Als het gaat om digitale beveiliging, zijn er 3 aandachtsgebieden die daarin belangrijk zijn en elkaar beinvloeden.
Het gaat om de volgende 3:
Beschikbaarheid Integriteit Vertrouwelijkheid.
In dit hoofdstuk leer je de basisprincipes van digitale beveiliging. Dit gaat om 3 zaken. Als eerste de wijze waarop informatie geheim wordt gehouden (vertrouwelijkheid). Ook hebben we het in dit hoofdstuk over hoe fouten tijdens invoer, opslag en versturen van data voorkomen kunnen worden (Integriteit) Als laatste gaat het om inzicht in de wijze waarop netwerkgebruikers op het juiste moment en op de juiste manier bij hun data kunnen komen (Beschikbaarheid).
In het laatste onderdeel van dit hoofdstuk staat een overzicht van de functies die binnen een bedrijf of organisatie een rol spelen bij de toepassing en uitvoering van security maatregelen.
Leerdoelen:
Je maakt kennis met de CIA triad, die wij hier de BIV driehoek noemen
Je leert over de functies die in de security wereld veelvuldig voorkomen.
Termen en begrippen:
Onderstaande termen en begrippen dien je te kennen.
Beschikbaarheid
Het tijdig en continu beschikbaar zijn van data.
Beschikbaarheidsketen
Een reeks geschakelde apparaten die elkaar versterken of verzwakken in termen van beschikbaarheid
Classificatie
Een indeling van informatie op basis van vetrouwelijkheid
Cryptografie
Methode om informaatie dusdanig te versleutelen dat alleen degene met de juiste sleutel de informatie kan lezen.
Digitale handtekening
Een waarde die absoluut uniek is voor een bepaald stuk informatie, waarmee de integriteit van informatie wordt gegarandeerd
Ethiek
Ethiek is nadenken over hoe je goed en fout kunt handelen in concrete situaties
Integriteit
Het voorkomen van gewilde of ongewilde wijzigingen in data
MD5
Een algoritme of methode om een digitale handtekening van digitale informatie te kunnen berekenen.
Onbeschikbaarheid
De uitval van een (deel van het) informatiesysteem
Sleutel
Een reeks tekens om de encryptie van data te ontsleutelen
SHA
Een modern algoritme of methode om en digitale handtekening te berekenen van digitale informatie. Nieuwer, beter en langer dan MD5 vanwege hogere bitwaarde van de sleutel.
Vertrouwelijkheid
Het principe dat informatie alleen gelezen kan worden door degene waarvoor de boodschap bedoeld is.
Vertrouwelijkheid
Met vetrouwelijkheid bedoelen we in de CIA triad de privacy van de informatie. De vertrouwelijkheid van de informatie moet ervoor zorgen dat alleen de personen voor wie de informatie bedoeld is er toegang toe hebben. Bijvoorbeeld: de informatie van de zakelijke bankrekening van een bedrijf hoeven alleen maar toegankelijk te zijn voor de directeur en eventueel de boekhouder. Andere medewerkers hoeven niet te weten hoeveel er op de bankrekening staat.
Recht op privacy heeft meestal betrekking op personen, maar het heeft evenzeer betrekking op de privacy van data. Informatie mag dus alleen maar gelezen worden door degene waar de informatie ook voor bedoeld is. Als je een mail stuurt naar een goede vriend in Cuba, heb je geen idee wat er onderweg met de informatie in de mail gebeurd is. En dat heeft niets met Cuba te maken, want ook voor mail naar een willekeurig ander land gestuurd geldt hetzelfde. Onderweg kan de verbinding afgeluisterd worden en de mail stiekum door iemand anders gelezen worden. En uiteraard wil je zeker weten dat zoiets niet met jouw mail gebeurt. Stel je voor!!!
Integriteit
Integriteit betekent, binnen de CIA triad, dat informatie volledig en juist is. De integriteit van de infrormatie moet ervoor zorgen dat de informatie waar we toegang toe hebben, de juiste informatie is en dat er niets ontbreekt.Als je van een document dat 50 pagina's dient te tellen er maar 45 hebt, is de integriteit van de informatie aangetast. Er kan dus essentiele informatie missen.
Voorkom fouten en maak informatie compleet. Integriteit betekent dat data niet ongewenst en onopgemerkt gewijzigd kan worden. Het zou wat zijn als je er niet op kon vertrouwen dat de informatie die je bij je bank opvraagt niet zou kloppen. Maar ook bij het versturen van een mail hoef je je niet af te vragen of de mail net zo aankomt als jij hem verstuurd hebt. Of toch wel???
Beschikbaarheid
Met Beschikbaarhied bedoelen we in de CIA triad dat de informatie en de informatiebeveiligingbeschikbaar zijn op het moment dat het nodig is. Als een medewerker van een bedrijf bepaalde informatie nodig heeft, moet het voor hem beschikbaar zijn. Echter als een hacker in het systeem die informatie wil bereiken, moet de beveiliging werken (beschikbaar zijn) en moet het de hacker zo moeilijk mogelijk of onmogelijk gemaakt worden om die informatie te bereiken.
Alles leuk en aardig, je weet dat je mail alleen maar door de juiste persoon gelzen kan worden en dat de inhoud van de boodschap ongewijzigd bij de lezer aankomt. Maar wat nu als het netwerk waar hij op is aangesloten "uit de lucht" is? Dan schiet je er nog niks mee op!
Cryptografie
Stel je voor dat je een boodschap wilt versturen waarvan je 100% zeker wilt zijn dat deze niet door anderen kan worden gelezen, hoe pak je dat dan aan?
Als je de boodschap op welke manier dan ook, per brief, email of telefoon, whatsapp of skype, verstuurt kan het worden opgevangen en afgeluisterd of gelezen. Er is maar 1 manier om een boodschap volledig geheim over te brengen en dat is in geheimschrift, die alleen aan jou en de ontvanger van de boodschap bekend is.
Tegenwoordig gebruiken we in plaats van geheimschrift cryptografie, de techniek van het versleutelen van gegevens.
Een aantal versleutelingsprincipes:
De Ceasar versleuteling
De Grille versleuteling
De Porta tabel
De playfair versleuteling
Filmpje
Encryptie
Opdracht
Opdrachten
Voer onderstaande opdrachten uit en vul de antwoorden in op het document dat hieronder staat.
Opdracht 1
Ceasar-verschuiving
Welke Caecarrotatie is hier gebruikt en wat is de betekenis van de oorspronkelijke 3 boodschappen?
CWN Mywolcns
Dofcoy Wuymul
Aybycg
Opdracht 2
Grille en Porta-tabel
Zie ELO
Opdracht 3
Je eigen cryptosysteem
Practicum 1.1
Classificatie van informatie
De Server
De server waar deze website op staat heeft een database met daarin alle cookies die horen bij die website. In de database staat bij elke cookie van wie deze cookie is.
Op het moment dat jij dus de website bezoekt, kan de webserver aan de hand van de cookie zien dat jij het bent. Zo hoef je niet steeds opnieuw je naam en soms ook wachtwoord in te vullen.
