Новосибірський державний технічний університет

Кафедра обчислювальної техніки

Реферат по темі:

"Інформація і особиста безпека"

Виконав:

Студент АВТ

гр. АБ-220

Волошин М. А.

Новосибірськ 2002

На жаль, як з часів перших персональних комп'ютерів багатоВам не дбали про свою безпеку, так і не піклуються до цьогодень. Як правило, людина думає, що його дані не представляють якої -або цінності і тому на цілеспрямовану атаку ніхто витрачати часу небуде.
Міркування, в принципі, правильне, але не зовсім. По-перше, постраждатиможна в результаті дій масового характеру. Таких, як розсилкавірусів за списком адрес електронної пошти, сканування мережі на наявністьуразливих комп'ютерів, web-сторінки, що викрадають файли з жорсткого диска, ітому подібні "приємні" дрібниці. По-друге, метою атаки може статиобліковазапис для виходу в Інтернет через модем, що сподобався адреса електронноїпошти або номер ICQ. У цьому випадку у зловмисника є прямі мотивизатратити деяку кількість часу і зусиль, щоб домогтися бажаного.
Незважаючи на таку чималу кількість джерел небезпеки, основна масарядових користувачів починає намагатися вживати якихось заходів захисту,тільки після того, як постраждає (а може, і не один раз) віднесанкціонованого доступу до свого особистогокомп'ютера.

ТАКТИКА НАПАДУ

Чи варто користувачеві безпорадно чекати дій поки що невидимогосупротивника, якщо можна перешкодити вторгненню? Попередити такевторгнення досить нескладно, а для початку непогано знати, яким взагалічином, цілеспрямовано чи ні, можна нашкодити персонального комп'ютераі його користувачеві.
Верблюд і соломинка

Улюблена розвага, доступне кожному бажаючому, - атака на відмову.
Атакується комп'ютера надсилаються пакети особливого виду. Результатом такого
"закидання" може бути як повільна робота і зависання, так ізупинка або перезавантаження комп'ютера. Ніяких спеціальних знань дляздійснення такої атаки не потрібно, достатньо завантажити одну з великогобезлічі спеціальних програм. Такого роду атакам особливо сильно булисхильні до Windows 95 і 98. Латаються ці дірки спеціальними патчами.

