Centru de formare și analiz ă în [615159]

1
Centru de formare și analiz ă în
ingineria riscurilor (CeFAIR)

Introducere în
securitatea re țelelor

Lect. Dr. M. Apetrii

2
Tehnici de bază care asigură securitatea informației în internet
și intranet
Datorită faptului că numărul calculatoarelor era din ce în ce mai mare precum și a
faptului că la fiecare din acestea se stocau ceva informa ții din diverse domenii, a devenit
necesar schimbul operativ de informa ții la distanț ă. Astfel au apărut rețelele de calculatoare .
Astăzi echipamentele care se pot conecta la o re țea s-au diversificat astfel că dintr -o rețea de
comunica ții pot face parte calculatoare, laptopuri, imprimante, telefoane, PDA -uri etc.
Avantajele imediate ale folosirii unei rețele de comunica ții sunt: schimbul de informa ții,
transferu l de date , utilizarea comună a resurselor , partajarea sarcinilor , protec ția datelor etc.
Realizarea unei re țele implic ă și costuri însă acestea trebuie puse în legătură cu avantaje
oferite . Pentru buna func ționare a unei rețele de calcu latoare trebuie avu te în vedere și unele
sarcini administrative cum ar fi optimizarea între ținerii și asigurarea disponibilită ții. În cazul
defectării unor componente singulare re țeaua trebuie s ă fie în continuare disponibilă, func țiile
componentelor defecte trebuind să fie preluate de alte componente. Cu cât mai complexe si
mai mari sunt componentele re țelei, cu atât devine mai importantă de ținerea de instrumente de
lucru care sa permită administrarea și intre ținerea u șoara a rețelei. Posibilitatea diagnostic ării
și intre ținerii la distan ță a rețelei faciliteaz ă service -ul în această direc ție.
Comunica țiile între echipamentele interconectate fizic și logic într -o rețea se realizeaz ă pe
baza unor suite de reguli de comunicare și formate impuse pentru reprezentarea și transferu l
datelor , numite protocoale . Se folosesc numeroase suite de protocoale dar scopul oricărei
rețele de comunicații este acela de a permite transmisia informațiilor între oricare dou ă
echipamente, indiferent de producător, de sistemul de operare folosit sau de suita de
protocoale aleasă. Echipamentele de interconectare (modem, hub, switch, bridge, router,
access point) sunt responsabile de transferul informa țiilor în unit ăți de date specifice (cadre,
pachete, datagrame, segmente, celule) și de conversiile de format ce se impun, precum și de
asigurarea securită ții comunicațiilor. Probleme specifice de securitate se identific ă atât în
nodurile re țelei, precum și pe căile de comunica ție (cablu sau mediu wireless).
Pentru asigurarea securității trebuie luate măsu ri în concordanță cu tipul reței. Rețelele de
calculatoare pot fi clasificate după mai multe criterii, astfel având :
Dupa tehnologia de transmisie putem avea rețele cu un singur canal de comunicare
(broadcast) , rețele care dispun de numeroase conexiuni înt re perechi de calculatoare
individuale („punct la punct”, pe scurt p2p).

Dupa mărimea re țelei: rețele locale LAN , rețele metropolitane MAN , de arie întinsă
WAN.
În cadul re țelelor locale sau de arie larg ă se disting și unele subtipuri, definite de
comuni cațiile wireless prin unde radio, în funcție de tehnologia folosită, puterea de emisie și
aria de acoperire:
 rețele personale (PAN – Personal Area Network) numite și piconet, asociate tehnicii
Bluetooth (BTH);
 rețele locale wireless (WLAN – Wireless Local Area Network) asociate în general
comunica țiilor în standard IEEE 802.11, denumite si rețele WiFi;
 rețele wireless de arie larg ă (WWAN – Wireless Wide Area Network) create pe baza
tehnologiilor de arie largă (ATM – Asynghronous Transfer Mode, WiMax –
World wide Interoperability for Microwave Access s.a.).

