Παύλος Εφραιμίδης

Ασφ Υπολ ΣυστΔύο παραδείγματα 1

Στη διάρκεια του εξαμήνου θα ξ ά ζ ή φάλεξετάσουμε ζητήματα ασφάλειας υπολογιστικών συστημάτων και εφαρμογές κρυπτογραφίαςεφαρμογές κρυπτογραφίαςΣτο σημερινό μάθημα θα συζητήσουμε δύο παραδείγματα/ζητήματα:δύο παραδείγματα/ζητήματα:◦ Μία περίπτωση παραβίασης Ασφάλειας Υπολογιστικών Συστημάτων:γ ημΤο σκουλήκι (worm) του διαδικτύου

◦ Ένα παράδειγμα Εφαρμογής Κρυπτογραφίας:Κρυπτογραφίας:Το πρόβλημα των εκατομμυριούχων (the millionaire’s problem)

Ασφ Υπολ ΣυστΔύο παραδείγματα 2

το σκουλήκι του διαδικτύου(the internet worm)(the internet worm)

Ασφ Υπολ ΣυστΔύο παραδείγματα 3

Η πρώτη παραβίαση μεγάλου εύρους στην ασφάλεια υπολογιστών στοστην ασφάλεια υπολογιστών στο ΔιαδίκτυοΑν και οι μέθοδοι/ιδέες πουΑν και οι μέθοδοι/ιδέες που χρησιμοποιήθηκαν στο σκουλήκι έχουν μελετηθεί πλέον και έχουν αντιμετωπιστεί παραμένει ένα ενδιαφέρον και διδακτικό παράδειγμα για την ασφάλεια υπολογιστικώντην ασφάλεια υπολογιστικών συστημάτων

Ασφ Υπολ ΣυστΔύο παραδείγματα 4

Ξεκίνησε το βράδυ της 2ης Νοεμβρίου 1988Έ ύ C ll R b tΈνα πτυχιούχος του Cornell, ο Robert Tappan Morris, απελευθέρωσε ένα πρόγραμμα σκουλήκι (worm) στοπρόγραμμα σκουλήκι (worm) στο ΔιαδίκτυοΤ λή λό λ άδΤο σκουλήκι μπλόκαρε χιλιάδες υπολογιστές σε πανεπιστήμια, εταιρείες και κυβερνητικά εργαστήρια σε όλα τονκαι κυβερνητικά εργαστήρια σε όλα τον πλανήτη

Ασφ Υπολ ΣυστΔύο παραδείγματα 5

Ένα σκουλήκι (worm) είναι ένα πρόγραμμα τοΈνα σκουλήκι (worm) είναι ένα πρόγραμμα το οποίο μπορεί και παράγει αντίγραφα του εαυτού τουΤα σκουλήκια μπορούν και διαδίδονται μόνα τους από υπολογιστή σε υπολογιστή

ώ δ έ δέχρησιμοποιώντας τις δικτυακές συνδέσεις (πχ. διαδίκτυο) χωρίς να μεσολαβεί απαραίτητα κάποιος χρήστηςαπαραίτητα κάποιος χρήστηςΣε αντίθεση με τους ιούς (viruses) τα σκουλήκια δεν μολύνουν κάποιο υπάρχον ή ρχπρόγραμμα

Ασφ Υπολ ΣυστΔύο παραδείγματα 6

Κάποιο στιγμή του 1988 ο MorrisΚάποιο στιγμή του 1988 ο Morris ανακάλυψε 2 σοβαρά σφάλματα στο Berkeley UnixBerkeley UnixΑνέπτυξε ένα σκουλήκι το οποίοαξιοποιούσε τα σφάλματα που είχε◦ αξιοποιούσε τα σφάλματα που είχε ανακαλύψει◦ διαδιδόταν από υπολογιστή σε υπολογιστή◦ διαδιδόταν από υπολογιστή σε υπολογιστή◦ έκρυβε τα ίχνη του◦ προσπάθησε να ενσωματώσει μηχανισμόπροσπάθησε να ενσωματώσει μηχανισμό ελέγχου του πληθυσμού των σκουληκιών

