Computerbeveiliging - Radboud Universiteit

Computerbeveiliging
Engelbert Hubbers
Erik Poll
Digital Security groep
Instituut voor Informatica en Informatiekunde
Radboud Universiteit Nijmegen
Computerbeveiliging
1
• waar gaat computerbeveiliging allemaal over?
• wat zijn de oorzaken van al die
beveiligingsproblemen?
• waar heeft computerbeveiliging mee te maken,
buiten de informatica ?
Computerbeveiliging
2
Beveiligen van computers
Computerbeveiliging
3
Beveiligen met computers
die dan zelf natuurlijk ook weer beveiligd moeten zijn
Computerbeveiliging
4
Beveiligen van informatie
Explosief groeiende hoeveelheid data en gegevens
die razendsnel doorzocht kan worden
Computerbeveiliging
5
Beveiligen van informatie: kopieerbeveiliging
• voor muziek, video, maar ook voor ringtones
– kranten zijn nu gratis
– muziek is (bijna) gratis
– video straks ook??
Computerbeveiliging
6
Beveiligen van informatie: privacy
Computerbeveiliging
7
Computerbeveiliging
• groeiend probleem, door
– steeds meer computers (ook in andere apparaten)
– steeds meer computernetwerken, mn internet
– steeds meer belangrijke toepassingen ervan,
• denk aan internetbankieren, online winkelen,
electronisch patientendossiers, ...
waardoor het ook interessant wordt voor
criminelen
Computerbeveiliging
8
Wat maakt computerbeveiliging lastig ?
Wat zijn de oorzaken van
computerbeveiligingsproblemen ?
Computerbeveiliging
9
Wat maakt computerbeveiliging lastig?
1. complexiteit
2. programmeerbaarheid
3. nieuwe mogelijkheden
4. de menselijke factor
5. ...
Computerbeveiliging
10
1. Complexiteit: software is het meest complexe
dat de mens ooit heeft gemaakt…
Tussen 1069 en 1081 atomen in
het universum
100 MB geheugen > 10200.000.000
toestanden
Software is niet continu: wijziging van 1 bit in een
programma kan leiden tot volstrekt ander gedrag!
Computerbeveiliging
11
Gevolgen van deze complexiteit
1. Fouten zijn onvermijdelijk
– en reactie op kleine fout kan enorm groot zijn
•
software is niet continu: wijziging van 1 bit in een
programma kan leiden tot totaal ander gedrag!
2. Alle mogelijkheden (incl. de mogelijkheden tot misbruik!) zijn
lastig te overzien
Hierdoor onstaan de beveiligingsgaten in besturingsystemen (bijv
Windows), in webbrowser (bijv Internet Explorer), in websites, ...
Computerbeveiliging
12
Computerbeveiliging
13
Computerbeveiliging
14
2. Programmeerbaarheid
• Programmeerbaarheid maakt computer zo handig &
veelzijdig
• Dit kan ook tegen ons gebruikt worden, door
malware (kwaadaardige software)
• Er zijn veel – en steeds meer – soorten malware!
computervirussen, wormen, spyware, adware, rootkits, botnets,
trojaanse paarden, keyloggers, ...
Computerbeveiliging
15
Malware
groei 1986-2007
Computerbeveiliging
16
Malware
Twee manieren om soorten malware te onderscheiden:
1. Hoe verspreidt de malware zich?
2. Wat doet de malware voor iets kwaardaardigs?
Computerbeveiliging
17
Hoe verspreidt malware zich?
• virus
– malware dat zich verspreidt door met ander bestand mee te liften
• bijv als macro in een Word document
– voor verspreiding is medewerking van de gebruiker nodig
• al is het maar. klikken op een attachment van een email
• worm
– malware dat zich helemaal zelfstandig kan verspreiden
• Trojaans paard
– malware onderdeel van een ogenschijnlijk goedaardig programma
• bijv. game dat je gratis kan downloaden
Zie http://www.waarschuwingsdienst.nl/render.html?it=1268 voor animaties
Computerbeveiliging
18
Slammer Worm (25 januari 2003, 5:29)
Bron: The Spread of the Sapphire/Slammer Worm, by David Moore, Vern Paxson, Stefan Savage,
Colleen Shannon, Stuart Staniford, Nicholas Weaver
Zie ook http://www.pbs.org/wgbh/pages/frontline/shows/cyberwar/warnings/slammermap.html
Computerbeveiliging
19
Slammer Worm (25 januari 2003, 6:00)
Bron: The Spread of the Sapphire/Slammer Worm, by David Moore, Vern Paxson, Stefan Savage,
Colleen Shannon, Stuart Staniford, Nicholas Weaver
Zie ook http://www.pbs.org/wgbh/pages/frontline/shows/cyberwar/warnings/slammermap.html
Computerbeveiliging
20
Wat doet malware voor kwaardaardigs ?
