Tietoturva

All + All -

Tietoturva

Lyhyesti: Tietoturva kattaa kaiken ja tunkeutuu kaikkialle. Se on vaikea, monisäikeinen asia. Ymmärrä tämä ja ymmärrä jättää tietoturva asiantuntijoille, jollet ole itse sellainen.
+ - 0. Yleistä
- Mitä on tietoturva?
- Miksi tietoturvaa?
+ - 1. Tiedon turvaaminen
- 1. Yleistä
  - + - Lasten leikit
    - konttikieli
    - koodiavain
    - intiaanikielet
      - suomi
    - morse
    - sanojen välikirjainten sotkeminen
      - väärinpäinvaihto
    - Artemi Fowl
    - taajuusanalyysi
  - + - Tiedon piilotus
    - päänahka
    - hajautus
    - steganografia
  - Alice, Bob, Carol ja Eve
  - + - Mitä turvaa ei käsitellä
    - Entä jos magneettikuvaus grillaa aivot?
    - Entä jos viirus tyhjentää kiintolevyn?
- 2. Salaus
  - kukaan muu kuin asianosaiset ei pysty selvittämään viestin merkitystä
  - + - algoritmit
    - salausalgoritmi muuntaa viestin salattuun muotoon avaimen avulla
    - avausalgoritmi muuttaa salatun viestin avattuun (alkuperäiseen) muotoon avaimen avulla
    - salainen avain
      - symmetrinen algoritmi, salaus ja purku samalla avaimella
    - + - julkinen avain
      - asymmetrinen algoritmi, salaus ja purku eri avaimilla
      - julkinen avain viestin salaamiseen, yksityinen viestin avaamiseen
      - Esimerkkialgorimi: RSA
    - elliptiset yhtälöt
  - + - murtaminen
    - brute force
    - + - black-box analyysi
      - salausalgoritmia ei tunneta, joudutaan tutkimaan syötteitä, tuloksia ja ympäristön muutoksia
      - satunnaisuus
      - kellonaika
      - oudot syötteet
      - oudot avaimet
      - security by obscurity
    - + - white-box analyysi
      - salausalgoritmi tunnetaan, joten myös se voidaan analysoida syötteiden, tulosten ja ympäristön lisäksi
        ainoa keino saavuttaa turvallinen, kestävä salaus
    - "tilastollinen" hahmon tunnistus
    - matematiikan perusteet
    - + - maailmankaikkeuden energian puute
      - maailmankaikkeudessa ei ole tarpeeksi energiaa vahvojen salausmenetelmien murtamiseen nykyisillä menetelmillä
        kvanttikone?
- + - 3. Eheys
  - viestin muuttumattomuus voidaan osoittaa
  - + - hash, tiivistys
    - lasketaan viestille (viestiä lyhyempi) tunnusluku, joka on (lähes) yksikäsitteinen
      jos yksikin bitti viestissä muuttuu, muuttuu tunnusluku, mieluiten suuresti
      voi olla mahdollista, että kaksi viestiä saa saman tunnusluvun, mutta tämä on äärimmäisen harvinaista
      Esimerkkialgoritmeja: MD5, SHA
  - salaus on yksi mahdollisuus eheyden varmistamiseen
- + - 4. Varmennus
  - viestin osapuolet ovat ketä he väittävät olevansa
  - salasana
  - jaettu salaisuus
  - sertifikaatit
- + - 5. Kiistämättömyys
  - viestin lähettämistä tai sisältöä ei voi jälkeenpäin kiistää
+ - 2. Turvallinen toteuttaminen
- + - yleiset viat
  - puskuriylivuoto
  - liian tehokkaat ohjauskielet
  - muistin puhdistus käytön jälkeen
- + - käyttöoikeudet
  - ACL
  - capability
- tietoyhteyksien ja tiedon salaus
+ - 3. Riskejä
- Tässä on kasattu joukko riskejä ja "riskejä", aika yleisesti, joten päästäkää mielikuvituksenne valloilleen.
  Muistakaa, että "riskit" muuttuvat riskeiksi, kun tieto on tarpeeksi arvokasta. Totuus on tarua ihmeellisempää.
  + - normaalit riskit
