Modalitati de protectie si securitate a datelor financiar-contabile

în sistemele informatice

Stadiul cunoasterii în domeniul protectiei si securitatii datelor în sistemele informatice

Conexiuni si interdependente între sistemele informatice si sistemul informatic

Arhitectura unui sistem informatic. Clasificare.

Implicatia sistemelor informatice si a sistemului informational asupra activitatii economice

Reguli în proiectarea si realizarea unui sistem informatic

Principalele etape în realizarea unui sistem informatic

Reglementari legale privind prevenirea si combaterea criminalitatii informatice legea nr. 161 din 19/04/2003.

Studiul de caz: Modalitati de îmbunatatire a protectiei si securitatii datelor aferente sistemului informatic al sistemului Mercedes-Benz România

Prezentarea societatii Mercedes-Benz România

Organizarea fizica a sistemului informatic si a retelei informatice

Structuri de date supuse procesului de protectie

Tipuri de riscuri care pot afecta datele sistemelor informatice

2.4.1 Reteaua vulnerabilitatile si atacurile asupra ei

2.4.2 Puncte slabe în reteaua informatica

2.5 Metode de securitate a postului de lucru existent

2.5.1 Metode de protectie fizica

2.5.1 Metode de protectie logica

2.6 Metode de limitare a accesului în retea existente

Metode de protectie fizica

Metode de protectie logica

2.7 Perspective de îmbunatatire a protectiei si securitatii datelor în sistemul informatic

1.1 Conexiuni si interdependente între sistemele informatice si sistemul informatic

Într-o economie în care tehnologia informatiei s-a impus în toate domeniile de activitate, utilizarea calculatorului ca fiind ceva indispensabil a capatat valente deosebite. Evolutia tehnologica presupune o anumita infrastructura care trebuie sa curpinda pe langa hardware, produse si sisteme informatice bazate pe noi sisteme de gestiune a bazelor de date sau pe notiunea de teletransmisie materializata prin relete nationale de date cu rate de transfer cat mai mari ; posturi de lucru la toate nivelele operationale dintr-o unitate (sisteme interactive om - masina). Se poate spune, pe drept cuvant ca traim intr-o societate informatizata. Peste tot sunt calculatoare, legate eventual intre ele si formand astfel retele de calculatoare. Toate acestea se datoreaza faptului ca ne dam seama din ce în ce mai mult ca PC-ul ne usureaza munca. Dar trebuie de subliniat faptul ca un calculator este de fapt o "masinarie" care prelucreaza o serie de informatii pe care i le dam. Informatia, este elementul esential din acest intreg lant. Din aceste motive este absolut necesar ca gestiunea resurselor sa fie facuta în cadrul unui  " Sistem" bine organizat, în continua perfectare, subîntelegând si necesitatea utilizarii tehnicii electronice de calcul, adica implementarea sistemelor informatice economice si tehnologiilor informationale moderne. De fapt, in practica intalnim, printre altele, doua concepte legate de aceasta si anume sistemul informational si sistemul informatic.

Sistemul informational este ansamblul de elemente implicate în procesul de colectare, transmisie, prelucrare, etc. de informatii ; un ansamblu de elemente interdependente intre care se 19219n1322t stabileste o interactiune dinamica, pe baza unor reguli prestabilite, pentru atingerea unui scop comun. Un sistem este definit prin relatiile dintre elementele sale, care pot fi modularizate pe parti, adica unele dintre acestea pot fi schimbate, ceea ce reprezinta o cale de modernizare cu un minin de elemente de noutate (efort minin - efect maxim).

Rolul sistemului informational este de a transmite informatia intre diferite elemente . De exemplu, in cadrul unei unitati economice, roulul sistemului informational este de a asigura persoanele din conducere cu informatii necesare pentru luarea diferitelor decizii economice sau de alta natura.

In cadrul sistemului informational se regasesc : informatia vehiculata, documentele purtatoare de informatii, personalul, mijloace de comunicare, sisteme de prelucrare a informatiei, etc. Printre posibile activitati desfasurate in cadrul acestui sistem, pot fi enumerate :achizitionarea de informatii din sistemul de baza, completarea documentelor si transferul acestora intre diferite compartimente, centralizarea datelor, etc.

In cadrul sistemului informational, majoritatea activitatilor se pot desfasura cu ajutorul tehnicii de calcul. Se pot prelucra datele primare si apoi, rezultatul poate fi transferat mai departe, catre alt compartiment spre prelucrare.Transferul se poate face si el pe cale electronica, prin intermediul unei retele de calculatoare sau cu ajutorul modemului.

Ansamblul de elemente implicate in tot acest proces de prelucrare si transmitere a datelor pe cale electronica alcatuiesc un sistem informatic

Intr-un sistem informatic pot intra : calculatoare, sisteme de transmisie a datelor, alte componente hardware, softwer-ul, datele prelucrate, personalul ce exploateaza tehnica de calcul , teoriile ce stau la baza algoritmilor de prelucrare, etc.

Se poate spune deci, ca sistemul informational este inclus în sistemul informatic, acesta din urma fiind o componenta esentiala a primului.

Functiile sistemului informational - se desprind din analiza rolului acestuia si se pot sintetiza in urmatoarele categorii:
-culegerea si transmiterea datelor;
-verificarea, stocarea si actualizarea datelor;
-prelucrarea datelor si prezentarea rezultatelor.

Culegerea datelor :   ansamblul de activitati prin care sunt generate documente primare din cadrul sistemului informational.
Generarea, completarea, verificarea documentelor, transmiterea lor se reglementeaza prin norme interne. Unele documente care parasesc incinta firmei sau al caror continut intereseaza organele de control sunt supuse unor reglementari metodologice de stat.
Locurile unde sunt generate se numesc posturi de lucru. Traseul documentelor de la un post la altul, emitent - destinatar, formeaza circuitul informational. Volumul acestor documente, frecventa, fac posibila transferarea unor unei cantitati de informatii cunoscuta sub numele de flux informational.
Prin circuitele informationale se realizeaza un flux informational caracterizat de frecventa si volumul documentelor primare si situatii primare generate si prelucrate in cadrul posturilor.
Verificarea datelor ocupa un rol important. Este mult mai bine ca o informatie sa lipseasca decat sa fie eronata. Prelucrarea corelata cu aspectul de stocare si actualizare astfel incat in urma exploatarii fondului informational sa avem certiudinea ca folosim date reale la zi. Cel mai important element este cunoasterea si aplicarea metodologiilor si normstivelor modelelor economico-matematice.

1.2 Arhitectura unui sistem informatic. Clasificarea sistemului informatic

In cadrul mediului financiar si in conditiile intensificarii concurentei, in special ca urmare a aparitiei unor noi competitori de talie internationala, existenta unui sistem informational si implicit informatic performant constituie factor cheie al imbunatatirii indicatorilor economico-financiari ai institutiei ce-l detine si totodata permite asigurarea suportului informational pentru cuantificarea riscurilor inerente activitatii intreprinderilor. Performanta sistemului informatic rezida din caracteristicile arhitecturii sale.

Arhitectura sistemului trebuie sa aiba la baza un set de procese de distributie, care au acces concurent la o baza de date centrala. Toate componentele sistemului terbuie concepute pntru procesare in timp real a evenimentelor/tranzactiilor in colaborare cu integrarea informatiilor si aplicatiilor din reteaua institutiei.

Arhitectura sistemului informatic pentru managementul resurselor trebuie sa asigure atat aplicatiile cat si datele de accesul neautorizat sau rauvoitor. Arhitectura este astfel inzestrata cu algoritmi de criptare, securizarea rutarilor, smart carduri, fire-walls, autentificarea utilizatorilor la nivel de mesaje si la nivel de aplicatie si controlul accesului atat la aplicatii cat si la nivelul retelei, toate acestea genereaza impreuna un nivel de securitate ridicat.

Arhitectura unui sistem informatic face referire la structura sa. Conform teoriei generale a sistemelor, notiunea de structura este definita din perspectiva transformarilor principale prin care trece sistemul in interactiunea cu mediul sau, considerandu-se ca ea face referire la aspectul invariat al sistemului ce da identitatea acestuia. Una din definitiile mai recente considera arhitectura programelor ca fiind structura sau structurile care privesc componentele programului, proprietatile externe ale acestor componente, precum si relatiile dintre ele. Arhitectura sistemelor informatice poate fi definita atat in sens restrans cat si in sens mai larg, proiectarea arhitecturii unui program vizeaza componentele programului si modulele acestuia respectiv includerea bazei de date si a componentei middleware care permite configurarea comunicarii intr-un sistem informatic.

Arhitectura sistemului informatic al unei institutii financiar-bancare trebuie sa permita atât realizarea operatiilor solicitate de client, cât si asigurarea necesarului informational în vederea cunoasterii detaliate a evolutiei activitatii institutiei si a cuantificarii potentialelor riscuri ce îsi pot face simtita prezenta. Sistemul de autentificare si de control al accesului în retea, ca si cel legat de securitatea tranzactiilor, trebuie incluse în arhitectura sistemului în scopul asigurarii unei sigurante corespunzatoare atât institutiei cât si clientilor acesteia.

Arhitectura trebuie sa permita administratorilor modificarea extinderea usoara a acesteia, suportul de transport permitând atât o distribuire a informatiilor sigura si rapida cât si o toleranta corespunzatoare la esecul distribuirii mesajelor, în concordanta cu un mecanism de încarcare echilibrata a serverelor. Utilizarea distribuita a software-ului si a unei interfete de comunicatie corespunzatoare permite o performanta ridicata si o eficienta sporita în utilizarea si mentenanta sistemului. Arhitectura distribuita permite performanta, asigurand un mecanism flexibil de persistenta pentru sistemul de operare.

Arhitectura sistemului informatic reprezinta solutia generica privitoare la procesele de prelucrare a datelor ce trebuie sa se realizeze si modul de integrare a datelor si prelucrarilor.

Sistemele informatice acopera cele mai diverse domenii.

In functie de specializare, avem :

Sisteme specializate, adica sunt proiectate pentru a rezolva un anume tip de problema dintr-un anume domeniu;

Sisteme de uz general, cu ajutorul carora se poate rezolva o gama larga de probleme din mai multe domenii;

Sisteme locale, programele necesare prelucrarilor de date si datele se afla pe un singur sistem de calcul;

Sisteme pe retea, sistemul functioneaza într-o retea de calculatoare, caz în care, datele si programele pot fi distribuite mai multor statii de lucru ce fac parte din acea retea.

In ultimul timp se merge tot mai mult pe varianta sistemelor de lucru în retea, avantajele fiind evidente : transfer de date între statii foarte rapid, costuri minime, etc.

In functie de localizarea datelor si de locul în care sunt efectuate prelucrarile, putem avea sisteme informatice :

Cu date centralizate, datele se afla pe un singur sistem de calcul;

Cu date distribuite, datele se afla distribuite pe mai multe calculatoare în retea;

Cu prelucrari centralizate, prelucrarea datelor se face pe o singura statie de lucru, indiferent de numarul statiilor pe care sunt informatiile de prelucrat;

Cu prelucrari distribuite, mai multe calculatoare prelucreaza datele provenite de la unul sau mai multe calculatoare din retea;

Dupa domeniul în care functioneaza, sistemele pot fi clasificate :

De baze de date, specializate în gestiunea unor cantitati mari de date;

Pentru prelucrari stiintifice, specializate pe anumite domenii stiintifice;

Pentru conducerea proceselor tehnologice, pentru conducerea unor masini, scule, unelte computerizate;

Dupa nivelul ierarhic ocupat de sisteme informatice in structura organizatorica a societatii, putem avea :

Sisteme informatica pentru conducerea activitatilor la nivelul unitatilor economice;

Sisteme la nivelul organizatiilor cu structura de grup;

Sisteme informatice teritoriale;

Sisteme informatice la nivel de ramura si subramura si la nivel economic national;

Sisteme de uz general.

Dupa activitatea ce o automatizeaza, sistemele pot fi :

Pentru conducerea productiei;

Pentru activitatea comerciala;

Pentru evidenta contabila;

Pentru evidenta materialelor si marfurilor;

Pentru evidenta personalului si salarizare;

Pentru evidenta mijloacelor fixe.

