Securitatea in email e-mail, semnatura digitala INTRODUCERE De-a lungul evolutiei sale, Internetul a trecut prin mai multe etape. La inceput, a fost o retea militarǎ, creata de US DoD (Department of Defence - Ministerul Apararii Statelor Unite). Ideea de la care s-a pornit a fost aceea de a introduce un grad ridicat de redundanta, astfel incat distrugerea unei parti a retelei sa nu afecteze functionarea restului retelei. Perioada urmǎtoare a apartinut comunitatii stiintifice si academice. Oamenii de stiinta au folosit reteaua pentru a comunica intre ei, pentru a distribui informatii, pentru a face cunoscute rezultatele cercetǎrii. Etapa actuala este cea a utilizarii publice a Internetului, pe baze comerciale. Dintre toate serviciile Internetului, posta (sau mesageria) electronica (e-mail in engleza, dar din ce in ce mai mult si in romana) este cea mai simpla si cea mai raspandita. Trebuie spus aici ca posta electronica nu este apanajul exclusiv al Internetului: exista retele locale sau de arie larga private care dispun de sisteme de mesagerie electronica. De asemenea, majoritatea BBS-urilor permit utilizatorilor proprii sa corespondeze intre ei. Din perspectiva utilizatorului, folosirea acestor sisteme este similara cu utilizarea sistemului e-mail din Internet, exceptand modul de formare a adreselor si, desigur, faptul ca in aceste sisteme nu se poate comunicǎ decat in cadrul organizatiei respective. Dar expansiunea Internetului este foarte rapida si majoritatea acestor sisteme sunt deja conectate la Reteaua Globala. Cu siguranta multi dintre noi folosim cu dezinvoltura posta electronica. Exista insa multi care inca nu au avut posibilitatea, interesul sau poate curajul sa-i cunoasca avantajele. Cert este ca, in scurt timp, e-mail-ul va deveni un instrument indispensabil pentru oricine. In multe privinte, functionarea postei electronice se aseamana cu serviciile postale obsnuite. Analogia este extrem de expresiva. In general, fiecare dintre noi suntem clientii unui anumit oficiu postal, de regula cel mai apropiat de locuinta. Fiecare dintre noi avem o cutie postala acasa si/sau o casuta postala la oficiul postal, identificate printr-o adresa. Oficiul postal deserveste o anumita zona, strict delimitata, deci un numar bine precizat de adrese. In cazul postei electronice, rolul oficiului postal este jucat de un calculator (de regula o masina Unix sau Windows NT) care ruleaza un program numit (la modul generic) server de e-mail. Suntem clientii acestui server daca dispunem de un cont pe acest server. Aceasta implica faptul ca avem o adresa e-mail prin care putem fi identificati si un spatiu de stocare unde sunt memorate mesajele (mailbox - cutie postala). Un oficiu postal are doua interfete: una spre clientii sai (corespunzatori adreselor care-i sunt arondate) si una spre ansamblul sistemului postal. Prima interfata implica distribuirea corespondentei sosite spre clientii oficiului si preluarea corespondentei acestora in vederea expedierii. A doua interfata o reprezinta relatia directa sau indirecta (prin intermediul altor oficii postale, oficii de triere etc.) cu celelalte oficii postale. In mod analog, serverul de e-mail dispune de doua protocoale diferite, corespunzatoare acestor interfete. Astfel, comunicarea cu clientii se face, in marea majoritate a cazurilor, prin protocolul POP3 (Post Office Protocol 3), care asigura distribuirea mesajelor (acesta este termenul prin care ne referim la o scrisoare electronica) receptionate catre clientii proprii carora le sunt destinate si preluarea mesajelor expediate de acestia. Interfata cu alte servere de e-mail din Internet se face prin protocolul SMTP (Simple Mail Transfer Protocol), prin care serverul receptioneaza si expediaza corespondenta clientilor sai in si din Reteaua Globala. De regula, utilizatorul are de-a face cu un singur server de e-mail (altfel spus: serverul POP3 si serverul SMTP ruleaza pe aceeasi masina). Este insa posibil ca expedierea sa se faca printr-un alt server SMTP. Analogia cu posta obisnuita este evidenta: nu suntem obligati sa trimitem scrisorile prin intermediul oficiului postal caruia ii suntem clienti. Le putem expedia de oriunde, dar le putem primi doar acasa. In ceea ce priveste insǎ securitatea, posta electronicǎ nu oferǎ conditiile ideale. Mesajele pot fi interceptate, voit sau din eroare, de cǎtre persoane neautorizate sau de cǎtre administratorii sistemelor de calcul. In cele mai multe versiuni de sisteme, UNIX, derivate Berkeley, incluzand si pe cele de pe Sun, este folosit