Chip 1996 April

home *** CD-ROM | disk | FTP | other *** search

/ Chip 1996 April / CHIP 1996 aprilis (CD06).zip / CHIP_CD06.ISO / hypertxt.arj / 9407 / NW40.CD < prev next >

Wrap

Text File | 1994-11-27 | 23KB | 383 lines

@VAdatvédelem Novell NetWare 4.01 alatt@N @VSzigorúan titkos@N A NetWare 4.01-et már elôzô számunkban bemutattuk. Ezúttal biztonsági kérdésekrôl esik szó -- ezek minden bizonnyal hasznos információk lehetnek a hálózattal dolgozók számára. Ma, amikor szinte minden adatunk tárolását és feldolgozását számítógépekre bízzuk, különösen nagy gondot jelent az adatok biztonsága. Egyrészt félô, hogy hardver- vagy szoftverhiba folytán megsérülnek illetve megsemmisülnek az adatok, másrészt meg szeretnénk akadályozni, hogy az információkhoz rajtunk kívül mások is hozzájuthassanak. Minden információs rendszer felhasználási területét elsôsorban az illetéktelenek elleni védekezés hatékonysága határozza meg. Nem mindegy ugyanis, hogy a ""nem publikus" információkhoz kik férhetnek hozzá. A számítástechnikai ""hôskorból" még emlékezhetünk olyan újságcikkekre, amelyek számítógépes csalásokról vagy szabotázsokról adtak hírt. Elôször a hadiiparban és a kormányhivataloknál jöttek rá, milyen fontos feladat a számítógépes hálózatok védelme. A számítógépek szerencsére nemcsak passzív elemként vehetnek részt az adatvédelemben, hanem számítási sebességük miatt aktív eszközei is lehetnek a titkosítási és az azonosítási területen. A fejlett nyugati országok katonai és kormányhivatalaiban már csak olyan számítógép-rendszereket alkalmaznak, amelyek matematikusok által is bizonyítottan ellenállnak még a legkorszerûbben felszerelt behatolóval szemben is. Sajnos a kereskedelemben eddig a hétköznapi ember nem juthatott hozzá nagyfokú biztonságot nyújtó operációs rendszerekhez. Ennek egyik oka a piacon lévô számítógépek teljesítménye volt, de a fô ok talán mégis az adatvédelem igényének hiánya lehetett. Åm az igények egyre nônek, ennek is tudható be, hogy a Novell Inc. legújabb operációs rendszerét már a legmodernebb adatvédelmi elôírások figyelembevételével készítette el. @VA hálózati kábel@N A hálózatoknál különös problémát jelent az információtovábbító közeg védtelensége. A közölt adatok ugyanis a kiindulási ponttól a célállomásig egy viszonylag védtelen közegen át haladnak, amihez általában minden nehézség nélkül hozzá lehet férni. Vegyünk példaként egy olyan elektronikus hálózatot, aminek ugyan kevés köze van a számítástechnikához, mégis a számítógéphálózatok fejlôdésének kiindulópontjaként tekinthetô -- ez a telefonhálózat. A telefonon közölt beszédhang -- az elektromos jelekké való átalakítást kivéve -- mindenféle kódolás nélkül vándorol egyik helyrôl a másikra. Emiatt egy telefont még egy ötéves gyermek is lehallgathat, feltéve, hogy ért egy keveset az elektronikához. A képlet pedig nagyon egszerû: a beszédet elektromos jelekké alakítva vezetékpáron keresztül juttatják el egyik helyrôl a másikra. A vezeték bárhol megcsapolható, és egy közönséges telefonkészülékkel az elektromos jeleket hanggá lehet alakítani. Ha fizikailag nem hozzáférhetô a vezeték (például a falban húzódik), a vezetékhez közel egy közönséges magnófejjel már meg lehet kísérelni a lehallgatást. Megfelelô elôerôsítôvel ""élvezhetô" hangot kapunk... Valahogy így van ez a számítógéphálózatok esetén is. A hálózat kábelét megcsapolva megfelelô készülékkel bele lehet hallgatni a számítógépek ""párbeszédébe". Megjegyzem, hogy már léteznek megoldások arra is, hogy a kábelek elektromágneses szórását a kábel közelébôl felfogják, és