/>\nU7. Nepovolen\u00e9 obozn\u00e1menie sa s chr\u00e1nen\u00fdmi d\u00e1tami po\u010das ich spracovania SKEZ.<br \/>\n<noindex><a rel=\"nofollow\" name=\"TMUSKZIU1\"><\/a><\/noindex><\/p>\n<h3>U1. Kompromit\u00e1cia uzavret\u00fdch kryptografick\u00fdch k\u013e\u00fa\u010dov<\/h3>\n<p>\nU1.1. Z\u00edskanie uzavret\u00e9ho k\u013e\u00fa\u010da z \u00falo\u017eiska uzavret\u00fdch k\u013e\u00fa\u010dov.<\/p>\n<p>U1.2. Z\u00edskanie uzavret\u00e9ho k\u013e\u00fa\u010da z objektov prostredia, v ktor\u00fdch m\u00f4\u017ee do\u010dasne existova\u0165.<br \/>\n<i>Vysvetlenia U1.2.<\/i><\/p>\n<p>K objektom, v ktor\u00fdch m\u00f4\u017ee do\u010dasne existova\u0165 uzavret\u00fd k\u013e\u00fa\u010d, bud\u00fa patri\u0165:<\/p>\n<ol>\n<li>opera\u010dn\u00e1 pam\u00e4\u0165, <\/li>\n<li>do\u010dasn\u00e9 s\u00fabory, <\/li>\n<li>swap s\u00fabory, <\/li>\n<li>hiberna\u010dn\u00e9 s\u00fabory, <\/li>\n<li>s\u00fabory sn\u00edmok \u201ehor\u00faceho\u201c stavu virtu\u00e1lnych strojov, vr\u00e1tane s\u00faborov obsahu opera\u010dnej pam\u00e4te virtu\u00e1lnych strojov, ktor\u00e9 s\u00fa pozastaven\u00e9.<\/li>\n<\/ol>\n<p>\nU1.2.1. Z\u00edskanie uzavret\u00fdch k\u013e\u00fa\u010dov z akt\u00edvnej opera\u010dnej pam\u00e4te mrazen\u00edm modulov RAM, ich extrakciou a n\u00e1sledn\u00fdm \u010d\u00edtan\u00edm d\u00e1t (freeze attack).<br \/>\n<i>Vysvetlenia U1.2.1.<\/i><br \/>\nPr\u00edklad <noindex><a rel=\"nofollow\" href=\"https:\/\/www.securitylab.ru\/analytics\/452899.php\">\u00fatoky<\/a><\/noindex>. <\/p>\n<p>U1.3. Z\u00edskanie uzavret\u00e9ho k\u013e\u00fa\u010da z kan\u00e1la v\u00fdmeny uzavret\u00fdch k\u013e\u00fa\u010dov.<br \/>\n<i>Vysvetlenia U1.3.<\/i><br \/>\nPr\u00edklad realiz\u00e1cie tejto hrozby bude uveden\u00fd <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/post\/422329\/#TMUSKZIA3\">ni\u017e\u0161ie<\/a><\/noindex>.<\/p>\n<p>U1.4. Nepovolen\u00e1 modifik\u00e1cia kryptojadra, v d\u00f4sledku ktorej sa uzavret\u00e9 k\u013e\u00fa\u010de stan\u00fa zn\u00e1me \u00fato\u010dn\u00edkom.<\/p>\n<p>U1.5. Kompromit\u00e1cia tajn\u00e9ho k\u013e\u00fa\u010da v d\u00f4sledku pou\u017e\u00edvania technick\u00fdch kan\u00e1lov \u00faniku inform\u00e1ci\u00ed (TKUI).<br \/>\n<i>Vysvetlenia U1.5.<\/i><br \/>\nPr\u00edklad <noindex><a rel=\"nofollow\" href=\"https:\/\/www.usenix.org\/system\/files\/conference\/usenixsecurity18\/sec18-alam.pdf\">\u00fatoky<\/a><\/noindex>. <\/p>\n<p>U1.6. Kompromit\u00e1cia tajn\u00e9ho k\u013e\u00fa\u010da v d\u00f4sledku pou\u017e\u00edvania \u0161peci\u00e1lnych technick\u00fdch prostriedkov (STS), ur\u010den\u00fdch na tajn\u00fd zber inform\u00e1ci\u00ed (\"buchty\").<\/p>\n<p>U1.7. Kompromit\u00e1cia tajn\u00fdch k\u013e\u00fa\u010dov v procese ich uchov\u00e1vania mimo SKZK.<br \/>\n<i>Vysvetlenia U1.7.<\/i><br \/>\nNapr\u00edklad, pou\u017e\u00edvate\u013e uchov\u00e1va svoje k\u013e\u00fa\u010dov\u00e9 nosi\u010de v \u0161upl\u00edku pracovn\u00e9ho stola, z ktor\u00e9ho ich m\u00f4\u017eu \u013eahko vybra\u0165 \u00fato\u010dn\u00edci.<br \/>\n<noindex><a rel=\"nofollow\" name=\"TMUSKZIU2\"><\/a><\/noindex><\/p>\n<h3>U2. Za\u0161ifrovanie falo\u0161n\u00fdch \u00fadajov menom legit\u00edmneho odosielate\u013ea.<\/h3>\n<p>\n<b>Vysvetlenia<\/b><br \/>\nToto nebezpe\u010denstvo sa posudzuje iba pre sch\u00e9my \u0161ifrovania \u00fadajov s autentiz\u00e1ciou odosielate\u013ea. Pr\u00edklady podobn\u00fdch sch\u00e9m s\u00fa uveden\u00e9 v odpor\u00fa\u010daniach na normaliz\u00e1ciu. <noindex><a rel=\"nofollow\" href=\"https:\/\/tc26.ru\/standarts\/rekomendatsii-po-standartizatsii\/r-1323565-1-004-2017-informatsionnaya-tekhnologiya-kriptograficheskaya-zashchita-informatsii-skhemy-vyrabotki-obshchego-klyucha-s-autentifikatsiey-na-osnove-otkrytogo-klyucha.html\">R 1323565.1.004-2017 \u201eInformat\u00edvna technol\u00f3gia. Kryptografick\u00e1 ochrana inform\u00e1ci\u00ed. Sch\u00e9my generovania spolo\u010dn\u00e9ho k\u013e\u00fa\u010da s autentiz\u00e1ciou na z\u00e1klade verejn\u00e9ho k\u013e\u00fa\u010da\u201c.