Εργασία για την ασφάλεια και

την αξιολόγηση ασφάλειας

των πληροφοριακών
συστημάτων

1
 Περιεχόμενα
Περιεχόμενα................................................................................................2

Ορισμός και Ρόλος του Πληροφοριακού συστήματος (ΠΣ).......................3

Ασφάλεια Πληροφοριακών Συστημάτων..................................................4
Ιδιότητες της ασφάλειας......................................................................5
Παράγοντες απαίτησης ασφάλειας.......................................................7
Κοινές απειλές για ένα Πληροφοριακό Σύστημα......................................8
Ευπαθή δεδομένα .................................................................................8
Σύνοψη των κοινών απειλών...............................................................10
Τι είναι η αξιολόγηση ασφαλείας (Penetration testing) ;........................13
Είναι αναγκαία η αξιολόγηση ασφάλειας ;..........................................14
Υπάρχει νομική διάσταση στον χώρο της αξιολόγησης ασφάλειας;...16
Ορισμοί στον χώρο της αξιολόγησης ασφαλείας...............................17
Μέθοδοι αξιολόγησης ασφαλείας........................................................19
Ο σχεδιασμός για την αξιολόγηση ασφάλειας...................................22
Εργαλεία αξιολόγησης ασφαλείας......................................................24
Ο ορισμός της Έμπιστης Τρίτης Οντότητας..........................................25
Η ΕΤΟ ως πάροχος υπηρεσιών ασφάλειας...........................................26
Συνεισφορά της ΕΤΟ στην ασφάλεια ενός ΠΣ.....................................27
Εμπιστοσύνη και ασφάλεια..................................................................27
Κατηγοριοποίηση των ΕΤΟ..................................................................29
Συμπέρασμα...........................................................................................30
Βιβλιογραφία..........................................................................................31

2
Ορισμός και Ρόλος του Πληροφοριακού συστήματος
(ΠΣ)

Ένα πληροφοριακό σύστημα είναι ένα σύστημα ανθρώπινης δραστηριότητας.

Υιοθετούμε στη συνέχεια τον ορισμό που δίνεται παρακάτω:

‘Πληροφοριακό σύστημα είναι ένα σύστημα ανθρώπινης δραστηριότητας, το

οποίο αποτελείται από πέντε στοιχεία: ανθρώπους, λογισμικό, υλικό, διαδικασίες και
δεδομένα, τα οποία αλληλεπιδρούν μεταξύ τους και με το περιβάλλον, με σκοπό την
παραγωγή και διαχείριση πληροφορίας για την υποστήριξη ανθρώπινων
δραστηριοτήτων, στα πλαίσια ενός οργανισμού.’

Το πλαίσιο ενός ΠΣ είναι συνήθως ένας οργανισμός, συμπεριλαμβάνοντας σε

αυτόν ιδιωτικές επιχειρήσεις, δημόσιους οργανισμούς, αυτόνομα τμήματα
οργανισμών και επιχειρήσεων, δίκτυα επιχειρήσεων και κάθε άλλη συγκροτημένη
μορφή οργάνωσης. Η ευρύτερη έννοια του οργανισμού δίνεται στο:

‘Οργανισμός είναι μία εταιρεία ή επιχείρηση ή συντεχνία ή ινστιτούτο ή μέρος

αυτών, ιδιωτικό ή δημόσιο που διαθέτει δικές του λειτουργίες και διοίκηση.’

Ένας οργανισμός εξεταζόμενος ως σύστημα αποτελείται από τρία

διαφορετικά υποσυστήματα τα οποία αποτελούν μία ενιαία ενότητα:

• το φυσικό σύστημα παραγωγής το οποίο μετασχηματίζει την πρώτη ύλη

που εισέρχεται στο σύστημα σε προϊόν, σύμφωνα με τις εντολές ή οδηγίες
που παίρνει από το υποσύστημα διοίκησης.

3
 • το σύστημα διοίκησης και λήψης αποφάσεων είναι το υποσύστημα το
οποίο παραλαμβάνει δεδομένα από το πληροφοριακό υποσύστημα και
παράγει εντολές προς το φυσικό σύστημα παραγωγής και οδηγίες για τις
προσδοκίες και επιδιώξεις της διοίκησης, που επιθυμεί να επιτευχθούν.

• το πληροφοριακό σύστημα συνδέει το φυσικό σύστημα παραγωγής με το

υποσύστημα διοίκησης. Μετασχηματίζει δεδομένα που υπάρχουν στο
φυσικό σύστημα παραγωγής σε πληροφορίες που απαιτεί το σύστημα
διοίκησης για να πάρει αποφάσεις. Επίσης μετασχηματίζει τις εντολές του
συστήματος σε κατάλληλες οδηγίες για το σύστημα παραγωγής.

Θεωρούμε λοιπόν ότι

‘Το φυσικό σύστημα παραγωγής είναι ένα σύνολο από προκαθορισμένες

διεργασίες που μετασχηματίζουν την εισερχόμενη πληροφορία ή την πρώτη ύλη
σε υπηρεσίες ή προϊόντα αντίστοιχα, σύμφωνα με τις διαδικασίες και τις
πολιτικές που επιβάλλει το υποσύστημα διοίκησης και με την υποστήριξη του
πληροφοριακού υποσυστήματος.’

Ο ρόλος ενός Πληροφοριακού Συστήματος σε έναν οργανισμό είναι

σημαντικός, αφού εκτελεί τις παρακάτω καίριες λειτουργίες:

• επεξεργάζεται δεδομένα για λογαριασμό της οργανισμού

• υποστηρίζει τις παραγωγικές και λειτουργικές διαδικασίες

• δημιουργεί και διαβιβάζει πληροφορίες

• διευκολύνει τη διοίκηση στον έλεγχο και στη λήψη αποφάσεων

Ασφάλεια Πληροφοριακών Συστημάτων

Όπως διαπιστώθηκε, τα πέντε συστατικά στοιχεία ενός πληροφοριακού

συστήματος είναι το υλικό, το λογισμικό, οι διαδικασίες, οι άνθρωποι και τα
δεδομένα. Ο όρος ασφάλεια πληροφοριακών συστημάτων (information systems
security) δίνει έμφαση στην προστασία αυτών των συστατικών στοιχείων ενός ΠΣ

4
αλλά και του ίδιου του ΠΣ στην ολότητά του. Αρκετά συχνά απαντάται ο όρος
ασφάλεια στις τεχνολογίες πληροφορικής και επικοινωνιών. Όπως είναι φανερό, ο
όρος αυτός δίνει έμφαση στους τεχνικούς παράγοντες που σχετίζονται με την
ασφάλεια.

Ορίζεται ότι “η Ασφάλεια Πληροφοριακού Συστήματος είναι το οργανωμένο

πλαίσιο από έννοιες, αντιλήψεις, αρχές, πολιτικές, διαδικασίες, τεχνικές και μέτρα που
απαιτούνται για να προστατευθούν τα στοιχεία του Πληροφοριακού Συστήματος, αλλά
και το σύστημα ολόκληρο, από κάθε σκόπιμη ή τυχαία απειλή.” Ο ορισμός αυτός δίνει
έμφαση όχι μόνο στο ΠΣ ως ολότητα αλλά και στα επιμέρους στοιχεία του, ενώ η
αναφερόμενη προφύλαξη αφορά κάθε είδους απειλή (τυχαία ή σκόπιμη). Η ασφάλεια
του ΠΣ συνδέεται άμεσα τόσο με τις τεχνικές, τις διαδικασίες και τα διοικητικά μέτρα
όσο και με ηθικοκοινωνικές αντιλήψεις, αρχές και παραδοχές. Είναι βέβαια προφανές
ότι η προφύλαξη δεν θα πρέπει να παρεμποδίζει την απρόσκοπτη λειτουργία του
συστήματος και την ελεύθερη διακίνηση των πληροφοριών, έτσι ώστε να μην
θέτονται αδικαιολόγητοι φραγμοί στην ανάπτυξη της τεχνολογίας της πληροφορίας.

Η ασφάλεια πληροφοριών αναφέρεται αποκλειστικά στην προστασία των

πληροφοριών και είναι στενότερη έννοια από αυτή της ασφάλειας ΠΣ, αφού η
πληροφορία εμπεριέχεται σε ένα ΠΣ. Βέβαια η ασφάλεια πληροφοριών δεν μπορεί να
αγνοήσει το πληροφοριακό σύστημα, στα πλαίσια του οποίου παράγεται και
χρησιμοποιείται η πληροφορία. Αντίθετα, κάθε αναλυτική εργασία, η οποία
αποσκοπεί στην ανάπτυξη και διαχείριση της ασφάλειας των πληροφοριών, θα πρέπει
να στηρίζεται στην κατανόηση των σχετικών πληροφοριακών συστημάτων. Συνεπώς,
όταν αναφερόμαστε στην ασφάλεια ενός ΠΣ η προστασία όλων των υλικών που
μετέχουν σε αυτό έχει ιδιαίτερη σημασία, ενώ όταν αναφερόμαστε στην ασφάλεια
πληροφοριών, η ασφάλεια του υλικού μας ενδιαφέρει μόνο στο βαθμό που σχετίζεται
με την προστασία των πληροφοριών.

Ιδιότητες της ασφάλειας

5
 Η ασφάλεια των πληροφοριών αναφέρεται στην προστασία της πληροφορίας
στην ολότητά της και των σχετικών με την ασφάλεια ιδιοτήτων. Ως θεμελιώδεις
ιδιότητες ασφάλειας θεωρούνται η ακεραιότητα, η εμπιστευτικότητα και η
διαθεσιμότητα, οι οποίες ορίζονται ως εξής:

• Ακεραιότητα πληροφοριών (integrity): Είναι η ιδιότητα των δεδομένων να

υφίστανται σε προκαθορισμένο φυσικό μέσο ή χώρο και να είναι ακριβή.
Δηλαδή η μη-εξουσιοδοτημένη τροποποίηση της πληροφορίας θα πρέπει
να αποτρέπεται, ενώ κάθε αλλαγή του περιεχομένου των δεδομένων να
είναι αποτέλεσμα εξουσιοδοτημένης και ελεγχόμενης ενέργειας.

• Εμπιστευτικότητα πληροφοριών (confidentiality): Η ιδιότητα των

δεδομένων να καθίστανται αναγνώσιμα μόνο από εξουσιοδοτημένα λογικά
υποκείμενα, όπως φυσικές οντότητες και διεργασίες λογισμικού.

• Διαθεσιμότητα πληροφοριών (availability): Η αποτροπή της προσωρινής ή

μόνιμης άρνησης διάθεσης της πληροφορίας σε κάθε εξουσιοδοτημένο
λογικό υποκείμενο του συστήματος.