Cookies worden automatisch in de browser gezet als je een website bezoekt.
Maar regelmatig blijft het niet bij één cookie. Cookies lijken heel onschuldig, maar dat is niet helemaal waar. Ze worden namelijk niet alleen gebruikt na het inloggen.
Veel websites sturen bij het eerste de beste bezoek al een cookie mee.
Je kunt controleren of er op een website cookies actief zijn. In de adresbalk van een browser typen we een stukje JavaScript. Namelijk:
javascript: alert(document.cookie)
Daarna drukken we de enter-toets in.
We nemen als voorbeeld de website: http://www.google.nl
Als een website gebruik maakt van cookies krijg je een popup-scherm te zien met informatie over de actieve cookie.
Cookies
Er bestaan verschillende soorten cookies.
We bespreken er enkelen:
Session cookies zijn cookies die informatie bevatten die gebruikt wordt binnen een browsersessie.
Deze gegevens worden tijdelijk opgeslagen zolang de sessie duurt. Webwinkels maken vaak gebruik van dit soort cookies.
Tracking cookies zijn cookies die worden gebruikt voor het verzamelen van informatie over websurfers.
Websites kunnen via tracking cookies bijhouden wat jij allemaal bekijkt op hun site. Daarmee kunnen ze:
inzicht krijgen in wat hun bezoekers doen op hun website. Hoeveel pagina’s bezoekt iemand gemiddeld?
een profiel opbouwen van jou als bezoeker. Als ze bijvoorbeeld zien dat jij veel pagina’s over sport bekijkt, kunnen ze er voor zorgen dat de onderdelen over sport hoger in de site komen te staan.
Iemand die meer geïnteresseerd is in muziek,
krijgt juist de onderdelen over muziek duidelijker in beeld.
Third party cookies zijn cookies die niet geplaatst worden door de website die bezocht wordt, maar door andere websites.
Je bezoekt de website www.nu.nl. Op deze website kunnen advertenties staan die gelinkt en afkomstig zijn van andere websites. De bezoeker klikt op de advertentie. Tijdens het downloaden van de reclame wordt er ook een cookie actief die gekoppeld is aan de webpagina van de adverteerder. De adverteerder van de externe website kan nu het surfgedrag van een bezoeker volgen en analyseren. Dat biedt inzicht in wat deze bezoeker interessant vindt. Op basis van die informatie kunnen er aan deze specifieke bezoeker in de toekomst advertenties op maat worden aangeboden.
Zo werkt het
Je bent begonnen in de module security. Deze module bestaat uit meerdere onderdelen. In ieder onderdeel vind je, verdeeld over verschillende pagina's, informatie in de vorm van teksten, afbeeldingen en video's.
Daarnaast ga je zelf aan de slag. Onder het kopje "Aan de slag" vind je steeds toepassingsopdrachten. Deze opdrachten maak je alleen of met een klasgenoot.
Er zijn ook oefeningen. Deze herken je aan de blauwe knop met daarop "Oefening". Een oefening bestaat uit meerdere vragen. Dat kunnen gesloten vragen zijn, die door de computer worden nagekeken, of open vragen, die moet je zelf nakijken. Bij een enkele vraag moet je een bestand uploaden.
In deze module wordt er gebruik gemaakt van de volgende bestanden: usb-webserver hack the game
Klik op de bestanden om ze te openen.
Succes met de module security.
Waar de gebruiker van het internet al vlug tegenaan loopt, zijn de bekende en soms beruchte cookies. Elke cookie bestaat uit een kleine hoeveelheid data en bevat een unieke code. Deze unieke code verklaart waarom ze cookies heten.
Dat komt namelijk van “fortune cookies”. Dat zijn koekjes met daarin een persoonlijke (unieke) boodschap. Deze koekjes krijg je soms als je in een (oosters) restaurant hebt gegeten.
Cookies worden opgeslagen in kleine tekstbestanden op je computer. Ze zorgen er bijvoorbeeld voor dat je na een eerste inlog de volgende keer weer herkend wordt.
Als je ingestemd hebt met het plaatsen van een cookie op je pc, stuurt de browser de cookie mee naar de website.
Na verwerking van deze module:
kun je aangeven wat het begrip security inhoudt;
kun je verschillende vormen van security onderscheiden;
kun je diverse typen cookies onderscheiden;
ken je de voor- en nadelen van cookies;
ken je het verschil tussen HTTP en HTTPS;
weet je welke vormen spam kan aannemen;
weet je welke juridische gevolgen het overtreden van copyrightregels heeft;
kun je aangeven wat plagiaat is en hoe je dat moet vermijden;
weet je hoe om te gaan met Creative Commons afspraken;
ken je het verschil tussen legaal en illegaal downloaden;
ken je het verschil tussen computervirussen en –wormen;
weet je welke rol de computerpoorten spelen in verband met hack-aanvallen;
weet je wat een botnet is;
weet je hoe een DDoS-aanval werkt;
weet je hoe je je eigen website tegen hackers kunt beschermen;
weet je hoe je op een veilige manier de toegang tot informatiesystemen kan regelen.
Aan de slag
Aan de slag 1
Beantwoord de volgende vragen:
In de inleiding heb je kunnen lezen dat we in deze module het onderwerp security vanuit de invalshoek van 3 typen gebruikers bekijken. Namelijk vanuit de invalshoek van de gewone gebruiker, de hacker en die van de ontwikkelaar. Leg uit dat de drie genoemde gebruikers (helaas) niet zonder elkaar kunnen.
Hoe komt de internetcookie aan deze naam?
Waarom is de mededeling in de tekst over cookies “Op het moment dat jij dus de website bezoekt, kan de website aan de hand van de cookie zien dat jij het bent.” niet helemaal juist? Hoe kun je dit beter formuleren?
Heeft een cookie te maken met privacy? Leg uit waarom wel of waarom niet.
Aan de slag 2
Aan de slag 2
Start een browser (bijvoorbeeld Firefox) en bekijk de cookies die zijn opgeslagen in de browser. Ga daarvoor naar het tabblad Extra, klik op Opties en vervolgens op “individuele cookies verwijderen” bij “Privacy” (zie afbeelding).
Hoeveel cookies staan er in?
Wat staat er in een cookie?
Kun je in de cookie zien bij welke website deze hoort?
Als het goed is heeft elke cookie een unieke rij van cijfers en/of letters.
Bekijk enkele cookies en controleer of dit klopt. Vergelijk eventueel met de cookies van iemand anders.
Aan de slag 3
Ga weer naar het overzicht van de cookies.
Hier vind je een knop waarmee je alle cookies kunt verwijderen.
Klik op deze knop en open de website: www.nu.nl.
Ga akkoord met het gebruik van cookies en bekijk welke cookies er opgeslagen zijn.
Hoeveel cookies zijn er toegevoegd?
Zoek van twee cookies de bijbehorende websites.
Kies twee websites die je nog niet kent.
