Varnost v omrežju

CMI upravlja z več mehanizmi varovanja računalniškega omrežja IJS:

Požarni zid

...nadzoruje IP pakete pri vstopu in izstopu iz omrežja IJS v javno omrežje. Pravila sproti prilagajamo znanim nevarnostim in željam uporabnikov IJS in so nujno le dober kompromis med varnostjo in uporabnostjo omrežja.

Dostop do notranjih strežnikov (npr http, ftp, ...) je odprt le za tiste računalnike, katerih administratorji to izrecno želijo in ki sproti skrbijo za posodabljanje programske opreme na teh strežnikih zlasti z vidika znanih pomanjkljivosti/napak v programski opremi in pogostih načinov napadov na programsko opremo.

Za večino notranjih računalnikov velja, da od zunaj niso dostopni, hkrati pa je z njih dostop do večine zunanjih storitev dovoljen, razen za nekaj izrecno prepovedanih rizičnih storitev.

Notranji računalniki, za katere opazimo, da so ranljivi za kakšen trenutno popularen način vdiranja, so blokirani na požarnem zidu v celoti in v obe smeri. Še vedno je s takih računalnikov možno branje in odpošiljanje elektronske poste, dostop do zunanjih WWW strežnikov (http, ftp) prek web proxyja: www-proxy.ijs.si, port 8080, ter dostop do vseh notranjih institutskih računalnikov.

Požarni zid lahko brani le pred paketi, ki prihajajo skozi njega. To pomeni, da so notranji računalniki na IJS med seboj prosto dostopni in med seboj še vedno ranljivi, če ni sproti poskrbljeno za posodabljanje programske opreme in sprotno odpravljanje varnosnih pomanjkljivosti. Učinkovito dopolnilo osrednjemu požarnemu zidu je osebni požarni zid (programska oprema), ki teče na vsakem posameznem računalniku. Popularen program za ta namen za Microsoftove operacijske sisteme je npr Zone Alarm - glej npr strani uprave IJS. Unix sistemi so manj problematični, novejši pa tudi vsebujejo možnost nastavitve lokalnih pravil dostopa.

Varnost elektronske pošte

Poštni strežnik IJS skrbi za odkrivanje virusov in sorodnih zlonamernih vsebin v elektronskih sporočilih. Sporočila s tako vsebino so zavrnjena in pošiljatelj je o zavrnitvi obveščen, kar pomeni, da niso izgubljena.

Izjema so le sporočila, ki vsebujejo take znane viruse, ki ponarejajo naslov pošiljatelja in se razpošiljajo masovno in avtomatsko - taka sporočila so le shranjena v karanteno, pošiljatelj pa o zavrnitvi ni obveščen, ker ni znan.

Če namerno želimo poslati sporočilo s problematično vsebino, ki bi jo lahko nas ali prejemnikov poštni filter prestregel, si lahko pomagamo tako, da jo zavijemo v šifrirano ovojnico (npr. PGP, GPG, ...) ali pa v arhiv zaščiten z geslom (npr zip, rar). Če vsebina ni skrivnost, lahko geslo prilozimo v istem sporocilu. Namen tega je, da se potencialno problematična vsebina (npr izvršljivi programi, virusi) ne more aktivirati samodejno na prejemnikovem računalniku, ampak se mora prejemnik zavestno odločiti za to in jo odkodirati ali odšifrirati z izrecno akcijo.

Pošiljatelj sporočila, ki sicer ne vsebuje enega od trenutno znanih virusov, vendar vsebuje varnostno rizično vsebino (npr nezakodiran izvršljivi program), dobi od našega strežnika zavrnitveno sporočilo s približno tako vsebino: http://www.ijs.si/mail-policy.html

Pregledovanje elektronske pošte na postnem strežniku nas brani pred večino tovrstne nadlege. Je učinkovito dopolnilo protivirusnim programom na vsakem osebnem računalniku, ni pa njihov nadomestek, saj lahko virus ali trojanski konj pride do notranjega računalnika tudi po drugih poteh, npr pri pobiranju pošte (POP3, WWW) z zunanjih poštnih predalov, prek WWW bralnika, s prenašanjem datotek, prek diskete oz. CD-ja, USB-ja ali prek kakšne druge ranljivosti operacijskega sistema ali aplikacije.

Zasebnost elektronske pošte

Osnovni Internetni standardi, ki določajo mehanizme za prenašanje elektronskih poštnih sporočil, ne zagotavljajo tajnosti ali avtentičnosti vsebine elektronskega sporočila. Kjerkoli na celotni poti od pošiljatelja do naslovnika je potencialno možen vpogled v sporočilo in celo spreminjanje vsebine sporočila. Osnovni poštni standardi tudi ne zagotavljajo, da je navedeni pošiljatelj tudi resnični pošiljatelj. Ponarejanje pošiljateljevega naslova je preprosto in poslužuje se ga večina nezaželenih masovnih poštnih sporočil in večina novejših virusov.

Edini način za zagotavljanje tajnosti vsebine elektronskega sporočila je uporaba kriptografskih metod (šifriranje). Edini način za ugotavljanje istovetnosti pošiljatelja (avtentikacija) je uporaba kriptografskih metod (elektronski podpis, certifikati). Oba mehanizma sta neodvisna, tako lahko npr odpošljemo podpisano a prosto čitljivo sporočilo (avtentikacija), ali pa npr skrito (šifrirano) a nepodpisano sporočilo, ki preprečuje vpogled nepovabljenim, a ne preprečuje ponarejanja oz. zamenjave sporočila.

Mnogi novejši bralniki e-poste so že prilagojeni navezi s kriptografskim programom ali pa te mehanizme že vsebujejo sami. Tudi če poštni program tega sam ne podpira, je vedno možno postopke opraviti ločeno: pripraviti besedilo, ga zašifrirati in/ali podpisati na datoteki, in to potem poslati kot e-pošto. Najpopularnejše kriptografske metode so GPG, PGP, OpenPGP, S/MIME.

Obramba pred nezaželeno elektronsko pošto (spam)

Približno 70 % vseh elektronskih sporočil, ki so namenjena poštnemu strežniku IJS, predstavlja nezaželeno komercialno pošto (UBE - unsolicited bulk e-mail, po domače spam). Sprotno posodabljanje UBE filtrov na našem poštnem strežniku nam zagotavlja, da le majhen del UBE sporočil doseže naslovnike na IJS.

Poštna sporočila, ki jih UBE filter prepozna kot spam, niso izgubljena. Vedno je pošiljatelj o razlogu zavrnitve obveščen (če je znan oz. če ni pošiljateljev naslov ponarejen). Poleg tega vsa taka sporočila začasno shranimo v karanteno, tako da je možno kasnejše poizvedovanje o usodi kakšnega elektronskega sporočila.

Agresivnost proti-UBE filtra je mogoče do neke mere prilagoditi željam uporabnika na IJS, čeprav to večinoma ni potrebno in to uporabljamo le izjemoma.

Pravila dopustne uporabe

Ker je institutsko računalniško omrežje vključeno v slovensko akademsko omrežje ARNES, veljajo tudi za nas pravila uporabe omrežja ARNES. Glej ločen dokument: Pravila dopustne uporabe