sigurnosni aspekti elektronskog poslovanja

FAKULTET ZA POSLOVNI I INDUSTRIJSKI MENADMENT

SEMINARSKI RAD

Predmet: RAUNARSKE KOMUNIKACIJE

Tema: SIGURNOSNI ASPEKTI ELEKTRONSKOG POSLOVANJA

Mentor: Prof. Dr. Miomir Todorovi Beograd, novembar 201

Student: Damir Veles 206/2011

Fakultet za poslovno industrijski menadment- Sigurnosni aspekti elektronskog poposlovanja

1

Sadraj:ContentsSadraj:Contents............................................................................................1 UVOD..............................................................................................................1 1.SIGURNOST I ZASTITA UMREZENIH SISTEMA...............................................2 1.1.Vrste zatite podataka umreenih sistema...........................................3 1.1.1 Hardversko softverska zatita.........................................................3 1.1.2.Fizika i organizacijska zatita........................................................3 1.1.3.Komunikacijska zatita (kripto zatita)............................................4 1.2.Kompjuterski kriminal...........................................................................4 1.2.1. Pretnje za sigurnosne sisteme.......................................................4 2. KRIPTOGRAFIJA...........................................................................................5 2.1. Kriptografski sistemi.............................................................................6 2.1.1. Simetrini kripto sistemi................................................................7 2.1.2.Asimetricni kripto sistemi................................................................9 2.1.3.Hibridni kriptosistemi PGP.............................................................11 3. AUTORIZACIJA...........................................................................................14 3.1 Autorizacija putem pomonog kanala ...............................................15 3.2 Autorizacija pomou lozinke................................................................15 3.3 Autorizacija putem digitalnog potpisa.................................................15 4. NAJVANIJI ASPEKTI ZATITE ELEKTRONSKOG POSLOVANJA....................16 5. STRATEGIJE REAVNJA SIGURNOSNIH RIZIKA U ELEKTRONSKOM POSLOVANJU.................................................................................................17 6. DIGITALNI POTPIS.....................................................................................19 6.1 Slepi digitalni potpis............................................................................19 6.2 Poteni slepi digitalni potpis................................................................19 Zakljuak:.....................................................................................................20 Literatura:....................................................................................................21

UVOD


2

S obzirom na progresivan razvoj

informacionih tehnologija i njihovo sve vee

korienje prilikom poslovanja, trebalo bi razmatrati i mogue naine njihove zatite, ne bi li se tako poslovanje uinilo sigurnim. I to je upravo tema ovog seminarskog rada. U prvom poglavlju se govori o sigurnosti i zatiti umreenih sistema, gde se kao pod poglavlja obradjuju vrste zatita podataka umreenih sistema i kompjuterski kriminal. U drugom poglavlju se govori o kriptografiji, gde se k a o p o d p o g l a v l j a o b r a u j u simetrini kriptosistemi, asimetrini kriptosistemi i hibridni kriptosistem PGP. U treem poglavlju se govori o autorizaciji, gde se obrauju podpoglavlja autorizacijaputem pomonog kanala, autorizacija pomou lozinke i autorizacija putem digitalnog potpisa. U etvrtom poglavlju se govori o najvanijim aspektima zatite elektronskog poslovanja, a to su integritet, tajnost, provera identiteta I neporecivost. U petom poglavlju se obrauju strategije za reavanje sigurnosnih rizika u elektronskom poslovanju. U estom poglavlju se govori o digitalnom potpisu, I obrauju se podpoglavlja slepi digitalni potpis i poteni slepi digitalni potpis. Sedmo poglavlje se odnosi na zakljuak o ukupnom radu. U osmom poglavlju je navedena literatura koja je koriena prilikom izrade seminarskog rada.

1.SIGURNOST I ZASTITA UMREZENIH SISTEMA


3

Jedan od osnovnih parametara uspenog elektronskog poslovanja moderne kompanije je implementacija kvalitetne i visoko funkcionalne raunarske mree, koja predstavlja jedan od osnovnih uslova poslovanja moderne informacione kompanije. To su zadaci koji se postavljaju svakom IT menaderu dananjice , a iziskuju ne samo veliko znanje ve i iskustvo na podruju raunarskih mrea. Nakon implementacije jedne funkcionalne raunarske mree postavlja se pitanje njene sigurnosti i zatite od raznih oblika napada i ometanja iz okoline poslovnog sistema. Reenje nalazimo u korienju kriptografije i kriptografskih algoritama odnosno njihovih metoda i protokola.

