A Hétpecsét Információbiztonsági Egyesület 71. rendezvénye
10 perc olvasás
2016. május 18-án zajlott a szakmai összejövetel Dr. Ködmön István, az Egyesület alelnöke moderálásával, aki köszöntőjében emlékeztetett, a 2001. május 15-én, a budai Kongresszusi Központban tartott első fórumon 57-en vettek részt, s a BS-7799-es szabvány jelentette a közös tevékenység kiindulópontját.
2016. május 18-án zajlott a szakmai összejövetel Dr. Ködmön István, az Egyesület alelnöke moderálásával, aki köszöntőjében emlékeztetett, a 2001. május 15-én, a budai Kongresszusi Központban tartott első fórumon 57-en vettek részt, s a BS-7799-es szabvány jelentette a közös tevékenység kiindulópontját.
Alapértelmezéseken, fordítási-magyarítási kérdéseken vitatkoztak a résztvevők, ebből a szakmai közösségből nőtte ki magát a jelenlegi rendezvény. A rendezvénynek rögtön sajtóvisszhangja is támadt az Infopen netes oldalon. Ez a megjelenés indította a szervezőket „Az Év Információ-biztonsági Újságírója" erkölcsi elismerő díj megalapítására. (Ebben az évben az idevágó pályázatot már 19. alkalommal írták ki.) Az információs adatvédelem kultúrájának terjesztése, a fiatalság felé nyitás érdekében megalapították „Az év Információbiztonsági Diploma dolgozata" címet, majd ezt tovább finomítva, „Az év információvédelmi szak-, és diploma dolgozata" pályázatot. Az idei díjazottak a 2016. szeptember 22-i fórumon mutatkoznak be.
Szebeni Szilveszter CIO (Tresorit Kft.) előadása, melyet kollégájával, Lám Istvánnal (CEO) együtt jegyzett,
„Crypto wars – Revenge of the sith or a new hope?" címmel hangzott el a titkosítás történetéről, s az Apple és az FBI konfliktusáról. Utóbbi kiindulópontja a San Bernardino-i terrortámadás volt, ahol a már halott támadó iPhone készülékét az FBI megtalálta, s további, az üggyel kapcsolatba hozható gyanúsítottakat kívánt felderíteni a telefon-adatok alapján. A biztonsági szolgálat felkérte az Apple-t, segítsen a telefonon lévő biztonsági adatok kinyerésében, a cég erre nemet mondott. Ennek ellenére sikerült ezek felderítése.
http://magyaridok.hu/cimke/san-bernardino-i-merenylet
Műszaki szemmel nézve, hogyan is lehet feltörni egy iPhone-t? Meg kell ismernünk működésmódját ahhoz, hogy elérjük a számunkra szükséges fájl-tartalmat. Ezek a fájlok un. fájl-kulcsokkal vannak titkosítva, s a fájl meta-adattárban találhatók. Kétféle kulcs van a fájl meta-adattárban, az un. class-kulcs, és a fájl-systemkulcs. A meta-adat ki-titkosításához mindkettőre szükségünk van.
A fálj-systemkulcs azért érdekes, mert ha szeretnénk távolról törölni a telefonunkat, akkor meg kell kérnünk a telefont, hogy törölje ezt a fájl-systemkulcsot. Mivel minden meta-adat ezzel a fájl-systemkulccsal is titkosítva van, az összes többi adat elérhetetlenné válik. Nem kell tehát a telefon egész 64 gigás SSD-jét formázni ahhoz, hogy törölni tudjunk.
A class-kulcsokat az un. passcode-key védi, ezzel jutunk be a telefonba belépéskor. Hogyan számolja ki a telefon a passcode-key-t? Több elemre van szüksége. Első a felhasználó passcode-ja, ez alapesetben 4-, vagy 6-karakteres számsorozat, de nem ez adja a biztonságát a rendszernek, hanem az un. hardware-element.
https://support.apple.com/en-us/HT204060
A hardware-element a cég erősen védett titka, magán a telefonon található, gyárilag a szilikonra rányomtatva.
Az Apple azt állítja, hogy ezt a gyártásnál nem archiválják, hanem a készülék elkészültekor azonnal elvetik. Ezt a titkot nem lehet „csak úgy" kinyerni, nincs olyan api (http://www.webopedia.com/TERM/A/API.html) a telefonon ami kérésre feltüntetné a hardware elemeket. Csak olyat lehet kérni, hogy „deriváld le a passcoddal a
hardware-element-et és adjál nekem passcode-key-t". Ez a művelet 8 miliszekundumig tart a telefonon.
