3.1 Sikkerhetsmål vs. sikkerhetstiltak

En egenskap vi ønsker at systemet skal ha — noe som kan være oppfylt eller brutt, men som ikke i seg selv er en mekanisme.

«Innholdet skal ikke kunne leses av uvedkommende» er et mål. «Vi bruker kryptering» er ikke et mål — det er måten vi prøver å nå målet på.

Testen: et mål er en tilstand, ikke en handling. Du kan ikke installere konfidensialitet; du kan bare gjøre tiltak som gir den.

Den faste feilslutningen: å krysse av brannmur, kryptering eller sikkerhetskopiering som «mål». Alle tre er tiltak, og det er felle #1 i registeret — den hyppigst påpekte feilen i faget.

At informasjon ikke er tilgjengelig for uvedkommende — bare de som skal ha tilgang, kan lese den.

Brytes når noen leser noe de ikke skal: en tastelogger fanger passordet, en usikret database blir lastet ned, en e-post går til feil mottaker.

Typiske tiltak som tjener målet: diskkryptering, HTTPS, tilgangskontroll, tofaktor-autentisering.

Den faste feilslutningen: å tro at en sjekksum eller en hash gir konfidensialitet. De gir integritet — de avslører endringer, men skjuler ingenting. Det er felle #9.

At informasjon er uendret og korrekt — ingen har endret den underveis eller i lagret tilstand, verken med vilje eller ved uhell.

Brytes når innhold endres: en overføring blir forvansket, en angriper endrer et beløp i en betaling, en nettside blir byttet ut med en forfalskning.

Typiske tiltak: sjekksum, hash-verdi, digital signatur, versjonskontroll.

Den faste feilslutningen: å blande integritet med konfidensialitet. En melding kan være fullt lesbar for alle og likevel ha perfekt integritet — poenget er ikke at ingen ser den, men at ingen har endret den.

At de som har rett til informasjonen eller tjenesten, får tak i den når de trenger den.

Brytes av tjenestenektangrep, av løsepengevirus som låser filene, av manglende sikkerhetskopi når en disk ryker, og av rene strømbrudd.

Typiske tiltak: sikkerhetskopiering, redundans (flere maskiner som kan overta), brannmur som stopper flomangrep, avtaler om reservestrøm.

Den faste feilslutningen: å glemme at tilgjengelighet er et sikkerhetsmål. Et system som er perfekt hemmelig og perfekt korrekt, men nede, har et sikkerhetsproblem.

At det i ettertid går an å se hvem som gjorde hva, og når.

Oppnås med logging: systemet skriver ned hvilken bruker som åpnet hvilken journal på hvilket tidspunkt.

Sporbarhet er grunnen til at snoking i journaler kan oppdages i det hele tatt. Uten logg finnes det ingen forskjell mellom «ingen har lest den» og «vi vet ikke hvem som har lest den».

Den faste feilslutningen: å tro at sporbarhet hindrer noe. Den hindrer ingenting i øyeblikket; den gjør det mulig å finne ut av det etterpå — og virker derfor mest forebyggende.

At den som har gjort noe, ikke i ettertid kan nekte for å ha gjort det.

Et eksempel: har du signert en avtale digitalt, skal du ikke kunne hevde at det var noen andre. Har en bank mottatt en betalingsordre med gyldig signatur, skal ordren stå seg.

Målet oppnås først og fremst med digital signatur, som behandles grundig senere i denne delen. Der er nøkkelretningen selve poenget.

Den faste feilslutningen: å blande uavviselighet med autentisitet. Autentisitet svarer på «er det virkelig deg?» nå. Uavviselighet svarer på «kan du nekte for det?» etterpå. De henger sammen, men de er to mål.

At noe eller noen virkelig er den de utgir seg for å være.

Brytes når en forfalsket nettside utgir seg for å være banken din, når en e-post ser ut til å komme fra sjefen din, eller når noen bruker identiteten din til å logge inn.

Typiske tiltak: digitale sertifikater, tofaktor-autentisering, digital signatur.

Merk at et brudd på autentisitet ofte også bryter integritet: en forfalsket nettside er både «ikke den den utgir seg for» og «ikke innholdet den skal ha». Oppgavene i sjangeren er ofte «velg ett eller flere» nettopp derfor, og da skal begge målene krysses av.