az így kapott jeleket vizsgálják. Triviális esetben antennaként a hálózati kábelre felcsavart huzal is megfelel, de kísérleteztek már azzal is, hogy a fûtôtest mellett húzott vezetékeket egy másik helyen, például a kazánházban hallgatják le. Az olyan hálózatok tehát, amelyek nem alkalmaznak semmilyen titkosítási eljárást, könnyen lehallgathatók. A legtöbb LAN nem alkalmaz semmilyen kódolást -- a Novell NetWare sem, legalábbis a 3.11-es verzióig bezárólag. Ismert eljárás volt, hogy a bejelentkezéskor a kábelen megjelent a bejelentkezô jelszava. A jelszót lehallgatva már bármelyik hálózatba kapcsolt terminálról be lehet jutni illetéktelen helyekre. A bejutást követôen a lehallgatott személy jogainak megfelelôen az információk hozzáférhetôvé válnak, vagy éppen megsemmisíthetôk. Belátható, hogy kölönösen veszélyes lehet az, ha az illetéktelen a supervisor (rendszergazda) jelszavát hallgatja le. A NetWare 4.0-ában minden adat kódolt formában fordul elô a hálózatban. Ehhez olyan titkosítási eljárást alkalmazott a Novell, amit a Pentagonban is használnak. Saját bevallásuk szerint 60 emberöltônyi munka szükséges ahhoz, hogy valaki feltörjön egy ilyen rendszert! Ez azt jelenti, hogy ahhoz, hogy egy év alatt bejutást nyerjünk egy védett hálózatba, az ""emberöltôt" 50 évvel számolva 3000 ember munkájára volna szükség. Ennyi adatvédelemmel foglalkozó matematikus minden valószínûséggel nincs is az egész földön, nem beszélve arról, hogy gyakran két hét alatt is elavulhat egy-egy adat információtartalma. A jelszó védelme érdekében további lépést jelent, hogy a felhasználónak csak egyszer kell bejelentkeznie a NetWare 4.0-ás hálózatba, és a jogosultságoknak megfelelôen az összes szerverhez hozzáférése van. A hálózati kábeleken emiatt legfeljebb csupán egyszer fordulhat elô a jelszó, ekkor is kódolt formában. @VFizikai adatrablás@N A NetWare korábbi verzióit azonban nemcsak a kábelen közölt adatok segítségével lehetett feltörni. Szakemberek körében ismert az az eljárás, ahogyan egy Novell file-szerveren található kötetekhez hozzá lehet férni. A szerverbôl csupán ki kell emelni azt a winchestert, amin az a kötet található, amihez hozzá szeretnénk férni. A meghajtót egy másik szervergépbe kell rakni, amin a saját NetWare operációs rendszerünk fut. A winchesteren található kötetek minden nehézség nélkül felvehetôk a saját rendszerünkbe. Mivel bekapcsoláskor az általunk telepített rendszert tölti be a gép, a feltörendô köteten elhelyezett adatok hozzáférhetôvé válnak. Ha a kötet az elsôdleges rendszer, azaz SYS, még át is kell nevezni, de ez sem jelent különösebb problémát. Néhányan azt is megkísérelték már, hogy a szerver winchesterét egy lemezeditáló programmal, például a Norton Utilities DISKEDIT-jével törjék fel. Itt is két megoldás kínálkozik. Az egyik módszer szerint a file-ok valahol elhelyezkednek a winchesteren, csak meg kell találni ôket, a másik szerint pedig csupán azt a file-t kell megtalálni, amiben a bejelentkezôk nevei és jelszavai vannak. Az elsô esetben ismerni kell a NetWare lemezkezelésének módját, ami persze nem publikált, a második esetben pedig a nem látható rendszerfile-ok helyét kell ismerni, ami szintén nem publikált. Mivel van rá példa, hogy élô embereknek sikerült ilyen módon feltörniük hálózatot, kijelenthetô, hogy a korábbi NetWare-ek nem voltak kellôen biztosítva a behatolókkal szemben. A NetWare 4.0 alatt azonban a kötetek egyedileg titkosíthatók, így akkor sem hozzáférhetôk, ha elvégezzük a fenti munkálatokat. Ezt a Novell cég úgy érte el, hogy a kötetek titkosításához