UNIVERZITET SINGIDUNUMDEPARTMAN ZA POSLEDIPLOMSKE STUDIJE I MEUNARODNU SARADNJU

MASTER STUDIJEI Pristupni rad

Studijski program: SAVREMENE INFORMACIONETEHNOLOGIJE

Tema: __________________________________________________

Predmeti:1/Metodologija drutvenih istraivanja prof.dr Boko Kovaevi Ocena___________________ 2/Marketing menadment prof.dr Stevan Vasiljev Ocena______________________ 3/Finansijsko izvetavanje i poslovno odluivanje prof.dr Dragan Vukasovi Ocena_______________________ 4/Strategijski i operativni menadment prof.dr Stevan Vasiljev Ocena_______________________

Mentor:

Student:

Broj indeksa:

Beograd,_______________ 2011.

SADRAJ

1. UVOD.................................................................................................1 2. ELEKTRONSKA TRGOVINA.......................................................3 3. UGROAVANJE I BEZBEDNOSNI PROBLEMI ELEKTRONSKE TRGOVINE...........................................................8 4. ZATITA I BEZBEDNOST E-TRGOVANJA..............................13 4.1. RAZVOJ POLITIKE ZATITE.................................................13 4.2. POARNI ZID FIREWALL....................................................17 4.3. PROXY SERVER.......................................................................21 4.4. KRIPTOGRAFIJA......................................................................21 5. ZAKLJUAK....................................................................................27 LITERATURA......................................................................................28

2

1. UVODNajvanija pogodnost elektronske trgovine odnosi se na skromna inicijalna ulaganja (potrebni su raunar, modem i pristup Internetu) i globalizaciju trita, koje vie ne mora da poznaje geografske pojmove vremena i prostora. Pored navedenih, o ostalim prednostima elektronske trgovine, govorie se u narednim poglavljima, a kao jedna od najvanijih, odnosi se na injenicu da Internet nema vlasnika, tj. nijedna dravna ili privatna institucija nema vlasnitvo nad njegovom celinom. Pojedine drave i kompanije, istina, vlasnici su delova komunikacionih kanala ili opreme koja se koristi, ali na Internetu postoji samo jedno vlasnitvo svako je vlasnik svog raunara koji je prikljuen na mreu i ima neogranieno pravo da taj raunar koristi kako eli i da na njemu dri sadraje koje on smatra potrebnim. Svaki vlasnik raunara samostalno bira nain na koji e se prikljuiti na mreu, koje e sadraje primati sa mree i ta e slati drugima. Razvoj nove informacione i komunikacione tehnologije (ITC) sa svim svojim performansama, predstavlja osnovu informatikog doba. Nova drutvena i ekonomska paradigma restrukturie tradicionalne dimenzije vremena i prostora u kojima ivimo, radimo i komuniciramo. Elektronska trgovina i Internet usled svog sve veeg korienja podiu broj zakonskih pitanja, koja imaju izuzetan znaaj i veoma su bitna za budui uspean razvoj elektronske

3

trgovine, jer obuhvataju osnovne neophodne za podrku aplikacija elektronske trgovine. Veoma je bitno ukazati na razlike izmeu zakonskih i etikih pitanja koja su od izuzetne vanosti za elektronsku trgovinu. Zakoni obuhvataju striktna zakonska pravila definisana institucionalnim uslovima, a rukovode i definiu ponaanje svih uesnika unutar odreene zajednice. Nasuprot zakonskim pitanjim, pitanja etike se odnose na prouavanje i razmatreanje onoga to je dobro ili pak loe (npr. ta je neetiko i ilegalno). Etika je podrana mnogim optim sporazumima gde je definisano ta je ispravno, a ta je loe, pri emu ona nije predmet zakonskih sankcija. Definisanje aktivnosti da li su neetine ili pak ilegalne u velikom stepenu zavisi od zakonskih regulativa i vrednosnih sistema pojedinih zemalja na koju se ta pitanja odnose. Istraivanjima je uoeno da se najee postavljaju pitanja vezana za vanost ugovora koji se odnosi na kupovinu softvera za potrebe elektronske trgovine, pitanje intelektualnog vlasnitva i softverske piraterije, kao i pitanje distribuiranja softvera. Problem istraivanja Elektronska trgovina, kao jedna od znajajnijih oblasti elektronskog poslovanja, viena kao novi faktor jaanja konkurentnosti, a ukoliko se pravilno razvija moe koristiti svim trgovinskim organizacijama. U cilju boljeg razumevanja treba praviti razliku izmeu elektronske trgovine i elektronskog poslovanja, jer se radi o potpuno razliitim fenomenima. Istraivanja pokazuju da se elektronsko poslovanje pretvara u elektronsku trgovinu tano onda kada se pojavljuje razmena vrednosti. Istraivanja radi ostvarivanja bezbednosti informacija su danas od najtoplijih oblasti. Razvoj Interneta, multimedijalnih informacija i uzlet elektronske trgovine su ilustracije danas veoma aktivnih stimulanasa za dalji razvoj metoda modelovanja i bezbednosti informacija i bezbedne trgovine. Predmet istraivanja na projektu e biti obraen kroz nekoliko oblasti. Predmet istraivanja, sa vremenskog aspekta, obuhvata period od nastanka elektronskog trgovanja i razvoja aplikacija iz oblasti elektronskog poslovanja do danas. Pratei istorijski razvoj, prva aplikacija iz oblasti elektronskog poslovanja pojavljuje se poetkom 1970-tih godina i to u vidu elektronskog transfera novanih sredstava. Sa aspekta fizikog, euklidovskog, prostora predmet istraivanja se odnosio na celokupnu ekumenu informatikog drutva. Sa aspekta neeuklidovskog prostora, predmet istraivanja se odnosio na elektronsku trgovinu. Predmet istraivanja obuhvata saznanja i probleme sociologije, ekonomskih, pravnih, nauka bezbednosti i informacionih nauka. Ciljevi istraivanja Iz svega do sada reenog proizlaze sledei ciljevi istraivanja: identifikacija bezbednosnih pretnji u elektronskom trgovanju; analiza direktnih i indirektnih razloga nesigurnosti elektronskog trgovanja; identifikovanje glavnih aktuelnih i potencijalnih aktera i naina njihovog delovanja u elektronskom trgovanju; analiza mogunosti ostvarivanja pretnji ugroavanja e-trgovanja. Uspostavljanje analitikog modela za ispitivanje ostvarivosti pretnji u e-trgovanju; identifikovanje materijalnih dobara posebno ugroenih pretnjama u e-trgovanju; analiza potreba za redefinisanjem strategija za odgovor na bezbednosne pretnje u elektronskom trgovanju.

4

Metode istraivanja Istraivanje je imalo multimetodski karakter i podrazumevalo je kompleksnu analizu dostupnih i novostvorenih izvora podataka. Re je o dominantno kvalitativnom istraivakom pristupu i eksploratornoj prirodi uspostavljenih istraivakih zahteva. Nain istraivanja i izbor metoda odreeni su definisanim problemom istraivanja, teorijskim i operacionalizovanim predmetom istraivanja, pretpostavljenom hipotetikom osnovom i kompleksnou predmeta istraivanja. Prethodno definisan predmet istraivanja zahtevao je upotrebu odgovarajuih naunih metoda kojima su bili obuhvaeni svi relevantni izvori saznanja. Bezbednosne pretnje u elektronskom trgovanju su sloeno polje prouavanja i za njihovu valjanu i obuhvatnu analizu bilo je neophodno koristiti razliite metode i teorijska znanja iz vie naunih disciplina. Zbog kompleksnosti prouavanog fenomena, u radu su analizirani podaci iz razliitih izvora. Postojei izvori podataka iz kojih su se kreirala bazina iskustvena evidencija su: nauni i struni radovi koji se, posredno ili neposredno, bave problemom bezbednosti u elektronskoj trgovini i nainima ugroavanja e-trgovanja; analiza naunih i strunih istraivakih projekata iz ove oblasti; pozitivnopravni propisi (nacionalni, regionalni i meunarodni); institucionalni izvori (statistiki izvetaji, dokumenta iz arhiva dravnih institucija, evidencije kompanije i drugih organizacija, izvetaji ostalih relevantnih institucija); evidencije dravnih i meunarodnih tela zaduenih za praenje visoko-tehnolokog kriminaliteta, meunarodni dokumenti, konvencije, protokoli, meunarodni ugovori i drugi akti, koji su direktno ili indirektno vezani za problem bezbednosti elektronskog poslovanja i elektronske trgovine. U cilju postizanja to veeg stepena pouzdanosti i obuhvatnosti, ovo istraivanje je obuhvatilo kako analizu razliitih izvora podataka, tako i komplementarno korienje razliitih istraivakih metoda: 1. pregled naune i strune literature 2. analiza pravnih dokumenata 3. komparativni metod 4. metod sekundarne analize 5. metod analize sadraja