Aceste sisteme au o aplicare imediata în cadrul rezolvarii unor probleme de natura economica. Deci una dintre ramurile cele mai informatizate este economia.

1.3 Implicatia sistemelor informatice/sistemului informational asupra activitatii economice

Complexitatea si dinamismul ridicat al evolutiilor tehnice, economice, informationale si manageriale contemporane se reflecta in inovarea accelerata si pe mai multe planuri a sistemului informational al unei organizatii.

In cazul intreprinderilor, acestea desfasoara o activitate de productie, veniturile obtinute din valorificarea acestora permitand acesteia continuarea activitatii si chiar a dezvoltarii. Aici, nevoile sunt cele de a ramane in competitie pe piata, iar resursele sunt constituite din materia prima folosita, forta de munca, mijloacele de productie, etc. Criteriul satisfacerii nevoilor in cazul unei intreprinderi se transforma in telul urmarit de aceasta - obtinerea de profit maxim.

Locul informatiei in economia informationala este unul central de orientare a demersurilor managerial. Informatia devine o resursa cu potential de exploatare nelimitat, deoarece fata de resursele traditionale ea este expandabila, compresabila, inlocuibila, transportabila, difuzabila si portabila.

Sistemele informatice financiar-contabile au devenit un capitol important pentru management. Realizarea acestor sisteme informatice performante a devenit o activitate importanta nu numai pentru specialistii din informatica dar si pentru economisti. In acest scop a aparut o gama curpinzatoare de metodologii, metode, tehnici, proceduri, standarde si instrumente care imbina cunostintele economice cu cele din domeniul stiiltei calculatoarelor, comunicatiilor, managementului, matematicilor aplicate etc.

Pentru realizarea acestei dorinte, unitatile economice trebuie sa-si perfectioneze continuu activitatea. Utilizarea tehnicii de calcul, mareste considerabil eficienta economica. Unul dintre mijloacele prin care activitatea economica este automatizata este dat de sistemele informatice de gestiune economica.

In cadrul unitatilor economice sunt o multitudine de activitati ce pot fi supuse informatizarii. Acestea pot fi impartite in grupe, in functie de compartimentele in care se desfasoara.

Spre exemplu, in cadrul compartimentului productie se poate informatiza activitatea de stabilire a structurii productiei si de dimensionare a sa, programarea si urmarirea productiei, etc. In cadrul compartimentului financiar-contabil, activitatea ar putea fi informatizata aproape in totalitate, la fel ca si activitatea din cadrul compartimentului personal-salarizare. Fiecare dintre compartimentele unei unitati economice poate fi informatizat intr-o masura mai mare sau mai mica, ideal insa ar fi ca toate acestea sa fie inglobate într-un sistem informatic global de gestiune economica la nivelul intregii intreprinderi.

Informatizarea muncii de birou, in afara de cresterea calitatii si productivitatea muncii administratice, determina si alte efecte economice si sociale cum ar fi :

Eliminarea efortului fizic sau diminuarea considerabila a acestuia

Eliminarea efortului fizic si intellectual solicitat de prelucrarea manuala a informatiei

Reducerea timpului de receptie de preulucrare si de transmitere a informatiei in activitatea administrativa

Cresterea exactitatii proceselor informationale si a vitezei de regarire a informatiei

Scaderea considerabila a costului informatiei si a deciziei pe care aceasta din urma se fundamenteaza

Pentru realizarea unui sistem informatic eficient , trebuie avute în vedere unele reguli de baza, ce au fost deduse din practica.

Avantajele elaborarii unui sistem informational in cadrul unei organizatii economice sunt : posibilitatea de control, de corectie, de prognoza si se poate asigura portabilitatea aplicatiei, porbatbilitatea utilizatorilor si interoperabilitatea aplicatiilor, independenta de mediul de echipamente, flexibiliatea de schimbare si dezvoltare a mediului informatic. Arhitectura acestui sistem asigura urmarirea si realizarea obiectivelor economice, cu posibilitate de adaptare si dezvoltare al schimbarea necesitatilor si a tehnologiilor. Pornind de la facilitatile oferite de tehnologia de implementare (analiza multidimensionala, ususrinta de utilizare, definirea interogarilor la rularea programului, integrarea si consolidarea informatiilor, analiza tendintelor, formatarea interactiva a situatiilor) obtinand beneficii cum ar fi : o vedere mai clara asupra obiectivelor, identificarea prioritatilor, identificarea si prevenirea activitatilor redundante, analize comparative, libertatea crescuta in fundamentul decizional.

1.4 Reguli in proiectarea si realizarea unui sistem informatic

O rezolvare rapida, precisa si economica a tuturor problemelor care apar la implementarea unui sistem informatic in sfera economico-financiara, implica un cadru metodologic normative adecvat de realizare a acestor sisteme.

Abordarea globala modulara.

La proiectarea sistemului trebuie avuta in vedere legatura acestuia cu lumea exterioara, posibilitatile de comunicare cu alte sisteme similare, compatibilitatea cu sisteme de alta natura, posibilitatea includerii sistemului într-un sistem mai complex, sau posibilitatea includerii altor sisteme.

Criteriul eficientei economice

Principalul criteriu ce sta la baza realizarii sistemului este cel economic. Cu alte cuvinte, la proiectare trebuie avut in vedere ca raportul dintre rezultatul sau rezultatele directe sau indirecte obtinute prin implementarea si folosirea sistemului economic si totalitatea costurilor de realizare sa fie cat mai mare. Cu alte cuvinte, trebuie sa fie rentabil.

Orientarea spre utilizatori.

La realizarea sistemului trebuie sa se aiba in vedere cerintele si preferintele utilizatorilor. In acest sens, trebuie purtata o discutie cu utilizatorii in prealabil si pe baza sugestiilor si preferintelor lor sa se treaca la proiectarea propriu-zisa.

Asigurarea unicitatii introducerii datelor.

De cele mai multe ori o serie de date trebuiesc utilizate in mai multe locuri in cadrul sistemului informatic. La proiectarea sistemului, trebuie ca datele sa fie introduse o singura data, iar sistemul sa distribuie automat datele in celelalte locuri în care este nevoie de ele.

Antrenarea beneficiarului la realizarea sistemului.

Acest principiu decurge tot din orientarea spre utilizator. Trebuie discutat cu utilizatorul înainte de a trece la proiectare, pentru a inlatura de la inceput o serie de neajunsuri. Trebuie discutate modalitatile de introducere a datelor si adaptarea aplicatiei la nevoile utilizatorului, modul de calcul si prelucrare al datelor.

Solutie generala, independenta de configuratia actuala a sistemului informatizat.

Sistemul proiectat nu trebuie, pe cat posibil, sa fie dependent de dotarea tehnica actuala a beneficiarului, ci trebuie avute în vedere eventuale noi achizitii de tehnica de calcul, o eventuala schimbare a sistemului informatic.

Posibilitatea de dezvoltare ulterioara.

Trebuie avute in vedere posibilitatea ca sistemul sa poata fi imbunatatit in raport de cerintele viitoare ale firmei beneficiare.

Sistemele informatice pun probleme serioase la realizarea lor. In functie de modul de abordare, costurile pot fi mai mici sau mai mari, rezultatele mai bune sau mai putin bune.

De-a lungul timpului s-au conturat doua tipuri de astfel de strategii :

Ascendenta ("bottom-up" de jos în sus, de la mic la mare)

Descendent ("top-down" de sus în jos, de la mare la mic).

Strategia ascendenta

In conformitate cu aceasta strategie, rezolvarea unei anumite probleme începe cu rezolvarea problemelor de detaliu, minore. Solutiile sunt agregat in vederea solutionarii unei probleme mai complexe. Se procedeaza asfel pana ce se ajunge la varf, la solutionarea problemei globale.

Dezavantajul acestei metode consta in necesitatea cunoasterii in detaliu al domeniului problemei de rezolvat inainte de trecerea la rezolvarea propriu-zisa.

Strategia descendenta

Este opusa celei ascendente, abordand problema de la general la particular, de sus în jos.

Este studiata problema global, incercand descompunerea ei în probleme mai mici si se trece la rezolvarea subproblemelor astfel rezultate. Rezolvarea subproblemelor se face prin aceiasi metoda, adica prin descompunerea lor în alte subprobleme, si tot asa pâna se ajunge la probleme a caror rezolvare este cunoscuta.

Aceasta strategie prezinta avantajul ca ofera in orice moment o imagine de ansamblu asupra problemei de rezolvat.

Pentru realizarea unui sistem informatic sunt implicate multe persoane, materiale, timp, etc., ceea ce implica in final costuri ridicate. Din acesta cauza, modul de abordare a problemei proiectarii este foarte important. In decursul timpului s-au cristalizat cateva metodologii standard de proiectare.

1.5 Principalele etape in realizarea unui sistem informatic

La proiectarea sistemului informatic trebuie avuta in vedere legatura acestuia cu lumea exterioara, posibitatile de comunicare cu alte sisteme similare, compatibilitatea cu alte sisteme de alta natura, posibilitatea includerii sistemului intr-un system mai complex, sau posibilitatea includerii altor sisteme dar sa aiba in vedere si cerintele si rpeferintele utilizatorilor. La proiectarea sistemului, trebuie ca datele sa fie introduce o singura data, iar sistemul sa distribuie automat datele in celelalte locuri in care este nevoie de ele.

Principalele etape de parcurs pentru realizarea unui sistem informatic sunt :

Analiza sistemului existent - se studiaza sistemul informatic existent si se stabilesc neajunsurile sale si cerintele ce urmeaza a fi satisfacute de viitorul sistem informatic. In acesta etapa se stabileste rentabilitatea folosirii sistemului informatic.

Proiectarea sistemului informatic - se concepe sistemul, elementele componente ale acestuia, structura lor si modul de realizare. Datorita complexitatii, aceasta etapa este la randul ei descompusa în doua etape :

Proiectarea de ansamblu - se stabileste arhitectura de ansamblu, modul de descompunere pe componente, intrarile si iesirile sistemului. Se finalizeaza printr-o schema de ansamblu a sistemului in care sunt incluse toate aceste elementele.

Proiectarea de ansamblu are ca obiective principale: specificarea cerintelor si restrictiilor pentru proiectarea noului system, elaborarea modelului de ansamblu a noului sistem informatic, stabilirea grafului de ordonantare a exploatarii componentelor functionale si a cerintelor prinvind asigurarea informationala; estimarea necesarului de testare pentru realizarea si punerea in functiune a noului system si a eficientei economice, planificarea realizarii si punerii in functiune a noului system si planificarea testarii.

Proiectarea de detaliu - fiecare element descris in etapa anterioara este descris in detaliu.

Proiectarea de detaliu are ca obiective : analiza si specificarea cerintelor de detaliu, elaborarea modelului de detaliu (integral sau pe parti componente) - proiectarea arhitecturii componentei functionale, stabilirea solutiilor tehnice de realizare, planificarea realizarii si punerii in functiunii a componentei functionale si planificarea testarii.

Elaborarea programelor - se scriu programele sistemului intr-un limbaj ales anterior.

Obiectivele elaborarii sunt : proiectarea, realizarea, testarea programelor ; elaborarea documentatiei de intretinere (programe si date) si pregatirea testarii.

Elaborarea programelor - dupa ce a fost realizat sistemul se trece la implementarea sa.

Punerea in functiune are in principal urmatoarele activitati: actiuni pregatitoare punerii in functiune (instruire personal, masuri organizatorice si tehnice) punerea in functiune/experimentare la unitatea beneficiara, test de receptie system, actualizarea documentatiei.

Exploatarea si intretinerea sistemului - aceasta este faza finala a proiectului in care se trece la exploatarea acestuia. Este necesara executia in paralel si a unor operatii de intretinere a acestuia.

Exploatarea urmareste functionarea sistemului in parametric proiectari, intretinerea sistemului ai actualizarea documentatiei.

Modificarile care apar in timpul exploatarii vor fi mentionate in registrele de exploatare, actualizandu-se in documentatia componentelor functionale.

