Tietoturva Internetissä

Internet, TCP/IP ja tietoturva

Käyttäjän tietoturva

• Salasanoista
• Salatuista yhteyksistä
• VPN

• Salakuunneltavuus
• Fyysinen pääsy
• Järjestelmät
• Palomuurit

Sivut tehnyt Pekka Savola
11.11.1999 22:03

Vasemmalla on punaisella muurilla (palomuuri) Internetistä (sinertävä pilvi) eristetty yrityksen sisäinen verkko. Lisäksi jokainen osasto on eristetty sisäisellä palomuurilla (CheckPoint Firewall-1)

Tavallisenkin käyttäjän on hyvä tietää mitä palomuurit ovat - ne saattavat rajoittaa päivittäistä käyttöä merkittävästi. Parempi tietää kuin valittaa että "Internet on rikki".

Kaikille palomuurityypeille olennainen luonteenpiirre on välitön raportointi verkkoyhteyksissä tapahtuvasta epäilyttävästä toiminnasta. Kaikista tietoturvapolitiikan vastaisista yhteysyrityksistä jää yleensä varsin kattavat tiedot palomuurin kirjanpitoon.

Palomuurien kolme perustyyppiä ovat:

• Filtteröivä palomuuri
• Proxy-palomuuri
• Stateful Inspection ("älykäs") - palomuuri

Proxy Server -tyyppinen palomuuri antaa astetta tiukemman suojan. Tyypillisesti jokainen ohjelma (WWW, Telnet, FTP, ym.) on erikseen konfiguroitava käyttämään kyseistä palvelinta. Yhteyksiä muodostettaessa vastapää ottaa yhteyden Proxy-palvelimeen (joka toimii "välikätenä"), ei varsinaiseen käyttäjän koneeseen. Tälläinen tietoturvapolitiikka hankaloittaa merkittävästi myös hyötykäyttöä, ja vain harvalle yritykselle lisäturva on vaivan arvoista.

Stateful Inspection -tyyppiset "älykkäät" palomuurit pyrkivät lisäämään tietoliikenteen sisällöntarkistuksen filtteröivään palomuuriin ja silti säilyttämään yhteyksien tarkistuksen läpinäkymättömyyden. Tämän tekniikan perusidea on se, että palomuuri osaa itse päätellä, pitäisikö tietty liikenne päästää läpi. Jos sisäverkon kone A liikennöi Internetiin koneeseen B, osaa palomuuri itse päästää liikenteen B:ltä A:lle esimerkiksi 60 sekunnin ajan. Myös esimerkiksi tiedonsiirtojen virus-tarkistukset ovat mahdollisia. Stateful Inspection -palomuurit ovat varsin kalliita ja monimutkaisia, ja niitä käytetään usein vain isommissa organisaatioissa kun pelkkä pakettisuodatus (filtteröinti) ei riitä.

1. hyväksytään vain liikenne minkä lähdeosoite on Internetissä - estää suurimman osan vaarallisista osoitteiden väärennyksistä
2. hyväksytään ns. paluupaketit tietyin rajoituksin
3. hyväksytään SSH-liikenne yrityksen etäkäyttöpalvelimelle
4. hyväksytään WWW-liikenne yrityksen julkiseen WWW-palvelimelle
5. hyväksytään tietty ICMP-liikenne ("Internetissä välittyvät virheilmoitukset ja liikenteenohjausviestit")
6. hyväksytään tietty liikenne muutamalta aikapalvelimelta yrityksen omaan aikapalvelimeen
7. hyväksytään tietty liikenne muutamalta nimipalvelimelta yrityksen omaan nimipalvelimeen; lisäksi yleiset nimipalvelukyselyt
8. kielletään kaikki muu ja pidetään yhteydenottoyrityksistä kirjaa

Miltä kyseiset säännöt saattaisivat asetuksissa näyttää?

Näillä säännöillä palomuuri on lähes näkymätön, mutta silti käytännössä mahdoton murtautua läpi. Seuraavaksi onkin tukittava ne muut tietoturvareiät..

Ja lopuksi: ainoa keino saavuttaa 100% tietoturva on valitettavasti tämä; kompromisseja on tehtävä.