At personopplysninger behandles lovlig, rimelig og åpent — og bare i det omfanget som er nødvendig.

Personvern skiller seg fra de andre målene ved at det er rettslig forankret: det er ikke bare noe vi ønsker, men noe loven krever. Reglene behandles sist i denne delen.

Et system kan være perfekt konfidensielt og likevel bryte personvernet — for eksempel ved å samle inn langt mer enn det trenger, selv om alt lagres trygt.

Den faste feilslutningen: å bruke «personvern» som et samlebegrep for all datasikkerhet. Det er ett av sju mål, og det handler spesifikt om opplysninger om personer.

En mekanisme eller handling som brukes for å nå ett eller flere sikkerhetsmål.

Typiske tiltak i dette faget: brannmur, kryptering, sikkerhetskopiering, tofaktor-autentisering, tilgangskontroll, antivirus, sikkerhetsoppdatering, sikkerhetsøvelser og hashing av passord.

Testen som skiller: spør «kan man kjøpe, installere eller gjennomføre dette?» Er svaret ja, er det et tiltak. Et mål kan man bare ha eller mangle.

Den faste feilslutningen: å behandle «kryptering» som om det var et mål i seg selv. Kryptering er verktøyet; konfidensialitet er det man er ute etter. Under negativ poenggiving koster forvekslingen dobbelt — du mister målet du skulle krysset av, og trekkes for tiltaket du krysset i stedet.

To spørsmål, og de avgjør hele sjangeren:

1. Kan man kjøpe, installere eller gjennomføre det? → tiltak
2. Er det en egenskap systemet har eller mangler? → mål

Brannmur installeres. Konfidensialitet har man eller mangler. Kryptering tas i bruk. Integritet er en tilstand.

Testen tar to sekunder per element og er den billigste forsikringen i hele seksjon 3 — under negativ poenggiving koster hver forveksling både det tapte riktige krysset og det gale du satte i stedet.

De tre eldste og mest siterte målene: konfidensialitet, integritet og tilgjengelighet.

Forkortelsen kommer av engelsk confidentiality, integrity, availability. Denne boka skriver dem alltid ut på norsk, siden oppgavene gjør det.

De fire andre målene i faget — sporbarhet, uavviselighet, autentisitet og personvern — er like fullt pensum, og en oppgave kan godt spørre etter et av dem.

Et tiltak: en mekanisme som kontrollerer hvilken nettverkstrafikk som slipper inn og ut av et nett eller en maskin.

Målene den tjener: tilgjengelighet (den kan stoppe flomangrep) og konfidensialitet (den kan hindre at tjenester eksponeres utenfor).

Den faste feilslutningen: å krysse av brannmur som et mål. Det er felle #1. En brannmur er noe man setter opp — den er aldri en egenskap i seg selv.

Et tiltak: å gjøre innhold uleselig for den som ikke har nøkkelen.

Målet: konfidensialitet. Mekanikken — symmetrisk og asymmetrisk kryptering, og hvilken nøkkel som brukes til hva — behandles senere i denne delen.

Dette er det tiltaket som oftest feilplasseres som et mål, fordi ordet er så sentralt i sikkerhet. Men man bruker kryptering; man har konfidensialitet.

Et tiltak: å ta og oppbevare kopier av data, slik at de kan gjenopprettes.

Målet: tilgjengelighet. Kopien sørger for at innholdet finnes når originalen er slettet, ødelagt eller låst av et løsepengevirus.

Den faste feilslutningen: å tro at sikkerhetskopiering gir konfidensialitet. Den gjør ingenting for å hindre lesing — snarere tvert imot, siden innholdet nå finnes to steder og begge må sikres.

Et tiltak: å bestemme hvem som får lese, endre eller slette hva.

Målet: først og fremst konfidensialitet, men også integritet, siden den som ikke får skrive, heller ikke kan endre.

Et bærende prinsipp er minste privilegium: hver bruker skal ha akkurat de rettighetene jobben krever, og ikke flere. Da blir skaden mindre både ved feil og ved misbruk.

Skillet mot autentisering — å bekrefte hvem du er — behandles senere i denne delen.