<\/a><\/noindex>. Pre ostatn\u00e9 kryptografick\u00e9 sch\u00e9my toto nebezpe\u010denstvo neexistuje, preto\u017ee \u0161ifrovanie sa vykon\u00e1va na verejn\u00fdch k\u013e\u00fa\u010doch pr\u00edjemcu, a tie s\u00fa vo v\u0161eobecnosti zn\u00e1mym \u00fato\u010dn\u00edkom.<\/p>\n<p><b>Dekompoz\u00edcia<\/b><br \/>\nU2.1. Kompromit\u00e1cia tajn\u00e9ho k\u013e\u00fa\u010da odosielate\u013ea:<br \/>\nU2.1.1. Odkaz: <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/post\/422329\/#TMUSKZIU1\">\u201eTypov\u00fd model hrozieb. Syst\u00e9m kryptografickej ochrany inform\u00e1ci\u00ed. U1. Kompromit\u00e1cia tajn\u00fdch kryptografick\u00fdch k\u013e\u00fa\u010dov\u201c.<\/a><\/noindex>.<\/p>\n<p>U2.2. Z\u00e1mena vstupn\u00fdch \u00fadajov v kan\u00e1li v\u00fdmeny verejn\u00fdch \u00fadajov.<br \/>\n<i>Pozn\u00e1mky U2.2.<\/i><br \/>\nPr\u00edklady realiz\u00e1cie tohto nebezpe\u010denstva s\u00fa uveden\u00e9 ni\u017e\u0161ie. <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/post\/422329\/#TMUSKZIA1\">tu<\/a><\/noindex> a <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/post\/422329\/#TMUSKZIA2\">tu<\/a><\/noindex>.<br \/>\n<noindex><a rel=\"nofollow\" name=\"TMUSKZIU3\"><\/a><\/noindex><\/p>\n<h3>U3. De\u0161ifrovanie za\u0161ifrovan\u00fdch \u00fadajov osobami, ktor\u00e9 nie s\u00fa legit\u00edmnymi pr\u00edjemcami \u00fadajov (\u00fato\u010dn\u00edkmi).<\/h3>\n<p>\n<b>Dekompoz\u00edcia<\/b><br \/>\nU3.1. Kompromit\u00e1cia tajn\u00fdch k\u013e\u00fa\u010dov pr\u00edjemcu za\u0161ifrovan\u00fdch \u00fadajov. <br \/>\nU3.1.1 Odkaz: <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/post\/422329\/#TMUSKZIU1\">\u201eTypov\u00fd model hrozieb. Syst\u00e9m kryptografickej ochrany inform\u00e1ci\u00ed. U1. Kompromit\u00e1cia tajn\u00fdch kryptografick\u00fdch k\u013e\u00fa\u010dov\u201c.<\/a><\/noindex>.<\/p>\n<p>U3.2. Z\u00e1mena za\u0161ifrovan\u00fdch \u00fadajov v kan\u00e1li v\u00fdmeny chr\u00e1nen\u00fdch \u00fadajov.<br \/>\n<noindex><a rel=\"nofollow\" name=\"TMUSKZIU4\"><\/a><\/noindex><\/p>\n<h3>U4. Vytvorenie elektronick\u00e9ho podpisu legit\u00edmneho podpisuj\u00faceho pod falo\u0161n\u00fdmi \u00fadajmi.<br \/>\n<\/h3>\n<p>\n<b>Dekompoz\u00edcia<\/b><br \/>\nU4.1. Kompromit\u00e1cia tajn\u00fdch k\u013e\u00fa\u010dov elektronick\u00e9ho podpisu legit\u00edmneho podpisuj\u00faceho. <br \/>\nU4.1.1 Odkaz: <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/post\/422329\/#TMUSKZIU1\">\u201eTypov\u00fd model hrozieb. Syst\u00e9m kryptografickej ochrany inform\u00e1ci\u00ed. U1. Kompromit\u00e1cia tajn\u00fdch kryptografick\u00fdch k\u013e\u00fa\u010dov\u201c.<\/a><\/noindex>.<\/p>\n<p>U4.2. Z\u00e1mena podpisovan\u00fdch \u00fadajov v kan\u00e1li v\u00fdmeny verejn\u00fdch \u00fadajov.<br \/>\n<i>Pozn\u00e1mka U4.2.<\/i><br \/>\nPr\u00edklady realiz\u00e1cie tohto nebezpe\u010denstva s\u00fa uveden\u00e9 ni\u017e\u0161ie. <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/post\/422329\/#TMUSKZIA1\">tu<\/a><\/noindex> a <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/post\/422329\/#TMUSKZIA2\">tu<\/a><\/noindex>.<br \/>\n<noindex><a rel=\"nofollow\" name=\"TMUSKZIU5\"><\/a><\/noindex><\/p>\n<h3>U5. Z\u00edskanie pozit\u00edvneho v\u00fdsledku kontroly elektronick\u00e9ho podpisu falo\u0161n\u00fdch \u00fadajov.<\/h3>\n<p>\n<b>Dekompoz\u00edcia<\/b><br \/>\nU5.1. \u00dato\u010dn\u00edci zachyt\u00e1vaj\u00fa v kan\u00e1li prenosu v\u00fdsledkov pr\u00e1ce spr\u00e1vu o negat\u00edvnom v\u00fdsledku kontroly elektronick\u00e9ho podpisu a nahr\u00e1dzaj\u00fa ju spr\u00e1vou s pozit\u00edvnym v\u00fdsledkom.