13.06.22 MS kap 8 1 Håndtering av drift/operasjoner (kap. 8) Pålitelige operasjoner (drift) er viktig når organisasjoner blir avhengige av sine datasystemer (jfr. problemene i bankenes betalingssentral, Skandiabankens problemer) God tilgang til Internett er viktig for bedriftens forhold til kunder (når vi selger via e-post og Web må dette være tilgjengelig til enhver tid) Det moderne samfunn er avhengig at teknologien fungerer, backupsystemer hjelper bare i visse tilfeller (ved strømbrudd må de fleste virksomheter stanse) Jo mer automatiske tjenester, jo mer teknologiavhengig er vi (digitale penger kontra kontanter, kort/bestillingsnr kontra papirbillett på fly) Risikoreduksjon (jfr. N. Carr) Så selv drift om kan høres kjedelig ut er det ofte på dette nivået at suksessen til en ny tjeneste blir avgjort (jfr. mange sosiale nett før Facebook)
Håndtering av drift/operasjoner (kap. 8). Pålitelige operasjoner (drift) er viktig når organisasjoner blir avhengige av sine datasystemer (jfr. problemene i bankenes betalingssentral, Skandiabankens problemer) - PowerPoint PPT Presentation
Welcome message from author
This document is posted to help you gain knowledge. Please leave a comment to let me know what you think about it! Share it to your friends and learn new things together.
Transcript
21.04.23 MS kap 8 1
Håndtering av drift/operasjoner (kap. 8) Pålitelige operasjoner (drift) er viktig når organisasjoner blir
avhengige av sine datasystemer (jfr. problemene i bankenes betalingssentral, Skandiabankens problemer)
God tilgang til Internett er viktig for bedriftens forhold til kunder (når vi selger via e-post og Web må dette være tilgjengelig til enhver tid)
Det moderne samfunn er avhengig at teknologien fungerer, backupsystemer hjelper bare i visse tilfeller (ved strømbrudd må de fleste virksomheter stanse)
Jo mer automatiske tjenester, jo mer teknologiavhengig er vi (digitale penger kontra kontanter, kort/bestillingsnr kontra papirbillett på fly)
Risikoreduksjon (jfr. N. Carr) Så selv drift om kan høres kjedelig ut er det ofte på dette
nivået at suksessen til en ny tjeneste blir avgjort (jfr. mange sosiale nett før Facebook)
http://www.youtube.com/watch?v=MAfAVGES-Yc) Kan føles for nærgående Kostbart
21.04.23 MS kap 8 17
Fortsatt Pin-koder Passord Kort Spørsmål som bare du kjenner
svaret på Med kortleser på alle maskiner kan
sikkerhetsnivået økes (brukes i helseetaten)
21.04.23 MS kap 8 18
Bank-id – fra Web siden: BankID er en personlig og enkel elektronisk
legitimasjon for sikker identifisering og signering på nettet. BankID tilbys av bankene i Norge, ta kontakt med banken din hvis du ønsker å skaffe deg BankID.
BankID er basert på en samordnet infrastruktur som er utviklet av banknæringen gjennom BankID Samarbeidet, i regi av Finansnæringens Hovedorganisasjon og Sparebankforeningen.
BankID er sikkert, og kundene kan være helt trygge når de benytter BankID. Det skriver FNHs adm. direktør, Arne Skauge, og Sparebankforeningens adm. direktør Arne Hyttnes i et brev til finanskomiteen og transport- og kommunikasjonskomiteen på Stortinget. Bakgrunnen er debatten i media om BankID-sikkerheten.
21.04.23 MS kap 8 19
Er Bank id sikker? En gruppe ledet av professor Kjell Jørgen
Hole ved UiB hevder at systemet ikke er sikkert
Systemet baserer seg på PKI (Public Key Infrastructure) med en privat og en offentlig løsning
Den som disponerer den private nøkkelen kan signere dokumenter, logge inn på kontoer, overføre penger m.m.
Av praktiske grunner er den private løsningen lagret sentralt
21.04.23 MS kap 8 20
Er betalingskortet sikkert Forskere ved Cambridge har laget
en kopling fra en datamaskin til et betalingskort som får terminalen til å tro at transaksjonen skal gå kodefri.