Kun je in de cookie zien bij welke website deze hoort?
Wat zijn dit voor websites en welke bedrijven zitten daarachter?
Geef aan wat die bedrijven doen.
Waarschijnlijk is het je wel eens opgevallen dat sommige websites een adres
(URL) hebben dat begint met HTTPS in plaats van HTTP. Of soms is een deel van de website bereikbaar via HTTP en een ander deel via HTTPS. Kijk eens naar de URL van de ING bank. Het adres van de website begint met HTTPS en niet met HTTP. Waarom begint een adres nu de ene keer met HTTP en de andere keer met HTTPS?
Je moet inloggen op de website van jouw bank om geld over te schrijven. Dan wil je er wel zeker van zijn dat al je gegevens vertrouwelijk en veilig behandeld worden.
De bank maakt op haar website gebruik van het HTTPS-protocol. Het HTTPS-protocol is een uitbreiding op het HTTP-protocol. HTTP staat voor Hypertext Transfer Protocol.
Bij HTTPS staat de S voor secure. HTTPS wordt gebruikt voor een veilige uitwisseling van gegevens. Dat kan door de gegevens die worden verstuurd te versleutelen. Voor een buitenstaander is het dan niet mogelijk om te achterhalen welke gegevens er verstuurd worden. Bij communicatie via HTTPS kan alleen de ontvanger ontcijferen wat er in het bericht zit. De tussenliggende servers kunnen dat niet.
Ook wordt er bij het gebruik van HTPPS niets in de cache van een computer bewaard. Zelfs niet de afbeeldingen van een website. Alle pagina’s moeten telkens opnieuw geladen worden. Dat is veiliger en voorkomt misbruik.
HTTP(S)
Aan de slag 3
Hoofdstuk 2 Wetgeving en digitale beveiliging
Leerdoelen en termen
In dit hoofdstuk maak je kennis met de wetgeving die van toepassing is op de beveiliging van informatie. Aan de hand van een aantal casussen en de letterlijke tekst uit het wetboek maak je kennis met de Nederlandse wet.
Vereder maak je kennis met algemene wetgeving (hoe is een wetsartikel opgebouwd?). Aan de hand van opdrachten werk je met een aantal gevallen waarin de wet op de computercriminaliteit wordt overtreden. We stellen vervolgens vast
welke wet is overtreden. Ook bespreken we de wet Bescherming Persoonsgegevens (privacy) en eindigen met een aantal tips om je privacy op internet te bewaken.
Leerdoelen
Je maakt kennis met de Wet op de Computercriminaliteit II
Je maakt kennis met de toepassing van de Wet op de Computercriminaliteit II
Je maakt kennis met wetgeving op het gebied van privac
Termen
Aftappen
Het afluisteren van telecommunicatie
Bestanddelen
Deel van een strafbepaling waaraan een misdrijf moet voldoen
Briefgeheim
Zonder juridische toestemming mag niemand persoonlijke
documenten van anderen lezen
Computervredebreuk
Het onrechtmatig binnendringen in een systeem, te vergelijken
met een inbraak
Delict
Delict is een algemeen woord voor overtreding of een misdrijf,
een strafbaar feit
DDoSaanval
Bij een DDoSaanval (distributed denial of service) wordt een systeem zo overbelast, dat het systeem uitgeschakeld of zeer vertraagd wordt
FTP
File Transfer Protocol, een protocol voor de uitwisseling van
bestanden
HTTP
Hypertext Transfer Protocol, een protocol voor de communicatie
tussen een webdient en webserver
Persoonsgegevens
Een vastgelegd stukje informatie wat te herleiden is tot een
persoon, bijvoorbeeld naam, burgerservicenummer, lengte,
Portscan
Een portscan is het versturen van datapakketten om te achterhalen welke netwerkpoorten open zijn
Privacy
Het recht om in de beslotenheid van de eigen leefruimte te zijn, een individuele levenssfeer te hebben
SMTP
Simpte Mail Transfer Protocol, een protocol om email
te versturen
Strafbepaling
Een wetsartikel waarin een straf wordt beschreven
Wet Bescherming Persoonsgegevens
Hierin staat beschreven hoe om te gaan met persoonsgegevens
Wet op de Computercriminaliteit
Hierin worden de misdrijven beschreven die worden
gepleegd met een geautomatiseerd systeem oftewel misdrijven
waarbij computers of netwerken essentieel zijn
Wetboek van Strafrecht
Hierin staan misdrijven beschreven met hun strafbepaling
Wetsartikel
Een specifiek en uitgewerkt deel van de wet
Inleiding
Inleiding
De securityspecialist wordt tijdens de uitvoering van zijn werkzaamheden dagelijks geconfronteerd met vraagstukken die wetgeving betreffen. Jij hebt naast je kennis van security gedegen kennis van systeembeheer en netwerkbeheer. De onderstaande
vragen zullen je dan ook niet vreemd in de oren klinken.
Mag ik even snel gebruiken maken van die computer? Ik werk hier niet en ...
Ik moet toch echt even iets naar mijn USBstick kopiëren, help je me even?
De printer is stuk, mag ik even die van personeelszaken gebruiken?
Ik heb zelf een tool geïnstalleerd waarmee ik wachtwoorden beter kan onthouden,goed hè?
Je merkt waarschijnlijk wel dat je wenkbrauwen omhoog gaan en je gezonde dosis securitywantrouwen je vertelt dat voorzichtigheid geboden is bij dergelijke vragen
Wetten
Sinds een tiental jaren zijn geautomatiseerde systemen goed verankerd in de wet. Voor die tijd werd een hackpoging gelijkgesteld met inbraak. Als je bestanden illegaal
kopieerde werd dit gelijkgesteld met diefstal. Dit werd al snel een juridisch probleem: bij een hackpoging dring je niet fysiek een locatie binnen; kopiëren staat niet gelijk aan diefstal, je haalt tenslotte de bestanden niet weg, je verdubbelt ze.
Hieronder vind je de belangrijkste artikelen uit het strafrecht die betrekking hebben op cybercrime. Sinds 2007 is er de Wet op de Computercriminaliteit Il.
Sinds 2013 wordt er gewerkt aan een verdere versterking van die wet, wat de Wet op de Computercriminaliteit III wordt.
Opbouw van een wetsartikel
Een wetsartikel waarin een straf wordt beschreven heet een strafbepaling. Zo'n strafbepaling wordt beschreven in het Wetboek van Strafrecht. De meeste strafbepalingen hebben in het wetboek dezelfde opbouw. Eerst staat er een delictsbeschrijving,
dan volgt een juridische naam en tenslotte de maximumstraf. De delictsomschrijving bestaat meestal uit een aantal onderdelen die bestanddelen worden genoemd. Iemand is alleen strafbaar als het gedrag aan alle bestanddelen voldoet.
Voordat we verder in de wet duiken, krijg je eerst wat hulpmiddelen om de wetten en hun gevolgen goed te lezen. In een wetsartikel in het strafrecht staat altijd het delict en een beschrijving van het delict (het misdrijf) en de gevolgen (de straf).