2. ELEKTRONSKA TRGOVINA"Ukoliko elimo da ostanemo konkurentni, moramo biti u e-trgovini" J. Chu, "Ageon Technology", Taiwan Tokom 80-ih godina 20. veka, elektronska trgovina ili elektronski kanali marketinga pominjali su se prvenstveno u vizijama razvoja velikih poslovnih sistema. Velike kompanije 5

traile su mogunost irenja sopstvenog biznisa pa su smatrali da je elektronska trgovina veoma znaajan instrument tog irenja. Primena raunarske elektronike u trgovini u periodu druge polovine 70-ih godina ila je u dva pravca i to: (1) Nova tehnologija je nala svoju primenu u tradicionalnim institucijama; (2) Razvoj raunara i komunikacija je omoguio nastanak nove institucije elektronske trgovine. Inovacije su doprinele upotrebi bar-koda, elektronski transfer sredstava i korienje kartice kao platenog sredstva. Ove inovacije su uticale na smanjenje trokova detaljista i grosista. Radikalna promena je nastala uvoenjem kompjuterskih skener kasa na mestu prodaje (EPOS electronic point of sale). Ove kase su omoguile veu brzinu naplate, veu tanost u brzini naplate, taan uvid u stanje zaliha, to je sve uticalo na veu konkurentnost. Polovinom 80-ih poinje primena raunara u trgovini u jo kvalitetnijem pravcu, u pravcu razvoja interaktivne elektronske trgovine i komunikacija sa tradicionalnom trgovinskom delatnou. Sredinom 90-ih godina XX veka pojam elektronske trgovine poinje da se vezuje iskljuivo za kupoprodajne transakcije koje se odvijaju na Internetu. Od momenta premetanja transakcija iz realnog u cyber okruenje razvoj elektronske trgovine napreduje neverovatnom brzinom. Da bi razvoj elektronske trgovine bio optimalan neophodno je da budu ispunjeni sledei preduslovi:1 Drutveno ekonomsko okruenje Kultura i navika Poslovno okruenje trino okruenje Elektronska trgovina (e-commerce) predstavlja komponentu elektronskog poslovanja, koja opisuje procese kupovine, prodaje i razmene dobara, usluga i informacija, putem raunarskih mrea. To je vid trgovine elektronskim putem neogranienih mogunosti.

1

Konar J. Elektronska trgovina, Ekonomski fakultet, Subotica,2008. str. 52.

6

Slika br. 1 Primena Interneta, Ekstraneta, i Intraneta Na slici 1 prikazana je primena Interneta, Ekstraneta, i Intraneta, kao i njihov meusobni odnos, korisnici i okruenje. Elektronska trgovina omoguuje: Nudi marketima brzo, prilagodljivo sredstvo Interaktivno (drugaija televizija ili tampa) Veb sajtovi mogu zameniti ili dopuniti drugo sredstvo E-mail je jeftiniji od faksa, telefona ili pote Prenos snage od prodavaca na kupce Moe se uveati trite Dovodi do razgradnje postojeeg lanca snabdevanja Moe smanjiti suinski trikove poslovanja Najve aplikacije su B2B i B2C E-Commerce: faktori koji privlae potroae u virtuelne prodavnice: Udobnost (24-asovna raspoloivost, tedi vreme, napor) Udobnost dobijanja inormacija online i traganje za ciljem Bolje cene nego u fizikim prodavnicama iroka selekcija Dostupnost unikatnim proizvodima, itd. Mana e-trgovine je u tome to se sam proizvod, koji se kupuje, ne moze fiziki opipati, nego eventualno virtuelno videti, tako da u veini sluajeva niste sigurni u kvalitet samog proizvoda. Informacione i komunikacione tehnologije su za relativno kratko vreme postale vaan element u sistemu ekonomije, istovremeno ga pozamano transformiui. E-trgovina je samo primer raanja jednog novog ekonomskog sistema, odnosno nove-, informacione- ili Elektronske ekonomije, fenomena ije vreme tek dolazi, a koga izmeu ostalog karakterie sledee: sve vee vrednovanje znanja, prebacivanje znaaja sa materijalnog na neopipljivo, omoguavanje da sve vie informacija bude nairoko dostupno. Iako je organizovanje poslovanja i meusobnog komuniciranja kao i trgovine izmeu kompanija putem Interneta u zaetku, vie niko ne sumnja u to da je takav nain poslovanja budunost veine svetskih kompanija. Reorganizacija poslovanja zahteva visoke trokove. Strunjaci, meutim, procenjuju da su oni znatno manji od mogue dobiti, koja se ostvaruje ne samo putem smanjenja trokova nego i poveanjem profita. Pod pojmom elektronske trgovine najee se podrazumeva upravljanje trgovinom roba i usluga, uz pomo telekomunikacionih i telekomunikaciono baziranih alatki, odnosno obavljanje razliitih poslovnih transakcija, uz upotrebu Interneta kao aktivnog medija. Sa irenjem primene Interneta razvijaju se ideje, a ubrzo i praksa njegove masovne primene u elektronskoj trgovini, to treba shvatiti kao ozbiljan ekonomski fenomen. Brojke koje svakodnevno pristiu svedoe o intenzivnom razvoju elektronske trgovine. Svet ne miruje pa tehnoloke inovacije stavljaju pred svren in uesnike u poslovnom lancu, od proizvoaa do prodavaca i isporuioca krajnjem potroau - ili se prilagoditi i ukljuiti se u savremene tokove, ili rizikovati skoru propast.

7

Slika br. 2 Razvoj elektronske trgovine Slika br. 2 prikazuje razvoj elektronske trgovine od EDI sistema plaanja preko Internet trgovine, a sve je to deo elektronskog poslovanja. Servis elektronske trgovine na Internetu sazrevao je u tri faze. U prvoj fazi, Internet je prvenstveno bio transportni mehanizam za e-mail, statine informacije i Web-zasovane oglase. Preuzimanje fajlova nije bilo iroko rasprostranjeno (mnogi sajtovi nisu dozvoljavali transfer fajlova zbog razmene privatizovanog softvera), a transferu informacija nedostajli su pouzdanost, inegritet, performanse i predvidljivost. Druga faza rasta elektronske trgovine poela je 1995. godine inicirana nizom servisa za bezbedno procesiranje transakcija koji su uinili da naruivanje i zavretak transakcija preko Interneta postanu stvarnost. Dodatnu sigurnost i privatnost procesiranju transakcija otvorila je Internet za mnoge komercijalne i korporativne upotrebe. U ovoj fazi dolo je do rapidne evolucije tehnologije pomou desk-a i tehnike podrke za Veb i korienje Veb-a u velikim razmerama za zajedniki rad, zamenu ideja i chat. Vie od etvrtine korisnika Interneta preuzimali su softver i informacije putem file transfer protocol (FTP), a vie od polovine koristilo je news grupe. Pojava snanih sistema za pretraivanje Interneta, kao to su Gopher, Archie i WAIS, a zajedniki softver Netscape-a, Lotus-a i Microsoft-a koristilo je vie od polovine Internet korisnika. Ulazimo u treu, a sigurno ne i poslednju, fazu sazrevanja Interneta. U ovoj fazi elektronska trgovina eksperimentie sa novim interfejsima, poslovnim modelima i tehnologijama (npr. interaktivna televizija, Veb TV) koje e uiniti da Internet pristup zasnovan na transakcijama bude na raspolaganju irokom krugu Internet potroaa. Elektronska trgovina zasnovana na Internetu trebalo bi da bude ubrzana pojavom zanimljivih maina i interfejsa nego to je to bio sluaj sa desktop kompjuterima. Sa stanovita ekonomske efikasnosti privrede, razvoj elektronske trgovine je jedan od kljunih faktora ekonomskog razvoja svake zemlje. Elektronska trgovina otvara i afirmie tzv. bespapirno poslovanje. Meutim, tradicionalno poslovanje u papirnom obliku ostaje i

8

dalje i to ak i u najrazvijenijim zemljama. Ipak, ono je sve manje prisutno jer je elektronsko poslovanje donelo brojne prednosti. Ekonomske transakcije se danas uz upotrebu tehnologije daleko lake obavljaju. Uz upotrebu tehnologije bitna je i poslovna strategija, posmatranje zahteva i potreba korisnika, postupak naruivanja, isplate i naplate. Meutim, elektronska trgovina nije liena i odreenih tekoa. S jedne strane, konkurencija u elektronskom biznisu je ogromna, a stope profita niske. Firma koja se odlui na elektronsko poslovanje, nalazi se pred nizom izazova i rizika. Elektronska trgovina zasniva se na sledeim kljunim razlikama u odnosu na tradicionalnu trgovinu: 1. Vei obim porudbina uz manje pojedinane porudbine Mnogi tradicionalni prodavci operiu sa velikim porudbenim konfiguracijama. Nasuprot njima e-trgovci obrauju desetine hiljada narudbenica dnevno, te tako umesto da alju npr. sto kutija jednoj prodavnici, mogu poslati proizvode stotinama potroaa u malim isporukama. Da bi navedeno postigli, e-prodavci moraju osmisliti svoje distributivne centre drugaije, ali ovakva automatizacija nije jeftina, i moe iznositi od tri do pet puta vie nego kod tradicionalne trgovine. 2. Vei asortiman proizvoda Vei asortiman predstavlja veliki izazov za online distributivne centre, koji moraju imati vie mesta za skladitenje i veim brojem ljudi potrebnih za upravljanje poveanim izborom. Podrazumeva se da takvi distributivni centri moraju biti kompjuterizovani jer to je asortiman vei, tee je imati taan inventar i izbei najveu greku e-prodaje, zaostale porudbine. 3. Vie ljudi Tradicionalni distributivni kapaciteti obino rasporeuju izmeu treine i etvrtine svoje radne snage na ovu aktivnost. Nasuprot njima, 75% - 90% zaposlenih u e-trgovini je rasporeeno na ovom zadatku. Kod e-trgovine, funkcija ljudskih resursa je izuzetno vana. 4. Slanje upakovanih proizvoda Kada se termin pakovanje upotrebi kod tradicionalnih distributivnih centara, obino se koristi da oznai zatvaranje proizvoda u zatitnu ambalau. Kod e-trgovine distributivni centri moraju biti eksperti za male pakete, to znai da im trebaju odeljenja namenjena pakovanju. 5. Distributivni centri moraju biti zadueni za prodaju U e-trgovini distributivni centri imaju kritinu ulogu. Nivo nezadovoljstva on-line potroaa opada, a najvea njihova primedba usmerena je, prema istraivanju firme Jupiter Communication, Inc na isporuku proizvoda. Takoe istraivanja su pokazala da potroai otkazuju vie od 50% zakasnelih porudbina. 22

