Harjoitustehtäväkierros 5: Tietoturva
T-110.2100 kurssihenkilökunta deadline Tiistai 7.5.2009 18:00
Johdanto
Tämän harjoituksen tavoitteena on tutustuttaa hieman tietoturvan peruskäsit- teitä ja -tekniikoita opiskelijalle.
Tehtävä palautetaan Rubyric-järjestelmään kurssin Noppa-sivuilta löy- tyvien ohjeiden mukaisesti.
1 Väitteitä (8p)
Pohdi seuraavia väitteitä ja vastaa ovatko ne mielestäsi tosia vai epätosia.
Huomaa, että kaikkiin väitteisiin ei välttämättä ole yksikäsitteistä oikeaa vastausta; tehtävässä jaetaan pisteitä hyvin perustelluista mielipiteistä.
Jokainen kohta on kahden pisteen arvoinen.
A One-time pad on eräs klassinen salaustekniikka. Väite: one-time padia käyttävät enää vain harvat tahot, koska modernimmat salausalgoritmit suojaavat tietoa tehokkaammin.
B Palomuureilla voidaan suojautua kaikilta tietoturvaan kohdistuvilta uhilta ja hyökkäyksiltä.
C Nimipalvelimen välimuistin saastuttaminen (DNS Cache Poisoning) heiken- tää HTTPS-yhteyttä palvelimeen muodostettaessa palvelimen luotet- tavuutta.
D Ohjaamalla tietoliikenteesi anonyymiverkon kuten Tor (The Onion Router) kautta pystyt suojaamaan yksityisyytesi täysin.
1
2 SSH, hyökkäykset (5p)
Tutustu tässä tehtävässä Secure Shell- eli SSH-protokollaan ja vastaa han- kkimasi tiedon perusteella seuraaviin kohtiin.
A SSH-protokolla tukee useita tapoja, jolla käyttäjä voi tunnistautua palvelimelle. Yksi näistä tavoista on publickey, jota varten käyttäjän täytyy generoida julkinen (siirretään palvelimelle) ja salainen avain (pidetään salassa). Tässä varmennustavassa palvelin voi haastaa käyt- täjän tai clientin todistamaan, että hänellä on julkista avainta vastaa- va salainen avain. Selitä mitä tarkoitetaan käsitteellä zero-knowledge proof ja millä tavalla se liittyy tähän. (2p)
B Perustele miltä seuraavista tietoturvaan kohdistuvista hyökkäyksistä voidaan mielestäsi suojautua SSH:ta käyttämällä: man-in-the-middle, replay attack (=viestien uudelleenlähetys), salakuuntelu. (3p)
3 Varmenteet (3p)
Käyttäessäsi koulun Noppa-portaalia, huomaat että tietoliikenne koneesi ja Nopan välillä salataan. Varmenteiden avulla voit varmistua siitä, että kom- munikoit varmasti oikean palvelimen kanssa. Tutustu Nopan SSL-varmenteisiin ja vastaa seuraaviin kysymyksiin (à 1p).
A Mikä taho on myöntänyt Nopalle varmenteen?
B Mille aikavälille varmenne on myönnetty?
C Mitä uskoisit tapahtuvan jos varmenne pääsee vanhenemaan?
4 Tietoturvapolitiikka (4p)
Tutustu TKK:n tietoturvasivuihin http://tietoturva.tkk.//ja vastaa seu- raaviin kohtiin (à 1 p) löytämäsi tiedon perusteella. Muistathan, että suoria lainauksia ei oteta arvostelussa huomioon. Muista myös merkitä käyttämäsi lähteet.
A Mitä henkilöitä ja resursseja TKK:n tietojärjestelmien käyttöpolitiikka koskee? Mistä dokumentista tämä tieto löytyy?
B Mikäli olet TKK:n työntekijä, saatko siirtää virkasähköpostiasi edelleen TKK:n ulkopuolella sijaitsevalle sähköpostitilillesi?
2
C Oletetaan tilanne, jossa opiskelija osana kurssin harjoitustöitä koodaa ohjelman, joka ottaa yhteyden toiseen koneeseen Internetin välityksellä.
Ohjelmaan on kuitenkin päätynyt bugi, jonka vuoksi ohjelma lähettää jatkuvasti kyselyitä yhteyden toisessa päässä olevalle koneelle, tukkien näin toisen koneen tietoliikenneyhteydet. Mitä seuraamuksia opiskeli- jalle voi tulla tämän johdosta?
D Yksityishenkilöiden väliset sähköpostit ovat ensisijaisesti luottamuksel- lisia, mutta joissain tapauksissa ylläpitäjät voivat joutua käsittelemään käyttäjien sähköposteja sisältäviä tiedostoja. Anna ainakin kaksi es- imerkkiä tällaisista tilanteista.
Materiaalia
• https://noppa.tkk./noppa/kurssi/t-110.2100/etusivuKurssin kotisivut
• http://www.tml.tkk./Opinnot/Ohjeita/Entisen TML:n peruskurssien yleisiä ohjeita
• http://www.tkk./Yksikot/Opintotoimisto/Opetuki/tehopenaaliTeekkarin tehopenaali
• Internetin hakupalvelut (jos et löydä, googlaa)
3