За доброту можна поплатитися.
Ще одна можливість відносно легкого проникнення на комп'ютер підуправлінням Windows 9х - ресурси загального доступу. Підключення до них можливоне тільки з локальної мережі, але й через Інтернет, якщо у властивостяхмодемного підключення активований пункт "Входити в мережу". До речі, заумовчанням він саме активовано. Для знаходження відкритих ресурсів в Мережі іпідбору паролів до них також існує цілий набір програм, що працюють зцілими мережами або діапазоном адрес. Як захист можна порадитивибирати складні паролі, без потреби не створювати ресурси загального доступу і невводити комп'ютерв мережу провайдера. Не будьте наївними Самим легким способом, що не вимагаєніякого спеціального програмного забезпечення, і до цього дня залишаєтьсявикористання людського фактора.
Недосвідченість користувача можна легко використовувати, щоб зашкодити йому йоговласними руками. До цих пірзнаходяться люди, які вірять, наприклад, листами попередження про новістрашних віруси. У цих листах описується якийсь звичайний факт абовластивість функціонування операційної системи або прикладної програми тавидається за діяльність вірусу. А далі як засіб лікуванняпропонується виконати будь-яку дію, наприклад видалення системнихфайлів (зрозуміло, користувач нездогадується про те, що цим самим він виводить з ладу свою систему). Такожможливі помилкові листи із служб підтримки, в яких пропонується вислатисвій пароль для його подальшої зміни. Або листи з проханням про допомогу,які насправді змушують висилати свої файли з паролями, або іншузакриту інформацію. Загроза для естетів Ну і звичайно, платформою длярозповсюдження мережевих вірусів служить любов користувачів до красивихлистівкам і всяким маленьким програмка, які приходять незрозуміло відкого або навіть від друзів, комп'ютери яких вже встигли заразитися вірусом.
Перший порив при вигляді приєднаного файлу, що виконується - запустити його --схоже, не знищить ні час, ні попередженняфахівців і антивірусних лабораторій, ні кількістьепідемій в масштабах усього Інтернету. Таким чином можуть поширюватисяяк звичайні віруси, дії яких носять деструктивний характер
(знищення даних або операційної системи), так і віруси-трояни. Троян --програма, непомітно діюча на зараженому комп'ютері і надаєзловмисникові різні можливості: отримання файлів з паролями поштою,віддаленого управління, виведення повідомлень і тому подібні дії.
Непрохані гості Звичайно, вірус може поширюватися і без явногозгоди користувача. У будь-якої версії Microsoft Internet Explorer,
Microsoft Outlook Express і Outlook з комплекту Microsoft Office є дерозвернутися потенційному зловмиснику. Це може бути можливістьзавантажити або переглянути довільний файлз комп'ютера, на якому проглядається лист або web-сторінка. Абовиконати довільний код з привілеями не тільки для користувача, сеансу систему в даний момент, але й адміністратора (це особливо важливо в
Windows NT, 2000 і ХР, де вважається, що користувач з обмеженимиправами не може пошкодити систему). Або навіть завантажити файл на комп'ютер убудь-яке місце на диску, наприклад, виконуваний файл в папку автозавантаження.
ЧОМУ все так похмуро?
Несанкціоновані дії на комп'ютері користувачастають можливими через наявність дірок в самих різних компонентахпрограмного забезпечення. Слідкуйте за буфером
Досить часто зустрічається вразливістю є переповнення буферу. Привідсутності перевірки правильності або довжини будь-яких параметрів занадтовелике значення параметра в оперативній пам'яті виходить за межі буфера,відведеного для нього, і записується поверх виконуючого коду. Навіть учас роботи звичайного користувача всередині операційної системипрацюють процеси з більш високими привілеями. Тому виконаннянесанкціонованого коду залежить від того, наякому рівні виконується уразливий процес. Також виконання довільногокоду та завантаження на атакується комп'ютер може відбуватися шляхомвикористання компонентів ActiveX, впроваджених в HTML-код об'єктів,компонентів, що використовують зовнішні програми (наприклад, Media Player). УЗагалом, в кожній версії програмних продуктів Microsoft навіть з усімавстановленими сервіс-пакамі і патчами існують добре відоміуразливості. Тому не можна сподіватися, щорозробники передбачать безпечне взаємодія всього різноманіттяпрограмних продуктів, технологій і модулів операційної системи. Мовчання
- Знак згоди
Досить велика кількість вразливостей, як не дивно, виникає черезспецифічних настройок за замовчуванням. Тобто для усунення такихвразливостей достатньо лише змінити конфігурацію програмного забезпечення,яка утворилася в результаті встановлення цього програмного забезпечення.
В першу чергу слід або взагалі відключити виконання різнихскриптів, сценаріїв і програм Java, виконання та завантаженняелементів ActiveX, використання cookie, або хоча б налаштувати своїпрограми так, щоб всі ці дії виконувалися тільки після явногодозволу користувача.
Захищати себе ...
Головним інструментом захисту від вторгнення з Мережі є firewall --програма, що дозволяє відстежувати і обмежувати всі вхідні та вихідніз'єднання.
Вогненні стіни
Використання firewall актуально як у глобальних, так і в локальних мережах.
Зараз існує досить велика кількість таких програм, у тому числі ібезкоштовних - розрахованих на домашнього користувача, так що є з чоговибрати. Firewall можуть допомогти у виявленні і запобігання атак на відмовуі спроб несанкціонованого доступу до комп'ютера, виявленнідіяльності троянів (щоправда, далеко не всіх). Також деякі firewallзабезпечені функціями контролю за активним вмістом web-сторінок: елементами
ActiveX, скриптами (JavaScript, Visual Basic), Java-апплетами.

А для того, щоб почувати себе в безпеці, вартоскористатися firewall

Ліки - справа потрібна
Другим обов'язковим інструментом є антивірусне програмнезабезпечення. Про його необхідність пишеться вжедуже давно. Але до цих пір знаходяться користувачі, які смутноуявляють, що таке віруси, і тому не менш погано уявляють, якз ними боротися. Є вже достатньо прикладів глобальних епідемій мережнихвірусів, що поширюються по електронній пошті (Nimda, Sircam). А разомз безперервним процесом об'єднання обчислювальної техніки в єдинеінформаційний простір ростуть швидкість і масштаби розповсюдженняпотенційних епідемій. Тому антивірус повинен бути встановленийобов'язково. Дуже бажано, щоб вінперевіряв файли в реальному часі, тобто всі файли, до яких звертаєтьсяопераційна система, і програми тут же перевіряються на наявність вірусу.
Нові віруси з'являються щодня у великій кількості, томуантивірусні бази повинні оновлюватися регулярно. Зараз більшістьантивірусних програм вміє робити це автоматично. Оновлюється, цедопомагає Ну і звичайно, не варто все-таки забувати про самостійніоновлення програм. Користувачем операційних систем Microsoft дужерекомендується частіше (можна навіть кожного тижня) відвідувати сторінкуоновлень
(http://windowsupdate.microsoft.com). Виправлення помилок, знайдених вопераційної системи та її складових (Internet Explorer, COM +),накопичуються, і приблизно раз на рік виходить "Пакет оновлень" (Service
Pack), який включає в себе виправлення всіх цих помилок. Тим пакетамионовлень можуть виходити RollUp Package, що включають в себе виправлення,знайдені з моменту виходу останнього Service Pack і до певного моментучасу. Крім цього, для кожної дірки, проякої стає відомо, оперативно з'являється окрема заплатка,яку також можна скачати на сторінці оновлень.

