IHTE-1900 Seittiviestintä Tietoturva 8.11. Päivän aiheet Mitä on tietoturva? - Lyhyt katsaus erilaisiin tietoturvaluokituksiin Miksi tietoturva on tärkeää? Joitakin tietoturvapalveluita Symmetrinen vs. asymmetrinen salaus Hiukan viruksista yms. 1
Mitä on tietoturva? Hallinnollinen turvallisuus Henkilöstöturvallisuus Liiketoiminnan jatkuvuus ja riskienhallinta Ohjelmisto- ja laitteistoturvallisuus Tietoaineisto- ja käyttöturvallisuus Tietoliikenneturvallisuus Fyysinen turvallisuus Henkilöstöturvallisuus Tietoturvapolitiikan kertominen henkilökunnalle Taustojen selvittäminen rekrytoitaessa Uusien työntekijöiden perehdyttäminen Työhön liittyvän materiaalin luovuttaminen työsuhteen päättyessä Etätyöskentely 2
Hallinnollinen turvallisuus Tietoturvataso - Mikä taso on? - Kuka arvioi ja kuinka usein? Tietoturvavastuiden jakaminen Tietoturvapolitiikka tai ohjeistus - Tekeminen - Noudattamisen valvominen Ohjelmisto- ja laitteistoturvallisuus Työntekijöiden koneella olevat ohjelmat - Kuka ylläpitää? - Saako omia asentaa? Autentikointi Kovalevyjen, USB-muistien ja sähköpostien salaus Tietoturva-aukot - Ohjelmistot - Käyttöjärjestelmän aukot Virukset, madot, troijalaiset - Kuinka usein virustarkistukset tehdään? 3
Tietoliikenneturvallisuus Tekniset häiriöt - Sähköposti menee väärälle henkilölle tai tuhoutuu matkalla Verkon häiriöt - verkko poikki tai jumissa, sähkökatkot, häiriö virransyötössä Tiedon lukeminen sitä siirrettäessä - lähiverkossa tai reitin varrella Tiedon muuttaminen sitä siirrettäessä (välityspalvelin) Ostoprofiilien kerääminen Asiakastietojen kerääminen ja myynti Asiakasrekisterien yhdistely Tietoliikenneturvallisuus Liikenneanalyysi Käyttäjien seuranta evästeiden (cookies) avulla kohdepalvelimella tai lähdekoneella Välityspalvelimien lokitiedot Nimipalvelun huijaaminen - Väärin kirjoitetut nimet - Muuksi käyttäjäksi tekeytyminen Palvelunesto (Denial of Service Attack) 4
Fyysinen turvallisuus Henkilöiden tunnistus Kulunvalvonta Yrityksen kriittisten tilojen pääsyvalvonta Laitteiden fyysinen turvallisuus - murtautuminen - tulipalo - vaurioituminen (kastuu, pölyyntyy) - terrorismi Kuinka varmistaa laitteiden fyysinen turvallisuus? Tietoaineisto- ja käyttöturvallisuus Oikein asetetut valtuudet Salasanapolitiikka Tietoaineistovastuut Varmuuskopiointi Ylläpidon asiantuntemus Huolimaton käyttäjä 5
Liiketoiminnan jatkuvuus ja riskienhallinta Mikä voi vaarantaa liiketoiminnan jatkuvuuden? Riskikartoitus - suojaus mitoitetaan riskin mukaan - riski ei aina mitattavissa rahalla Yrityksen tapa toimia häiriötilanteissa - Mitä tehdään jos toimitilat tuhoutuvat tulipalossa? Salassapitosopimukset Tietoturvan mainostaminen Kannattaako tietoturva? Miinuksia: turvapalvelut saattavat - vaikeuttaa käyttöä turvallisuus vs. käytettävyys - hidastaa palvelua Plussia: miksi tietoturvaa kannattaa - tietoturva-aukoista negatiivista julkisuutta - palvelun vahingoittumisesta taloudellisia tappioita (konkreettinen / imago / brändi) - tieto arvokasta pääomaa yritykselle - luotettavuusvaatimukset (esim. luottokorttiyhtiöt) 6
Hinta Käytettävyys Tietoturva Halpa hinta Käytettävyys Tietoturva Mitä turvapalveluilla halutaan? ns. CIA-malli: Confidentiality (luottamuksellisuus) - ulkopuolinen taho ei pääse lukemaan tietoa siirron aikana eikä sen jälkeen Integrity (eheys) - ulkopuolinen taho ei pääse muokkaamaan tai lisäilemään tietoja Authentication (todennus) - palvelu voi tunnistaa käyttäjän - käyttäjä voi tunnistaa palvelun Lisäksi mm. kiistämättömyys, anonyymiteetti jne 7
Verkkotekniikan kertausta Seittisivujen siirtoprotokolla HTTP toimii TCP:n päällä TCP: yhteys lähettäjän ja vastaanottajan välillä (käyttöjärjestelmä) HTTP: pyyntö ja vastaus (seittiselain) Sovellustason turvapalvelut Seittisovelluksen tarjoamat turvapalvelut Salatut tiedostot - palvelimella oleva materiaali tallennettu salattuihin tiedostoihin (esim. PGP-salaus) - tiedostot haetaan omalle koneelle jossa ne avataan Kirjautumisruudut (login) - yleisiä verkkopalveluissa - salasanalistojen hyödyntäminen - useimmiten salaamattomia - kertakäyttösalasanat - salasanojen käytössä runsaasti ongelmia (esim. salasanan unohtaminen, huonot salasanat ) 8
