אבטחת מידע
פרקי ההרצאה: אבטחת מידע
תמלול ההרצאה: אבטחת מידע
הטקסט המלא של הדקות הראשונות בהרצאה «אבטחת מידע» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.
אוקיי, שלום לכולם. בשיעור הזה אנחנו נדבר על Software Security, על אבטחת מידע, ונעסוק קצת בתקשורת ומה הקשר בין עולם הבדיקות לאבטחת מידע.
אז הנושא הזה של אבטחת מידע הוא נושא מאוד רחב. אנחנו נדבר יותר מהכיוון של אנשי הבדיקות, ולשם כך אנחנו נלמד כמה מושגים. בואו נתחיל עם הראשון.
בטח שמעתם על האקר, מה זה האקר, אחד שפרוט למחשבים, אבל המושג הזה לא בדיוק מדויק, זה בעצם מושג שמשמש לתיאור סוגים שונים, של אנשים שהם מומחי מחשב.
הם מומחי מחשב בגוון שהם בעלי ידע טכני באיך לעקוף גבולות בעולם המחשבים. כדי לעקוף גבולות בעולם המחשבים, כדי להיכנס לקרביים של שורות קוד של תוכנה, אתה צריך להיות מומחה בשדה התכנות.
אתה צריך לדעת שפעות תכנות ברמה ממש טובה ויכולת לכתוב בצורה כזאת שיכולה לעקוף גבולות של תוכנות ולהתעכב בזה לאחר מכן.
אז זה האקר. יש עוד מותג שנקרא קראקר, קראקר בדומה להאקר הוא בעצם האיש הרע, הוא משתמש בידע הזה לחדור לתוכנות בצורה מזיקה, כלומר גם הוא בעל ידע ומומחיות בתחום המחשבים והתכנות, אבל יש לנו פה כובע לבן שזה האיש הטוב, ההאקר שהוא באמת מומחה,
מי שמשתמש במומחיות שלו בגוון הפלילי להזיק הוא כובע שחור, הוא הקראקר. בשונה מההאקרים, הקראקרים הם אלו אשר ידועים בפריצות למערכות מחשבים, כמו שאתם רואים בסרטים, ללא רשות, שפה זה כבר נהיה פלילי.
לפיכך, פעילותם של הקראקרים מהווה בעצם עבירה על החוק. קראקרים מסוגלים לחדור למחשב נייד דרך חיבור של רשתות אלחוטיות.
מה זה רשתות אלחוטיות? מחשבים ניידים היום מחוברים לרשת האינטרנט דרך כרטיסי רשת, שנקראים Wi-Fi, נדבר על זה בהמשך. יש תוכנות שנקראות סניפר שבעזרתם אפשר לחדור לרשתות אלחוטיות אם הן לא מאובטחות.
אז מה זה סניפר? סניפר או בשם המלא שלו פאקט סניפר זה סוג של תוכנת מחשב שמסוגלת ליירט ולהציג רישום פעילויות תקשורת דיגיטלית שמתרחשות בין שני מחשבים.
עכשיו המושגים האלו, זה לא צריך לבלבל אתכם, כל מיני מושגים מפוצצים במחשבים, רק שתבינו, תוכלו לדבר עם אנשי פיתוח, סניפר זו תוכנה שמסוגלת להראות לי ויזואלית איזה סוג של מידע, איזה סוג של דאטה עבר ממחשב למחשב.
עכשיו אני יכול להשתמש בתוכנות, יש תוכנה של מקפיא של וויירלס, רשת אלחוטית, וויירלס זה רשת אלחוטית, Home Networks Security.
אם אני מקים רשת אלחוטית בבית, אז אני יכול להתקין תוכנה שהיא עושה פרוטקט, היא מגינה על הווי-פיי נטוורק, על הרשת האלחוטית שלי, מהאקרים, אינדייטיפייט זיפט מגנבים בלתי מיזויים ומאן אוטורייז יוזרס ממשתמשים בלתי מיזויים אז מה זה בעצם וי פאי יש כאלה שקוראים לזה וי פי אבל זה בעצם וי
פאי זה רשת עברות של וויירלס פידליטי וויירלס פידליטי אנחנו נגיע לזה בהמשך זה תרגום של זה זה נאמנות אלחוטית נקראת וי פאי אני חוזר לשקף הקודם זה בעצם סוג של תקן להקמת רשת אלחוטית במרחב מקומי באנגלית זה נקרא Wireless LAN, שזה נקרא Local Area Network, רשת מקומית באזור או רשת אלחוטית במרחב המקומי.