1.1.Vrste zatite podataka umreenih sistemaOsnovni cilj zatite i ouvanja sigurnosti podataka umreenih sistema jeste uklanjanje izvora opasnosti kojima je sistem izloen. Potrebno je istai da apsolutna zatita sistema ne postoji. Zato je potrebno smatrati da sistem zatite ne omoguava apsolutnu zatitu podataka, ve se radi o metodama koje u velikoj meri umanjuju opasnosti kojima su izloeni. Sama zatita informacionih sistema se moe podeliti na:-unutranju

-spoljanju Jedan od moguih naina razlikovanja unutranje i spoljanje zatite je da svi sluajevi koji mogu biti kontrolisani pomou kompjutera spadaju u unutranju zatitu. Takoe jedna od moguih podela zatite podataka umreenih sistema moe biti:-Hardversko-softverska zatita

-fizika i organizacijska zatita -komunikacijska zatita(kriptozatita) 1.1.1 Hardversko softverska zatita Hardversko-softverske medote zatite utemeljne su na korienju standardnih hardversko-softverskih sistema i prateih ureaja, razvijenih i ugraenih od strane proizvoaa opreme ili dopunjenih od strane korisnika. Hardverska metoda zatite umreenih sistema se uglavnom koristi kod zatite memorije i telekomunikacija. Softverska metoda se uglavnom koristi za zatitu programskih paketa,datoteka i slino. 1.1.2.Fizika i organizacijska zatita Fizika i organizacijska metoda zatite su klasine metode zatite podataka i prvi koraci u svakom programu zatite. Tu se vri zatita celokupnog objekta i njegove okoline. Takoe se vodi rauna o svima koji imaju dodir sa uvanim objektom.


4

1.1.3.Komunikacijska zatita (kripto zatita) Komunikacijska zatita je metod koji se koristi za zatitu podataka unutar umreenih sistema koji se prenose komunikacionom linijom. Tu postoje razliite vrste zatita, od kojih se najvie koriste: kriptografska zatita, korienje specijalnih ureaja za promenu signala (scrambling), korienje pametnih kartica i slino.

1.2.Kompjuterski kriminalDananji kriminal uz pomo kompjutera moe imati razne oblike poev od kraa i pronevera, pa sve do pribavljanja informacija koje se mogu iskoristiti za sopstvenu dobit. U kompjuteski krimanal spadju sledee kategorije[1]: 1)Kraa usluga gde ovlaena osoba koristi kompjuter za neovlaene potrebe ili neovlaenog korisnika za sticanje odgovarajue koristi. 2)Imovinski kriminal koristi da bi se pribavila imovina koja se kasnije koristi ili za svoje potrebe ili za sticanje profita. 3)Informacijski kriminal gde poinilac koristi informacije koje sadri kompjuter za sticanje line dobiti. 4)Finansijski kriminal gde se koristi kompjuter radi sticanja odgovarajue finansijske dobiti. 5)Tradicionalni kriminal gde se kompjuteri mogu koristiti za kidnapovanje,pljakanje banaka i druge vrste tradicionalnog kriminala. 1.2.1. Pretnje za sigurnosne sisteme Prvi korak u izgradnji nekog sigurnosnog sistema jeste indentifikovanje opasnosti koje mu prete. Pojmom uljez ili napada moemo definisati osobu ili program koji nastoje dobiti neovlaen pristup podacima kompjuterskog sistema. Postoji mnogo naina kako moe da se ugrozi sigurnosni sistem, i oni se svi mogu svrstati u dve kategorije:-aktivni napadi -pasivni napadi

Aktivni napadi Cilj aktivnih napada je meanje u normalan rada sistema i izvrnje napada koji mogu imati pogubne posledice po sistem. Najei takvi postupci su unitavanje diska, usporavanje sistema, ispunjavanje memorije ili diska beskorisnim podacima i slino. Najpoznatije vrste ovih napada su virusi, crvi, i logike bombe.Virusi

Virus je komadi koda, koji se pridodaje normalnom programu, koji svojim izvravanjem inficira ostale programe. Oporavak od virusne infekcije obino zahteva delimian


5

ili potpun prekid rada dui period vremena dok se ne izbriu memorija i diskovi. Za spreavanje virusa donekle mogu pomoi antivirus programi, ali oni pomau samo kod poznatih virusa.Crvi

Crvi su programi koji se ire mreom od jednog kompjutera do drugog kompjutera. Oni mogu da dovedu do pada mrenih sistema, ili do zaguenja u radu mree, mogu da monopoliu podacima u mrei za sopstvene svrhe.esto je za reevanje problema potrebno iskljuiti ceo sistem, odnosno sve kompjutere koji su povezani u mrei.Logike bombe

Logika bomba je program koji lei neaktivan sve dok se ne ispuni neki uslov koji bombu aktivira, ime poinje unitavanje podataka i kvarenje programske podrke sistema. Uslov mogu biti razni dogaaji: pristup odreenom podatku, pokretanje nekog programa odreeni broj puta, istek odreenog vremena i slino. Pasivni napadi Za razliku od aktivnih napada, pasivni napadi ne ine nikakvu vidljivu tetu sistemu koji napadaju, zato ih je veoma teko detektovati. Njihov zadatak je da ukradu odreene informacije iz sistema neometajui pri tome rad sistema. Jedina zatita od pasivnih napada je prevencija. Neki od moguih pasivnih napada su sledei:-pregledanje

-curenje -zakljuivanjePregledanje

Poinilac pokuava da ita poslate podatke, memoriju drugih procesa, pakete poruka koji putuju mreom, ili slino, bez bilo kakve promene. Zatita od ove vrste napada se sastoji od mehanizma kontole pristupa, odnosno kriptovanja poruka.Curenje

U ovoj metodi, poinilac mora imati sauesnika koji je korisnik sistema i ima pristup eljenim informacijama i tako mu daje podatke. Ovde je prevencija komplikovana jer zahteva prevenciju svih vrsta komunikacije izmeu uljeza i sauesnika.Zakljuivanje

Ovde poinilac posmatra i analizira aktivnosti sistema i njegovih podataka i pokuava da donese neke zakljuke koji e mu omoguiti ulazak u sistem.