• spam versturen
• rootkit verbergt zich diep in het operating system en wacht op
instructies, als onderdeel van een botnet, bijvoorbeeld voor een
Distributed Denial of Service (DDoS)
• DDoS = allemaal tegelijk een website bestoken om die plat te
leggen, mogelijk voor afpersing
• wachtwoorden stelen
– spyware bespioneert gebruiker om advertenties te tonen
(zgn. adware) of om achter geheime gegevens te komen
• man-in-the-browser aanvallen: kwaadaardige browser-plugin,
die bijvoorbeeld tijdens internetbankieren
• .....
Computerbeveiliging
21
•
Leuk filmpje over Trojans: http://www.youtube.com/watch?v=Xs3SfNANtig
Of google op youtube
naar "trojan horse the chaser"
Computerbeveiliging
22
3. Nieuwe mogelijkheden
• Voor nieuwe technologieën zijn mogelijkheden tot
misbruik lastig te voorzien
• Klassiek voorbeeld: spam
– Het leek alleen maar heel handig dat je vrijwel gratis een
emailtje kon versturen...
• Straks ook
– SMS spam op je mobieltje ?
– spam over (vrijwel gratis) internettelefonie ? (zgn. SPIT)
– ...
Computerbeveiliging
23
4. De menselijke factor
• Mensen zijn zich slecht bewust van risico's in de
moderne, digitale wereld
• of: de digitale wereld is
slecht afgesteld op wat
de gebruikers begrijpen?
Computerbeveiliging
24
Oeps...
Computerbeveiliging
25
Social Engineering
• Met social engineering probeert een aanvaller de
gebruiker te misleiden
– vaak gaat dat verbluffend eenvoudig!
• Voorbeelden
– phishing
• nieuwere varianten spear-fishing en whaling
– opbellen naar bedrijf, zogenaamd als medewerker van
computerafdeling, om wachtwoorden te achterhalen
– ...
Computerbeveiliging
26
(slecht vertaald!) phishing voorbeeld
From: "[email protected]" <[email protected]>
Return-Path: <[email protected]>
Subject: ru.nl account migreren Alert
Date: Sat, 23 May 2009 14:55:03 +0200
Beste ru.nl account Eigenaar,
Het Bureau Information Technology is in het proces van het migreren van alle ru.nl
email accounts opgewaardeerd centraal e-mail diensten. Wij zijn het verwijderen
van alle ongebruikte ru.nl e-mail accounts het scheppen van meer ruimte voor
nieuwe accounts.
Om te voorkomen dat uw account wordt gesloten, moet u de onderstaande
informatie te actualiseren, zodat zullen we er zeker van zijn dat uw account is
momenteel nog actief.
CONFIRM YOUR EMAIL IDENTITY BELOW:
Gebruikersnaam:
Wachtwoord:
Computerbeveiliging
27
Computerbeveiliging
28
• http://www.youtube.com/watch?v=yZSxYB11GSY
Computerbeveiliging
29
Wat maakt computerbeveiliging lastig?
1. complexiteit
2. programmeerbaarheid
3. nieuwe mogelijkheden
4. de menselijke factor
– domme gebruikers of slecht ontworpen ICT?
Computerbeveiliging
30
Computercriminaliteit
• nieuwe mogelijkheden voor criminelen
• nieuwe taken voor de politie
– vervolgen computercriminelen
maar ook nieuwe mogelijkheden
– gebruik maken van ICT bij onderzoek
• bijv. inbeslagname van computers en mobieltjes
• bij Nationaal Forensisch Instituut (NFI)
Computerbeveiliging
31
Wetgeving
• Nieuwe technologie vereist ook nieuwe wetgeving
– bijv. is illegaal kopiëren van CD diefstal ?
– is versturen van spam illegaal?
– is computerinbraak inbraak?
• Nieuwe wetgeving voor
– nieuwe vormen van computercriminaliteit
– bewaarverplichting voor digitale gegevens
• bijv. internet- en GSM-dataverkeer
– wetgeving mbt privacy, illegaal downloaden,...
– ...
Computerbeveiliging
32
Fundamenteel probleem op het internet
• wie ben je ?
• en ben je wel wie zegt dat je bent?
interne
t
Computerbeveiliging
33
Conclusies
• Computerbeveiliging steeds groter & interessant
probleem
– door explosieve groei aan mogelijkheden van ICT
• De beste (leukste en enige?) manier om te kijken of
beveiliging goed is
–
probeer de beveiliging te breken!
Computerbeveiliging
34
Vragen?
Computerbeveiliging
35