Selv om en taster inn feil kode går transaksjonen igjennom
Virker ikke der alt går via bankens server
21.04.23 MS kap 8 21
Problemer med sentral lagring
Prinsipielt: Hvordan skal vi forsikre oss om at
nøkkelen ikke blir misbrukt av de som oppevarer den (banker, myndigheter)
Praktisk: Hvordan skal vi fortelle banken at vi
vil bruke nøkkelen?
21.04.23 MS kap 8 22
Bruk av sentral lagret nøkkel
Vi aksesserer nøkkelen med personnummer, PIN og engangskoder (som med banken i dag)
Dvs. vi ”legitimerer” oss på denne måten
21.04.23 MS kap 8 23
Hva sier Hole & Co Med ”phishing” og ”man in the middle” kan
vi lure engangskoder ut av kundene I praksis kan dette gjøres ved:
1. Åpne et falskt grensesnitt på brukerens maskin2. Fange opp engangskoden (bruke den til vår
innlogging i nettbanken)3. Gi en feilmelding til bruker4. Fange opp neste engangskode, og så bruke denne
som bekreftelse på transaksjonen der vi tømmer kontoen
Hole har kjørt vellykkede angrep etter denne oppskriften
Problemet vil vokse om bankid skal brukes i mange sammenhenger
21.04.23 MS kap 8 24
Hva sier bankene
Bank ID er sikkert Hole har ikke vist svakheter i
BankID, bare at det finnes ”dumme” brukere
21.04.23 MS kap 8 25
Men Kredittilsynet er bekymret Det hjelper jo ikke om den sentrale del
av Bankid er sikkert, dersom det svakeste ledd er hos brukeren
Med en lokal lagring av nøkkelen ville mange av disse problemene vært unngått
Det kunne i praksis skje ved å ha nøkkelen på et plastkort
Til slutt
Det vi er ute etter er ikke formell sikkerhet men praktisk sikkerhet
Vi låser huset med nøkkel, men likevel kan hvem som helst bryte seg inn.
Likevel representerer låsen en praktisk sikkerhet.
Betalingssystemer Primitive i dag Personifisert sikkerhet er bedre:
Ekstra kode i minibank Ikke tillate minibank Åpne for bruk i minibank med kode på
mobilen Unngå kode i butikker du bruker ofte Unngå kode for småbeløp osv.
21.04.23 MS kap 8 28
Teknikker for sikkerhet
PC-MCIA
Sikkerhet for trådløse system.
21.04.23 MS kap 8 29
Men, sikkerhet er vanskelig Systemene er store og komplekse Der vi ellers kan teste for å se om funksjonene
virker er det ikke like lett når det gjelder sikkerhet
For skurkene gjelder det å finne svakeste leddet i kjeden
Mye av de samme problemene som vi har med militære forsvarsannlegg:
Hva hjelper de å ha en sterk linje på grensen mellom Tyskland og Frankrike når tyskerne kjører tanks gjennom Belgia i 1940.
Tyskland visste at det kom en invasjon i 1944, men hvor kommer den?
21.04.23 MS kap 8 30
Vil vi være helt sikre
Unngå å lagre konfidensielle data Kun lagre i systemer som ikke er
koplet til Internett Men dette begrenser bruken Imidlertidig kan det være en god
løsning å avgrense deler av systemet
21.04.23 MS kap 8 31
Katastrofeberedskap Interne ressurser:
Backup av data Flere datasentre Distribuerte systemer Backup nett (redundans eller alternative samband) LAN, server farms, etc. (f.eks., CNN under
terrorangrepet på World Trade Center) Testing er viktig
Eksterne ressurser: Egne leverandører av backup tjenester Samarbeid med andre institusjoner (i forskj. tidssoner?)
21.04.23 MS kap 8 32
Backup Flere kopier av filer På forskjellige steder Forskjellige versjoner Viktig:
Kontrollere at backup virker Rutiner på innlasting fra backup Gjennomgang på hva som kan skje –