Reglementari legale privind prevenirea si combaterea criminalitatii informatice legea nr. 161 din 19/04/2003

Societatea informationala - atât de bine reflectata prin mediul Internet - este un domeniu atât de nou si diferit, încât practic nu mai exista precedente în acest sens, si, fara ca problemele juridice pe care le ridica sunt dificile, chiar daca avem la îndemâna conceptele si institutiile dreptului clasic care si-au dovedit valabilitatea de-a lungul vremurilor. Este un domeniu în care solutiile tehnice si cele juridice sunt foarte strâns legate una de alta. Societatea informationala, bazata pe cunoastere, nu poate avea decât un drept care, prin esenta, sa-i semene.

Conceptul de criminalitate informatica este foarte clar explicat in legea nr.161 din 19/04/2003. Pana la aceasta data Romania a trecut printr-o perioada in care legile nu se puteau aplica si furtul informational nu putea fi legal sanctionat. Din acest motiv majoritatea firmelor care practica comert electronic din exteriorul granitelor tarii au sistat livrarea produselor catre tara noastra si, in acest moment, sunt inca multe sit-uri de e-comerce care inca nu livreaza in Romania. Dupa data mentionata anterior legea prevede clar care sunt contraventiile, infactiuniile si care sunt sanctiunile in cazul fiecareia.

Desi în societatea informationala varietatea crimelor este mare (si va fi si mai mare pe masura ce tehnologia va progresa), consideram ca, urmatoarele fapte infractionale sunt cele mai frecvente si ar trebui, prin urmare, avute în vedere de legiuitorul penal român:

frauda informatica

falsul informatic

fapte ce prejudiciaza datele sau programele pentru calculator

sabotajul informatic

accesul neautorizat

interceptia neautorizata

pirateria software

spionajul informatic

defaimarea prin Internet

distribuirea de materiale obscene în Internet

spam-ul

Concepte cheie:

• accesul neautorizat reprezinta accesul fara drept la un sistem sau la o retea informatica prin violarea regulilor de securitate.
• confidentialitatea datelor - atribut al datelor ce caracterizeaza accesul lor restrâns pentru un anumit grup de utilizatori
• criminalitatea informatica - totalitatea infractiunilor comise cu ajutorul calculatorului sau în mediul informatizat
• documentul electronic (înscris electronic), reprezinta o colectie de date în format electronic între care exista relatii logice si functionale, care redau litere, cifre sau orice alte caractere cu semnificatie inteligibila, destinate a fi citite prin mijlocirea unui program informatic sau a altui procedeu similar.
• dreptul comertului electronic - totalitatea reglementarilor legale referitoare la activitatile comerciale care implica transferul de date si realizarea unei tranzactii financiare prin intermediul unei retele electronice precum Internetul.
• drept informatic sau dreptul societatii informationale este un sistem unitar de reguli juridice aplicabile tehnologiilor specifice informaticii, precum si acelei parti a comunicatiei aferente transferului de informatie în retelele informatice
• dreptul securitatii informatice - totalitatea regulilor juridice care se refera la asigurarea securitatii sistemelor informatice si a datelor si informatiilor cuprinse în aceste sisteme fata de evenimente care le-ar putea afecta integralitatea.
• frauda informatica - reprezinta intrarea, alterarea, stergerea sau supraimprimarea de date sau de programe pentru calculator sau orice alta ingerinta într-un tratament informatic care îi influenteaza rezultatul, cauzând chiar prin aceasta un prejudiciu economic sau material în intentia de a obtine un avantaj economic nelegitim pentru sine sau pentru altul
• functionarea licita a bazei sau bancii de date se refera la modalitatea legala în virtutea careia organizatia proprietar sau detinator a bazei de date presteaza servicii informatice.
• interceptia neautorizata, consta în interceptia fara drept si cu mijloace tehnice de comunicatii cu destinatie, cu provenienta si în interiorul unui sistem sau retele informatice.
• pirateria software consta în reproducerea, difuzarea sau comunicarea în public, fara drept, a unui program pentru calculator, protejat de lege
• sabotajul informatic, reprezinta intrarea, alterarea, stergerea sau supraimprimarea de date sau de programe pentru calculator ori ingerinta în sisteme informatice cu intentia de a împiedica functionarea unui sistem informatic sau a unui sistem de telecomunicatii.
• semnatura electronica, reprezinta o colectie de date în format electronic incorporate, atasate sau asociate unui înscris în format electronic cu intentia de a produce efecte juridice si care permite identificarea formala a semnatarului.
• spionajul informatic, consta în obtinerea prin mijloace ilegitime sau divulgarea, transferul sau folosirea fara drept ori fara nici o alta justificare legala a unui secret comercial sau industrial, în intentia de a cauza un prejudiciu economic persoanei care detine dreptul asupra secretului sau de a obtine pentru sine ori pentru altul avantaje economice ilicite.

Infractiuni contra confidentialitatii si integritatii datelor si sistemelor informatice

Accesul, fara drept, la un sistem informatic constituie infractiune si se pedepseste cu închisoare de la 3 luni la 3 ani sau cu amenda. Fapta prevazuta anterior savarsita in scopul obtinerii de date informatice, se pedepseste cu inchisoare de la 6 luni la 5 ani.   Daca faptele prevazute mai sus sunt savarsite prin incalcarea masurilor de securitate, pedeapsa este închisoarea de la 3 la 12 ani.

Interceptarea, fara drept, a unei transmisii de date informatice care nu este publica si care este destinata unui sistem informatic, provine dintr-un asemenea sistem sau se efectueaza in cadrul unui sistem informatic constituie infractiune si se pedepseste cu inchisoare de la 2 la 7 ani.   Cu aceeasi pedeapsa se sanctioneaza si interceptarea, fara drept, a unei emisii electromagnetice provenite dintr-un sistem informatic ce contine date informatice care nu sunt publice.

Fapta de a modifica, sterge sau deteriora date informatice ori de a restrictiona accesul la aceste date, fara drept, constituie infractiune si de pedepseste cu inchisoare de la 2 la 7 ani.

Transferul neautorizat de date dintr-un sistem informatic se pedepseste cu inchisoare de la 3 la 12 ani. Cu pedeapsa prevazuta la aliniatul de mai sus se sanctioneaza si transferul neautorizat de date dintr-un mijloc de stocare a datelor informatice.

Fapta de a perturba grav, fara drept, functionarea unui sistem informatic, prin introducerea, transmiterea, modificarea, stergerea sau deteriorarea datelor informatice sau prin restrictionarea accesului la aceste date constituie infractiune si se pedepseste cu inchisoare de la 3 la 15 ani.

Constituie infractiune si se pedepseste cu închisoare de la 1 la 6 ani:
a) fapta de a produce, vinde, de a importa, distribui sau de a pune la dispozitie, sub orice alta forma, fara drept, a unui dispozitiv sau program informatic conceput sau adaptat in scopul savarsirii uneia dintre infractiunile prevazute mai sus.
b) fapta de a produce, vinde, de a importa, distribui sau de a pune la dispozitie, sub orice alta forma, fara drept, a unei parole, cod de acces sau alte asemenea date informatice care permit accesul total sau partial la un sistem informatic in scopul savarsirii uneia dintre infractiunile de mai sus.
Cu aceeasi pedeapsă se sanctioneaza si detinerea, fara drept, a unui dispozitiv, program informatic, parola, cod de acces sau data informatica dintre cele prevazute mai sus in scopul savarsirii uneia dintre infractiunile prevazute anterior.
De asemenea tentativa infractiunilor prevazute mai sus se pedepseste.

Legea este mult mai stufoasa si prevede o gama mult mai mare de situatii in care se poate incadra un infractor vinovat de "criminalitate informatica", dar oricat de mult incearca sa "ocoleasca" aceasta lege tot se incadreaza la un articol si este considerat vinovat. Pedepsele, dupa cum se observa, sunt proportionale, astfel: accesul este pedepsit cu inchisoare pana la 3 ani, accesul in scopul obtinerii unor date confidentiale, inchisoare pana la 5 ani iar daca accesul are loc incalcand anumite masuri de securitate, prin care se proteja victima, pedeapsa poate merge pana la 12 ani.

Semnalarea unor probleme susceptibile sa apara ca rezultat al modelului elaborat:

• insuficienta aplicare în practica a normelor în lipsa unor institutii specifice care sa aplice legea în domeniu
• lipsa de finalitate a legii datorita lipsei specialistilor juristi cu pregatire în domeniul tehnologiei informatiei
• lipsa de finalitate a legii si nesustinerea suficienta a domeniilor pe care le reglementeaza datorita lipsei unei atitudini favorabile a publicului si insuficientului grad de cultura privind utilizarea tehnologiilor informatiei si comunicatiilor.
• aplicarea paralela (pâna la renuntarea totala a institutiilor dreptului traditional) a unor reglementari clasice cu cele specifice domeniului tehnologiilor informatiei poate duce la unele controverse si aplicari contradictorii a legii în situatii similare.

În ceea ce priveste nerezolvarea problemelor juridice ale societatii informationale ar putea fi:

• internationale - adaptarea continua a   legislatiei la cerintele noului tip de societate
• cresterea pierderilor si dezechilibrelor economice si sociale, prelungirea tranzitiei cu aspecte accentuat anomice (lipsa sau neeficienta unei legislatii nepotrivite noului tip de societate fiind un obstacol în construirea si dezvoltarea noilor tehnologii);
• lipsa de finalitate a cheltuirii resurselor financiare alocate pentru informatizarea sectorului public datorate nesustinerii legislative a procesului;
• cresterea decalajului fata de tarile dezvoltate tehnologic si "dotate" cu o legislatie corespunzatoare;
• incapacitatea clara de integrare în noul sistem de drept informational construit la scara globala si de aici imposibilitatea integrarii în noul circuit de valori culturale.

2.1 Prezentarea unitatii economice studiata

S.C Mercedes-Benz Romania S.R.L. este incepand cu anul 2007, importator general pentru Romania al concernului Daimler Benz, respectiv Daimler ChryslerAG- marca Mercedes-Benz, domeniul principal de activitatii constituindu-l:

comertul cu autovehicule - autoturisme si autoutilitare Mercedes-Benz si comertul cu piese si accesorii pentru autovehicule Mercedes-Benz, Chrysler, Jeep si Dodge.

intretinerea si repararea autovehiculelor (fara reparatiile executate in firma de tip industrial)presupune: reparatii mecanice, electrice si tinichigerie pentru autoturisme marca Mercedes-Benz, Chrysler, Jeep, Dodge si pentru autoutilitare si camioane Mercedes-Benz, precum si vopsitorie auto pentru marcile Mercedes-Benz, Chrysler.

consulting,   engineering, leasing, reprezentari, intermedieri.

Domeniul secundar de activitate il constituie :

operatiuni de import-export marfuri,servicii.

comercializare de produse legate de domeniul de activitate ,precum si de alte produse,in vederea realizarii acestuia.

editura si tipografie de materiale de specialitate.

organizarea de expozitii,de actiuni de formare profesionala si difuzarea cunostintelor.

transport intern si international de marfuri.

inchirieri de autovehicule

participarea la construirea altor societati si realizarea de investitii.

1. Denumirea societatii este : S.C. MERCEDES-BENZ ROMANIA S.R.L. Este persoana juridica romană. In toate actele, facturile, anunturile, publicatiile emanand de la societate,denumirea societatii va fi precedata sau urmata de cuvintele "societate cu raspundere limitata", de capitalul social, numarul de inregistrare in Registrul Comertului si sediul societatii.

2. Adresa sediului central este Str. Biharia nr. 26, RO-013981 Bucuresti, sector 1.

3. Societatea este inregistrata cu codul fiscal RO18927698 si a fost inmatriculata la Registrul Comertului cu numarul de inregistrare: J/40/12982 din 11.08.2006.

Mercedes Benz Romania si-a inceput de fapt activitatea de distribuitor general al marcii Mercedes in anul 1992 o data cu infiintarea firmei S.C. AutoRom S.R.L. La momentul constituirii firmei societatea dispunea de un capital social de 50.000.000 lei si avea ca asociat unic pe S.C. UPHALL TRADING LIMITED, persoana juridica cipriota cu sediul in Nicosia.