használt kulcsának az operációs rendszer egyedi sorozatszámát választották. A szerverbe helyezéses módszer tehát elméletileg mégis használható lenne, feléve, hogy nemcsak a szerver wincshesterét, hanem a feltelepített NetWare 4.01 Serialization Disket is ellopják -- ami viszont már csak óriási nehézségek árán lenne kivitelezhetô. @VA rendszergazda ellenôrzése@N Fontos adatvédelmi kérdést jelent a rendszergazdák jogköre és visszaélési lehetôsége. A régi NetWare-ekben egy-egy rendszergazdának ugyanis teljhatalmú szerep jutott a hálózat menedzselésében. Egy rendszergazda ugyanis szándékosan -- vagy akár nem megfelelô tudás miatt, véletlenül -- a hálózat mûködésképtelenségét okozhatja. Igazából csak a személyeken múlt, hogy a hatalmukkal nem éltek vissza. Tulajdonképpen a 4.0-ánál sincs ez másképp, viszont a naplózásnak köszönhetôen a rendszergazda tevékenysége nyomonkövethetô. Kijelölhetô egy rendszergazdától független személy, aki jogosult a napló megtekintésére. Ez a személy a kesôbbiek folytán jelszóval levédheti az AUDITCON programot, így a rendszergazda kizárható a naplózásból, és teljes ellenôrzés alá vonható. Nem lehet például lezárni a naplót úgy, hogy annak semmi nyoma ne legyen a naplófile-ban. A naplózásnak egyébként fontos szerepe van az adatvédelem többi területén is. Az AUDITCON-nal ugyanis különbözô szerver és munkaállomás tevékenységekre, file- és directory-mûveletekre, valamint a NetWare Directory mûveletekre kérhetünk naplózást. A hálózaton végzett mûveletek ezután automatikusan könyvelôdnek, így ha egy elveszett file után kell kutatni, még az is megállapítható, hogy melyik felhasználó, mikor, melyik munkaállomásról törölte le azt. De nemcsak a szándékos károkozás kiderítésére használható a naplózás, hanem például egy vírus bejutási idôpontjának megállapítására is. A naplózás finoman hangolható, kérhetjük például csak a be- és kijelentkezések, vagy akár csupán egyetlen file-on végzett mûveletek naplózását is. @VKonzolvédelem@N A NetWare konzolján ki lehet adni néhány olyan parancsot, aminek segítségével könnyebb bejutni egy védett rendszerbe. Például a hálózat kezelôje úgy rendelkezhet, hogy a felhasználóknak hetente, kötelezôen meg kell változtatniuk a jelszavukat. Ezt azért szokás megtenni, mert sokkal kisebb annak valószínûsége, hogy a sûrûn változtatott jelszót egy avatatlan személy megszerezhesse, és még idôben fel is használhassa. A jelszavakat tehát idôközönként változtatni kell, és a határidôkre maga a hálózati operációs rendszer hívja fel a figyelmet. Amennyiben viszont az avatatlan személy hozzáfér a konzolhoz, visszaállíthatja a beállított dátumot, és ezzel növelheti a jelszó cseréjének idôintervallumát. Nem beszélve arról, hogy szintén az adatbiztonság érdekében a felhasználók bejelentkezésére idôkorlátot szokás szabni. Ez azt jelenti, hogy megadható, melyik felhasználó melyik napon, melyik órában használhatja a rendszert. Amennyiben nem az engedélyezett idôintervallumokban akar valaki belépni a hálózatba, az operációs rendszer elutasítja a bejelentkezési kérelmet. Például ezzel a módszerrel lehet megakadályozni, hogy a kíváncsiskodó munkaidôn kívül próbálkozzon egy megszerzett jelszóval. A szerver konzolja azonban még mindig segítségére lehet, hiszen a hálózat óráját a konzolon át lehet állítani. Ennek kiküszöbölésére használható egy SECURE CONSOLE nevû parancs, ami megakadályozza a dátum és idô átállítását. A parancs kiadása után tehát a dátum- és idô-átállításos módszerektôl védve lesz a hálózat, bár ez a védelem nemcsak ebbôl az egy dologból áll. Ezután