programul sendmail pentru a receptiona si trimite posta. Versiunile mai vechi de sendmail au unele deficiente privind securitatea, permitand penetrarea in sistem, obtinerea unor drepturi de acces si activarea unor programe sau scripturi in mod ilegal. O astfel de deficientǎ a fost folositǎ de cǎtre Viermele Internet. Versiunea actualǎ a lui sendmail realizatǎ la Berkeley este, se pare, corectǎ. Dar aceste versiuni au cateva probleme de securitate care pot fi speculate de utilizatori mai rafinati. Existǎ cateva precautii administrative ce trebuie luate pentru a asigura securitatea postei electronice si anume stergerea alias-ului “decode” din fisierul aliases (etc/aliases sau /usr/bin/aliases), dacǎ s-au creat aliases ce permit mesajelor sǎ fie transmise direct la programe, trebuie sǎ ne asigurǎm cǎ aceasta nu este o cale pentru a obtine comenzi Shell pe care, in mod normal, nu are dreptul sǎ le execute, apoi trebuie sǎ verficat dacǎ parola “wizard” este dezactivatǎ in fisierul de configurare sendmail.cf si nu in ultimul rand trebuie sǎ vǎ asigurati cǎ sendmail nu acceptǎ comenzi de tip “debug”, verificare care poate fi fǎcutǎ cu urmǎtoarele comenzi: % telnet localhost 25 220 yourhost Sendmail 5.61 ready at 9 Mar 90 10:57:36 PST debug 500 Command unrecognized quit % In cazul in care sendmail rǎspunde la comanda debug cu “200 debug set”, atunci sunteti vulnerabili la un posibil atac si trebuie sa vǎ procurati o versiune mai nouǎ de sendmail. Urmand aceste proceduri, puteti fi linistit, intrucat sistemul este sigur din punct de vedere al unor posibilitǎti de penetrare neautorizatǎ prin e-mail. Insǎ continutul postei electronice, confidentialitatea si autenticitatea mesajelor primite sau transmise nu sunt asigurate. Se considerǎ cǎ posta electronicǎ este un mediu deschis, ceva similar cǎrtilor postale, a cǎror confidentialitate este deosebit de precarǎ. De exemplu, avocatii si clientii lor folosesc zilnic posta electronicǎ, dar au realizat cǎ mesajele schimbate prin retea pot fi citite de cǎtre persoane strǎine. Si chiar dacǎ intuiesc vulnerabilitatea postei, comoditatea si credinta cǎ numǎrul mare de mesaje care circulǎ in Internet face improbabilǎ interceptarea corespondentei, conduc la folosirea fǎrǎ precautie a e-mail-ului intre avocati si clienti. Cei implicati trebuie sǎ retinǎ cǎ sentimentul de intimitate este fals; faptul cǎ posta electronicǎ este memoratǎ sub formǎ digitalǎ ea se preteazǎ unei analize la scarǎ foarte mare cu ajutorul unor programe speciale si ca urmare mijloacele de selectare a unei anumite corespondente care intereseazǎ sunt mult mai eficiente decat in posta traditionalǎ. Nu lipsit de semnificatie este si faptul cǎ delictele de interceptare a comunicatiilor intre calculatoare sunt mai greu de dovedit si multe legislatii nationale prezintǎ imperfectiuni in incadrarea si pedepsirea acestui gen de delicte. Ca urmare, trebuie respectatǎ urmǎtoarea regulǎ fundamentalǎ in folosirea e-mail-ului: ori se foloseste criptarea pentru asigurarea confidentialitǎtii si autenticitǎtii mesajelor, ori se tine cont cǎ prin e-mail nu trebuie transmis nimic ce nu se doreste a se afla despre familie, adversari, concurenti, clienti etc. Una din preocupǎrile grupurilor de specialisti este imbunǎtǎtirea serviciilor de e-mail sub aspectul securitǎtii, solutia constand in utilizarea criptǎrii. Acest lucru plaseazǎ responsabilitatea confidentialitǎtii comunicatiilor in mana celor care corespondeazǎ, in particular, in sarcina avocatului si a clientului. Asa cum s-a vǎzut, problema complicatǎ in stabilirea unui sistem criptografic intre doi parteneri nu o reprezintǎ obtinerea unui program adecvat de cifrare ci stabilirea si transmiterea cheilor, care trebuie sǎ se facǎ prin alte mijloace de comunicatie sigure. Dar criptografia cu chei publice a inlǎturat aceastǎ problemǎ complexǎ, deoarece cheile de criptare pot fi fǎcute publice. Fiecare persoanǎ isi face cunoscutǎ, intr-un fisier public cheia sa publicǎ, necesarǎ oricǎrui eventual corespondent sǎ-i cripteze mesajele. Cu ajutorul unei chei pereche secretǎ, numai destinatarul este cel care poate decripta scrisorile care ii sunt adresate. Ca urmare, o solutie pentru asigurarea confidentialitǎtii mesajelor pe Internet ar fi procurarea unui soft adecvat protectiei criptografice a scrisorilor schimbate prin Internet. Pentru asigurarea securatǎtii postei electronice, specialistii recomandǎ standardul PEM si programul PGP, dar foarte folosit este si standardul MOSS, in multe privinte foarte asemǎnǎtor cu PEM.