Conducerea si administrarea societatii este asigurata de un Consiliu de Administratie.

Societatea dispune in prezent de 287 angajati.

In anul 1992 societatea nu a avut activitate in primele sase luni, iar incepand cu data de 01.01.1993, are loc separarea activitatii de import de activitatea de retail si de activitatea de service din cadrul S.C. AutoRom S.R.L., - Distribuitorul general pentru Romania al marcii Mercedes-Benz - partener autorizat DaimlerChrysler AG pentru zona Bucuresti si urmatoarele 7 judete: Teleorman, Giurgiu, Calarasi, Ialomita, Buzau, Prahova si Dambovita.

In anul 2007 marele grup Daimler Chrysler cu sediul in Germania -Stuttgart a venit in Romania si a preluat AutoRom-ul aceste devenind nu doar distribuitor general al renumitei marci ci importator oficial in Romania.

În prezent, S.C. MERCEDES-BENZ ROMANIA S.R.L. si partenerii sai au peste 500 de angajati, distribuiti în tara prin reteaua Mercedes-Benz si este reprezentata în tara de partenerii autorizati din Timisoara, Cluj, Oradea, Iasi, Bucuresti, Arad,Baia Mare, Brasov, Constanta,Craiova, Galati, Sibiu, Suceava, Târgu Mures si Pitesti.

Organizarea structurala

Exercitat de managementul de nivel superior, organizarea de ansamblu se materializeaza in structuri organizatorice si informationale prin care se combina, se ordoneaza si se actualizeaza componentele umane, materiale, financiare si informationale ale organizatiei.

Structura organizatorica poate fi considerate structura de rezistenta a intregii organizatii, scheletul acestui organism, pe baza caruia isi poate desfasura activitatea in mod normal.

Organigrama firmei Mercedes-Benz este structurata pe 4 nivele, fiind de tip functional, adica se exercita asupra unor activitati si nu asupra persoanelor. Se materializeaza in proceduri, indicatii metodologice care exprima cum trebuie executate diferitele activitati ale firmei.

Primul nivel apartine Directorului General (CEO), fiind urmat indeaproape de Managerul pentru fiecare departament in parte, aceasta activitate avand un rol primordial in activitatea firmei.

Nivelul cel mai larg si anume nivelul numarul 3 detine urmatoarele compartimente: Marketing, Vanzari, Departamentul tehnic, Secretariat, Contabilitate si Aprovizionare-desfacere.

La ultimul nivel al schemei, dar nu ultimul din punct de vedere al importantei, se afla clientii si furnizorii, care iau parte la desfasurarea activitatii firmei si care reprezinta pilonii de rezistenta ai acesteia.

Modurile de comunicare in firma se realizeaza pe mai multe cai si anume: in scris, prin e-mail, telefonic si verbal. Toate aceste modalitati sunt frecvent folosite, in functie de mesajul care trebuie transmis si de rapiditatea cu care acesta trebuie sa ajunga la destinatie. Intreaga firma este dotata cu calculatoare, acestea fiind conectate intre ele beneficiind de Intranet, cu ajutorul caruia comunicarea este mai eficienta si mai sigura.

Relatiile organizatorice sunt alcatuite din ansamblul legaturilor care se stabilesc intre componentele structurii.

Reflectand complexitatea raporturilor ce se stabilesc intre componentele primare (post, functie) si cele agregate (compartimente, departamente) ale structurii, relatiile organizatorice se pot divide in functie de continutul lor:

Relatiile de autoritate cum ar fi:politici, obiective, programe de inbunatatire, fise de post si contracte de munca.

Relatiile de cooperare: rapoartele de activitate si propunerile de imbunatatire.

Relatiile de control: actiuni corrective.

Relatiile de reprezentare : rapoarte de studiu privind vanzarile, programe anuale de audit, programe anuale de instruire, rapoarte de audit intern.

2.2 Organizarea fizica a sistemului informatic si a retelei informatice

Sistemul informatic reprezinta ansamblul fluxurilor de informatie care circula in mod curent in interiorul firmei. Din punct de vedere al modului de transmitere a informatiei exista cateva metode: transmiterea verbala prin intermediul documentelor - harti sau, cea care ne intereseaza in cazul de fata, prin intermediul retelei Ethernet. Reteaua studiata in cazul de fata este formata din peste 200 calculatoare plus 2 servere (unul din acestea fiind intr-un alt punct de lucru al firmei din b-dul Expozitiei). Din punct de vedere logic (software) pe fiecare calculator este instalat un singur sistem de operare (Windows Xp) si pe fiecare calculator exista un singur user cu setarile sale implicite. Calculatoarele din punct de vedere al configuratiei (hardware) sunt diferite, fiind folosite solutile cele mai la indemana in momentul in care apare necesitatea achizitionarii unui echipament nou sau nevoia imbunatatirii unui echipament existent. Posturile utilizatori sunt dotate cu procesoare cu viteze cuprinse între 1Ghz si 2,4 Ghz si cu capacitati Ram cuprinse între 128 si 526 Mb; placile video si sunet incluse sunt on-board (nu se actualizeaza) si au o capacitate de 4-16 Mb. Capacitatea de stocare a HD este de 10-40 Gb. Toate calculatoarele sunt complet echipare cu cd-rom sau cd-writer, floppy.

Intreaga retea de calculatoare din cadrul firmei are acces la internet si intranet si au placi de retea. Firma nu are in dotare un UPS (Unbreakeable Power Supply) care sa asigura in continuare alimentarea cu energie electrica

Suportul informatic al firmei este completat de un numar mare de scannere si imprimante (in functie de cerinte si de nevoile angajatilor pentru o mai buna desfasusare a activitatii, acestea gasindu-se aproximativ in fiecare department/birou).

Aplicatia informatica destinata contabilitatii cuprinde toate jurnalele si registrele de contabilitate, Registrul Carte mare, balanta de verificare pentru fiecare luna si situatiile financiare gestiunea operatiilor de trezorerie si un alt program destinat special gestiunii stocului.

Avand in vedere ca firma face parte dintr-o mare organizatie la nivel international sunt obligatorii controale si proceduri mai ales pentru preluarea corecta a bazelor de date. Aplicatia informatica anuntand utilizatorii de greseli/erori chiar mai mult propunandu-le varianta corecta de a proceda.

Utilizatorii sistemului informatic sunt: managerul financiar, gestionarul, contabilii, facturistii si departamentul de logistica si vanzari. Nici un utilizator nu poate accesa si fisiere care nu au legatura cu sarcinile lor de serviciu drepturile lor fiind restrictionate.

Sistemele de operare mentionate anterior sunt alese pentru a face fata cat mai bine scopului pentru care sunt achizitionate. Sunt unele echipamente de productie care au ca cerinte folosirea unor sisteme de operare perimate numai pentru ca sunt incompatibile cu sistemele de operare mai noi. Practic progresul tehnologic se propaga mai repede in domeniul IT decat in domeniul echipamentelor de productie publicitara. Cel mai bun exemplu in acest sens il constituie utilizarea unui Router vechi de 15 de ani ca echipament de debitat material plastic, echipament adaptat a carui principala destinatie era desenarea dupa comenzi primite de la calculator. Configuratiile calculatoarelor variaza de la tehnologia de acum 2 ani cel mai recent dintre ele pana la configuratii realizate acum 4-5 ani.

Serverul retelei foloseste sistemul de operare Linux si functioneaza ca poarta de acces la internet (gateway) si server de mail in acelasi timp. Configuratia este la nivelul tehnologiei de acum 5 ani.

Reteaua este de tip stea, fiecare calculator fiind un post de lucru individual. Conectarea calculatoarelor se face cu cablu Ethernet Cat 5 si switch-uri Ethernet de 16 respectiv 5 porturi. Interfetele de retea (NIC) sunt de 10 Mb/s la calculatoarele mai vechi, 100 Mb/s pe majoritatea si 1000 Mb/s la cateva dintre calculatoarele - statii de lucru. Structura de cabluri este integrata in structura peretilor (cablurile sunt pozate pe interiorul peretilor despartitori de rigips) si este rezultata in urma unor reconfigurari fizice ale departamentelor.

2.3 Structuri de date supuse procesului de protectie

Orice organism economic se confrunta cu un volum mare de date, supus unor prelucrari relativ simple, dar cu un caracter repetitiv si cu o frecventa mare. În acelasi timp datele se caracterizeaza printr-o structura uniforma rezultata din structura documentelor primare specifice operatiilor economice. Toate acestea reprezinta, de fapt, restrictii în activitatea de structurare si organizare a datelor economice în sistemele informatice.

Organizarea datelor reprezinta procesul de identificare, definire, structurare si memorare a datelor. O buna organizare a acestora impune folosirea unor structuri care sa permita o prelucrare rationala cu un cost cât mai redus. Toate structurile de date care au aceiasi organizare si sunt supuse acelorasi operatii formeaza un anumit tip de structura de date. Pentru specificul activitatilor economice fiecare nivel de abstractizare implica: date elementare si date structurate.

Dupa cum rezulta si din descrierea departamentelor firma este organizata in sase compartimente: Marketing, Vanzari, Departamentul tehnic, Secretariat, Contabilitate si Aprovizionare-desfacere. Fiecare dintre aceste compartimente produce constant date sub diferite suporturi (suport informatic sau hartie). Datele stocate pe suport informatic sunt cele care fac obiectul studiului in cazul de fata.

Departamentul financiar-contabil produce documente justificative privind operatiile patrimoniale necesare pentru organizarea si tinerea corecta la zi a contabilitatii. Datele provenind de la departamentul financiar contabil sunt gestionate si arhivate in mare parte de catre programele de contabilitate pe care le utilizeaza (Samsoftware). Exista si o parte mai mica de date care sunt pastrate sub forma unor fisiere de sine statatoare in diferite formate caracteristice mediului office (Word si Excel).

Departamentul de conducere si de vanzari pastreaza majoritatea datelor importante pe suport magnetic folosind ca principala unealta software clientul de mail Lotus Notes. De asemenea si in acest departament exista o mica parte de informatii care sunt pastrate sub forma unor fisiere de tip office (Word si Excel).

Departamentul marketing pastreaza o parte din datele prelucrate, cele utilizate cel mai frecvent, pe suporturi magnetice accesibile imediat (hard-disk-urile) si o mai mare cantitate pe suporturi optice (cd-uri si dvd-uri). Tipurile de fisiere sunt *.cdr, *.psd, *.ai, *.tiff - fisiere caracteristice diverselor programe de grafica utilizate la realizarea desingului reclamelor publicitare si bannerelor ce urmeaza a fi lansate.

Departamentul de aprovizionare-desfacere si secretariat pastreaza majoritatea datelor importante sub forma unor fisiere de sine statatoare in diferite formate caracteristice mediului office (Word si Excel).

Varietatea riscurilor ce pot periclita datele din sistemele informatice

Inainte de a incepe sa enumeram riscurile la care sunt supuse datele care circula in sistemul informatic al firmei studiate, trebuie explicat conceptul de "good security" si mai ales trebuie explicat de unde apar aceste riscuri.

Daca ne punem intrebarea : De ce sunt vulnerabile sistemele de operare, retelele, calculatoarele, raspunsul este unul singur: Utilizatorii au cerinte foarte variate si producatorii de echipament hardware sau produse software, le ofera, tocmai pentru ca prin aceste facilitati bogate isi vand produsele. Sa luam exemplul sistemului de oparare Windows (in orice versiune) al concernului Microsoft : Utilizatorii isi doresc facilitati precum utilizarea in comun a fisierelor si a echipamentelor periferice, accesarea propriului calculator prin intermediul internetului de la distanta, etc. Sistemul de operare pune la dispozitie utilizatorilor ceea ce acestia isi doresc dar are probleme in a separa utilizatorii obisnuiti, de drept ai acestei facilitati de cei rau intentionati si neautorizati sa aiba acces la microsistemul informatic. Nu este in totalitate vina Microsoft-ului dar fiind sistemul de operare cel mai raspandit a facilitat dezvoltarea unei "industii" a hackerilor si binenteles si a unei industrii a anti-hackerilor.