Dr Svetlana Lazarevi Petrovi, Poslovna informatika, Visoka kola strukovnih studija za menadment u saobraaju, Ni 2009. str. 135

9

Modeli e-trgovine su: Storefront Portal model Aukcijski model Dynamic price models Online trading and lending model Najzastupljeniji modeli e-trgovine su storefront i aukcijski modeli. Virtuelne prodavnice pruaju mogunost kupovine elektronskim putem, a u poslednje vreme dolo je i do pojave virtuelnih trnih centara, koji imaju jo veu paletu ponuenih proizvoda i usluga. Aukcijski modeli omoguuju virtuelnu aukcijsku prodaju gde se kupci meusobno nadmeu za cenu, a trgovci postiu maksimalnu cenu za ponuen proizvod. Svako moe da ponudi bilo kakvu robu i da za nju na globalnom svetskom nivou pronae kupca. Portal model moe biti horizontalni, vertikalni i korporacijski, itd.

3. UGROAVANJE I BEZBEDNOSNI PROBLEMI ELEKTRONSKE TRGOVINESama injenica da je internet infrastrukturna osnova elektronskog poslovanja, donosi i brojne sigurnosne rizike i otvara nove mogunosti koje potencijalni napadai mogu da iskoriste. Internet i veb prostor kao i elektronsko poslovanje su izloeni brojnim bezbednosnim pretnjama. est je sluaj da hakeri nastoje da pronau propust u sistemu zatite organizacija koje se bavi e-trgovinom. Ako u tome uspeju tada su posledice sledee: unitavanje veb stranica, ugroavanje sistema, izmena podataka ili unos lanih podataka. Deava se da hakeri uu u katalog cena i cene smanje, to im omoguava da kupe odreene proizvode po nioj ceni. Rizik od virusa je jedan od uestalih bezbedonosnih pretnji. Meseno se pojavljuje na stotine novih virusa iji je jedini cilj da inficiraju sisteme e-poslovanja i time ugroze njihovo funkcionisanje. Jedinstvenog i efikasnog reenja protiv virusa nema. Korisnicima raunara ostaje da na svojim raunarima obezbede antivirusne softvere koje e redovno inovirati (update). Preporuka je da se ne otvara attachment poruke koja se ne oekuje. Neautorizovani pristup sistemu e- trgovine moe da dovede do brojnih problema. Postoje hakeri koji su se specijalizovali za ovu vrstu kriminala. Njihov cilj je da dou do servera na kojem se nalaze korisne informacije. Poznat je sluaj kada su hakeri pronali pukotinu u bezbedonosnom sistemu i uli na sajt Egghead.com odakle su pokupili vie od 3 miliona brojeva rauna kreditnih kartica. Kasnije je utvreno da je tom nelegalnom aktivnou bilo "poseeno" oko 7500 bankovnih rauna. Mogu se pretpostaviti posledice ovog sluaja. Kompanija je izgubila poslovni ugled a njeni potroai su bili pokradeni. Jedan od napada koji korisnici Internet usluga vrlo teko podnose su napadi na linu privatnost. Deava se da hakeri provale sistem bezbednosti pojedinih institucija i dou do vanih linih podataka, kao to su obim zarade, obaveze poreza, broj zdravstvenog osiguranja, datum mesto roenja. Ovi podaci mogu kasnije da se zloupotrebe. Jedan od oblika ugroavanja line privatnosti je slanje komercijalnih poruka u elektronsko sandue vlasnika e-mail. Zamislite situaciju u kojoj

10

otvarate svoj e-mail i tamo nalazite desetine komercijalnih poruka za koje niste zainteresovani.3 Pregledi napada i procenjene tete Prema jednom pregledu amerikog instituta za zatitu raunara (Computer Security Institute (CSI)s 2000 Computer Crime and Security Survey) koji je obuhvatao velike korporacije, 70% razmatranih subjekata je prijavilo detektovane neautorizovane pristupe u svojim mreama u prethodnoj godini. Takoe, prema istoj analizi, u prethodnih nekoliko godina, 66 razmatranih subjekata je prijavilo ukupan gubitak proizveden kraom osetljivih korporacijskih informacija u iznosu od $66 708 000, a 54 razmatrana subjekta su prijavila ukupan gubitak proizveden finansijskom proneverom u iznosu od $53 996 000.4

Slika br. 3: Tipovi prijavljenih napada na raunarske mree u procentima5 U svetu postoji veliki broj razliitih pregleda i analiza pretnji za korienje raunarskih mree na bazi Internet tehnologija izraenih od strane relevantnih institucija. Jedna takva analiza, ukazuje na tipove napada, u procentima prijavljenih napada, kao i prosene gubitke prouzrokovane tim napadima u 2001. godini. Prema jednom slinom pregledu amerikog instituta za zatitu raunara (Computer Security Institute (CSI)s 2000 Computer Crime and Security Survey) koji je obuhvatao velike korporacije, 70% razmatranih subjekata je prijavilo detektovane neautorizovane pristupe u svojim mreama u prethodnoj godini. Takoe, prema istoj analizi, u prethodnih nekoliko godina, 66 razmatranih subjekata je prijavilo ukupan gubitak proizveden kraom osetljivih korporacijskih informacija u iznosu od $66 708 000, a 54 razmatrana subjekta su prijavila ukupan gubitak proizveden finansijskom proneverom u iznosu od $53 996 000.6

3 4

Grupa autora, Informacione tehnologije, Ekonomski fakultet Subotica, 2007., str. 270 Petrovi S., Kompjuterski kriminal 2. Izdanje, MUP Republike Srbije, 2006., str. 11 5 Petrovi S., Kompjuterski kriminal 2. Izdanje, MUP Republike Srbije, 2006., str. 12 6 Petrovi S., Kompjuterski kriminal 2. Izdanje, MUP Republike Srbije, 2006., str. 12

11

Slika br. 4: Proseni gubici u 2006. godini7 Ove analize potvruju sledee trendove u korienju raunarskih mrea Internet tipa: razvoj sve ireg spektra moguih napada, porast finansijskih i drugih gubitaka zbog napada na raunarske mree Internet tipa. primena samo komercijalnih tehnologija zatite informacija ne predstavlja pouzdano reenje odbrane od potencijalnih napada, ve se mora koncipirati i primeniti slojevita i sveobuhvatna politika zatite koja e pored komercijalnih tehnologija zatite obavezno ukljuiti i primenu sopstveno realizovanih mehanizama zatite (kriptolokih, kontrole pristupa), kao i upravljakih i organizacionih kontrola sistema zatite date raunarske mree Internet tipa. Sa druge strane, SANS Institut je obavio istraivanja koja su rezultovala u definisanju tri liste osnovnih greaka koje omoguavaju razliite vrste napada na mree Internet tipa i pojedinane radne stanice u mrei. Prva lista se odnosi na krajnje korisnike i definie sledeih pet najveih bezbednosnih greaka:8 otvaranje nezahtevanog e-mail priloga dobijenog od nepoverljivog izvora, propust da se instaliraju bezbednosni namcx-evi (zakrpe) standardnih Internet programskih paketa, kao i novih definicija (upgrade) antivirusnih programa, instaliranje i download-ovanje screen saver-a i igara od nepoverljivih izvora, nekreiranje i netestiranje operacija back-up-ovanja i arhiviranje korienje modema dok ste vezani u lokalnoj raunarskoj mrei (LAN). Druga lista se odnosi na upravne strukture (managment) i definie sledeih sedam najveih bezbednosnih greaka koje utiu na slabosti korporacijske raunarske mree:9 neobezbeenje odgovarajueg broja slubenika koji treba da uspostave i odravaju sistem zatite u okviru korporacije, primena samo organizacionih vidova zatite bez primene (i bez prihvatanja neophodnosti primene) mehanizama zatite informacija,78

Petrovi S., Kompjuterski kriminal...ibidem...str. 12 www.sans.org 9 www.sans.org

12

reavanje samo pojedinanih bezbednosnih problema bez primene mera i stvaranja uslova za kreiranje kompletnog sistema zatite koji bi osigurao reenje najireg spektra bezbednosnih problema, korienje samo mrenih barijera (firewall) u korporacijskoj raunarskoj mrei, neshvatanje koliko vrede intelektualno vlasnitvo i poslovna reputacija firme, primena kratkotrajnih reenja pojedinanih situacija to dovodi do brzog umnoavanja bezbednosnih problema i pretvaranje da e se bezbednosni problemi reiti sami od sebe ako se ignoriu.