הרבה מחשבים ניידים היום נמכרים כשהם מכילים בתוכם כרטיסי רשת, אדפטורים כאלה, שנקראת Wi-Fi, ולכן מחשבים ניידים מסוגלים להתחבר לרשתות אלחוטיות.
הם צריכים להיות בתוך אזורים שנקראים hot spot, נקודות חמות בעברית. מה זה אומר? זה אזור ציבורי או מסחרי שיש בו, מוצעות בו נקודות גישה אלחוטיות לאינטרנט.
כלומר, אתם מסתובבים עם הנייד שלכם שיש בו את הכרטיס ה-200 רשת של ה-Wi-Fi, ואתם יכולים ליהנות מאינטרנט בחינם, שכאילו זה נמצא באוויר, התדר הזה.
לפעמים זה בחינם, לפעמים זה עולה בתעריף. הגלישה באינטרנט נעשית באמצעות חיבור במוחשב הנייד לנקודה חמה. זה לפעמים יכול להגיע גם לטווחים של 400 מטר בשטח פתוח, מה הכוונה?
יש לנו נקודות חמות בישראל, יש לנו מפה כזאת, אתם יכולים למצוא דברים כאלו באינטרנט. לדוגמה, בירושלים, באזור רחוב בן הלל, יש לנו בתשלום חינם, פתוח לגלוש, או באזור המושבה הגירעונית בירושלים, גם גלישה בחינם, ובבית הדפוס גם, ופשוט הסבר איפה כל האזורים האלה. אם אתם עם מחשב נייד באזורים האלה,
יש לכם גלישה בחינם דרך האינטרנט, דרך כרטיס Wi-Fi. אוקיי, אז נקודה חמה, היא בעצם כינוי שניתן לנתב האלחוטי של רשת וי-פיי.
צרכנים מזדמנים שמסתובבים עם הניידים שלהם יכולים להתחבר דרכו לאינטרנט, זה מה שהיה לנו עד עכשיו. עכשיו, ברחבי העולם מותקנות במקומות ציבוריים רבים נקודות חמות בתקן וי-פיי שפתוחות לציבור הרחב, זה ניתן בחינם או תמורת תשלום נמוך.
כל אדם יכול להתחבר דרך הנקודה באמצעות המחשב האישי שלו או עזר דיגיטלי כמו מחשב כף יד כמו PDA, פורטובל, אני לא זוכר באותה רשת דברות של זה, אלא אם זה אינטרנט, פורטאבל דיווייס, אני כבר לא זוכר.
מה זה נקודת גישה? נקודת גישה זה עוד נושא בתחום רשתות מחשבים, שזה בעצם מכשיר כמו נתב שיוצר את התקשורת האלחוטית בין המחשבים השונים כדי ליצור רשת אלחוטית.
כלומר, כדי לגשת לנקודת גישה יש צורך בכרטיס רשת, על זה דיברנו, זה ה-Wi-Fi, כרטיס רשת אלחוטי, נמצא בטווח תדרים שמתאים ותומך בתקן של הרשת ה-LAN, רשת ה-Local Area Network.
למה אני מתכוון? זה לדוגמה, במחשב נייד, אתם רואים פה את המחשב נייד בצד ימין, זה האזור של המחשב נייד, יש לנו נוטבוק אדפטר, כרטיס רשת, שנראה ככה, ככה נראה הכרטיס הזה.
אתם רואים פה את הקצה השמאלי שלו, זה בעצם מה שמחובר פה למחשב הנייד. זה המחשב הנייד, אני מחבר את הכרטיס רשת הזה, קוראים לו תקן 802.11, יש לנו תקנים בוויירלס, תקנים לטכנולוגיה תלכותית, יש לנו תקן A, תקן B ותקן G, זה בעצם שלושה דורות שונים, ועוד מעט נעמוד עליהם, מה ההבדלים ביניהם.
מה זה ראוטר, או בעברית נתב? זה עוד מכשיר שצריך להרים טכנולוגיה תלכותית, אז ככה נראה הנתב מדגם B, ככה הוא נראה, זה עוד דבר שצריך כדי להרים את הרשת הזאת.
