Difference: Valityspalvelimet (r3 vs. r2)

Arto Lindberg

Välityspalvelimet tietoturvallisesta näkökulmasta

1. Johdanto

Työn tarkoituksena on tutustua välityspalvelimiin tietoturvallisesta näkökulmasta katsoen. Internetissä on lukemattomia välityspalvelimia ja välityspalvelimet koskevat meitä kaikkia Internetin käyttäjiä. Tämän takia on tärkeätä tietää, mikä välityspalvelin on ja miten sitä voidaan käyttää tietoturvallisesti.

2. Mikä on välityspalvelin?

Välityspalvelin eli proxy (engl.) on karkeasti ottaen tietokone/ohjelma, joka pystyy tallentamaan, muuttamaan, poistamaan, viivästämään, lähettämään eteenpäin verkossa liikkuvia tietoliikennepaketteja sekä pitämään lokeja [1]. Proxyt ovat ohjelmia, jotka sijaitsevat mahdollisesti hieman etäämpänä käyttäjästä, mutta asettuvat käyttäjän ja avoimen tietoverkon väliin suodattaen tietoa suuntaan ja toiseen sekä näyttäen ulospäin mahdollisesti vain itsensä eikä käyttäjää [2].

3. Mihin välityspalvelimia yleisimmin käytetään?

Välityspalvelimen käyttötarkoitus riippuu monesti siitä, mitä välityspalvelin tekee sen kautta kulkevalle tietoliikennepaketille. Proxyja käytetään muuttamaan ja vahtimaan tiedonvälitystä, nopeuttamaan Internet-viestintää, toimimaan tulkkina selaimen ja erityispalvelun välillä sekä antamaan yksityisyyttä käyttäjälle.[3]

3.1. Suodattavat välityspalvelimet

Suodattava välityspalvelin kontrolloi sen läpi kulkevia tietoliikennepaketteja. Se antaa ylläpidolle mahdollisuuden rajoittaa Internet-liikennettä oman tietoturvapolitiikan suhteen. Suodatusta käytetään yleisesti työpaikoilla, kouluissa, lapsiperheissä ja sellaisissa paikoissa, joissa on tietynlainen turvapolitiikka Internetin käytön suhteen. Suodattavan välityspalvelimen toiminta pääpiirteittäin on sellainen, että Internetistä saapuva data kulkee proxyn kautta käyttäjän tietokoneelle. Mikäli välityspalvelimelle saapuva datapaketti on suodatusprotokollan vastainen, niin se päätyy roskiin. Jos datapaketti täyttää suodattavan välityspalvelimen asetuksien määrittämät kriteerit, niin data välittyy käyttäjän tietokoneelle. [1]

Suodattavalla välityspalvelimella luodaan turvallisempi käyttöympäristö käyttäjäkunnalle (yrityksen työntekijät, koulun oppilaat, perheen jäsenet, yms.). Ylläpidolla on mahdollisuus estää palomuurin tapaan pääsy haitallisille sivustoille, joista tietokone voi saada tartuntoja. Varsinkin työpaikoilla on yleisesti käytettynä sosiaalisen median blokkaus. Politiikan tarkoituksena lienee yleisesti työtehon parantaminen, joista tosin eri medioissa ollaan montaa eri mieltä [4]. Tämän kaltaisen sivustojen blokkauksen voi hyvin helposti kiertää käyttämällä salattua välityspalvelinta (HTTPS Proxy) hyväkseen. Tällöin suodattava välityspalvelin ei pysty suodattamaan käyttäjän ja salatun välityspalvelimen välisiä datapaketteja.

3.2. Välimuistia käyttävät välityspalvelimet (Caching proxy)

Välimuistia käyttävän välityspalvelimen tarkoitus on nopeuttaa tiedon kulkua. Välityspalvelin pitää muistissaan käyttäjien aikaisempia www-selainpyyntöihin saatuja vastauksia. Tämä nopeuttaa datan kulkua jos käyttäjä haluaa uudelleen mennä samalla sivustolle, missä aikaisemmin kävi tai jokin muu käyttäjä on käynyt. Tällöin välityspalvelin lähettää suoraan käyttäjälle sivuston sisältämän datan, jolloin tiedon kulku nopeutuu. Välityspalvelin ei ole kuitenkaan ainoastaan yhteydessä käyttäjään, vaan välityspalvelin tekee tarkistusviestin halutun sivuston web-palvelimelle, että onko sen tallettamaa sivustoa muokattu tallentamisen jälkeen. Mikäli sivustoa ei ole muokattu, niin välityspalvelin lähettää sivuston suoraan käyttäjälle. Jos sivustoa on muokattu, niin välityspalvelin hakee uuden versiohaun web-palvelimesta. Tämän jälkeen se tallentaa itselleen uuden version ja lähettää kyseisen version käyttäjälle.