Σε αρκετές ερευνητικές εργασίες υποστηρίζεται πως οι παραπάνω τρεις

ιδιότητες δεν επαρκούν, για να οριστεί η ασφάλεια πληροφοριών. Πρόσθετες
ιδιότητες που συναντώνται είναι η

• αυθεντικότητα (authenticity), δηλαδή η απόδειξη της προέλευσης και του

ιδιοκτήτη της πληροφορίας,

• η ιδιότητα της εγκυρότητας (validity), δηλαδή ότι η πληροφορία

αντιπροσωπεύει την πραγματικότητα και είναι επίκαιρη, ενώ σε άλλες
πηγές αναφέρονται

• η μοναδικότητα (uniqueness), δηλαδή η αδυναμία αντιγραφής και

αναπαραγωγής της πληροφορίας χωρίς εξουσιοδότηση και

• η μη αποποίηση (non-repudiation) δηλαδή η αδυναμία άρνησης των

ενεργειών που έχουν εκτελεστεί για την τροποποίηση, την αποστολή ή τη
λήψη μίας πληροφορίας.
6
 Η ύπαρξη διαφορετικών θεωρήσεων για τις ιδιότητες της ασφάλειας δεν θα
πρέπει να θεωρηθεί παράδοξο, καθώς στον επιστημονικό τομέα της πληροφορικής, η
ασφάλεια έχει μεταφερθεί ως μία αφηρημένη έννοια, η οποία επιδέχεται ποικίλες
ερμηνείες. Επίσης η έννοια της ασφάλειας στο κοινωνικό σύνολο, αντιστοιχεί
ουσιαστικά σε ένα ανθρώπινο συναίσθημα. Έτσι ο όρος ασφάλεια αναφέρεται σε
διάφορες ιδιότητες της πληροφορίας, ανάλογα με την οπτική του ερευνητή και το
πληροφοριακό σύστημα στο οποίο αναφέρεται. Συνεπώς, σε κάθε ειδική περίπτωση
που μελετάμε θα πρέπει να ορίζουμε με σαφήνεια τις συγκεκριμένες ιδιότητες της
πληροφορίας που καλούμαστε να προστατέψουμε.

Οι παραπάνω ιδιότητες της ασφάλειας των πληροφοριών δεν μετρώνται σε

απόλυτα μεγέθη αλλά είναι συγκρίσιμες και έτσι υπεισέρχεται σε ένα βαθμό η
σχετικότητα. Παρά τη σαφήνεια και απλότητα των ορισμών που δίδονται για τις τρεις
βασικές ιδιότητες, στην πράξη δεν είναι πάντοτε εύκολο να προσδιορίσουμε πότε μία
από αυτές έχει παραβιαστεί. Για παράδειγμα, η άρνηση διάθεσης της πληροφορίας
(παραβίαση της διαθεσιμότητας) μπορεί να εκτιμηθεί με άλλο τρόπο σε διαφορετικές
περιπτώσεις, αφού ο χρόνος αναμονής που θεωρείται ανεκτός διαφέρει από εφαρμογή
σε εφαρμογή. Έτσι, μία καθυστέρηση ενός λεπτού στην παροχή μίας κρίσιμης
ιατρικής πληροφορίας μπορεί να θεωρηθεί ως έλλειψη διαθεσιμότητας, ενώ ο ίδιος
χρόνος στην αναζήτηση της καρτέλας φορολογουμένου σε μία δημόσια οικονομική
υπηρεσία να θεωρηθεί αποδεκτός και αναμενόμενος.

Παράγοντες απαίτησης ασφάλειας

Όπως είναι ευνόητο οι απαιτούμενες ιδιότητες που πρέπει να έχει ένα ΠΣ

ώστε να θεωρηθεί ασφαλές, δεν είναι σταθερές για όλα τα ΠΣ, αλλά εξαρτώνται
κυρίως από τη δυναμικότητα που υπάρχει τόσο στο ΠΣ όσο και στο περιβάλλον του.
Αναλυτικότερα, το επίπεδο ασφάλειας που απαιτείται για να προστατευθεί ένα ΠΣ
εξαρτάται από δύο παράγοντες: (1) Τη φύση των διαχειριζόμενων δεδομένων και (2)
το συγκεκριμένο χωρο-χρονικό πλαίσιο.

7
 Τα διαχειριζόμενα δεδομένα μπορεί να χαρακτηριστούν κάτω από
συγκεκριμένες συνθήκες ως άξια ή μη προστασίας. Τα δεδομένα που χρήζουν
προστασίας από δυνητικές απειλές αποκαλούνται ευπαθή. Για παράδειγμα, τα
δεδομένα που αφορούν στον σχεδιασμό πωλήσεων μίας επιχείρησης ή ενός
στρατιωτικού σχεδίου άμυνας χρήζουν προστασίας.

Υπάρχουν επίσης δεδομένα τα οποία είναι κοινά αποδεκτό ότι πρέπει να

προστατεύονται γιατί αντιπροσωπεύουν σημαντικές προσωπικές αξίες ενός εκάστοτε
μέλους του κοινωνικού συνόλου. Αυτά τα δεδομένα αποκαλούνται ευαίσθητα
προσωπικά δεδομένα. Παραδείγματα τέτοιων δεδομένων μπορούν να είναι όσα
αφορούν στις πολιτικές ή θρησκευτικές αντιλήψεις ενός ατόμου, τα οποία δεν
επιτρέπεται καν να συλλέγονται και τα ιατρικά δεδομένα που αφορούν στο ιστορικό
της υγείας ενός ατόμου, τα οποία μπορούν να συλλέγονται με την προϋπόθεση ότι
εξασφαλίζεται η προστασία τους και χρησιμοποιούνται μόνο προς όφελος του ατόμου
ή του κοινωνικού συνόλου.

Η απαίτηση για ασφάλεια ορισμένων δεδομένων ενδέχεται να μην ισχύει για

όλα τα κοινωνικά περιβάλλοντα. Η ίδια κατηγορία δεδομένων είναι πιθανό να χρήζει
προστασίας σε ένα συγκεκριμένο περιβάλλον ενώ σε ένα άλλο να μην θεωρείται
ευπαθές δεδομένο. Παράδειγμα είναι η καταγραφή των χρηματικών συναλλαγών σε
ένα εμπορικό κατάστημα ως μη ευπαθές δεδομένο από τη μία πλευρά και η
καταγραφή των χρηματικών συναλλαγών σε μία τράπεζα από την άλλη, όπου
απαιτείται υψηλό επίπεδο ασφάλειας.

Τέλος είναι πιθανό σε κάποιο περιβάλλον να έχει παγιωθεί ή να έχει γίνει

ευρέως αποδεκτή η άποψη ότι κάποιο από τα παραπάνω δεδομένα δεν είναι
ευαίσθητο και συνεπώς δεν απαιτείται η προστασία του. Η σύγχρονη ιστορία μας
δίνει τέτοια παραδείγματα δεδομένων, όπως οι θρησκευτικές πεποιθήσεις, η
υπηκοότητα και οι καταναλωτικές συνήθειες.

Κοινές απειλές για ένα Πληροφοριακό Σύστημα

Ευπαθή δεδομένα

8
 Τα δεδομένα που χρησιμοποιούνται από τα Πληροφοριακά Συστήματα δεν
παρουσιάζουν την ίδια ευπάθεια (vulnerability) και αυτό δεν οφείλεται μόνο στα
ιδιαίτερα χαρακτηριστικά των ΠΣ τα οποία χρησιμοποιούν τα δεδομένα, αλλά και
στην ίδια τη φύση ή τις ιδιαιτερότητές τους.

Ο βαθμός ευπάθειας ενός τύπου δεδομένων συσχετίζεται άμεσα και οφείλεται

κατά κύριο λόγο στην αξία των πληροφοριών που προκύπτουν όταν τα δεδομένα
αυτά είναι στην κατοχή τρίτων προσώπων. Σε άλλες περιπτώσεις η πληροφορία
μπορεί να έχει εξίσου σημαντική αξία όταν υπάρχει δυνατότητα τροποποίησής της ή
απαξίωσής της ή όταν δεν υπάρχει η δυνατότητα διάθεσής της στις οντότητες που
αφορά. Τρεις συνιστώσες διακρίνονται στην αποτίμηση της αξίας μιας πληροφορίας:

• το ενδεχόμενο οικονομικό όφελος (π.χ. απόκτηση πλεονεκτήματος σε

σχέση με τον ανταγωνισμό)

• η δυνατότητα αντιστοίχισης της πληροφορίας με μία από τις αξίες του

κοινωνικού συστήματος (π.χ. συμμετοχή σε άσκηση εξουσίας ή
απεξάρτηση από κάποιο σχήμα εξουσίας)

• η δυνατότητα χρήσης της πληροφορίας για την εκτέλεση κακόβουλων ή

εγκληματικών ενεργειών (π.χ. στέρηση ενός ατόμου από τα δικαιώματά
του ή τις αξίες του, παραπλάνηση σε λήψη αποφάσεων)

Και στις τρεις παραπάνω περιπτώσεις η αξία της πληροφορίας και κατά
συνέπεια η ευπάθεια των δεδομένων ενός ΠΣ εξαρτάται από το κοινωνικό σύστημα,
στα πλαίσια του οποίου χρησιμοποιούνται τα δεδομένα. Η χρονική και τοπική
συγκυρία, η οντότητα που αφορούν τα δεδομένα, το σύστημα αξιών του κοινωνικού
αυτού συνόλου και ο βαθμός διείσδυσης της τεχνολογίας σε αυτό, είναι ορισμένοι
από τους περιβαλλοντικούς παράγοντες που επηρεάζουν την ευπάθεια των
δεδομένων.

Πιο συγκεκριμένα ορίζονται δύο ειδών ευπάθειες δεδομένων: (1) Η ευπάθεια

ορισμένων τύπων δεδομένων που είναι ανεξάρτητη από το ΠΣ στο οποίο
χρησιμοποιούνται, αλλά εξαρτάται από το συγκεκριμένο κοινωνικό σύστημα,
ονομάζεται εγγενής ευπάθεια. (2) Η ευπάθεια ορισμένων τύπων δεδομένων, που είναι
ανεξάρτητη από το ΠΣ στο οποίο χρησιμοποιούνται και η οποία ισχύει για όλα τα

9
μέλη του κοινωνικού συνόλου (αν και η έντασή της είναι δυνατό να κυμαίνεται από
μέλος σε μέλος) ονομάζεται ως συνολική και εγγενής ευπάθεια.

Η συνολική και εγγενής ευπάθεια είναι αυτή που προκαλεί θεσμικές και
κοινωνικές παρεμβάσεις είτε υπό τη μορφή νόμων είτε υπό τη μορφή κανόνων
δεοντολογίας. Έτσι, η ευπάθεια αυτή ανακλάται στο σύνολο σχεδόν των θεσμών που
αφορούν στην προστασία του πολίτη, όπως είναι η μυστικότητα της ψήφου, και η
προστασία των προσωπικών δεδομένων [Ν2472/97]. Τα δεδομένα που αφορούν τις
πολιτικές και θρησκευτικές αντιλήψεις ενός πολίτη και την κατάσταση της
σωματικής και ψυχικής του υγείας, είναι ευρύτατα αποδεκτά ως συνολικά και
εγγενώς ευπαθή δεδομένα και χρήζουν ιδιαίτερης προστασίας.