Mit jelent ez nekünk, mint támadónak? Amennyiben szeretnénk hozzáférni a telefonhoz, annak adataihoz, akkor mindezt a támadást magán a telefonon kell végrehajtani, nem tudjuk lemásolni a telefon tartalmát egy szuperszámítógépre, hogy onnan támadjuk meg. Minden egyes próbálkozás 8 miliszekundumig fog tartani.
Hosszú passcode esetén ez nem is jelenthet egy valós támadást. Pl. a British Telecom mobiltelefon tulajdonosok
alfanumerikus jelszó beállításával kétezer napig tartó próbálkozással nehezíthetnék a jelszó-törők dolgát.
A történet ismert folytatása; az FBI mégiscsak hozzájutott a telefon tartalmához. A feladat megoldása során a problémát magának az operációs rendszernek a védelme jelenti, ez a szoftveres megoldás nem jelent erős védelmet. Csak tízszer engedi a felhasználót próbálkozni a passcode-okkal. Tíz próbálkozás után letörli az összes adatot. A 8 miliszekundumos és a 10-es korlát meghaladására valahogy le kell cserélni az operációs rendszert, hogy engedélyezhessük a sokszoros próbálkozást. Arra kérte az FBI az Apple-t, hogy készítsen számára olyan operációs rendszert, ami nem csak kikapcsolja ezt a védelmet, hanem helyettük próbálkozik is. Erre kapott elutasítást.
Az FBI végül talált egy olyan izraeli céget, amely zero-day, addig ismeretlen hibát fedezett fel a telefonon, ezzel ki tudták kerülni a szoftveres védelmet és le tudták pörgetni a négy számjegyből álló hozzáférési kódot, amivel hozzáférhettek a telefonhoz. A hiba maga a mai napig nem került nyilvánosságra, bár az Apple többször is kérte az FBI-t, hogy árulja el.
Sok hasonló történetet ismerünk a '70-es évekből, ezt illetik a „Kripto-háború I." jelzővel, s most zajlik ennek második része, a „Kripto-háború II."
A történet nézete két oldalról; a biztonsági cégek azt szeretnék, ha minél biztonságosabb rendszereket tudnánk létrehozni, az állami hivatalos szervek viszont szeretnének hozzáférni ehhez a biztonsághoz.
A '90-es években Amerikában maga a kriptográfia még fegyvernek volt minősítve, emiatt exporttilalom alá esett.
„Nem adunk fegyvert ellenségeinknek, amit ellenünk tudnak felhasználni."
Zimmermann találmányának, a PGP-nek (Pretty Good Privacy) a története szolgál idevágó példaként.
A programozó-feltaláló a megoldását ingyenesen elérhetővé tette internetes weboldalon, emiatt a program külföldre is kikerült. Rögtön vádat emeltek ellene engedély nélküli fegyverexport miatt. Zimmermann próbálta bizonyítani a vád abszurditását. Kiadott egy könyvet az MIT-n keresztül, a könyvek írását ugyanis az alaptörvény a szólásszabadság körében védelmezi. Ebben a könyvben lehozta a PGP forráskódját. A kötetet el is adta külföldi terjesztőknek. '96-ban a vádat ejtették Zimmermannal szemben és a kriptográfiát átsorolták, levették a fegyver-listáról. 2001-ben kicsit enyhítették a publikálásra és exportra vonatkozó megkötéseket.
https://en.wikipedia.org/wiki/Phil_Zimmermann
https://en.wikipedia.org/wiki/Pretty_Good_Privacy
Hasonló történettel szolgál a Clipper chip esete. Telefonba kívánták beépíteni, olyan titkosítási rendszer elemeként, amellyel az ügyfelek biztonságosan kommunikálhatnak egymással. Ez a titkosítás egy mester-kulccsal az állam számára hozzáférést biztosított volna minden tartalom kibontásához. Sok támadás érte az ötletet. Kérdés volt, egyáltalán hogyan működik a rendszer, s ha nem tudjuk validálni, hogyan bízhatunk meg benne? A kriptográfiában alapvető követelmény ugyanis, hogy az eljárásnak ismertnek kell lennie, a biztonság nem az ismeretek másoktól való elzárásából származik.
Támadás érkezett maguktól a gyártóktól is, ez a chip túl nagy értéket képviselt volna egy telefonkészülék összköltségében. Az amerikai cégek hátrányba kerültek volna, ha ezt mindenképpen be kellett volna építeniük.
Az amerikai polgárok pedig féltek, hogy az állam illegálisan fogja lehallgatni őket.