ugyanis folyamatosan figyeli a trójai NLM programokat, amik esetleg a hálózati rendszerfile-okat próbálják ""piszkálni". Fel kell készülni ugyanis arra az eshetôségre, hogy a behatoló NLM programot tölt be a szerver memóriájába, ami a rendszerfile-ok olvasásával vagy a hálózati forgalom felügyeletével próbál bejelentkezési lehetôséget nyerni. Ezenkívül a SECURE CONSOLE kiad egy REMOVE DOS parancsot is. Ezzel a DOS által lefoglalt memória felszabadul, amit a NetWare cache memóriának használ fel. Ennek következtében pedig nemcsak jobb hardverkihasználást érünk el, hanem fokozzuk az adatvédelmet is, ugyanis ilyenkor a szerver lezárása után sem lehet kilépni a DOS-ba. Ha SECURE CONSOLE nélkül adjuk ki a REMOVE DOS parancsot, akkor az EXIT parancs után a szervergép újratölti az operációs rendszert, SECURE CONSOL-lal pedig meg sem engedi az EXIT-et, sôt, a RESTART SERVER parancsot sem, ami a szerver program újraindítását tenné lehetôvé. A REMOVE DOS egyenes következménye az is, hogy a DOS-os meghajtók elérhetetlenné válnak. Ez annyit jelent, hogy a DOS partícióról vagy a floppymeghajtóba helyezett lemezrôl nem lehet NLM-eket -- például trójai programokat sem -- indítani. @VMemóriavédelem@N Az NLM programok eddig mindenféle védelem nélkül futottak a szerver memóriájában. Ennek tudható be, hogy a Novell által be nem vizsgált fejlesztések néha a szerver lefagyását okozták. Egy-egy programozási hiba miatt egy egész hálózat leállhat, ami nemritkán nagy kellemetlenségekkel jár. Persze vissza is kanyarodhatunk a trójai program témájához: a védelem hiánya kitûnô lehetôségeket hagy a behatolók számára. A NetWare 4.0-ba ezért olyan memóriavédelmet építettek be, amely szorosan illeszkedik az Intel architektúrához. A processzor védett üzemmódban dolgozik, így a futó alkalmazások nem nyúlkálhatnak a memóriában keresztbe-kasul. A processzor által kínált lehetôségeknek megfelelôen négy szinten futhatnak programok, ezek közül kettôt használ a NetWare. A szinteket a Novell ringnek, azaz gyûrûnek nevezte el, a két aktív szintet pedig domainnek. A 0-ás gyûrû (OS domain) a legmagasabb prioritású, ezen fut maga az operációs rendszer, s a 3-as (OS_PROTECTED domain) a legalacsonyabb prioritású, ezen az egyéb programok futnak, így az NLM-ek is. @VNCP -- NetWare Core Protocol@N A NetWare 4.0-ában megtalálható egy új protokoll, amit NetWare Core Protocolnak neveztek el. A protokollt olyan helyeken javasolják használni, ahol különösen nagy figyelmet kell szentelni az adatok védelmének. A protokoll megelôzi a hálózati forgalomban használt csomagok hamisítását oly módon, hogy a csomagokat a szervernek és a munkaállomásoknak egyaránt kötelezôen meg kell jelölniük. A csomagok szignatúrái csomagonként változnak. Amennyiben egy olyan csomagot észlel a hálózat, amely nem felel meg az NCP protokollnak, azonnal lekönyveli a hibanaplóba. A szerver konzol képernyôjére is érkezik egy üzenet, ami az állomás címét és a LOGIN nevet is tartalmazza. Az NCP használata mind a munkaállomásokon, mind pedig a szerveren a processzort veszi igénybe, emiatt a hálózat lassul. Az NCP-t emiatt nem javasolják minden munkahelyre, nem is ez az alapbeállítás szerinti felhasználási mód. Olyan munkahelyeken, ahol csak futtatható programok tárolódnak a szerveren, vagy az összes felhasználó személyesen ismeri egymást és ezzel egyidôben a tárolt adatok nem esnek valamely titkossági fokozatba, nem célszerû az NCP használata. Ott viszont, ahol megbízhatatlan felhasználók dolgoznak, vagy könnyû hozzáférni a hálózati kábelekhez, illetve titkos adatok