Είναι ευνόητο ότι ο βαθμός ευπάθειας των δεδομένων που χρησιμοποιούνται

σε ένα ΠΣ είναι ευθέως ανάλογος με το πλήθος και τη συχνότητα των δυνητικών
εξωτερικών απειλών που μπορεί να δεχθεί αυτό το ΠΣ και κατά συνέπεια ανάλογος
με την ισχύ των μέτρων προστασίας που θα πρέπει να λάβουν οι διαχειριστές του

Σύνοψη των κοινών απειλών

Ένα Πληροφοριακό Σύστημα το οποίο διαχειρίζεται ευπαθή δεδομένα και

βασίζεται επιπλέον στην αξιοποίηση των δυνατοτήτων του διαδικτύου εκτίθεται σε
μία σειρά σημαντικών απειλών, οι οποίες απαιτείται να αντιμετωπισθούν
αποτελεσματικά. Ως απειλή ορίζεται ‘μία πιθανή ενέργεια ή ένα γεγονός που μπορεί
να προκαλέσει την απώλεια ενός ή περισσοτέρων ιδιοτήτων ασφάλειας ενός
πληροφοριακού συστήματος’. Οι απειλές αυτές δεν προέρχονται μόνο από κακόβουλες
ενέργειες που προκαλούνται από τρίτους με στόχο την κατοχή ή την απαξίωση
πολύτιμων δεδομένων. Είναι πιθανό να δημιουργηθούν από το εσωτερικό του
συστήματος εξαιτίας σχεδιαστικών λαθών και αδυναμιών. Οι κυριότερες από αυτές
περιγράφονται παρακάτω, περιλαμβάνοντας και τη σχετική αγγλική ορολογία, :

• Παρακολούθηση γραμμών επικοινωνίας (tapping) : Παρακολουθώντας τις

επικοινωνιακές γραμμές μπορεί κανείς να αποκτήσει μη εξουσιοδοτημένη

10
 προσπέλαση σε μετακινούμενα δεδομένα, με πιθανό αποτέλεσμα να
παραβιαστεί η ιδιωτικότητά τους.

• Ανάλυση κυκλοφορίας (traffic analysis) : Για δεδομένες διευθύνσεις πηγής

και προορισμού η παρακολούθηση των διακινούμενων δεδομένων μπορεί
να οδηγήσει σε ανάπτυξη ενός προτύπου (pattern) κυκλοφορίας. Η
στατιστική και μόνο ανάλυση της επικοινωνίας, χωρίς απαραίτητα να
γίνεται ανάγνωση των ίδιων των δεδομένων, μπορεί να οδηγήσει σε
χρήσιμα συμπεράσματα για κάποιον τρίτο.

• Αποτυχία ή καταστροφή υλικού (hardware failure) : Σημαντική απειλή στη

διαθεσιμότητα ενός υπολογιστικού συστήματος αποτελεί η ενδεχόμενη
καταστροφή του χρησιμοποιούμενου υλικού, είτε από κακόβουλη
ενέργεια, είτε από αστοχία υλικού είτε από φυσική αιτία.

• Πλαστογράφηση διευθύνσεων δικτύου (spoofing) : Καταργείται η ιδιότητα

της μονοσήμαντης αντιστοίχισης των διευθύνσεων δικτύου σε μία
συγκεκριμένη θέση, με αποτέλεσμα τα διακινούμενα δεδομένα να χάνουν
την ιδιότητα της αυθεντικότητας προέλευσης.

• Υποκλοπή συνθηματικών (password stealing) : Ένα συνθηματικό μπορεί να

διαρρεύσει σε έναν δυνητικό εισβολέα είτε από αμέλεια του χρήστη του
συστήματος είτε μετά από παρακολούθηση των διακινούμενων πακέτων
(sniffing) είτε με τη χρήση της μεθόδου ωμής δοκιμής (brute force attack).

• Αξιοποίηση καταπακτών (trapdoors exploiting) : Οι καταπακτές είναι

γνωστές ή άγνωστες αδυναμίες των υπηρεσιών του συστήματος που
επιτρέπουν την υπέρβαση των μηχανισμών ασφάλειας για την
προσπέλαση στους πόρους του συστήματος. Η ύπαρξη των αδυναμιών
αυτών γίνεται γνωστή στους εισβολείς έπειτα από δοκιμαστική ανίχνευση
που πραγματοποιούν σε όλες τις θύρες επικοινωνίας του συστήματος
(port-scanning)

• Μη εξουσιοδοτημένη τροποποίηση (unauthorised modification) : Η

κακόβουλη τροποποίηση των δεδομένων ενός συστήματος έπεται της
παρακολούθησης των γραμμών επικοινωνίας ή της παρείσφρησης στο
σύστημα έπειτα από υποκλοπή συνθηματικού ή αξιοποίηση καταπακτών.

11
• Άρνηση παροχής υπηρεσίας (Denial of Service) : Σε αυτή την περίπτωση ο
εισβολέας επιχειρεί να επηρεάσει αρνητικά τη διαθεσιμότητα μίας
υπηρεσίας, αφού έχει παρεισφρήσει στο σύστημα που την παρέχει. Το ίδιο
μπορεί να συμβεί όταν ο εισβολέας καταφέρει να εγκαταστήσει λογισμικό
που καταναλώνει ανεξέλεγκτα όλους τους διαθέσιμους πόρους του
συστήματος ή του δικτύου, με αποτέλεσμα οι υπόλοιπες υπηρεσίες να
παραμείνουν ουσιαστικά ανενεργές.

• Κατανεμημένη επίθεση άρνησης παροχής υπηρεσίας (Distributed Denial of

Service) : Η λογική είναι η ίδια με την άρνηση παροχής υπηρεσίας, με τη
διαφορά ότι ο εισβολέας έχει εγκαταστήσει το κακόβουλο λογισμικό σε
δεκάδες συστήματα αφού έχει παρεισφρήσει σε αυτά και τα χρησιμοποιεί
ως μεσάζοντες (agents). Τα συστήματα αυτά με τη σειρά τους επιτίθενται
συντονισμένα προς τον τελικό στόχο με δραματικές συνέπειες στους
πόρους του συστήματος αυτού, αλλά και στο δίκτυο που οδηγεί προς αυτό.

• Κατάχρηση πόρων (misuse of resources) : Μία μη εξουσιοδοτημένη

οντότητα είναι πιθανό να υποκλέψει πόρους ενός συστήματος, όπως
κύκλους του επεξεργαστή, εύρος ζώνης δικτύου, χωρητικότητα δίσκων,
είτε για να εξυπηρετηθούν διεργασίες του εισβολέα είτε για να προκληθεί
άρνηση παροχής υπηρεσίας.

• Διάψευση εκτέλεσης ενέργειας (repudiation of action) : Μία οντότητα

μπορεί να αρνηθεί ότι δημιούργησε και απέστειλε ένα μήνυμα ή ότι
τροποποίησε κάποια δεδομένα, εφόσον δεν υπάρχουν επαρκή αποδεικτικά
στοιχεία. Ομοίως ο παραλήπτης του μηνύματος μπορεί να διαψεύσει την
παραλαβή του και την ανάγνωση του περιεχομένου του.

• Εσωτερικοί κίνδυνοι (internal threats) : Είναι πιθανό μέλη του

απασχολούμενου προσωπικού σε μία επιχείρηση να υποκλέψουν χρήσιμες
πληροφορίες για παράνομη χρήση. Παράλληλα η έλλειψη ασφάλειας στην
φυσική πρόσβαση στο υλικό του συστήματος δημιουργεί επιπλέον
κινδύνους.

• Πλαστοπροσωπία (masquerade) : Στο επίπεδο εφαρμογής είναι πιθανό η

προέλευση ενός μηνύματος να φαίνεται διαφορετική από την πραγματική

12
 • Ιομορφικό λογισμικό (viral software) : Πρόκειται για κακόβουλο λογισμικό
που εκτελείται ή φορτώνεται δυναμικά στο σύστημα και προκαλεί ποικίλα
σημαντικά προβλήματα. Συνήθως βρίσκεται ενσωματωμένο σε εκτελέσιμο
κώδικα ή αυτόνομο σε μορφή δέσμης εντολών (script). Φροντίζει να
προσκολλάται σε άλλα εκτελέσιμα αρχεία ή να διαδίδεται μέσω δικτυακών
εφαρμογών, έτσι ώστε να επηρεάζει όσο το δυνατόν περισσότερα
συστήματα.

• Καταχρηστικά μηνύματα (spamming) : Αφορά κυρίως τις υπηρεσίες

μηνυμάτων όπως τα νέα και η ηλεκτρονική αλληλογραφία. Πρόκειται για
μηνύματα διαφημιστικού και πολλές φορές προσβλητικού περιεχομένου
που αποστέλλονται μαζικά σε μεγάλο αριθμό χρηστών, χωρίς να υπάρχει
υπαρκτή διεύθυνση αποστολέα και από εξυπηρετητές που έχουν εκτεθεί
στους εισβολείς, έτσι ώστε να μην είναι ανιχνεύσιμη η προέλευσή τους
ούτε σε επίπεδο εφαρμογής ούτε σε επίπεδο δικτύου.

Τι είναι η αξιολόγηση ασφαλείας (Penetration testing) ;

Ο ορισμός της αξιολόγησης ασφαλείας (Penetration Testing ) είναι ένας νέος

όρος στον τομέα της ασφάλειας της πληροφορικής. Ο όρος αυτός χρησιμοποιείται και

ερμηνεύεται λανθασμένα πολλές φορές από τις εταιρείες που θέλουν να εμπλακούν
στο χώρο της ασφάλειας της πληροφορικής. Οι λόγοι που οδηγούν στην παρερμηνεία
είναι είτε επειδή χρησιμοποιούν την δική τους εταιρική ορολογία είτε λόγω άγνοιας
του αντικειμένου. Αξίζει να σημειωθεί ότι συνήθως παρερμηνεύεται με την
διαδικασία εύρεσης ευπαθών σημείων σε ένα πληροφοριακό σύστημα (Vulnerability
Analysis).