Välityspalvelimen välimuistista ja lokitiedoista saattaa koitua tietoturvariski käyttäjälle. Dataliikenne kulkee välityspalvelimen kautta, joten välityspalvelin tallentaa lokitietoihinsa kohde IP-osoitteen ja sen sisältämän tiedon. Näin ollen välityspalvelimelle tallentuu kaikki salaamaton tieto käyttäjän www-sivuista, hauista sekä keskusteluista. Tämän kaltainen tieto on ilman muuta henkilökohtaista ja luottamuksellista tietoa. Näiden tietojen väärinkäytön estämiseksi useissa eri maissa on säädeltynä lakeja, jotka suojaavat käyttäjien henkilökohtaisen tiedon leviämistä. [5]

Vaikka väärinkäyttöihin on säädeltynä lakeja, niin herää kuitenkin kysymys; entä jos hakkeri murtautuu välityspalvelimeen ja onkii itsellensä järjestelmän lokitiedot? Kuinka suojautua siltä, ettei itsestänsä jää liikaa jälkiä Internetiin ja välityspalvelimiin? Vastauksena jälkimmäiseen kysymykseen on SSL/TLS – protokollien käyttäminen yhteyksissä.

3.3. Anonymiteetti

Välityspalvelimia voidaan myös käyttää käyttäjän anonymiteetin takaamiseksi. Käyttäjä voi suunnata oman tietoliikenteen tietyn välityspalvelimen kautta kulkevaksi. Tällöin välityspalvelin muuttaa käyttäjän IP-osoitteen välityspalvelimen IP-osoitteeksi. Näin ollen ulkopuolinen taho ei voi paikantaa todellista käyttäjää, sillä näkyvä IP-osoite kuuluu välityspalvelimelle.

Internetissä on useita tämänkaltaisia välityspalvelimia, joilla voi tehdä vastaavaa. Käyttäjän kannalta suurin ongelma on löytää luotettava ja turvallinen välityspalvelin. Koska käyttäjän tietoliikenne kulkee välistyspalvelimen kautta, on tietoturvariski olennaisen suuri. Välityspalvelin voi tallettaa lokitietoja käyttäjästä sekä tarkastella käyttäjän hakuja, web-selailua jne. Mikäli välityspalvelin tallentaa lokitietoja, niin käyttäjä voidaan paikantaa. Esimerkiksi rikoksen tekijän löytämiseksi välityspalvelin voi luovuttaa lokitietoja viranomaisille. Tietojen luovuttaminen viranomaisille ei ole kuitenkaan pieni asia, koska maantieteellisesti välityspalvelin voi sijaita esimerkiksi Jamaikassa samalla kun rikos on tehty Norjassa. Tämä asia vaikeuttaa viranomaisten toimia. Vaikeuttaakseen oman koneen IP-osoitteen paikantamista, käyttäjä voi ketjuttaa eri proxyja yhteen. Ketjuttamisen saa aikaan todella helposti niin, että etsii Internetistä muutaman välityspalvelimen ja syöttää ensimmäiselle välityspalvelimelle toisen välityspalvelimen URL:n, toiselle kolmannen välityspalvelimen URL:n ja kolmannelle varsinaisen kohdesivuston URL:n (Oma PC -> 1.Proxy -> 2.Proxy-> 3.Proxy -> varsinainen kohde). Ketjutusta voidaan tehdä monia kertoja, mutta ymmärrettävistä syistä tiedonsiirron nopeus kärsii mitä enemmän ketjussa on välityspalvelimia.

Internetistä löytyy kuitenkin myös sellaisia välityspalvelimia, jotka eivät pidä lokitietoja. Tämän kaltaisia proxyja on vaikea sata prosenttisesti löytää, sillä käyttäjä ei pysty millään todentamaan sitä ettei välityspalvelin todellisuudessa pidä lokitietoja.

Päätelmät / yhteenveto

Välityspalvelimet ovat hyödyllisiä käyttäjille. Niillä voidaan saadaa paljon hyvää käyttäjän näkökulmasta aikaan, kuten esimerkiksi anonymiteetin luominen, Internetpakettien suodattaminen ja tietoliikenteen nopeuttaminen. Kuitenkin välityspalvelimien tuoma hyöty voi kääntyä varomatonta käyttäjää vastaan, sillä kokematon käyttäjä ei ole tietoinen välityspalvelimien piilevistä tietoturvauhista.

Lähteet

[1] A general purpose proxy filtering mechanism applied to the mobile environment - Bruce Zenel

[2] http://sec.cs.tut.fi/maso/materiaali.php?id=154 (22.10.2012 klo 13:03)

[3] http://help.opera.com/Linux/9.61/fi/network.html (22.10.2012 klo 13:29)

[4] http://yle.fi/uutiset/facebook_puhuttaa_tyopaikoilla/5734347 (29.10.2012 klo 11:07)

[5] http://www.w3.org/Protocols/rfc2616/rfc2616-sec15.html (25.10.2012 klo 15:33)

SivuTiedotLaajennettu edit
Vaativuus Jatko
Valmius Valmisteilla
Tyyppi Esitys
Luokitus Uhkat
Mitä Luottamuksellisuus
Miltä Useita
Missä Organisaatio
Kuka Titu-ammattilainen
Milloin Ennakolta
Miksi Hyvä tapa

View topic | View difference side by side | History: r4 < r3 < r2 < r1 | More topic actions
 
Copyright © by the contributing authors. All material on this collaboration platform is the property of the contributing authors.
Ideas, requests, problems regarding TUTWiki? Send feedback