HTTP-tason turvapalvelut HTTP:n pääsynvalvonta - tunnus- ja salasanapari - tarjoaa asiakkaan todennuksen Tiivisteeseen perustuva pääsynvalvonta - haaste-vaste-protokolla - salasanaa ei salattu - tarjoaa asiakkaan todennuksen Siirtokerroksen turvapalvelut Lisäkerros TCP:n ja HTTP:n väliin - voidaan käyttää myös esim. FTP:n alapuolella SSL = secure sockets layer TLS = transport layer security Suojaa kaiken HTTP- ja sovellusliikenteen Yleensä toteutettu selaimissa HTTP-over-SSL (https) Tarjoaa luottamuksellisuuden, asiakkaan ja palvelimen todennuksen ja eheyden 9
IP-kerroksen turvapalvelut Turvapalvelut IP-pakettikohtaisia IPSec (IP-security) tulevaisuudessa tärkeä Turvapalvelut kaikille IP:n yläpuolisille protokollile - näkymätön sovellustason ohjelmille Mobiililaitteet, GPRS/3G-verkot 10
SSL ja TLS Tärkeä turvapalvelu - liikenteen salaus ja eheys luottamuksellisuus - palvelimen todennus varmenteilla - asiakkaan todennus varmenteilla Suojaa yhteyden selaimelta seittipalvelimelle asti - kaikki näiden välillä voidaan olettaa turvattomaksi - tietoon ei pääse käsiksi matkan varrella - liikenne tunneloidaan välityspalvelimen läpi Symmetrinen salaus Kummassakin päässä käytetään samaa salausavainta (key) Salausalgoritmi salaa tiedon salausavaimen perusteella (encryption) Käänteismuunnos tehdään toisessa päässä (decryption) Symmetrisiä salausalgoritmeja ovat esim. DES, AES, RC4, Blowfish Salauksen hyvyys määräytyy mm. käytetyn algoritmin ja salausavaimen pituuden perusteella (entä jos avain paljastuu?) 11
Esimerkki symmetrisestä salauksesta NNGTDDMÖNL FQÄQOLTL AOTFDO Asymmetrinen salaus Salaukseen ja purkuun käytetään eri avaimia Ongelma: miten saadaan salausavain vastapuolelle? - Käytetään avaimenvaihtoprotokollaa, jossa salausavain siirretään salaamalla se julkisella avaimella. Vastapää saa salausavaimen selville purkamalla salauksen yksityisellä avaimella. - julkinen avain liittyy aina tiettyyn yksityiseen avaimeen avainpari Miten voi tietää, onko vastapuoli oikea? Jokainen julkinen avain vastaa yhtä ja vain yhtä yksityistä avainta 12
Asymmetrinen salaus Jokaisella taholla, joka halutaan todentaa, on oma avainpari Oletus: - yksityinen avain vain oikean omistajan hallussa, julkinen avain kuuluu tietylle taholle Kun tieto salataan julkisella avaimella, se voidaan purkaa ainoastaan siihen liittyvällä yksityisellä avaimella Asymmetriset menetelmät hitaita - käytetään usein vain symmetrisen salausavaimen siirtoon Julkisen avaimen alkuperään luotetaan, koska se saadaan luotettavasta lähteestä - Käytännössä luotettava kolmas osapuoli eli varmenneviranomainen antaa varmenteen Asymmetrinen salaus TEKSTI KIUDKO TEKSTI E KP D KS 13
Varmenne Varmenteessa on mm.: - vastapuolen julkinen avain - vastapuolen tunnistetiedot (kenelle avain kuuluu) - digitaalinen allekirjoitus Digitaalinen allekirjoitus estää varmenteen muuttamisen - allekirjoitus voidaan tarkistaa allekirjoittajan julkisella allekirjoitusavaimella - allekirjoitus tehdään yksityisellä allekirjoitusavaimella - Asymmetrinen menetelmä Yhteenveto edellisestä Haluan lähettää salatun viestin tarvitaan salausavain Salausavain välitetään avaintenvaihtoprotokollalla - tiedettävä vastapuolen julkinen avain on tiedossa Vastapuoli lähettää julkisen avaimensa yhteyden alussa varmenteessa - tiedettävä kuuluuko julkinen avain vastapuolelle Varmenteessa on digitaalinen allekirjoitus - luotettava allekirjoituksen tekijän todistukseen avaimen alkuperästä Tarkistetaan digitaalinen allekirjoitus allekirjoittajan julkisella avaimella 14