Daca vrem sa analizam punctele de aparitie a riscurilor trebuie luate pe rand reteaua informatica, calculatoarele si in cele din urma factorul uman, persoana care opereaza fiecare calculator.

Punctele vulnerabile exploatate pot fi impartite in sapte categorii principale:

1. Furtul de parole - metode de a obtine parolele altor utilizatori

2. Inginerie sociala - convingerea persoanelor sa divulge informatii

confidentiale;

3. Greseli de programare si portite lasate special în programe - obtinerea de

avantaje de la sistemele care nu respecta specificatiile sau înlocuire de

software cu versiuni compromise;

4. Defecte ale autentificarii - înfrângerea mecanismelor utilizate pentru

autentificare;

5. Defecte ale protocoalelor - protocoalele sunt impropriu proiectate sau

implementate;

6. Scurgere de informatii - utilizarea de sisteme ca DNS pentru a obtine

informatii care sunt necesare administratorilor si bunei functionari a retelei,

dar care pot fi folosite si de atacatori;

7. Refuzul serviciului - încercarea de a opri utilizatorii de a utiliza sistemele lor.

In cele ce urmeaza voi descrie, atasat riscului, situatia existenta din firma studiata.

2.4.1 Reteaua vulnerabilitatile si atacurile asupra ei

Vulnerabilitatea sistemelor Internet este mai mare decât cea a sistemelor care le-au precedat. Afirmatia se justifica în primul rând deoarece volumul informatiei este mult mai mare decât la celelalte sisteme. În al doilea rând cresterea Internet a fost rapida si fara a fi însotita de preocupari deosebite pentru asigurarea unei limitari a vulnerabilitatii. Important parea la un moment dat sa fi prezent în Internet si mai putin sa te asiguri.

În afara vulnerabilitatii clasice în Internet a aparut atacul informatic ca element provocat sau declansat întâmplator. Este cunoscut ca informatia poate fi pierduta, furata, modificata, folosita necorespunzator si decriptata ilegal. Este posibila pierderea integritatii, confidentialitatii si disponibilitatii datelor. Vulnerabilitatea Internet este de 100%, nefiind posibil se conceapa un sistem total nevulnerabil. Elementele de vulnerabilitate pot fi evidentiate la nivel micro si macrosistem.

Vulnerabilitatea Internet la nivel macro este o consecinta a arhitecturii sale ca retea de elemente vulnerabile la nivel microsistem si a perturbarilor prin incidente. Sursele de incidente sunt atacuri involuntare sau provocate. Sunt cunoscute tipurile clasice de incidente: încercari, scanare, compromitere cont utilizator, compromitere radacina , captura de date din pachete, blocarea serviciului, înselaciune, folosirea de coduri maligne, atacuri asupra infrastructurii.

Atacuri incadrul relelelor si metode de contracarare

Exista multe tipuri de atacuri in cadrul retelelor, dar exista de asemenea si solutii de securitate care se adreseaza majoritatii tipurilor de atacuri. Majoritatea atacurilor se pot incadra in 3 mari categorii: atacuri la integritate, atacuri la confidentialitate si atacuri la disponibilitate. Cu toate ca nu exista solutii care sa fie capabile sa protejezt complet impotriva atacurilor, exista solutii care, implementate corespunzator, pot reduce dramatic

numarul de atacuri reusite si pot sa se ocupe de atacurile care reusesc sa patrunda sau sa evite sistemele de securitate. Aceste sisteme include dezvoltarea unor politici de securitate, educatia utilizatorilor si solutii software de securitate.

Clase de atacuri

Atacurile pot fi impartite in 3 clase separate: atacuri la integritate, atacuri la confidentialitate si atacuti la disponibilitate. Toate proprietatile unui sistem - confidentialitate, integritate si disponibilitate - sunt inrudite. Confidentialitatea si disponibilitatea depind efectiv de

integritate. Anumite componente ale integritatii sistemului se bazeaza pe confidentialitate, de exemplu confidentialitatea unei chei criptografice sau a unei parole. Nu in ultimul rand, atacurile asupra disponibilitatii au rolul de a impune activarea unor procese care pot slabi integritatea sistemului.

A. Integritatea

Au existat multe dezbateri pe tema intelesului integritatii in cadrul comunitatii securitatii informatice, integritatea primind 2 definitii:

1. Integritatea datelor - calitatea, corectidudintea, autenticitatea si acuratetea informatiilor stocate intr-un sistem informatic.

2. Integritatea sistemelor - operarea corecta si cu succes a resurselor informatice.

Luate impreuna, aceste definitii indica faptul ca scopul mentinerii integritatii intr-un sistem informatic este de a preveni ca utilizatorii neautorizati sa opereze asupra datelor, dar in acelasi timp de a preveni ca utilizatorii autorizati sa opereze necorespunzator asupra acestora.

Fara integritate, confidentialitatea si disponibilitatea unui sistem critic, nu mai exista, deoarece in momentul in care este posibila efectuarea de operatii necorespunzatoare in cadrul unui sistem informatic, se pot crea usor brese in cadrul celorlalte 2 proprietati.

B. Confidentialitatea

Confidentialitatea in cadrul unui sistem IT inseamna ca informatia este disponibila doar in cadrul circumstantelor care sunt in concordanta cu politicile

de securitate. De exemplu, o institutie financiara ar trebui sa ofere informatii despre un anumit cont doar proprietarului contului respectiv. Confidentialitatea este critica in multe sisteme, mai ales in cazul in care sistemul contine informatii sensibile, cum ar fi planurile unor viitoare produse sau informatii despre clienti. In unele cazuri, aceasta confidentialitate este ceruta de lege sau prin contract.

C. Disponibilitatea

Disponibilitatea este proprietatea unui sistem de a fi disponibil doar cererilor ce vin din partea utilizatorilor inregistrati. In contextul securitatii unei retele, disponibilitatea se refera in general la capacitatea sistemului de a functiona in fata unui atac de tip "negare de servicii". Exista un numar mare de solutii ce nu sunt legate de securitate ce pot sa asigure un grad mare de disponibilitate.

1.1 Atacurile la integritate

Acestea includ: atacuri la autentificare, furtul sesiunilor, atacuri bazate pe continut, atacuri de protocol, metode de acces neatente, tehnici de manipulare (social engineering), furnizare de informatii neasteptate, abuz de privilegii, exploatarea relatiilor de incredere, exploatarea usilor de spate (backdoors).

1.1.1 Atacuri de autentificare

Atacurile asupra sistemelor de autentificare permit in general atacatorului sa se pretinda a fi un anumit user, cu privilegii mai mari decat el.

Atacurile utilizate in cazul unor sisteme de autentificare bazate pe parole:

- Furtul direct al parolelor - denumit si "Shoulder-surfing", furtul unuei parole in acest caz se face prin observarea utilizatorului in momentul in care introduce parola.

- Ghicirea parolelor

- Dezvaluirea parolelor unor persoane neautorizate - prin intermediul tehinicilor de manipulare sau prin scrierea parolelor pentru memorare.

- Furtul parolelor prin intermediul conexiunilor de retea

Primele 3 tipuri de atacuri pot fi evitate pana la un anumit punct prin educatia utilizatorilor, iar ultimul tip de atac poate fi combatut in general prin implementarea unor metode de acces encriptate sau prin intermediul sistemelor de autentificare criptografice.

Tipurile de atacuri utilizate asupra sistemelor de autentificare criptografice sunt:

- Determinarea protocolului de implementare sau a unor erori de design

- Dezvaluirea cheilor criptografice

- Atacuri prin reluare - aceasta forma de atac se bazeaza pe repetarea unei transmisiuni valide de date

Aceste probleme pot fi rezolvate printr-un design corect al sistemului de autentificare si prin intermediul managementului politicilor de securitate.

1.1.2 Furtul sesiunii

Prin furtul unei sesiuni, un atacator are posibilitatea de a acapara o conexiune in cadrul careia procesul de autentificare a fost efectuat. In urma acestei operatii, atacatorul are posibilitatea de a folosi toate privilegiile pe care utilizatorul de drept le-a avut pana in momentul in care

sesiunea a fost furata. Acest tip de atac poate fi prevenit prin intermediul encriptarii sau autentificarii continue. Exista un alt tip de atacuri inrudite cu furtul sesiunii, si sunt cauzate de sisteme care nu realizeaza momentul in care sesiunea este terminata. De exemplu, un utilizator se conecteaza la o gazda si apoi se deconecteaza. Atacatorul apoi se conecteaza la randul sau, si deoarece gazda nu realizeaza faptul ca utilizatorul legitim si-a incheiat sesiunea, atacatorul poate sa exploateze privilegiile utilizatorului respectiv.

Atacurile bazate pe continut

Aceste atacuri pot lua multe form. Unul dintre atacurile de acest tip cel mai des intalnit exte troianul - un program care aparent este o aplicatie legala dar care defapt contine sectiuni ce au rol de a compromite integritatea sistemului. De exemplu, atacatorul poate trimite un atasament intr-un e-mail destinat tintei sale, care aparent este un joc distractiv. Sau o pagina web poate include un troian ActiveX ce copiaza informatii confidentiale din sistemul unui utilizator. Acest tip de atac poate fi combatut atat prin crearea unor politici legate de aplicatiile pe care utilizatorii le folosesc (browsere, clienti de mail, etc), si modul in care acestea sunt folosite, cat si prin utilizarea aplicatiilor antivirus.

1.1.4 Atacurile protocoalelor

Aceste atacuri se bazeaza pe slabiciunile sistemelor criptografice. Unele dintre aceste atacuri include pana si cronometrarea operatiilor de encriptare. Timpul necesar pentru terminarea operatiei de encriptare divulga adesea informatii referitoare la mesaje si la cheile de encriptare, atacuri ce au rolul de a modifica parti din mesajul encriptat si erori matematice care permit ca o cheie criptografica sa fie derivata algebric, toate acestea pot duce la o

reusita a atacatorului. Singura metoda de a evita reusita acestor atacuri este o analiza a protocoalelor criptografice de catre experti in domeniu.

1.1.5 Metode de acces neglijente

Firewall-urile sunt valoroase deoarce permit ca multe dintre componentele unei politici de securitate sa fie administrate dintr-o singura locatie. Cu toate acestea, exista posibilitatea ca anumite aspecte ale securitatii unei organizatii sa fie inconsistente. De exemplu, un administrator de sistem, pentru a economisi timp, ar putea crea permisiuni pentru anumite protocoale ce nu au fost revizuite pentru a vedea daca corespund politicii de securitate.

Metodele de acces neglijente pot fi identificate prin efectuarea unor revizii ale securitatii. O metoda eficace de prevenire este   segmentarea resurselor intre care nu exista relatii pentru a preveni atacuri din alte zone ale retelei, dar metodele folosite in mod obisnuit pentru a detecta aceste metode de acces este folosirea unor produse de scanare.

1.1.6 Tehnici de manipulare

Uneori utilizatorii pot fi pacaliti in a dezvalui informatii unor persoane neautorizate. De exemplu, atacatorul suna un angajat, si pretinzand a fi un membru al echipei IT in cadrul companiei, ii cere parola. Prin intermediul acesteia, atacatorul poate folosi cum doreste privilegiile utilizatorului. Aceasta problema se rezuma la educatia utilizatorilor, dar si in cazul acesta, aceasta metoda este una dintre cele mai accesibile pentru ca un atacator

sa aiba acces la un sistem de calculatoare. O alta solutie este minimizarea privilegiilor utilizatorilor pentru a reduce efectele unei tehinici de manipulare efectuata cu succes.