Не забувайте про фахівців
Останнє програмне забезпечення теж потребує оновлення, хоча, можебути, і не такому частому. Чим більше поширена програма абоопераційна система, тим інтенсивніше відбувається процес виявлення проломівв безпеці, і тим частіше в потенційного зловмисника з'являєтьсяможливість їх використовувати. Тому потрібно не лінуватися хоч інодізаглядати на сторінки підтримки та інших виробників програмногозабезпечення, що використовується на комп'ютері. Або, якщо є такаможливість, підписатися на розсилку новин про оновлення по електроннійпоштою. До речі, вСеред цих інших програм в першу чергу слід звернути увагу наfirewall і антивірус, які використовуються на комп'ютері. Також інформаціюпро свежеобнаруженних вразливості можна почерпнути на інших різнихсайтах. Це можуть бути спеціалізовані ресурси, присвячені самебезпеки: Russian Security News-line (http://bugtraq.ru/rsn),
SECURITY.NNOV (http://www.security.nnov.ru/), CERT Coordination Center
(http://www.cert.org).

Сайт www.cert.org - найбільша база вразливостей

будьте пильні!
Кожен день нові користувачі підключаються до Всесвітньої мережі. Все більше зних використовують вже не модемне з'єднання, а вихід через локальну мережу.
Це відкриває потенційним зловмисникам більш широкі можливості, такяк поєднання атакується комп'ютера з зовнішньою мережею і швидше, ібільш постійне. Також при підключенні до локальної мережі з'являються і новінебезпеки, адже комп'ютер стає видно всім членам цієї мережі. І хіба малохто які експерименти захоче провести над чужим комп'ютером. Все більшеускладнюються технології, пов'язані з передачею даних, як міжкомп'ютерами, так і між додатками, що працюють на одному комп'ютері.
Всі ці фактори збільшують шанси зловмисників знайти дірку в програмномузабезпечення раніше розробників. Тому настав час, коли користувачсам повинен зайнятися своєю безпекою і уважно стежити за подіями,що відбуваються в цій галузі.

СЕКРЕТ На видному місці
Про безпеку програмних продуктів виробництва
Microsoft написано чимало знущальних статей, гнівнихвідгуків, лайливих висловлювань і маячних історій. Все-таки є в світіякесь особливе ставлення до цієї корпорації. І, мабуть, щоб спробуватиякось виправити такий стан, Microsoft на початку квітня випустила свійвласний аналізатор безпеки - Microsoft Baseline Security Analyzer.
Цей програмний продукт може перевірити систему на наявність вже відомихвразливостей, відсутність випущених оновлень і вказати на дрібні огріхи,часто здійснюються через недосвідченість, --облікові записи з простими і порожніми паролями, виключення захист відмакровірусів та інші подібні ляпи. Після перевірки можна прочитатикоментарі та рекомендації щодо виправлення існуючих помилок в захисті.
Незважаючи на те, що MBSA виявляє лише вже відомі проломи в безпеці,все одно річ корисна. Але й тут не обійшлося без казусів. Через дватижні після виходу MBSA 1.0 дослідники з Finjan Malicious
Code Research Center виявили, що сканер безпеки зберігаєрезультати перевірки у файлі формату XMLпередбачуваному місці на диску. За ідеєю, доступ до цього файлу може отриматитільки користувач, який запускав перевірку, або адміністратор. Але мивже знаємо, що насправді в деяких випадках існує можливістьотримати на перший погляд недоступні файли, наприклад, через використанняактивного вмісту HTML-сторінок. Так що краще ці звіти не зберігати абовживати додаткових заходів по їх захисту.