Trea lista se odnosi na informatike profesionalce i definie sledeih deset najveih bezbednosnih greaka:

Prikljuivanje raunarskog sistema na Internet bez prethodne primene svih neophodnih bezbednosnih mera, Prikljuivanje test i razvojnih sistema na Internet sa inicijalnim (default) lozinkama, Propust da se sistem aurira sa reenjima nekih bezbednosnih problema, Korienje nekriptovanih protokola za upravljanje sistemima, ruterima, firewall-ovima i PKI infrastrukturom, Davanje korisnicima lozinki preko telefona i njihovo menjanje bez prethodne autentikacije osobe koja zahteva izmenu, Propust pri odravanju i testiranju procedure back-up-a sistema, Korienje nepotrebnih Internet servisa, Primena mrenih barijera sa pravilima koja ne osiguravaju bezbedno osetljivi dolazei i odlazei saobraaj, Propust u implementaciji i auriranju softverskog paketa za detekciju virusa, Propust u edukaciji korisnika u odnosu na to ta je potrebno uiniti kada se uoi potencijalni bezbednosni problem.

U prethodnom nabrajanju prikazane su tri liste greaka koje omoguavaju razliite vrste napada na mree Internet tipa i pojedinane radne stanice u mrei. Navedene liste odnose se na krajnje korisnike, upravne strukture kao i na informatike profesionalce. Bezbedna elektronska trgovina se moe definisati kao elektronska trgovina kod koje se koriste bezbednosne procedure u skladu sa procenjenim rizicima. Osnovni ciljevi mera bezbednosti u informacionim sistemima su: Poverljivost obezbeuje nedostupnost informacija neovlaenim licima. Integritet obezbeuje konzistentnost podataka, spreavajui neovlaeno generisanje, promenu i unitenje podataka. Dostupnost obezbeuje da ovlaeni korisnici uvek mogu da koriste servise i da pristupe informacijama. Upotreba sistema iskljuivo od strane ovlaenih korisnika obezbeuje da se resursi sistema ne mogu koristiti od strane neovlaenih osoba niti na neovlaen nain.

Glavne naune discipline iji rezultati se koriste da bi se ostvarili pomenuti ciljevi su nauka o bezbednosti komunikacija i nauka o bezbednosti u raunarima. Bezbednost komunikacija oznaava zatitu informacija u toku prenosa iz jednog sistema u drugi. Bezbednost u raunarima oznaava zatitu informacija unutar raunara ili sistema ona obuhvata bezbednost operativnog sistema i softvera za manipulaciju bazama podataka. Mere 13

bezbednost komunikacija i bezbednosti u raunarima se kombinuju sa drugim merama (fiziko obezbeenje, bezbednost personala, bezbednost administracije, bezbednost medija) radi ostvarenja pomenutih ciljeva.

Povreda integriteta Mogui uzroci

Povreda poverljivosti podataka Mogue poslediceMogui uzroci Mogue posledice i Povreda privatnosti

Kraa Manipulacija podacima od straneGubitak podataka otkrivanje podataka osobe zaposlene u finansijskoj instituciji ili osobe van institucije

Sabotaa

Prekid rada pijuniranje pri sistema i trokovi Prevare, neovlaenom ponovnog iznuivanja pristupu uspostavljanja Gubitak Oslukivanje poverenja i komunikacije gubitak klijenata Naruavanje ugleda finansijske Hakerisanje institucije, pad prometa

pokuaji

Prevara

Prekid rada sistema i trokovi ponovnog uspostavljanja Gubitak poverenja i gubitak klijenata, naruavanje ugleda, pad prometa Sudski trokovi i kazne...

Hakerisanje Virusi Sudski trokovi i Virusi kazne...

Tabela br. 1 Mogui uzroci i posledice povrede integriteta i poverljivosti podataka Tabela 1 predstavlja komparativni prikaz moguih uzoraka i posledica povrede integriteta i poverljivosti podataka. Najei mogui uzroci su: manipulacija podacima od strane osobe 14

zaposlene u finansijskoj instituciji ili osobe van institucije, sabotaa, prevara, hakerisanje i virusi, a to prouzrkuje posledice u vidu gubitka podataka, gubitka poverenja, povresde privatnosti i slino. Potencijalne pretnje jednom informacionom sistemu koji sadri podsistem za elektronsku trgovinu su: Infiltracija u sistem Neovlaena osoba pristupa sistemu i u stanju je da modifikuje datoteke, otkriva poverljive informacije i koristi resurse sistema na nelegitiman nain. U optem sluaju, infiltracija se realizuje tako to se napada predstavlja kao ovlaeni korisnik ili korienjem slabosti sistema (npr. mogunost izbegavanja provera identiteta i sl.). Informaciju neophodnu za infiltraciju, napada dobija koristei neku drugu vrstu napada. Primeri takvih napada su "Dumpster diving attack", kod koga napada dobija potrebnu informaciju pretraujui korpu za otpatke svoje rtve, i "socijalni inenjering" kod koga napada dobija neophodnu informaciju primoravajui na neki nain (ucena, pretnja i sl.) svoju rtvu da mu je da. Prekoraenje ovlaenja Lice ovlaeno za korienje sistema koristi ga na neovlaeni nain. To je tip pretnje koju ostvaruju kako napadai iznutra ("insiders") tako i napadai spolja. Napadai iznutra mogu da zloupotrebljavaju sistem radi sticanja beneficija. Napadai spolja mogu da se infiltriraju u sistem preko rauna sa manjim ovlaenjima i nastaviti sa infiltracijom u sistem koristei takav pristup radi neovlaenog proirenja korisnikih prava. Suplantacija Obino posle uspeno izvrene infiltracije u sistem, napada ostavlja u njemu neki program koji e mu omoguiti da olaka napade u budunosti. Jedna od vrsta suplantacije je upotreba "trojanskog konja" to je softver koji se korisniku predstavlja kao normalan, ali koji prilikom izvrenja otkriva poverljive informacije napadau. Na primer, tekst procesor moe da kopira sve to ovlaeni korisnik unese u jednu tajnu datoteku kojoj moe da pristupi napada. Prislukivanje Napada moe da pristupi poverljivim informacijama (npr. lozinci ya pristup sistemu) prostim prislukivanjem protoka informacija u komunikacionoj mrei. Informacija dobijena na ovaj nain moe se iskoristiti radi olakavanja drugih vrsta napada. Promena podataka na komunikacionoj liniji Napada moe da promeni informaciju koja se prenosi kroz komunikacionu mreu. Na primer, on moe namerno da menja podatke finansijske prirode za vreme njihovog prenoenja kroz komunikacioni kanal, ili da se predstavi kao ovlaeni server koji od ovlaenog korisnika zahteva poverljivu informaciju. Odbijanje servisa Zbog estih zahteva za izvrenje sloenih zadataka izdatih od strane neovlaenih korisnika sistema, servisi sistema mogu postati nedostupni ovlaenim korisnicima. Negacija transakcije Posle izvrene transakcije, jedna od strana moe da negira da se transakcija dogodila. Iako ovakav dogaaj moe da nastupi usled greke, on uvek proizvodi konflikte koji se ne mogu lako reiti.

4. ZATITA I BEZBEDNOST E-TRGOVANJA4.1. RAZVOJ POLITIKE ZATITE

15

Zatita Veb sajtova odnose se na fizike (hardverske) i softverske resurse i obuhvata dve kategorije: (1)Administrativna bezbednost; (2) Mrena bezbednost. U domen administrativne bezbednosti spadaju mere kao to su: definisanje politike bezbednosti, definisanje resursa i tehnike bezbednosti, sprovoenje trening aktivnosti i definisanje principa odgovornosti. U realizadji ovih aktivnosti vaznu ulogu ima menadment organizacije koji ovom pitanju treba da posveti odgovarajuu panju. Propisivanje samih mera treba da realizuje kompetentni bezbedonosni tim strunjaka sastavljen od razliitih struka. Ovaj tim treba da postigne konsenzus oko sledeih pitanja: (a) Koje servise zahteva poslovanje organizacije i kako ih zatititi od eventualnog napada?, (b) Koliko zaposlenih i ko sve, zbog potreba posla, koristi e-mail?, (c) Da li korisnici raunaju na udaljeni pristup unutranjoj mrei. Upotreba Telnet servisa zahteva posebne mere zatite?, (d) Da li kupci imaju podrku putem Web-a? to je sistem koji treba da se obezbedi kompleksniji to je stepen zatite na niem nivou. Dokument kojim se definie bezbedonosna politika trebao bi da obuhvati sledee: (1) uputstvo za bezbednost arhitekture, (2) postupci u incidentnim situacijama, (3) postupci za administraciju sistema, (4) kontinuirane i preventivne mere zatite, (5) druge menaderske postupke. Znaajno je da se za svaku meru definie kompetentni nosilac. Svaki i mali propust hakeri e identifikovati i izazvati neeljene posledice. Posebno je vano pratiti pokuaje napada, analizirati ih i preduzimati odgovarajue mere zatite. Sistem bezbednosti organizaciije treba da zatiti sopstvene podatke i informaciije o potroaima. Sistem zatite savremenih raunarskih mrea sastoji se od sledea tri nivoa: Zatita s kraja na kraj (end-to-end security) na aplikativnom nivou koja se zasniva na primeni tehnologije digitalnog potpisa na bazi asimetrinih kriptografskih algoritama i zatite tajnosti podataka primenom simetrinih kriptografskih algoritama. Zatita na transportnom nivou predstavlja zatitu tajnosti podataka primenom simetrinih kriptografskih algoritama i autentikacije vorova komunikacionog segmenta mree. Zatita na mrenom IP nivou obezbeuje zatitu na IP nivou izmeu mrenih vorova i titi itavu mreu od eksternih napada korienjem mrenih protokola zatite i mrenih barijera (firewall). Kriptografska zatita na aplikativnom nivou zasniva se na primeni asimetrinih i simetrinih kriptografskih sistema ime se generalno realizuju sledee funkcije: Provera autentinosti subjekata u komunikaciji (asimetrini sistemi), Zatita integriteta podataka koji se prenose kroz mreu (asimetrini sistemi), Nemogunost naknadnog poricanja subjekta za sadraj poslatih podataka (asimetrini sistemi), Zatita tajnosti na aplikativnom nivou bezbednosno kritinih podataka (simetrini sistemi). Na bazi ovih principa su razvijeni sistemi i protokoli zatite koji su postali de facto standardi u aplikativnoj zatiti Internet/Intranet mrea, meu kojima su najpozantiji: S/MIME, Kerberos, proksi serveri na aplikativnom nivou, SET, IPSec (ISAKMP), i drugi.

