Docstoc

Network Security - Download as PDF

Document Sample
Network Security - Download as PDF Powered By Docstoc
					Intrusion Detection Systems: สวนเสริมสําหรับไฟลวอลลก็คือระบบตรวจจับการบุกรุก (Intrusion Detection System) ซึ่งเปนเครื่องมือสําคัญมากที่สามารถตรวจดูเครือขายไดวามีกจกรรมอะไรที่นาสงสัย ิ เกิดขึ้นหรือไม และจะแจงเตือน (alert) คุณเมื่อมีการทํา access compromise เกิดขึ้น ในเอกสารเผยแพรหัวขอ Intrusion Detection Systems ของหนวยงาน NIST ระบุวา ระบบตรวจจับการบุกรุกมีดวยกัน 3 ชนิดซึ่งแตละชนิดมีขอดีและขอเสียแตกตางกัน ระบบทั้ง 3 นั้นไดแก
o o o

Network-based IDSs Host-based IDSs Application-based IDS [3]

Q: อะไรคือ การตรวจจับการบุกรุก (Intrusion Detection) A: การตรวจจับการบุกรุกถือวาเปนศิลปะในการตรวจจับกิจกรรมที่ไมเหมาะสม, ไม ถูกตองหรือไมปกติ ซึ่งระบบการตรวจจับการบุกรุก (Intrusion Detection Systems IDS) ซึ่งทํางานอยูบนโฮสต เพื่อทําการตรวจจับเหตุการณหรือกิจกรรมตางๆที่แอบแฝง บนโฮสต เราเรียกวา host-based IDS และระบบการตรวจจับซึ่งทํางานบนระบบ เครือขายเมื่อทําหนาที่ในการตรวจสอบขอมูลซึ่งไหลเวียนในเครือขาย เราเรียกวา network-based IDS บางครั้งเกิดการเขาใจผิดพลาดเกี่ยวกับการตรวจจับการใชที่ผิด(misuse detection) กับ การตรวจจับการบุกรุก แตโดยปกติแลวการบุกรุกจะใชอธิบายการโจมตีจากภายนอก ในขณะที่ "การใชที่ผิด" นั้นใชอธิบายการโจมตีที่กําเนิดจากภายในเครือขายเอง

Q: Host-base Intrusion Detection คืออะไร A: Host-based IDS ทําการตรวจจับขอมูลที่ไหลเขาและออกคอมพิวเตอรแตละเครื่อง นอกจากนั้นระบบก็ยังตรวจสอบความสมบูรณของ system files และเฝาดู processes ที่ นาสงสัย Host-base IDS มี 2 ประเภทใหญคือ • host wrappers / personal firewall • agent-based software ซึ่งทั้งสองชนิดจะมีประสิทธิภาพในการตรวจจับการบุกรุกจากภายในไดดีกวา networkbased IDS แตประสิทธิภาพการตรวจจับการโจมตีจากภายนอกนั้นจะทําไดดีพอๆ กัน Host Wrappers หรือ personal firewall เราสามารถที่จะทําการปรับแตงให IDS ชนิดนี้ทําการตรวจสอบทุกๆ packets บน เครือขาย การพยายามทีจะเชื่อมตอเขามา หรือการที่จะพยายาม login เขามาซึ่งรวมถึง ่ การเชื่อมตอแบบ dial-in Agent-based Software สามารถที่จะเฝาตรวจการ access และการเปลี่ยนแปลงของ system files รวมทั้งการ เปลี่ยนแปลง privilege ของผูใช ID ประเภทนี้ที่รูจักกันดีคือ Tripwire (http://www.tripwire.security.org)

Q: Network based ID คืออะไร A: ระบบการตรวจจับการบุกรุกแบบ network-based นั้นจะทําการเฝาดูขอมูลบน เครือขายโดยที่ระบบดังกลาวจะทําการรับขอมูลทังหมดที่อยูบนสวนของเครือขายที่ ้ รับผิดชอบ นอกเหนือจากสวนของเครือขายที่รับผิดชอบ และชนิดของการสื่อสารอื่นๆ แลวระบบดังกลาวก็ไมสามารถทําการตรวจจับ packet ตางๆ จะถูกตรวจจับโดย sensor ของระบบ IDS ซึ่ง sensor จะมองเห็นเฉพาะ packet ที่ผานสวนของเครือขายที่ sensor นั้นติดอยู packet ตางๆ จะเปนที่สนใจของ sensor ก็ตอเมื่อ packet นั้นเขากับ signature ที่กําหนดซึ่งปกติแลว signature จะมี 3 ประเภทคือ • string signatures • port signatures • header condition signatures String signature จะมองหา text string ซึ่งอาจบงบอกถึงการโจมตี ตัวอยางเชน " cat " + + " 7% rhost " อาจทําใหระบบ UNIX เกิดชองโหวตอการโจมตีบนเครือขาย Port signatures จะเฝาดูการพยายามติดตอเขามาทาง port ที่รูจักกันดี และมักจะถูกโจมตี เชน telnet จะใช TCP port 23, FTP จะใช TCP port 21/20 SUNRPC ใช TCP/UDP port 111 และ IMAP จะใช TCP port 143 ซึ่งถา ระบบของเราไมไดเปด port ดังกลาว แตมีการ พยายามเชื่อมตอเขามา แสดงวา packets ดังกลาว อาจจะมีประสงครายก็ได Header signatures พยายามมองหา combination ที่อันตรายและผิดกฎของ packet header ตัวอยางที่เห็น ไดชัดของ header signature คือ TCP packet ซึงมีทั้ง SYN และ FIN Flags ่ Q: เคยไดยินวาวิธีที่ดีที่สุดในการจัดการเรื่องความปลอดภัยของระบบ คอมพิวเตอร คือ การแบงการปองกันออกเปน layer กรุณาอธิบายวิธีการนี้ และ อยากทราบวา IDS อยูในสวนไหน? A: ระบบการรักษาความปลอดภัยใหกับคอมพิวเตอรจะมีประสิทธิภาพมากที่สุด เมื่อ องคกรนั้นๆ นําระดับของการรักษาความปลอดภัยหลายๆ ชิ้นมาใช มักจะมีการเขาใจผิด วาแค firewall ก็เพียงพอแลว ทานควรมี security model อื่นเพื่อเพิ่มประสิทธิภาพใน การรักษาความปลอดภัยใหแกคอมพิวเตอรขององคกรอันไดแก 1. 2. 3. 4. 5. 6. 7. นโยบายทางดานความปลอดภัย การรักษาความปลอดภัยของ host system การตรวจสอบระบบ การรักษาความปลอดภัยใหแก router การใช firewall ระบบการปองกันการบุกรุก แบบแผนการตอบสนองตอเหตุการณตางๆ

แตละ layer จะมีประสิทธิภาพภายในการปองกันการบุกรุกในระดับหนึ่ง หากผูบุกรุก สามารถผาน layer มาไดหนึ่ง นั่นไมไดหมายความวา ระบบของทานจะถูก compromise เลย แตละ layer จะมีความเกี่ยวของกันอยู ถึงแมวาทานอาจจะทําการ แยก implement ในแตละชั้น แตจะมีประสิทธิภาพสูงสุดเมื่อทั้งหมดถูก implement ดวยกัน จะเห็นไดวา IDS เปนแคสวนประกอบหนึ่งของ security model ที่มี ประสิทธิภาพ