ЩО НАС ЧЕКАЄ?
Інтеграція світової інтернет-спільноти триває стрімкимитемпами. Все більша кількість людей набувають шанс отримати зараженевірусом лист, і все більше число поштових клієнтів, готовихпоширити цей вірус. Кожні півроку, якщо не частіше, з'являється вірус,який б'є всі попередні рекорди або за швидкістю, або за масштабамирозповсюдження. Ну і звичайно, хороший вірус породжує безлічмодифікацій, найчастіше більш небезпечних, ніж вихідний варіант. Потрібно відзначити увірусописьменників деяку тенденцію до комплексних рішень. Комплекснийпідхід застосовується якпри поширенні, так і при шкідливих діях. Проникненняздійснюється вже не просто через поштовий клієнт або браузер, а й через
IRC (так діє I-Worm.LoveLetter, відомий також як ILOVEYOU), абонавіть через дірявий сервер від Microsoft - Internet Information Server, а знього вже на комп'ютери відвідувачів зараженого сайту (так діє,наприклад, Nimda). І деструктивні прояви вірусу полягаєвже не в простому знищення даних чи у заповненні вільного місця надиску (всілякі веселі, але нешкідливі графічні чи звукові ефекти яне розглядаю як деструктивні). Вірус-черв'як BadtransII не тількивикрадає паролі на віддалені і мережніпідключення, а й стежить за натисканнями клавіатури і відсилає LOG-файл напевну адресу електронної пошти. Гучний інтернет-черв'як Nimda крімзаповнення сміттям мережевих дисків ще й відкриває на загальний оглядвміст дисків зараженого комп'ютера і дає користувачеві "Гість"привілеї адміністратора. Так що в найближчому майбутньому варто готуватися допояви вірусів, що атакують систему з різних сторін і що використовують відразукілька різних помилок упрограмному забезпеченні, отаких багатофункціональних інтелектуальнихшкідливих програм. І оскільки апелювати до свідомості вірусописьменниківнікому не потрібне, то варто просто дотримуватися елементарних заходівбезпеки, в першу чергу щодо файлів, що потрапляють до вас через
Всесвітню павутину.
З точки зору звичайного користувача, WWW - це величезна бібліотекатекстових і графічних документів, розподілених по безлічі серверів іпов'язаних один з одним перехресними посиланнями. Здавалося б, переглядтекстів і зображень - свого роду книжки з картинками - не можепредставляти жодної небезпеки як для користувача комп'ютера, так ідля сервера. Однак абсолютно несподівано персонажі з цієї книги можутьоживати, бродити по квартирі, псувати інші книги і намагатися підпалити будинок.
Програми в засідці
Подібно до того, як при використанні електронної пошти для користувачаагент може запустити на виконання програмний код, що міститься вдодатку до листа, www-браузер може запустити програмний код,завантажений з сервера.
Перший варіант запуска шкідливого коду полягає в тому, що користувачзнаходить на якому-небудь сайті посилання на виконувану програму і завантажує її.
Завантаження відомої програми з відомого сайту не дає повної гарантіїбезпеки (див. нижче про фальсифікації www-сервера). Не варто забувати, щопрограмами, по суті, є не тільки EXE-файли, але і документи MS
Office і файли багатьох інших форматів.
Самостійні програми
Другий варіант - автоматичне завантаження коду браузером без відомакористувача при перегляді останнім певної web-сторінки. Таким кодомможуть бути вбудовані в HTML-текст програми Javascript, аплети,написані на мові Java, і керуючі елементи ActiveX (для користувачів
MS Windows).
Розробники браузерів роблять зусилля для того, щоб убезпечитикомп'ютер користувача при виконанні таких програм. Зокрема, Java -аплети запускаються в спеціальному оточенні (sandbox), що перешкоджаєпрямого доступу аплету до файлової системи і виконання інших потенційнонебезпечних дій. У Javascript не існує методів для безпосередньогодоступу до файлової системи комп'ютера і для відкриття мережевих з'єднань, акод Javascript може засвідчувати цифровим підписом.
Як "підвісити" браузер
Незважаючи на всі вжиті заходи, для зловмисника все одно залишаєтьсяпевне поле діяльності. Ключовими напрямками розробки тутє помилки в програмному забезпеченні браузерів, відмова в обслуговуванні іобман користувача.
Відмова в обслуговуванні ілюструє наступна web-сторінка з кодом
Javascript. Її завантаження призведе до блокування браузера, і для продовженняроботи буде потрібно його перезавантаження:

Example of DoS

while (1) (

alert ( «It is time to restart your browser .»);

)