Neem wetsartikel 321;
Artikel 321: Hij die opzettelijk enig goed dat geheel of ten dele aan een ander toebehoort en dat hij anders dan door misdrijf onder zich heeft, wederrechtelijk zich toeeigent, wordt, als schuldig aan verduistering, gestraft met gevangenisstraf van ten hoogste drie jaren of geldboete van de vijfde categorie.
Delictbeschrijving is: Hij die opzettelijk enig goed dat geheel of ten dele aan een ander toebehoort en dat hij anders dan door misdrijf onder zich heeft, wederrechtelijk zich toe eigent
Bestanddelen: opzettelijk en wederrechtelijk toe-eigenen
Juridische naam: verduistering
Maximale straf: gevangenisstraf van ten hoogste drie jaren of geldboete van de vijfde categorie.
Strafbare feiten zijn ingedeeld in 6 categorieën. De categorie bepaalt de maximale hoogte van de boete:
1e categorie € 405,--
2e categorie € 4.050,--
3e categorie € 8.100,--
4e categorie € 20.250,--
5e categorie € 81.000,-
6e categorie € 810.000,--
Dat kan dus flink oplopen!
Wetsartikelen: opbouw
In deze opdracht ontleden we twee artikelen. Het doel is je inzicht te verschaffen in de lastige juridische taal. We bekijken artikel 138a uit het Wetboek van Strafrecht:
Artikel 138a
1 Met gevangenisstraf van ten hoogste twee jaren of geldboete van de vierde categorie wordt, als schuldig aan computervredebreuk, gestraft hij die opzettelijk en wederrechtelijk binnendringt in een geautomatiseerd werk of in een deel daarvan.
Van binnendringen is in ieder geval sprake indien de toegang tot het werk wordt verworven:
a door het doorbreken van een beveiliging,
b door een technische ingreep,
c met behulp van valse signalen of een valse sleutel, of
d door het aannemen van een valse hoedanigheid.
Analyse
Delictbeschrijving: opzettelijk en wederrechtelijk binnendringen in een geautomatiseerd werk of in een deel daarvan Bestanddelen: opzettelijk, wederrechtelijk binnendringen Juridische naam: computervredebreuk Maximale straf twee jaar of maximaal € 20.250,- boete
2 Met gevangenisstraf van ten hoogste vier jaren of geldboete van de vierde categoriewordt gestraft computervredebreuk, indien de dader vervolgens gegevens die zijn opgeslagen, worden verwerkt of overgedragen door middel van het geautomatiseerd
werk waarin hij zich wederrechtelijk bevindt, voor zichzelf of een ander overneemt, aftapt of opneemt.
3 Met gevangenisstraf van ten hoogste vier jaren of geldboete van de vierde categorie wordt gestraft computervredebreuk gepleegd door tussenkomst van een openbaar telecommunicatienetwerk, indien de dader vervolgens
a met het oogmerk zichzelf of een ander wederrechtelijk te bevoordelen gebruik maakt van verwerkingscapaciteit van een geautomatiseerd werk;
b door tussenkomst van het geautomatiseerd werk waarin hij is binnengedrongen de toegang verwerft tot het geautomatiseerd werk van een derde.
Je hebt gezien hoe logisch de strafbepalingen zijn opgebouwd. In de volgende opdrachtengaan we dieper in op een aantal zaken die opzettelijk en wederrechtelijk worden uitgevoerd in een geautomatiseerd systeem.
We beginnen telkens met de strafbepaling, dan volgt een casus op basis van die wetgeving. Vervolgens vul je zelf de juridische informatie in.
Opdracht
Opdracht Casus port-scan
Een portscan is een techniek waarbij datapakketten over het netwerk naar een computersysteem worden verstuurd om te achterhalen welke netwerkpoorten open zijn. Ook komt hierbij vaak informatie vrij over de bijbehorende applicatie.Een portscan wordt vaak gebruikt als verkenning voor een latere hackpoging.Het is, gezien de hoeveelheid data die een netwerkkaart ontvangt, niet of nauwelijks te achterhalen of het een illegale scan betreft. Hieronder een schematisch overzicht van een portscan
Aanvaller stuurt een aangepast TCP, UDP- of ICMP-netwerkdatapakketje naar één of meerdere servers (IP adressen)
Servers met actieve services op betreffende TCP,UDP of ICMPpoort reageren (eventueel) met een antwoorddatapakketje
Aanvaller luistert naar geretourneerde datapakketjes en interpreteert deze als een gesloten of mogelijk open netwerkpoort
Aanvaller herhaalt proces met een volgend (aangepast) TCP,UDP of ICMP pakketmet een ander poortnummer
Scenario
Een scholier voert 's avonds een portscan uit op de server van zijn school. Hij wil weten hoe veilig het schoolnetwerk is. Hij scant de poorten van de webserver van de school in de hoop een 'lek' te vinden. Dit lek wil hij vervolgens melden aan de systeembeheerder van de school. Hij heeft geen toestemming van de systeembeheerder of iemand anders binnen de school gekregen. Analyseer deze situatie.
We gaan uit van artikel 138a 'Computervredebreuk' (zie boven)
Artikel 138A
1 Met gevangenisstraf van ten hoogste twee jaren of geldboete van de vierde categorie wordt, als schuldig aan computervredebreuk, gestraft hij die opzettelijk en wederrechtelijk binnendringt in een geautomatiseerd werk of in een deel daarvan. Van binnendringen is in ieder geval sprake indien de toegang tot het werk wordt verworven:
a door het doorbreken van een beveiliging,
b door een technische ingreep,
c met behulp van valse signalen of een valse sleutel, of
d door het aannemen van een valse hoedanigheid.
Nee, de poorten geven antwoord zoals ze altijd zouden doen
Wordt er een storing in de werking van het doelsysteem veroorzaakt?
Nee de server kan gewoon blijven werken.
worden gegevens veranderd, onbruikbaar gemaakt, vernield of toegevoegd?
Nee, er wordt niet binnengedrongen
Worden gegevens afgetapt of afgeluisterd?
Nee er wordt niets aan data binnen gehaald
Is een port-scan strafbaar?
Ja, zie hieronder
Is er sprake van de voorbereiding op illegale activiteiten?
Misschien
Alhoewel de prot-scan niet strafbaar is volgens artikel 138A (er wordt niet voldaan aan all bestanddelen), kan en port-scan wel als voorbereiding op een verdere hack gezien worden. Vergelijk het met de actie om met een ladder lans een huis omhoog te klimmen om te kijken of een raam openstaat. Je bent (nog) niet binnengedrongen maar hebt wel snode plannen. Je zult begrijpen dat dit strafbaar is. In ons geval was de scholier niet van plan om in te breken in het computersysteem. Mar een goede of een kwade intentie is heel moeilijk te bewijzen.
Opdracht 2.3 Casus DDoS-aanval
Bij een DDoS aanval wordt een systeem zo overbelast, dat het systeem uitgeschakeld of zeer vertraagd wordt. Bijvoorbeeld door continue foute wachtwoordente sturen kan een gebruikersaccoun worden geblokkeerd.