2. KRIPTOGRAFIJA


6

Uspeh elektronskog poslovanja (e-business) zavisi od zatite Internet komunikacija, odnosno, od mogunosti zatite on-line transakcija. Naime, Internet prua velike mogunosti u oblasti elektronskog poslovanja ali sa druge strane donosi problem zatite podataka i mrenih resursa. Meu problemima koji se javljaju istiu se sledei: -neovlaena prijava na mreu - neovlaen pristup mrenim resursima -neovlaeno otkrivanje sadraja poruka koje se razmenjuju mreom - problem tajnosti podataka -neovlaeno modifikovanje poruka problem integriteta podataka -lairanje poruka -poricanje ili nepriznavanje sprovedenih aktivnosti Da bi se spreila pojava navedenih problema, potrebno je implementirati razliite mehanizme zatite tj. potrebno je izgraditi odgovarajui sistem zatite. Kriptografski sistemi obezbeuju etiri osnovne funkcije zatite: 1. Tajnost (Confidentiality) - garantuje se da sadraj poruke moe da sazna jedino korisnik kome je poruka namenjena. 2. Provera identiteta (Authentication) - verifikuje se identitet korisnika koji komuniciraju preko mree. 3. Integritet (Integrity) - garantuje se da poruka nije promenjena prilikom prenosa. 4. Neporecivost (Nonrepudiation) - onemoguava se poricanje izvrene transakcije. Zatita tajnosti poruke realizuje se ifrovanjem poruke primenom odgovarajueg kriptografskog sistema, dok se ostale tri funkcije zatite realizuju tehnologijom digitalnog (elektronskog) potpisa.

2.1. Kriptografski sistemiZa zatitu podataka primenjuju se kriptografski sistemi ili kriptosistemi. Svaki kriptosistem se sastoji od kriptografskog algoritma i protokola koji omoguava njihov rad. Danas postoje razliiti kriptosistemi, a oni se svrstavaju u tri grupe[2]: -Simetrini kriptosistemi -Asimetrini kriptosistemi -Hibridni kriptosistemi


7

2.1.1. Simetrini kripto sistemi Osnovna osobina simetrinih kriptosistema ili kriptosistema sa jednim kljuem(SingleKey Cryptosystems) je da se isti klju koristi i za ifrovanje i za deifrovanje. Na slici1. je prikazan princip rada simetrinog kriptosistema, kada korisnik A eli da poalje poruku korisniku B. Korisnik A najpre generie poruku M koja se upuuje u blok za ifrovanje E. U tom bloku se vri ifrovanje poruke M uz korienje pristiglog kljua iz izvora kljua, i na taj nain se kreira kriptogram C (matematiki zapisano: C=E(M,K)). Zatim se taj kriptogram nezatienim kanalom prenosi do bloka za deifrovanje D. U njemu se vri deifrovanje kriptograma C pomou kljua koji je identian kljuu koji se koristi kod ifrovanja, i tako se formira poruka M (M=D(C,K)) koju prima korisnik B. Pri tome, poruka koju generie korisnik aSlika 1. Simetrini kriptosistem

i poruka koju prima korisnik B treba da su u potpunosti jednake.Kao to je navedeno, kriptogram se od korisnika A do korisnika B kree nezatienim kanalom. Na tom kanalu postoji korisnik C (napada) koji moe da uhvati kriptogram sa namerom da sazna sadraj


8

Korisnik C

Korisnik A

M

ifrator EK

C

Deifrator DK

M

Korisnik B

Izvor kljua

Izvor kljua

poruke koju taj kriptogram skriva (pasivan napada) ili da pokua da u kriptogram ubaci neke svoje poruke (aktivan napada). Iako uhvati kriptogram, napada teko da moe da sazna sadraj poruke ukoliko ne zna klju. Naime, kriptografski algoritmi imaju snanu matematiku osnovu, tako da omoguavaju visok stepen zatite podataka. Neki od njih su tako uspeni u zatiti da jo niko nije pronaao (ili nije objavio) matematike procedure koje bi omoguile njihovo probijanje. Kod takvih algoritama, jedini nain napada koji moe da se primeni je pretraivanje svih moguih kljueva. Ukoliko je broj moguih kljueva ogroman, to najee i jeste sluaj,


