IT Professional Security - ΤΕΥΧΟΣ 24

P RACTICAL
3G Δίκτυα
τις κάμερες στα κινητά μας τηλέφωνα. Το κλειδί σε αυτές τις
τεχνικές είναι να καταφέρουν οι επιτιθέμενοι να αποκτήσουν
πρόσβαση και να ελέγξουν servers ευρείας συνδεσιμότητας
και κυρίως servers που εξυπηρετούν επικοινωνιακές ανάγκες,
καθόσον αυτοί χρησιμοποιούνται σε καθημερινή βάση από
το σύνολο σχεδόν των χρηστών του διαδικτύου. Προκύπτει
από τα παραπάνω, ότι ακόμα και ένα απλό αίτημα όπως είναι
η πρόσβαση σε email κάποιου χρήστη, μπορεί υπό προϋποθέσεις
να τον οδηγήσει σε απώλεια δεδομένων από το
3G κινητό του τηλέφωνο. Με άλλα λόγια, δεν χρειάζεται πλέον
να κάνει κάτι ιδιαίτερο ή να συνδεθεί με κάποια ιστοσελίδα
περίεργου περιεχομένου προκειμένου να μολυνθεί. Αρκεί
ακόμα και μία «επίσκεψη» στο mailbox του από το 3G
κινητό του.
Τεχνικές αντιμετώπισης των επιθέσεων
Οι δύο επιθέσεις που περιγράφηκαν παραπάνω, συνιστούν
ίσως τις πιο διαδεδομένες στα 3G δίκτυα. Η ιδιαίτερη έ-
ξαρσή τους οφείλεται πρώτον στην πολύ γρήγορη ανάπτυξη
της 3G τεχνολογίας, την αύξηση των ατόμων που χρησιμοποιούν
εκτεταμένα τα 3G δίκτυα, καθώς και στην προτεραιότητα
που έδωσαν οι εταιρείες στην αύξηση της ποιότητας
των υπηρεσιών τους (quality of service), αφήνοντας αρκετά
στάδια πίσω την ασφάλεια των υποδομών τους. Οι ε-
ταιρείες που ειδικεύονται στη δικτυακή ασφάλεια έχουν ξεκινήσει
και αναπτύσσουν τεχνικές και λογισμικά αντιμετώπισης
αυτών των επιθέσεων, ενώ φαίνεται ότι προσανατολίζονται
πλέον σε ενοποιημένα πακέτα ασφαλείας. Με ένα
προϊόν δηλαδή, θα παρέχουν ασφάλεια στο σύνολο των συσκευών
και δικτύων του κάθε χρήστη, ενώ ανάλογα πακέτα
θα παρέχονται και στις εταιρείες παροχής ευρυζωνικών υ-
πηρεσιών, προκειμένου να θωρακίζουν και αυτές τα δίκτυά
τους.
Μία πρώτη ζώνη άμυνας ενάντια στις απειλές των 3G δικτύων
θα μπορούσε να αποτελέσει ένας συνδυασμός της
λεγόμενης «end to end» ασφάλειας, μαζί με «point to point»
κρυπτογράφηση. Η φιλοσοφία της «end to end» ασφάλειας
σχετίζεται με τη θωράκιση των τελικών συσκευών. Αν οι
τελικές συσκευές που αποστέλλουν και λαμβάνουν δεδομένα
είναι ασφαλείς, τότε παρέχεται ένα minimum επίπεδο α-
σφαλείας. Τουλάχιστον είναι σίγουρο ότι από εκεί που θα φύγουν
κάποια δεδομένα και εκεί που θα καταλήξουν, δεν υ-
πάρχει κάποια απειλή. Αν αυτό συνδυαστεί με μία υψηλού ε-
πιπέδου «point to point» κρυπτογράφηση, όπου τα δεδομένα
θα φεύγουν από την αρχική συσκευή κρυπτογραφημένα
και θα αποκρυπτογραφούνται μόνο στη συσκευή που καταλήγουν,
τότε θα μπορούσε να εξασφαλιστεί ένα ελάχιστο
ασφαλείας. Εφόσον είναι σίγουρο ότι η αρχική συσκευή είναι
ασφαλής, τα δεδομένα που εξέρχονται από αυτή είναι
κρυπτογραφημένα, ταξιδεύουν στους ενδιάμεσους προορισμούς
κρυπτογραφημένα και αποκρυπτογραφούνται μόνο
στην τελική συσκευή η οποία είναι και αυτή ασφαλής, τότε
μπορεί να θεωρηθεί ότι υπάρχει ένα ελάχιστο ασφάλειας.
Αφού και κάποια από τις ενδιάμεσες συσκευές να μην α-
σφαλής και τα δεδομένα να υποκλαπούν, θα είναι στην ουσία
άχρηστα, καθόσον θα χρειάζεται αρκετός χρόνος για να
αποκρυπτογραφηθούν.
Σημειώνουμε εδώ ότι παρόλο που μία πρόταση σαν την παραπάνω
είναι άμεσα εφαρμόσιμη και προσφέρει ασφάλεια ε-
πικοινωνιών σε αποδεκτά επίπεδα, σε καμία περίπτωση δεν
μπορεί να αποτελέσει μία μόνιμη και ολοκληρωμένη λύση.
Προκειμένου να αναπτυχθεί μία τέτοιου είδους εφαρμογή η
οποία θα παρέχει μόνιμα ασφάλεια σε υψηλά επίπεδα στις
επικοινωνίες μας, απαιτείται εμπεριστατωμένη έρευνα των
3G δικτύων, εντοπισμός ακόμα και με penetration testing
των κενών ασφαλείας τους και στη συνέχεια, μέσα από πειραματισμούς
και δοκιμές, ο σχεδιασμός μίας ενιαίας πολιτικής
ασφαλείας η οποία θα μπορεί να αναπροσαρμόζεται α-
νάλογα με τη δομή, τον τρόπο και το σκοπό λειτουργίας του
κάθε δικτύου. Οι ιδιωτικοί αλλά και οι δημόσιοι φορείς έ-
χουν έλθει πλέον αντιμέτωποι με μία πρόκληση. Το να καταφέρουν
να θωρακίσουν μία τεχνολογία την οποία οι ίδιοι
ανέπτυξαν και διέδωσαν ευρέως στους χρήστες τους, η ο-
ποία αυτήν τη στιγμή λόγω των κενών ασφαλείας που παρουσιάζει,
συνιστά σε πολλά της σημεία απειλή για τη διαδικτυακή
λειτουργία. Το αν θα τα καταφέρουν ή όχι, εκτιμούμε
ότι θα φανεί στο άμεσο χρονικό διάστημα.
Πηγή
«A taxonomy of cyber attacks on 3G networks», Kameswari
Katapati, Peng Liu, Yan Sun, Thomas F. LaPorta (USA, 2005,
Pensylvania State University). iTSecurity
1
Συμπλέγματα «μολυσμένων» υπολογιστών, τα οποία χρησιμοποιούνται για γενικευμένες επιθέσεις.
40 | security