Et tiltak: en kort verdi regnet ut fra innholdet i en fil eller en melding.

Endres innholdet med så mye som ett bit, stemmer ikke verdien lenger. Målet er derfor integritet.

Den faste feilslutningen: å krysse av sjekksum for konfidensialitet. Det er felle #9. Sjekksummen skjuler ingenting — filen er nøyaktig like lesbar med sjekksum som uten.

Et tiltak: at systemet fortløpende skriver ned hvem som gjorde hva, og når.

Målet: sporbarhet. Loggen hindrer ingenting i øyeblikket, men den gjør det mulig å finne ut av hendelser i ettertid — og virker derfor forebyggende.

Blir loggene slettet, rammes både sporbarhet og uavviselighet: da kan den ansvarlige nekte for handlingen, og ingen kan bevise noe annet.

Et tiltak: at det finnes mer enn ett eksemplar av noe kritisk — flere maskiner, flere disker, flere nettforbindelser.

Målet: tilgjengelighet. Svikter én enhet, tar en annen over, og tjenesten fortsetter.

Skillet mot sikkerhetskopiering: en sikkerhetskopi lar deg gjenopprette etterpå, mens redundans gjør at tjenesten aldri går ned. Begge tjener samme mål, men på ulik måte.

Et tiltak: programvare som oppdager og fjerner skadevare.

Målene det tjener: integritet (skadevare endrer filer og systemer) og tilgjengelighet (skadevare kan låse eller ødelegge).

Skadevaretypene — orm, virus, trojaner, rootkit og de andre — behandles sist i denne delen.

Et tiltak: å installere rettelser som lukker kjente svakheter i programvare.

Målene: alle tre i CIA, avhengig av hva svakheten kunne utnyttes til.

Manglende oppdatering er en av de vanligste årsakene til vellykkede angrep, og «systemet er ikke oppdatert» er derfor en standardtrussel i oppgavene i neste kapittel.

Et tiltak: å øve på hva man gjør når noe går galt — gjenoppretting fra sikkerhetskopi, varsling, nødrutiner.

Målet: først og fremst tilgjengelighet, siden øvelsen trener på å komme raskt tilbake i drift.

Dette er det tiltaket som minner minst om teknologi, og nettopp derfor er det med i oppgavene: det tester om du har forstått at et tiltak er noe man gjør, ikke bare noe man installerer.

Brytes av: tastelogger, spionvare, tapt eller stjålet utstyr uten kryptering, feilsendte e-poster, usikrede databaser.

Tjenes av: diskkryptering, HTTPS, tilgangskontroll, tofaktor.

Fellen: å krysse av konfidensialitet for tiltak som egentlig gir integritet (sjekksum, hash) eller tilgjengelighet (sikkerhetskopi, redundans). Konfidensialitet er det målet flest gjetter på, og distraktorene utnytter det.

Brytes av: endring av innhold, forfalskede nettsider, rootkit som manipulerer systemet, og av rene feil — integritet kan svikte uten at noen angriper.

Tjenes av: sjekksum, hash, digital signatur, versjonskontroll.

Fellen: å tro at integritet forutsetter hemmelighold. En offentlig kunngjøring alle kan lese, kan ha perfekt integritet.

Brytes av: tjenestenektangrep, løsepengevirus, manglende sikkerhetskopi, strømbrudd, maskinvarefeil.

Tjenes av: sikkerhetskopiering, redundans, brannmur mot flomangrep, reservestrøm.

Fellen: å avfeie tilgjengelighet som «bare drift». Det er ett av de sju sikkerhetsmålene, og i et sykehus kan det være det mest kritiske av dem alle.

Uavviselighet: at den ansvarlige ikke kan nekte for å ha gjort det. Oppnås først og fremst med digital signatur.

De henger sammen — sletting av logger rammer begge — men de er to ulike mål. Sporbarhet handler om å kunne se; uavviselighet handler om å kunne bevise overfor andre.

Integritet: er innholdet uendret?

En forfalsket nettside bryter begge: den er ikke den den utgir seg for, og innholdet er ikke det ekte.