Η αξιολόγηση ασφαλείας είναι η διαδικασία ελέγχου της τρωτότητας ως προς

της ασφάλεια του πληροφοριακού συστήματος και δικτύου μιας εταιρείας ή ενός
οργανισμού. Η αξιολόγηση αυτή εστιάζεται στις τρέχουσες διαδικασίες του
συστήματος παρά σε θεωρητικά ζητήματα ασφαλείας του συστήματος. Η διαδικασία
αυτή μπορεί να είναι αρκετά αναλυτική, χρονοβόρα και να ενσωματώνει πολλούς
επιμέρους εσωτερικούς ελέγχους. Το πόσο αναλυτική θα είναι αφορά τόσο την δομή

13
και τις διαδικασίες της εταιρείας, όσο και μέχρι ποιο βαθμό αξιολόγησης θέλει η
εταιρεία να προχωρήσει. Η χρυσή τομή βρίσκεται κατόπιν συνεννοήσεως με την
εταιρεία αξιολόγησης ασφαλείας και με την εταιρεία – πελάτη. Στο τέλος, τα
αποτελέσματα της αξιολόγησης καταγράφονται σε μια αναφορά. Στην αναφορά αυτή
παρουσιάζεται μια σύνοψη των αποτελεσμάτων του ελέγχου ανά κριτήριο καθώς
επίσης και των προτεινόμενων λύσεων και στρατηγικών που καλείται να
ακολουθήσει η εταιρεία για την βελτίωση της ασφάλειας της.

Είναι αναγκαία η αξιολόγηση ασφάλειας ;

Σήμερα λόγω της παγκοσμιοποίησης και της κυριαρχίας της ελεύθερης

αγοράς το ηλεκτρονικό σκηνικό στο διαδίκτυο έχει αναγκαστεί να ακολουθήσει τους
ίδιους κανόνες της ελεύθερης αγοράς. Τα ηλεκτρονικά προϊόντα και οι πληροφορίες
διαμοιράζονται ταχύτατα σε όλο τον κόσμο με αποτέλεσμα ο ανταγωνισμός να είναι
έντονος. Οι εταιρείες για να μην χάσουν το ανταγωνιστικό τους πλεονέκτημα
καταφεύγουν στον χώρο της ασφάλειας για να προστατεύσουν τα ηλεκτρονικά τους
προϊόντα, υπηρεσίες και δεδομένα.

Το ανταγωνιστικό τους πλεονέκτημα μπορεί να είναι η αξιοπιστία της

ηλεκτρονικής εταιρείας, η μοναδικότητα των υπηρεσιών ή των προϊόντων της ή
ακόμα και των δεδομένων της. Γι’ αυτό το λόγο η ασφάλεια δεν μπορεί να θεωρηθεί
ως μια απλή στατική διαδικασία που πρέπει μια εταιρεία να την λαμβάνει υπόψη της
στην αρχή υλοποίησης του δικτύου της και του συστήματος της και κατόπιν να την
παραμελεί. Η ασφάλεια πρέπει να γίνει ένα αναπόσπαστο μέρος του σχεδιασμού μια
επιχείρησης. Η συνεχής και ταχεία ανάπτυξη νέων τεχνολογικών επιτευγμάτων και
προγραμμάτων μας αναγκάζουν να βλέπουμε την ασφάλεια σαν δυναμική διαδικασία
για να μπορέσουμε να είμαστε πάντα προετοιμασμένοι σε νέες απειλές.

Ο μοναδικός τρόπος για να ελαχιστοποιήσουμε τις πιθανότητες για να

απειληθούν τα συστήματα μας είναι η πρόληψη. Σε αυτή την φάση μπορεί να μας
βοηθήσει ένας αξιολογητής ασφαλείας. Το συγκεκριμένο άτομο θα προσπαθήσει να
εντοπίσει τα τρωτά σημεία στο δίκτυο μας και να μας δείξει πως θα τα διορθώσουμε.
Αξίζει να σημειώσουμε ότι η αξιολόγηση ασφαλείας που θα πραγματοποιηθεί από

14
ένα τέτοιο άτομο θα μας δώσει μια συνολική εικόνα για την αξιοπιστία των
συστημάτων μας.

Επιπλέον ένα σημαντικό στοιχείο το οποίο πρέπει να λάβουμε υπόψη μας

για την επιτακτικότατα της αξιολόγησης ασφαλείας είναι το γεγονός ότι μαζί με την
βελτίωση των τεχνολογικών εφαρμογών βελτιώνονται και τα εργαλεία που
χρησιμοποιούν οι εισβολείς. Επομένως, είναι επακόλουθο να αυξάνονται οι
ηλεκτρονικές απειλές. Ενδεικτικά, η ομάδα Computer Emergency Response Team
(CERT) των Η.Π.Α που καταγράφει παγκοσμίως αναφορές για ηλεκτρονικά
εγκλήματα παρατήρησε ότι το 2004 από το ηλεκτρονικό έγκλημα υπήρχαν
οικονομικές απώλειες της τάξεως των $141,496,560 εκατομμυρίων δολαρίων.

Συνοψίζοντας, οι κυριότεροι παράγοντες που μας αναγκάζουν να στραφούμε

στην αξιολόγηση της ασφάλειας των συστημάτων μας είναι οι εξής :

• Η εξάπλωση των κακόβουλων λογισμικών (ιών, σκουληκιών κ.α.)

• Η ύπαρξη ανασφαλών ασύρματων δικτύων LANs

• Η πολυπλοκότητα των σύγχρονων δικτύων

• Η συνεχής αναβάθμιση των λειτουργικών συστημάτων και των

λογισμικών

• Η άμεση διαθεσιμότητα Hacking εργαλείων

• Η φύση του ανοιχτού κώδικά και των αντίστοιχων εργαλείων ασφαλείας

• Η αξιοπιστία της εταιρικής εικόνας στο διαδίκτυο

• Οι ανάγκες του Marketing

• Η συμμόρφωση με τα κοινώς αποδεκτά εταιρικών πρότυπα και κανόνες σε

επίπεδο ασφαλείας

• Η ανάγκη για χρήση αξιολόγησης ασφαλείας μεταξύ των εταιρικών

συνεργατών

• Η ύπαρξη του κινήματος του Hacktivism

15
 Καταλήγοντας, η εταιρεία πρέπει να αναζητήσει μια αξιόπιστη επιχείρηση η
οποία θα προβεί στην αξιολόγηση ασφαλείας. Θα πρέπει να προσέχει τα άτομα να
είναι υπεύθυνα, έμπειρα και εχέμυθα έτσι ώστε να μην διατρέχει κίνδυνο λαθών
απειρίας ή εκμετάλλευσης των πληροφοριών από τρίτους. Ένα κρίσιμο κριτήριο θα
είναι η εταιρία που θα αναλάβει την αξιολόγηση να είναι χρόνια στο χώρο και τα
άτομα που θα την στελεχώνουν να είναι κάτοχοι πιστοποιήσεων ασφαλείας όπως οι
πιστοποιήσεις CCIE Security, CEH, CISSP, CCSP,GIAC, OPSTA και Security+ .

Υπάρχει νομική διάσταση στον χώρο της αξιολόγησης ασφάλειας;

Προτού αναφερθούμε στην νομική διάσταση του χώρου της αξιολόγησης

ασφαλείας θα πρέπει πρώτα να κατανοήσουμε τους νόμους οι οποίοι ορίζουν το χώρο
στο οποίο δρα το ηλεκτρονικό έγκλημα. Η αναφορά αυτή είναι απαραίτητη τόσο για
την δική μας ελευθερία κινήσεων σε μια αξιολόγηση ασφαλείας όσο και για να
διαβεβαιώσουμε τους πελάτες μας ή την δική μας εταιρεία για την νομιμότητα των
πράξεων μας και των αποτελεσμάτων μας.

Τα ηλεκτρονικά εγκλήματα θα μπορούσαμε να τα χωρίσουμε σε δύο κύριες

κατηγορίες :

1. Τα εγκλήματα τα οποία χρησιμοποιούν άλλους H/Y για να διευκολύνουν

τις ενέργειες τους. Σε αυτή την περίπτωση συγκαταλέγονται η αποθήκευση στοιχείων
απάτης (συνήθως οικονομική), ψευδής αναπαράσταση της ηλεκτρονικής
ταυτότητας, παράνομη αναπαραγωγή και διανομή υλικού πνευματικής ιδιοκτησίας
κ.α.

2. Τα εγκλήματα τα οποία έχουν σαν στόχο ένα H/Y. Σε αυτή την κατηγορία
είναι αρκετά δύσκολο να εντοπίσουμε την ταυτότητα, τον τόπο δράσης του
εγκληματία και άλλες λεπτομέρειες λόγω της εμπλοκής συνήθως πολύπλοκων
τεχνολογικών τεχνικών επίθεσης. Ένα χαρακτηριστικό στοιχείο είναι ότι από αρμόδιο
όργανο του CSI/FBI παρατηρήθηκε το 2002 από το 90% των δηλωμένων
ηλεκτρονικών παραβιάσεων μόνο το 34% οδηγήθηκε στο νόμο.

16
 Όσον αφορά την αξιολόγηση ασφαλείας έχουν ψηφιστεί αρκετοί νόμοι που
καθορίσουν το νομικό πλαίσιο της. Οι νόμοι αυτοί διαφέρουν από χώρα σε χώρα γι’
αυτό και πρέπει να γνωρίσουμε σε γενικές γραμμές το παγκόσμιο αυτό νομικό
γίγνεσθαι.

Στην Ευρώπη υπάρχουν οδηγίες και νόμοι που καθορίζουν τι ισχύει για το
ηλεκτρονικό έγκλημα. Πιο συγκεκριμένα, ο κοινός οργανισμός οικονομικής
συνεργασίας και ανάπτυξης (Organisation for Economic Co-Operation and
Development-OECD) προώθησε ειδικές οδηγίες για την ασφάλεια τις οποίες
καλούνται να τις εφαρμόσουν τα κράτη-μέλη για να υπάρχει οικονομική ανάπτυξη.
Το 1992 εκδόθηκαν οι οδηγίες αυτές για την ασφάλεια των πληροφοριακών
συστημάτων και δικτύων και στις 2 Ιουλίου του 2002 αναθεωρήθηκαν. Στην
αναθεώρηση αυτή προτείνονται οι καλές πρακτικές που πρέπει να ακολουθηθούν για
την ασφάλεια και για την αξιολόγηση ασφαλείας. Ειδικότερα, αναφέρεται ότι η
αξιολόγηση ασφαλείας είναι απαραίτητη για να διαπιστωθούν κενά και να
διορθωθούν οι πολιτικές ασφαλείας, οι πρακτικές, τα μέτρα αντιμετώπισης και οι
διαδικασίες σε μια εταιρεία. Επιπλέον, πρέπει να αναφέρουμε ότι η Αγγλία και η
Γαλλία έχουν συστήσει ξεχωριστά ειδικά κρατικά συμβούλια για την προστασία των
χρηστών και των εταιριών από τα ηλεκτρονικά εγκλήματα. Ακόμη, το 1995 τα κράτη
της ευρωπαϊκής ένωσης κλήθηκαν μέσα από μια ντιρεκτίβα που κατατέθηκε από το
Ευρωπαϊκό κοινοτικό συμβούλιο προστασίας δεδομένων να ακολουθήσουν τις
οδηγίες OECD ενώ παράλληλα έχοντας σαν βάση αυτές να συντάξουν παρόμοιες
εθνικές οδηγίες ασφαλείας.