<\/p>\n<p>U5.2. \u00dato\u010dn\u00edci \u00fato\u010dia na d\u00f4veru k certifik\u00e1tom podpisu (<b>SCEN\u00c1R \u2014 v\u0161etky prvky s\u00fa povinn\u00e9<\/b>):<br \/>\nU5.2.1. \u00dato\u010dn\u00edci generuj\u00fa verejn\u00fd a s\u00fakromn\u00fd k\u013e\u00fa\u010d elektronick\u00e9ho podpisu. Ak sa v syst\u00e9me pou\u017e\u00edvaj\u00fa certifik\u00e1ty k\u013e\u00fa\u010dov elektronick\u00e9ho podpisu, generuj\u00fa certifik\u00e1t elektronick\u00e9ho podpisu \u010do najpodobnej\u0161\u00ed certifik\u00e1tu predpokladan\u00e9ho odosielate\u013ea \u00fadajov, ktor\u00e9ho spr\u00e1vu sa sna\u017eia sfal\u0161ova\u0165.<br \/>\nU5.2.2. \u00dato\u010dn\u00edci vykon\u00e1vaj\u00fa neopr\u00e1vnen\u00e9 zmeny v \u00falo\u017eisku verejn\u00fdch k\u013e\u00fa\u010dov, pri\u010dom generovan\u00e9mu verejn\u00e9mu k\u013e\u00fa\u010du zabezpe\u010duj\u00fa potrebn\u00fa \u00farove\u0148 d\u00f4very a opr\u00e1vnenia.<br \/>\nU5.2.3. \u00dato\u010dn\u00edci podpisuj\u00fa falo\u0161n\u00e9 \u00fadaje sk\u00f4r vytvoren\u00fdm k\u013e\u00fa\u010dom elektronick\u00e9ho podpisu a implantuj\u00fa ich do kan\u00e1la v\u00fdmeny chr\u00e1nen\u00fdmi \u00fadajmi.<\/p>\n<p>U5.3. \u00dato\u010dn\u00edci \u00fato\u010dia pomocou pre\u010derpan\u00fdch k\u013e\u00fa\u010dov elektronick\u00e9ho podpisu leg\u00e1lneho podpisovate\u013ea (<b>SCEN\u00c1R \u2014 v\u0161etky prvky s\u00fa povinn\u00e9<\/b>):<br \/>\nU5.3.1. \u00dato\u010dn\u00edci kompromituj\u00fa prepadnut\u00e9 (v s\u00fa\u010dasnosti neplatn\u00e9) s\u00fakromn\u00e9 k\u013e\u00fa\u010de elektronick\u00e9ho podpisu legit\u00edmneho odosielate\u013ea.<br \/>\nU5.3.2. \u00dato\u010dn\u00edci nahr\u00e1dzaj\u00fa \u010das v kan\u00e1li prenosu \u010dasu na \u010das, pri ktorom skompromitovan\u00e9 k\u013e\u00fa\u010de e\u0161te platili.<br \/>\nU5.3.3. \u00dato\u010dn\u00edci podpisuj\u00fa falo\u0161n\u00e9 \u00fadaje sk\u00f4r skompromitovan\u00fdm k\u013e\u00fa\u010dom elektronick\u00e9ho podpisu a implantuj\u00fa ich do kan\u00e1la v\u00fdmeny chr\u00e1nen\u00fdmi \u00fadajmi.<\/p>\n<p>U5.4. \u00dato\u010dn\u00edci \u00fato\u010dia pomocou skompromitovan\u00fdch k\u013e\u00fa\u010dov elektronick\u00e9ho podpisu leg\u00e1lneho podpisovate\u013ea (<b>SCEN\u00c1R \u2014 v\u0161etky prvky s\u00fa povinn\u00e9<\/b>):<br \/>\nU5.4.1. \u00dato\u010dn\u00edci robia k\u00f3piu \u00falo\u017eiska verejn\u00fdch k\u013e\u00fa\u010dov.<br \/>\nU5.4.2. \u00dato\u010dn\u00edci kompromituj\u00fa s\u00fakromn\u00e9 k\u013e\u00fa\u010de jedn\u00e9ho z leg\u00e1lnych odosielate\u013eov. Ten si v\u0161imne kompromit\u00e1ciu, odvol\u00e1 k\u013e\u00fa\u010de a inform\u00e1cie o odvolan\u00ed k\u013e\u00fa\u010da umiestni do \u00falo\u017eiska verejn\u00fdch k\u013e\u00fa\u010dov.<br \/>\nU5.4.3. \u00dato\u010dn\u00edci nahr\u00e1dzaj\u00fa \u00falo\u017eisko verejn\u00fdch k\u013e\u00fa\u010dov na predt\u00fdm skop\u00edrovan\u00e9.<br \/>\nU5.4.4. \u00dato\u010dn\u00edci podpisuj\u00fa falo\u0161n\u00e9 \u00fadaje sk\u00f4r skompromitovan\u00fdm k\u013e\u00fa\u010dom elektronick\u00e9ho podpisu a implantuj\u00fa ich do kan\u00e1la v\u00fdmeny chr\u00e1nen\u00fdmi \u00fadajmi.<\/p>\n<p>U5.5. &lt;&#8230;&gt; v d\u00f4sledku ch\u00fdb v realiz\u00e1cii 2. a 3. etapy overovania elektronick\u00e9ho podpisu:<br \/>\n<i>Vysvetlenia U5.5.<\/i><br \/>\nPr\u00edklad realiz\u00e1cie tejto hrozby je uveden\u00fd <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/post\/422329\/#TMUSKZIA4\">ni\u017e\u0161ie<\/a><\/noindex>.<\/p>\n<p>U5.5.1. Overenie d\u00f4veryhodnosti k\u013e\u00fa\u010dov\u00e9ho certifik\u00e1tu elektronick\u00e9ho podpisu len na z\u00e1klade d\u00f4very k certifik\u00e1tu, ktor\u00fdm bol podp\u00edsan\u00fd, bez overovania CRL alebo OCSP.<br \/>\n<i>Vysvetlenia U5.5.1.<\/i><br \/>\nPr\u00edklad realiz\u00e1cie <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/post\/332730\/\">hrozby<\/a><\/noindex>. <\/p>\n<p>U5.5.2. Pri vytv\u00e1ran\u00ed d\u00f4veryhodn\u00e9ho re\u0165azca k certifik\u00e1tu sa neanalyzuj\u00fa opr\u00e1vnenia vyd\u00e1vac\u00edch certifik\u00e1tov<br \/>\n<i>Vysvetlenia U5.5.2.