9

navedeno pretraivanje je beskorisno. Na osnovu izloenog zakljuujemo da klju mora da se dri u tajnosti, dok kriptogram moe da se alje i po nezatienom kanalu s obzirom na to da do sadraja poruke moe da doe samo onaj korisnik koji ima klju. Osnovni problem kod simetrinih kriptosistema je distribucija kljueva. Naime, korisnici koji ele da razmene poruku prethodno moraju da se dogovore o kljuu tj. o lozinci (password). Jedini pouzdan nain je ukoliko se oni fiziki sretnu i sporazumeju o kljuu. Meutim, est je sluaj da su korisnici fiziki razdvojeni i da ne mogu da dou u neposredan kontakt. Oni u tom sluaju, moraju da koriste neki zatien kanal da bi se dogovorili o kljuu.Meutim, problem je to zatien kanal praktino i ne postoji, a ukoliko bi i postojao postavlja se pitanje zato se tim zatienim kanalom na bi poslala poruka u tom sluaju ne bi ni postojala potreba za ifrovanjem. Drugi problem koji se javlja kod simetrinih kriptosistema je to je povremeno potrebno vriti zamenu postojeih kljueva novim kljuevima vee duine, to neizostavno dovodi do potrebe za ponovnim sporazumevanjem o kljuu izmeu korisnika. Razlog tome su sve vee mogunosti savremenih raunara, ime se poveava verovatnoa otkrivanja nepoznatih kljueva. Tako na primer, duina kljua od 56bita je danas na granici dovoljnog s obzirom na to da savremeni raunari mogu relativno brzo da otkriju klju te duine. Najpoznatiji algoritmi simetrinih kriptosistema su: DES (Data Encryption Standard) sa kljuem duine od 56 bita, 3DES sa dva kljua od po 112 bita, 3DES sa kljuem od 168bita, RC2 i RC4 (Rons Ciphers) sa kljuevima od 40 i 128 bita. 2.1.2.Asimetricni kripto sistemi Asimetrini kriptosistemi ili kriptosistemi sa javnim kljuem (Public-

KeyCryptosystems) se baziraju na korienju dva kljua: 1. javni klju (Public Key), kojim se vri ifrovanje podataka i 2. tajni ili privatni klju (Secret Key), koji se koristi za deifrovanje. Princip rada asimetrinih kriptosistema je sledei. Korisnik koji eli da primi ifrovanu poruku generie par kljueva, javni i tajni. Javni klju javno objavljuje tako da on postaje dostupan drugim korisnicima, dok tajni klju uva u tajnosti. Ukoliko neko eli da poalje ifrovanu poruku tom korisniku, on korienjem dostupnog javnog kljua vri ifrovanje poruke a zatim mu tako ifrovanu poruku prosleuje. Korisnik kome je ifrovana poruka namenjena, posle preuzimanja te ifrovane poruke, vri njeno deifrovanje korienjem svog tajnog kljua koji je par javnom kljuu kojim je ta poruka ifrovana.Na slici 2. je prikazan princip rada kod asimetrinog kriptosistema kada korisnik A alje poruku korisniku B. Da bi korisnik A mogao da izvri ifrovanje poruke M koju eli da poalje korisniku B, neophodno je da preuzme javni klju korisnika B - PKB. Posle ifrovanja poruke tim kljuem, dobija se kriptogram C (C=E(M, PKB)) koji se upuuje korisniku B. Jedino korisnik B moe da deifruje taj kriptogram svojim tajnim kljuem - SKB. Na izlazu iz bloka za deifrovanje dobija se poruka M (M=D(C, SKB)) koja je identina poruci koju je generisao korisnik A.


10

Slika 2. Asimetrini kriptosistemi

M

C

M

Korisnik A

ifrator EPK B

Deifrator DSK B

Korisnik B

Izvor javnog kljua korisnika B

Izvor tajnog kljua korisnika B

Najvea prednost asimetrinih kriptosistema u odnosu na simetrine je u pogledu distribucije kljueva. Princip distribucije kljueva kod asimetrinih kriptosistema zasnovan je na injenici da korisnik koji raspolae sa javnim kljuem moe da ifruje poruku ali ne moe da je deifruje. Samo korisnik koji ima odgovarajui tajni klju moe da deifruje poruku.Naime, matematiki je praktino nemogue odrediti tajni klju ukoliko se poznaje javni (primenjene su tzv. jednosmerne funkcije koje se lako raunaju u jednom smeru, dok je nalaenje inverznih funkcija veoma teko; primer: logaritmovanje po modulu nekog velikog celog broja ili pronalaenje prostih faktora velikih celih brojeva). Iz tog razloga, jedan klju je mogue uiniti javno dostupnim, i to javni klju, bez bojazni da se na osnovu njega izrauna tajni klju.


