Yritysturvallisuuden perusteet Teemupekka Virtanen Helsinki University of Technology Telecommunication Software and Multimedia Laboratory teemupekka.virtanen@hut.fi 10. Luento Tietotekninen turvallisuus Tietotekninen turvallisuus osana yritysturvallisuutta Historiaa Salausmenetelmiä 1
Toimitilaturvallisuuden keinoja Useita vyöhykkeitä Estetään ulkopuolisten tulo alueelle Aidat, seinät,... Tunnistetaan luvalliset tulijat Avaimet, kulunvalvonta,... Havaitaan tunkeutuminen Hälytyslaitteet Pysäytetään tunkeutuminen Vartiointi Turvallisuusvyöhykkeet 2
Passiivinen este Havaitseminen 3
Aktiivinen este Tietotekninen turvallisuus Fyysisen turvallisuuden vastine Luvattoman käytön estäminen Luvallisten käyttäjien tunnistaminen Käytön seuraaminen Luvattoman käytön havaitseminen Aktiiviset toimenpiteet 4
Avoin verkko Suljettu verkko 5
Etätyön ongelmat Turvallisen alueen laajennus 6
Etätyö Etätyön ongelmat 7
Yrityksen sisäiset erot Hierarkkiset alueet 8
Verkottuneet yritykset Passiivinen este Salakirjoitus Suunnittelu Ohjelmistojen turvallisuus 9
Perinteinen turvavyöhyke Sähköinen turvallisuusalue weyoiuh 7qyequ yeqwyediqwh dwqu uy uy iuwdyoiowiuey oiuey oiuey oiuyeoi yeiuqey oi q Tenttikysymykset 1. Määrittele 2. Kuinka 3. Salaujärjestelmä 4. Toimii Tenttikysymykset 1. Määrittele 2. Kuinka 3. Salaujärjestelmä 4. Toimii 10
Salakirjoitus Salakirjoitus on tapa luoda turvallinen tila epäluotettavassa ympäristössä Salakirjoitus on muuri tiedon ja ulkomaailman välillä Estää pääsyn käsiksi itse tietoon Lukeminen Muuttaminen Ei estä tuhoamista Salakirjoituksen historiaa Aina on ollut olemassa tiedon esitystapoja, joita asiaan vihityt ovat kyenneet tulkitsemaan ja muut eivät Lukutaito Hieroglyfit 11
Varhaisia salakirjoitusmenetelmiä Kirjainten korvaaminen symboleilla Mustanaamio Kirjainten vaihtaminen Caesar, ROT-13 Kirjan käyttäminen Kepin ympärille kiedottu paperi Kehittyneempiä salakirjoitusmenetelmiä Yhteysriippuvat muunnokset Kirjaimen korvaaminen toisella riippuu edellisestä kirjaimesta Mekaaniset laitteet Enigma 12
Salaisen avaimen menetelmä Tieto salataan ja puretaan samalla avaimella Tehokas Ongelmana avaimen välitys Toimii hyvin henkilökohtaisessa käytössä ja kahdenvälisessä viestinnässä Avainten määrä kasvaa nopeasti osapuolien määrän lisääntyessä (1/2(n 2 -n)) Algoritmeja DES, 3DES, AES (Rjindael) Julkisen avaimen menetelmä Avaimet muodostavat parin, joista toisella salatun viestin voi purkaa toisella Jokaisella osapuolella on avainpari, joista toinen osa pidetään salassa ja toinen on julkinen Viesti salataan julkisella avaimella, jolloin vain salaisella avaimella saa sen auki Ongelmana julkisten avainten hakemistot Tehottomampi kuin salaisen avaimen menetelmä 13
Hybridimenetelmä Hybridimenetelmässä pyritään yhdistämään salaisenja julkisen avaimen menetelmien hyvät puolet. Varsinainen tieto salataan salaisen avaimen menetelmällä käyttäen satunnaista avainta Käytetty avain salataan julkisen avaimen menetelmällä Itse salaus on tehokas Avaintenhallinta on tehokas Viesti voidaan osoittaa usealle vastaanottajalle lisäämällä salainen avain useilla julkisilla avaimilla salattuna viestiin Tiedon piilottaminen Steganografia Ei kätketä viestin sisältöä vaan olemassaolo Muinoin Tukan alle Kirjaan Eilen Koodattuja viestejä (Isä on kuollut) Mikrofilmaus Tänään UWB-radio Kuvatiedostot 14
Salakirjoituksen purkaminen Murtumatonta menetelmää ei ole On vain toistaiseksi murtamaton Salakirjoitus riippuu ympäristöstä Avainten jakelu, ihmisten luotettavuus, selväkielisen viestin säilytys Varhaiset menetelmät voi purkaa päässä Turvallisia silloin kun ihmiset tuskin osasivat lukea Kehittyneemmät voi purkaa tietokoneella Esimerkki Pedon fiilikset on ryhmä, joka haluaa vaihtaa materiaalia keskenään Ryhmän turvallisuusvaatimukset ovat kovat Viestien olemassaoloa ei saa havaita Viestin sisältöä ei saa pystyä purkamaan Viestin lähettäjää ei voida jäljittää eikä lukemista havaita 15
Anonyymi viestinvälitys Valitaan sopiva keskustelupalsta, jossa välitetään myös kuvia Esim. City-lehden deitti Käyttäjät hankkivat anonyymin sähköpostin Esim. Luukku Viestit koodataan seuranhakuilmoituksissa oleviin kuviin Lähettämisen voi tehdä anonyymisti julkiselta päätteeltä Viestin lukijoita on ehkä tuhansia, on mahdoton todistaa kuka lukijoista osasi myös purkaa kuvan Kuvia voi olla tuhansia, automaattinen tarkastus vaikeaa Kukaan osallistuja ei tunne muita kuin yhden, jolta sai vinkin Jäsen jää kiinni, kun purettuja kuvia löytyy omasta koneesta 16