16

Verovatno danas najvie korien protokol zatite na aplikativnom nivou je S/MIME (Secure Multipart Internet Mail Extensions) protokol za standardizovano slanje elektronske pote. S/MIME aplikacije se najee ugrauju u softverske pakete za slanje poruka, kao to su: Micrososft Outlook, Netrscape Communicator, Lotus Notes, Novell, itd. i osnovna karakteristika im je da obezbeuju interoperabilnost reenja od razliitih proizvoaa. Ovi sistemi se baziraju na primeni asimetrinih i simetrinih kriptografskih algoritama i digitalnim certifikatima, kao jednoznanim parametrima identifikacije strana u komunikaciji. Standardni e-mail servis predstavlja veoma nebezbedan servis razmene podataka. Elektronske poruke se mogu veoma jednostavno falsifikovati, menjati, kopirati, itd. Na svom putu od poiljaoca do primaoca. U standardnom e-mail sistemu ne postoje mehanizmi koji garantuju integritet poruke i autentinost poiljaoca.

Slika br. 5 E-mail principi Zaseban softverski modul koji omoguava Off-line zatitu podataka koji se razmenjuju izmeu uesnika informacionog sistema Zatita tajnosti na transportnom nivou se generalno ostvaruje primenom simetrinih ifarskih sistema, i to realizacijom procedure autentikacije i kriptografskog tunela izmeu raunara u komunikaciji. Iako se pomenuti mehanizmi mogu namenski razviti za bilo koju mreu raunara, ovi sistemi se uglavnom koriste za zatitu na transportnom nivou izmeu klijenata koji koriste standardne pakete za Internet pretraivanje (Internet Explorer, Netscape) i web servera. Najpoznatiji korieni protokoli su: SOCKS (ranije korien), SSL, TLS i WTLS. Od ovih sistema se najvie koristi SSL (Secure Sockets Layer) protokol koji, u stvari, predstavlja i daleko najkorieniji protokol zatite u Internet/Intranet raunarskim mreama. WTLS (Wireless Transport Layer Security) je beina varijanta SSL protokola i slui za zatitu na transportnom nivou izmeu WAP mobilnih telefona i WAP servera na istim 17

principima kao i SSL protokol. Zatita na mrenom nivou Zatita na mrenom nivou se ostvaruje ifrovanjem mrenog linka izmeu dva vora mrea, bez obzira da li su oni direktno povezani ili su povezani odgovarajuim putanjama koje podrazumevaju vei broj vorinih servera. Ove metode najee predstavljaju osnovu za realizaciju virtuelnih privatnih mrea na mrenom nivou. Najpoznatiji protokoli koji se koriste u ovom sluaju su: IPSec (AH,ESP), paketsko filtriranje i protokoli tuneliranja na mrenom nivou. IPSec (IP Security) se najire koristi i esto je ve ugraen u komunikacione i ruterske ureaje. IPSec se bazira na asimetrinim kriptografskim sistemima za realizaciju autentikacije i simetrinim sistemima za ifrovanje IP paketa. Postoje razliite varijante ovog protokola a najbezbednije su one koje koriste ifrovanje itavih IP paketa (zajedno sa hederom i IP adresama). IPSec protokol u cilju zatite celokupnog paketa, ukljuujui i heder. Napada ne zna interne adrese paketa (izvorna i odredina adresa), jedino krajnje take moraju imati vidljive adrese (IPSec gejtveji). Mrene barijere (firewall) mogu biti raunari, ruteri, radne stanice ili njihove kombinacije koje imaju osnovnu funkciju da definiu kojim se informacijama i servisima interne mree moe pristupiti iz spoljnjeg sveta i kome je, iz interne mree, dozvoljeno da koristi informacije i usluge spoljnjih segmenata mree. Ove barijere se uobiajeno instaliraju na takama gde se spajaju bezbedno osetljive interne mree i nebezbedne spoljnje mree. U zavisnosti od potreba, firewall se sastoji od jedne ili vie funkcionalnih komponenti iz sledeeg skupa: ruter paketskog filtriranja, gejtvej na aplikacionom nivou (Application Level Gateway proksi) i gejtvej na transportnom nivou (Circuit Level Gateway). Postoje etiri vana primera mrenih barijera: Packet Filtering Firewall, Dual-Homed Firewal (sadri dve mrene kartice), Screened Host Firewall (sastoji se od rutera paketskog filtriranja i gejtveja na aplikativnom nivou) i Screened Subnet Firewall (sastoji se od dva rutera paketskog filtriranja i gejtveja na aplikativnom nivou). Protokolski filtri

18

4.2. POARNI ZID - FIREWALLFirewall (poarni zid) prestavlja set programa koji su postavljeni na ulazu u mreu organizacije sa ciljem da je titi od nelegalnog upada iz okruenja. Sa firewall-om organizacija konrolie pristup svojim resursima mree i ujedno kontrolie kojim resursima radnici iz organizacije mogu da pristupe resursima iz okruenja.10 Namena firewall: blokira neeljeni saobraaj; prikrivaju ranjive sisteme koji se ne mogu lako zatititi sa Interneta; loguje saobraaj od i prema VPN (virtuelnoj privatnoj mrei); prikrivaju informacije od Interneta kao to su: imena sistema, topologija mree, tipovi ureaja mree i interna korisnika ID; obezbeuje robustniju autentifikaciju nego standardne aplikacije.

Vrste firewall -a Razliite implementacije firewall, sa nekoliko arhitektura i rangiranjem aplikacija u okruenju sa niskim, srednjim i visokim rizikom procesiranja date su u Tabelama. Tabela 2. Nain rangiranja razliitih vrsta firewall 410

preporuen izbor

Grupa autora, Informacioni sistemi u menadmentu, Savremena administracija, 2005.

19

3 2 1 0

efektivna opcija prihvatljivo mimimalna zatita neprihvatljivo

Tabela br. 3 - Sigurnosni rizik firewall Arhitektura Firewall-a Paketsko filtriranje Aplikaciona mrena kapija Hibridna mrena kapija Visoko-rizino okruenje (npr. bolnica) 0 3 4 Srednje-rizino okruenje (npr. univerzitet) 1 4 3 nisko-rizino okruenje (npr. cveara) 4 2 2

a). Mrena kapija za filtriranje paketa koristi rutere sa filtriranjem paketa za davanje ili odbijanje pristupa, baziranog na adresama izvora, destinacija i portova. Jeftini su i nude minimum zatite, u okruenju gde se ne oekuje veliki rizik; brze su, fleksibilne i transparentne. Pravla filtriranja se esto ne odravaju lako na ruteru, ali postoje raspoloivi alati koji pojednostavljuju zadatke kreiranja i odravanja pravila. Inherentni rizici su: adrese izvora, destinacija i portova u head-eru IP paketa su jedine informacije sa kojima ruter raspolae kod odluivanja o pristupu saobraaja intranet mrei; ne titi od IP ili DNS spoofing-a adresa; kada se od firewall-a jednom dobije pravo pristupa, napada ima direktan pristup bilo kojem hostu u intranet mrei; neki paketski filteri zahtevaju jaku autentifikaciju korisnika; obezbeuju nedovoljno ili nekorisno logovanje. b). Mrena kapija za aplikacije koristi programe servera (tzv. Proxy server), koji se aktiviraju na firewall-u za svaki servis, kao to su FTP, HTTP, itd. Proxy serveri primaju zahteve, ispituju ih i legitimne zahteve prosleuju host serveru, koji obezbeuje odgovarajui servis. Podrava autentifikaciju korisnika i logovanje. Kao najsigurniji firewall obezbeuje niz prednosti za okruenja sa srednjim rizikom: moe se konfigurisati kao jedina host adresa, vidljiva za spoljnu mreu, zahtevajui da sve veze u/iz intranet mree idu kroz Firewall; proxy server spreava direktan pristup servisima u intranet mrei i moe obezbediti detaljno logovanje na aplikacionom nivou; podrava jaku korisniku autentifikaciju; na aplikacionom nivou samo je firewall vidljiv za spoljne mree.