11

Korisnici koji uestvuju u komunikaciji razmenjuju javne kljueve, dok se tajni kljuevi ne prenose mreom niti na bilo koji drugi nain razmenjuju izmeu korisnika.Ovakvim nainom razmene javnih kljueva i korienjem asimetrinih kritposistema, omoguena je tajna razmena poruka ak i izmeu korisnika koji se nikada nisu sreli. Razmena javnih kljueva izmeu korisnika se najee vri preko servera za javne kljueve. Naime, na Internetu postoji vie servera javnih kljueva na kojima korisnici mogu da ostave svoj i/ili da preuzmu javne kljueve drugih korisnika. Alternativni nain razmene javnih kljueva izmeu dva korisnika je slanje kljueva elektronskim pismom. Prilikom komunikacije izmeu korisnika, veoma je vano da se pri ifrovanju poruke koristi javni klju korisnika kome je potrebno poslati poruku, a ne pogrean ili laan javni klju. Da bi sa sigurnou moglo da se tvrdi za neki javni klju preuzet sa servera za javne kljueve da je to klju korisnika kome je potrebno uputiti poruku, uveden je digitalni sertifikat. Digitalni sertifikat se sastoji od tri inioca: -javnog kljua, -informacija o sertifikatu (informacija o identitetu korisnika koji je vlasnik javnog kljua,kao to su ime, korisnika ifra,) i -jednog ili vie digitalnih potpisa. Jedini nedostatak distribucije javnih kljueva preko servera za javne kljueve je u tome to korisnik koji objavi svoj javni klju oglaava celom svetu da eli da prima ifrovane poruke i na taj nain skree panju potencijalnih napadaa na sebe. Kod asimetrinih kriptosistema koriste se znatno dui kljuevi nego kod simetrinih. Tako na primer, duini kljua od 80 bita simetrinih kriptosistema odgovara klju duine od 1024 bita kod asimetrinih kriptosistema. Klju duine 1024 bita se danas smatra jednim od kraih kljueva asimetrinih kriptosistema. Pre ifrovanja poruke, vrlo je bitno da se izabere klju odgovarajue duine. to je klju dui vii je stepen zatite ifrovanih podataka, ali postupak ifrovanja vremenski posmatrano due traje. Zato je potrebno nai kompromis izmeu duine kljua tj. stepena zatite ifrovanih podataka i vremena potrebnog za njihovo ifrovanje/deifrovanje. Pri odreivanju duine kljua korisno je razmotriti koja osoba moe da pokua da probije ifrovanu poruku, i sa koliko vremena i raunarske snage ona raspolae. Na izbor duine kljua moe presudno da utie duina vremenskog perioda u kome se oekuje visok stepen zatite ifrovanih podataka. Ukoliko je taj vremenski period dui, potreban je i dui klju. U realnim situacijama u kojima se aktuelnost informacija meri u danima ili mesecima, i minimalne duine kljueva asimetrinih kriptosistema (primer: 1024 bita) pruaju izuzetno visok stepen zatite. 2.1.3.Hibridni kriptosistemi PGP


12

PGP (Pretty Good Privacy) je hibridni kriptosistem s obzirom na to da kombinuje najbolje osobine simetrinih i asimetrinih kriptosistema, iako korisnik pri radu sa tim kriptosistemom stie utisak da se radi o asimetrinom, poto se koriste javni i tajni kljuevi. Princip rada PGP kriptosistema pri komunikaciji izmeu korisnika A i B je dat na slikama 3. i 4. Poruku M, koju korisnik A eli da poalje korisniku B, PGP najpre kompresuje(slika 3.). Kompresovanjem poruke smanjuje se vremepotrebno za njenu transmisiju, tedi se prostor na tvrdom disku raunara i to je najvanije poveava se stepen kriptografske zatite. Naime, veina tehnika kriptoanalize koriste modele slova i rei koji postoje u otvorenom tekstu kako bi probile kriptogram. Kompresovanjem se redukuju ti modeli u otvorenom tekstu, ime se znaajno poveava otpornost na tehnike kriptoanalize. Zatim se kompresovana poruka MK upuuje u blok za ifrovanje. PGP kreira klju sesije S (Session Key) uz pomo koga sa vri ifrovanje kompresovane poruke MK primenom odgovarajueg simetrinog algoritma (CAST, IDEA ili 3DES). Kao rezultat pomenutog ifrovanja dobija se kriptogram C. Posle izvrenog ifrovanja kompresovane poruke, vri se ifrovanje kljua sesije S na osnovu javnog kljua korisnika B - PKB. Generisan kriptogram C zajedno sa ifrovanim kljuem sesije S', upuuje se nazatienim kanalom ka korisniku B. Proces deifrovanja odvija se obrnutim redosledom u odnosu na ifrovanje (slika 4.). Najpre korisnik B upotrebom svog tajnog kljua SKB omoguava generisanje kljua sesije S, deifrovanjem njegove ifrovane verzije S'. Zatim se taj klju sesije S zajedno sa simetrinim algoritmom koristi za deifrovanje kriptograma C ime sa dobija kompresovana poruka MK. Na kraju, vri se dekompresovanje poruke MK tako da korisnik B prima poruku M koja treba da je identina poruci koju je poslao korisnik A.


13

Slika 3. PGP ifrovanje

M Korisnik A Blok za kompresova nje

M kk ifrator

C

S Izvor kljua sesije S ifrator kljua PK b Izvor javnog kljua korisnika B

S

C+S

Slika 4. PGP deifrovanje


14

C

M k Deifrator

M Blok za kompresovanj e Korisnik B

S C+S Deifrator kljua S Izvor tajnog kljua korisnika B

SK b

3. AUTORIZACIJA

Autorizacija je jedan od najvanih zadataka prilikom zatite sistema, posebno kod sistema plaanja gde ima znaajnu ulogu.