<\/i><br \/>\nPr\u00edklad \u00fatoku na SSL\/TLS certifik\u00e1ty. <br \/>\n\u00dato\u010dn\u00edci zak\u00fapili legit\u00edmny certifik\u00e1t pre svoj e-mail. Potom vytvorili falo\u0161n\u00fd certifik\u00e1t webovej str\u00e1nky a podp\u00edsali ho svojim certifik\u00e1tom. Ak sa overovanie opr\u00e1vnen\u00ed neuskuto\u010dn\u00ed, pri overovan\u00ed d\u00f4veryhodnosti sa zd\u00e1 by\u0165 v poriadku a falo\u0161n\u00fd certifik\u00e1t bude tie\u017e vyzera\u0165 ako platn\u00fd.<\/p>\n<p>U5.5.3. Pri vytv\u00e1ran\u00ed d\u00f4veryhodn\u00e9ho re\u0165azca k certifik\u00e1tu sa neoveruj\u00fa medzi\u010dl\u00e1nkov\u00e9 certifik\u00e1ty na odvolanie.<\/p>\n<p>U5.5.4. Obnovovanie CRL sa deje menej \u010dasto, ako ich vyd\u00e1va certifika\u010dn\u00fd \u00farad.<\/p>\n<p>U5.5.5. Rozhodovanie o d\u00f4vere k elektronick\u00e9mu podpisu je vykonan\u00e9 sk\u00f4r, ako je prijat\u00e1 OCSP-odpove\u010f o stave certifik\u00e1tu, zaslan\u00e1 na po\u017eiadanie uskuto\u010dnen\u00e9 po \u010dase vytvorenia podpisu alebo sk\u00f4r, ako je prijat\u00fd nasleduj\u00faci CRL po vytvoren\u00ed podpisu. <br \/>\n<i>Vysvetlenia U5.5.5.<\/i><br \/>\nV predpisoch v\u00e4\u010d\u0161iny CA je \u010das odvolania certifik\u00e1tu pova\u017eovan\u00fd za \u010das vydania najbli\u017e\u0161ieho CRL, ktor\u00fd obsahuje inform\u00e1cie o odvolan\u00ed certifik\u00e1tu.<\/p>\n<p>U5.5.6. Pri prij\u00edman\u00ed podp\u00edsan\u00fdch \u00fadajov sa neoveruje patri\u010dnos\u0165 certifik\u00e1tu zasielate\u013eovi. <br \/>\n<i>Vysvetlenia U5.5.6.<\/i><br \/>\nPr\u00edklad \u00fatoku. V s\u00favislosti so SSL-certifik\u00e1tmi: m\u00f4\u017ee sa neoverova\u0165 zhodnos\u0165 adresy volan\u00e9ho servera s hodnotou po\u013ea CN v certifik\u00e1te.<br \/>\nPr\u00edklad \u00fatoku. \u00dato\u010dn\u00edci skompromitovali k\u013e\u00fa\u010de elektronick\u00e9ho podpisu jedn\u00e9ho z \u00fa\u010dastn\u00edkov platobnej syst\u00e9mu. Potom hackli sie\u0165 in\u00e9ho \u00fa\u010dastn\u00edka a jeho menom poslali na vyrovn\u00e1vac\u00ed server platobnej syst\u00e9mu platobn\u00e9 dokumenty podp\u00edsan\u00e9 skompromitovan\u00fdmi k\u013e\u00fa\u010dmi. Ak server analyzuje len d\u00f4veru a neoveruje zhodnos\u0165, bud\u00fa falo\u0161n\u00e9 dokumenty pova\u017eovan\u00e9 za legit\u00edmne.<br \/>\n<noindex><a rel=\"nofollow\" name=\"TMUSKZIU6\"><\/a><\/noindex><\/p>\n<h3>U6. Chybn\u00e9 prijatie elektronick\u00fdch dokumentov na vykonanie v d\u00f4sledku probl\u00e9mov v organiz\u00e1cii elektronick\u00e9ho obehu dokumentov.<\/h3>\n<p>\n<b>Dekompoz\u00edcia<\/b><br \/>\nU6.1. Prij\u00edmacia strana nezist\u00ed duplikovanie prij\u00edman\u00fdch dokumentov.<br \/>\n<i>Vysvetlenia U6.1.<\/i><br \/>\nPr\u00edklad \u00fatoku. \u00dato\u010dn\u00edci m\u00f4\u017eu zachyti\u0165 dokument, ktor\u00fd je odoslan\u00fd pr\u00edjemcovi, aj ke\u010f je \u0161ifrovan\u00fd, a potom ho viackr\u00e1t odosla\u0165 cez kan\u00e1l prenosu chr\u00e1nen\u00fdch d\u00e1t. Ak pr\u00edjemca neodhal\u00ed duplik\u00e1ty, v\u0161etky prijat\u00e9 dokumenty bud\u00fa pova\u017eovan\u00e9 a spracov\u00e1van\u00e9 ako r\u00f4zne dokumenty.<br \/>\n<noindex><a rel=\"nofollow\" name=\"TMUSKZIU7\"><\/a><\/noindex><\/p>\n<h3>U7. Neopr\u00e1vnen\u00e9 oboznamovanie sa s chr\u00e1nen\u00fdmi \u00fadajmi po\u010das ich spracovania SKZI <\/h3>\n<p>\n<b>Dekompoz\u00edcia<\/b><\/p>\n<p>U7.1. &lt;&#8230;&gt; v d\u00f4sledku \u00faniku inform\u00e1ci\u00ed cez extern\u00e9 kan\u00e1ly (side channel attack).<br \/>\n<i>Vysvetlenia U7.1.<\/i><br \/>\nPr\u00edklad <noindex><a rel=\"nofollow\" href=\"https:\/\/www.cs.tau.ac.il\/~tromer\/synesthesia\/synesthesia.pdf\">\u00fatoky<\/a><\/noindex>. <\/p>\n<p>U7.2. &lt;&#8230;&gt; v d\u00f4sledku neutraliz\u00e1cie ochrany pred neopr\u00e1vnen\u00fdm pr\u00edstupom k inform\u00e1ci\u00e1m spracov\u00e1van\u00fdm na SKZI:<br \/>\nU7.2.1. Vyu\u017e\u00edvanie SKZI s poru\u0161en\u00edm po\u017eiadaviek op\u00edsan\u00fdch v dokument\u00e1cii k SKZI.