Q: Knowledge-based IDS คืออะไร A: กระบวนการตรวจจับการบุกรุกนั้นสามารถทําได 2 วิธีคือ knowledge-based และ behavior-based Knowledge-based IDS จะอาศัยขอมูลที่เกี่ยวกับการโจมตีชนิดตางๆ พรอมทั้งชองโหว ของระบบ ในการตรวจจับการใหใชชองโหวตางๆ เมื่อความพยายามในการเขาใชนั้นถูก จับได IDS ก็จะทําการแจงเตือน เพราะฉะนั้นจะเห็นไดวา ความสมบูรณ และ ประสิทธิภาพของ IDS ชนิดนี้จะขึ้นอยูกับความทันสมัยของขอมูลเกี่ยวกับการโจมตี ตางๆ ขอดีของวิธีการแบบนี้คือ อัตราการเกิดการแจงเตือนผิดๆ นั้นจะต่ํา และขอมูลที่ไดจาก IDS นั้นจะมีรายละเอียดที่ดีทําใหงายตอผูใชในการปองกันและแกไขการโจมตี ขอเสียของวิธีนี้คือ ความยากในการรวบรวมขอมูลเกี่ยวกับรูปแบบการโจมตี และการ ปรับปรุงขอมูลเกี่ยวกับชองโหวตางๆ ใหทันสมัยอยูเสมอ เนื่องจากขอมูลตางๆ นั้น ขึ้นอยูกับระบบปฏิบัติการ, เวอรชั่น, platform และ application นอกจากชั้นการตรวจจับ การโจมตีจากภายในนั้นทําไดยากเนื่องจาก การโจมตีจากภายในเกี่ยวกับการละเมิด สิทธิของ user ซึ่งไมไดเกี่ยวของกับชองโหวแตอยางใด

Q: Behavior-based IDS คืออะไร A: แนวความคิดของการตรวจจับการบุกรุกแบบนี้คือ จะมีการแจงเตือนเมื่อระบบมีการ ตรวจพบความเบี่ยงเบนและความผิดปกติของระบบหรือของผูใชจากการใชระบบปกติ ซึ่งรูปแบบของพฤติกรรมที่เปนปกตินั้น จะถูกรวบรวมจากขอมูลอางอิงตางๆ หลังจากนั้น IDS จะทําการเปรียบเทียบระหวางพฤติกรรมในขณะนั้นกับรูปแบบอางอิง ดังนั้นจะเห็น ไดวา false alarm จะเกิดขึ้นไดบอยครั้ง ขอดีของการตรวจจับโดยใชเทคนิคลักษณะนี้ คือสามารถที่จะตรวจจับแบบการบุกรุก แบบใหมๆ ที่ไมเคยมีมากอน และความเกี่ยวโยงกับระบบปฏิบัติการคอนขางต่ํา รวมทั้ง ยังสามารถที่จะตรวจจับการบุกรุกที่ไมไดโจมตีชองโหว เชนการโจมตีจากภายใน ขอเสียที่สําคัญที่สุดคือ false alarm จะคอนขางสูง ในชวงของการศึกษาพฤติกรรมของ ระบบ และเนื่องจากพฤติกรรมจะเปลี่ยนแปลงอยูตลอดเวลา เพราะฉะนั้น IDS ก็ตองใช เวลาในการศึกษา และเปนเหตุให IDS ขัดของหรืออาจทําใหเกิด false alarm มากขึ้น

Q: Network Instrusion Detection System (NIDS) คือ อะไร A: การบุกรุก (Intrusion) คือความพยายามที่จะเจาะเขาสูระบบหรือการใชระบบในทาง ที่ผิด (misuse) ซึ่งความหมายของคําวา "misuse" จะกวางและสามารถสะทอนถึงความ รายแรงตั้งแตขั้นรายแรงจนถึงถึงขั้นชั้นต่ํา ระบบการตรวจจับการบุกรุก (Intrusion detection system - IDS) คือ ระบบที่ทําการ ตรวจจับการบุกรุกดังกลาวขางตน ซึ่ง IDS จะแบงออกเปน 3 ประเภท คือ
•

Network Intrusion Detection System (NIDS) จะทําการเฝาดู packet ที่วิ่ง ผาน wire ในเครือขาย และพยายามที่จะคนหาวา hacker/cracker พยายามที่ จะเจาะเขาระบบสูระบบ ซึ่งตัวอยางที่เห็นไดชัดคือระบบที่จะเฝาตรวจ TCP connection request หรือวา SYN ที่พยายามจะเชื่อมตอมายัง port ตางๆ ของ เครื่องเปาหมาย ซึ่ง NIDS นั้นอาจจะถูกติดตั้งบนเครื่องเปาหมายเอง และจะ คอยตรวจทุก traffic ของตัวเอง หรืออาจจะถูกติดตั้งบนเครื่องที่แยกอยูตางหาก และจะคอยตรวจทุก packet ที่ผานมาในเครือขาย

•

•

System Integrity Verifiers (SIV) จะคอยตรวจสอบ system files วามีการ เปลี่ยนแปลงเกิดขึ้นหรือไม ซึ่งโปรแกรมที่ไดรับความนิยมมากที่สุดคือ "Tripwire" ซึ่งขณะเดียวกัน SYN อาจจะคอยตรวจสอบ components อื่นๆ อยางเชน windows registry หรือ cron configuration หรืออาจจะตรวจจับเมื่อ ผูใชปกติพยายามที่จะใชสิทธิ์ของ root หรือ admin ซึ่ง products สวนใหญที่ เปน SYN มักจะเปนแค tools มากกวา systems ที่สมบูรณแบบ อยางเชนใน กรณีของ Tripwire จะตรวจจับการเปลี่ยนแปลงของ system files ที่สําคัญ แต จะไมมีการแจงเตือนที่เปนแบบ real time Log File Monitors (LFM) จะทําการเฝาดู log files ตางๆที่สรางขึ้นมาโดย services ในเครือขาย ซึง LFM จะคนหารูปแบบของ log files ที่จะบงบอกถึง ่ การบุกรุก ตัวอยางเชน parser ของ HTTP server log files เชน Swatch

Q: ใครคือผูบุกรุกระบบ?  A: มีคํา 2 คําที่ใชแทนผูบุกรุกคือ "hacker" และ "cracker" ซึง hacker คือบุคคลที่ ่ ชอบเจาะเขาสูสิ่งตางๆ hacker ที่ดีคือ บุคคลที่พยายามที่จะเขาสูระบบคอมพิวเตอรของ ตัวเองและพยายามที่จะเขาใจการทํางานของมัน แต hacker ที่เปนผูราย คือบุคคลที่ พยายามเจาะเขาสูระบบของผูอื่น ซึ่ง hacker ฝายดีพยายามที่จะใหสื่อตางๆ ใชคําวา cracker แทนแตยังไงก็แลว สําหรับบุคคลที่ตางๆ พยายามจะเจาะเขาสูระบบของเรา เราจะเรียกวา ผูบุกรุก "intruder" ซึงผูบุกรุกจะถูกแบงเปน 2 ประเภทคือ ่ 1. Outsides--จากภายนอก หมายถึง ผูบุกรุกจากภายนอกเครือขายของทาน และบุคคลที่อาจจะโจมตีมาจาก ภายนอกเชน การเปลี่ยนแปลงหนากากของ web server ของทานหรือการ forward mail ผานทาง e-mail server ซึ่งการบุกรุกจากภายนอกอาจมาจาก Internet, การ dialup, การบุกเขาไป หรือเครือขายของคูคาที่เชื่อมตอมายังเครือขายของทาน 2.Insider--จากภายใน คือ ผูบุกรุกที่มีสิทธิ์ในการใชเครือขายภายใน รวมทั้งผูใชที่ใชสิทธิ์ในทางที่ผิด หรือการ ลักลอบใชสิทธิ์ของผูใชคนอื่นๆ ที่มีสิทธิ์เหนือกวา