Από την άλλη μεριά, οι Η.Π.Α. διαχωρίζουν το νομικό πλαίσιο ασφαλείας σε

νόμους που αναφέρονται σε παράνομες ενέργειες μέσα σε πληροφορικά συστήματα
και σε νόμους που επιτρέπουν με σαφείς οδηγίες την αξιολόγηση ασφαλείας.

Ορισμοί στον χώρο της αξιολόγησης ασφαλείας

Η αξιολόγηση ασφαλείας περιλαμβάνει ορισμούς που αναφέρονται στον

σκοπό πρόσβασης, στον τρόπο πρόσβασης σε ένα πληροφοριακό σύστημα και στις
μεθόδους αξιολόγησης ασφαλείας.

17
 Κατ’ αρχήν, ο ορισμός “Ηacking” πρωτοαναφέρθηκε από το τεχνολογικό
ινστιτούτο της Μασαχουσέτης (MIT) την δεκαετία του 1960 όταν σε συνεργασία με
τον σύλλογο Tech Model Railroad Club (TMRC) προσπάθησαν να βελτιώσουν τα
κυκλώματα των δικών τους μοντέλων των τραίνων με σκοπό να βελτιστοποιήσουν
την απόδοση τους. Ο σύλλογος ήθελε να αναλύσουν μαζί με το MIT εκ νέου τα
κυκλώματα και να τα μετασχηματίσουν έχοντας σαν βάση στην μελέτη τους τον
τρόπο λειτουργίας τους. Σήμερα ο χαρακτηρισμός “Hacking” κατέληξε να σημαίνει
την διαδικασία κατά την οποία προσπαθεί κάποιος να αυξήσει την αποδοτικότητα
ενός προγράμματος ή ενός συστήματος τροποποιώντας ή μετασχηματίζοντας το
πληροφοριακό σύστημα ή το δίκτυο.

Από την άλλη πλευρά, ο ορισμός “Cracking” αναφέρεται σε όσους

χρησιμοποιούν με επιθετικές διαθέσεις τις διαδικασίες του hacking όπως την εισβολή
σε ένα υπολογιστικό σύστημα.

Τα άτομα αυτά αν και χρησιμοποιούν τις ίδιες μεθοδολογίες τα χωρίζει ο

διαφορετικός στόχος που έχουν. Οι μεν πρώτοι που έχουν σαν στόχο να
υπερασπιστούν τα συστήματα τους καλούνται ethical hacker ή white-hat hackers. Η
δουλειά τους είναι να αναλύουν και να εντοπίσουν σφάλματα στα πληροφοριακά
συστήματα με σκοπό να τα διορθώσουν έτσι ώστε να τα κάνουν πιο αποδοτικά.

Στο απέναντι στρατόπεδο βρίσκονται τα άτομα που εκμεταλλεύονται τα

τρωτά σημεία των συστημάτων και προκαλούν επιθέσεις. Ο σκοπός τους είναι να τα
εκμεταλλευτούν για δικός τούς όφελος ή για τρίτους. Εκείνοι καλούνται black-hat
hacker ή critical hackers.

Τέλος, υπάρχουν εκείνοι που χρησιμοποιούν τις γνώσεις στο χώρο του
hacking πότε με έννομο και πότε άνομο τρόπο και γι’ αυτό και χαρακτηρίζονται ως
grey hat hackers.

Στην σημερινή εποχή οι εταιρείες λόγω της μαζικής και έντονης

δραστηριοποίησης τους στον χώρο του διαδικτύου και της πληροφορικής είναι
υποχρεωμένες να δώσουν μεγάλη έμφαση στην ασφάλεια. Η ασφάλεια δεν αφορά
μόνο την υλοποίηση του δικτύου μιας εταιρείας αλλά και όλο το σύνολο των
υπηρεσιών που υποστηρίζει μια εταιρεία μέσα από το διαδικτυακό της υπολογιστικό
σύστημα. Γι’ αυτό το λόγο πρέπει να έχει στο ενεργητικό της άτομα που θα μπορούν

18
να αξιολογήσουν το σύνολο της ηλεκτρονικής ασφάλειας της. Ένα τέτοιο άτομο
καλείται αξιολογητής ασφάλειας υπολογιστικών συστημάτων – penetration tester. Το
άτομο αυτό είναι ένας “ηθικός” hacker και αμείβεται για να μπορέσει να εισβάλει στο
δίκτυο της επιχείρησης με σκοπό να αξιολογήσει το επίπεδο ασφάλειας της.

Όταν δουλεύει μια ομάδα από ethical hackers για την εισβολή σε ένα δίκτυο
καλείται tiger team. Οι διαδικασίες που πρέπει να ακολουθήσει σε μια τέτοιου είδους
αξιολόγηση συνήθως γίνεται κατόπιν διευκρινιστικών οδηγιών από την επιχείρηση.
Χαρακτηριστικό είναι το παράδειγμα ότι συνήθως δεν μπορεί να χρησιμοποιήσει
επιθέσεις τύπου άρνησης παροχής υπηρεσιών (denial of service–DoS ) ή να
εγκαταστήσει ιούς διότι τα αποτελέσματα μπορούν να αποβούν καταστροφικά για
όλο το εταιρικό περιβάλλον. Παρόλα αυτά, η κάθε εταιρεία καθορίζει ανάλογα με τις
ανάγκες της πόσο λεπτομερής και εξονυχιστική θα είναι μια αξιολόγηση ασφαλείας.

Μέθοδοι αξιολόγησης ασφαλείας

Ένας αξιολογητής ασφάλειας μπορεί να πραγματοποιήσει τρεις διαφορετικές

μεθόδους αξιολόγησης ασφαλείας με βάση την οπτική από την οποία αξιολογεί και
επεμβαίνει στο σύστημα:

• Μαύρο κουτί- black-box: Σε αυτό τον τύπο αξιολόγησης ο υπεύθυνος

δεν έχει προηγούμενη γνώση για την επιχείρηση. Η εταιρεία αποτελεί ένα
μαύρο κουτί για εκείνον οπότε καλείται να εισβάλει σε ένα ιστότοπο ή σε μια
διεύθυνση IP σαν να ήταν ένας κακόβουλός hacker.

• Λευκό κουτί – white box: Ο αξιολογητής έχει πλήρη εικόνα για το

εσωτερικό δίκτυο. Γνωρίζει τις εφαρμογές που τρέχουν και τα διαγράμματα
της αρχιτεκτονικής του δικτύου. Αν και αυτός ο τύπος δεν είναι τόσο
ρεαλιστικός παραμένει όμως ο πιο εξονυχιστικός διότι λαμβάνει υπόψη του το
χειρότερο δυνατό σενάριο εισβολής σ' ένα σύστημα.

• Γκρι ή κρυστάλλινο κουτί – gray box : Η περίπτωση αυτής της

αξιολόγησης θέτει τον αξιολογητή σε μια θέση ενός υπαλλήλου σε μια
εταιρεία υπό την μορφή προσομοίωσης. Σε αυτό τον τύπο του παρέχονται
κωδικοί πρόσβασης στο δίκτυο της εταιρείας σαν να ήταν ένας κοινός
19
 υπάλληλος και σκοπό έχει να αποτιμήσει τις πιθανότητες για ενδεχόμενες
εσωτερικές απειλές μέσα στο σύστημα της επιχείρησης.

Ο αξιολογητής ασφαλείας μόλις αναλάβει τα καθήκοντα του πρέπει να

καθορίσει ένα σχέδιο δράσης Το σχέδιο αυτό θα πρέπει να ικανοποιεί τόσο τον σκοπό
της αξιολόγησης ασφαλείας όσο και τους επιμέρους στόχους που έχουν
προκαθοριστεί από την επιχείρηση. Γι’ αυτό το λόγο θα πρέπει να διευκρινιστεί ο
χώρος δράσης του αξιολογητή. Ο χώρος αυτός προκύπτει από την απάντηση των
παρακάτω βασικών ερωτήσεων από την εταιρεία -πελάτη :

Η αξιολόγηση θα πραγματοποιηθεί εντός ή εκτός των ωρών εργασίας ;

Επιτρέπονται οι επιθέσεις τύπου άρνησης παροχής υπηρεσιών ;

Επιτρέπονται η εγκατάσταση προγραμμάτων Trojan στα συστήματα στόχος ;

Επιτρέπεται η παραμόρφωση του ιστότοπου ;

Επιτρέπεται η διαγραφή των αρχείων καταγραφής ;

Τι τύπος αξιολόγησης θα χρησιμοποιηθεί (black-box, white-box, ή gray-box) ;

Θα ενημερωθεί το τμήμα IT για την αξιολόγηση ασφαλείας ;

Ποια συστήματα θα αποτελέσουν τον στόχο (target-of-evaluation - TOE) ;

Θα εξεταστεί και η παράμετρος του social engineering δηλαδή της επίθεσης

με εκμετάλλευση πληροφοριών από τις υπάρχουσες κοινωνικές δομές ή και σχέσεις
του προσωπικού ;

Στην συνέχεια, ακολουθείται μια μεθοδολογία αξιολόγησης

παραμετροποιημένη στα χαρακτηριστικά του πελάτη που ακολουθεί συνήθως κάποιο
πρότυπο. Το αποτέλεσμα αυτής είναι μια αναφορά μέσα από την οποία εξάγονται
κάποια συμπεράσματα και αποτελέσματα για την ασφάλεια της εταιρείας. Μέσα από

20
την αναφορά του ο αξιολογητής έχει εξετάσει το ενδεχόμενο της ύπαρξης πιθανών
απειλών και αδύναμων σημείων μέσα στο σύστημα.

Με τον όρο απειλή (Threat) εννοούμε ένα περιβάλλον ή μία κατάσταση που
μπορεί να προκαλέσει ζημιά ή παραβίαση σε τμήμα ή στο σύνολο του δικτύου. Ο
αναλυτής έχει σαν προτεραιότητα να αναζητήσει πιθανές απειλές μέσα στο σύστημα.

Όταν αναφερόμαστε στον ορισμό τρωτότητα –ευπάθεια (Vulnerability)

υποδηλώνουμε την ύπαρξη μιας αδυναμίας στη λειτουργία ή στον λογικό σχεδιασμό
ή και στην υλοποίηση του λογισμικού του συστήματος που αν την εκμεταλλευτεί
κάποιος μπορεί να είναι επιζήμια για την ακεραιότητα της ασφαλείας του
συστήματος. Χαρακτηριστικά αναφέρουμε ότι πολλά portals που βασίζονται σε
ανοιχτού κώδικα εργαλεία για την κατασκευή τους όπως τα Joomla, Vbulletin,
Drupal παρατηρούνται να έχουν πολλές αδυναμίες (κατά βάση SQL injection
vulnerabilities) στην λειτουργία τους και στην υλοποίηση της κατασκευής των
ιστότοπων.