Kada se zahteva neki servis koga ne podrava proxy server, postoje tri mogua izbora:

20

odbiti servis dok se za firewall ne razvije siguran proxy (poeljno); razviti korisniki proxy, to je prilino teko; propustiti servis kroz firewall, koristei tzv. plugs, to omoguava veina aplikacionih Firewall-a, sa minimalnom filtracijom paketa. to ograniava neke ranjivosti, ali kompromituje zatitu sistema iza firewall-a.

Kod okruenja sa niskim rizikom, kada se trai prolaz kroz firewall nekog servisa u granicama Interneta koga ne podrava sw proxy firewall-a, administrator firewall-a mora definisati konfiguraciju ili plug koji e dopustiti traeni servis. Kada je proxy raspoloiv mora se deaktivirati plug a proxy operacionalizovati. Kod okruenja sa sredjim nivom rizika svi servisi u granicama Interneta moraju biti procesirani sa proxy sw firewall-a. Ako se uvodi novi servis, mora ga odobriti isporuilac i testirati administrator firewall-a. Korisniki proxy se moe razviti samo sa odobrenjem CIO. c). Hibridna mrena kapija kombinuje dva ili vie tipova firewall-a i implementira ih ee serijski nego paralelno, jer spojeni u seriju poboljavaju sveukupnu sigurnost, a u paraleli granina sigurnost mree je jednaka najmanje sigurnom zatitnom mehanizmu koji se koristi. Idealan je za mree sa srednjim i vsokim nivoom rizikom. Administracija firewall Firewall kao bilo koji mreni ureaj mora biti upravljan i kontrolisan. Politika zatite treba da definie menadment firewall-a. Glavni menader zatite treba naimenovati primarnog i sekundarnog administratora za odravanje firewall. Primarni administrator moe praviti promene na firewall, a sekundarni samo u njegovom odsustvu, tako da nema simultanog ili kontradiktornog pristupa firewall. Administratori firewall moraju biti na raspolaganju svih 24 sata. 11 Generalno se preporuuju dva iskusna lica za svakodnevnu administraciju firewall, sa dobrim znanjem o konceptu i implementaciji mree. Na primer, poto je veina firewall bazirana na TCP/IP, obavezno je potpuo razumevanje ovih protokola, kao i i ostalo znanje neophodno za ulogu tehnikog administratora. Lice zadueno za administraciju firewall mora imati dobro iskustvo sa konceptima umreavanja, dizajnom i implementacijom tako da se firewall konfiguriu korektno i propisno administriraju. Administratori firewall treba da periodino obnove obuku o korienju firewall u mrei, principima i praksi mrene zatite. Firewall su prva linija odbrane koju napada vidi. Po dizajnu, firewall su teki za direktan napad, to izaziva da napadai esto napadnu administratorski nalog na firewall, pa se korisniko ime i lozinka administratora moraju strogo zatititi.

11

Digurski, O.: Informatika, Fakultet bezbednosti, Beograd, 2002.

21

Fizika zatita pristupa firewall host raunaru je najsigurnija zatita, ali je nekad potrebna udaljena administracija firewall. Za zatitu od prislukivanja treba koristiti kriptozatitu sesije za daljinsku konekciju firewall. Za nizak nivo zatite bilo koji udaljeni pristup preko nepouzdane mree do firewall, za administraciju mora koristiti jaku autentifikaciju, kao to su jednokratna lozinka, i/ili hw/sw identifikatori (biometrijski). Kod srednjeg nivoa zatite poeljan metod za administraciju firewall je direktno iz prikljuenog terminala. Fiziki pristup do terminala firewall ogranien je na administratora i pomonika za firewall. Interni daljinski pristup kroz hostove intranet mree zahteva jaku autentifikaciju, a preko javnih, nepouzdanih mrea (Interneta) jaku autentifikaciju i kriptozatitu od take do take. Kod visokog nvoa zatite sva administracija firewall mora se izvravati od lokalnog terminala, dok daljinski pristup operativnom sistemu firewall ne sme biti doputen. Fiziki pristup terminalu firewall ogranien je na administratora i pomonika. Firewall nikada ne treba koristiti kao servere za generalnu namenu. Na firewall treba da budu jedino nalozi za administratora i njegovog pomonika. Samo administrator firewall-a i njegov pomonik mogu imati korisnika imena na intranet firewall-u. Bilo koju modifikaciju na sistemskom sw firewall, uz odobrenje menadera mrenih servisa, mogu napraviti samo administrator i njegovog pomonik. Firewall kao i bilo koji mreni host moraju imati, politikom zatite definisan sistem za bekapovanje, za oporavak sistema posle pada ili prirodne katastrofe. Datoteke podataka i sistemske treba da imaju plan bekapovanja u sluaju pada firewall. Sistemski sw, podaci za konfigurisanje, datoteke baza podataka, itd. firewall-a moraju se bekapovati dnevno, sedmino i meseno, tako da se u sluaju pada sistema mogu regenerisati datoteke podataka i za konfiguraciju. Bekap datoteke treba memorisati na medije koji su samo za itanje, tako da se ne mogu sluajno prepisati i da su dostupni samo odgovarajuem osoblju. Treba barem jedan firewall konfigurisati i uvati u rezervi, tako da se u sluaju pada firewall sistema ovaj bekap moe ukljuiti i zatititi mreu. Za spreavanje neovlaene modifikacije konfiguracije firewall, treba koristiti kontrolnu sumu, ciklinu redundantnu kontrolnu sumu i kriptografske he funkcije memorisane na zatiene medije. Svaki put kada sistem administrator aurira konfiguraciju potrebno je online aurirati bazu podataka integriteta sistema i ponovo je memorisati. Ako provera integriteta pokae da je konfiguracija firewall modifikovana, onda je sigurno da je sistem kompromitovan. Baza podataka integriteta sistema firewall treba da bude svaki put aurirana kada se modifikuje konfiguracija firewall. Datoteke integriteta sistema moraju se memorisati na medije samo za itanje ili pokretne medije. Integritet sistema firewall se provera regularno da bi administrator koji modifikuje datoteke generisao izvetaj (listing).

22

Vano je da se operacione procedure i parametri konfiguracije firewall dobro dokumentuju, auriraju i dre na sigurnom i bezbednom mestu, da bi se obezbedilo brzo preuzimanje administracije firewall u sluaju potrebe i rekonstrukcija dogoaja koji su uzrokovali incident u sistemu zatite, u sluaju proboja sistema. Moraju se kontrolisati fiziki pristup firewall-u, ispravan alarm i bekap da bi se spreila bilo koja neovlaena i kontrolisala ovlaena promena konfiguracije, operativnog statusa i monitoringa firewall-a. Intranet firewall treba da bude zakljuan u kontroisanom okruenju, propisno aklimatizovanoj prostoriji sa izvorom neprekidnog napajanja i redovno kontrolisanim protivpoarnim alarmom, sa pristupom ogranienim na administratore mree, firewall-a i firewall-a za bekap. Politika zatite treba da odredi koji tip izvetaja o incidentima treba da se loguje i ta da se radi sa log izvetajem. Firewall treba konfigurisati da loguje sve izvetaje dnevno, sedmino i meseno, tako da aktivnosti mree mogu biti analizirane kad god je potrebno. Log dataoteka firewall-a treba da se ispituje svake sedmice da bi se odredilo da li su napadi bili detektovani. Administrator firewall-a mora biti upoznat o alarmu sistema zatite u bilo koje vreme, da bi odmah odgovorio na takav alarm. Firewall mora blokirati sve tipove napada kao to su ActiveX i Java. Kada se neki incident u sistemu zatite detektuje, firewall se mora iskljuiti i rekonfigurisati, Internet servis se mora dezaktivirati, a sekundarni firewall ukljuiti u rad. Intranet mreu ne treba ukljuivati na Internet bez firewall-a. Nakon rekonfigurisanja, firewall se mora ponovo ukljuiti u sistem. Potrebno je definisati politikom zatite restauraciju servisa firewall-a u sluajevima kda se dogodi proboj sistema. U sluaju kada je firewall probijen, administrator(i) firewall-a je odgovoran za rekonfiguraciju firewall-a i otklanjanje bilo koje slabosti koja je iskoritena za proboj. Firewall treba restaurisati da doe u isto stanje u kojem je bio pre proboja, tako da se mrea ne ostavi otvorenom. U toku restauracije bekap firewall treba ukljuiti u rad. Pre bilo koje modernizacije neke komponente firewall-a administrator mora verifikovati kod proizvoaa da li se zahteva nadogradnja. Posle svake modernizacije firewall treba testirati da se proveri operativna ispravnost pre ukljuivanja u rad.

4.3. PROXY SERVERProxy serveri se lociraju izmeu radne stanice korisnika i Interneta. Oni presreu zahteve korisnika i pokuavaju ih uspeno reavati. Ukoliko u tome ne uspevaju, zahteve prosleuje pravom serveru. Mreni gateway-i na nivou aplikacije slini su proxy serverima. Proxy server je povezan sa ili je deo rateway servera koji razdvaja mreu organizacije od spoljne mree i firewall servera koji titi mreu od spoljnih napada. Proxy serveri imaju dve osnovne 23

funkcije: poboljanje performansi i bezbednost, Proxy serveri poboljavaju performantnost ako rade kao ke serveri. U tom sluaju oni jedno vreme uvaju rezultate predhodnih zahteva. Ilustrujmo to jednim primerom. Zamislimo situaciju da jedan korisnik zahteva odreenu web stranicu. Posle izvesnog kraeg vremena drugi korisnik zahteva tu istu web stranicu. Umesto da se zahtev upuuje veb serveru na kojem se nalazi zahtevana stranica i time potroiti odreeno vreme, proxy server e drugom korisniku ispuniti zahtev, jer u ke memoriji ima web stranice koje je zahtevao prvi korisnik. Mnogi online servisi kao to su America Online i CompuServe koristi itav niz proxy servera. Organizacije mogu da koriste proxy servere kako bi spreili da njihovi zaposleni pristupe odredenim veb sajtovima.