Hoewel een DDoS-aanval vanaf één computer kan worden begonnen, worden de meeste aanvallen tegenwoordig gecoördineerd uitgevoerd vanaf meerdere systemen tegelijkertijd. Dit zijn dan Distributed Denial of Service-aanvallen (DDoS). De computers betrokken bij de DDoS-aanval horen bij een botnet. De Botnet-beheerder geeft aan zijn besmette systemen (bots) de opdracht om een bepaald doelwit aan te vallen. Hieronder een weergave.
Een (D)DoS-aanval wordt vaak herkend doordat een systeem traag wordt of niet meer werkt. Het sturen van zeer veel datapakketten naar een systeem kan leiden tot een denial of service. Of het opzetten van zeer grote hoeveelheden TCP-verbindingen.
Ook kan een hacker een FTP=server met openbare toegang misbruiken om illegale bestanden te plaatsen. Dit kan zoveel netwerkverkeer veroorzaken dat gewone gebruikers geen toegang meer hebben.
Scenario
Jij bent heel erg tegen de jacht op wilde dieren en je bent aangesloten bij het hackerscollectief 'byte me, hunters'. Jullie hebben een grootschalige DDoS-aanval opgezet op een internetshop. De shop verkoopt jachtartikelen die normaal niet in Nederland te koop zijn en zelfs voor een deel in Nederland illegaal zijn. Het doel is het onbereikbaar maken van de site voor bezoekers. Dit lukt heel goed, de site gaat helemaal plat. Jullie besluiten net zolang door te gaan als nodig is om de shop te sluiten.
Het betreft hier computervredebreuk, want in principe probeert je systeem de data op de server te beïnvloeden door gebruik te maken van valse signalen.
Bij wat zwaardere aanvallen kan de officier van justitie besluiten om artikel 161 sexies in te zetten (sexies is een juridische term. In een contract zouden we zeggen artikel 161, lid 6). We kijken hierbij alleen naar punt 1 van deze strafbepaling:
161sexies
Hij die opzettelijk enig geautomatiseerd werk of enig werk voor telecommunicatie vernielt, beschadigt of onbruikbaar maakt, stoornis in de gang of in de werking van zodanig werk veroorzaakt, of een ten opzichte van zodanig werk genomen veiligheidsmaatregel verijdelt, wordt gestraft:
1. met gevangenisstraf van ten hoogste een jaar of geldboete van de vijfde categorie, indien daardoor wederrechtelijk verhindering of bemoeilijking van de opslag, verwerking of overdracht van gegevens ten algemene nutte of stoornis in een openbaar telecommunicatienetwerk of in de uitvoering van een openbare telecommunicatiedienst, ontstaat;
Strafbaarstelling en strafbaarheid
• Wordt er binnengedrongen in het doelsysteem?
• Wordt er een storing in het doelsysteem veroorzaakt?
• Worden gegevens veranderd, onbruikbaar gemaakt, vernield of toegevoegd?
• Worden gegevens afgetapt of afgeluisterd?
• Is een DDoSattack strafbaar?
• Is er sprake van voorbereiding op illegale activiteiten?
Als de DDoS levensgevaar voor anderen met zich meebrengt, gaat het heel hard met de strafmaat: 9 jaar en € 81.000,- boete. Bij de dood van iemand door een DDoSaanval op bijvoorbeeld verkeersregelaars of ziekenhuizen staat er zelfs 15 jaar en € 81.000,- boete.
Opdracht 2.4 Casus sniffen {aftappen)
Sniffing is het aftappen van netwerkverkeer door datapakketten te onderscheppen en te lezen. Normaal wordt dit ingezet om inzicht te krijgen in de werking van het netwerk, bijvoorbeeld om problemen op te lossen, de snelheid te bekijken, verbindingen te testen enzovoort. Sniffing is ook erg handig om wachtwoorden en gebruikersnamen uit te lezen bij niet versleuteld netwerkverkeer. Vooral onbeveiligde netwerkprotocollen als HTTP (Hypertext Transfer Protocol), POP3 (email ophalen) en SMTP (email versturen) zijn interessant om af te luisteren. Deze protocollen kunnen persoonlijke informatie versturen in onversleutelde vorm. Hieronder een schematische weergave van een tap.
Met de komst van de draadloze netwerken als WiFi en Bluetooth is sniffen risicovoller voor de gebruiker geworden: er is geen kabelverbinding met het netwerk meer nodig. Sniffen is zeer lastig te herkennen en te vinden op een netwerk, omdat alleen wordt geluisterd en geen actieve verbinding tot stand wordt gebracht.
Scenario
Als securityadministrator word je verteld dat een collega het netwerk snift op zoek naar emailinloggegevens. Zodra hij een wachtwoord met gebruikersnaam heeft gevonden, logt hij in onder die naam en leest hij de mail. Hij doet dit meestal 's morgens vroeg, als er nog weinig of geen mensen in het bedrijf aanwezig zijn. Zijn activiteiten zijn echter op camera vastgelegd.
Op aftappen is strafbepaling 139c van toepassing.
Artikel 139c 1 Met gevangenisstraf van ten hoogste een jaar of geldboete van de vierde categorie wordt gestraft hij die opzettelijk en wederrechtelijk met een technisch hulpmiddel gegevens aftapt of opneemt die niet voor hem bestemd zijn en die worden verwerkt of overgedragen door middel van telecommunicatie of door middel van een geautomatiseerd werk.
Strafbaarstelling en strafbaarheid
• Wordt er binnengedrongen in het doelsysteem?
• Wordt er een storing in het doelsysteem veroorzaakt?
• Worden gegevens veranderd, onbruikbaar gemaakt, vernield of toegevoegd?
• Worden gegevens afgetapt of afgeluisterd?
• Is sniffing strafbaar?
• Is er sprake van voorbereiding op illegale activiteiten?
Bij aftappen is de wet helder: als je iemand zijn wachtwoord steelt, dan ben je schuldig aan afluisteren (sniffen, aftappen). Als je er vervolgens ook nog misbruik van maakt door iemand zijn mail te lezen, is dat een ernstige privacyschending. Wat je vervolgens met die informatie doet is tevens strafbaar. Je kunt maar beter niet zonder reden of toestemming iemands privésfeer binnendringen. Er is zelfs een Grondwetsartikel (artikel 10) gewijd aan privacy. Dit verankert privacy diep in onze samenleving en wetgeving. Hetzelfde geldt voor het briefgeheim dat vastligt in artikel 13 van de Grondwet.
Practicum 2.1 De Grondwet
In dit practicum gaan we diep in op de relatie tussen de Grondwet en de normale wetgeving.
Practicum 2.2 WhatsApp
In dit practicum onderzoek je wat de gevolgen zijn van het gebruik van WhatsApp voor een bedrijf en de jonge klanten.