tárolódnak a szerveren, a nagyobb biztonság érdekében kifejezetten ajánlatos a protokoll használata. A szerveren és a munkaállomásokon külön-külön beállítható négy védelmi szint közül lehet válogatni. A 0-ás a legalacsonyabb szint, ez nem jelent védelmet, a 3-as pedig a legmagasabb, ez teljes védelmet jelent. A szerveren és a munkaállomáson beállított szintek döntik el, hogy a munkaállomás milyen lehetôségekkel rendelkezik. Szélsôséges beállítások esetén a munkaállomásról fel sem lehet jelentkezni a szerverre. A NetWare kézikönyve számos tanácsot ad, hogyan állítsuk be védelmi protokollunkat. Érdemes mégis azt kiemelni, ami olyan hálózatokhoz javasolt, ahol néhány szerveren titkos adatok vannak, másokon pedig publikusak. A titkos adatokat rejtô szervereken a legmagasabb fokozatot kell beállítani, a többin pedig alacsonyabbakat. Azokon a munkaállomásokon, amiknek a titkos szekcióhoz való hozzáférését meg szeretnénk tiltani, a legalacsonyabbat. E munkaállomások így a legmagasabb védelmi szintû szerverekbe nem kapnak belépési lehetôséget. @VNovell vírusvédelmi tanácsok@N A Novell kézikönyve mindössze egy oldalon foglalkozik a vírusok kérdésével. Mégis, ezen az egy oldalon számos olyan tanácsot ad, ami jelentôsen csökkentheti a vírusok okozta károkat. Legfontosabb tanácsa, hogy adatainkat rendszeresen mentsük, méghozzá több szinten. A többszintûség ezúttal semmi mást nem jelent, mint hogy a mentéseket ne mindig ugyanarra az adathordozóra végezzük, hanem lehetôleg minden alkalommal egy másikra. Például napi mentések esetén érdemes hét adathordozó-csomagot fenntartani, a hét minden napjára egyet. Ezzel elkerülhetô, hogy a már sérült adatokkal felülírjuk a legutóbbi mentést. Megfontolandó az is, hogy a végrehajtható file-okat ""executable" flaggel ajánlják ellátni, így csökken azok fertôzhetôsége. Persze ezeket a programfile-okat ezután nem lehet backupolni -- de nem is érdemes. Az oktatást is fontosnak tartják. Mind a hálózat kezelôjének, mind pedig a hálózatot használóknak képezniük kell magukat, hogyan elôzzék meg a fertôzéseket, és egy bekövetkezett fertôzés alkalmával mit kell tenniük. Különösen felhívja a könyv a figyelmet arra, hogy fertôzésgyanú esetén a munkatársak azonnal kapcsolják le a számítógépüket, és jelentsék az esetet a rendszergazdának. Javasolják továbbá, hogy a szervert elkülönített és lezárt helységben tárolják, valamint, hogy a szerver floppymeghajtójának nyílására ragasszanak a rendszergazdák egy papírcsíkot, amin figyelmeztetô üzenet olvasható. Utolsó, a supervisori jogkör használatára vonatkozó tanácsuk sem hagyható figyelmen kívül. Véleményük szerint minél kevesebbet használjanak supervisori jogkörrel felruházott felhasználói neveket, ezzel is lehet csökkenteni a vírustámadás esélyét. Hangsúlyoznom kell, hogy a tanácsok megfontolása nem jelenthet 100%-os védelmet a vírusok ellen, de jelentôsen csökkentheti a veszélyt. Ajánlatos az óvatosság mellett víruskeresôt is alkalmazni. Novell NetWare alá léteznek már NLM modulként mûködôk is, ilyen például a jól ismert McAfee féle NetShield, amely már régóta piacon van. Sajnos ez a szoftver nem ismeri az összes kelet-európai vírust, azonban a többi ellen viszonylag hatásos védelmet nyújt. @VVégül@N Szándékosan nem beszéltünk a NetWare file-, directory- és objektum-hozzáférési jogokról, hiszen ezek nagyrésze megtalálható a korábbi NetWare verziókban is. Reméljük azonban, hogy az áttekintés felhívta az olvasó figyelmét számos olyan adatvédelmi lehetôségre, amibôl kiindulva tovább növelheti hálózatának biztonságát. @KRudnai Tamás@N