1.1.7 Furnizarea de informatii neasteptate

Unele aplicatii pot fi atacate prin prezentarea unor date de intrare eronate de diverse tipuri. Un atacator foloseste date de intrare pentru a trimite informatii intr-o forma in care programul nu se asteapta, cauzand astfel ca programul sa se comporte intr-o maniera in care proiectantul nu a intentionat-o. Cea mai comuna forma a acestui tip de atac este inundarea zonei tampon. Atacatorul inunda programul cu mai multe caractere decat poate el citi,

ascunzand astfel portiuni rau intentionate in zona de date necitita de program. Aceste tipuri de atacuri pot fi diminuate prin:

- efectuarea unei analize atente pentru a crea siguranta ca toate programele verifica existenta metacaracterelor, conditiile de limita si integritatea si

corectitudinea datelor de intrare.

- utilizarea unor sisteme de detectare a intruziunilor

1.1.8 Abuzul de privilegii

Din pacate, nu toti utilizatorii care au primit privilegii de acces in cadrul unui sistem pot fi de incredere. Un studiu relateaza ca 80% dintre atacuri vin din interiorul organizatiei. Acestia pot fi motivati de castiguri personale sau pot fi doar angajati nemultumiti.

Atacurile prin abuzul de privilegii pot fi reduse in mai multe moduri:

- Acordarea utilizatorilor privilegii minimale necesare efectuarii indatoririlor zilnice.

- Distribuirea responsabilitatilor mari intre mai multi angajati.

Din nefericire, majoritatea sistemelor de protectie por fi inutile daca mai multi indivizi din cadrul organizatiei coopereaza pentru a invinge masurile de securitate.

1.1.9 Exploatarea relatiilor de incredere

Computerele adeseori au incredere unul intr-altul intr-un mod implicit sau explicit. De exemplu, un computer poate sa aiba incredere intr-un server DNS pentru a afla sursa unei anumite conexiuni. Totusi, daca serverul DNS este compromis, informatia despre conexiunea ar putea fi eronata. Atacatorii exploateaza relatiile de incredere pentru a trece dintr-un sistem intr-altul. Cheia pentru a crea in mod corect relatii de incredere este realizarea faptului ca intregul arbore de relatii de incredere se poate prabusi la veriga cea mai slaba, deci trebuiesc evitate relatiile de incredere ce nu sunt necesare in infrastructura unei retele. Securitatea la nivel de perimetre poate fi o unealta capabila pentru a restrange suprafata afectata de atacuri reusite. Perimetrele de retea multiple pot de asemenea sa diminueze exploatarea relatiilor de incredere deoarece, chiara daca anumite componente sunt compromise, informatiile si resursele importante sunt protejate.

1.1.10 Usile de spate (Backdoors)

Acestea sunt uneori introduse intentionat in aplicatiile software comerciale, sau introduse de programatori sau angajatii prin contract. De fapt, aceste backdoors sunt folosite de contractori ca si o asigurare impotriva companiilor care nu obisnuiesc tina cont de termenele de plata. Pentru a facilita accesul ulterior, atacatorii pot lasa aceste backdoors dupa ce au atacat cu succes un anumit sistem. Din acest motiv, dupa ce un sistem si-a pierdut integritatea, este adeseori foarte dificil sa fie restabilita.

1.2 Atacuri la confidentialitate

1.2.1 Divulgare neglijenta

Divulgarea neglijenta are loc in momentul in care informatia este facuta disponibila accidental atacatorului. De exemplu, planurile unui produs pot fi mentionate accidental intr-un e-mail care a trecut prin Internet, si astfel un atacator il poate intercepta. Aceasta metoda de atac poate fi prevenita prin imbunatatirea politicilor de confidentialitate si educarea utilizatorilor in concordanta cu aceste politici. Pe langa aceasta, mai pot fi folosite si programe cu rolul de a inspecta continutul, si acestea de asemnea putand fi de ajutor.

1.2.2 Interceptia informatiei

Informatia poate fi interceptata atunci cand trece printr-un mediu nesigur. De exemplu, atacatorii pot intercepta informatii, cum ar fi e-mail-urile, atunci cand acestea trec prin Internet. Solutiile care pot ajuta impotriva acestei metode de atac sunt Retelele Private Virtuale (VPN) si utilizarea unor protocoale ce folosesc encriptarea.

1.2.3 Monitorizarea Van-Eck

Monitorizarea Van-Eck este procesul de monitorizare de la distanta a emanatiilor electromagnetice ale echipamentelor electronice. Anumite receptoare radio sensibile pot fi folosite de la distanta pentru a reconstrui tastele care sunt apasate sau continutul unui ecran.

Ca si solutii de contracarare exista scuturile Faraday care consta intr-o retea de fire paralele conectate la un conductor la un capat pentru a obtine un scut electrostatic fara a afecta undele electromagnetice, dar si precautii de Securitatea Comunicatiilor (COMSEC). Aceste solutii insa, sunt foarte dificile si costisitoare pentru a fi implementate.

1.2.4 Canale ascunse

Canalele ascunse sun prezente in orice sistem care permite accesul mai mult utilizatori la resurse utilizand o metoda nedeterminista. Aceste canale permit unui utilizator sa deduca ce fel de sarcini efectueaza alti utilizatori sau sa deduca continutul unui set de date., bazandu-se pe modul in care un sistem isi schimba comportamentul. De exemplu, un sistem ar putea sa efectueze operatii mult mai lent deoarece un porces de testare a unei aplicatii este in curs de desfasurare. Prezenta procesului de testare poate indica faptul ca punere pe piata a unei aplicatii este iminenta. Exista canale ascunse mult mai elaborate care pot cauza chiar si scurgeri de informatii.

1.2.5 Acumularea informatiilor

Acumularea de informatii si corelarea acestora pot sa ii permita unui atacator sa deduca informatii secrete din informatii publice. De exemplu, un atacator poate poate sa se uite la totalul costurilor unui departament inainte si dupa angajarea unuei noi persoane, pentru a determina salariul angajatului.

1.3 Atacuri la disponibilitate

1.3.1 Interferente/Bruiaje

Interferentele si bruiajele pot lua multe forme. Poate una dintre cele mai des intalnite este implementarea radio, care impiedica ca un semnal mai slab sa fie receptionat prin transmiterea unuia mai puternic. Un alt exemplu sunt atacurile prin inundare, care cauzeaza ca numarul de procese pe care un sistem trebuie sa le efectueze sa fie mai multe decat numarul maxim de procese pe care acesta poate efectiv sa le efectueze. Un exemplu al unui

astfel de atac este un ping flood. Un ping ICMP (Protocol Internet pentru Mesaje de Control) este un mesaj vreat special pentru a determina rapid daca un computer aflat la distanta este pornit si functioneaza corect. Cand o gazda primeste un ping, automat trimite un raspuns. Cu un ping flood, atacatorul trimite ping-uri catre o gazda cu o viteza de transfer mai mare decat conexiunea gazdei respective la Internet. Acest fapt cauzeaza ca viteza de trafic sa fie micsorata. Succesul acestor tipuri de atacuri poate fi diminuat prin introducerea unor filtre de admisie, de detectie sau adaugarea de capacitate aditionala.

1.3.2 Supresia jurnalizarii

Acest tip de atac este un tip special de interferenta si este folosit adesea impreuna cu alte tipuri de atacuri. Acest atac poate sa impiedice jurnalizarea datelor referitoare la atacuri sau le poate integra intr-un volum foarte mare de informatii pentru a face practic imposibila gasirea lor. Pentru combaterea acestui tip de atac trebuiesc efectuate analize statistice si implementarea de canale de administrare private.

1.3.3 Furnizarea de informatii neasteptate

Uneori, furnizarea de informatii neasteptate unui computer poate cauza ca acesta sa se comporte necorespunzator sau sa se blocheze. Un exemplu concret este atacul de ocupare de banda (out-of-band) in sistemele Windows. Cand un atacator utiliza o particularitate a protocolului TCP numita "Out of Band Data", sistemul Windows afisa automat un ecran albastru iar functionalitatea retelei era oprita.

Scopul atacurilor pot fi diferite:

amuzament

palmares

vandalism

spionaj

stupiditate si accidente.

Diminuarea vulnerabilitatii se poate face prin masuri de control al accesului si cresterea robustetei programelor. Toate acestea se fac cu un anumit cost care este cu atât mai mic cu cât masurile sunt luate mai din timp în fazele de proiectare si realizare a sistemului. Exista numeroase metode de reducere a vulnerabilitatii prin proiectare cu elemente de securitate, separarea functiilor, controale de retea, criptare si creare de firewall-uri. În buna masura folosirea acestor metode contribuie la cresterea rezistentei la perturbatii si atacuri a sistemelor. Problemele de vulnerabilitate fiind imposibil de eliminat, apare ca necesara adoptarea de planuri de recuperare a daunelor. Aceste planuri se pot dovedi extrem de eficace atunci când din motive diverse au loc caderi sau atacuri asupra sistemelor. Din pacate, asemenea planuri se întocmesc foarte rar.

Costul masurilor de securitate apare, de regula, mare pentru beneficiarii sistemelor si chiar este mare în functie de nivelul de securitate dorit. Costul daunelor potentiale descreste însa functie de nivelul de securitate. Un optim economic poate fi gasit prin calcularea costului combinat al asigurarii securitatii microsistemului.

2.4.2 Puncte slabe în reteaua informatica

In general exista trei tipuri de slabiciuni in orice implementare a unei retele:

• Slabiciuni ale tehnologiei
• Slabiciuni legate de configuratia retelei
• Slabiciuni legate de politica interna a firmei legata de securitatea informatiei

Fiecare din elementele mentionate mai sus sunt compuse din mai multe elemente, astfel:

Slabiciunile tehnologice - sunt compuse din slabiciuni ale protocolului, ale sistemului de operare si slabiciuni ale componentelor. In mod normal protocoalele, sistemele de operare si componentele nu sunt securizate. Intelegand slabicunile lor implicite putem securiza reteaua inainte sa se intample ceva daunator. Slabiciunile tehnologice sunt o provocare pentru persoanele care se ocupa de securitate in domeniul IT deoarece mojoritatea instrumentelor fie ele hardware sau software sunt deja instalate cand se apuca de treaba. Practic trebuie sa repare ceva nesecurizat cand ar fi mai usor sa construiasca ceva de la zero dupa propriile conceptii de securitate.

Luand elementele componente ale tehnologiei avem:

Slabiciuni ale protocolului TCP/IP

Protocolul este limbajul de baza folosit de calculatoare pentru a comunica in retea. El defineste modul in care calculatoarele pot detecta celelalte calculatoare si regulile pe care le vor aplica pentru transferul de date.

In 1975, organizatia VINTON CERF a Universitatii Standford a creat un protocol de comunicatie numit protocol de control al transmisiunilor - TCP (Transmision Control Protocol) si un protocol de adresare numit protocolul Internet (Internet Protocol) - IP.

Transmiterea Control Protocol (TCP) este unul dintre principalele elemente de protocoale de Internet protocol suite. TCP provides reliable, in-order delivery of a stream of bytes, making it suitable for applications like file transfer and e-mail . TCP este un protocol de comunicatie intre procese si este orientat pe conexiune logica intre procesele retelei.

Functiile de baza asigurate de TCP sunt urmatoarele :

transferul datelor de bazasub forma de sir continuu de biti, in ambele directii ;

adresarea si multiplexarea, TCP poate fi folosit simultan de mai multe procese ;

controlul fluxului este realizat prin confirmarile primite de la receptor si retransmiterea datelor pierdute pe parcurs ;

procesele care utilizeaza TCP pot specifica prioritatea si securitatea asociata conexiunii.

TCP transforma comunicatia ne-fiabila oferita de IP intr-o comunicatie a unor fluxuri de date (streams) 100%   fiabila, în scopul de livrare a unui flux de octeti, facându-l potrivit pentru ca cererile de transfer de fisiere si e-mail. It is so important in the Internet protocol suite that sometimes the entire suite is referred to as "TCP/IP." Ea este atât de importanta în suita de protocol Internet, care, uneori, intreaga suita este denumita "TCP / IP." TCP manages a large fraction of the individual conversations between Internet hosts, for example between web servers and web clients. TCP gestioneaza o mare fractiune din conversatii individuale între Internet gazduieste, de exemplu, între servere de web si web clientilor. It is also responsible for controlling the size and rate at which messages are exchanged between the server and the client. Este, de asemenea, responsabil pentru controlul dimensiunea si rata la care se face schimb de mesaje între server si client. TCP imparte mesajele in fluxuri de pachete ce sunt trimise si reasamblate la destinatie. IP stabileste o adresa pentru fiecare pachet si il dirijeaza printr-o serie de noduri si retele pentru a ajunge la destinatia finala.

