21.02.13 Лекція 7

Алгоритм HMAC:

1. Додавання нулів зліва к ключу К для створення ключа К^+ розміру B (біт; розмір блоку)

2. Виконуємо операцію XOR над ключем К^+ зі значенням ipad/opad (значення для рандомізації результату – випадкова величина в шіснадцятковій системі розміром 32 символи). Виходить блок Si

3. Блок Si приєднуємо до M (вхідне повідомлення)

4. Застосовуємо хеш-функцію H до результату отриманому на 3 кроці.

5. Виконуємо XOR між K^+ и opad отримуємо So

6. Результат кроку №4 приєднуємо до So.

7. До результату отриманого на кроці 6 застосовуємо хеш-функцію.

В чем разница между цифровой подписью основанной на симметричных и ассиметричных алгоритмах? НА МОДУЛЬ

В чем разница реализации цифровой подписи на алгоритмах SHA и DSA (DSS). Также поискать на слайдах.

05.03.13

Троянська програма має єдине призначення – нанести шкоду цільовому комп’ютера, шляхом виконання несанкціонованих користувачем дій: крадіжка, псування або видалення конфіденціальних даних, порушення працездатності комп’ютера або використання його ресурсів для зловмисних дій.

На відміну від вірусів та хробаків, трояни самостійно не розмножуються, їх життєвий цикл складається усього з трьох етапів: проникнення в систему, активація, виконання шкідливих дій.

У більшості випадків трояни проникають в систему разом з вірусом або хробаком. Такий етап життєвого циклу, як активація, у трояна дуже схожий на хробака – цей етап вимагає або активних дій від користувача або через вразливості ПЗ самостійно інфікує систему.

Класифікація троянів за типом шкідливого навантаження:

1. Викрадачі паролів

2. Утиліти прихованого віддаленого управління

3. Логічні бомби

4. Клавіатурні шпіони

5. Анонімні SMTP та проксі сервери (організують несанкціоноване відправлення ел.пошти)

6. Утиліти дозвону (в прихованому від користувача режимі вони ініціюють підключення до платних сервісів в інтернет).

7. Модифікатори налаштувань браузера (змінити стартову сторінку і т.д.).

Існують також трояни, які можуть наносити шкоду іншим компам не пошкоджуючи інфікований комп.

До інших шкідливих програм відносять:

1. Шпигунське ПЗ (відслідковування дій системи та їх пересилка)

2. Умовно-небезпечні програми (аплети – прикладні програми, які вбудовуються в HTML сторінка, написані на Java, можуть використовуватись для відправки зібраної на комп’ютері інформації; рекламні утиліти).

3. Містифікації (навмисно вводять користувача в оману шляхом показу повідомлень, наприклад, про форматування диску або виявлення вірусів, хоча насправді нічого не відбувається).

4. Спам

Основи роботи антивірусних програм

Використовується два основних підходи до виявлення шкідливих програм:

1. Сигнатурний – точний метод виявлення віруса, який ґрунтується на порівняння файла з відомими зразками вірусу.

2. Проактивний (евристичний) – приблизний метод виявлення, який дозволяє з певною ймовірністю припустити що файл інфіковано.

Сигнатурний аналіз

Сигнатура віруса – це сукупність рис, яка дозволяє однозначно ідентифікувати наявність вірусу в файлі. Ця сукупність рис є певним кодом. Сукупність сигнатур складає антивірусну базу.

Задачу виділення сигнатур вирішують як правило люди, тобто експерти, які можуть виділити код вірусу з програми та сформулювати його характерні риси в форми, найбільш зручні для пошуку.

Головні критерії ефективності сигнатурного методу:

1. Швидкісні реакції на нові загрози

2. Частота оновлення

3. Максимальне число виявлених загроз

Головним недоліком сигнатурного методу є затримка при реакції на нові загрози. Для знешкодження загрози як мінімум витрачається декілька годин.

Цей недолік можна подолати за допомогою «хмарного» антивірусного захисту. Усі ПК підключені до віддаленого серверу виробника антивірусу утворюють так звану антивірусну хмару. Недоліком хмарного антивірусного захисту є залежність від стабільності каналів зв’язку.

Проактивні (Евристичні) методи виявлення загроз

Евристичні аналізатори

Суть евристичних методів полягає в тому, що вирішення проблеми ґрунтується на певних правдоподібних припущеннях, а не на висновках з наявних фактів. Одне з таких припущень: що нові віруси дуже часто схожі на вже існуючі

Евристичний аналізатор починає свою роботу з пошуку в програмному коді підозрілих ознак (команд), які характерні вірусам.

Рівень виявлення нових шкідливих кодів доволі низький при використанні цього методу, а ймовірність хибних спрацьовувань доволі висока.

Динамічний евристичний аналізатор зчитує частину коду в буфер емуляції антивірусу та за допомогою спеціальних прийомів емулює його виконання. Якщо в результаті цього процесу виявлені шкідливі дії, програма блокується.

Недоліки евристичних аналізаторів:

1. Неможливість лікування

2. Низька ефективність проти принципово нових видів вірусів

Блокатори поведінки

Блокатор поведінки – це програма яка аналізує поведінку працюючого додатку та блокує будь які небезпечні дії. Шкідливі дії: видалення файлу, запис в файл, запис у реєстр, відкриття порту на прослуховування, перехоплення даних що вводяться з клавіатури, розсилання листів, тощо.

Такий блокатор може контролювати цілісність додатків, а також системного реєстру віндовс.

Недоліком є спрацьовування на дії ряду легітимних програм. Для прийняття рішення про шкідливість додатку необхідне втручання користувача з достатньою кваліфікацією.

07.03.13

Найпростіший варіант атаки з використанням SQL запитів

1. Якщо додаток не виконує ніякої валідації вхідних даних за певним числовим параметром, то найпростішою атакою буде замість даного числового параметру ввести ‘0 or 1=1’. Оскільки 1=1 завжди істина, то вся умова перетворюється на істину.

2. Якщо в SQL запит внесемо замість числового параметру ввести наступні параметри «0 and 1= 0” union select … from… то отримуємо комбінацію 2 запитів, перший з яких – порожня таблиця (див. слайд 12), а другий – представляє номери карток всіх користувачів.

3. Символ «;» надає інструкції БД виконувати лише друге твердження:

Month = 0;

Drop table…

В результаті такого запиту, спочатку будуть витягнуті дані, а потім таблиця буде видалена.

Вразливості при обробці SQL запитів пов’язані з використанням символів «лапки», пробілу, відсотка.

Метод чорного списку передбачає заборону на обробку певних символів тобто якщо у вас є певна строчка то ваш додаток аналізує кожний символ і записує або копіює в результуючу строку або рядом який буде оброблюватись тільки ті символи, які не перераховані в чорному списку (наприклад лапки, знак відсотку та інше). Проблема у тому, що таких символів може бути досить багато, тобто передбачити всі варіанти складно. По-друге, це може викликати проблеми у використанні цих символів для нормальних дій, наприклад, для написання імені.

На противагу методу чорного є метод білого списку – потрібно визначити множину всіх дозволених символів. Проблеми із цим варіантом ті ж самі що й з методом чорного списку.