Treść książki
Przejdź do opcji czytnikaPrzejdź do nawigacjiPrzejdź do informacjiPrzejdź do stopki
16.1.Zagadnieniebezpieczeństwa
783
Naruszenieintegralności(pogwałcenienienaruszalności;breachofintegri-
ty)oznaczanieupoważnionąmodyfikacjędanych.Tegorodzajuatakmożena
przykładspowodowaćobciążenieodpowiedzialnościąkogośniewinnegolub
zmianękoduźródłowegoważnejaplikacjikomercyjnej,względnieaplikacji
ootwartymźródle.
Naruszeniedostępności(breachofavailability)obejmujenieuprawnione
zniszczeniedanych.Niektóreatakimającharakterpustoszącyisąpowodowane
chęciąflpokazaniasię”(sąprzejawemchełpliwości),anieżądzązysku.Oszpe-
canie(lubniszczenie)stroninternetowychjesttypowymprzykłademtegotypu
naruszeńbezpieczeństwa.
Kradzieżusług(theftofservice)polegananieupoważnionymwykorzysty-
waniuzasobów.Intruz(lubprogramwłamywacza)mógłbynaprzykładzain-
stalowaćdemonawsystemiedziałającymjakoserwerplików.
Odmowaświadczeniausług(denialofservice–DoS)powodujeuniemoż-
liwienieużytkowaniasystemuprzezupoważnionepodmioty.Programpomy-
ślanypierwotniejakorobakinternetowyprzeobraziłsięwatakDoS,gdyzpo-
wodubłęduniezdołałopanowaćswojegogwałtownegorozprzestrzeniania.
AtakamiDoSzajmiemysięwpunkcie16.3.2.
Dążącdonaruszeniabezpieczeństwa,atakującyużywająkilkuklasycznych
metod.Najpopularniejsząjestmaskarada(udawanie;masquerading),wktórej
pewienuczestnikkomunikacjiudajekogośinnego(innyhostlubinnąoso-
bę).Udającynapastnicypokonująproceduryuwierzytelniania(authentication),
czylipoprawnesprawdzanietożsamości;mogąwtensposóbuzyskaćdostęp
wnormalnychwarunkachimnienależny.Innymtypowymatakiemjestpowtó-
rzenieprzechwyconejwymianydanych.Atakpowtórkowy(powtórka,atak
przezponowienie;replayatack)poleganazłośliwymluboszukańczympowta-
rzaniutransmisjidozwolonychdanych.Czasamicałyatakskładasiętylkozpo-
wtórki,naprzykładwprzypadkupowtórzeniazleceniaprzelewupieniędzy.
Częstojednakpowtórcetowarzyszyzmianakomunikatu(messagemodification),
kiedytoatakującyzmieniaprzesyłanedanebezwiedzynadawcy.Pomyślmy,
dojakichszkódmogłobydojść,gdybynażądanieuwierzytelnieniadanelegal-
negoużytkownikazostałyzastąpionedanymiużytkownikanieupoważnione-
go.Jeszczeinnymrodzajemjestatak„człowiekpośrodku”(man-in-the-middle
atack),wktórymatakującyznajdujesięnadrodzeprzepływukomunikowa-
nychdanych,udającnadawcęprzedodbiorcąinaodwrót.Wkomunikacji
sieciowejatakflczłowiekpośrodku”możebyćpoprzedzonyuprowadzeniem
sesji(sessionhijacking),podczasktóregodochodzidoprzechwyceniaaktywnej
sesjiłączności.
Celeminnejszerokiejklasyatakówjesteskalacjaprzywilejów(wzrost
przywilejów;privilegeescalation).Każdysystemwyposażaużytkowników
wprzywileje–nawetwówczas,gdyistniejetylkojedenużytkownik,będący
zarazemjegoadministratorem.Systemnaogółzawierakilkazbiorówprzy-
wilejów:jedendlakontakażdegoużytkownikaiparędlasystemu.Przywileje