Privacy
Privacy en persoonsgegevens
Een groot goed in de samenleving is het recht op een privéleven, ook online. Een securityspecialist komt zeer regelmatig situaties tegen waar de wet op de privacy van toepassing is. Je kunt hierbij denken aan papier met persoonlijke informatie dat blijft liggen op de printer. Of iemand loopt weg bij zijn computer en je kunt zo de openstaande mail op zijn computer lezen. Maar ook zeer ingrijpende zaken als patiëntgegevens die op straat komen te liggen. Een voorbeeld hiervan is informatie die een medewerker van het Antoni van Leeuwenhoek (Nederlands Kanker Instituut) op een externe harde schijf had staan: 781 patiëntengegevens! In die gegevens staat de behandeling, voortgang en misschien wel prognose (hoe lang nog te leven?).
Dat de gegevens nooit op een harde schijf hadden mogen komen, blijkt uit het securitybeleid. In het krantartikel staat een zin uit het beveiligingsbeleid:
Het is medewerkers van het Antoni van Leeuwenhoek expliciet verboden om vertrouwelijke gegevens zoals patiënteninformatie op onbeveiligde computers, laptops, harde schijven of usb-sticks te zetten.
Privacy is diep in de Nederlandse samenleving verankerd. Er bestaat in Nederland niet één 'wet op de privacy' die alles regelt. Verschillende wetten bevatten allemaal een stukje van de privacywetgeving. De belangrijkste is de Wet Bescherming Persoonsgegevens (WBP). In deze wet wordt precies beschreven hoe met persoonsgegevens moet worden omgegaan. Strafbepalingen over communicatie aftappen of opnemen staan in de Wet Computercriminaliteit. Het briefgeheim is net zoals privacy vastgelegd in de Grondwet.
Een emailadres of MSN-account is ook een persoonsgegeven. Dus heeft deze wet ook gevolgen voor internetaanbieders en gebruikers. Het publiceren van persoonsgegevens van anderen op internet valt heel vaak onder de strenge regels van de WBP.
Ook beveiligingsmaatregelen moet je kunnen aantonen. Als je persoonsgegevens bewaart gelden ook daar eisen voor. De ernailadressen van sportclubleden hoeven minder streng beveiligd te worden dan bijvoorbeeld informatie over iemands strafblad in een politiedatabank. Je staat er waarschijnlijk niet bij stil, maar je IPadres is ook een persoonsgegeven, het kan direct naar jou leiden: een website mag IP-adressen wel bijhouden maar niet openbaar maken.
Briefgeheim en privacy
De Grondwet garandeert dat 'telefoongesprekken, papieren post en telegraafberichten' geheim zijn. Het briefgeheim is niet van toepassing op vormen van elektronische communicatie, zoals email, chatten enzovoort. Hieronder zie je een aantal stellingen die te maken hebben met de wetgeving rond privacy. Lees de tekst zorgvuldig door en besluit welk antwoord jij juist vindt.
Opdracht Privacy: de stellingen
Zijn de volgende stellingen goed of fout? Kies het juiste antwoord en weet dat er voor iedere situatie uitzonderingen kunnen zijn waarbij het antwoord complexer ligt dan hieronder beschreven.
Als jij de beheerder (eigenaar) van een forum bent, kun je alle berichten naar eigen goeddunken verwijderen of laten staan. Het is tenslotte jouw toko, dat maak jij wel uit.
Waar. Als eigenaar van een forum ben jij verantwoordelijk voor de inhoud. jij krijgt problemen als er iets mis gaat, dus kun je dat zelf doen.
Niet waar. Alleen berichten die anderen kunnen schaden mag je verwijderen
Als eigenaar van een bedrijf verbied je om privémail te lezen tijdens het werk. Het draagt niet bij tot de doelstelling van het bedrijf, dus het mag niet.
Waar. Op het werk kun je privégebruik van bedrijfsmiddelen verbieden. Het draagt niet bij tot de bedrijfsdoelstelling (winst) en daar betaal je voor.
Niet waar. Je hebt 'recht op privacy' op je werkplek en je mag je privézaken afhandelen.Het mag natuurlijk niet hinderlijk zijn voor anderen.
Een technisch specialist die bij een internetprovider werkt mag absoluut niet in je mailbox kijken of je mail goed beveiligd is. Ook al is de reden dat hij jou dan informeert over mogelijke beveiligingszaken.
Waar. Om de functionaliteit van de systemen te verbeteren mag een specialist jouw instellingen niet nalopen.
Niet waar. Providers mogen alleen privéinformatie inzien met toestemming van justitie.
Als securityspecialist heb je het recht om in het kader van het bedrijfsbelang werknemers te monitoren en hun internetgebruik te loggen. Je moet het veilig zien te houden en dat is hoe je dat doet.
Waar. De directie en de securityspecialist mogen besluiten om camera's te plaatsen en werknemers te monitoren. Beveiliging gaat boven de privacy van de werknemer.
Niet waar. Je mag niet zonder meer gaan loggen en monitoren, de privacy van de werknemer gaat boven beveiliging.
We eindigen dit hoofdstuk met een aantal tips om je privacy te beschermen. Deze lijst is afkomstig uit 'De wet op Internet' en met toestemming van de auteur overgenomen. De tips zijn algemeen van aard maar komen wel van een van de bekendste internetjuristen, Arnoud Engelfriet. Neem deze tips ter harte en houd altijd voorzichtigheid in het oog als je online bent.
Hoe bewaak je je privacy op internet?
Besef goed wat je doet als je iets over jezelf publiceert op een forum of blog. Alles wat je schrijft, staat voor eeuwig op internet. In theorie kun je met de privacywet daar wat aan doen, maar de praktijk is anders.
Wees terughoudend met het invullen van naam en adresgegevens op websites. In veel gevallen heeft een site je adres en telefoonnummer nergens voor nodig.
Lees de privacyverklaring van een site voordat je je registreert. Als dan nog onduidelijk is wat een site gaat doen met je gegevens, vraag het ze dan eerst.
Gebruik een tijdelijk emailadres om je te registreren bij websites, en gebruik je 'echte' ernailadres alleen voor privécorrespondentie.
Let op wat voor cookies een site allemaal meestuurt. In de meeste browsers is het accepteren van cookies uit te zetten, of kan per cookie toestemming worden gegeven of geweigerd.
Ga ervan uit dat alles wat je op je Facebookprofiel, Linkedlnpagina, blog of homepage zet, voor de hele wereld toegankelijk is ook als je de site afschermt voor een beperkt groepje vrienden. Je weet immers nooit wat een van je vrienden met die informatie zal doen.
Als je iets publiceert over anderen, bijvoorbeeld een groepsfoto of een blogbericht, vraag je dan altijd af of die anderen het wel zo leuk vinden om met naam en gezicht op internet te komen.
Tenslotte
In de komende hoofdstukken voer je een aantal opdrachten uit die (in het echte leven) of verboden zijn bij wet of op het randje balanceren van toelaatbaarheid. Je voert dit altijd uit in een gecontroleerde (meestal virtuele) omgeving. Voordat we dergelijke opdrachten uitvoeren staan we stil bij welke wetten van toepassing zijn op ons handelen. Informatie beveiligen is in heel veel gevallen de wet volgen.