<\/p>\n<p>U7.2.2. &lt;&#8230;&gt;, uskuto\u010dnenej v d\u00f4sledku existencie zranite\u013enost\u00ed v:<br \/>\nU7.2.2.1. &lt;&#8230;&gt; prostriedkoch ochrany pred neopr\u00e1vnen\u00fdm pr\u00edstupom.<br \/>\nU7.2.2.2. &lt;&#8230;&gt; samotnom SKZI.<br \/>\nU7.2.2.3. &lt;&#8230;&gt; prostred\u00ed fungovania kryptoprostriedkov.<\/p>\n<h3>Pr\u00edklady \u00fatokov<\/h3>\n<p>\nNi\u017e\u0161ie uveden\u00e9 scen\u00e1re z\u00e1merne obsahuj\u00fa chyby v organiz\u00e1cii informa\u010dnej bezpe\u010dnosti a sl\u00fa\u017eia iba na ilustr\u00e1ciu mo\u017en\u00fdch \u00fatokov.<br \/>\n<noindex><a rel=\"nofollow\" name=\"TMUSKZIA1\"><\/a><\/noindex><\/p>\n<h4>Scen\u00e1r 1. Pr\u00edklad realiz\u00e1cie hrozieb U2.2 a U4.2.<\/h4>\n<p>\n<b>Popis objektu<\/b><br \/>\n<img decoding=\"async\" alt=\"Informa\u010dn\u00e1 bezpe\u010dnos\u0165 bankov\u00fdch bezhotovostn\u00fdch platieb. \u010cas\u0165 8 \u2014 Typov\u00e9 modely hrozieb\" src=\"\/wp-content\/uploads\/2019\/04\/77d51167720552df4eb9c2bafbce6765.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nSO A\u0158M KBR a SKZI SKAD Signt\u00fara s\u00fa nain\u0161talovan\u00e9 na fyzickom po\u010d\u00edta\u010di, ktor\u00fd nie je pripojen\u00fd k v\u00fdpo\u010dtovej sieti. Ako k\u013e\u00fa\u010dov\u00e9 m\u00e9dium sa pou\u017e\u00edva FKN vdToken v re\u017eime pr\u00e1ce s nevyberate\u013en\u00fdm k\u013e\u00fa\u010dom.<\/p>\n<p>Regul\u00e1cia vykon\u00e1vania v\u00fdpo\u010dtov predpoklad\u00e1, \u017ee \u0161pecialista na v\u00fdpo\u010dty si z vlastn\u00e9ho pracovn\u00e9ho po\u010d\u00edta\u010da stiahne elektronick\u00e9 spr\u00e1vy v otvorenej podobe (sch\u00e9ma star\u00e9ho A\u0158M KBR) z osobitn\u00e9ho chr\u00e1nen\u00e9ho s\u00faborov\u00e9ho servera, potom ich zap\u00ed\u0161e na odn\u00edmate\u013en\u00e9 m\u00e9dium USB k\u013e\u00fa\u010d a prenesie na A\u0158M KBR, kde ich za\u0161ifruje a podp\u00ed\u0161e. N\u00e1sledne \u0161pecialista prenesie chr\u00e1nen\u00e9 elektronick\u00e9 spr\u00e1vy na odn\u00edmate\u013en\u00e9 m\u00e9dium a potom prostredn\u00edctvom svojho pracovn\u00e9ho po\u010d\u00edta\u010da ich zap\u00ed\u0161e na s\u00faborov\u00fd server, odkia\u013e sa dostan\u00fa na UTA a \u010falej do platobn\u00e9ho syst\u00e9mu Banky Ruska.<\/p>\n<p>V tomto pr\u00edpade kan\u00e1ly v\u00fdmeny otvoren\u00fdch a chr\u00e1nen\u00fdch \u00fadajov bud\u00fa zah\u0155\u0148a\u0165: s\u00faborov\u00fd server, pracovn\u00fd po\u010d\u00edta\u010d \u0161pecialistu a odn\u00edmate\u013en\u00e9 m\u00e9dium.<\/p>\n<p><b>\u00datok<\/b><br \/>\n\u00dato\u010dn\u00edci neleg\u00e1lne nain\u0161taluj\u00fa na pracovn\u00fd po\u010d\u00edta\u010d \u0161pecialistu syst\u00e9m vzdialen\u00e9ho pr\u00edstupu a po\u010das z\u00e1pisu na odcudzen\u00e9 nosi\u010de platobn\u00fdch pr\u00edkazov (elektronick\u00fdch spr\u00e1v) v otvorenej forme zamenia obsah jedn\u00e9ho z nich. \u0160pecialista pren\u00e1\u0161a platobn\u00e9 pr\u00edkazy na APM KBR, podpisuje a \u0161ifruje ich, pri\u010dom si nev\u0161imne z\u00e1menu (napr\u00edklad kv\u00f4li ve\u013ek\u00e9mu po\u010dtu platobn\u00fdch pr\u00edkazov, vy\u010derpaniu at\u010f.). Takto falo\u0161n\u00fd platobn\u00fd pr\u00edkaz prech\u00e1dza technologick\u00fdm re\u0165azcom a dost\u00e1va sa do platobn\u00e9ho syst\u00e9mu N\u00e1rodnej banky Ruska.<br \/>\n<noindex><a rel=\"nofollow\" name=\"TMUSKZIA2\"><\/a><\/noindex><\/p>\n<h4>Scen\u00e1r 2. Pr\u00edklad realiz\u00e1cie hrozieb U2.2 a U4.2.<\/h4>\n<p>\n<b>Popis objektu<\/b><br \/>\n<img decoding=\"async\" alt=\"Informa\u010dn\u00e1 bezpe\u010dnos\u0165 bankov\u00fdch bezhotovostn\u00fdch platieb. \u010cas\u0165 8 \u2014 Typov\u00e9 modely hrozieb\" src=\"\/wp-content\/uploads\/2019\/04\/b4489290d665b359323ec6b58dde1139.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nPo\u010d\u00edta\u010d s nain\u0161talovan\u00fdmi APM KBR, SKAD Signat\u00fara a pripojen\u00fdm k\u013e\u00fa\u010dov\u00fdm nosi\u010dom FKN vdToken funguje v vyhraden\u00fdch priestoroch bez pr\u00edstupu zo strany person\u00e1lu.