Обман користувача
Ще один вид атак - обман користувача шляхом виведення на екран вікон, що видаютьсебе за повідомлення від інших програм. Ці повідомлення можуть закликатикористувача виконати будь-які дії, пов'язані з розкриттямсекретної інформації (пароль). Браузер позначає такі вікна спеціальнимчином, але багато користувачів-неспеціалісти не звертають уваги на такітонкощі. Інший вид обману полягає у фальсифікації URL, що показуєтьсяв статусному рядку браузера, коли користувач наводить покажчик миші наяку-небудь посилання. Це реалізується так:

Click here to enter your credit number

Користувач, навівши вказівник на посилання, побачить у статусному рядкубраузера, що посилання вказує на www.goodbank.com, і, активізувавшипосилання, потрапить на www.cracker.com. Подальше залежить тільки від фантазіївласника сайту www.cracker.com.
Шляхи розповсюдження
Javascript має можливість відправляти повідомлення по електронній пошті.
Відправлення даних може бути ініційована будь-якою дією користувача --наприклад, натисканням будь-якої кнопки або наведенням покажчика миші напосилання. Таким чином, вивідавши у користувача секретні дані за допомогоюсфабрикованого вікна введення пароля, Javascript може відправити ці дані попоштою. На щастя, сучасні браузери попереджають користувача про спробупрограми відправити повідомлення.
Очевидне рішення для зловмисника, який окупував будь-якої WWW -сервер, полягає у безпосередньому приміщенні коду Javascript в HTML -документи сервера. Інший спосіб називається cross-site scripting і складаєтьсятому, що зловмисник використовує сервер з динамічною генерацієювмісту в якості посередника. Наприклад, WWW-сервер має дошкуоголошень, куди будь-який бажаючий може помістити текст. Цей текстзгодом видається у вигляді утримання клієнтам, що переглядаютьоголошення. Якщо програма, що генерує контент, не перевіряє текстоголошень на наявність тегів і інших спеціальних слів і символів,то зловмисник може помістити програмний код у текст реклами, і цейкод буде доставлений користувачеві.
Різновидом cross-site scripting є відправка користувачемпотенційно шкідливого коду самому собі. Це відбувається, коликористувач слід за посиланням виду:

Click here
При цьому код надсилається як частина тексту оголошення на WWW-серверexample.com, який тут же повертає цей текст користувачу дляперегляду, доставляючи таким чином шкідливий код браузеру.
Cross-site scripting і SSL
Цікавим ефектом cross-site scripting є можливість доставкизловмисником коду через з'єднання, захищені за допомогою SSL. Цеможливо, якщо WWW-сервер, з одного боку, дозволяє зловмисниковіпомістити непроверяемий текст через незахищене з'єднання, а з іншогобоку, демонструє поміщений текст користувачеві через захищенез'єднання.
Для захисту від cross-site scripting розробники програм динамічноїгенерації утримання повинні перевіряти висновок програми на наявністьспеціальних тегів і символів.
Цифровий підпис
Кілька слів про цифровий підпис. Її наявність свідчить тільки про те, щопрограма (керуючий елемент ActiveX, аплет Java або код Javascript)написана певним автором і не була змінена. Підпис не гарантуєтого, що після запуску програма не почне стирати файли з жорсткого диска.
Звичайно, програма, підписана широко відомою компанією, навряд чимістить навмисне введений шкідливий код, але можуть бути проблемиякі потім можуть бути використані зловмисником. Також відзначимо, щоякщо браузер довіряє однієї підписаної програмі, то він автоматичнодовіряє всім програмам, підписаним тим же автором.
Установки сучасних браузерів дозволяють відключати виконання додатків
Java, ActiveX і скриптів Javascript, або вимагати обов'язкової наявностіпідпису в цих програмах.
ШПИГУН На проводи
Якщо не вжити спеціальних заходів, то всі дані між браузером і HTTP -сервером передаються у відкритому вигляді. Таким чином, можна сміливоприпустити, що прослуховування WWW-трафіку не вимагає значних зусиль.
Застосування Digest-аутентифікації (з деякими застереженнями) знімає проблемуперехоплення пароля і при повній реалізації навіть захищає віднесанкціонованої модифікації даних для передачі яких-небудьпроміжним вузлом. Однак самі дані при цьому залишаються беззахисними.
Крім того, вам слід знати, що всі запити вашого браузерареєструються www-сервером, який записує у спеціальний файл часзапиту, IP-адреса клієнта, URL запитаного документа, ім'я користувача
(якщо застосовувалася аутентифікація), тип браузера та URL документа, якийкористувач проглядав до цього. Якщо користувач працює через проксі -сервер, то така інформація зберігається на ньому ж і може бути використанаадміністрацією для контролю та обліку використання WWW своїми співробітниками.
Більш того, якщо браузер передає дані заповненої форми методом GET, товони зберігаються у LOG-файлах, оскільки є частиною URL-адрес. Метод
POST вільний від цього недоліку, тому що передає дані в зашифрованомувигляді.
Також браузер веде кешування недавно запитаних документів на локальномудиску і запис усіх сайтів, які відвідував користувач (цей записназивається журналом, в оригіналі - history). Установки браузера дозволяютьочистити журнал і кеш (або зовсім відключити кешування).
Багато інтерактивні www-сервери (наприклад, інтернет-магазини) використовуютьмеханізм cookies для зберігання інформації про сеанс роботи користувача
(наприклад, про те, який товар користувач відібрав для покупки). Цюінформацію сервер передає на збереження браузеру користувача, якийзаписує її на локальний диск (куди саме - залежить від використовуваногобраузера, слід знайти файл або каталог під ім'ям cookies). Переглядфайлу з cookies може виявити досить цікаві деталі про активністькористувача в WWW. Користувач може заборонити браузеру прийматиcookies, але в цьому випадку він не зможе користуватися деякими сайтами.
МОЖЛИВЕ РІШЕННЯ - SSL
Проблема фальсифікації і перехоплення даних зловмисником, прослуховували мережаабо окупували проксі-сервер, вирішується за допомогою протоколу SSL (новеназва - TLS).
Протокол SSL у стеку TCP/IP розташований між транспортним (TCP) іприкладним рівнями. SSL забезпечує шифрування (і, відповідно,дешифрування) усіх даних прикладного рівня. У контексті HTTP це означає,що всі дані, а також заголовки HTTP-запитів і відповідей передаються черезмережу в зашифрованому вигляді.
Для того щоб скористатися SSL, HTTP-сервер повинен бути налаштованийвідповідним чином, а браузер повинен підтримувати протокол SSL (усіпоширені браузери його підтримують). URL ресурсів, захищених здопомогою SSL, починаються з "https ://". Перед власне обміном HTTP -запитами та відповідями клієнт (браузер) і сервер встановлюють SSL -з'єднання. При цьому сервер пред'являє клієнтові сертифікат, що підтверджує
"особистість" сервера. Отже, зловмисник не може видати себе зашуканий сервер. Справжність сертифіката автоматично перевіряється браузеромв загальновідомою бази даних сертифікатів, наприклад базі компанії VeriSign.
Якщо ж сертифікат не знайдено ні в одній загальновідомою реєстратурі, токористувачу доведеться самому вирішити, довіряти цьому сертифікату чи ні.
У будь-якому випадку потрібно розуміти, що секретність при передачі даних інаявність сертифікату не гарантують захисту цих даних при зберіганні насервер (слабо захищена система сервера, недобросовісний адміністратор іт. п.).
SSL і проксі-сервери
Відзначимо особливість роботи SSL через проксі-сервери. Оскільки весь трафікміж браузером і HTTP-сервером зашифрований, то його інтерпретація ікешування не мають сенсу. Тому функції проксі-сервера зводяться допростий ретрансляції октетів між браузером і HTTP-сервером. Для перекладупроксісервера в такий режим браузер посилає запит методом CONNECT ззазначенням адреси і номера порту HTTP-сервера.
Оскільки метод CONNECT фактично створює тунель крізь проксі-сервер, вінможе використовуватися для обходу правил фільтрації TCP-з'єднань набрандмауері, тому що в загальному випадку тунель може бути встановлений з будь-якимпортом зовнішнього сервера. Так користувач може отримати доступ донедозволеним сервісів, тому адміністратор проксі-сервера повиненретельно настроїти дозволу на використання методу CONNECT, вЗокрема, дозволити з'єднання тільки з портом 443, який використовуєтьсядля роботи HTTP через SSL.
Проксі-сервер - контролер і захисник
Можливість використання проксі-серверів як посередників між клієнтом і
HTTP-сервером є досить корисною не тільки з точки зору зменшеннятрафіку шляхом кешування, але і з точки зору забезпечення безпеки.
Розумна політика полягає в тому, що всі хости внутрішньої мережі повиннікористуватися WWW через проксі-сервер підприємства. Фільтрибрандмауера будуються таким чином, що дозволений тільки HTTP-трафік,Наступне до проксі-сервера або від нього. Особливість HTTP-трафіка полягає вте, що він далеко не завжди прив'язаний до порту 80, тому в загальному випадкудля проксі-сервера повинні бути відкриті всі порти або хоча б найбільшпопулярні з них (80-86, 8000-8006, 8080-8086, 8888).
Завдання, які вирішуються