Q: ผูบุกรุกเจาะเขาสูระบบไดอยางไร? A: มี 3 ทางหลักๆ ที่ผูบุกรุกจะเจาะเขาสูระบบ คือ 1. Physical Intrusion ถาหากวาผูบุกรุกมีการเชื่อมตอทางกายภาพกับเครื่องหรือ ระบบ เครือขาย การเจาะเขาสูระบบจะเกิดขึนได ้ 2. System Intrusion การบุกรุกในลักษณะนี้สมมติวาผูบุกรุกมี account เรียบรอย แลวแตมีสิทธิ์ต่ํา ถาไมไดมีการ update patch ใหกับระบบผูบุกรุกจะใชชองโหวของ ระบบในการครอบครองสิทธิ์ของ administrator ่ 3. Remote Intrusion ผูบุกรุกพยายามที่จะเจาะเขาสูระบบขามเครือขาย ซึงผูบุกรุกจะ ไมมีสิทธิ์ใดๆ เลยบนเครือขายนั้น

Q: ทําไมผูบุกรุกจึงสามารถเจาะเขาสูระบบได?  A: Software bugs จะปรากฎอยูใน server daemons, โปรแกรมตางๆ ของ client ระบบปฏิบัติการ ซึ่ง สามารถแบง Software bugs ออกเปนประเภทตางๆไดดังนี้ 1. Buffer Overflows ชองโหวของความปลอดภัยคอมพิวเตอรจะเกิดจากปญหานี้ ตัวอยางของ Software bugs เชน โปรแกรมเมอรไดทําการตั้งคาจํานวน characters ที่ จะรับ login username เปน 256 เนื่องจากเขาคิดวาคงจะไมมีใครที่จะใช username ที่ ยาวกวา 256 characters ตัวอยางเชน 300 characters จะเกิดอะไรขึ้นกับอีก 50 charcaters ที่เหลือ ซึ่งอาจประกอบดวย code ที่จะถูก execute โดย server และทําให hacker เจาะเขาสูระบบได hacker จะทําการคน bugs เหลานี้โดยวิธีตางๆ เชน
• • •

อาจจะคนหาไดจาก internet hackers อาจจะทําการศึกษา programs นั้นๆ โดยตัวเอง hackers อาจจะตรวจสอบทุกๆ สวนของ program ที่มี input และ พยายามที่จะ overflow โดยใส random data เขาไป ซึ่งถา program นั้นหยุดการทํางานอาจจะทําให hacker สามารถเจาะเขาสูระบบนั้นได ซึ่งปญหาดังกลาวจะเกิดขึ้นกับ program ซึ่งเขียนดวย C/C++ แตจะไม เจอกับ program ซึ่งเขียนดวย Java

2.Unexpectes Combinations โดยทั่วๆ ไป program จะประกอบ code หลายๆ layer ซึ่ง layer ที่อยูต่ําที่สุดคือ ระบบปฏิบติการ ซึ่งเมื่อผูบุกรุกสง input เขาสูโปรแกรม ั input นั้นอาจจะไมมีความหมายอะไรเลยสําหรับ layer หนึ่ง แตอาจจะทําใหเกิดผลกับ อีก layer หนึ่ง จะเห็นไดวาโดยสวนใหญ ภาษา PERL คือภาษาที่จะทําการ process user input บน web ซึ่งปกติแลว PERL จะสง Input ไปใหอีกโปรแกรมหนึ่ง 3.Input ที่ไมถูกการประมวลผล โดยสวนใหญ programmer จะเขียนโปรแกรม ที่จะ จัดการกับ valid input แตจะไมพิจารณากรณีที่ input ไมไดตรงตาม specification 4.Race Conditions เนื่องจากปจจุบันระบบสวนใหญจะเปน " Multitasking หรือ Multithreaded" หมายถึงวา program หลายๆ program สามารถถูก execute พรอมๆ กันได ซึ่งจะเปนอันตรายอยางเชน ถา program นั้นๆ ใช data เดียวกัน ตัวอยางเชน programs A และ B จําเปนที่จะตองแกไข file เดียวกัน ในการที่จะแกไข file นี้ โปรแกรมจะตองอาน ไฟล ไปเก็บไวใน memory แลวทําการแกไข เนื้อความใน memeory แลวคัดลอก memory กลับเขาสูไฟล race conditions จะเกิดขึ้นเมื่อ program A อานไฟลเขาสู memory แลวทําการแกไข แตกอนที่ A จะเขียนกลับลงสู ไฟล program B ไดทําการอาน / แกไข / เขียน ลงสูไฟลเรียนรอยแลว หลังจากนั้น A ทําการ write กลับไปในไฟล จะเห็นไดวาการแกไขโปรแกรมทั้งหมดของ program B จะหายไป แตยังไงก็แลวแต race conditions คอนขางจะเกิดขึ้นไดยาก ผูบุกรุกตองทํา การทดลองเปนพันๆ ครั้ง จึงจะสามารถเจาะเขาสูระบบได System Configuration bugs ที่เกิดจาก System Configuration สามารถจําแนกไดดังตอไปนี้ 1. Default Configurations ระบบสวนใหญจะถูกจัดสงจากผูขายดวย default configuration ซึ่งงายในการใช แตนั้นก็หมายถึงงายในการเจาะดวย 2.ความเกียจครานของ administrators มีระบบอยูไมนอยทีเดียวที่ถูก configured ให  ไมตองใส root password เนื่องจาก administor เกียจครานที่จะ config แตอยากให เครื่องทํางานไดเร็วที่สุด เนื่องจากวาการแกไข password ทีหลังทําไดไมงายเลย ซึ่ง จุดนี้อาจทําใหผูบุกรุกเจาะเขาสูระบบได 3.Hole Creation บางครั้ง administrator จะเปดชองโหวบนเครื่องไว ซึ่งคูมือการดูแล

Password Cracking 1.การเลือกใช password ที่คอนขาง weak คนสวนใหญจะเลือกใช password ที่เปน ชื่อของตนเอง, ชื่อลูก, ชื่อสามี/ภรรยา, สัตวเลี้ยง, รุนของรถ หรือบางคนอาจใชเปน password หรืออาจไมใสเลย จะเห็นวาผูบุกรุกทําการเดาสุม password เหลานี้ไดงาย 2.Dictionary Attacks ขั้นตอนตอไปนี้ ผูบุกรุกอาจจะใช program ที่จะทําการ crack password โดยที่ program ดังกลาวจะเลือกคําที่เปนไปไดในดิกชั่นนารี dictionary attacks แลวเปรียบเทียบกับคําใน dictionary ที่ถูกเขารหัส 3.Brute force attacks จะคลายกับ dictionary attacks ผูบุกรุกจะพยายามนํา character ตางๆ มาผสมกันเปน password อยางเชน password ที่มีอักษร 4 ตัว และ เปน lower case เพียงอยางเดียว อาจจะถูก cracked ภายในเวลาแคไมกี่นาที หรือถา เปน password ความยาว 7 ตัวอักษร ทั้งที่เปน upper case และ lower case อาจตอง ใชเวลาหลายเดือนในการ crack Sniffing Unsecured traffic สามารถทําไดหลายวิธีดวยกัน 1. medium ที่ใชรวมกัน ตัวอยางเชน ถาเปน Eternet รุนเกาๆ เพียงแคนํา sniffer ไป ติดตั้งบน wire ก็สามารถมองเห็น traffic ทั้งหมดได แตจะยากขึ้นสําหรับ Switched Ethernet 2.Server Sniffing การติดตั้ง Sniffer program บน server นั้นอาจไดขอมูลที่จะ นําไปใชในการเจาะเขาสู client machine ได

