Лаб1ОИБ. ЛАБ1. Конфиденциальность, целостность, доступность
 Скачать 10.68 Kb.
|
|
Лабораторная работа 1 Тема: Конфиденциальность, целостность, доступность. Чебоксары 2021 Лабораторная работа 1. Конфиденциальность, целостность, доступность Опишите безопасность информационного ресурса с точки зрения конфиденциальности, целостности, доступности. Цель: научиться определять критерии защиты информации со стороны конфиденциальности, целостности, доступности. Оглавление Конфиденциальность,целостность,доступность. Telegram Telegram представляет собой платформу для обмена мгновенными текстовыми сообщениями на базе протокола безопасности MTProto. Компания была основана в 2013 году, а сам мессенджер на данный момент имеет более 100 миллионов активных пользователей. Одна из главных целей Telegram – защита пользователей от слежки. Утверждается, что у этого мессенджера наилучшая защита на рынке и железобетонные гарантии безопасности среди приложений подобного рода. MTProto — криптографический протокол, используемый в системе обмена сообщениями. Протокол был разработан Николаем Дуровым и другими программистами Telegram. В основе протокола лежит оригинальная комбинация симметричного алгоритма шифрования AES (в режиме IGE), протокол Диффи-Хеллмана для обмена 2048-битными RSA-ключами между двумя устройствами и ряд хеш-функций. Протокол допускает использование шифрования end-to-end с опциональной сверкой ключей. Протокол Ди́ффи-Хе́ллмана (англ. Diffie–Hellman, DH) — криптографический протокол, позволяющий двум и более сторонам получить общий секретный ключ, используя незащищенный от прослушивания канал связи. Полученный ключ используется для шифрования дальнейшего обмена с помощью алгоритмов симметричного шифрования. К сожалению протокол MTProto выдает в общем объеме трафика именно трафик мессенджера. Так многие спец службы определяли в какое время, и кто обменивается сообщениями и могли взламывать незащищённые чаты. Недавно стало известно, что трафик Telegram маскируется под протокол HTTPS, что значительно усложняет выделять его из общего трафика, тем самым затрудняя доступ к информации. К сожалению, по длине пакетов всё же можно выявить трафик Telegram, но разработчики работают над этой проблемой, добавляя случайные байты в пакеты данных и изменяя префиксы. Атака на протокол MTProto Зеркальная атака и атака повтором До 16-й версии протокола клиенты были вынуждены доверять серверу сохранять порядковые номера сообщений, а сами сообщения не обладали подобным механизмом. Но это означало, что сервер злоумышленника имел полный контроль над потоком сообщений. Сервер не имел возможности читать передаваемую информацию, но мог удерживать сообщения, менять их порядок, отправлять их снова. В случае если хотя бы один из клиентов использует протокол версии 16 и ниже, чат является незащищенным от такого типа атак. Timing-атака Данный вид атаки использует временной интервал между отправкой сообщения и приемом ответа об ошибке. Большинство пользователей Telegram использует его на мобильных устройствах со слабым сигналом, по этой причине проверка подлинности сообщений замедляется (время, за которое процессор обработает информацию, много меньше времени её получения). В Telegram проверки проходят в следующем порядке: Полученный auth_key_id сравнивается с хранящимся на устройстве. После дешифрования длина полученного сообщения должна быть больше 0 и меньше количества полученных байт. Вычисляется msg_key и сравнивается с полученным. Проверяются порядковые номера сообщений с локальным счетчиком. Процесс дешифрования моментально прерывается в случае выявления ошибки. Для осуществления атаки необходимо отправить сообщение в секретном чате, но зашифрованный пакет заменить на случайную последовательность. В результате проверок получатель не подтверждает получения сообщения и в окне отправителя данное сообщение навсегда останется непрочитанным. Архитектура Как и многие аналогичные приложения Telegram следует традиционному подходу и использует облако для хранения данных. То есть, если злоумышленник сможет получить контроль над сервером, то получит (как минимум) доступ к незашифрованным сообщениям и ко всем метаданным. Пользователи обмениваются информацией по методу Диффи-Хеллмана для создания общего ключа, который затем используется при передаче сообщений. Коммуникация с сервером осуществляется при помощи публичного RSA-ключа, который прописан внутри клиента Telegram и меняется достаточно редко. Telegram используется протокол собственной разработки MTProto, который не использует множество традиционных подходов при обмене сообщениями. Создатели Telegram утверждают, что подобный подход используется с целью улучшения производительности, однако у многих экспертов по безопасности на этот счет есть большие сомнения. Типы чатов в Telegram Рассмотрев методы шифрования всё не кажется таким уж безопасным, но это не совсем так. Telegram имеет небольшое разделение типов своих чатов: секретные и обычные. И именно в этом и кроется хитрость. Обычный чат Работает по принципу человек-сервер-человек, это значит, что данные шифруются, отправляются одним человеком на сервер, там сохраняются и пересылаются дальше. Однако в таком случае сервер может выступать (и