התקנים האלה שדיברנו עליהם הרגע, תקן 802.11, תקן של איגוד התקינה של המהנדסים האמריקאים בגרסאות A, B ו-G. אלה בעצם שלושה סטנדרטים לרשת אלחוטית שנתמכים על-ידי ועדת התקינה של ה-IEEE.
הראשון הוא בעצם, זה לא נכון שהראשון זה B, הראשון הוא A, אבל ההבדלים ביניהם הם שרשתות B מסוג B פועלות בתחום התדרים של 2.4 ג'יגה-הרץ, שזה כמו טלפונים מלכותיים בבית.
למוצרים מסוג B יש טווח של 80-50 מטר ואפשר לגלוש בהם במהירות של עד 4-6 מגה. הסטנדרט האחרון שפותח, שהוא המהירות הגבוהה ביותר, הוא דגם ה-G והמוצרים שפועלים באותו תחום תדרים אבל במהירות גבוהה יותר מה-B.
בסביבה ביתית, כשאתם מכירים רשת ביתית בתוך בית, בה התדר, האות, צריך לעבור דרך קירות, ל-B חסר רוחב פס ולכן ה-G מסתמן כפתרון הטוב ביותר.
המספרים של ה-G עולים רק במעט יותר מה-B ולכן הם שמישים יותר למי שנזקק לתמיכה בנקודות חמות ציבוריות שברובן תומכות רק ב-B, כלומר עדיף לקנות את ה-G, את הדור האחרון.
פה אנחנו רואים בית שיש בו, הנה ה-Wireless PCI Card, זה הדגם שראינו מקודם, החיבור למחשב. אז איך אנחנו מקיימים רשת בבית? יש לנו פה את הראוטר, יש לנו פה עוד PCI, אבל זה לא הנקודה.
היא שכדי לעשות רשת אלחוטית שמחוברת לאינטרנט בתוך הבית, אנחנו צריכים חיבור לאינטרנט, אנחנו צריכים מודם, אנחנו צריכים ראוטר, נתב, חומת אש, שזה firewall, הגנה על האבטחה,
תחנת קצה, שזה המחשב או הלפטופ, וכרטיס אלחוטי למחשב, שזה האדפטור PCI-Cart, שזה בעצם הכרטיס רשת. אז מה זה, בהיבט של האבטחה, זה קצת אחרי שלמדנו מושגים בתקשורת, מהי נקודת הגישה?
פקודות גישה ישנות לא יוכלו לרוב להבחין ולזהות אם למשתמש מסוים יש אישור גישה לרשת כן או לא. כלומר, זה שיש לי נתב שמאפשר לי גישה לרשת, כולם יכולים להתחבר, אבל אני עדיין יכול מתוך לפטופ אחד לחדור ללפטופ אחר אם אין לי הגנה, ואז יתפתח באבטחת מידע המושג של גנבי רשתות,
כלומר LAN-Jacking, Local Area Network Jacking, חטיפות. הם חודרים, אם אני לוקח באופן תמים לפטופ יושב במסעדה, מישהו אחר עם תוכנה של סניפר יכול לחדור אלי ולראות את המידע שיש לי על המחשב, איך אני מתגבר על זה ומה ההיבט של זה כשזה קשור לעולם הבדיקות.
אז כתגובה, הוקמו כמה שיטות אבטחה. יש כל מיני מקודדי אבטחה מסוג WPA ו-WEP ו-WPA2, לא ניכנס לזה אפילו, ויש גם מערכת חדשה לאימות נתונים שאמורה להגביר את האבטחה ברשתות אלחוטיות.
אבל מה אפשר לעשות בעצם? דרך אגב, יש היום גם טלפונים של חברת "בלקין ווי-פיי פונס", זה מכשיר סלולרי שעובד בשיטה של וי-פיי. זאת אומרת, אתם יכולים להתקשר דרך סקייפ בחינם, פשוט קונים את המכשיר, 150 דולר, ואתם יכולים לדבר עם כל אחד בחינם שיש לו את הסקייפ, והחיבור לאינטרנט מבוסס על זה שזה דרך כרטיס
רשת של הווי-פיי. עכשיו, כדי להבין בעצם איך למנוע האקר צריך לעשות Understanding של המוטיבציה שלו. מה המוטיבציה של האקר? אז כבודקי תוכנה אנחנו ננסה להבין מדוע קראקר ירצה לפרוץ למערכת, ורק לפי ההבנה של האינטרס שלו נוכל לנסות לאתר את נקודות החולשה בתוכנה שלנו בהיבט של אבטחת מידע.