4.4. KRIPTOGRAFIJAifra i digitalni potpis su kriptografske tehnike koje se koriste da bi se implementirali pomenuti bezbednosni servisi. Osnovni element koji se koristi naziva se ifarski sistem ili algoritam ifrovanja. Svaki ifarski sistem obuhvata par transformacija podataka, koje se nazivaju ifrovanje i deifrovanje. ifrovanje je procedura koja transformie originalnu informaciju (otvoreni tekst) u ifrovane podatke (ifrat). Obrnut proces, deifrovanje, rekonstruie otvoreni tekst na osnovu ifrata. U ifarskoj transformaciji, pored otvorenog teksta, takoe se koristi jedna nezavisna vrednost koja se naziva klju ifrovanja. Na slian nain, transformacija za deifrovanje koristi klju deifrovanja. Broj simbola koji predstavljaju klju (duina kljua) zavisi od ifarskog sistema. ifarski sistem moe u informacionom sistemu obezbeivati servis poverljivosti. U tom sluaju, otvoreni tekst sadri poverljivu informaciju koja se nalazi na serveru. Ako je ifarski sistem otporan na mogue napade, ifrat se moe poslati putem komunikacione mree, bez mogunosti da neovlaeno lice doe do poverljive informacije. Kriterijumi kvaliteta jednog ifarskog sistema definiu se imajui u vidu raunarske resurse kojima raspolae potencijalni napada. Postoje dve osnovne vrste ifarskih sistema simetrini sistemi, koji se dalje dele na sekvencijalne ifarske sisteme i blok ifarske sisteme, i asimetrini sistemi ili sistemi sa javnim kljuevima. Njihove karakteristike su razliite i koriste se na razliit nain u bezbednosnim servisima. Simetrini sistemi Simetrini ifarski sistemi su oni kod kojih je klju ifrovanja identian kljuu deifrovanja. Klju mora da se dri u tajnosti, to znai da poiljalac i primalac poruke moraju pre slanja poruke da se dogovore o kljuu ili da postoji centar za distribuciju kljueva koji ih distribuira korisnicima ifarskog sistema putem sigurnog kanala. Osnovni algoritam ifrovanja koji spada u ovu kategoriju je Vernamova ifra ("One time pad"), kod koje se ifrat dobija sabiranjem po modulu 2 binarnih simbola otvorenog teksta i binarnih simbola kljua. Pre ifrovanja, otvoreni tekst napisan koristei obian alfabet mora da se pretvori u niz binarnih simbola ("bita") koristei odgovarajui kod.1212

Digurski, O.: Informatika, Fakultet bezbednosti, Beograd, 2002.

24

X

EA K

Y

DA

X

Slika br. 6 Simetrini sistem ifrovanja Sekvencijalni ifarski sistemi Iako Vernamova ifra garantuje maksimalnu bezbednost, ona nije pogodna za iroku praktinu primenu zato to zahteva jedan simbol tajnog kljua za svaki simbol otvorenog teksta. Imajui u vidu koliinu informacija koju u dananje vreme treba ifrovati, pomenuti algoritam se pokazuje nepogodnim za ifrovanje tako velike koliine podataka. On se koristi tamo gde je potrebna maksimalna bezbednost, a koliina informacija koja se ifruje je minimalna. U praksi se iroko koriste generatori pseudosluajnih nizova, koji predstavljaju deterministike algoritme za ifrovanje, ali nizovi simbola koje oni generiu imaju osobine sline sluajnim nizovima. Generatori pseudosluajnih nizova koriste kratke kljueve radi zapoinjanja procesa generisanja. Ovi kljuevi moraju biti prisutni na obe strane pre poetka komuniciranja. Izlazni niz iz generatora se sabira po modulu 2 sa nizom otvorenog teksta i na taj nain se dobija niz ifrata. Na prijemnoj strani se sabira primljeni niz ifrata sa pseudosluajnim nizom generisanim pomou istog kljua, poevi od istog poetnog simbola kao i na predajnoj strani. Zbog toga je prijemnik u stanju da rekonstruie otvoreni tekst. Evidentno je da nizovi koje generiu konani automati ne mogu nikada imati iste osobine kao i sluajni nizovi. Pseudosluajni nizovi su periodini u irem smislu (to znai da mogu imati aperiodini poetak), ali ako su periodi takvih nizova mnogo vei od duina nizova otvorenog teksta, sistem e se ponaati na slian nain kao i Vernamova ifra. Osnovna ideja koja stoji iza sekvencijalnih ifara je da se generie duga i nepredvidljiva sekvenca simbola iz nekog alfabeta (npr. binarnog) na osnovu kratkog kljua izabranog na sluajan nain. Sekvencijalna ifra sa generatorom pseudosluajnog niza je aproksimacija Vernamove ifre, utoliko bolja ukoliko je pseudosluajni niz blii po karakteristikama autentinom sluajnom nizu.

25

Slika br. 7. Osnovna ema sekvencijalnog ifarskog sistema Nije lako utvrditi kada je binarni niz dovoljno bezbedan za upotrebu u kriptografiji, poto ne postoji opti i unificirani kriterijum koji bi sluio za ocenu takvih nizova. Meutim, moe se naznaiti niz zahteva koje svaki ifarski niz mora da zadovolji da bi se mogao koristiti u sekvencijalnom ifarskom sistemu. Najvaniji takvi zahtevi su:13 Period Period ifarskog niza mora da bude bar jednake duine kao i duina niza koji se ifruje. U praksi, generiu se nizovi iji je period mnogo redova veliine vei od duine niza koji se ifruje. Statistike osobine U sluajnom nizu, razliiti podstringovi zadate duine moraju biti uniformno raspodeljeni celom njenom duinom. Nepredvidljivost Ako je dat deo ifarskog niza proizvoljne duine, kriptoanalitiar ne moe da predvidi sledei bit te sekvence sa verovatnoom veom od 1/2. Jedna od mera nepredvidljivosti sekvence je njena linearna sloenost, a jedan od algoritama za njeno izraunavanje je algoritam Berlekamp-Massey. Lakoa implementacije Sekvenca mora da bude takva da ju je lako generisati elektronskim sredstvima, radi praktine primene u procesu ifrovanja/deifrovanja. To ukljuuje niz tehnikih aspekata: brzina generisanja (npr. reda Mbit/s ili vie radi primene u irokopojasnim komunikacijama), trokovi, veliina sklopa za generisanje, broj elektronskih komponenata potrebnih za generisanje, potronja, itd., koji se moraju imati u vidu prilikom implementacije generatora ifarske sekvence. Generatori pseudosluajnih nizova mogu biti zasnovani na linearnim kongruencijama, pomerakim registrima sa linearnom ili nelinearnom povratnom spregom, itd. Takoe, pomenute elementarne strukture mogu sluiti kao osnovni elementi za konstruisanje sloenijih ema. Blok ifra Blok ifrom se naziva ona kod koje se originalna poruka ifruje po grupama (blokovima) od dva i vie elemenata. Kod blok ifara: 13

Nain ifrovanja svakog simbola zavisi od naina ifrovanja susednih simbola. Svaki blok simbola se ifruje uvek na isti nain, nezavisno od mesta koje zauzima u poruci.

Lazarevi Petrovi S.: Poslovna informatika, Visoka kola strukovnih studija za menadment u saobraaju, Ni 2009

26

Jednake poruke, ifrovane sa istim kljuem, uvek daju jednake ifrate. Da bi se deifrovao deo poruke, nije neophodno deifrovati je od poetka, dovoljno je deifrovati blok koji nas interesuje.

Svaka blok ifra sastoji se od etiri elementa: 1. Inicijalna transformacija. 2. Jedna kriptografski slaba funkcija, ponovljena r puta ("rundi"). 3. Finalna transformacija. 4. Algoritam za ekspanziju kljua. Inicijalna transformacija moe sadrati jednu ili dve funkcije. Prva randomizuje ulazne podatke, radi skrivanja blokova koji sadre samo jedinice ili samo nule, i obino ne zavisi od kljua. Druga funkcija oteava neke napade na ovakve sisteme, kao npr. linearnu ili diferencijalnu kriptoanalizu. Druga funkcija zavisi od kljua. Svaka runda se sastoji od jedne nelinearne funkcije, na koju utiu i delovi kljua i delovi ulaznih podataka, koja moe biti jednosmerna ili ne. Nelinearna funkcija moe sadrati samo jednu veoma kompleksnu operaciju ili niz sukcesivnih razliitih jednostavnijih transformacija. Runde se meusobno povezuju sabiranjem po modulu 2, bit za bit, sa podacima koji dolaze iz prethodne runde ili iz inicijalne transformacije. Na taj nain se formira involutivna transformacija, kada se ponovi identian proces (ali uz klju deifrovanja dat obrnutim redom), ime se rekonstruie otvoreni tekst. Finalna transformacija slui da bi operacije ifrovanja i deifrovanja bile simetrine. Algoritam za ekspanziju kljua ima za cilj pretvaranje kljua obino ograniene duine u skup podkljueva koji se mogu sastojati od veeg broja bita. Blok-ifre operiu nad redukovanim skupovima podataka. One su pogodne za ifrovanje kratkih poruka, kao to su kljuevi, identifikacioni podaci, potpisi, lozinke itd., ali nisu pogodne za ifrovanje velikih koliina podataka, kao to su formatirani tekst, listinzi programa, tabele, i naroito grafike datoteke, poto se struktura takvih dokumenata lako odreuje.