Ασφ Υπολ ΣυστΔύο παραδείγματα 7

Το σκουλήκι αποτελούνταν από 2Το σκουλήκι αποτελούνταν από 2 προγράμματα◦ Ένα πρόγραμμα εκκίνησης (bootstrap)◦ Ένα πρόγραμμα εκκίνησης (bootstrap)◦ Το κυρίως πρόγραμμα

Ασφ Υπολ ΣυστΔύο παραδείγματα 8

Έχοντας μολύνει ένα υπολογιστεί τοΈχοντας μολύνει ένα υπολογιστεί, το κυρίως πρόγραμμα χρησιμοποιούσε 3 μεθόδους για τη μόλυνση άλλων μεθόδους για η μό υ ση ά ωυπολογιστών:◦ Εκτέλεση απομακρυσμένου κελύφους (remote

shell) rsh◦ Προκαλώντας υπερχείλιση (buffer overflow) στην εφαρμογή «finger»στην εφαρμογή «finger»◦ Εκμεταλλευόμενο μια αδυναμία του προγράμματος sendmail που αποτελούσε μέρος του συστήματος αλληλογραφίας (e-mail).

Ασφ Υπολ ΣυστΔύο παραδείγματα 9

Μόλις το σκουλήκι εγκαθίστατο σε ένανΜόλις το σκουλήκι εγκαθίστατο σε έναν υπολογιστή προσπαθούσε να βρει κωδικούς πρόσβασηςκωδικούς πρόσβασηςΜε ποιον τρόπο;Δοκιμάζοντας συνηθισμένους κωδικούςΔοκιμάζοντας συνηθισμένους κωδικούς πρόσβασης στους τοπικούς λογαριασμούς

Ασφ Υπολ ΣυστΔύο παραδείγματα 10

Κάθε φορά που το σκουλήκι αποκτούσεΚάθε φορά που το σκουλήκι αποκτούσε πρόσβαση σε έναν υπολογιστή ◦ προσπαθούσε να διαπιστώσει εάν ήδη◦ προσπαθούσε να διαπιστώσει εάν ήδη υπάρχουν εκεί ενεργά στιγμιότυπα του σκουληκιούηΕάν δεν υπήρχαν, συνέχιζε κανονικά τη λειτουργία του.Εάν υπήρχαν, τότε με πιθανότητα 6/7 τερμάτιζε το

έ ό λ ί Μσυγκεκριμένο στιγμιότυπο τη λειτουργία του. Με πιθανότητα 1/7 όμως συνέχιζε !! Εξαιτίας αυτής της πολιτικής έχασε τον έλεγχο του πληθυσμού των σκουληκιών !! Οι υπολογιστές γέμισαν σκουλήκια !

Ασφ Υπολ ΣυστΔύο παραδείγματα 11

Οι υπολογιστές που μολύνθηκαν γρήγοραΟι υπολογιστές που μολύνθηκαν, γρήγορα έπαψαν να λειτουργούν σωστά εξαιτίας του υπερπληθυσμού σκουληκιών που είχαντου υπερπληθυσμού σκουληκιών που είχαν εγκατασταθεί σε αυτούςΧιλιάδες υπολογιστές τέθηκαν εκτόςΧιλιάδες υπολογιστές τέθηκαν εκτός λειτουργίας

Ασφ Υπολ ΣυστΔύο παραδείγματα 12

το πρόβλημα των εκατομμυριούχωνεκατομμυριούχων

(the millionaire’s problem)

Ασφ Υπολ ΣυστΔύο παραδείγματα 13

Δύο εκατομμυριούχοι η Alice και ο Bob ηΔύο εκατομμυριούχοι η Alice και ο Bob, η αν θέλετε, η Αλίκη και ο Μπάμπης, έχουν την εξής απορία:την εξής απορία:◦ Ποιος από τους δύο έχει τα περισσότερα χρήματα;χρήματα;Θέλουν να μάθουν την απάντηση χωρίς όμως να αποκαλύψουν ο καθένας τοόμως να αποκαλύψουν ο καθένας το μέγεθος της περιουσίας του στον άλλοΓίνεται αυτό;Γίνεται αυτό;

