Difference: CAKorvausSSLTLS (r3 vs. r2)

TTY / Tietoturvallisuuden jatkokurssi / Harjoitustyö 2011 / Luonnosvaihe

Joonas Koivunen

CA-järjestelmän korvaaminen SSL/TLS autentikoinnissa

Johdanto

Tässä nimetään ongelma tai ilmiö, esitetään sille motivaatio ja tavoiteltu vaikutus lukijaan (oppimistavoitteen tapaan; "yleistason kysymys" on lähellä tätä), määritellään rajaus tai lukijalle tarjottava näkökulma, ja vielä luonnehditaan tekstin sisältöä (esim. viittauksilla alalukuihin) ja mahdollisesti ongelman käsittelytapaa (esim. kokeilujen raportointi). Runsaasta sisällöstä huolimatta tämän luvun pituus ei saisi paljon ylittää tätä tekstikappaletta, jossa on 70 sanaa, sillä tämä on tarkkaan hiottu todenmukainen mainos, jonka perusteella lukija tietää kannattaako lukea eteenpäin.

  1. Pääkysymys (mitä haavoittuvaisuuksia/vikaa nykyisessä)
  2. Rajaus
    1. X.509
    2. DNSSEC
    3. Web of Trust

Alaluku

(Pääkysymys pitää korjata. "Mitä haavoittuvaisuuksia nykyisestä CA-järjestelmästä löytyy?")

Selaimesi käyttää tälläkin hetkellä Certificate Authority (CA) -järjestelmää todentaakseen yhteytesi tälle koulun palvelimelle. Oli kyseessä koulun TWiki-palvelin tai pankkisi verkkopalvelu, palvelimen todentamisen varaan rakentuu luottamuksellisuus; jos vastapuolena onkin oikealle pankille viestisi välittävä hyökkääjä viestiesi luottamuksellisuus menetetään. Tässä harjoitustyössä esittelen eri tapoja hyökätä tätä mekanismia vastaan ja käyn läpi erilaisia ratkaisuvaihtoehtoja.

PKI todennus

PKI eli julkisen avaimen infrastruktuuri on perinteisesti rakennettu X.509 sertifikaattien varaan [citation needed]. Sertifikaatissa on kryptografisten tietojen lisäksi tunnistetietoja joilla esimerkiksi WWW-selain voi vahvistaa sertifikaatin kuuluvan sille palvelimelle, jonne käyttäjä oli halunnut ottaa yhteyttä. Sertifikaatti on aina myöntäjän (CA) allekirjoittama. Myöntäjän sertifikaatti on joko myöntäjän itsensä, ylemmän tason myöntäjän tai samantasoisen myöntäjiä allekirjoittavan tahon allekirjoittama. Allekirjoittavien tahojen sertifikaattien allekirjoituksista muodostuvaa graafia verrataan tunnettujen ja luotettujen tahojen sertifikaatteihin. Palvelimen lähettämä sertifikaatti todetaan luotetuksi jos graafista löytyy luotetun tahon allekirjoitus.

Keitä ovat luotetut tahot?

Sertifikaatteja myöntävät tahot ovat suurimmaksi osaksi yrityksiä, jotka ovat saaneet sertifikaattinsa käyttöjärjestelmien tai sovellusten luotetut sertifikaatit -listalle. Nämä yritykset myöntävät sertifikaatteja rahasummaa vastaan maksaville asiakkaille, jotka haluavat että heidän käyttäjät pääsevät heidän turvallisille sivuilleen ongelmitta. Yritysten muodostama haavoittuvuus on

Yleisohje muihin kuin johdantoon ja päätelmiin: 2-5 tekstikappaletta per luku. Lisäksi 0 tai vähintään 2 ala-alalukua per alaluku. Yleisohje lauserakenteelle: 2-6 virkettä per kappale, 1-3 lausetta per virke. Johdannon kaksi virkettä ovat huono ja päätelmien viisi virkettä hyvä esimerkki lauserakenteesta. Tämän kappaleen alun lauseet ovat puolestaan huonoja esimerkkejä, koska niistä puuttuu teonsana.

Tässä ohjeessa on noin 270 sanaa. Työn minimipituus on 1000 sanaa ja tarkoitus on, ettei sitä ylitettäisi kovin paljon. Minimimitta on vain neljä kertaa pitempi kuin tämä ohje. Tavoitteena on laatu eikä määrä. Moni kirjoittaja voi tuottaa paremman kokonaisuuden ylittämällä minimin reilusti. Tätä ei ole tarvetta kieltää, kunhan tekijä tietää mitä tekee. Toisaalta kannattaa ehkä tehdä alusta asti kaksi laadukasta työtä ja ansaita lisäopintopiste. Yhden tuplatyön tekeminen tässä tarkoituksessa on myös mahdollista, mutta laatuvaatimus on silloin tiukka.

Päätelmät / yhteenveto

Vastaukset ongelmaan tiivistetään tässä luvussa, jonka maksimipituus on sama kuin johdantoluvunkin. Tässä ei toisteta aiempia ilmaisuja eikä viitata aiempiin kohtiin. Toisaalta uusia näkökulmia ei tuoda esille, paitsi ehkä mainintoja siitä, miten työtä voisi jatkaa: syvemmälle tai laajemmalle. Lukija voi lukea vain johdannon ja päätelmät. Päätelmäluku on hyvä, jos lukija tällöin haluaakin lukea, mitä välissä on.

Lähteet

  • [1] Lähde, johon tekstissä viitataan merkinnällä [1].
SivuTiedotLaajennettu edit
Vaativuus Jatko
Valmius Valmisteilla
Tyyppi Ydin
Luokitus Uhkat
Mitä Luottamuksellisuus
Miltä Ihmisetön uhka
Missä Organisaatio
Kuka Titu-ammattilainen
Milloin Ennakolta
Miksi Hyvä tapa

View topic | View difference side by side | History: r6 < r5 < r4 < r3 | More topic actions
 
Copyright © by the contributing authors. All material on this collaboration platform is the property of the contributing authors.
Ideas, requests, problems regarding TUTWiki? Send feedback