15

Autorizacija se moe izvriti na tri naina[3]:-autorizacija putem pomonog kanala

-autorizacija pomou lozinke -autorizacija pomou digitalnog potpisa

3.1 Autorizacija putem pomonog kanalaU sistemu autorizacije putem pomonog kanala postoje dva uesnika: verifikaciona strana( obino banka ) i autorizaciona strana ( kupac). Verifikaciona strana ( banka ) obavetava kupca u vezi transakcije. Od kupca se zahteva da potvrdi ili opovrgne plaanje korienjem posebnog, tajnog kanala ( npr. telefonom, ... ). Autorizacija putem pomonog kanala je trenutno najzastupljenija i koristi se pri kupovini pomou kreditnih kartica za telefonske porudbine ili e-mail porudbine. Svako ko zna npr. Nenadov broj kreditne kartice moe da kupi ta eli. Nenad ako eli kontrolu nad svojim raunom mora da proverava listu svojih plaanja kod banke i da ulae albu ukoliko se pojavi neautorizovana transakcija. Ukoliko Nenad ne uloi albu u odreenom roku ( obino 90 dana ) podrazumeva se da je transakcija potvrena.

3.2 Autorizacija pomou lozinkeU transakciji zatienoj lozinkom zahteva se da svaka poruka koju alje kupac sadri posebnu kriptografsku vrednost za proveru autentinosti koja se rauna na osnovu tajne koja je poznata samo strani verifikacije i strani autorizacije. Ta tajna moe biti lini indetifikacioni broj (PIN ) lozinka, ili bilo koji drugi oblik tzv.deljne tajne ( shared secret ). Deljene tajne koje imaju malu duinu ( kao 6-ocifreni PIN ) su esto izloene razliitim vrstama napada. One same po sebi ne mogu obezbediti visok nivo bezbednosti, te se zato koriste samo u kontroli pristupa smart kartici koja izvrava konkretan autorizacioni algoritam primenom kriptografskih mehanizama.

3.3 Autorizacija putem digitalnog potpisaOvde verifikaciona strana zahteva od autorizacione strane da digitalno potpie transakciju. Digitalni potpis obezbeuje jedan od ciljeva kriptografije- neporecivost: samo osoba koja poseduje tajni klju moe potpisati poruku, s tim da svako ko poznaje odgovarajui javni klju moe potvrditi autentinost potpisa. Isto tako, digitalni potpis obezbeuje autentinost poruke i na izvestan nain ouvava njen integritet.


16

4. NAJVANIJI ASPEKTI ZATITE ELEKTRONSKOG POSLOVANJAMoe se rei da prilikom uspostavljanja sistema zatite procesa elektronskog poslovanja, najvani aspekti koji se moraju uzeti u obzir su: -integritet -tajnost -provera indetiteta -neporecivostIntegritet

Brine o tome da ne doe do neovlaene promene informacija, kao to su ubacivanje informacija, brisanje informacija i zamena informacija. Da bi se osigurao integritet, mora postojati nain provere da li je informacija promenena od strane neovlaene osobe.Tajnost

Osigurava da je sadraj informacije dostupan samo onima koji su za to ovlaeni. Postoje brojni naini zatite tajnosti, poev od fizike zatite do matematikih algoritama koji sakrivaju podatke od neovlaenih osoba.Provera identiteta

Koristi se na nivou korisnika i na nivou informacije. Dva korisnika koja poinju komunikaciju se trebaju predstaviti jedan drugome. Pre poetka rada veine operativnih sistema, zahteva se predstavljanje korisnika, da bi se mogao odrediti doputeni sigurnosni nivo rada. Predstavljanje na nivou informacije znai da za informaciju koja prolazi komunikacionim kanalom treba proveriti odakle dolazi, ko je vlasnik informacije, kojeg datuma je stigla, kojeg je tipa itd. Dakle provera identiteta je postupak utvrivanja identiteta korisnika ( osobe ili programa ), a izvodi se pre nego to se korisniku dopusti pristup resursima. Na taj nain se neomoguava neovlanim korisnicima korienje sistema. Postupak provere identiteta se sastoji od dva dela: identifikacije i potvrde. Idetifikacija je proces gde korisnik daje svoj identitet, dok je potvrda proces potvrivanja datog identiteta. Stoga ispravnost postupka provere identiteta najvie zavisi o upotrebljenoj proceduri potvrde. Glavni tipovi provere identiteta, korieni u sistemima su: prijava korisnika- bavi se potvrdom korisnika od sistema, u vreme prijave jednosmerna provera identiteta-bavi se proverom identiteta jednog korisnika, od drugog korisnika dvosmerna provera identiteta- bavi se obostranom proverom identiteta, gde korisnici koji komuniciraju, potvruju jedan drugom svoj identitet Tri su osnovna pristupa provere identiteta: -dokaz znanjem- u ovom pristupu, provera identiteta sadri potvrdu neega to samo zna samo autorizovani korisnik. Primer je provera identiteta lozinkom. Ovaj pristup