Ένα ακόμα σημαντικό σημείο στην ορολογία της αξιολόγησης ασφαλείας

είναι οι επονομαζόμενες “αδυναμίες – κενά – τρύπες” – exploit. Αυτές αποτελούν ένα
μικρό μέρος του λογισμικού στο οποίο εντοπίζονται προγραμματιστικά σφάλματα.
Τα σφάλματα αυτά οδηγούν συνήθως σε παράνομη πρόσβαση στο σύστημα και σε
κατάρρευση τύπου DoS του δικτύου του πληροφοριακού συστήματος. Τα exploits
προσδιορίσουν έναν προκαθορισμένο τρόπο παραβίασης της ασφάλειας ενός
πληροφοριακού συστήματος σε μια κατάσταση αδυναμίας (Vulnerability). Τα
exploits κατηγοριοποιούνται σε εκείνα που εκμεταλλεύονται αδυναμίες του
συστήματος με σκοπό την πρόσβαση σε αυτό και σε εκείνα που στοχεύουν στην
απόκτηση περισσότερων δικαιωμάτων μέσα στο σύστημα. Οι αναλυτές με την χρήση
κατάλληλων εργαλείων προσπαθούν να εντοπίσουν “κενά ” που βασίζονται στην
λανθασμένη ή μη παραμετροποίηση του λειτουργικού συστήματος, του δικτύου και
των προεγκατεστημένων εφαρμογών του συστήματος. Η εύρεση τέτοιων “κενών”
ασφαλείας και η διόρθωση τους μπορούν να αποτρέψουν μια πιθανή επίθεση στο
πληροφοριακό σύστημα ή δίκτυο- στόχο.

Το τελευταίο κομμάτι στο οποίο πρέπει να συνεισφέρει με την αναφορά του

είναι ο σχεδιασμός της νέας πολιτική ασφαλείας. Σαν το πιο αρμόδιο άτομο πρέπει να

21
καθοδηγήσει τον οργανισμό ή την εταιρεία για να κάνει τις απαραίτητες διορθωτικές
κινήσεις έτσι ώστε να είναι πιο ασφαλής. Επιπλέον, οφείλει να εντοπίσει και εν
συνεχεία να διορθώσει γνωστά κενά ασφαλείας των συστημάτων και των δικτύων και
καθώς και να εντοπίσει με τις κατάλληλες τεχνικές, πρωτοεμφανιζόμενα “κενά” των
συστημάτων (zero-day exploits).

Τέλος, η αναφορά της αξιολόγησης θα πρέπει να φυλαχθεί σε ασφαλές μέρος

και αν καταθέτεται ηλεκτρονικά να είναι κρυπτογραφημένη για αποφυγή εντοπισμού
της και εκμετάλλευσης των πληροφοριών της από τρίτους.

Ο σχεδιασμός για την αξιολόγηση ασφάλειας

Το επόμενο κομμάτι στο οποίο θα πρέπει να εστιάσουμε την προσοχή μας

είναι ο σχεδιασμός της διαδικασίας της αξιολόγησης ασφαλείας ενός συστήματος ή
ενός δικτύου.

Το πλάνο μας στηρίζεται στην πορεία που θα ακολουθήσει ένας κακόβουλος

hacker για να επιτεθεί στο σύστημα μας. Έχοντας κατά νου την πορεία του, μπορούμε
να προβλέψουμε όλα τα πιθανά σενάρια επίθεσης, προστατεύοντας με αυτό τον
τρόπο όσον το δυνατόν καλύτερα το σύστημα μας. Πιο συγκεκριμένα, θα
περιγράψουμε τα βήματα από την προετοιμασία μέχρι και την υλοποίηση μια
επίθεσης.

Τα βήματα τα οποία ακολουθούνται στον σχεδιασμό ενός πλάνου

αξιολόγησης είναι τα εξής :

1. Βήμα αναγνώρισης του στόχου (Performing Reconnaissance) Σε αυτή την

φάση συλλέγουμε τις πληροφορίες που χρειαζόμαστε για την επίθεση στο μηχάνημα
στόχο. Η συλλογή των πληροφοριών μπορεί να γίνει με τεχνικές άμεσου ή με
έμμεσου τρόπου. Ο έμμεσος τρόπος αναγνώρισης (passive reconnaissance)
στηρίζεται σε πληροφορίες που μπορούμε να συλλέξουμε χωρίς να έρθουμε σε επαφή
με το σύστημα όπως με το social engineering. Ο άμεσος τρόπος αναγνώρισης (active
reconnaissance) περιλαμβάνει τεχνικές που είναι δύσκολα εντοπίσιμες παρά την

22
επαφή μας με το σύστημα. Χαρακτηριστικά μπορεί να είναι μια σάρωση των θυρών ή
άντληση πληροφοριών από τον ιστότοπο του στόχου.

2. Σάρωση και απαρίθμηση πολύτιμων πληροφοριών(Scanning &

enumeration) Το συγκεκριμένο βήμα θεωρείται σαν συνέχεια του άμεσου τρόπου
αναγνώρισης πληροφοριών για το μηχάνημα στόχο. Με την διαδικασία της σάρωσης
προσπαθούμε να συνδεθούμε στο σύστημα για να αποσπάσουμε χρήσιμες
πληροφορίες για τις θύρες του. Ακόμη, με την απαρίθμηση προσθέτουμε στο
ενεργητικό μας πληροφορίες πιο ουσιαστικές όπως εύρεση φακέλων κοινής χρήσης
και πληροφορίες για του χρήστες του συστήματος.

3. Επιτυχία πρόσβασης στο σύστημα (Gaining access) Το βήμα αυτό

χαρακτηρίζει την φάση της επίθεσης. Ο εισβολέας μπορεί να περιηγηθεί στο σύστημα
στόχο. Συνηθισμένες τακτικές είναι η εύρεση ενός τρωτού σημείου μιας εφαρμογής
που τρέχει στο σύστημα στόχος και η ανοιχτή πρόσβαση σε ένα ασύρματο δίκτυο. Η
εκμετάλλευση του συστήματος στόχος από τον εισβολέα εξαρτάται πάντα από τις
γνώσεις και τις δεξιότητες του.

4. Συντήρηση του τρόπου πρόσβασης (Maintaining access) Στο σημείο αυτό

ο εισβολέας πραγματοποιεί δυο βασικές διαδικασίες. Η πρώτη είναι η κλιμάκωση της
πρόσβασης του σε όλα τα επίπεδα του συστήματος. Σε αυτή την διαδικασία
προσπαθεί να κλέψει τους κωδικούς του διαχειριστή και των άλλων χρηστών. Ακόμη,
εμποδίσει να εισέλθουν τρίτοι στο σύστημα διορθώνοντας άλλα τρωτά σημεία και
κρατώντας την πρόσβαση μόνο για εκείνον. Η δεύτερη διαδικασία εστιάζεται στον
τρόπο με τον οποίο θα διατηρήσει ο εισβολέας πρόσβαση στο σύστημα μελλοντικά
χωρίς να εντοπιστεί. Η επιλογή συνήθως των εισβολέων είναι ένα πακέτο εργαλείων
που κρύβει την παρουσία του εισβολέα από το σύστημα. Ένα σύνολο από τέτοια
εργαλεία ονομάζεται rootkit. Μία άλλη εναλλακτική δυνατότητα είναι η χρήση
έτοιμων κακόβουλων προγραμμάτων όπως οι “Δούρειοι Ίπποι” και προγράμματα που
δρουν ως “Κερκόπορτες”. Επιπλέον, έχει την δυνατότητα μέσα από προγράμματα
καταγραφής πακέτων (sniffers) να καταγράψει την κίνηση των χρηστών στο σύστημα
καθώς και άλλων τρίτων.

5. Διαγραφή των στοιχειών επίθεσης (Covering tracks) Το τελικό στάδιο στο

σχεδιασμό μας έχει να κάνει με τις ενέργειες που μπορεί να κάνει ο εισβολέας για να
σβήσει τα ίχνη του. Συνηθίζεται να κρύβουν τα αρχεία καταγραφής των συστημάτων
23
και των εφαρμογών (log files) να τα τροποποιούν ή και να τα διαγράφουν.
Επιπρόσθετα, χρησιμοποιούν τεχνικές απόκρυψης και μεθόδους εναλλαγής της ροής
των δεδομένων (Alternate Data Streams - ADS).

Εργαλεία αξιολόγησης ασφαλείας

Τα εργαλεία αξιολόγησης ασφαλείας που μπορεί να χρησιμοποιήσει κάποιος

αξιολογητής διαφοροποιούνται ανάλογα με την χρηστικότητα τους. Το κάθε εργαλείο
έχει σχεδιαστεί με γνώμονα να δίνει λύση σε ένα πρόβλημα. Παραδείγματος χάρη αν
θέλει κάποιος να βρει ένα κωδικό για ένα λειτουργικό σύστημα θα χρειαστεί ένα
εργαλείο εύρεσης κωδικών.

Οι κατηγορίες των εργαλείων αξιολόγησης είναι οι εξής :

• Εργαλεία συλλογής πληροφοριών ( Footprinting Tools) Τα πιο γνωστά

εργαλεία είναι τα εξής: Nslookup, Whois,ARIN, Neo Trace, VisualRoute Trace
SmartWhois, eMailTrackerPro, Website watcher, Google,Google Earth,GEO
Spider,HTTrack Web,Googlag, MyIP Suite,BiLe Suite, Alchemy Network Tool,Wikt,
Lan Whois,Country Whois,WhereIsIP,Ip2country,CallerIP, Samspade, SpiderFoot,
Web The Ripper, Necrosoft Advanced DIG, DomainKing, Domain Name Analyzer,
MSR Strider URL Tracer, Mozzle Domain Name Pro, Path Analyzer Pro, Maltego,
Read Notify και Netcraft Toolbar.

• Εργαλεία εύρεσης κωδικών ( Password Crackers) Τα πιο γνωστά εργαλεία

είναι τα Cain and Abel, John the Ripper, THC Hydra, Aircrack, Airsnort, SolarWinds,
Pwdump, RainbowCrack και το Brutus.

• Εργαλεία καταγραφής πακέτων (Packet Sniffers) Όπως τα εξής: Wireshark,

Kismet, Tcpdump, Dsniff, Ettercap, NetStumbler, Ntop και KisMAC

• Εργαλεία ανίχνευσης Ευπαθειών (Vulnerability Scanners) Όπως τα εξής:

Nessus, GFI LANguard, Retina, Core Impact, ISS Internet Scanner, X-scan,
Sara,QualysGuard, SAINT και MBSA

24
 • Εργαλεία ανίχνευσης Ευπαθειών σε διακομιστή ιστοσελίδων (Web
Vulnerability Scanners) Όπως τα εξής: Nikto, Paros proxy, WebScarab, WebInspect,
Burpsuite, Wikto, Acunetix WVS, Watchfire AppScan και N-Stealth.