Slika br. 8 Nain rada blok-ifre u kome se ulanavaju blokovi ifrata

27

Slika br. 9 Nain rada blok-ifre sa ifratom u povratnoj sprezi Blok-ifre su pogodne za ifrovanje kratkih poruka kljuevi, identifikacioni podaci, potpisi, lozinke, itd. Nisu pogodne za ifrovanje velikih koliina podataka, kao to su formatirani tekst, listinzi programa, tabele, i naroito grafike datoteke poto se struktura takvih dokumenata lako odreuje. 14 Multiplikacija blok ifre Jedini nain na koji se moe poveati prostor koji razapinje klju blok-ifre je procedura multiplikacije ifre. Radi se o ponavljanju ifre n puta, koristei n meusobno nezavisnih kljueva. Svetski trendovi u primeni savremenih protokola zatite U svetu se sve vie i vie razmatraju i uvode sistemi masovnog korienja smart kartica kao ID dokumenata, ali uglavnom u manjim zemljama (Estonija, Finska, Belgija, vedska, Hong Kong, Makao, Malezija). Ove smart kartice se uglavnom uvode u obliku multiaplikativnih smart kartica koje treba da omogue korienje u postojeim i buduim e-government aplikacijama. Takoe, postoje primeri uvoenja smart kartica kao zdravstvenih knjiica (Slovenija, Tajvan). U svetu postoje primeri sve veeg uvoenja elektronskog bankarstva na bazi smart kartica (pre svega u domenu zatiene veze firma banka) ali ne u oekivanom broju (to pogotovo vai u domenu elektronskog plaanja fizikih lica), U svetu postoji sve vie primera migracije na EMV (Europay Mastercard Visa) platformu primene smart kartica umesto magnetnih platnih kartica, ali za sada uglavnom u obliku SDA (Static Data Authentication) modela. Domaa iskustva u primeni savremenih protokola zatite14

Digurski, O.: Informatika, Fakultet bezbednosti, Beograd, 2002.

28

Od 6. januara 2003. godine sve banke (uglavnom a moda i iskljuivo sve banke) primenjuju sisteme zatienog elektronskog bankarstva u smislu zatiene veze izmeu firmi i banke na bazi smart kartica, PKI sistema i digitalnog potpisa. To predstavlja jedinstven sluaj u Evropi (i ire) i ve je izdato oko 10000 smart kartica za firme. Sistemi zatite u ovim sistemima su preteno domae proizvodnje. U naoj zemlji je u toku projekat zamene linih dokumenata koji predvia uvoenje PKI JAVA smart kartica kao novih smart ID dokumenata u Srbiji. To je veoma sofisticiran projekat, moda jedan od najnaprednijih projekata te vrste u svetu, kojim e se, pored dobijanja veoma bezbednih i najsavremenijih linih dokumenata, ostvariti i mogunost primene pomenutih dokumenata u buduim e-government aplikacijama. Sve vie i vie banaka u Srbiji razmilja o uvoenju EMV kompatibilnih sistema korienja platnih kartica. Na osnovu iznetog, moe se zakljuiti da je za realizaciju pouzdanog sistema zatite date raunarske mree potrebno primeniti kombinovani vienivoski sistem zatite, sa softverskim i hardverskim komponentama, koji se bazira na primeni asimetrinih i simetrinih ifarskih sistema, digitalnim certifikatima koje izdaje odgovarajue certifikaciono telo i smart karticama za generisanje digitalnog potpisa i za bezbedno uvanje kriptografskih kljueva. Posebno je istaknut znaaj uspostavljanja funkcija PKI sistema u cilju jednoznane kriptografske identifikacije uesnika. Dat je i prikaz svetskih trendova i odgovarajuih domaih iskustava u primeni savremenih tehnika zatite i kriptografskih protokola u informacionim sistemima. Na osnovu svega iznetog se moe zakljuiti da naa zemlja uopte ne zaostaje i da ak prednjai u nekim segmentima primene PKI sistema zatite na bazi smart kartica u informacionim sistemima.

5. ZAKLJUAKKao veoma mlada oblast, elektronska trgovina je jo uvek u procesu definisanja brojnih zakonskih etikih pitanja. ak se kao novi deo Kompjuterskog prava formiralo Sajber pravo, koje obuhvata raznovrsne pravne probleme u cyberspace-u, u kojem se obavlja elektronska trgovina. Zakonom u ovoj oblasti, svaka drava pokuava da regulie fenomen koji jednostavno ne moe da se ogranii na dravne granice. ak i nacionalne vlade ne mogu da oekuju da obuzdaju efekte sajber prostora, prosto zato to je to globalna tehnologija, istovremeno nigde i svuda. Ali, samo zato to su poznate granice nestale, to ne znai da one u sajber prostoru ne postoje. Nove granice, kao to su domeni definisani tehnikim karakteristikama, mogu zauzeti mesto granica u tradicionalnom smislu. Ipak, granice u sajber prostoru su jo uvek povezane sa stvarnim efektima u fiziki ogranienom stvarnom prostoru. Zato je jedan od najveih teorijskih izazova sajber prava da prepozna, artikulie i opie obim i ulogu ovih prostora. Postojei pravni sistemi ne daju zadovoljavajue odgovore poto je njihovo vaenje ogranieno teritorijom drave na kojoj se primenjuju. Naravno, postavlja se pitanje na koji nain se donose odluke, u nedostatku kolektivnog internacionalnog tela, pod ovim okolnostima i da li postoji prostor za konsenzus izmeu strana. Da li e pojedinani, ili kolektivni postupci potisnuti nacionalno, ili ak internacionalno zakonodavstvo i koje su 29

posledice takvog konflikta? Izlaz je pokuan da se nae u meunarodnim organizacijama poput Ujedinjenih Nacija, Svetske Trgovinske Organizacije ili u okviru regionalnih ekonomskih blokova, kao sto je Evropska Unija. Zakonodavne vlasti mnogih zemlja, koje tee promovisanju e-trgovine i e-uprave, dale su prioritet donoenju zakona koji stvaraju pravnu osnovu za korienje i prihvatanje elektronskih ili digitalnih potpisa. Tokom proteklih pet do sedam godina oko pedeset zemalja usvojilo je zakone ili uredbe o elektronskim ili digitalnim potpisima, dok su slinu regulativu druge zemlje uzele u razmatranje. Uesnici u elektronskoj trgovini susreu se sa brojnim problemima i pitanjima. Najea pitanja vezana su za vanost ugovora koji se odnose na kupovinu i distribuciju softvera za potrebe elektronske trgovine. To pitanje je od izuzetne vanosti, poto softver predstavlja digitalizovan proizvod ija podaja on-line svakim danom snano raste. Stoga se stalno postavlja pitanje intelektualnog vlasnitva softverske piraterije. U Srbiji je elektronska trgovina jo u povoju, ali sve se vie razvija svest o neophodnosti i velikoj koristi primene elektronske trgovine. Prvi korak u tom pravcu je usvajanje Zakona o elektronskom potpisu. Osim toga, javlja se potrebe za izmenom i donoenjem i drugih zakonskih propisa, pri emu treba imati u vidu i odreene globalne okolnosti, pre svega integraciju u EU, i potrebu usaglaavanja propisa koji reguliu ovu materiju. Zakonska i etika pitanja su od velikog znaaja za elektronsku trgovinu, tako da e nalaenje reenja za otvorena pitanja i probleme bezbednosti u ovoj oblasti pozitivno uticati na njen budui razvoj.

LITERATURA1. Grupa autora, Informacione tehnologije, Ekonomski fakultet Subotica, 2007. 2. Digurski, O.: Informatika, Fakultet bezbednosti, Beograd, 2002. 3. Grupa autora, Informacioni sistemi u menadmentu, Savremena administracija, 2005. 4. Lyn R.: Implementing B2B Comerce with. NET Addison Wesley, 2004. 5. Balaban N., Risti .: Poslovna inteligencija, Ekonomski fakultet Subotica, 2006. 6. Peter K.: The Business Internet and Intranets, Harvard Busineess Shool Press Boston. 7. Milievi V, Internet ekonomija, Fakultet organizacionih nauka, Beograd, 2002. 8. Veinovi M., Jevremovi A., Uvod u raunarske mree, Univerzitet Singidunum Fakultet za informatiku i menadment, Beograd, 2008. 9. Vidas - Bubanja M.: E-poslovanje: menadment, Tehnologije, aplikacije Beograd, 2003.

30

10. Petrovi S., Kompjuterski kriminal 2. Izdanje, MUP Republike Srbije, 2001., 11. Lazarevi Petrovi S.: Poslovna informatika, Visoka kola strukovnih studija za menadment u saobraaju, Ni 2009 12. www.e-trgovina.rs 13. www.etrgovina.org

31