TCP/IP a devenit standardul principal de conectare al retelelor de calculatoare.

Protocolul TCP/IP are slabiciuni de securitate in mod normal pentru ca a fost definit ca un standard deschis care sa faciliteze comunicarea in retea. Faptul ca este un standard deschis este explicatia pentru vasta popularitate a standardului TCP/IP dar in acelasi timp este motivul pentru care atacurile in retea se intampla asa de repede si des - pentru ca este un standard cunoscut de multa lume. Protocolul TCP/IP are problemele sale de securitate dar ce este mai rau este ca a creat slabiciuni ale echipamentului de retea precum: protejarea prin parola, lipsa cererii de autentificare, protocoalele de rutare in retea si gaurile in protectiile firewall. Cele mai cunoscute protocoale ca find nesecurizate sunt SMTP (Simple Mail Transport Protocol) si SNMP (Simple Network Management Protocol).

Asupra primului protocol, dintre cele doua, trebuie insistat pentru ca reprezinta principalul mijloc de comunicare in interiorul firmei Mercedes-Benz Romania - mijloc de transmitere a unor date importante, confidentiale, care pot periclita atat activitatea economica a firmei in cauza cat si a clientilor importanti ai firmei.

De fapt protocolul TCP rezolva nu mai putin de trei probleme diferite simultan:

Conexiuni:

TCP construieste conexiuni virtuale între doi participanti la comunicatie. Aceste conexiuni definesc durata comunicatiei: pachete trimise între aceleasi doua calculatoare în conexiuni diferite nu sunt confundate între ele. De asemenea, conexiunile rezerva resurse pe calculatoarele care participa la comunicatie, pentru a face procesarea datelor eficienta (cam în acelasi fel în care majoritatea limbajelor de programare ofera functii speciale pentru a ``deschide'' fisiere si apoi pentru a accesa continutul fisierelor). Managementul conexiunilor se face folosind niste mesaje speciale si un protocol simplu dar interesant numit ``strîngerea de mîna tripla'' (three-way handshake).

Fiabilitate:

TCP transforma comunicatia ne-fiabila oferita de IP într-o comunicatie a unor fluxuri de date (streams) 100% fiabila. Metoda folosita este absolut clasica: detectia pierderilor prin confirmari de la receptor (acknowledgements), si retransmiterea datelor pierdute pe parcurs. Vom vedea mai multe exemple despre folosirea (corecta si gresita) a aceste scheme.

Congestie:

în fine, TCP are o functie foarte foarte importanta, anume controlul congestiei. Daca sute de calculatoare încearca sa foloseasca un segment de retea cu capacitate mica, TCP le permite sa împarta în mod echitabil aceasta resursa limitata.

În lipsa acestei functiuni a lui TCP, reteaua ar intra rapid în ceea ce se numeste colaps de congestie: calculatoarele ar trimite pachete mai repede decît reteaua ar putea transporta, aceste pachete ar trebui sa se piarda, ceea ce ar cauza re-transmiterea pachetelor pierdute, etc. Rezultatul ar fi întreruperea aproape completa a oricarei comunicatii utile.

Specificatia TCP

Protocoalele de functionare a Internetului sunt publicate într-o forma extrem de bizara: sub forma unor documente numite ``Request For Comments'', sau RFC. Exista mai mult de 2000 de astfel de documente, dar nu toate sunt la fel de importante. Multe astfel de documente sunt de fapt vide (nu au fost niciodata publicate), unele sunt niste glume sau poezioare, iar unele sunt documente foarte serioase. Toate sunt disponibile în forma electronica într-o multime de locuri de pe Internet (normal, nu?).

Aceasta metoda de formalizare a arhitecturii sta într-un contrast dramatic fata de metoda folosita de comitetele de standardizare internationale, care publica documente extrem de groase, revizuite pentru multa vreme, si extrem de ``serioase''.

RFC-urile ilustreaza evolutia extrem de rapida si ``impulsiva'' (prin comparatie) a Internetului; multe RFC-uri sunt revizuite în mod repetat.

Specificatia TCP/IP se întinde pe mai multe RFC-uri. Definitia oficiala a fost data în 1981 în RFC 793. Corectii si lamuriri apar în RFC 1122. Din pacate alte detalii ale functionarii sale se întind efectiv pe zeci de RFC-uri.

Date si confirmari

TCP este un protocol simetric (full-duplex), în care ambele capete pot transmite date. E mai simplu însa sa studiem problema ca si cum unul dintre participanti doar trimite date, iar celalalt doar le recepteaza.

Pentru a descrie comunicatia vom folosi desene ca în figura 1.

TCP functioneaza cam ca scrisorile cu confirmare de primire de la posta: posta este un mecanism ne-fiabil de transmisiune, care pierde scrisori. De aceea trimitatorul poate sa ceara în mod explicit ca cealalta parte sa confirme primirea plicului. Cînd postasul livreaza un plic, receptorul trebuie sa semneze de primire. Apoi confirmarea de primire este trimisa înapoi tot prin posta.

Pentru a obtine fiabilitate, emitatorul asteapta ce asteapta, iar daca nu primeste nici o confirmare, mai trimite înca o data scrisoarea. În clipa cînd a primit o confirmare, stie ca scrisoarea a ajuns la celalalt capat.

Observati ca lipsa receptiei unei confirmari poate indica doua lucruri:

• Ca în figura  , datele se pot pierde.

• Ca în figura  , confirmarea se poate pierde.

Ferestre glisante

Schema cu confirmare este foarte eficace pentru a combate pierderea de pachete, dar este ineficace daca pachetele calatoresc mult timp pîna la destinatie . Pentru ca pîna la întoarcerea primei confirmari emitatorul sta degeaba, o gramada de resurse sunt irosite.

Din cauza asta, TCP încearca sa trimita mai multe pachete la rînd, înainte de a primi confirmarea pentru fiecare din ele. Astfel, emitatorul mentine o fereastra, care este lista pachetelor trimise dar înca ne-confirmate. De îndata ce primeste confirmarile, TCP avanseaza fereastra si trimite pachete noi.

Modul în care se încruciseaza pachetele de date si confirmarile este ilustrat de figura 

Controlul congestiei

În fine, discutam aici pe scurt despre modul în care TCP face fata congestiei din retea. Aceasta sectiune este foarte importanta, pentru ca toate cele trei atacuri pe care le discutam în acest text manipuleaza slabiciuni în specificarea si implementarea acestei scheme.

Asumptia de baza a lui TCP este ca reteaua de transmisiune este inerent fiabila. TCP presupune ca singura cauza de pierderi în retea este congestia

Ce este congestia? Sa ne imaginam un ruter în retea, care are trei interfete de 1 megabit/secunda. Sa ne imaginam ca pe doua dintre interfete se afla niste trimitatori care emit cu 800 kbps, iar pe a treia se afla receptorul datelor. Ei bine, suma celor doua fluxuri de 800 kbps depaseste capacitatea legaturii spre receptor. Ca atare, pachetele care intra în ruter nu pot iesi toate în timp util. Ruterul va trebui sa stocheze pachetele în exces în memoria interna. Dar daca aceasta situatie dureaza destul de mult, ruterul trebuie sa consume cîte 600 kbps de memorie pentru a stoca aceste pachete în exces. Dupa 30 de secunde de trafic neîntrerupt, e nevoie de peste 2M de RAM. Atunci cînd memoria ruterului este complet utilizata, ruterul nu mai are nimic de facut decît sa renunte la a mai trimite pachetele spre iesire (pur si simplu sunt sterse din memorie). Aceasta este congestia, si rezultatul ei, pierderea de pachete.

Deci TCP îsi imagineaza ca atunci cînd un pachet nu este confirmat în timp util, s-a pierdut fie pachetul fie confirmarea, deci reteaua este congestionata. Ca atare, trimitatorul imediat reduce rata de transmisiune, pentru a reduce numarul de pachete din retea.

Daca toti transmitatorii care detecteaza congestie reduc rata simultan, efectul este ca ruterele din retea primesc mai putine date la intrare, si au timp sa goleasca pachetele stocate în memorie trimitindu-le la destinatie. Pentru ca marea majoritate a calculatoarelor din retea folosesc protocolul TCP, acest comportament duce la disparitia congestiei.

Cum reduce emitatorul TCP rata de transmisiune? Într-un mod foarte simplu: reduce automat dimensiunea ferestrei, si mareste dimensiunea duratei de timeout. În felul acesta va face ca mai putine pachete sa se afle simultan în retea.

Trei atacuri asupra TCP

Iata deci ca aparent cei care ar putea face rau (cei care trimit multe date, serverele) nu pot fi necinstiti, pentru ca-si fac rau lor însile, iar clientii nu pot face rau, pentru ca ei nu transmit multe date, ci doar receptioneaza.

În realitate clientii au la dispozitie o unealta foarte puternica cu care pot controla comportarea serverului, fara voia acestuia: confirmarile.

Stefan Savage împreuna cu colegii din grupul lui de cercetare au demonstrat acest lucru ``pe viu'': au luat un client linux si au facut modificari minore în implementarea protocolului TCP (sub 100 de linii pentru toate atacurile prezentate la un loc). Apoi au demonstrat cum acest client, folosit pentru a extrage date de la mai multe site-uri de web foarte importante (deci care nu pot fi suspectate de colaborare), poate monopoliza reteaua în detrimentul celorlalti clienti.

În cele ce urmeaza voi ilustra pe scurt trei modificari diferite si impactul fiecareia dintre ele. Datele experimentale sunt din articolul citat.

Diviziunea confirmarilor

În TCP datele transmise formeaza un flux (stream). Fiecare pachet trimite o parte din date, si indica pozitionarea lor în flux. De pilda, primul pachet ar putea trimite datele de la 0 la 1000, al doilea de la 1001 la 2000, etc. Confirmarile pe de alta parte sunt cumulative: o confirmare care spune ``3001'' înseamna: ``am primit toate datele între 0 si 3000; astept date începînd de la 3001 în continuare''. În felul acesta, daca o confirmare pentru un pachet se pierde (de exemplu cea pentru pachetul 1001-2000), confirmarile ulterioare o pot subsuma, reducînd traficul necesar.

Primul atac e surprinzator de simplu: cînd receptorul primeste un pachet, sa zicem cu datele 0-1000, el va trimite în loc de o confirmare, trei: una pentru 333, una pentru 667, una pentru 1000. Atacul este ilustrat de figura  .

Problema este în modul în care emitatorul trebuie sa reactioneze la astfel de mesaje: daca citim în RFC 2581 vom vedea un paragraf care spune urmatoarele:

...cînd un pachet de confirmare este primit, trimitatorul mareste fereastra cu SMSS (Sender Maximum Segment Size) .

Nu ne intereseaza prea tare cat e valoarea lui SMSS (aceasta valoare este stabilita între cele doua parti cînd se stabileste conexiunea); important e ca, trimitînd mai multe confirmari, receptorul poate mari fereastra emitatorului aproape în mod arbitrar! Daca alege sa confirme fiecare octet, poate mari fereastra de mii de ori dupa un singur pachet primit! Figura  arata ce se întîmpla dupa aceea.

Asta înseamna ca emitatorul (serverul) va trimite apoi o rafala de pachete de date. Observati ca pachetele sunt trimise unul dupa altul, înainte de a da o sansa retelei sa trimita semnale de congestie. În mod normal fereastra emitatorului creste treptat pîna atinge o valoare de echilibru, care nu produce congestie (aceasta crestere se numeste ``slow start''). Graficul din figura  arata ca receptorul poate ``suge'' de la sursa documente uriase aproape instantaneu.

Confirmari duplicate

A doua schema este si mai simpla si se bazeaza pe aceeasi slabiciune din specificatia TCP. În loc sa trimita mai multe pachete de confirmare diferite, receptorul trimite în mod repetat un singur pachet de confirmare. Receptorul poate folosi chiar pachetul de confirmare pentru octetul 1 (ca si cum n-ar fi primit înca nimic).