Ασφ Υπολ ΣυστΔύο παραδείγματα 14

Έστω ότι η περιουσία τους μετριέται σεΈστω ότι η περιουσία τους μετριέται σε εκατομμύρια ευρώ και ότι είναι στο διάστημα 1 2 έως 10 εκατομμύρια ευρώδιάστημα 1,2, έως 10 εκατομμύρια ευρώ

Ασφ Υπολ ΣυστΔύο παραδείγματα 15

Έστω ότι η Αλίκη έχει περιουσία I=5 εκατ € και ο Μπάμπης J=6 εκατ €Έστω το δημόσιο κλειδί της Αλίκης (79,3337) και το ιδιωτικόΈστω το δημόσιο κλειδί της Αλίκης (79,3337) και το ιδιωτικό της κλειδί (1019, 3337).

Βή Αλί Μ άΒήμα Αλίκη Μπάμπης

1 • Επιλέγει αριθμό N-bit, έστω x=1234 1(N=14)• Υπολογίζει C=1234^79 mod 3337 = 901 (RSA κρυπτογράφηση του x)

2 Ο Μπάμπης στέλνει το C-J+1 στην Αλίκη

Ασφ Υπολ Συστ Δύο παραδείγματα 16

Βήμα Αλίκη Μπάμπης

3 Η Αλίκη παράγει τους αριθμούς Y1, Y2, ..., Y10 ως εξής:

1: 896^1019 mod 3337 = 10591: 896 1019 mod 3337 1059...10: 905^1019 mod 3337 = 1311

4 Η Αλίκη παράγει έναν πρώτο αριθμό p (έστω p=107) μεγέθους N/2 bit και με βάση αυτόν ί όλ 10παίρνει τα υπόλοιπα των 10

αριθμών του βήματος 3:1: 1059 mod p = 96...10: 1311 mod p = 27

Ασφ Υπολ Συστ Δύο παραδείγματα 17

Βή Αλί Μ άΒήμα Αλίκη Μπάμπης

5 Το κρίσιμο βήμα:5H Αλίκη στέλνει στον Μπάμπη τον

αριθμό p και 10 αριθμούςΤους πρώτους I αριθμούς τους ς ρ ς ρ μ ς ς

στέλνει όπως υπολογίστηκαν στο βήμα 4. Τους υπόλοιπους τους στέλνει αυξημένους κατά 1.

6 Ο Μπάμπης λαμβάνει τον p και εξετάζει 6τον J-ιοστό αριθμό ZJ από τους αριθμούς:Υπολογίζει G=1234 mod p = 57Εάν το G και ο ZJ; είναι ίδιοι τότε η ΑλίκηΕάν το G και ο ZJ; είναι ίδιοι τότε η Αλίκη έχει περιουσία μεγαλύτερη η ίση του Μπάμπη, διαφορετικά ο Μπάμπης έχει μεγαλύτερη περιουσίαμ γ ρη ρ

Ασφ Υπολ Συστ Δύο παραδείγματα 18

Βήμα Αλίκη ΜπάμπηςΟ Μ ά ώ έλ7 Ο Μπάμπης ανακοινώνει το αποτέλεσμα στην Αλίκη

Μια αδυναμία του πρωτοκόλλου είναι ότι ά ί ό β ίο Μπάμπης είναι αυτός που βρίσκει το

αποτέλεσμα και επομένως εάν θέλει ί λύ λίμπορεί να μην το αποκαλύψει στην Αλίκη

Ασφ Υπολ Συστ Δύο παραδείγματα 19

Σύγχρονα Λειτουργικά Συστήματα, γχρ ργ ή ,TanenbaumMorris_Worm στη wikipedia: http://en.wikipedia.org/wiki/Morris_WormA C Y l f SA.C. Yao, protocols for Secure Computations, Proc. of 21st IEEE Symposium on FOCS 1982Symposium on FOCS, 1982Το παράδειγμα επίλυσης του millionaire’ s problem είναι απόmillionaire s problem είναι από http://www.proproco.co.uk/million.html

Ασφ Υπολ ΣυστΔύο παραδείγματα 20