ขอบกพรองของการออกแบบ ถึงแมวาการใช Software จะถูกตองตาม design แตอาจจะมี bugs ในตัว designs ที่จะ นําไปสูการเจาะระบบได เชน 1.TCP/IP protocol เนื่องจาก TCP/IP ไดถูกออกมากอนที่วิวัฒนาการทางดาน hacking จะเหมือนในปจจุบัน เพราะฉะนั้นเปนไปไดที่อาจจะมีขอผิดพลาดทางดานการ ออกแบบที่จะนําไปสูปญหาทางดานความปลอดภัยได ตัวอยางเขน Smurt attack, IP spoofing หรือ SYN floods ไดมีการพัฒนา IPSec เพื่อที่จะแกปญหาตางๆ เหลานี้ แต ยังไมมีการใชอยางแพรหลาย 2.Unix มี flaws ในระบบปฏิการ UNIX ซึ่งอาจทําใหระบบถูกเจาะไดซึ่งปญหาที่สําคัญ ที่สุดคือ access control system 3. Honeypots and Deception Systems Q: honeypot คืออะไร ? A: honeypot คือระบบซึ่งออกแบบมาเพื่อใหดูเหมือนวาเปนสิ่งที่ผูบุกรุกสามารถที่จะ hack ได เชน
• •

•

การติดตั้งเครื่องในเครือขายโดยมีจุดประสงคเพียงแค log ความพยายามที่เรา เขาสูระบบ การติดตั้งระบบปฏิบัติการรุนเกาๆ บนเครื่อง ตัวอยางเชน การติดตั้ง WinNT4 ซึ่ง ใช IIS4 นั้นจะถูก hacked ไดโดยการใชเทคนิคตาง ๆ แลวใช IDS ในการ log การเจาะเขาสูระบบ และทําการติดตามการเคลื่อนไหวของ hacker หลังจากที่ ระบบถูก compromised แลว การติดตั้ง software ซึ่งออกแบบมาเพื่อจุดประสงคนี้โดยเฉพาะ ซึ่งประโยชน คือทําใหดูเหมือนวาผูบุกรุกสามารถเจาะเขาสูระบบไดทั้งที่ผูบุกรุกยังไมไดเขา ระบบเลย

•

ทุกระบบสามารถทําใหเปน honeypot ได ตัวอยางเชน WinNT ใหทําการ เปลี่ยน account ของ admin จาก administrater เปนอยางอื่น แลวสราง dummy account "administrater" ซึ่งไมมีรหัสผานใด ๆ เนื่องจาก WinNT จะ ทําการบันทึกพฤติกรรมของผูใช ดังนั้น honeypot ก็จะติดตาม ความพยายาม ของ user ที่จะใช administrater access

Q: ขอดีของ honeypot มีอะไรบาง ? A: NIDS โดยทั่วไปจะมีปญหาในการแยกแยะ traffic วา traffic ไหนที่เปนการ hack หรือไมเปนการ hack แต honeypot จะคอนขางสะดวกกวาเนื่องจากวา traffic ที่มาสู honeypot เปน traffic ที่นาสงสัยทั้งสิ้น Q: ขอดอยของ honeypot มีอะไรบาง ? A:
• •

• •

ถาระบบไมไดถูก hacked จริงๆ honeypot อาจจะถูกใชในการ compromise เครือขายได บางคนเชื่อวา เนื่องจากการใช honeypot เปนการชักชวน hacker ดังทําการ เจาะระบบ ดังนั้นการดําเนินทางกฎหมายกับ hacker จึงอาจทําไดไมเต็มที่ แต อันนี้เปนความเขาใจที่ผิด เนื่องจาก honeypot ไมไดโฆษณาตัวเองให hacker เขามาเจาะแต hacker จะพบ honeypot ได โดยการใช search program บน เครือขายเทานั้น การใช honeypot เปนการเพิ่มความซับซอน ซึ่งในดานความปลอดภัยแลว ความซับซอนนั้นไมใชสิ่งดีเลย การดูแล honeypot ก็จะตองกระทําเหมือนกับอุปกรณอื่น ๆ บนเครือขายหรือ บริการบนเครือขาย

Q: ทานจะติดตั้ง honeypot ไดอยางไร ? A: การติดตั้ง honeypot นั้นทําไดงาย เนื่องจากทานสามารถใชอุปกรณ hardware และ software ที่มีอยูแลว เปน honeypot ได ในการติดตั้ง honeypot ซึ่งทานตองมีคือ
• • • •

เอกสารประกอบ นโยบายการดูรักษา วิธีการแจงเตือนจากระบบ แผนการปฏิบัติในกรณีที่เกิด alarm ขึ้น

Q: ประเภทของ honeypot มีอะไร ? A:
•

•

•

Port Monitor เปนประเภทของ honeypot ที่งายที่สุด โดยจะทําการเปด port และตรวจจับ เมื่อมีการ scanned จาก hacker ตัวอยางของ honeypot ประเภทนี้ คือ NukeNabber ซึ่งจะทําการแจงเตือนเมื่อมี port ถูก scanned ! Deception system เปนการพัฒนาการอีกขั้นหนึ่ง นอกเหนือจาก port monitor ซึ่งจะเปนระบบซึ่ง สามารถที่จะตอบโตกับ hacker ได ตัวอยางเชน ไมเพียงแตทําการ accept port 111 สําหรับ POP แตจะทําการ drop ดวย ซึ่งระบบดังกลาวจะปฏิบัติ เหมือนกับวาตัวเองเปน POP3 server Multiprotocal deception system Specter และ Fred Cohen's Deception Toolkit ประกอบดวย protocol ซึ่งถูก hacked อยูบอย ๆ

•

Full system with NIDS นอกเหนือจาก full system ที่ไดกลาวขางบนแลว ทานอาจจะใช IDS เมื่อชวย เสริมในเรื่องเกี่ยวกับ internal logging

Q: ขอดีและขอเสียของการสรางระบบที่จะใหถูก hacked ได A: server ซึ่งจะถูก hacked บอย ๆ คือระบบซึ่งไมได update patch และรันเวอรชัน เกาของ Linux , Solaris 2.6 และ Microsoft IIS 4.0 ดังนั้นทานควรจะสราง honeypot ซึ่งประกอบดวยระบบดังกลาวขางตน ขอดี
• •

•

ไดเรียนรูการตอบสนองตอเหตุการณ ซึ่งจะเปนการสอนใหทานไดตรวจจับการเจาะระบบของ hacker และการแกไข ไดเรียนรูเทคนิคการเจาะเขาสูระบบ การไดเห็นการเจาะเขาสูระบบของ hacker เปนการสอนทานเรื่องดังกลาวไปใน ตัว เกิดการแจงเตือนลวงหนา การสรางระบบที่จะถูก hacked ไดโดยงาย จะเปนการแจงเตือน กอนที่ระบบจริง ๆ จะถูกเจาะ โดยปกติ hacker พยายามที่จะใชเทคนิคงาย กอนที่จะเริ่มใชเทคนิคที่ซับซอน ซึ่งเปนในการเจาะเขาสูระบบ ดังนั้นการสราง ระบบที่จะเจาะเขาโดยงาย จะชวยในการทําใหทราบเจตนาของผูใชวาจะเปน พยายามจะเขาสูระบบหรือไม ขอเสีย สิ่งที่อันตรายที่สุดคือ ผูบุกรุกอาจจะใชระบบเพื่อจะโจมตีคนอื่นตอไป