• Εργαλεία καταγραφής πακέτων σε ασύρματα δίκτυα (Wireless Tools) Όπως

τα εξής: Kismet, NetStumbler, Aircrack, Airsnort και KisMAC.

• Εργαλεία ανίχνευσης και εκμετάλλευσης Ευπαθειών (Vulnerability

Exploitation Tools) Όπως τα εξής: Metasploit Framework, Core Impact και Canvas

• Εργαλεία καταγραφής και παραμετροποίησης πακέτων (Packet Crafting

Tools) Όπως τα εξής: Hping2, Scapy, Nemesis και Yersinia.

Επιπλέον, τα εργαλεία αυτά έχουν κατασκευαστεί για να υποστηρίζουν

ορισμένα ή μια κατηγορία λειτουργικών συστημάτων. Συνήθως, προορίζονται για
συστήματα Linux και Unix έτσι ώστε να μπορούν να χρησιμοποιούν την ευελιξία που
προσφέρει η χρήση του ανοιχτού κώδικα. Τα προγράμματα αυτά κατασκευάζονται με
υλικό ανοιχτού κώδικα και υπάγονται σε άδειες χρήσης ελεύθερου λογισμικού. Αυτό
έχει σαν αποτέλεσμα οι χρήστες να διαμοιράζονται δωρεάν τα προγράμματα, να τα
βελτιώνουν, να τα τροποποιούν και να ενσωματώνουν πολλές φορές μεταξύ τους δύο
ή και περισσότερα για λόγους ευχρηστίας. Η λίστα με τα καλύτερα όλων αυτών
βρίσκεται στην ιστοσελίδα http://sectools.org/.

Ο ορισμός της Έμπιστης Τρίτης Οντότητας

Ως ΕΤΟ μπορούμε να χαρακτηρίσουμε μία Αρχή Ασφάλειας ή κάποιον

αντιπρόσωπό της, την οποία εμπιστεύονται οι άλλες οντότητες σε σχέση με
δραστηριότητες που είναι συναφείς με την ασφάλεια. Περιγραφικά, μπορούμε να
θεωρήσουμε την ΕΤΟ ως έναν αμερόληπτο διαπιστευμένο φορέα, ο οποίος
απολαμβάνει επιχειρηματικής εμπιστοσύνης για μία ηλεκτρονική δοσοληψία, με
βάση τεχνικά, νομικά και κανονιστικά κριτήρια. Η ΕΤΟ παρέχει τους μηχανισμούς
που είναι απαραίτητοι για την υλοποίηση μίας ασφαλούς ηλεκτρονικής συναλλαγής,
καθώς και για συναφείς διαδικασίες διαιτησίας. Οι υπηρεσίες που παρέχει
διασφαλίζονται όχι μόνο τεχνικά, αλλά νομικά και οικονομικά , δηλαδή ακολουθούν

25
τους σύγχρονους τεχνικούς, οικονομικούς, νομικούς και ηθικούς κανόνες. Οι
Έμπιστες Τρίτες Οντότητες είναι λειτουργικά διασυνδεδεμένες με μια αλυσίδα
εμπιστοσύνης που συχνά αναφέρεται ως ‘διαδρομή πιστοποίησης’ δημιουργώντας
την υποδομή δημοσίου κλειδιού (Public Key Infrastructure - PKI) σε εταιρικό, εθνικό
ή διεθνές επίπεδο.

Οι ΕΤΟ εκδίδουν και ανακαλούν ψηφιακά πιστοποιητικά, διαχειρίζονται

κλειδιά και παράγουν αποδεικτικά τεκμήρια για τους πελάτες τους, οι οποίοι μπορεί
να είναι πρόσωπα, υπολογιστές, δικτυακοί τόποι ή άλλες ΕΤΟ. Μπορούν να
λειτουργούν ανεξάρτητα προβλέποντας μηχανισμούς επικοινωνίας και δια-
πιστοποίησης με άλλες ΕΤΟ, είτε να συμμετέχουν σε μια ιεραρχική δομή
αποκεντρωμένων διαχειριστικά ΕΤΟ διαμορφώνοντας έτσι ένα δίκτυο εμπιστοσύνης.
Βασική αρχή της λειτουργίας τους είναι η εμπιστοσύνη των πελατών της για τις
υπηρεσίες που παρέχουν, ενώ εγγυώνται την ακρίβεια της αντιστοίχισης ενός
ψηφιακού πιστοποιητικού με το αναφερόμενο υποκείμενο, αλλά και την ακρίβεια των
στοιχείων που περιέχονται σε άλλα τεκμήρια όπως οι χρονοσφραγίδες.

Η ΕΤΟ ως πάροχος υπηρεσιών ασφάλειας

Για την αποτελεσματική υλοποίηση ενός ολοκληρωμένου πλαισίου

λειτουργίας ηλεκτρονικών συναλλαγών, απαιτείται η ανάπτυξη μεθοδολογιών και η
υλοποίηση μηχανισμών και τεχνικών εποπτείας για την επίτευξη της ασφάλειας.
Κατά το παρελθόν, ένα σύνολο φορέων και οργανισμών υποστήριζαν την αξιόπιστη
ανταλλαγή στοιχείων και την ασφαλή λειτουργία δοσοληψιών, όπως οι τράπεζες, οι
ταχυδρομικές υπηρεσίες και τα εμπορικά επιμελητήρια. Στις διαδικασίες
ηλεκτρονικού εμπορίου και γενικότερα στις διαδικασίες ανταλλαγής πληροφοριών
μέσω ανοικτών κατανεμημένων δικτύων, δημιουργούνται νέοι ενδιάμεσοι φορείς, οι
Έμπιστες Τρίτες Οντότητες - ΕΤΟ (Trusted Third Parties - TTP).

Όταν ένα σύνολο χρηστών επιθυμεί να επικοινωνήσει με ασφάλεια

χρησιμοποιώντας κρυπτογραφικές μεθόδους, πρέπει να ληφθούν τα κατάλληλα μέτρα
για τη διανομή των κλειδιών που απαιτούνται. Θεωρητικά, κάθε χρήστης πρέπει να
λαμβάνει ένα κλειδί από κάθε οντότητα με την οποία επιθυμεί να επικοινωνήσει,

26
ανεξάρτητα από τη συγκεκριμένη εφαρμογή. Για μία ομάδα χρηστών μικρού
μεγέθους το πρόβλημα θα ήταν εύκολο να επιλυθεί, αλλά για μεγάλες και ανοικτές
ομάδες το πρόβλημα γίνεται διαρκώς ολοένα δυσκολότερο και για την επίλυσή του
απαιτείται η ύπαρξη της ΕΤO.

Συνεισφορά της ΕΤΟ στην ασφάλεια ενός ΠΣ

Όπως έχουμε ήδη περιγράψει ένα Πληροφοριακό Σύστημα αποτελείται από

ανθρώπους, λογισμικό, υλικό, διαδικασίες και δεδομένα, τα οποία αλληλεπιδρούν
μεταξύ τους και με το περιβάλλον. Ο όρος «ασφάλεια πληροφοριακών συστημάτων»
δίνει έμφαση στην προστασία αυτών των συστατικών στοιχείων ενός ΠΣ αλλά και
του ίδιου του ΠΣ, με βάση τις συγκεκριμένες απαιτήσεις που έχουν τεθεί, στα
πλαίσια της ακολουθούμενης πολιτικής ασφάλειας. Ένα ΠΣ θεωρείται ανασφαλές
όταν δεν διαθέτει τα μέσα για τη διασφάλιση των συστατικών του στοιχείων ή όταν
δεν θεωρείται έμπιστο. Υπάρχει η δυνατότητα ένα μη-έμπιστο ανασφαλές
πληροφοριακό σύστημα να παρέχει αξιόπιστα θεμελιώδεις υπηρεσίες ασφάλειας,
προσθέτοντας στο περιβάλλον του μία νέα συνιστώσα, την Έμπιστη Τρίτη Οντότητα
με την οποία αλληλεπιδρά.

Εμπιστοσύνη και ασφάλεια

Όπως αναφέρθηκε προηγουμένως, το επίπεδο ασφάλειας ενός πληροφοριακού

συστήματος περιγράφεται από μία πολιτική ασφάλειας, η οποία καθορίζει
συγκεκριμένους κανόνες και διαδικασίες για το σύνολο των υπηρεσιών τις οποίες
αυτό παρέχει. Ένα σύστημα θεωρείται λοιπόν ασφαλές, αν οι μηχανισμοί ασφάλειας
που αυτό περιλαμβάνει υλοποιούν την περιγραφείσα πολιτική ασφάλειας. Η έννοια
‘Τρίτη’ στην ορολογία ‘Έμπιστη Τρίτη Οντότητα’ έχει να κάνει με την παρέμβαση
της σε μία αλληλεπίδραση (πιο συγκεκριμένα σε μία δοσοληψία) μεταξύ δύο άλλων
οντοτήτων, ως ανεξάρτητη οντότητα. Οι ιδιότητες Έμπιστη’ και ‘Τρίτη’ που
χαρακτηρίζουν την οντότητα αυτή ερμηνεύονται ως το αναγκαίο πλαίσιο για τη
διασφάλιση τόσο της αμεροληψίας όσο, κυρίως, της φερεγγυότητας ότι
συμμορφώνονται με την ισχύουσα πολιτική ασφάλειας. Η διαφορά μεταξύ ενός
έμπιστου τρίτου φορέα που υλοποιεί την ισχύουσα πολιτική ασφάλειας και ενός μη
27
έμπιστου τρίτου φορέα που ισχυρίζεται ότι παρέχει ισοδύναμες υπηρεσίες, δεν είναι
πάντοτε ιδιαίτερα ορατή. Βασίζεται στην εμπιστοσύνη την οποία δείχνουν οι χρήστες
στον τρίτο φορέα σχετικά με τις ισχύουσες πολιτικές και προδιαγραφές. Σημαντικός
παράγοντας για την εδραίωση της εμπιστοσύνης προς τις υπηρεσίες ασφάλειας της
τρίτης οντότητας, αποτελεί η διασφάλιση ποιότητας (quality assurance) των
υπηρεσιών αυτών. Ένα εφαρμοσμένο σύστημα ποιότητας επιβεβαιώνει σε μεγάλο
βαθμό τη συμμόρφωση προς τις απαιτήσεις, τις πολιτικές και τις διαδικασίες.

Είναι φανερό, ότι οι ορισμοί και οι αναλύσεις των όρων ασφάλεια και
εμπιστοσύνη έχουν περισσότερο διαισθητικό χαρακτήρα. Έτσι μπορούμε να δώσουμε
τους παρακάτω ορισμούς, όπου ο όρος "σε κάποιο βαθμό" χρησιμοποιείται για την
εισαγωγή σχετικότητας στους ορισμούς ασφάλειας και εμπιστοσύνης:

-ένα σύστημα θεωρείται ασφαλές (secure) αν είναι γνωστό (known) σε κάποιο

βαθμό, ότι πληροί κάθε ιδιότητα, την οποία πραγματικά οφείλει να πληροί

-ένα σύστημα θεωρείται έμπιστο (trusted) αν πραγματικά πληροί κάθε

ιδιότητα, την οποία πιστεύεται (believed) σε κάποιο βαθμό ότι πληροί.