Hoofdstuk 3 Dreigingen en kwetsbaarheden
Inleiding
In het eerste deel van dit hoofdstuk leer je wat (anno 2016) de belangrijkste dreigen zijn als het gaat om digitale communicatie en informatie. Gezien de complexiteit van dit onderwerp ieder netwerk is anders en heeft eigen specifieke bedreigingen beperken we ons tot de meest voorkomende dreigingen. In het tweede deel gaan we dieper in op kwetsbaarheden in de informatiesystemen. Het aantal apps neemt toe, het aantal apparaten neemt toe en werknerners hebben steeds meer eigen wensen waaraan een bedrijf tegemoet wilt komen met alle risico's van dien.
Leerdoelen
Je maakt kennis met de belangrijkste dreigingen van digitale informatie.
Je maakt kennis met de belangrijkste kwetsbaarheden van digitale informatie. Je hebt geoefend met het schrijven van een rapport.
Op www.dezaak.nl staat dat ruim 60% van ondernemend Nederland te maken heeft gehad met cybercrime, de schade door cybercrime voor de gehele maatschappij jaarlijks € 10 miljard bedraagt, waarvan € 7,5 miljard voor rekening komt van 1.4 miljoen bedrijven.
Het aantal cyberaanvallen was in 2013 zes keer hoger dan in 2006.
De termen
ASLR
Address Space Layout Randomization is een beschermings maatregel die het hackers moeilijk maakt om de juiste geheugenadressen te vinden.
Buffer overflow
Een techniek waarmee hackers hun kwaadaardige code trachten uit te voeren
CPU
De central processing unit vormt een ondersteuning voor de processor op het moederbord. Moderne processoren hebben de gehele ondersteuning in een en dezelfde chip ingebouwd.
DEP
Data Executie Preventie is een beschermingsmaatregel waarmee computers de uitvoering van kwaadaardige code kunnen voorkomen.
Dreiging
Een mogelijke actie die misbruik kan maken van een zwakheid in het netwerk.
Externe Dreiging
Een dreiging die buiten het netwerk plaatsvindt.
lnterne dreiging
Een dreiging die binnen het eigen netwerk plaatsvindt.
Kwetsbaarheid................
Een zwakte in de hard of software die door een hacker kan worden uitgebuit.
Mitigeren
Het verminderen of verwijderen van de gevolgen van een kwaadaardige aanval.
Patchen
Een softwarematige oplossing voor een specifieke kwets
baarheid in een applicatie of besturingssysteem.
Processor
Centrale chip die de instructies (code) van het besturings
systeem uitvoert.
RAM
Random Access Memory ook wel intern geheugen of werk geheugen genoemd: hierin staan tijdelijk de instructies die de processor dient uit te voeren.
Updaten
Een applicatie of besturingssysteem aan de laatste versie
aanpassen
Zero day attack
Een aanval die wordt uitgevoerd op de dag dat de aanval ontwikkeld is. Geen enkele scanner kent de code van de kwaadaardige software waardoor de aanval niet wordt herkend.
De afgelopen jaren is het aantal dreigingen flink toegenomen. Steeds meer mensen gaan online, in Nederland heeft 95% van de huishoudens een internetverbinding. Online shoppen doet zo'n 80% van de Nederlanders en dat geldt ook voor hun bankzaken, volgens het CBS. Voor criminelen is dit een zeer interessante wereld geworden, zo interessant dat anno 2015 bijna net zoveel geld omgaat in cybercriminaliteit als in de wereldwijde drugshandel. De schatting is dat er wereldwijd 388 miljard dollar in cybercrime omgaat, tegen 411 miljard in de wereldwijdeminaliteit als in de wereldwijde drugshandel. De schatting is dat er wereldwijd 388 miljard dollar in cybercrime omgaat, tegen 411 miljard in de wereldwijde drugshandel. Deze cijfers komen van Symantec, een groot bedrijf op het gebied van internetbeveiliging. Niet alleen komen er steeds meer mensen online, men heeft ook meer apparaten met meer applicaties met alle dreigingen van <lien. Er staan veel meer gevoelige data online (clouding) wat ertoe leidt dat ook de diefstal en spionage is toegenomen. Door diefstal van persoonlijke gegevens neemt iden titeitsfraude enorm toe. Door manipulatie van bedrijfsgegevens komen veel meer bedrijven in problernen. Voor een bedrijf tot 20 werknemers kost een geslaagde cyberaanval rond de € 75.000 per aanval. Het duurt gemiddeld anderhalve maand voordat een hack volledig is verholpen.
Een dreiging is voor een bedrijf nog geen risico. Je kunt op het nieuws lezen dat een zeer gevaarlijk virus rondwaart op het internet waardoor bijvoorbeeld alle Windowscomputers besmet kunnen raken. Een dergelijk virus vormt geen risico voor bijvoorbeeld een bedrijf met uitsluitend Applecomputers.
Vanuit het perspectief van een bedriif spreken we van interne en externe dreigingen. Interne dreigingen komen van binnen het eigen netwerk. Externe dreigingen komen van buiten het eigen netwerk. We beginnen met een aantal cijfers en termen. Doe! is je te doordringen van de omvang van cybercriminaliteit zoals die heden ten dage plaatsvindt. Het aantal aangetroffen varianten van kwaadaardige software en de bijbehorende financiele schade zijn onwaarschijnlijk hoog.
Opdracht
Externe dreigingen
Hieronder vind je de meest voorkomende externe dreigingen in 2015. De gegevens zijn afkomstig uit een rapport van Kaspersky Labs (www.kaspersky.com/nl).
fig
Meer dan de helft van alle externe aanvallen betreft virussen, spyware en malware. De andere belangrijke bron van externe dreiging wordt gevormd door phishingsites. Voordat we dieper ingaan op de wijze waarop een hacker het netwerk probeert binnen te dringen, maak je kennis met de verschillende termen die bij externe dreigingen worden gehanteerd.
Opdracht 3.1 Externe dreiging - terminologie
In de onderstaande tabel zie je vier kolommen. De beschrijving (letter) staat niet achter de goede term. De goede beschrijving van phishing staat achter c, dus vul je in de Iege kolom c in. Zie het voorbeeld waarin in de vierde kolom de letter c is geplaatst. Als je de termen niet kent, zoek deze dan op via je favoriete online zoek
Externe dreigingen
Interne dreigingen
Kwetsbaarheden
Hoofdstuk 4 Risico analyse
Kwantitatieve risico-analyse
Kwalitatieve risico-analyse
samenvatting
Hoofdstuk 5 Controls
Verschillende soorten beveilingsmaatregelen
Fysieke maatregelen
Technische maatregelen
Organisatorische maatregelen
Hoofdstuk 6 Systeembeveiliging
Het doel van dit hoofdstuk is om inzicht te verkrijgen in hoe een systeem data verwerkt en hoe deze data beveiligd kan worden door vooral het operating system.