•

ระบบตรวจจับการบุกรุก (Intrusion Detection System ,IDS) ระบบตรวจจับการบุกรุกเปนสวนหนึ่งของการรักษาความปลอดภัยภายในระบบเครือขาย คอมพิวเตอรซึ่งเปนระบบที่ใชในการตรวจจับการใชงานและความพยายามในการใชงาน คอมพิวเตอรหรือเครือขายคอมพิวเตอรซึ่งขัดกับขอบังคับและเจตุจํานงคการใชงาน ซึ่ง สงผลตอความปลอดภัยของระบบคอมพิวเตอรหรือเครือขายคอมพิวเตอร 3 ประการคือ Confidentiality, Integrity และ Availability ระบบตรวจจับการบุกรุกสามารถเขามาชวยตรวจสอบการละเมิดการใชงานดังกลาวได โดยจะ สามารถแจงเตือนหรือกระทําเหตุการณที่ผูดูแลระบบกําหนดเพื่อปองกันความเสียหายที่ จะเกิดขึ้นดังนี้ Confidentiality: การปองกันขอมูลจากผูที่ไมไดสิทธิในการเขาถึง Integrity: การปองกันไมใหผูที่ไมมีสิทธิแกไขขอมูล Availability:การปองกันไมใหผูที่ไมมีสิทธิทําขอมูลเสียหายจนไมสามารถใหบริการ ขอมูลเหลานั้นได ชนิดของระบบตรวจสอบการบุกรุก 1. Network Based Intrusion Detection System (Network Based IDS) ระบบนี้จะทําการวิเคราะหกิจกรรมตางๆที่เกิดขึ้นบนระบบเครือขายคอมพิวเตอรวาเปน การบุกรุกหรือความ พยายามในการบุกรุกหรือไมโดยอาศัยคาตางๆ อาทิเชน ปริมาณขอมูลบนเครือขาย, ลักษณะของ packet ที่สงเขามาภายในเครือขาย การทํางานของ Network Based IDS มีลักษณะ เปน Realtime เมื่อมีผูบุกรุกเขามาจะสามารถรูและรองเตือนหรือกระทําเหตุการณใดๆไดทันที การปองกันการบุกรุก - ติดตั้งโปรแกรม anti-sniffer 2. Host Based Intrusion Detection System (Host Based IDS) ระบบนี้จะทํางานอยูบนเครื่องคอมพิวเตอรแตละเครื่อง โดยจะตรวจสอบกิจกรรมตางๆที่ เกิดขึ้นวาเปนกิจกรรม ที่เปนความพยายาม ในการบุกรุกหรือไม มีลักษณะเปน Realtime เชนเดียวกับ Network Based IDS การปองกันการบุกรุก - ติดตั้งโปรแกรม tripwire - ติดตั้งโปรแกรมวิเคราะห log file 3. Vulnerability Scanners จะชวยในการตรวจสอบระบบวามีความเสี่ยงตอการถูกบุกรุกมากแคไหนโดยจะทําหนาที่ ในการหาชองโหวของระบบ ตางจาก Network และ Host Based IDS ตรงที่ไมได ทํางานแบบ Real-time แตจะทํางานเปนเวลาตามสั่ง

Q: อะไรคือ “sniffer” A: sniffer คืออุปกรณที่ตอเขากับเครือขายคอมพิวเตอรและคอยดักฟงขอมูลใน เครือขายและโปรแกรม “sniffer” เปนโปรแกรมที่จะคอยดักฟงการสนทนากันของ เครือขาย แตจะเห็นการสนทนากันนั้นจะเปนขอมูลไบนารี ดังนั้นโปรแกรมดังกลาวตอง ทําการถอดรหัสของขอมูลของคอมพิวเตอร เพื่อจะใหรูถึงการสนทนานั้นได Q: “sniffer” ถูกนํามาใชในดานไหน A: มีการนํา sniffing program มาใชเปนเวลานานแลว และลักษณะการใชจะแบงเปน 2 ประเภทคือ sniffer เชิงพานิชย ซึ่งใชในการดูแลเครือขายและ sniffer ซอนเรน ซึ่งใช ในการโจมตีหรือบุกรุกคอมพิวเตอร โดยปกติการใชงานโปรแกรมพวกนี้ ไดแก
• • • •

การดักจับรหัสผานและ user name จากเครือขาย ซึ่ง hacker/cracker ใชใน การเจาะเขาสูระบบ ใชในการวิเคราะหปญหาเรื่องความผิดพลาดของเครือขาย การวิเคราะหประสิทธิภาพของเครือขาย ใชในระบบตรวจจับการบุกรุก

Q: มีจุดใดบางบนอินเตอรเน็ตที่ทานสามารถเห็น traffic ทั้งหมด A: ไมมี การเชื่อมตอของอินเตอรเน็ตจะคลายกับตาขายจับปลา จะไมมีจุดใดเลยที่จะ สามารถเห็น traffic ไดทั้งหมด Q: sniffing/wiretap ทํางานอยางไร ? A: Ethernet ถูกสรางขึ้นมาบนกฎของการใชรวมกัน นั่นคือคอมพิวเตอรทุกเครื่องบน local network จะใช Ethernet wire เดียวกัน ฮารดแวรของ Ethernet ถูกสรางมาดวย “ตัวกรอง” ที่จะไมนาสนใจ traffic ที่เปนของคนอื่น ซึ่งทําไดโดยจะไมสนใจเฟรมที่มี MAC address ไมตรงกับของตนเอง แตโปรแกรม sniffing หรือ wiretap จะตัดตัวกรอง นี้ออกไป ทําใหฮารดแวรอยูใน “โหมดสําสอน” (promiscuous mode) Q: ทานจะดักฟงการเชื่อมตอของคนสองคนโดยที่ไมไดเขาใช wire ของเขา หรือไม ? A: ไมได ทานตองสามารถเขาถึง wire นั้นไดจึงจะสามารถลอบดักฟงได
•

•

การเขาถึง wire ดวยวิธี remote ถาหากทานเปน hacker/cracker ฝมือเยี่ยม มีหลายวิธีที่ทานอาจจะเขาถึง wire นั้นได o บุกเขาสูคอมพิวเตอรพวกเขาและทําการติดตั้ง sniffing software ที่ ทานสามารถควบคุมจากทางไกลได o เจาะเขาสู ISP และติดตั้ง sniffing software o หากลองที่ ISP ซึ่งสนับสนุน sniffing เชน RMON probe หรือ Dss (Distributed Sniffer System) o ติดสินบน ISP และเขาไปในบริษัท เพื่อติดตั้ง sniffer กรณีที่อยูใกลชิดกับ wire ในบางสถานการณ เชน เคเบิลโมเดม ,DSL ทานอาจจะทําการ redirect ขอมูล ระหวางคนสองคนใหผานเครื่องของทาน