Securitatea in email e-mail, semnatura digitala

De-a lungul evolutiei sale, Internetul a trecut prin mai multe etape. La inceput, a fost o retea militarǎ, creata de US DoD (Department of Defence - Ministerul Apararii Statelor Unite). Ideea de la care s-a pornit a fost aceea de a introduce un grad ridicat de redundanta, astfel incat distrugerea unei parti a retelei sa nu afecteze functionarea restului retelei. Perioada urmǎtoare a apartinut comunitatii stiintifice si academice. Oamenii de stiinta au folosit reteaua pentru a comunica intre ei, pentru a distribui informatii, pentru a face cunoscute rezultatele cercetǎrii. Etapa actuala este cea a utilizarii publice a Internetului, pe baze comerciale.

Dintre toate serviciile Internetului, posta (sau mesageria) electronica (e-mail in engleza, dar din ce in ce mai mult si in romana) este cea mai simpla si cea mai raspandita. Trebuie spus aici ca posta electronica nu este apanajul exclusiv al Internetului: exista retele locale sau de arie larga private care dispun de sisteme de mesagerie electronica. De asemenea, majoritatea BBS-urilor permit utilizatorilor proprii sa corespondeze intre ei. Din perspectiva utilizatorului, folosirea acestor sisteme este similara cu utilizarea sistemului e-mail din Internet, exceptand modul de formare a adreselor si, desigur, faptul ca in aceste sisteme nu se poate comunicǎ decat in cadrul organizatiei respective. Dar expansiunea Internetului este foarte rapida si majoritatea acestor sisteme sunt deja conectate la Reteaua Globala.

Cu siguranta multi dintre noi folosim cu dezinvoltura posta electronica. Exista insa multi care inca nu au avut posibilitatea, interesul sau poate curajul sa-i cunoasca avantajele. Cert este ca, in scurt timp, e-mail-ul va deveni un instrument indispensabil pentru oricine.