Derfor er slike oppgaver ofte i «velg ett eller flere»-form, og da skal begge målene krysses av. Å velge bare det ene er en av de vanligste måtene å tape halve poenget på.

At personopplysninger behandles lovlig, rimelig og åpent, og bare i nødvendig omfang.

Personvern er det eneste av de sju målene som er rettslig forankret — det er ikke bare ønskelig, det er lovpålagt. Reglene behandles sist i denne delen.

Merk at et system kan ha perfekt konfidensialitet og likevel bryte personvernet: samler man inn mye mer enn nødvendig, hjelper det ikke at alt lagres trygt.

Koblingen tiltak → mål er ikke alltid én til én.

HTTPS gir konfidensialitet (ingen kan lese trafikken), integritet (ingen kan endre den underveis) og autentisitet (sertifikatet viser at du snakker med rett tjener).

Digital signatur gir uavviselighet, autentisitet og integritet — men ikke konfidensialitet.

I en «velg ett eller flere»-oppgave skal alle de riktige krysses av. Spør oppgaven derimot hva tiltaket tjener «først og fremst», er det hovedmålet som gjelder.

De fleste virkelige hendelser bryter mer enn ett mål.

En ansatt som endrer beløp og sletter loggene, bryter integritet (innholdet er endret), sporbarhet (det kan ikke ses hva som skjedde) og uavviselighet (den ansvarlige kan nekte).

Arbeidsmåten: gå gjennom alle sju målene og spør for hvert enkelt om nettopp den egenskapen er brutt. Ikke stopp ved det første som passer.

De to målene som oftest står som gale alternativer, er konfidensialitet og tilgjengelighet — nettopp fordi de er de to man tenker på først når man hører ordet «angrep».

Kontrollspørsmålet for hvert alternativ:

- Konfidensialitet: har noen lest noe de ikke skulle?
- Tilgjengelighet: har noen mistet tilgang til noe?

Er svaret nei, er målet ikke brutt — uansett hvor alvorlig hendelsen er ellers.

En fast konstruksjon: oppgaven inneholder både et tiltak og det målet tiltaket gir, som to separate elementer.

Eksempler på slike par: logging og sporbarhet · kryptering og konfidensialitet · sikkerhetskopiering og tilgjengelighet.

Ser du to elementer som «hører sammen», er det som regel et slikt par — og da er det ene et tiltak og det andre et mål. Bruk testen på begge, hver for seg.

En svakhet i et system som kan utnyttes: en uoppdatert programvare, et svakt passord, en feilkonfigurert tjeneste, en ansatt som ikke er opplært.

Sårbarheten er hverken et mål eller et tiltak — den er tilstanden tiltakene skal fjerne, og den trusler utnytter.

Sammenhengen: en trussel utnytter en sårbarhet og bryter et mål. Tiltakene settes inn for å fjerne sårbarheten eller redusere skaden. Kjeden behandles i neste kapittel.

Ingen enkelt mekanisme dekker alle sju målene. Kryptering gjør ingenting mot nedetid; sikkerhetskopi gjør ingenting mot lekkasje; brannmur gjør ingenting mot en ansatt som misbruker sin egen tilgang.

Derfor bygges sikkerhet i lag: flere tiltak som dekker hverandres svakheter.

Den faste feilslutningen på eksamen: å tro at ett tiltak «løser sikkerheten». Spør alltid hvilket mål tiltaket faktisk tjener — og hvilke det ikke gjør noe med.

Et tiltak: å kreve to uavhengige typer bevis for at du er den du sier — typisk noe du vet (passord) og noe du har (kode på telefonen).

Målene: konfidensialitet (uvedkommende kommer ikke inn) og autentisitet (den som logger inn, er virkelig deg).

Mekanikken og hvorfor det virker mot både gjettede og lurte passord, behandles senere i denne delen.

Et tiltak: kryptert overføring mellom nettleser og tjener, med sertifikat som bekrefter hvem tjeneren er.

Målene: konfidensialitet (ingen på veien kan lese trafikken), integritet (ingen kan endre den underveis) og autentisitet (sertifikatet viser at du snakker med rett tjener).

Dette er det klareste eksempelet på at ett tiltak kan tjene flere mål — og i en «velg ett eller flere»-oppgave skal alle tre krysses av.