<br \/>\n\u0160pecialista na v\u00fdpo\u010dty sa prip\u00e1ja na APM KBR v re\u017eime vzdialen\u00e9ho pr\u00edstupu prostredn\u00edctvom protokolu RDP.<\/p>\n<p><b>\u00datok<\/b><br \/>\n\u00dato\u010dn\u00edci zachyt\u00e1vaj\u00fa \u00fadaje, ktor\u00fdmi sa \u0161pecialista na v\u00fdpo\u010dty prip\u00e1ja a pracuje s APM KBR (napr\u00edklad prostredn\u00edctvom \u0161kodliv\u00e9ho k\u00f3du na jeho po\u010d\u00edta\u010di). N\u00e1sledne sa prip\u00e1jaj\u00fa jeho menom a posielaj\u00fa do platobn\u00e9ho syst\u00e9mu N\u00e1rodnej banky Ruska falo\u0161n\u00fd platobn\u00fd pr\u00edkaz.<br \/>\n<noindex><a rel=\"nofollow\" name=\"TMUSKZIA3\"><\/a><\/noindex><\/p>\n<h4>Scen\u00e1r 3. Pr\u00edklad realiz\u00e1cie hrozby U1.3. <\/h4>\n<p>\n<b>Popis objektu<\/b><br \/>\n<img decoding=\"async\" alt=\"Informa\u010dn\u00e1 bezpe\u010dnos\u0165 bankov\u00fdch bezhotovostn\u00fdch platieb. \u010cas\u0165 8 \u2014 Typov\u00e9 modely hrozieb\" src=\"\/wp-content\/uploads\/2019\/04\/988a97dd75247780556d388566d771f0.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nZv\u00e1\u017eme jeden z hypotetick\u00fdch variantov realiz\u00e1cie integra\u010dn\u00fdch modulov \u201eABS-KBR\u201c pre nov\u00fa sch\u00e9mu (APM KBR-N), pri ktorej sa elektronick\u00fd podpis odch\u00e1dzaj\u00facich dokumentov vytv\u00e1ra na strane ABS. Predpoklad\u00e1me, \u017ee ABS funguje na opera\u010dnom syst\u00e9me, ktor\u00fd nie je podporovan\u00fd SKZI SKAD Signat\u00fara, a preto bol kryptografick\u00fd funk\u010dn\u00fd prenos preveden\u00fd na samostatn\u00fd virtu\u00e1lny stroj \u2014 integra\u010dn\u00fd modul \u201eABS-KBR\u201c.<br \/>\nAko k\u013e\u00fa\u010dov\u00fd nosi\u010d sa pou\u017e\u00edva oby\u010dajn\u00fd USB token pracuj\u00faci v re\u017eime odn\u00edmate\u013en\u00e9ho k\u013e\u00fa\u010da. Pri pripojen\u00ed k\u013e\u00fa\u010dov\u00e9ho nosi\u010da k hyperv\u00edzoru sa zistilo, \u017ee v syst\u00e9me nie s\u00fa vo\u013en\u00e9 USB porty, a preto sa rozhodlo pripoji\u0165 USB token prostredn\u00edctvom sie\u0165ov\u00e9ho USB rozbo\u010dova\u010da, a na virtu\u00e1lny stroj nain\u0161talova\u0165 klienta USB-over-IP, ktor\u00fd bude zabezpe\u010dova\u0165 komunik\u00e1ciu s rozbo\u010dova\u010dom.<\/p>\n<p><b>\u00datok<\/b><br \/>\n\u00dato\u010dn\u00edci zhaviaj\u00fa priv\u00e1tny k\u013e\u00fa\u010d elektronick\u00e9ho podpisu z komunika\u010dn\u00e9ho kan\u00e1la medzi USB hubom a hyperv\u00edzorom (\u00fadaje sa pren\u00e1\u0161ali v otvorenom form\u00e1te). S priv\u00e1tnym k\u013e\u00fa\u010dom \u00fato\u010dn\u00edci vytvorili falo\u0161n\u00fd pr\u00edkaz na platbu, podp\u00edsali ho elektronick\u00fdm podpisom a poslali na vykonanie do APM KBR-N.<br \/>\n<noindex><a rel=\"nofollow\" name=\"TMUSKZIA4\"><\/a><\/noindex><\/p>\n<h4>Scen\u00e1r 4. Pr\u00edklad realiz\u00e1cie hrozby U5.5.<\/h4>\n<p>\n<b>Popis objektu<\/b><br \/>\nZv\u00e1\u017eme t\u00fa ist\u00fa sch\u00e9mu ako v predch\u00e1dzaj\u00facom scen\u00e1ri. Predpokladajme, \u017ee elektronick\u00e9 spr\u00e1vy z APM KBR-N prich\u00e1dzaj\u00fa do prie\u010dinka &#8230;SHAREIn, zatia\u013e \u010do tie, ktor\u00e9 s\u00fa odosielan\u00e9 do APM KBR-N a \u010falej do platobn\u00e9ho syst\u00e9mu Banky Ruska, prich\u00e1dzaj\u00fa do &#8230;SHAREout.<br \/>\nTaktie\u017e budeme predpoklada\u0165, \u017ee pri realiz\u00e1cii modulu integr\u00e1cie sa zoznamy odvolan\u00fdch certifik\u00e1tov aktualizuj\u00fa iba pri op\u00e4tovnom vydan\u00ed kryptografick\u00fdch k\u013e\u00fa\u010dov, a tie\u017e \u017ee elektronick\u00e9 spr\u00e1vy, ktor\u00e9 prich\u00e1dzaj\u00fa do prie\u010dinka &#8230;SHAREIn, sa kontroluj\u00fa iba z h\u013eadiska integrity a d\u00f4veryhodnosti otvoren\u00e9ho k\u013e\u00fa\u010da elektronick\u00e9ho podpisu.