17

sadri dva tipa provere identiteta: direktnu metodu i metodu izgovor-odgovor. U direktnoj metodi korisnik potvruje svoj identitet dajui odreenu informaciju (lozinku) koju sistem uporeuje sa ranije sauvanom. Druga metoda funkcionie na nain, da korisnik tano odgovara na pitanje koje postavlja sistem. -dokaz posedovanjem- svoj identitet korisnik dokazuje pokazivanjem predmeta koji moe posedovati samo autorizovani korisnik. Primer takvog predmeta je plastina kartica sa magnetnom trakom na kojoj su upisani bitni podaci u elektronskom obliku. -dokaz osobinom- identitet se dokazuje proverom nekih fizikih osobina korisnika koje nije lako kopirati. Ta osobina mora biti jedinstvena za svakog korisnika. Neke od ovih osobina su: otisak prsta, glas, potpis, mreica oka ...Neporecivost

Predstavlja vanu osobinu sigurnosnih sistema u finansiskom svetu. Primer za to moe biti podizanje elektronskog novca iz banke. Tu postoji mogunost da nakon to potroi sav novac, neodgovorni korisnik moe da tvrdi da on nije obavio tu radnju i poeli da mu se vrati novac na raun u banci. Banka u tom sluaju mora imati mehanizam dokazivanja da je upravo taj korisnik odgovoran za tu radnju. Razreenje situacije se najee postie korienjem nezavisnog posrednika kojem svi veruju.

5.

STRATEGIJE REAVNJA SIGURNOSNIH ELEKTRONSKOM POSLOVANJU

RIZIKA

U

Sigurnost u elektronskom poslovanju predstavlja najvei izazov za menadment svakog preduzea koji suoen sa rizicima poslovanja pronalazi strategije za reavanje istih prema naelu minimiziranja sigurnosnih rizika. Uopteno govorei , rizik se definie kao opasnost da neka preduzeta aktivnost dovede do neeljenih posledica, dok se sigurnosni informacioni rizik definie kao opasnost da primena informacione tehnologije dovede do neeljenih posledica u preduzeu i/ili njegovoj okolini. Budui da su rizici sastavni deo procesa poslovanja treba nastojati razviti i sprovesti odgovarajui skup postupaka odnosno metodologiju upravaljanja rizicima. Kao i svaki upravljaki proces, i proces upravljanja rizicima treba pomno planirati. Takvim bi planom mogle biti obuhvaene sledee aktivnosti: -identifikovanje rizika

-kvantifikacija rizika -identifikacija protivmera -izbor najdelotvornih protivmera -implementacija protivmera


18

-nadzor i revizija plana

Sigurnosna informaciona politika predstavlja temelj sigurnosnog sistema organizacija. U praksi se prevodi u skup organizacionih pravila i postupaka koji ine okvir sigurnosne politike koju sprovodi menadment date organizacije. Najvanija karakteristika sigurnosne politike preduzea jeste da sigurnosne mere koje se sprovode na nivou organizacije moraju biti formalizovane, a sama sigurnosna politika mora poprimiti karakter dokumenta koji se odnosi na sve zaposlene u preduzeu. Pri samom stvaranju sigurnosne politike valja razmiljati o mogunostima njene implementacije to podrazumeva poznavanje nivoa odgovornosti za svakog uesnika i dunost odgovaranja za istu te takoe i odgovornost svakog pojedinca da ukae na eventualnu nemogunost sprovoenja te iste politike budui da sigurnosna politika koja se ne moe sprovesti moe znaiti da politika praktino i ne postoji . Dakle, uz samo poznavanje nivoa odgovornosti pri sprovoenju zaposleni su duni i izvravati odreene procedure definisane sigurnosom politikom poduzea. Razlikujemo tri gupe takvih procedura:-procedure za prevenciju sigurnosnih problema

-procedure za prepoznavanje nedoputenih aktivnosti -komunikacione procedure Procedure za prevenciju sigurnosnih problema u taktikom smislu ne definiu kako e se sprovoditi odreene sigurnosne procedure ve ta je cilj sprovoenja tih procedure i ko e preuzeti obavezu njihovog izvravanja. Nain njihovog sprovoenja odreuje se na temelju analize rizika kojima sistem moe biti izloen i eventualnih mana posmatranog sistema. Procedure za prepoznavanje nedoputenih aktivnosti predstavljaju nekoliko jednostavnih procedura koje izvrava administrator sigurnosti ili pak odgovarajui kompjuterski program. Temeljni nain otkrivanja pokuaja nedoputenih aktivnosti odnosno najee neovlatenog pristupa informacionim sistemima jeste nadzor nad prijavljivanjem u sistemu na nain da se prijave korisnika belee u odgovarajuim datotekama, a programi analiziraju koliko je bilo neuspenih pokuaja, kada su izvreni, kojom uestalou, u kojem delu preduzea i sl. Takoe, najvanije je da ovaj nadzor mora biti trajan kako bi se moglo brzo reagovati. Komunikacijske procedure predstavljaju definisan nain komunikacije izmeu korisnika i administratora sigurnosti informacija to uslovljava delotvornost i efikasnost sigurnosne politike preduzea. Nain reavanja manjih problema moe biti neformalan, ali prijave ozbiljnijih problema moraju biti dokumentovane u pisanom obliku u tu svrhu prilagoenim odgovarajuim obrascima (prijava kvara, zahtjev za zamenu lozinke i slino).