3. PGP (Pretty-Good Privacy) เปน public-domain program ใช IDEA (International Data Encryption Algorithm) เปน algorithm สําหรับ encryption ใช RSA สําหรับจัดการ key และใช MD5 (Message Digest v.5) สําหรับสราง hash วิธีการสราง key ของ PGP จะใช latency ในการพิมพ keyboard มาเปนตัวหาเลขสุม แลวจึงเอาเลขสุมนี้ไปหา key อีกที สงที่นาสนใจของ PGP คือการกระจาย public key ครับ ปกติแลวการกระจาย public key จะเปนหนาที่ของ key certification authorities แตสําหรับ PGP จะใหผูใชคน ไหนก็ได sign (digital) กํากับลงใน public key ของผูอื่น การตรวจสอบความนาเชื่อถือ ของ key ก็จะดูจาก digital signature วาใครเปนคน sign ตัวอยาง เชนฉาก A, B, C นะ ครับ 1. A sign public key ของ B 2. B สง public key ให C เพื่อให C นําไปเขารหัสสงขอมูลกลับมาให 3. C จะตัดสินใจวาจะรับ public key ของ B โดยดูวาใครเปนคน sign ให B ..ในที่นี้ ก็คือ A .. หาก C เห็นวา A ไวใจได นาเชื่อถือพอ ก็จะรับ public key ของ b มา ใชงาน ถาไมไวใจก็จะปฏิเสธไป ทั้งหมดนี้เกิดขึ้นอยางอัตโนมัตินะครับ หลาย คนจะเรียกวิธีการนี้วา Web-of-trust อีกวิธีนึงคือการตรวจสอบ fingerprint ของ key วิธีนี้ใชในกรณีที่มีแคสองคนแตทั้งสอง คนตองรูจักกันมากอน หลักการก็คือ cross check กันตรงๆ เลย สมมติ A กับ B อีกครั้ง ในกรณีที่ B ไดรับ public key ของ A มาจาก server หรือแหลงอื่นที่ไมไดมาจาก A โดยตรง, B สามารถตรวจสอบวา key นั้นเปนของ A จริงหรือไมได โดยให A สง fingerprint ของ key มาเพื่อตรวจสอบกับ fingerprint ของ key ที่ไดรับมา หากวาตรงกัน ก็แสดงวา key ที่ไดรับมาเปนของ A จริง วิธีการที่แนะนําใน PGP คือใหโทรศัพทถามกัน เลยเพราะ fingerprint ทําเปน biometric word ซึ่งเปนคําภาษาอังกฤษธรรมดา ที่ตองใช เปน fingerprint ก็เพื่อจะไดไมตองสง key มาเทียบกันจริงๆ ซื่งไมปลอดภัย แมวา fingerprint จะถูกดักไปไดระหวางการตรวจสอบก็ไมสามารถเอาไปหายอนกลับไดวาเปน public key คืออะไร..ออผูพัฒนา PGP คือ Philip Zimmermann ครับ โชครายที่ Dr. Zimmermann พัฒนา PGP ในสหรัฐ เขาเลยถูก US Department of Commerce ฟอง เพราะกระทําผิดจากการ export software ที่อยูในขายของ Strong Cryptography (ขนาด ของ key > 40 bits) ออกไปนอกสหรัฐ แตในที่สุดศาลสูงสุดของสหรัฐก็ตัดสินยกฟอง ปจจุบันเพื่อเลี่ยงปญหาเรื่องกฏหมายที่อาจจะเกิดขึ้นอีกจึงมีการกอตั้ง International PGP ซึ่งเปน PGP ที่ใชที่งานไดทุกประเทศทั่วโลก

พวงกุญแจ (Keyring) ของ PGP

SSL VS SET
SSL และ SET เปนเทคโนโลยีการรับชําระเงินดวยบัตรเครดิตบนอินเตอรเนต ในระบบ ออนไลนการชําระเงินดวยบัตรเครดิตซึ่งสามารถใชไดทั้งในประเทศและตางประเทศมีอัตราสวน ประมาณ 80 % และเกือบทั้งหมดเปนการรักษาความปลอดภัยดวยโปรโตคอล Secure Socket Layer (SSL) ในประเทศไทยสวนใหญยังไมกลาที่จะรับชําระเงินผานบัตรเครดิต และผูซื้อก็ยัง ไมแนใจถึงความปลอดภัยในการชําระเงินดวยเชนกัน อยางไรก็ดีในหลายประเทศตางๆทั่วโลก โดยเฉพาะสหรัฐอเมริกามีการชําระเงินดวยบัตรเครดิตไดรับความนิยมอยางสูง เนื่องจากความ สะดวกและประหยัดของผูซื้อที่ไมจําเปนตองมีใบรับรองดิจิตอล ( Digital Certificate ) และใน ดานผูขายก็มีการลงทุนที่ต่ํา จากกระแสการซื้อขายสินคาออนไลนมีสูงขึ้นทําให VISA และ MASTER CARD ไดรวมกันพัฒนาโปรโตคอลมาตรฐานสําหรับความปลอดภัยในการชําระเงิน ดวยบัตรเครดิตระบบออนไลน ที่มีชื่อวา Secure Electronic Transaction (SET) ตั้งแตป พ.ศ. 2539 เพื่อแกไขปญหาตางๆที่เกิดขึ้นบน SSL เราจะมาเปรียบเทียบความแตกตางของเทคโนโลยีและการทํางานของทั้งสองกันเลยคะ

Secure Sockets Layer (SSL)
Secure Sockets Layer (SSL) เปนโพรโตคอลที่เน็ตสเคปพัฒนาขึ้นตั้งแตป พ.ศ. 2538 และไดรับการเสนอใหเปน มาตราฐานอุตสาหกรรมโดยองคการเฉพาะกิจวิศกรรม อินเตอรเนต ( IETF : Internet Engineering Task Force ) SSL ถูกออกแบบมาเพื่อใชในการ รักษาความปลอดภัยบนระบบเครือขาย TCP/IP โดยใชเทคโนโลยีการเขารหัส แบบกุญแจ สารธณะ (Public Key Encryption) ของ RSA DataSecurity,Inc. โพรโตคอล SSL ทํางานอยู ระหวางชั้น เครือขาย (Network Layer) ซึ่งในกรณีของอินเทอรเนตคือ TCP/IP กับการประยุกต (Application Layer) จึงสามารถใชไดกับ โปรแกรมประยุกตทุกตัวที่ทํางานบนโพรโตคอล TCP/IP เชนในกรณีของเว็บคือ HTTP ในปจจุบัน SSL ไดถูกพัฒนามาจนถึงรุนที่ 3 (SSL 3) ซึ่ง ไดเปดตัวตั้งแตเดือนมีนาคม 2539 เปนตันมา SSL ถูกนําไปใชอยางแพรหลายทั้งบนอินทราเน็ต และอินเตอรเน็ตเซิรฟเวอรและ บราวเซอร(ไคลเอนต) โดยมีกลไก คือ การตรวจ สอบซึ่งกันและกันระหวางเว็บบราวเซอร และ เว็บเซิรฟเวอรวาผูใชทั้งสองฝายเปนผูมีสิทธิ์จริง (Authorized parties) แลวจึงทําการเขา รหัส ขอมูล (Data Encryption) ที่รับสงระหวาง บราวเซอรและเซิรฟเวอรเพื่อทําใหขอมูลเปน ความลับไมสามารถถูกลักลอบอาน จากผูที่ไมมีสิทธิ์ (ในกระบวนการนี้ใบรับรองดิจิตอลจะถูกใช ในการตรวจสอบ) ผูผลิตชันนําสวนใหญตางก็ใหการสนับสนุน SSL ไมวาจะเปนเน็ตสเคป ้ ไมโครซอฟท , ไอบีเอ็ม, สปายกลาส และโอเพนมารเก็ต รวมทั้งซอฟแวรอยาง Apache-SSL ซึ่งในจํานวนนี้รวมทั้ง Nestscape Navigatior และ IE ซึ่งเปนบราวเซอรที่ไดรับความนิยมสูงสุด ทั้ง 2 ตัวดวยในชั้นตอนการทํางานของ SSL เมื่อไคลเอนตขอตอเขามายัง หนาเวปที่ไดรับการ รักษาความปลอดภัยเอาไวดวย SSL เซิรฟเวอรจะขอเปดการติดตออยางปลอดภัยกลับไปยัง ไคลเอนต หากไคลเอนตสนับสนุน SSL ก็จะตอบรับกลับมายังเซิรฟเวอร และถือเปนการเริ่มเปด การติดตอแบบ SSL (SSL Handshake) โดยเชิรฟเวอรและไคลแอนตจะแลกเปลี่ยนขอมูล ขาวสารการรักษาความปลอดภัยซึ่งกันและกัน ในขอมูลที่ไคลเอนตสงกลับมายังเซิรฟเวอรจะ ระบุหมายเลขการติดตอครั้งนั้น อัลกอริธิมของการเขารหัสที่จะใช และวิธีการบีบอัดขอมูลที่ ไคลเอนตสนับสนุนจากนั้นเชิรฟเวอรจะติดจะติดตอกลับไปยังไคลเอนตดวยวิธีที่ ไคลเอนตขอ เซิรฟเวอรกับไคลเอนตจะสงสําเนาใบรับรองดิจิตอลใหกับและกันเพื่อตรวจสอบโดยเซิรฟเวอร จะ สงกุญแจสารธณะที่สรางขึ้นเฉพาะสําหรับการติดตอครั้งนั้น (SessinKey) ไปยังไคลเอนต ดวยไคลเอนตจะใชกุญแจได รับในการเขารหัสขอมูลกอนสงไปยังเซิรฟเวอร และเซิรฟเวอรจะ สามารถถอดรหัสขอมูลนั้นดดวยกุญแจสวนที่คูกัน ทําใหเซิรฟเวอรและไคลเอนตสามารถ ติดตอกันไดอยางปลอดภัย ทั้งนี้ ในการติดตอกับแตะละไคลเอนต จะใชกุญแจที่ตางกัน และ กุญแจที่สรางขึ้นเฉพาะนั้นจะหมดอายุหลังจากนั้น 24 ชั่วโมง โดยอัตโนมัติ แตเนื่องจากรัฐบาล สหรัฐ ฯ ถือวาเทคโนโลยีการเขารหัสเปนอาวุธรายแรงอยางหนึ่งที่มีผลตอความมันคงของชาติ ่ จึงไดหามการสงออกเทคโนโลยีการเขารหัสที่ใชกุญแจขนาด ยาวกวา 56 บิตออกนอกประเทศ สหรัฐ ฯ ในขณะที่ยอมใหใชกุญแจสําหรับ SSL ที่ยาวสูงสุด 128 บิตภายในสหรัฐ ฯ และ แคนาดา จึงทําใหความแข็งแรงของการเขารหัสบน SSL ถูกจํากัดอยูเพียงระดับหนึ่ง เนื่องจากมีการเขาและถอดรหัสบน SSL จึงทําใหการสงขอมูลบน SSL ทําไดชาลงกวา

ปกติโชคดีที่เรา ไมจําเปนที่จะตองปองกันทุกปองกันทุกหนาบนเว็บไซตของเรา แตสามารถ เลือกที่จะปองกันเฉพาะบางหนาได โดยทั่วไปเราจะเลือกปองกันเฉพาะเวปเพจที่มีการสงขอมูล ที่เปฯความลับเชนขอมูลสวนตัวหรือจอมูลบัตรเครดิต เทานั้น เวบบราวเซอรทีสนับสนุน SSL จะมีเครื่องหมายที่แสดงวาเว็บเพจนั้น ๆ ไดรับการรักษา ความปลอดภัยหรือไม เชนในกรณีของ Nescape Navigator จะแสดงดวยรูปกุญกจที่มุมลาง ซายของหนาตาง หากเปนรูปลูกกุญแจหัก หรือแมกุญแจเปด ก็แสดงวาเปนเว็บเพจปกติที่ไมมี การปองกันแตะถาเปนรูปลูกกุญแจเต็มดอกหรือแมกุญแจ ปดก็จะหมายถึงเว็บเพจนั้นมีไดรับการ ปองกันสวน IE จะแสดงดวยรูปแมกุญแจที่มุมลางขวาของหนาตาง SSL ไดเตรียมบริการดาน ความปลอดภัยไว 3 อยางดังตารางดานลาง บริการ ความเปนสวนตัวของ การเขารหัส ขอความ ความถูกตองของ ขอความ การตรวจสอบซึ่งกัน และกัน รหัสตรวจสอบขอความ (ใช Hash and Encryption) ใบรับรองดิจิตอลตามมาตรฐาน X.509 เทคโนโลยที่ใช สิ่งที่ปองกันได ผูลักลอบอาน ขอความ ผูลักลอบแกไข ขอความ ผูแอบอางเปนบุคคล อื่น

1. ความเปนสวนตัวของขอความ (Message Privacy) เกิดจากการเขารหัสทั้งแบบกุญแจสาธารณะ (Public Key Encryption) รวมกับแบบ กุญแจสมมาตร (Symmetric Key Encryption) เพื่อใสามารถทําการเขารหัสและ ถอดรหัสไดอยางรวดเร็ว และในขณะเดียวกันก็ยังคงไวซึ่งความปลอดภัยในระดับสูง ขอมูลทุกอยางที่สงไปมาระหวางเซรฟเวอรและไคลเอนตจะถูกเขารหัสโดยใชกุญแจ และอัลกอรึธึมการเขารหัสที่ตกลงกันตอนทํา SSL Handshake ทําใหแมผูลักลอบอาน ขอความอุปกรณตรวจจับกลุมขอมูล IP ( IP Packet Sniffer ) มาอานขอความก็จะ มองเห็นแตขอความที่ถูกเขารหัสไว 2. ความถูกตองของขอความ ( Message Integrity ) บริการนี้ชวยใหสามารถมั่นใจไดวาขอมูลจะไมถูกแกไขระหวางทางที่สงไปมาระหวาง เซอรเวอรและไคลเอนตโดยอาศัยฟงกชั่นแฮช ( Hash Function ) และการเขารหัส ประกอบกัน 3. การตรวจสอบซึ่งกันและกัน ( Matual Authentication ) ไคลเอนตสามารถตรวจสอบใบรับรองกุญแจสาธารณะ ( Digital Certificate ) ของเซอร เวอรได และบน SSL 3 หากผูใชทางฝงไคลเอนตมีใบรับรองดิจิตอล ทางเซอรเวอรก็ สามารถขอตรวจสอบตัวตนของผูใชไดดวยเชนกัน โดยการแลกเปลี่ยนใบรับรองดิจิตอล จะเกิดขึ้นในขั้นตอน SSL Handshake เพื่อใหมนใจวาฝายที่แสดงใบรับรองดิจิตอล เปนเจาของใบรับรองดิจิตอลนั้นจริง ฝายนั้น ั่ จะตองมีลายเซ็นดิจิตอล (Digital Singature) กํากับขอมูลทุกอยางที่สงใหกับอีกฝายหนึ่งใน ขั้นตอน SSL Handshake ซึ่งขอมูลที่ถูกเซ็นกํากับจะมีตัวใบรับรองเองดวย เพื่อปองกันไมให ปลอมแปลงเปนตัวคุณ โดยแสดงใบรับรองของคุณ เราพะมีเพียงคุณที่จะมีกุญแจสวนตัวคูกับ กุญแจสาธารณะบนใบรับรองเทานั้น ที่จะสามารถเซ็นกํากับขอมูลไดอยางถูกตอง

ขั้นตอนการทํางานของ SSL

Secure Electronic Transaction ( SET )
Secure Electronic Transaction ( SET ) เปนโปรโตคอลที่ทาง VISA และ MASTERCARD เปนผูคิดคนขึ้นและเปดตัวครั้งแรกเมือวันที่ 1 กุมภาพันธ 2539 โดยตอมาได ่ พัฒนารวมกับ Microsoft CyberCash GTE IBM และ Nesscape จนประกาศตัว SET 1.0 เมื่อ วันที่ 2 มิถุนายน 2540 และถูกนําไปใชจริงผานอินเตอรเนตครั้งแรกเมื่อวันที่ 18 กรกฏาคม 2540 ตอมา VISA , MASTERCARD , AMEX , JCB ไดรวมกันกอตั้งบริษัทที่มีชื่อวา SET Secure Electronic Transaction LLC เพือเปนศูนยกลางในการเผยแพรมาตรฐาน SET การ ่ ทดสอบผลิตภัณฑของผูผลิตตางๆ ใหเปนไปตามมาตรฐาน และสามารถทํางานรวมกันไดโดย ออกตารางรับรอง SETMask โปรโคคอล SET พัฒนาเพื่อใชสําหรับการชําระเงินดวยบัตรเครดิตอยางปลอดภัยบน อินเทอรเน็ต และ เครือขายเปดอื่นๆ ดวยการเขารหัส SET จะใชรวมกับโปรโตคอลมาตรฐาน อื่นๆอีกหลายตัวในโปรแกรมเว็บบราวเซอร และ กระบวนการมาตรฐานที่แนะนําใหใชทํารายการ ชําระเงินผานทางอินเทอรเน็ต โดยที่ผูใชบัตรเครดิต รานคา ธนาคาร และ องคกรที่เกี่ยวของกับ การซื้อสินคาหรือบริการ จะตองมีใบรับรองดิจิตอล (Digital Certificate) เพื่อรับรองทุกฝายที่ เกี่ยวของการการซื้อขายนี้ โดย SET จะทําการเขารหัสขอมูลของรายการสั่งซื้อกอนสงผาน ขอมูลไปในเครือขายอินเทอรเน็ต กลไกของการรักษาความปลอดภัยดวยการใชโปรโตคอล SET
• • •