<\/p>\n<p><b>\u00datok<\/b><\/p>\n<p>\u00dato\u010dn\u00edci, ktor\u00ed vyu\u017eili ukradnut\u00e9 k\u013e\u00fa\u010de z predch\u00e1dzaj\u00faceho scen\u00e1ra, podp\u00edsali falo\u0161n\u00fd pr\u00edkaz na platbu, ktor\u00fd obsahoval inform\u00e1cie o prip\u00edsan\u00ed pe\u0148az\u00ed na \u00fa\u010det klienta-podvodn\u00edka a vlo\u017eili ho do kan\u00e1la v\u00fdmeny chr\u00e1nen\u00fdch d\u00e1t. Ke\u010f\u017ee sa nekontroluje, \u010di bol pr\u00edkaz na platbu podp\u00edsan\u00fd priamo Bankou Ruska, je prijat\u00fd na vykonanie.<br \/>\n<br \/>Zdroj: <a content=\"nofollow\" rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/post\/422329\/\">habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"<p>\u041e \u0447\u0435\u043c \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u0435 \u0421\u0441\u044b\u043b\u043a\u0438 \u043d\u0430 \u0434\u0440\u0443\u0433\u0438\u0435 \u0447\u0430\u0441\u0442\u0438 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u044f \u0418\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u043e\u043d\u043d\u0430\u044f \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u044c \u0431\u0430\u043d\u043a\u043e\u0432\u0441\u043a\u0438\u0445 \u0431\u0435\u0437\u043d\u0430\u043b\u0438\u0447\u043d\u044b\u0445 \u043f\u043b\u0430\u0442\u0435\u0436\u0435\u0439. \u0427\u0430\u0441\u0442\u044c 1 \u2014 \u042d\u043a\u043e\u043d\u043e\u043c\u0438\u0447\u0435\u0441\u043a\u0438\u0435 \u043e\u0441\u043d\u043e\u0432\u044b. \u0418\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u043e\u043d\u043d\u0430\u044f \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u044c \u0431\u0430\u043d\u043a\u043e\u0432\u0441\u043a\u0438\u0445 \u0431\u0435\u0437\u043d\u0430\u043b\u0438\u0447\u043d\u044b\u0445 \u043f\u043b\u0430\u0442\u0435\u0436\u0435\u0439. \u0427\u0430\u0441\u0442\u044c 2 \u2014 \u0422\u0438\u043f\u043e\u0432\u0430\u044f IT-\u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0430 \u0431\u0430\u043d\u043a\u0430. \u0418\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u043e\u043d\u043d\u0430\u044f \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u044c \u0431\u0430\u043d\u043a\u043e\u0432\u0441\u043a\u0438\u0445 \u0431\u0435\u0437\u043d\u0430\u043b\u0438\u0447\u043d\u044b\u0445 \u043f\u043b\u0430\u0442\u0435\u0436\u0435\u0439. \u0427\u0430\u0441\u0442\u044c 3 \u2014 \u0424\u043e\u0440\u043c\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u0442\u0440\u0435\u0431\u043e\u0432\u0430\u043d\u0438\u0439 \u043a \u0441\u0438\u0441\u0442\u0435\u043c\u0435 \u0437\u0430\u0449\u0438\u0442\u044b. \u0418\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u043e\u043d\u043d\u0430\u044f \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u044c \u0431\u0430\u043d\u043a\u043e\u0432\u0441\u043a\u0438\u0445 \u0431\u0435\u0437\u043d\u0430\u043b\u0438\u0447\u043d\u044b\u0445 \u043f\u043b\u0430\u0442\u0435\u0436\u0435\u0439. \u0427\u0430\u0441\u0442\u044c 4 \u2014 \u041e\u0431\u0437\u043e\u0440 \u0441\u0442\u0430\u043d\u0434\u0430\u0440\u0442\u043e\u0432 \u043c\u043e\u0434\u0435\u043b\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u0443\u0433\u0440\u043e\u0437. \u0418\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u043e\u043d\u043d\u0430\u044f [&hellip;]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":23545,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-31627","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t<!