19

6. DIGITALNI POTPISKao to je poznato, potpis na papirnom dokumentu se koristi kao dokaz autorstva i prihvatanja odgovornosti za sadraj tog papirnog dokumenta. U raunarskom svetu, svojeruni potpis se zamenjuje digitalnim za potpisivanje elektronskih dokumenata. I dok je svojeruni potpis mogue falsifikovati, to je gotovo nemogue uraditi sa digitalnim potpisom. Osim toga, digitalni potpis prua i sledee pogodnosti: -Digitalni potpis omoguava primaocu dokumenta da verifikuje neizmenjenost sadraja dokumenta posle njegovog potpisivanja tj. omoguava primaocu da verifikuje integritet potpisanog dokumenta. - Na osnovu digitalnog potpisa primaoc dokumenta moe da utvrdi identitet potpisnika dokumenta. - Digitalni potpis obezbeuje da potpisnik dokumenta ne moe da porekne potpisivanje potpisanog dokumenta. Tehnologija digitalnog potpisa se bazira na reenjima asimetrinih kriptosistema. Naime, poiljaoc poruke vri njeno ifrovanje svojim tajnim kljuem i na taj nain potpisuje poruku. S druge strane, primaoc poruke vri njeno deifrovanje javnim kljuem poiljaoca i na taj nain sprovodi verifikovanje potpisa. Za kreiranje digitalnog potpisa, danas se najee koriste dva sistema: RSA i DSS/DSA (Digital Signature Standard/Algorithm). RSA je asimetrini kriptosistem koji omoguava i kriptografsku zatitu tajnosti i digitalno potpisivanje dokumenta, dok je DSS/DSA namenjen iskljuivo za digitalno potpisivanje.

6.1 Slepi digitalni potpisDigitalno potpisivanje poruke mogue je samo ako potpisnik ima pristup izvornoj poruci. U situacijama kada potpisnik ne sme videti originalnu poruku koju potpisuje, primjenjuje se slepi digitalni potpis. Ovakva situacija nastupa kod podizanja e-gotovine iz banke, (pri emu korisnik ne eli da banka dobije podatak o serijskom broju novanice, kako bi se zatitila privatnost korisnika).

6.2 Poteni slepi digitalni potpisSlepi digitalni potpis prua savrenu anonimnost korisniku novca. Kako ovo otvara velike mogunosti kriminalcima i onemoguava organima pravne drave da prate novac u sluaju zloupotrebe, predloena je modifikacija slepog potpisa na taj nain da se kod organizacije u koju svi imaju poverenja da na uvanje klju koji omoguava potpisniku da


20

utvrdi identitet korisnika novca, ako se za to pojavi opravdan razlog (npr. sudski nalog). Takav oblik potpisa naziva se poteni slepi digitalni potpis.

Zakljuak:Novo, digitalno doba i okruenje informacione ekonomije sa sobom donosi vane promene koje uz redefiniciju poslovnih strategija i reinenjering poslovanja, progresivan razvoj informacionih tehnologija i uvoenje informacionih tehnologija u poslovanje kao vanog faktora stvaranja novih vrednosti te pokretanja i unapreivanja poslovanja ukazuje se potreba razmatranja sigurnosnih i pravnih aspekata elektronskog poslovanja.


21

Stavljanjem naglaska na najvanije kategorije sigurnosne zatite elektronskog poslovanja kao to su zatita umreenih sistema i primene kriptografije kao elementa zatite i sigurnosti sistema, zatim strategije reavanja sigurnosnih aspekata elektronskog poslovanja pri tom naglaavajui vanost upravljanja sigurnosnim rizicima, vanost razvoja sigurnosne politike, samim time i sigurnosnih procedura istie se sigurnost elektronskog poslovanja kao jedan od uslova uspenog sprovoenja procesa prelaza sa tradicionalnog poslovanja na elektronsko poslovanje. Moje miljenje je da e se elektronsko poslovanje i dalje razvijati i preuzeti primat u odnosu na tradicionalno poslovanje, samim tim e se javiti novi naini zloupotrebe na koje e morati da se odgovori novim metodama zatite elektronskog poslovanja. Ali svakako da e u budunosti poslovanje biti sigurnije nego to je to bilo u tradicionalno poslovanje.

Literatura:

Dr. Zoran Nikoli-Komunikacione tehnologijehttp://www.elitesecurity.org/t32240-sigurnost-poslovanja http://sr.wikipedia.org/wiki/elktronsko-poslovanje http://www.itkutak.com/it-sektor/digitalni-potpis/


22

http://www.kamatica.com/pojam/autorizacija

sigurnosni aspekti elektronskog poslovanja

Documents