Επειδή η αξιολόγηση και η αποτίμηση του επιπέδου εμπιστοσύνης αποτελεί

βασικό στόχο στο συνολικό οικοδόμημα των κριτηρίων αξιολόγησης ασφάλειας,
όπως στο TCSEC-Orange Book, είναι επιθυμητό η αξιολόγηση του επιπέδου
εμπιστοσύνης των υπηρεσιών ΕΤΟ να βασίζεται σε αυτά τα κριτήρια. Η ένταξη μιας
υπηρεσίας ΕΤΟ σε κάποιο επίπεδο ασφάλειας απαιτείται να περιλαμβάνει τον ορισμό
του στόχου αξιολόγησης, ο οποίος με τη σειρά του περιλαμβάνει:

• καθορισμό της πολιτικής ασφάλειας που σχετίζεται με τη

συγκεκριμένη ΕΤΟ

• επακριβή καθορισμό των λειτουργιών ασφάλειας που παρέχει η ΕΤΟ.

Το σύνολο των υπηρεσιών ασφάλειας αποτελεί το λειτουργικό
περίγραμμα (functional profile) της ΕΤΟ.

• καθορισμό των επιπέδων αποτελεσματικότητας και διασφάλισης για

τις υπηρεσίες της ΕΤΟ (π.χ. βασική, ενδιάμεση, υψηλή) ως προς την
ικανοποίηση των σχετικών απαιτήσεων.

28
Κατηγοριοποίηση των ΕΤΟ

Μία γενική κατηγοριοποίηση των ΕΤO βασίζεται στο επίπεδο εμπιστοσύνης

που απολαμβάνουν. Οι δύο κατηγορίες που προσδιορίζονται διαφοροποιούνται
έμμεσα από την ύπαρξη ή μη της δυνατότητας ανάγνωσης και παρέμβασης σε
προσωπικά ή εμπιστευτικά δεδομένα, όπως είναι για παράδειγμα ένα ιδιωτικό κλειδί
ή τα περιεχόμενα ενός κειμένου το οποίο χρονοσημαίνεται:

Λειτουργικά αποδεκτή ΕΤΟ (functionally TTP):

Πρόκειται για την περίπτωση της ΕΤΟ η οποία θεωρείται έμπιστη για την
υλοποίηση των λειτουργιών διαχείρισης ψηφιακών πιστοποιητικών και για την
παροχή υπηρεσιών προστιθέμενης αξίας που βασίζονται στην τεχνολογία
κρυπτογράφησης δημόσιου κλειδιού. Η ΕΤΟ είναι έμπιστη και αποδεκτή κυρίως για
την αξιοπιστία της διαδικασίας πιστοποίησης της ταυτότητας του αιτούντος που
προηγείται της έκδοσης πιστοποιητικού. Μία ΕΤΟ αυτού του τύπου δεν απαιτεί και
δεν επιτρέπεται να γνωρίζει τα ιδιωτικά κλειδιά των χρηστών. Η λειτουργικότητά της
περιορίζεται μόνο σε υπηρεσίες κατά τις οποίες παρεμβαίνει έμμεσα στην
πιστοποίηση της ασφάλειας των διακινούμενων δεδομένων, χωρίς να γνωρίζει το
περιεχόμενό τους. Η συνήθης πρακτική σε αυτή την περίπτωση είναι τα αποδεικτικά
τεκμήρια που παρέχονται να μην σχετίζονται με το ίδιο το περιεχόμενό των κειμένων,
αλλά με τις συνόψεις που τους αντιστοιχούν μονοσήμαντα.

Ανεπιφύλακτα αποδεκτή ΕΤΟ (unconditionally TTP):

Ο τύπος αυτός των ΕΤΟ παρέχει επιπλέον υπηρεσίες σε οργανισμούς όπου

χρησιμοποιούνται συστήματα κρυπτογράφησης και στα οποία απαιτείται να υπάρχει
δυνατότητα παράκαμψης της εμπιστευτικότητας για διάφορους θεσμικούς κυρίως
λόγους. Παράδειγμα τέτοιας περίπτωσης είναι οι εταιρείες όπου οι εργαζόμενοι
κρυπτογραφούν επιχειρησιακά δεδομένα με τα προσωπικά τους κλειδιά. Στα
δεδομένα αυτά η εταιρεία επιθυμεί να έχει πρόσβαση μετά από ενδεχόμενη
απομάκρυνση του εργαζόμενου, αφού αυτά αποτελούν σημαντικό περιουσιακό της
στοιχείο.

Η ΕΤΟ αποκτά τη δυνατότητα παρέμβασης στην εμπιστευτικότητα των

δεδομένων, συμμετέχοντας στη δημιουργία των κλειδιών. Με αυτή τη λογική η ΕΤΟ
29
είτε δημιουργεί ένα μυστικό κλειδί συμμετρικής κρυπτογράφησης και ακολούθως το
αποστέλλει με ασφαλή τρόπο σε όλα τα συναλλασσόμενα μέρη, είτε δημιουργεί το
ζεύγος ασύμμετρων κλειδιών για λογαριασμό του ιδιοκτήτη τους. Και στις δύο
περιπτώσεις η ΕΤΟ αποθηκεύει τα κλειδιά ή αναπτύσσει μηχανισμούς
αναδημιουργίας (key recovery) έτσι ώστε να έχει τη δυνατότητα να παραχωρήσει τα
μυστικά κλειδιά (key escrow) μετά από σχετική εντολή δικαστικού ή άλλου αρμόδιου
φορέα.

Επίσης η ΕΤΟ αυτού του τύπου δύναται ή πολλές φορές απαιτείται να

γνωρίζει το περιεχόμενο των μηνυμάτων ή των κειμένων για τα οποία παράγει
τεκμήρια, όπως τα συμβολαιογραφικά, τα αποδεικτικά και οι χρονοσφραγίδες. Με
αυτό τον τρόπο η ΕΤΟ έχει τη δυνατότητα να επικυρώσει επιπλέον ιδιότητες του
περιεχομένου τους, όπως η φυσική ή πνευματική ιδιοκτησία, η εγκυρότητα, η
μοναδικότητα και η επικαιρότητα.

Αυτό σημαίνει ότι οι ΕΤΟ θα μπορούσαν δυνητικά να χρησιμοποιήσουν, όλες

τις εμπιστευτικές πληροφορίες ενός Πληροφοριακού Συστήματος και αυτό τις
καθιστά ανεπιφύλακτα έμπιστες. Κατά συνέπεια, απαιτείται η λήψη οργανωτικών και
θεσμικών μέτρων για την προστασία των χρηστών από ανεπίτρεπτη χρήση. Η
προσέγγιση αυτή εμπλέκει νέες ανεξάρτητες οντότητες που αποτελούν τους
αντιπρόσωπους παράκαμψης εμπιστευτικότητας μετά την εκπλήρωση προϋποθέσεων
(escrow agents).

Συμπέρασμα

Η αλματώδεις εξελίξεις στον τομέα της Τεχνολογίας πληροφορικής και

επικοινωνιών κυριαρχούνται από την τάση για ανάπτυξη υπηρεσιών που
υποστηρίζουν την ανταλλαγή οργανωμένων δεδομένων από απόσταση και τη
διαλογική επεξεργασία των πληροφοριών. Σε κάθε περίπτωση, ανακύπτει με
ιδιαίτερη έμφαση η ανάγκη σχεδιασμού και υλοποίησης ενός πλαισίου λειτουργίας
για ένα Πληροφοριακό Σύστημα, το οποίο θα διασφαλίζει ότι η διακίνηση των
απαιτούμενων δεδομένων οδηγεί σε πληροφορίες που χαρακτηρίζονται ως ασφαλείς,

30
δηλαδή διαθέτουν τις επιμέρους ιδιότητες της εμπιστευτικότητας, της ακεραιότητας
και της διαθεσιμότητας.

Σημαντικό ρόλο στη διασφάλιση των παραπάνω χαρακτηριστικών ασφάλειας

έχουν οι υπηρεσίες Έμπιστης Τρίτης Οντότητας, η οποία προστίθεται ως ένα ακόμα
αντικείμενο στο κατανεμημένο πληροφοριακό περιβάλλον. Η συμμετοχή της ΕΤΟ σε
μία συναλλαγή δημιουργεί άμεσες ή έμμεσες τροποποιήσεις στη διαδικασία της
συναλλαγής, που αναφέρονται σε μετατροπές υπαρχόντων μηνυμάτων, παρεμβολές
νέων μηνυμάτων και προσθήκη διαφόρων παραμέτρων. Η ΕΤΟ ακόμα, παρατηρεί ή
και επιβάλλει την Πολιτική Ασφάλειας που ισχύει σε μία ομάδα οντοτήτων που
αποκαλείται πεδίο ασφάλειας της ΕΤΟ.

Βιβλιογραφία

-Κάτσικας Σ., Γκρίτζαλης Δ., “Ασφάλεια Πληροφοριακών Συστημάτων

Υγείας”, Ασφάλεια Πληροφοριών, Τεχνικά, Νομικά και Κοινωνικά θέματα, Εκδόσεις
ΕΠΥ, Αθήνα, 1995

-Γκρίτζαλης Δ., “Ασφάλεια και Αξιοπιστία στην Πληροφορική και τις

Επικοινωνίες”, Εργαστηριακές ασκήσεις, έκδοση 1.5, Εργαστήριο Πληροφοριακών
Συστημάτων και Βάσεων Δεδομένων, Οικονομικό Πανεπιστήμιο Αθήνας, Ιανουάριος
2000

-Ζαχαρόπουλος Γ., “Πιστοποίηση ‘Εμπιστων Τρίτων Οντοτήτων με ISO

9004”, Μεταπτυχιακή Εργασία, Οικονομικό Πανεπιστήμιο Αθήνας, 2001

-Κοκολάκης Σ., “Ανάπτυξη και Διαχείριση Ασφάλειας Πληροφοριακών

Συστημάτων”, Διδακτορική Διατριβή, Οικονομικό Πανεπιστήμιο Αθήνας, Ιούνιος
2000

-Μαρούλης Δ., Γκρίτζαλης Δ., Κάτσικας Σ., “Ο ρόλος της Έμπιστης Τρίτης
Οντότητας στην ασφάλεια δικτύων”, Ασφάλεια Πληροφοριών, Τεχνικά, Νομικά και
Κοινωνικά θέματα, Εκδόσεις ΕΠΥ, Αθήνα, 1995

31
-www.insecure.org

-www.wikipedia.org

-www.thc.org

-www.securiteam.com

-http://sectools.org/

32