Наступні адміністративні завдання можуть бути вирішені на проксі-сервер приобслуговуванні користувача (групи користувачів):

. дозвіл доступу до того чи іншого сайту;

. дозвіл використовувати ті або інші методи запиту (особливо CONNECT, що дозволяє тунелювати крізь проксі-сервер);

. якість обслуговування запиту: наприклад, виділення певної смуги пропускання;

. облік обсягу отриманого за певний період трафіку і відмова в обслуговуванні користувача при перевищенні певного ліміту;

. напрям запит через того чи іншого провайдера, якщо організація підключена до декількох провайдерів (наприклад, запити низькопріоритетним користувачів направляються на повільного, але дешевого каналу, а високопріоритетні - по швидкісній, але дорогою лінії);

. інспекція даних, які передаються в запиті або відповіді, наприклад, для запобігання несанкціонованої передачі секретних даних або для автоматичного видалення рекламних банерів (здійснимо, якщо дані передаються у відкритому вигляді).

. HTTP проксі-сервери також можуть надавати проксі-сервіс і для протоколу FTP, що підтримується всіма браузерами і більшістю спеціалізованих FTP-клієнтів.
Ідентифікація користувача
Для диференційованого обслуговування користувачів проксі-серверомнеобхідний механізм ідентифікації користувача, який є авторомданого запиту. Користувач ідентифікується проксі-сервером або по IP -адресою, або за допомогою проксі-аутентифікації.
Проксі-аутентифікація виконується аналогічно аутентифікації на кінцевому WWW -сервер, але з допомогою заголовка Proxy-Authorization. Якщо потрібно проксі -аутентифікація, але необхідні дані клієнтом не надані, топовертається відгук з кодом 407 Proxy Authentication Required і заголовком
Proxy-Authenticate, аналогічним за змістом заголовку WWW-Authenticate. Привикористанні схеми Digest застосовується також заголовок Proxy-Authentication-
Info.
Підкреслимо, що аутентифікація на www-сервері і проксі-аутентифікація HTTP -запиту - це дві не пов'язані між собою процедури, що виконуютьсярізними серверами. Обидва заголовка (Authorization і Proxy-Authorization)можуть бути присутніми в одному запиті, якщо це необхідно.
Аутентифікація є більш прийнятний шлях для ідентифікаціїкористувача, особливо, якщо один і той же комп'ютер можеексплуатуватися різними людьми (персональний комп'ютер загального користуванняабо багатокористувальницька система). Однак очевидно, що аутентифікація посхемою Basic в мережі Ethernet з розділяються сегментами практично позбавленасенсу через широкої доступності програм прослуховування, тому необхіднозастосовувати схему Digest.
Висновок
Отже, як би там не було, WWW надає зловмисникам широке поле длядіяльності, і цей факт не можна не враховувати при формуванні політикибезпеки. Використання проксі-сервера і дотримання інших заходівзаходи допоможуть вам звести ризик до мінімуму.