אז מה מניע האקר? אז דבר ראשון, עד כמה שזה נשמע מטופש, האקר פורץ לתוכנות בגלל שהוא יכול, אבל בגדול זה אנשים גאונים, גישה קצת קטע של להוכיח, הם מנסים להשיג פרסטיג'ה בקרב החברים לקהילה שלהם דרך האינטרנט, להראות שהם מסוגלים לפצח את האתגר ולהשיג בזה כבוד.
עוד דבר שמניע אותם זה סקרנות. הם רוצים לחטט במידע אצלנו, במערכות שאנחנו פיתחנו, שהוא בעל ערך, כמו לדוגמה חשבונות, כרטיסי אשראי, מידע בנקאי.
עוד דבר שהוא יכול לעשות זה מינוף עצמי, כלומר הוא יכול להתערב בתוכנה ולהעביר כסף מחשבונות בנק בתוכנות פיננסיות.
עוד דבר שהוא מסוגל לעשות זה ונדליזם טהור לשמו מה זה ונדליזם בנוגע לקראקרים הוא יכול לעשות די פייסינג כלומר פייסינג זה פנים צורה די פייסינג זה שינוי צורה כלומר הוא יכול להיכנס לאתר האינטרנט ולבצע שינוי מראה של אתר אינטרנט התקפות על אתר האינטרנט הוא יכול לבצע דיסטראקשן הרס כלומר מחיקה או
שינוי של קבצים בשרת שלנו בתוך המערכות הפנימיות שלנו במחשבים שלנו הנה דוגמה לאתר מהפיליפינים שהכתובת שלו היא www.sist.gov.ph עכשיו האתר הוא פעיל, איך הוא נראה כשעושים עליו התקפה של די פייסינג בוונדליזם, האתר בעצם נחטף, כתוב פה בצד ימין למטה,
ההאקר נכנס, כתוב פה hacked by reverse 99 והוא בעצם שינה, הוא הוציא, ככה האתר נראה במקור שלו, הוא הוציא את כל המידע, השאיר את המסכה הזאת פה והשאיר את הכתובת Hacker Defacing Local Government Site, הוא נכנס לאתר ממשלתי ועשה האקס, הוא עשה דיפייסינג, זה דיפייסינג,
הוא פשוט הוריד את התכנים של האתר על ידי חדירה והוא שינה את הקבצים, את האתר של האינדיקס, את האתר הראשון. עוד סוג של התקפה נקראת Denial of Service, אנחנו לא ניכנס לזה פנימה, זה מאוד עמוק, אבל עקרון הרעיון של זה זה לגרום למניעה או עיכוב במערכת שנפרצת מהמטרה המקורית שלה.
מה הדוגמה? לדוגמה איזה אתר על משרד האלקטרוני, אז הוא יבצע הצפה של אתר על משרד האלקטרוני. איך הוא יבצע הצפה? הוא יכניס תעבורת נתונים מוגדלת.
כאילו המון המון אנשים מנסים להיכנס ולהירשם ולקנות באתר, ה-overloaded הזה גורם ל-flat, גורם להצפה, דבר שבסופו של דבר גורם או להאטה של האתר, או יותר חמור, לקריסה שלו, של המשרדי הנתונים של האתר, וזה נקרא denial of service.
בשעה שההקלטה הזאת מתבצעת, יש בערך 40-50 אלף התקפות כל יום על אתרים ישראלים, אתרי רשות כמו אתרים ממשלתיים על ידי כל מיני גורמים עוינים לישראל.
זה נקרא התקפת denial of service. עוד דבר שיכול להניע האקר זה גניבה ישירה. כלומר הוא ינסה לבצע גניבה ישירה של מידע בעל ערך, כמו לדוגמה מספרים של כרטיסי אשראי, או להיכנס למערכות אימיילים ולהוציא מידע אישי, או כל דבר שהוא בעל ערך וניתן למכור אותו.
גניבה ישירה זה פלילי. מה המציאות כיום בהיבט של הבדיקות? אנחנו צריכים להבין שקראקרים בכל רחבי העולם מנסים מדי יום לחדור למערכות תוכנה. אז איך אנחנו כאנשי בדיקות אמורים להתגבר על זה ולעזור לצוות הפיתוח למנוע את זה מההיבט של בדיקות בגבם של אבטחת מידע?