De architectuur van de computer
The CPU
CPU Overclocken
CPU Instructies
Processen
Een proces is een applicatie die geladen is in het geheugen. Ieder proces krijgt van het OS een aantal bronnen waaruit het kan putten. Deze bronnen zijn geheugenadressen, de mogelijkheid om processortijd aan te vragen en instructies te laten uitvoeren. Dit geheel aan programmacode en bronnen noemen we een proces. Het OS zelf heeft de nodige processen in het geheugen geladen om applicaties te kunnen ondersteunen. Er kunnen meerdere programmas tegelijkertijd in het geheugenstaan, dit noemen we multi-tasking. Het operating system kan dan meerdere taken van applicaties tegelijkertijd ondersteunen.
Beveiliging
Hoofdstuk 7 Telecommunicatie
Het OSI-model
Het OSI model
Termen
Ethernet-specificatie =Een set met voorwaarden waaraan hardware moet voldoen om in netwerken te kunnen funcitioneren
Frame= Het totaal aantal bits dat per keer wordt verstuurd tijdens de communicatie tussen computers
MAC-adres=Het hardware adres van een netwerkkaart
OSI-model= Open System Interconnection is een model om de communicatie tussen computers te bescrhijven.
Protocol= Set met afspraken samengebracht in een applicatie die dezelfde taken uitvoert ten behoeve van de communicatie tussen computers.
Socket = Een algemene term die verwijst naar de unieke combinatie (op een computer systeem) van een IPadres en de daaraan gekoppelde poort.
Inleiding
Wat gebeurt er met je data zodra je die verstuurt? Het betreft datya die het systeem verlaten via een netwerkverbinding. Het gaat dus niet om de opslag op een harde schijf of bijvoorbeeld een USB of het brsanden op een CD.
Via de netwerkkaart (draadloos of met kabel) verstuur je data naar anderwe systemen. Wat gebeurt er met die data?
Computers hebben een geheel eigen systeem om informatie naar een andere computer te verzenden en ontvangen. Hoe dit verloopt, beschrijf je aan de hand van het OSI-model.
Het OSI-model
Het OsI-model is een manier waarop beschreven wordt heoe computers met elkaar gegevens kunnen uitwisselen. Het bijzondere is dat comupters niet dezelfde programma's of operatingsystems hoeven te gebruiken, maar uitwisseling toch mogelijk is. Hoe vaak heb je al niet een app-berichtje gestuurd naar iemand met een totaal andere merk smartphone, bijvoorbeeld van jouw Android naar een Apple of andersom. De reden dat data-uitwisseling tussen computers ondanks alle verschillen toch kan plaatsvinden, heeft onder andere te maken met het OSI-model. In dit model zijn afspraken gemaakt hoe computers data naar elkaar verzenden.
De basis is de zogenaamde Ethernet-specificatie. Dit is een wereldwijde afspraak tussem fabriekanten van computeronderdelen. Je hoeft je op het internet eigenlijk nooit af te vragen of je verbinding kunt leggen met een website, het werkt altijd. Ook al kun je de taal niet lezen, omdat het een koreiaanse of een italiaanse site is, de verbinding werkt wel. Als je data verstuurt, worden deze gegevens via allerlei kabels en tussenliggende apparaten naar de ontvanger gestuurd. de manier waarop die data zijn opgebouwd (het frame) maakt het mogelijk dat al deze apparaten inculusief de computers data kunnen begrijlpen
Het OSI-model explained
Het OSI-model uitgewerkt
Security en het OSI-model
Hoofdstuk 8 Cryptografie
Inleiding
Door kennis te maken met het OSI-model heb je inzicht gekregen in de wijze waarop computers over grote afstanden met elkaar kunnen communiceren. Dataframes worden met een enorme snelheid over de aarde verstuurd naar in principe iedereen die op het internet is aangeslogten.
Hoe worden deze data beveiligd?
Een grond beginsel van het internet is dat het volledig onveilig is. Je kunt als verzender nooit wetern wat er met je data gebeurt. de belangrijkste maatregel om data vertrouwelijk te versturen is door gebruik te maken van cryptolografie.
Cryptografie is het versleutelen van gegevens door gebruik te maken van een gedeeld geheim tussen zender en de ontvanger, dit is de Sleutel
Algemene Termen
Absolute geheimhouden
De 100% zekerheid dat gegevens op geen enkele wijze per ongeluk of met opzet gelezen kunnen worden door derden.
AES
De belangrijkstge symmetrische cipher.
Algoritme
De wiskundige berekenin van een cipher
Asymmetrische cryptografie
Verseluteling waarbij zender en ontv anger een andere sleutel gebruiken
CA
Certificate authority, een organisatie waar een certificaat kan worden aangevraagd.
Ceasar-verschuiving
Een crytografische cipher uit de oudheid waarbij letters worden vervangen door andere letters door middel vaqn een verschuiving in het alfabet.
Cipher
De wijze waarop gegevens worden versleuteld
Cryptoanalyse
De wijze waarop gegevens worden ontsleuteld.
Cryptografie
De wijze waarop informatie wordt versleuteld.
Diffie-Helman sleuteluitwisseling
Eeen Wiskundeig algortime om symmetrissche sleutels te kunnen uitwisselen
Het principe van de cryptologie
Vanaf de oudheid (de Romeinen en de Grieken) tot aan het huidige tijdperk (jouw computer) was er de noodzaak om gegevens geheim te houden. Alhoewel de methodes zeer verschillend (lees ingewikkelder) zijn geworden, blijft het principe van de cryptografie ongewijzigd. We beginnen met de toelichting op de meest gebruikte termen.
Cryptologie is de wetenschap over hoe informatie versleuteld en ontsleuteld kan worden.
Cryptografie is de wijze waarop informatie wordt versleuteld.
Crypto-analyse is de wijze waarop gegevens warden ontsleuteld.
Encryptie is het proces van versleutelen, het logisch onleesbaar maken van gegevens.
Decryptie is het proces van ontsleutelen, het logisch leesbaar maken van gegevens.
De sleutel is een unieke reeks tekens (letters, getallen, bijzondere tekens) die alleen bekend is bij de zender en ontvanger.
Het arrangement Security in netwerken is gemaakt met
Wikiwijs van
Kennisnet. Wikiwijs is hét onderwijsplatform waar je leermiddelen zoekt,
maakt en deelt.
Dit lesmateriaal is gepubliceerd onder de Creative Commons Naamsvermelding 3.0 Nederlands licentie. Dit houdt in dat je onder de voorwaarde van naamsvermelding vrij bent om:
het werk te delen - te kopiëren, te verspreiden en door te geven via elk medium of bestandsformaat
het werk te bewerken - te remixen, te veranderen en afgeleide werken te maken
voor alle doeleinden, inclusief commerciële doeleinden.
Third party cookies zijn cookies die niet geplaatst worden door de website die bezocht wordt, maar door andere websites.
Na verwerking van deze module:
