4SA313 - Bezpečnost informačních systémů

Август 6, 2022

Главная
Информатика
4SA313 - Bezpečnost informačních systémů

Содержание

2. Náplň kurzu/cvičení šifrování (cryptography), certifikáty, … řízení přístupu (access control), identifikace, autentizace, autorizace, modely řízení přístupu,
3. Na bis.vse.cz najdete: co v kurzu nebude zadání semestrální práce obsah cvičení popis průběžných testů
4. Představení Ing. Luboš Pavlíček pavlicek@vse.cz konzultační hodiny: pá 16:15 – 17:15 SB M10 dle předchozí dohody
5. 1. cvičení – cíle útoky na hesla entropie hesel, lámání hašů hesel (cracking) kolize, narozeninový paradox,
6. Útoky na hesla zcizení hesel uložených v úložišti (na disku, v databázi), odchycení na síti, hádání
7. Lámání hašů hesel metody: hrubou silou – vyzkouší se všechny kombinace, rainbow tables, slovník + pravidla,
8. Lámání hašů hesel (cracking) https://crackstation.net/ předpočítané tabulky rainbow tables, https://www.freerainbowtables.com/ použití GPU, FPGA a ASIC technologií
9. Entropie hesel Entropie měří množství informace ve zprávě, měří se pomocí log2 a udává se v
11. Možnosti uložení hesel Uložení v čitelné podobě (databáze vzácně, zdrojové kódy, konfigurační soubory a skripty bohužel
12. Možnosti uložení hesel Uložení v čitelné podobě (databáze vzácně, zdrojové kódy, konfigurační soubory a skripty bohužel
13. Uložení hesel původní šifrování hesel v OS UNIX (crypt):
14. Varianty uložení hesel
15. PBKDF2 – ukládání hesel, gen. klíčů PRF je pseudonáhodná funkce – často klíčovaný haš (HMAC) s
16. Entropie uživateli vytvářených hesel četnost malých písmen anglické abecedy v databázi hesel RockYou: Hesla vytvářená uživateli
17. Entropie uživateli vytvářených hesel NIST 802-63: za 1. znak se počítají 4 bity, za 2. –
18. Časový průběh lámání hašů
20. Скачать презентацию

Слайд 2

Náplň kurzu/cvičení
šifrování (cryptography), certifikáty, …
řízení přístupu (access control), identifikace, autentizace, autorizace,

modely řízení přístupu,
bezpečnostní architektura, bezpečnostní modely,
fyzická bezpečnost, UPS, klimatizace, vstupní systémy, kamery,

jen přednášky

Слайд 3

Na bis.vse.cz najdete:
co v kurzu nebude
zadání semestrální práce
obsah cvičení
popis průběžných testů

Слайд 4

Představení
Ing. Luboš Pavlíček
pavlicek@vse.cz
konzultační hodiny:
pá 16:15 – 17:15 SB M10
dle předchozí dohody

Слайд 5

1. cvičení – cíle
útoky na hesla
entropie hesel, lámání hašů hesel (cracking)
kolize, narozeninový

paradox,

MV9T3/bIa.urE

$1$IBeMfh8L$AukZtevOzkjG.CiZA6NfE/

$5$KqCvQhwTNF$XkVBt7QvXN2nU6COBRDR59m00KhjRh/9k/mFznU7Jq/

$6$L.jxrCl0LX1s211u$TyCW21uHZEcVR8/4v777oETROXjUMXfQiAT0lzbvu8WzIZh5R84BnwOTIx0tOcxYjTvMv4xTs4rr1Vd6HJjj1.

Слайд 6

Útoky na hesla
zcizení hesel uložených v úložišti (na disku, v databázi),

odchycení na síti,
hádání hesel,
sledování osoby, sociální inženýrství,

Lámání hašů
hesel

rychlost:
lámání,
hádání,
sociálního inženýrství

Слайд 7

Lámání hašů hesel
metody:
hrubou silou – vyzkouší se všechny kombinace,
rainbow tables,
slovník +

pravidla,
za jak dlouho útočník zjistí heslo (hesla)?
za jak dlouho zjistí jedno libovolné heslo,
za jak dlouho zjistí všechna hesla,
za jak dlouho zjistí jedno konkrétní heslo.

pro hesla vytvářená uživateli

Слайд 8

Lámání hašů hesel (cracking)
https://crackstation.net/
předpočítané tabulky
rainbow tables,
https://www.freerainbowtables.com/
použití GPU, FPGA a ASIC technologií
software
John

the Ripper
Cain and Abel
Oclhashcat (AMD GPU), cudahashcat (NVIDIA GPU)
Elcomsoft Password Recovery Bundle
Passware Kit Forensic

Life Inside a Secret Chinese Bitcoin Mine

Слайд 9

Entropie hesel
Entropie měří množství informace ve zprávě, měří se pomocí log2

a udává se v bitech.
Pokud heslo vznikne náhodným výběrem L symbolů z množiny o velikosti N, lze entropii H spočítat pomocí:
H = log2 NL = L * log2 N
PIN ze čtyř náhodně vybraných číslic bude mít entropii:
log2 104 = 13.29 bit

Náhodně generovaná hesla

Слайд 10

Слайд 11

Možnosti uložení hesel
Uložení v čitelné podobě (databáze vzácně, zdrojové kódy, konfigurační

soubory a skripty bohužel běžně).
Uložení verifikátoru hesla namísto hesla. Verifikátor je jednosměrně odvozená hodnota z hesla (haš). Pro výpočet verifikátoru často používáme hašovací funkce.
Prostá haš hesla je zranitelná na útoky pomocí rainbow tables => solení hesla.
Sůl je náhodná hodnota přidaná k heslu. Solíme celou databázi anebo každé heslo zvlášť?
Solení omezí útoky pomocí tabulek, ale neomezí rychlost zkoušení jednoho hesla => nutno výpočet verifikátoru zesložitit:
vysokou časovou složitostí => PBKDF2, Bcrypt
vysokou paměťovou složitostí => scrypt

Слайд 12

Možnosti uložení hesel
Uložení v čitelné podobě (databáze vzácně, zdrojové kódy, konfigurační

„Pokud jde o generování hesla, tak aktuálně v databázi heslo není uloženo vůbec, je tam funkce, která heslo počítá z uživatelského jména, což vede k tomu, že heslo je stále stejné.“
systém pro stovky až tisíce uživatelů ze září 2016 odpověď na dotaz jak změnit heslo

Слайд 13

Uložení hesel
původní šifrování hesel v OS UNIX (crypt):

Слайд 14

Varianty uložení hesel

Слайд 15

PBKDF2 – ukládání hesel, gen. klíčů
PRF je pseudonáhodná funkce – často

klíčovaný haš (HMAC) s hašovací funckí MD5, SHA1, SHA-256, SHA-512, ...
dkLen – požadovaná délka výsledného klíče
WPA2 = PBKDF2(HMAC-SHA1, passphrase, SSID, 4096, 256)
fpm2 = PBKDF2(HMAC-SHA2, passphrase, salt, 8192, 256)

Pasword-Based Key Derivation Function 2
Definována v PKCS #5 / RFC 2898
Klíč = PBKDF2(PRF, Password, Salt, c, dkLen)

Слайд 16

Entropie uživateli vytvářených hesel
četnost malých písmen anglické abecedy v databázi hesel

RockYou:

Hesla vytvářená uživateli

Слайд 17

Entropie uživateli vytvářených hesel
NIST 802-63:
za 1. znak se počítají 4 bity,
za

2. – 8. znak se počítají 2 bity (za každý),
za 9. – 20. znak se počítá 1,5 bitu,
za 21. – ... znak se počítá jeden bit,
bonus 6 bitů, pokud musí být minimálně 1 malé písmeno, minimálně 1 velké písmeno a minimálně 1 nepísmenný znak,
bonus 6 bitů, pokud má heslo méně než 20 znaků a provádí se kontrola navržených hesel vůči slovníku.

Слайд 18

4SA313 - Bezpečnost informačních systémů

Содержание

Náplň kurzu/cvičeníšifrování (cryptography), certifikáty, …řízení přístupu (access control), identifikace, autentizace, autorizace,

Na bis.vse.cz najdete:co v kurzu nebudezadání semestrální práceobsah cvičenípopis průběžných testů

PředstaveníIng. Luboš Pavlíčekpavlicek@vse.czkonzultační hodiny: pá 16:15 – 17:15 SB M10 dle předchozí dohody

1. cvičení – cíleútoky na heslaentropie hesel, lámání hašů hesel (cracking)kolize, narozeninový

Útoky na heslazcizení hesel uložených v úložišti (na disku, v databázi),

Lámání hašů heselmetody:hrubou silou – vyzkouší se všechny kombinace,rainbow tables,slovník +

Lámání hašů hesel (cracking)https://crackstation.net/předpočítané tabulkyrainbow tables,https://www.freerainbowtables.com/použití GPU, FPGA a ASIC technologiísoftwareJohn

Entropie heselEntropie měří množství informace ve zprávě, měří se pomocí log2

Možnosti uložení heselUložení v čitelné podobě (databáze vzácně, zdrojové kódy, konfigurační

Možnosti uložení heselUložení v čitelné podobě (databáze vzácně, zdrojové kódy, konfigurační

Uložení heselpůvodní šifrování hesel v OS UNIX (crypt):

Varianty uložení hesel

PBKDF2 – ukládání hesel, gen. klíčůPRF je pseudonáhodná funkce – často

Entropie uživateli vytvářených heselčetnost malých písmen anglické abecedy v databázi hesel

Entropie uživateli vytvářených heselNIST 802-63:za 1. znak se počítají 4 bity,za

Časový průběh lámání hašů

Похожие презентации

Náplň kurzu/cvičení
šifrování (cryptography), certifikáty, …
řízení přístupu (access control), identifikace, autentizace, autorizace,

Na bis.vse.cz najdete:
co v kurzu nebude
zadání semestrální práce
obsah cvičení
popis průběžných testů

Představení
Ing. Luboš Pavlíček
pavlicek@vse.cz
konzultační hodiny:
pá 16:15 – 17:15 SB M10
dle předchozí dohody

1. cvičení – cíle
útoky na hesla
entropie hesel, lámání hašů hesel (cracking)
kolize, narozeninový

Útoky na hesla
zcizení hesel uložených v úložišti (na disku, v databázi),

Lámání hašů hesel
metody:
hrubou silou – vyzkouší se všechny kombinace,
rainbow tables,
slovník +

Lámání hašů hesel (cracking)
https://crackstation.net/
předpočítané tabulky
rainbow tables,
https://www.freerainbowtables.com/
použití GPU, FPGA a ASIC technologií
software
John

Entropie hesel
Entropie měří množství informace ve zprávě, měří se pomocí log2

Možnosti uložení hesel
Uložení v čitelné podobě (databáze vzácně, zdrojové kódy, konfigurační

Možnosti uložení hesel
Uložení v čitelné podobě (databáze vzácně, zdrojové kódy, konfigurační

Uložení hesel
původní šifrování hesel v OS UNIX (crypt):

PBKDF2 – ukládání hesel, gen. klíčů
PRF je pseudonáhodná funkce – často

Entropie uživateli vytvářených hesel
četnost malých písmen anglické abecedy v databázi hesel

Entropie uživateli vytvářených hesel
NIST 802-63:
za 1. znak se počítají 4 bity,
za