ЕКСКУРС В ТЕХНОЛОГІЮ
WWW являє собою клієнт-серверну технологію, засновану наприкладному протоколі HTTP.
У HTTP є два типи повідомлень: запити від клієнта (браузера) до сервераі відповіді сервера клієнту. Для передачі повідомлень використовується протокол TCPі стандартний порт HTTP-сервера - 80. Запит містить URL - ідентифікаторресурсу (документа), який хотів би отримати клієнт, і кількадопоміжних заголовків.
Передбачається, що у відповідь на запит, проаналізувавши потрібний URL,сервер надасть клієнту шукану інформацію. Ця інформація називаєтьсяконтентом. У простому випадку це HTML-документ або файл в іншому форматі,однак контент може генеруватися сервером "на льоту", наприклад може бутивикликана стороння програма і її висновок прийнятий в якості контенту. Щоббраузер правильно визначив тип інформації, що міститься в контенті, і,відповідно, застосував адекватний спосіб подання цієї інформаціїкористувачеві, контент супроводжується заголовком Content-Type, в якомувказується МIМЕ-тип даних.
Взаємодія з клієнтом
Динамічна генерація контенту дозволяє користувачеві інтерактивновзаємодіяти з www-сервером. Типовим прикладом цього процесу єробота з пошуковим сервером: користувач вказує рядок пошуку, якаі є параметром запиту. Сервер здійснює пошук рядка в базі данихі формує HTML-сторінку, що містить результати пошуку.
Користувач задає параметри запиту шляхом заповнення і відправки HTML -форм. Форми містять поля введення текстової інформації, радіокнопки,списки, що випадають і т. п. Інтерес представляє те, як саме браузерприєднує введені дані до запиту. У тегу містяться двапараметри: action і method. Перший вказує URL, до якого будевідправлений запит щодо заповнення форми, а другий - метод цього запиту.
Існують два методи: GET та POST. При відправці запиту методом GET дані,введені у форму, приєднуються до URL після знака питання. У цьомувипадку URL може виглядати, наприклад, так: "/ cgi -bin/dir/script.pl? name = John & age = 25 & hobby = reading & hobby = football ". Неважкозауважити, що дані складаються з пар "ім'я = значення", розділенихамперсанда. Під час надсилання даних методом POST та ж сама рядок: "па -me = John & age = 25 & hobby = reading & hob-by = football "поміщається після заголовкузапиту, відділяючись від них порожнім рядком У цьому випадку до URL нічого недодається.
Очевидно, що ніякої HTTP-сервер не може передбачити всього різноманіттяінтерактивних www-додатків. Замість цього HTTP-сервер пропонуєрозробнику інтерфейс, використовуючи який, стороння програма можеотримати від HTTP-сервера всі необхідні для обробки запиту дані, а ввідповідь згенерувати контент, який буде повернений сервером браузеру.
Таким чином, Завдання створення контенту покладається на додатки,розробляються під потреби конкретного завдання. У комплексних інформаційнихсистемах на базі WWW кажуть, що HTTP-сервер - це front end www-сайту, апрограми, які створюють контент, - back end. Часто програми працюють узв'язці з базою даних: таким чином, має місце трирівнева схема: HTTP -сервер - додаток - база даних.
Інтерфейс CGI
Найбільш загальним і поширеним інтерфейсом подібного типу є CGI.
При його використанні HTTP-сервер запікає додаток, що маєобробити запит, і передає йому на стандартний ввід все, що надійшло взапиті після заголовків. Також HTTP-сервер встановлює кільказмінних оточення, в тому числі змінну QUERY_STRING, яка міститьчастина URL, розташовану після знаку питання (а це, як ми знаємо,дані, передані методом GET). Таким чином, CGI-додаток отримуєдоступ до даних, введених користувачем у форму. Відзначимо, що самі дані,їх наявність або відсутність, розміщення в тілі запиту або в URL або відразу вобох місцях HTTP-сервером ніяк не інтерпретуються і не декодуються, апередаються додатку як є. Усі завдання з інтерпретації іперетворення даних покладені на CGI-додаток. Обробивши запит,додаток передає згенерований контент на свій стандартний висновок, девін перехоплюється HTTP-сервером і пересилається клієнту. Єдинийзаголовок, який зобов'язана виставити саме CGI-додаток, - Content-Type.
Виконувані складові
Інший спосіб динамічної генерації контенту - внесення програмного кодубезпосередньо в текст HTML-файлу. Код розміщується всередині спеціальнихтегів (наприклад,). Прийнявши запит такого файлу, HTTP-сервер робитьрозбір його вмісту, виявляє програмний код і виконує його. Утекст вихідного файлу вставляється результат виконання коду і підсумковийконтент відправляється клієнтові. Популярними технологіями, що використовуютьвбудований код на стороні сервера, є PHR ASP (Active Server Pages),
JSP (Java Server Pages). На відміну від CGI, де від сервера, в загальному випадку,не потрібно ніяких знань про те, як працює запускається їм CGI -програма, при використанні вбудованого коду потрібна підтримкавідповідної технології сервером, так як виконання коду проводитьсявсередині процесу сервера.
Особливий випадок вбудованого коду - мова Javascript. Код, написаний на
Javascript, розміщується всередині пари тегів і, передаєтьсябезпосередньо до клієнта і виконується браузером. На стороні клієнта виконуютьсятакож програми, написані на мові Java. Зустрівши в HTML-документі тег
, Браузер завантажує з сервера файл, що містить байт-код програми,і передає його на виконання Java-машині. Останню можна безкоштовнозавантажити з Інтернету з сайту http://java.sun.com.

Кешування даних
Часто між браузером і HTTP-сервером розташовується проміжна ланка -
HTTP-кеш, або проксі-сервер. Не всякий контент буде поміщений в кеш.
Адміністратор проксі-сервера формулює політику кешування: наприклад, некешувати контенти більше певного розміру, контенти, в URL якихиме