  - joukko riskejä tyyliin "olisihan tuotakin pitänyt ajatella"
  - + - ihmisen huolimattomuus
    - + - työasioista puhuminen kännykkään julkisella paikalla
      - esimerkkinä vierailu paikallisessa ruokakaupassa: eräs täti oli ostanut bluetooth handsfree-kuulokkeen ja hoiti työasioitaan kauppa-asioiden lomassa puhutellen avoimesti asiakasta nimellä ja kommentoimalla tämän yksityisasioita
    - luottokortin numerot poisheitetyissä kuiteissa
    - kavereiden kanssa jutustelu
    - kaikki paperit ja levykkeet eivät kuulu tavallisiin roskiin
  - + - yritykset
    - työhaastattelut, joissa kerrotaan kaikki firman "salaisuudet"
    - vierailijoiden kierrättäminen
    - firman esitemateriaali, valokuvat, verkkosivut
    - tuotteiden joukkoon unohtuneet salaisuudet
    - + - työntekijä, vanha, nykyinen tai uusi
      - onko vanha työntekijä menossa kilpailijalle töihin?
      - onko uusi tulossa kilpailijalta?
    - kilpailijat ja alihankkijat
    - + - laitteistot
      - kannettavat
      - työntekijöiden kotikoneet
      - poistetut
      - sisäverkko, ulkoverkko, yhteys internettiin
    - konferenssit, seminaarit
    - pikkujoulut :)
  - kännykät ja kannettavat, bluetooth, wlan...
  + - "x-files riskit", salaliittoteoriat
  - joukko riskejä, jotka tuntuvat ylilyönneiltä, mutta...
    + - yritys
    - + - vakoilu
      - ikkunat, vastapäisessä kerrostalossa ei välttämättä vain asuta
      - + - salakuuntelu
        onko verkossa luvattomia kuuntelijoita, laitteita
        Monitorit säteilevät kuvansa radioaalloilla. Kuvaa on kohtuullisen helppo salakatsella jopa kotitekoisilla laitteilla.
    - mihin vanha materiaali joutuu
    - mistä uusi materiaali on saatu
    - ovatko käytetyt työkalut "puhtaita"
    luottokorttinumerot, etukortit
    katuvalvonta, katsokaapa vaikka Helsingissä, kuinka paljon metallisia lintupatsaita on ilmestynyt talojen seiniin
    kameran voi piilottaa jo vaikka vahvistimen säätönappeihin
    Echelon
    kännykät ja kannettavat, bluetooth, wlan...
+ - 4. Tietoturvan toteuttaminen
- Pahasti kesken!!!!!
- + - Sovelluskehitys
  - Tietoturva huomioitava jo ennen analyysivaihetta!
  - Huomioitava myös kaikissa myöhemmissä vaiheissa.
  - + - Ohjelmoinnin perinteiset kömmähdykset
    - + - Tarkista, ettei missään voi muuttaa muistia varatun alueen ulkopuolella.
      - + - Vaarallisia funktioita (C, mutta vastaavat muissa kielissä)
        strcpy ja kumppanit: korvaa strncpy ja vastaavilla
        
        scanf, printf, puts, gets ja kumppanit
        
        taulukkoviitteet
        
        muistin kopiointi ja siirto
    - + - Huolehdi muistin puhdistamisesta. Joskus pelkkä nollaaminen ei riitä!
      - oma malloc, free ja vastaavat
    - Eihän tallennus tallenna ylimääräistä tietoa?
    - + - Älä mahdollista liikaa, vertaa Microsoft ja sähköpostiviirukset.
      - C: system, exec ja kumppanit
      - + - Java: java.lang.Runtime, JNI
        Muista: java.lang.SecurityManager
- + - Laitteisto
  - Kiinteä
  - Liikkuva
  - Infrastruktuuri
- + - Ympäristö
  - Ihmiset
  - Kiinteistöt
  - Tavat
+ - 5. Ongelmat
- security by obscurity
- ihminen
- Schneier: piikkilankaa ja aseistettuja vartijoita
- Neal Stephenson: Cryptonomicon