скорее всего выступает) перехватчиком сообщений. Секретный чат Работает по такому же принципу, за исключением того, что данные попадают не на сервер, не в облачные хранилища, а хранятся только на устройствах отправителя и получателя, исключая таким образом вмешательство третьей стороны. Именно поэтому на все требования властей предоставить ключи шифрования, этого сделать физически не возможно. Расположение Несмотря на то, что офис Digital Fortress находится в городе Буффало, штат Нью-Йорк, команда Telegram размещается не там. Главный офис Telegram находится в Берлине, хотя в ноябре 2013 года Bloomberg называл Telegram «Moscow-based». По словам представителей сервиса, размещение на территории Германии делает их независимыми «как от АНБ, так и от КГБ». Облачные сервера, на которых размещаются данные Telegram, находятся в пяти разных местах по всему миру. Европейских пользователей обслуживает дата-центр в Лондоне, азиатских — в Сингапуре, а мексиканских — в Сан-Франциско. Центрального хранилища не существует: все они работают независимо, и пользователя могут переключать между разными дата-центрами. Физический доступ сотрудников к серверам Данные в дата-центрах хранятся на жестких дисках в зашифрованном виде. В Telegram заявляют, что даже проникновение в дата-центр и физический доступ к дискам не позволит получить данные переписки пользователей: каждый кластер зашифрован специальным ключом, который хранится в другом кластере под иной юрисдикцией. А ключ, дающий доступ к секретной переписке пользователя, хранится только на его устройстве и нигде больше. Список защищаемой информации Все хранимые данные тщательно зашифрованы, а ключи шифрования хранятся в другом месте в другой юрисдикции. Конфиденциальная информация Telegram — облачный сервис. Telegram хранит сообщения, фото, видео и остальные файлы из обычных (не секретных) чатов на серверах, чтобы получить доступ к ним в любое время, из любого клиента. Все хранимые данные тщательно зашифрованы, а ключи шифрования хранятся в другом месте в другой юрисдикции. Таким образом, никто, будь то персонал или злоумышленник, не сможет получить доступ к пользовательским данным. При отправке фото, видео или файла в секретный чат, файл шифруется с помощью ключа, не известного серверу. После этого сам ключ и расположение файла шифруется ещё раз, — на этот раз ключом самого секретного чата, после чего всё это отправляется собеседнику. Теперь он может получить и расшифровать файл. Это значит, что технически файл находится на серверах Telegram, но фактически он выглядит как набор несвязанных зашифрованных символов, расшифровать которые можете только вы и ваш собеседник. Персонал Telegram, не можем ни расшифровать файл, ни определить, кому именно он принадлежит. Зашифрованные файлы периодически удаляются с сервера. Персональные данные По ряду причин Telegram использует телефонный номер в качестве уникального идентификатора. Мы спрашиваем разрешение, прежде чем синхронизировать контакты. Telegram хранит контакты с целью оповещения, если кто-либо из них зарегистрируется в Telegram, и чтобы корректно отображать их имя в уведомлениях. При включении двухэтапной авторизации, будет предложено установить адрес e-mail для восстановления пароля. Telegram использует этот адрес только для восстановления пароля, без исключений. Авторское право Владельцу авторского права необходимо подать свою жалобу по этому адресу dmca@telegram.org. Но не факт, что письмо найдет отклик. Во многом это связано с нехваткой времени и административных средств в условиях ежеминутно плодящихся каналов. Еще одним затрудняющим фактором является правовая безграмотность или пассивность владельцев авторского права, поскольку жалоба может быть рассмотрена только при наличии документа, юридически подтверждающего факт нарушения прав. Открытый код Исходный код существующих клиентов Telegram (для Android, iOS и командной строки Linux) открыт и свободен для скачивания и изучения. Он лицензирован по GNU GPL 2.0, что даёт любому пользователю свободно изучать, модифицировать его и использовать — в том числе для коммерческих целей. Однако крупные корпорации могут столкнуться с проблемами при внедрении протокола передачи данных MtProto, разработанного Николаем Дуровым и используемого в Telegram: его запрещено использовать в компаниях, где выручка распределяется не только между членами команды, но и акционерами. Доступность Сервера Telegram работают беспрерывно 24 часа в сутки 7 дней в неделю. Бывают редкие исключения, когда сервера падают. Например, Во время истерии с четырёхчасовым «падением» WhatsApp, подогретой продажей мессенджера нелюбимой многими корпорации Facebook, пользователи начали массово регистрироваться в Telegram. Если до этого в день прибавлялось 300-400 тысяч новых пользователей, то продажа WhatsApp Фейсбуку подняла эту цифру почти до миллиона в день. За сутки после происшествия Telegram получил около 5 миллионов новых регистраций. Такая скорость роста ожидалась не раньше, чем через два месяца. Создатели сервиса не ожидали такого наплыва: серверы могли выдерживать около 1 миллиона новых пользователей в день. В результате Telegram не выдержал и тоже ушёл в офлайн на 2 часа для европейской части аудитории. |