אז אנחנו צריכים שוב ללבוש את הכובע של הטסט ופייל, בדיקות עד לכישלון, ולנסות לאתגר את התוכנה מהשילוב של הבדיקות תוכנה כמו שהאקר בעצמו היה עושה.
כדי להגיע לרמה כזאתי, אנחנו צריכים להבין, כדי לדבר גם בשפה של המהנדסי פיתוח, להבין את המושג buffer overrun, או בעברית גלישת חוטא. אז מה זה buffer? מה זה חוטא?
buffer זה מרחב זיכרון זמני, כלומר מין סוג מסוים של אינטג'ר משתנה שאני יכול להכניס לו נתונים, שהוא בתוך תוכנית מחשב, בתוך שורות קוד. לפני שאני נכנס פנימה ומסבך אתכם, אל תתרכזו במידע המאיים שבזה.
אסור רק להבין, אתם צריכים להבין מה זה באפר אובראן. באפר אובראן זה חוצץ שמשמש לאחסון מידע לפני שהוא מועבר למקום קבוע. לדוגמה, אם הכנסת ססמה ארוכה מעבר לדרישות שהוגדרו, יש לנו גלישת זיכרון, יש לנו באפר אובראן.
כלומר, אם לדוגמה הכנסתי בתיבה של טקסט ססמה, יכולה להיות עד שמונה תווים, עד שמונה אותיות, אם הכנסתי מעל שמונה אותיות, אם תכנתתי בקוד פשוט בלי שהמתכנת מודע לבעיה של הבאפר אובראן, לבעיה של הגלישת חוצץ יכול להיווצר לי מצב שבטקסט העודף מעבר לשמונה תוויות שהוגדרו הוא הצליח להכניס קוד זדוני שמסוגל להתערב ברמת המערכת
וליצור נזק שהאקר יכול להכניס קוד זדוני שיכול לגרום לו לשלוט במערכת התוכנה. כלומר משתמשים זדוניים כמו האקרים עלולים לנסות לנצל את גלישת החוצץ ולקבל הרשאות גבוהות יותר מאלו שהוקצו להם לדוגמה בהרשאות משתמש או ברשות האדמיניסטרטור.
כלומר הוא יכול בעצם להיכנס לתוך התוכנה שלי ולהכניס כל מיני דברים שמבצעים נזקים בתוך התוכנה. אז גלישת חוצץ זו פרצת אבטחה חמורה מאוד. אז מה אנחנו צריכים לעשות כאן כשבודקי תוכנה?
אנחנו צריכים לוודא כי לתוכנות שנכתבות ונבדקות בצדדיות יש סיכוי נמוך יותר להיפרץ על ידי השיטה הזו. אנחנו צריכים לוודא שהתוכנה בודקת את הקלט של ה-80 תוויות של לסיסמה ולא קולטת יותר שטח שלא תהיה גלישת חוצץ וזה לא יקלוט יותר מהשמונה תוויות בתיבת הטקסט.
עכשיו, זה טעויות של ה-buffer-overland, זה טעויות תכנות שמאפשרות גלישת חוצצים. הטעויות האלה נעשות בדרך כלל על ידי מתכנתים מתחילים שלא מודעים לבעיה הזאת.
עכשיו פה, אם אתם רוצים לדעת עוד על הנושא הזה של אבטחת מידע בתוכנה, זה נושא קצת יותר מורכב, תיכנסו לאתר securityfocus.com ויש שם פשוט מעקב ממש מאגר של מידע מה קורה בנושא הזה.
השקף הזה מדבר על למה זה גלישת חוצץ. יש לנו פה תוכנה לדוגמה שמסבירה לכם מה הרעיון ברמה התכנותית, איך השורות קוד, איך נעשה את המצב הזה של ה-buffer overrun.
עכשיו אל תתבעלו מזה, כאנשי בדיקות אתם לא צריכים לבצע בדיקות לבנות ובדיקות קופצה לבנה, אתם לא צריכים להתערב בשורת הקוד, אבל אני כן אדאג להסביר לכם איך נראית תוכנה כזאת ומה ההסבר שלה, אז כדי להסביר איך זה, אני אתן לאסף להסביר את זה, האיש פיתוח שלנו, ואני אעלה אותו עכשיו להרצאה.
טוב, בואו רק נעלה פה את הטוש, איפה הטוש לטוש סימון? עט סימון. טוב, בואו ונדבר רגע על למה זה גלישת חוצץ, באפר אוברנד. אז בואו נניח שכאן יש