สามารถรักษาขอมูลที่รับสงใหเปนความลับ(โดยเฉพาะอยางยิ่งหมายเลขบัตรเครดิต) ซึ่งกระทําดวยการเขารหัส สามารถรักษาความเชื่อถือของขอมูลที่สงผานจะไมถูกแกไขระหวางทาง ดวยการใช ลายเซ็นดิจิตอล สามารถตรวจสอบการมีสิทธิ์จริงของแตละผูที่เกี่ยวของกับการทําธุรกรรม ดวยการใช ลายเซ็นดิจิทัล และ ใบรับรองดิจิตอล ซึ่งออกใหโดย องคกรออกใบรับรองดิจิทัล (Certification Authority)

ขั้นตอนการทํางานของ SET

ขั้นตอนการทํางานของ SET 1. ลงทะเบียนเพื่อขอ Digital Certificate และติดตั้ง Software กระเปาสตางค อิเลคทรอนิกส ( E-Wallet ) 2. ลูกเขาไปสั่งซื้อสินคาภายใน web site ที่สนับสนุนระบบ SET และเลือกสินคาที่ ตองการใสลงใน Shopping Cart 3. ลูกคาเลือกวิธีการชําระเงินผานระบบ SET ปอนรหัสผานเพื่อเปด E-Wallet เลือกบัตร เครดิตที่จะใชบริการ ขั้นตอนสุดทายคือเซ็นกํากับใบสั่งซื้อดวย Digital Signature 4. รานคาตรวจสอบ Digital Signature และสงขอมูลใหกับธนาคารเพื่อตรวจสอบวงเงิน และอนุมัติการชําระเงิน จากนั้นธนาคารจะแจงขอมูลการอนุมัติกลับไปที่รานคาอีกครั้ง 5. รานคาสงสินคาใหกับลูกคา หลังจากนั้นรานคาจะแจงยอดไปที่ธนาคารเพื่อโอนเงิน เขาบัญชีของตน

เปรียบเทียบลักษณะที่แตกตางระหวาง SSL และ SET
SSL จํานวนฝายที่ เกี่ยวของ ใบรับรองดิจิตอล การตรวจสอบ การปอนขอมูลบัตร เครดิต SET 3 ฝาย คือ ลูกคา รานคา และ ธนาคาร ทุกฝายที่เกี่ยวของตองมี ตองมี Certificate Authority ตรวจสอบทุกฝายที่เกี่ยวของ ขอมูลบัตรเครดิต จะถูกเก็บไว ใน E-Wallet จึงปอนเก็บไว เพียงครั้งเดียว ทําใหธนาคารผูออกบัตรเครดิต ไมทราบรายละเอียดการสั่งซื้อ เปนการักษาความเปนสวนตัว ใหกับลูกคา ทําใหผูขายไมทราบขอมูลบัตร เครดิตของลกคา จึงปลอดภับ กวาการใชบัตรวิธีอื่นๆ

2 ฝาย คือ ลูกคา และรานคา มีเฉพาะที่ Server Browser แบะ Sever ตางตรวจสอบซึ่ง กันและกัน ผูซื้อตองปอนทุกครั้ง

การจํากัดการเขาถึง

สามารถควบคุมการเขาถึงในระดับ Server , Directory , Folder

คําสั่งซื้อที่เขารหัสแลวถูกสงให Browser สามารถใชขอมูลรวมกับ Server รานคา สวนขอมูลบัตรเครดิตที่ การใชขอมูลรวมกัน ได ในขณะเดียวกันก็ปองกันบุคคลที่ 3 เขารหัสแลวถูกสงใหธนาคารผู ไมใหเขาถึงขอมูลนั้นได ออกบัตร การปองกันขอมูล Server สรางกุญแจขึ้นมาสําหรับการ ขอมูลถูกเขารหัสดวยกุญแจ สั่งซื้อครั้งนั้นโดยเฉพาะ แลวสงให Browser เพื่อใชเขารหัสคําสั่งซื้อสงกลับ สวนตัวของผูซื้อ มา สนับสนุน เขารหัสคําสั่งซื้อกับขอมูลบัตร แยกออกจากกัน และเนื่องจาก รหัสขอมูลบัตรมีขนาดตายตัว จึงสามารถรักษาความปลอดภัย ไดดีกวา

การพิสูจนตัวตนของ ไมสนับสนุน ลูกคา การเขารหัสขอมูล บัตรเครดิต เขารหัสรายละเอียดคําสั่งซื้อกับขอมูล บัตรรวมกัน

เปรียบเทียบวิธีการทํางานระหวาง SSL และ SET SSL
บน SSL Browser จะตรวจสอบใบรับรองดิจิตอล (Digital Certificate) ของ Server ซึ่ง ออกใหโดย Certificate Authority เพื่อใหแนใจวา Server นั้นเปนของรานคาหรือผู ใหบริการจริง แลวจึงใชการเขารหัสแบบกุญแจสาธารณะ ( Public Key Encryption ) ในการเขารหัสขอมูล โดย Server จะสรางกุญแจขึ้นมา 1 คู ( Session Keys ) เพื่อใช สําหรับการสงขอมูลครั้งนั้น โดยเฉพาะกุญแจสวนตัว ( Private Key) จะถูกเก็บไวที่ Server เอง สวนกุญแจสาธารณะ ( Public Key ) จะถูกสงไปให Browser ใชในการ เขารหัสขอมูล กอนสงมายัง Server ขอมูลที่เขารหัสแลวจะถูกถอดรหัสไดโดยใช กุญแจสวนตัวซึ่งอยูที่ Server เทานั้น

SET
ในการสั่งซื้อบน SET คําสั่งซื้อของลูกคาจะถูกเขารหัสโดยใชกุญแจสวนตัวของผูซื้อ กอนสงไปยังธนาคารของผูขาย สวนขอมูลบัตรเครดิตจะถูกเขารหัสกอนสงไปยัง ธนาคาร โดยมีการเซ็นลายเซ็นดิจิดอลกํากับขอมูลที่เขารหัสแลวทั้งสองสวน ผูขายและ ธนาคารจะถอดรหัสขอมูลที่ไดรับจากลูกคา โดยใชกุญแจสาธารณะของลูกคา ทําใหทุก ฝายสามารถตรวจสอบตัวตนของทุกฝายไดกอนที่ผูขายจะยอมรับคําสั่งซื้อ ธนาคารของ ผูขายจะตรวจสอบการอนุมัติวงเงินจากธนาคาร หากไดรับอนุมัติ ธนาคารจะโอนเงิน ใหกับผูขาย สวนธนาคารจะบันทึกรายการบัตรเพื่อเรียกเก็บจากลูกคาตอไป


				
DOCUMENT INFO