In multe privinte, functionarea postei electronice se aseamana cu serviciile postale obsnuite. Analogia este extrem de expresiva. In general, fiecare dintre noi suntem clientii unui anumit oficiu postal, de regula cel mai apropiat de locuinta. Fiecare dintre noi avem o cutie postala acasa si/sau o casuta postala la oficiul postal, identificate printr-o adresa. Oficiul postal deserveste o anumita zona, strict delimitata, deci un numar bine precizat de adrese.

In cazul postei electronice, rolul oficiului postal este jucat de un calculator (de regula o masina Unix sau Windows NT) care ruleaza un program numit (la modul generic) server de e-mail. Suntem clientii acestui server daca dispunem de un cont pe acest server. Aceasta implica faptul ca avem o adresa e-mail prin care putem fi identificati si un spatiu de stocare unde sunt memorate mesajele (mailbox - cutie postala).

Un oficiu postal are doua interfete: una spre clientii sai (corespunzatori adreselor care-i sunt arondate) si una spre ansamblul sistemului postal. Prima interfata implica distribuirea corespondentei sosite spre clientii oficiului si preluarea corespondentei acestora in vederea expedierii. A doua interfata o reprezinta relatia directa sau indirecta (prin intermediul altor oficii postale, oficii de triere etc.) cu celelalte oficii postale.

In mod analog, serverul de e-mail dispune de doua protocoale diferite, corespunzatoare acestor interfete. Astfel, comunicarea cu clientii se face, in marea majoritate a cazurilor, prin protocolul POP3 (Post Office Protocol 3), care asigura distribuirea mesajelor (acesta este termenul prin care ne referim la o scrisoare electronica) receptionate catre clientii proprii carora le sunt destinate si preluarea mesajelor expediate de acestia. Interfata cu alte servere de e-mail din Internet se face prin protocolul SMTP (Simple Mail Transfer Protocol), prin care serverul receptioneaza si expediaza corespondenta clientilor sai in si din Reteaua Globala.

De regula, utilizatorul are de-a face cu un singur server de e-mail (altfel spus: serverul POP3 si serverul SMTP ruleaza pe aceeasi masina). Este insa posibil ca expedierea sa se faca printr-un alt server SMTP. Analogia cu posta obisnuita este evidenta: nu suntem obligati sa trimitem scrisorile prin intermediul oficiului postal caruia ii suntem clienti. Le putem expedia de oriunde, dar le putem primi doar acasa.

In ceea ce priveste insǎ securitatea, posta electronicǎ nu oferǎ conditiile ideale. Mesajele pot fi interceptate, voit sau din eroare, de cǎtre persoane neautorizate sau de cǎtre administratorii sistemelor de calcul. In cele mai multe versiuni de sisteme, UNIX, derivate Berkeley, incluzand si pe cele de pe Sun, este folosit programul sendmail pentru a receptiona si trimite posta. Versiunile mai vechi de sendmail au unele deficiente privind securitatea, permitand penetrarea in sistem, obtinerea unor drepturi de acces si activarea unor programe sau scripturi in mod ilegal. O astfel de deficientǎ a fost folositǎ de cǎtre Viermele Internet.

Versiunea actualǎ a lui sendmail realizatǎ la Berkeley este, se pare, corectǎ. Dar aceste versiuni au cateva probleme de securitate care pot fi speculate de utilizatori mai rafinati. Existǎ cateva precautii administrative ce trebuie luate pentru a asigura securitatea postei electronice si anume stergerea alias-ului “decode” din fisierulaliases (etc/aliases sau /usr/bin/aliases), dacǎ s-au creat aliases ce permit mesajelor sǎ fie transmise direct la programe, trebuie sǎ ne asigurǎm cǎ aceasta nu este o cale pentru a obtine comenzi Shell pe care, in mod normal, nu are dreptul sǎ le execute, apoi trebuie sǎ verficat dacǎ parola “wizard” este dezactivatǎ in fisierul de configurare sendmail.cf si nu in ultimul rand trebuie sǎ vǎ asigurati cǎ sendmail nu acceptǎ comenzi de tip “debug”, verificare care poate fi fǎcutǎ cu urmǎtoarele comenzi:

% telnet localhost 25

220 yourhost Sendmail 5.61 ready at 9 Mar 90 10:57:36 PST

debug

500 Command unrecognized

quit

%

In cazul in care sendmail rǎspunde la comanda debug cu “200 debug set”, atunci sunteti vulnerabili la un posibil atac si trebuie sa vǎ procurati o versiune mai nouǎ de sendmail. Urmand aceste proceduri, puteti fi linistit, intrucat sistemul este sigur din punct de vedere al unor posibilitǎti de penetrare neautorizatǎ prin e-mail. Insǎ continutul postei electronice, confidentialitatea si autenticitatea mesajelor primite sau transmise nu sunt asigurate.

Se considerǎ cǎ posta electronicǎ este un mediu deschis, ceva similar cǎrtilor postale, a cǎror confidentialitate este deosebit de precarǎ. De exemplu, avocatii si clientii lor folosesc zilnic posta electronicǎ, dar au realizat cǎ mesajele schimbate prin retea pot fi citite de cǎtre persoane strǎine. Si chiar dacǎ intuiesc vulnerabilitatea postei, comoditatea si credinta cǎ numǎrul mare de mesaje care circulǎ in Internet face improbabilǎ interceptarea corespondentei, conduc la folosirea fǎrǎ precautie a e-mail-ului intre avocati si clienti. Cei implicati trebuie sǎ retinǎ cǎ sentimentul de intimitate este fals; faptul cǎ posta electronicǎ este memoratǎ sub formǎ digitalǎ ea se preteazǎ unei analize la scarǎ foarte mare cu ajutorul unor programe speciale si ca urmare mijloacele de selectare a unei anumite corespondente care intereseazǎ sunt mult mai eficiente decat in posta traditionalǎ.

Nu lipsit de semnificatie este si faptul cǎ delictele de interceptare a comunicatiilor intre calculatoare sunt mai greu de dovedit si multe legislatii nationale prezintǎ imperfectiuni in incadrarea si pedepsirea acestui gen de delicte. Ca urmare, trebuie respectatǎ urmǎtoarea regulǎ fundamentalǎ in folosirea e-mail-ului: ori se foloseste criptarea pentru asigurarea confidentialitǎtii si autenticitǎtii mesajelor, ori se tine cont cǎ prin e-mail nu trebuie transmis nimic ce nu se doreste a se afla despre familie, adversari, concurenti, clienti etc.

Una din preocupǎrile grupurilor de specialisti este imbunǎtǎtirea serviciilor de e-mail sub aspectul securitǎtii, solutia constand in utilizarea criptǎrii. Acest lucru plaseazǎ responsabilitatea confidentialitǎtii comunicatiilor in mana celor care corespondeazǎ, in particular, in sarcina avocatului si a clientului. Asa cum s-a vǎzut, problema complicatǎ in stabilirea unui sistem criptografic intre doi parteneri nu o reprezintǎ obtinerea unui program adecvat de cifrare ci stabilirea si transmiterea cheilor, care trebuie sǎ se facǎ prin alte mijloace de comunicatie sigure. Dar criptografia cu chei publice a inlǎturat aceastǎ problemǎ complexǎ, deoarece cheile de criptare pot fi fǎcute publice. Fiecare persoanǎ isi face cunoscutǎ, intr-un fisier public cheia sa publicǎ, necesarǎ oricǎrui eventual corespondent sǎ-i cripteze mesajele. Cu ajutorul unei chei pereche secretǎ, numai destinatarul este cel care poate decripta scrisorile care ii sunt adresate.

Ca urmare, o solutie pentru asigurarea confidentialitǎtii mesajelor pe Internet ar fi procurarea unui soft adecvat protectiei criptografice a scrisorilor schimbate prin Internet. Pentru asigurarea securatǎtii postei electronice, specialistii recomandǎ standardul PEM si programul PGP, dar foarte folosit este si standardul MOSS, in multe privinte foarte asemǎnǎtor cu PEM.     http://www.referatele.com