Figurila  arata cum se comporta emitatorul. Performanta masurata în Internet (si nu într-o retea de laborator!) este aceeasi ca pentru schema cu diviziune.

Aceasta schema este si mai perfida decît cea precedenta; daca pentru cea precedenta serverul ar putea sa devina suspicios, pentru ca sunt confirmate doar fragmente de pachet . Din punct de vedere al serverului un scenariu în care vin mai multe confirmari identice este perfect plauzibil (protocolul IP nu promite ca nu duplica pachete).

Confirmari anticipate

În fine, ultimul atac este mai riscant, pentru ca confirma date care înca nu au fost primite. Ideea este ca confirmarile si datele se încruciseaza pe parcurs, si serverul are impresia ca datele au ajuns mult mai repede. Figura  arata cum functioneaza acest atac.

Desigur, în cazul unei pierderi reale de date, receptorul are probleme, pentru ca emitatorul nu va re-trimite datele deja confirmate. Dar, asa cum arata cercetatorii de la U Washington, protocolul HTTP, prin care clientul comunica cu serverul de web permite clientului sa re-ceara date de la server în mod selectiv. Deci pierderile la nivel TCP pot fi compensate de un client modificat prin nivele superioare de corectie a erorilor.

Performantele schemei cu anticipare de confirmari sunt mai putin spectaculoase, dar oricum, mult superioare celei a unui client normal (figura 

Figura 11: Performanta comparata masurata în Internet a unui client normal si a unui client care foloseste schema cu confirmari anticipate

Cu siguranta multi dintre noi folosim cu dezinvoltura posta electronica. Exista insa multi care inca nu au avut posibilitatea, interesul sau poate curajul sa-i cunoasca avantajele. Cert este ca, in scurt timp, e-mail-ul va deveni un instrument indispensabil pentru oricine.

In multe privinte, functionarea postei electronice se aseamana cu serviciile postale obsnuite. Analogia este extrem de expresiva. In general, fiecare dintre noi suntem clientii unui anumit oficiu postal, de regula cel mai apropiat de locuinta. Fiecare dintre noi avem o cutie postala acasa si/sau o casuta postala la oficiul postal, identificate printr-o adresa. Oficiul postal deserveste o anumita zona, strict delimitata, deci un numar bine precizat de adrese.

In cazul postei electronice, rolul oficiului postal este jucat de un calculator (de regula o masina Unix sau Windows NT) care ruleaza un program numit (la modul generic) server de e-mail. Suntem clientii acestui server daca dispunem de un cont pe acest server. Aceasta implica faptul ca avem o adresa e-mail prin care putem fi identificati si un spatiu de stocare unde sunt memorate mesajele (mailbox - cutie postala).

Un oficiu postal are doua interfete: una spre clientii sai (corespunzatori adreselor care-i sunt arondate) si una spre ansamblul sistemului postal. Prima interfata implica distribuirea corespondentei sosite spre clientii oficiului si preluarea corespondentei acestora in vederea expedierii. A doua interfata o reprezinta relatia directa sau indirecta (prin intermediul altor oficii postale, oficii de triere etc.) cu celelalte oficii postale.

In mod analog, serverul de e-mail dispune de doua protocoale diferite, corespunzatoare acestor interfete. Astfel, comunicarea cu clientii se face, in marea majoritate a cazurilor, prin protocolul POP3 (Post Office Protocol 3), care asigura distribuirea mesajelor (acesta este termenul prin care ne referim la o scrisoare electronica) receptionate catre clientii proprii carora le sunt destinate si preluarea mesajelor expediate de acestia. Protocolul POP3 defineste trei stadii distincte prin care poate trece o sesiune de lucru: autorizare, tranzactie si actualizare. In starea de autorizare a clientului trebuie sa se autentifice pe server (numele utilizatorului si parola) inainte de a accesa si folosi e-mail-ul. Numele utilizatorului si parola clientului trebuie sa fie aceleasi cu cele de pe server. Daca aceasta etapa s-a incheiat cu succes, serverul deschide cutia postala electronica a clientului si sesiunea trece in starea de tranzactie in caz contrar, utilizatorul primeste un mesaj de eroare si nu ii este permis accesul in mail. Daca clientul este conectat la e-mail poate cere serverului sa ofere anumite date (o lista a mesajelor) sau sa efectueze o anumita actiune (preluarea mesajelor). Pentru a preveni orice prejudiciu adresei de e-mail, dupa autentificarea clientului, serviciul POP3 inchide casuta electronica a utilizatorului. De asemenea doar un singur client poate accesa adresa de mail in acelasi timp, conexiunile aditionale nu sunt permise. In timpul tranzactiei, clientul POP3 trimite comenzi la server, primeste si raspunde acestora in concordanta cu protocolul POP3. Orice cerinta trimisa de client catre server care nu e compatibila cu protocolul POP3 e ignorata si un mesaj de eroare este trimis inapoi catre client. Cand serverul termina de executat comenzile clientului, sesiunea POP3 intra in stare de actualizare si conexiunea se inchide,

Interfata cu alte servere de e-mail din Internet se face prin protocolul SMTP (Simple Mail Transfer Protocol), prin care serverul receptioneaza si expediaza corespondenta clientilor sai in si din Reteaua Globala.

De regula, utilizatorul are de-a face cu un singur server de e-mail (altfel spus: serverul POP3 si serverul SMTP ruleaza pe aceeasi masina). Este insa posibil ca expedierea sa se faca printr-un alt server SMTP. Analogia cu posta obisnuita este evidenta: nu suntem obligati sa trimitem scrisorile prin intermediul oficiului postal caruia ii suntem clienti. Le putem expedia de oriunde, dar le putem primi doar acasa.

In ceea ce priveste insa securitatea, posta electronica nu ofera conditiile ideale. Mesajele pot fi interceptate, voit sau din eroare, de catre persoane neautorizate sau de catre administratorii sistemelor de calcul. In cele mai multe versiuni de sisteme, UNIX, derivate Berkeley, incluzand si pe cele de pe Sun, este folosit programul sendmail pentru a receptiona si trimite posta. Versiunile mai vechi de sendmail au unele deficiente privind securitatea, permitad penetrarea in sistem, obtinerea unor drepturi de acces si activarea unor programe sau scripturi in mod ilegal. O astfel de deficienta a fost folosita de catre Viermele Internet. Se considera ca posta electronica este un mediu deschis, ceva similar cartilor postale, a caror confidentialitate este deosebit de precara. De exemplu, avocatii si clientii lor folosesc zilnic posta electronica, dar au realizat ca mesajele schimbate prin retea pot fi citite de catre persoane straine. Si chiar daca intuiesc vulnerabilitatea postei, comoditatea si credinta ca numarul mare de mesaje care circula in Internet face improbabila interceptarea corespondentei, conduc la folosirea fara precautie a e-mail-ului intre avocati si clienti. Cei implicati trebuie sa retina ca sentimentul de intimitate este fals; faptul ca posta electronica este memorata sub forma digitala, ea se preteazǎ unei analize la scara foarte mare cu ajutorul unor programe speciale si ca urmare mijloacele de selectare a unei anumite corespondente care intereseaza sunt mult mai eficiente decat in posta traditionala.

Nu lipsit de semnificatie este si faptul ca delictele de interceptare a comunicatiilor intre calculatoare sunt mai greu de dovedit si multe legislatii nationale prezinta imperfectiuni in incadrarea si pedepsirea acestui gen de delicte. Ca urmare, trebuie respectata urmatoarea regula fundamentala in folosirea e-mail-ului: ori se foloseste criptarea pentru asigurarea confidentialitatii si autenticitatii mesajelor, ori se tine cont ca prin e-mail nu trebuie transmis nimic ce nu se doreste a se afla despre familie, adversari, concurenti, clienti etc.

Una din preocuparile grupurilor de specialisti este imbunatatirea serviciilor de e-mail sub aspectul securitatii, solutia constand in utilizarea criptarii. Acest lucru plaseaza responsabilitatea confidentialitatii comunicatiilor in mana celor care corespondeaza, in particular, in sarcina avocatului si a clientului. Asa cum s-a vazut, problema complicata in stabilirea unui sistem criptografic intre doi parteneri nu o reprezinta obtinerea unui program adecvat de cifrare ci stabilirea si transmiterea cheilor, care trebuie sa se faca prin alte mijloace de comunicatie sigure. Dar criptografia cu chei publice a inlaturat aceasta problema complexa, deoarece cheile de criptare pot fi facute publice. Fiecare persoana isi face cunoscuta, intr-un fisier public cheia sa publica, necesara oricarui eventual corespondent sa-i cripteze mesajele. Cu ajutorul unei chei pereche secreta, numai destinatarul este cel care poate decripta scrisorile care ii sunt adresate.

Ca urmare, o solutie pentru asigurarea confidentialitatii mesajelor pe Internet ar fi procurarea unui soft adecvat protectiei criptografice a scrisorilor schimbate prin Internet. Pentru asigurarea securatatii postei electronice, specialistii recomanda standardul PEM si programul PGP, dar foarte folosit este si standardul MOSS, in multe privinte foarte asemanator cu PEM.

Standardul PEM ofera o varietate de servicii de securitate pentru utilizatorii postei electronice:

a)      confidentialitatea (secretizarea) mesajelor;

b)      autentificarea originii mesajelor;

c)      integritatea legaturii in retea;

d)      nerepudierea mesajelor prin dovedirea originii.

Aceste servicii, definite si in modelul de referinta al securitatii OSI, pot fi divizate in doua grupe:

toate mesajele prelucrate in PEM incorporeaza facilitatile de autentificare, integritate si nerepudiere;

confidentialitatea este un serviciu optional, la alegerea utilizatorului.

(a)Confidentialitatea protejeaza continutul mesajelor impotriva citirii lor neautorizate, de catre alte persoane decat receptorii specificati de emitator. Obiectivul acestei protectii il constituie fie ascultarea si inregistrarea neautorizata a traficului de pe liniile de comunicatii, fie posibilitatea accesului la cutiile de scrisori, care sunt de fapt niste fisiere disc; impotriva unor astfel de atacuri se prefera secretizarea (criptarea) mesajelor.

(b)Autentificarea originii mesajelor permite receptorului unui mesaj prin posta electronica sa determine in mod sigur identitatea emitǎtorului scrisorii. Este un serviciu de securitatea foarte necesar astǎzi, când în sistemele de postǎ electronicǎ este relativ usor sǎ fortezi emiterea unor scrisori în numele unor alti utilizatori. Acest lucru creeazǎ mari semne de întrebare asupra credibilitǎtii mesajelor primite pin postǎ.

(c)Integritatea legǎturii în retea furnizeazǎ receptorului cǎ mesajul primit este identic cu mesajul emis la origine. Acest serviciu protejeazǎ împotriva unor atacuri care vizeazǎ modificarea mesajelor aflate în tranzit prin retea. Sǎ observǎm cǎ, desi cele douǎ servicii de autentificare si de integritate au fost descrise separat, ele sunt furnizate de obicei în tandem.

(d)Împiedicarea nerecunoasterii mesajului de cǎtre expeditor (nerepudierea mesajelor) garanteazǎ integritatea si originea datelor din punctul de vedere expeditorului, nu al destinatarului. Se împiedicǎ astfel ca expeditorul unui mesaj de postǎ electronicǎ sǎ nege transmiterea scrisorii. De asemenea, se permite scrisorilor sǎ fie transmise mai departe la alti destinatari, care sǎ poatǎ verifica identitatea originii (nu numai a intermediarului) mesajului. La receptie, se poate verifica cǎ mesajul nu a fost alterat, inclusiv (ulterior) de cǎtre emitǎtorul sǎu autentic. O utilizare foarte importantǎ a acestui serviciu este în comert, când trebuie transmise prin e-mail ordine de comandǎ sigure, care sǎ fie apoi confirmate si a cǎror receptie sǎ poatǎ fi doveditǎ.

Editor

Filtru PEM

User Agent

User Agent