-- All in One SEO 5.0.4 - aioseo.com -->\n\t<meta name=\"robots\" content=\"max-image-preview:large\" \/>\n\t<meta name=\"author\" content=\"Yuri Gagarin\"\/>\n\t<link rel=\"canonical\" href=\"https:\/\/prohoster.info\/sk\/blog\/administrirovanie\/informatsionnaya-bezopasnost-bankovskih-beznalichnyh-platezhej-chast-8-tipovye-modeli-ugroz\" \/>\n\t\t<meta name=\"generator\" content=\"All in One SEO (AIOSEO) 5.0.4\" \/>\n\t\t<meta property=\"og:locale\" content=\"sk_SK\" \/>\n\t\t<meta property=\"og:site_name\" content=\"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b\" \/>\n\t\t<meta property=\"og:type\" content=\"article\" \/>\n\t\t<meta property=\"og:title\" content=\"\ud83e\udd47\u0418\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u043e\u043d\u043d\u0430\u044f \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u044c \u0431\u0430\u043d\u043a\u043e\u0432\u0441\u043a\u0438\u0445 \u0431\u0435\u0437\u043d\u0430\u043b\u0438\u0447\u043d\u044b\u0445 \u043f\u043b\u0430\u0442\u0435\u0436\u0435\u0439. \u0427\u0430\u0441\u0442\u044c 8 \u2014 \u0422\u0438\u043f\u043e\u0432\u044b\u0435 \u043c\u043e\u0434\u0435\u043b\u0438 \u0443\u0433\u0440\u043e\u0437 | ProHoster\" \/>\n\t\t<meta property=\"og:url\" content=\"https:\/\/prohoster.info\/sk\/blog\/administrirovanie\/informatsionnaya-bezopasnost-bankovskih-beznalichnyh-platezhej-chast-8-tipovye-modeli-ugroz\" \/>\n\t\t<meta property=\"og:image\" content=\"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg\" \/>\n\t\t<meta property=\"og:image:secure_url\" content=\"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg\" \/>\n\t\t<meta property=\"og:image:width\" content=\"350\" \/>\n\t\t<meta property=\"og:image:height\" content=\"350\" \/>\n\t\t<meta property=\"article:published_time\" content=\"2019-10-31T18:42:14+00:00\" \/>\n\t\t<meta property=\"article:modified_time\" content=\"2019-10-31T18:42:14+00:00\" \/>\n\t\t<meta property=\"article:publisher\" content=\"https:\/\/www.facebook.com\/prohoster\" \/>\n\t\t<meta property=\"article:author\" content=\"https:\/\/www.facebook.com\/prohoster\" \/>\n\t\t<!-- All in One SEO -->\n\n","aioseo_head_json":{"title":"\ud83e\udd47Informa\u010dn\u00e1 bezpe\u010dnos\u0165 bankov\u00fdch bezhotovostn\u00fdch platieb. \u010cas\u0165 8 \u2014 Typov\u00e9 modely hrozieb | ProHoster","description":"","canonical_url":"https:\/\/prohoster.info\/sk\/blog\/administrirovanie\/informatsionnaya-bezopasnost-bankovskih-beznalichnyh-platezhej-chast-8-tipovye-modeli-ugroz","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"sk_SK","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0418\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u043e\u043d\u043d\u0430\u044f \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u044c \u0431\u0430\u043d\u043a\u043e\u0432\u0441\u043a\u0438\u0445 \u0431\u0435\u0437\u043d\u0430\u043b\u0438\u0447\u043d\u044b\u0445 \u043f\u043b\u0430\u0442\u0435\u0436\u0435\u0439. \u0427\u0430\u0441\u0442\u044c 8 \u2014 \u0422\u0438\u043f\u043e\u0432\u044b\u0435 \u043c\u043e\u0434\u0435\u043b\u0438 \u0443\u0433\u0440\u043e\u0437 | ProHoster","og:url":"https:\/\/prohoster.info\/sk\/blog\/administrirovanie\/informatsionnaya-bezopasnost-bankovskih-beznalichnyh-platezhej-chast-8-tipovye-modeli-ugroz","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-10-31T18:42:14+00:00","article:modified_time":"2019-10-31T18:42:14+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"31627","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-21 07:04:20","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-03-01 03:13:29","updated":"2026-01-21 07:04:20","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/sk\/wp-json\/wp\/v2\/posts\/31627","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/sk\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/sk\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/sk\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/sk\/wp-json\/wp\/v2\/comments?post=31627"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/sk\/wp-json\/wp\/v2\/posts\/31627\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/sk\/wp-json\/wp\/v2\/media\/23545"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/sk\/wp-json\/wp\/v2\/media?parent=31627"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/sk\/wp-json\/wp\/v2\/categories?post=31627"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/sk\/wp-json\/wp\/v2\/tags?post=31627"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}