Salauksen vahvuus Usein puhutaan ns. avainpituudesta - bitteinä, esim. DES perusversio 56-bittinen - ilmoittaa mahdollisten salausavainten määrän, esim. DES 2 56 vaihtoehtoa Salauksen murtaminen periaatteessa kokeilemalla kaikki mahdolliset salausavaimet - käytännössä hyökkäys Salauksia testattu yhdistämällä monta konetta Hyvän salauksen määritelmä riippuu käyttökohteesta ja määrittelijästä SSL ja TLS, käyttö SSL ja TLS mahdollistavat sekä palvelimen että asiakkaan todennuksen varmenteilla - kaikki selaimet eivät tue asiakaspään todennusta Varmenteiden etuja: - ei salasanaa verkon yli - voidaan laittaa toimikortille (esim. HST) - salasanaa vahvempi - hyvin tehtynä käyttäjälle läpinäkyvä 15
SSL ja TLS, käyttö Varmenteiden haittoja: - kehittymätön asiakaspään tekniikka - muun tekniikan kehitys kesken - käsitteellisesti vaikea - henkilötietojen sitominen varmenteeseen tarpeettomastikin Maksutavat seitissä Luokittelutapoja esim. - ennakkomaksu / maksu jälkikäteen - mikromaksut / pienet maksut / suuret maksut - luottokortit / tilisiirto / laskun lähetys - toimikorttipohjaiset / ohjelmistopohjaiset menetelmät Suomessa pankkien tilisiirtopalvelut Maailmalla luottokorttinumeroiden antaminen Erityisesti kansainväliset maksut ongelmana 16
Incognito Anonyymiteetti: - mitään, mitä käyttäjä tekee, ei voi yhdistää käyttäjään - perättäisiä toimintoja ei voi yhdistää toisiinsa Pseydonymiteetti: - käyttäjällä on alias eli pseydonyymi - perättäiset toiminnot yhdistetään pseudonyymiin, ei käyttäjään - käyttöprofiili kerätään pseudonyymistä, ei käyttäjästä - joko palvelun itsensä toteuttama tai ulkopuolinen palvelu - yleensä aivan riittävä käyttäjäprofiilien tarpeisiin Virukset Yleensä pieniä tietokoneohjelmia jotka leviävät ohjelmasta toiseen, koneesta toiseen Eivät välttämättä tarkoituksellisesti vahingollisia - joskus tarkoituksena vain levitä, ei aktivoitua Aiheuttavat monenlaisia ongelmia: - resurssien tuhlaus (levytila, verkko, nopeus) - tiedostojen järjestelmällinen tai satunnainen tuhoaminen, tiedostojen levittäminen - torjuntaan ja jälkien korjaamiseen tarvitaan resursseja - imago-ongelmat 17
Virukset Aktivoituminen voi tapahtua heti tai myöhemmin - leviävät paremmin jos eivät aktivoidu heti Virukset eivät ole ihan uusi ilmiö - Ensimmäisiä viruksia jo 1960-1970 luvuilla - Elk Cloner (Apple) 1981 - Brain (PC) 1986 Nykyään viruksia tunnetaan jo valtavasti - vain joitakin tuhansia päässyt leviämään laajalle - F-Securen viruskuvauspalvelu aloitti 1994 Virukset Käynnistyslohkovirus Tiedostovirus Makrovirus Piilovirus Moniosainen virus Muuntuva virus Salattu virus Monimuotoinen virus 18
Muita ongelmien aiheuttajia Käytännössä esim. lehdistössä nämäkin luokitellaan viruksiksi Troijan hevoset - vaativat käyttäjää levitäkseen - usein pilailuohjelmia - saattavat sisältää myös etähallintaohjelman tai viruksen Madot - leviävät itsekseen ilman isäntäohjelmaa Etähallintaohjelmat Huijausvaroitukset (ns. hoaxit) Tietoturvan huoneentaulu 1. Selvitä tiedon ja tiedoston alkuperä ennen käyttöä 2. Muista, että seinillä on korvat useammat kuin arvaatkaan. 3. Lukitse ovesi ja tietokoneesi, kun lähdet muualle. 4. Käytä salasanoja, joissa on muitakin merkkejä kuin kirjaimia, ja pidä ne salassa. 5. Älä hätäile, äläkä varsinkaan toimi hätiköidysti. 6. Ota talteen kaikki tarpeellinen, ennen kuin vahinko sattuu. 7. Käytä ajantasaisia viruksentorjunta-ohjelmia ja muita turvajärjestelyjä. 8. Selvitä itsellesi oman organisaatiosi tietoturvajärjestelyt. Jukka Korpela: http://www.tieke.fi/tietoturvaopas/ 19
Lisätietoja Kurssilla 8306000 Tietoturvallisuuden perusteet on laaja Jukka Koskisen materiaali ja linkkilista verkossa: http://www.cs.tut.fi/kurssit/8306000/ Petteri Järvinen, Tietoturva & yksityisyys. Docendo Oy, 2002. Jukka Korpela, Tietoturvaa peruskäyttäjille http://www.tieke.fi/tietoturvaopas/ 20