Végül is publikálták a Clipper chip működését, rászálltak a kutatók, több hibát találtak benne, így alapból sem lett volna biztonságos megoldás, hiszen a mesterkulcs nélkül is támadható lett volna.
https://en.wikipedia.org/wiki/Clipper_chip
https://www.epic.org/crypto/clipper
http://www.nytimes.com/1994/06/12/magazine/battle-of-the-clipper-chip.html?pagewanted=all
A BullRun története még zordabb; itt maga az NSA publikált, sztandardizált szándékosan rossz kriptográfiát.
Amennyiben az általunk használt kriptográfián hátsó kapu található, s ezt valaki rossz szándékkal megtalálja, akkor az egész rendszer biztonsága veszélybe kerül. A rendszer gyenge pontja egy véletlen-szám generátor volt, ezek a generátorok állítják elő a kriptográfiában használandó kulcsokat. Gyenge kulcs esetén a titkosítás legalább olyan gyenge lesz, mint maga a kulcs.
https://en.wikipedia.org/wiki/National_Security_Agency
https://en.wikipedia.org/wiki/Bullrun_%28decryption_program%29
A tárgyalt történeteknek két oldala van. A társadalom számára nagyon fontos az egyének magán-szférája.
Fontos, hogy otthonunkba senki, az állam se tekintsen be, jöhessen be ok nélkül, de azt is elfogadjuk, mint társadalom, hogy ha nyomós indoka van a rendőrségnek, a megfelelő papírmunka után megjelenik a lakásnál, betörheti az ajtót és az összes irományt elvihetik, ellenőrizhetik, kereshetnek benne további bizonyítékokat.
Kérdés, jó-e az, ha létrehozunk fekete dobozokat, amelyekhez senki sem tud hozzáférni?
Másik oldalról, az eddig javasolt megoldások között mindig a mester-kulcs játszott vezető szerepet, ahol azt az állam tulajdonolta, s ezzel hozzá tud férni fájlokhoz. Node, maguk az államok sem mindenhatók, ez is feltörhető, fel is törték őket, s ha rossz kezekbe kerül a mesterkulcs, ezzel nagyon nagy hatalom is párosul, ami kétségessé teszi a társadalom biztonságát.
Tegyük fel, létrehoz az állam egy olyan rendszert, amiben mindenki megbízik, feltörhetetlen, és senki sem kérdőjelezi meg biztonságát. Ilyenkor még mindig van kétszáz ország, akiből választanunk kell, hogy ki az, aki hozzáférhet. Ha ezt is megoldottuk, van egy felettünk álló szerv, amit az egész globális társadalom elfogad.
A bűnözők azonban nem arról híresek, hogy betartják a szabályokat. Egy ilyen típusú biztosítási rendszert nagyon könnyű létrehozni, egy webfejlesztő első megbízása általában egy titkosított chat megoldás írása szokott lenni.
8-12 óra alatt ezt teljesíteni is szokták. Egy nagyobb erőforrásokkal rendelkező bűnözőnek nem nehéz létrehozni egy ilyen, a nagy rendszerektől különálló saját rendszert, amihez nincs másnak hozzáférése.
Minden új technológia több kérdést vet fel, mint megoldást. Feltehetően a társadalom talál majd egy olyan megoldást, ami mindenkinek megfelelő.
A négy éve működő Tresorit kft. titkosító fájl-megosztó szolgáltatást üzemeltet. A megoldás felhasználója mappákat hozhat létre, ezeket saját gépével szinkronizálhatja. A szolgáltatás különlegessége, hogy mindent a kliens oldalon titkosítanak, azaz, mielőtt a fájlok elhagynák a felhasználó gépét, titkosításra kerülnek. Ezen fájlok tartalmát csak azok tudják kiolvasni, akikkel a felhasználó azokat megosztotta, a szolgáltató maga sem képes erre.
https://tresorit.com
http://insiderblog.hu/startup-adatbazis/?p=46181
Vaspöri Ferenc kiemelt ügyfélmenedzser, (NewCo ICT Security Services Kft., a VirusBuster egyik utódcége)
a beszállítói oldal képviseletében a mobil biztonságról, annak céges bevezetéséhez szükséges eszközökről, a Mobil Device Management-ről és Enterprise Mobility Managementről szólt.
Az idén tizenegyedik alkalommal meghirdetett az „Év információbiztonsági újságírója" címet az Egyesület rendes tagjaiból álló bíráló bizottság döntése alapján Bolcsó Dániel kapta. Az egyesületi fórumon tartott előadása
„Kórház a vírus szélén – a zsarolóvírusok trendjei és behatolásuk a fősodorba" címmel hangzott el.
A fórum utolsó előadását Bőhm Kornéltól halhatták a megjelentek, „Kríziskommunikáció adatvesztés után" címmel.
Harmat Lajos