3

Rețelele la nivel global formeaz ă o re țea numit ă Internet . Internet se referă la World Wide
Web, rețeaua mondială unică de computere interconectate prin protocoalele (regulile) de
comunicare Transmission C ontrol Protocol și Internet Protocol, numite pe scurt TCP/IP.
Intranet -ul este definit ca o legatură semi -permanentă între un Wan (Wide Area Network)
și o filială a companiei. Fiind vorba de conexiuni LAN -LAN, riscul din punct de vedere al
securității est e cel mai mic (se presupune că firmele au încredere în filialele lor). În astfel de
cazuri, compania are control asupra rețelelei / nodurilor destinație cât și asupra celei sursă.
Spre deosebire de Intranet, care este relativ izolat, Extranetul este destin at comunicării cu
partenerii, clienții, furnizorii și cu angajații la distanță. Securizarea unei rețele de dimensiuni
mari necesită îndrumări și instrumente adecvate.
Dupa topologie: rețele tip magistral ă (bus), re țele tip stea (star), rețele tip inel (ri ng),
rețele combinate. Prin topologie se întelege dispunerea fizica în teren a calculatoarelor,
cablurilor și a celorlalte componente care alcatuiesc rețeaua, deci se refer ă la configura ția
spațială a re țelei, la modul de interconectare și ordinea existent ă între componentele re țelei.
La instalarea unei re țele, problema principal ă este alegerea topologiei optime și a
componentelor adecvate pentru realizare. Atunci cand se alege topologia unei re țele un
criteriu foarte important care se are în vedere este ce l al performan ței rețelei. De asemenea,
topologia unei re țele implic ă o serie de condi ții: tipul cablului utilizat, traseul cablului, etc.
Topologia unei re țele poate determina și modul de comunicare a calculatoarelor în rețea. În
domeniul re țelelor locale sunt posibile mai multe topologii, din care doar trei sunt larg
raspandite: linie, inel și stea.
Dupa tipul sistemului de operare utilizat: re țele peer -to-peer (de la egal la egal) , rețele
bazate pe server.
Dupa tipul mediului de transmisie a semnalelor: rețele prin medii ghidate (cablu coaxial,
perechi de fire răsucite, fibră optică), re țele prin medii neghidate (transmitere în infraroșu,
unde radio, microunde) .
Dupa tipul utilizatorilor putem avea rețele private (de uz industrial, militar, civil) sau
publice .
Dupa tipul accesului la mediu putem avea ethernet, token ring, token bus, arcnet etc.
Un exemplu pentru faptul că atunci când se vorbe ște de securitatea comunicațiilor trebuie
să se țină seama de tipul re țelei și al comunicației este acela c ă trebui e făcută distinc ție între
procesele de comunica ție în timp real care se realizeaz ă în cazul transmisiilor vocale sau
video și cele de transfer al informa țiilor sub form ă de fi șiere. Apar riscuri mari de securitate în
aplica țiile de tip „peer -to-peer” (p2p) , precum Skype, în care se desfăsoară procese de
comunica ție în timp real, dar și atacuri la securitatea rețelei în paralel cu acestea, f ață de
serviciul de transfer al fi șierelor, care este mai pu țin critic din punct de vedere al timpului de
rulare, ceea ce permite efectuarea unor teste de asigurare a securită ții sistemului.
Principalele componente ale unei rețele de calculatoare, care asigură funcționalitatea
acesteia și care contribuie la asigurarea securității informației în internet și intranet sunt:
Clienți și Servere
Adesea când o rețea se dezvolta și sunt adăugate mai multe PC -uri, unul dintre ele va
acționa ca un server, un centru de stocare și dispecerizare a fișierelor și aplicațiilor
(programelor) utilizate de clienți (utilizatori). Serverele ges tionează și accesul utilizatorilor la
echipamentele conectate în rețea, partajate de utilizatori (imprimante, periferice etc.).

4
Definirea unuia din PC -uri ca și server este utilă în ideea de a extinde capacitatea unui singur
calculator în direcția stocării și gestionarii informațiilor partajate, versus extinderea fiecărui
PC (rațiuni de costuri -performan țe). Fiecare PC conectat la un server se numește client pentru
diferențiere ca și funcție în rețea. Într -o rețea nu este neap ărat necesar să existe un serve r
dedicat (numai pentru funcții de server).
Conexiuni și cablaje
Există 3 tipuri primare de cablare (medii fizice) în rețele:
 cablu torsadat (Twisted pair = TP), unul dintre standardele industriale cele mai
răspândite (în România)
 cablu coaxial, asemănăto r celor din rețelele de televiziune (ca și aspect), în curs de
dispariție în domeniu, inclusiv în România
 cablu optic (fibra optică), utilizat în conexiunile dintre segmente de rețele în rețele de
mare areal (metropolitane etc.), și/sau în domenii agresive (corozive, cu vibrații etc.)
reprezentând un mediu fizic de mare performanță (viteze, fiabilitate) dar și un preț
mai ridicat .

Plăcile / adaptoarele de conectare la rețele (NIC -urile)
NIC-urile, plăcile/adaptoare de rețea (uzual numite în România) sunt instalate în carcasa
PC-ului, fiind conectate cu placa de bază, r espectiv cu panoul din spate al PC -ului (mufe RJ
45). La calculatoarele portabile (notebook -uri) aceste plăci sunt de regulă inserate în
conexiuni (sloturi) accesibile din exterior sub forma unor interfețe de tip PCMCI, având
forma cunoscută sub denumirea de PC Card. NIC -urile de tip Ethernet vor putea fi conectate
doar la medii fizice adecvate, respectiv rețele rapide sau lente (10/100Mhz). În ultimii ani
NIC-urile sunt prevăzute cu mai mult e standarde, sub denumirea de plăci combo (conexiuni
tip Coaxial 10Base2, respctiv UTP/ 10Base -T). Pe cele mai moderne placi de baza din PC -uri
există mai nou moda încorporării și a plăcilor de tip NIC, ceea ce duce la noi avantaje (preț)
dar și dezavantaj e (în situații de defectare a oricărei placi). Unele NIC -uri suportă de
asemenea conexiuni “fără fir”, utilizând tehnologii radio sau IR (infraroșu) pentru
transmisiuni prin “aer”. Aceste NIC -uri au funcțiuni logice ca și ale celor clasice (fir), având
diferențe majore în partea de interfețe fizice / traductori. Standarde precum PCI (Peripheral
Component Interconnect) și ISA (Industry Standard Architecture) sunt disponibile atât la
plăcile standard PC, cât și pe plăcile de rețea pentru portabile (notebook, laptop, agende
manageriale).
Hub -uri (repetoare)
Sunt simple dispozitive active care conectează grupuri de utilizatori. HUB -urile sunt
transparente la traficul de date, fișiere, e -mailuri, informațiile primite pe un port fiind
distribuite pe toate celelal te porturi active. Este cunoscut ca un dispozitiv "neinteligent ", el
neoperând activ în așa numitul domeniu de coliziuni (conexiunile dintre PC -uri nefiind tratate,
dispozitivul îmbunătățind doar nivelul semnalelor), motiv pentru care este cunoscut și ca
repetor. Dat fiind evoluția/scăderea prețurilor pentru dispozitivele active inteligente (switch –
uri, rutere) în acest moment HUB -ul nu mai reprezintă o soluție promovat ă de firmele de
specialitate pentru extinderea rețelelor de calculatoare , exceptând situa țiile utilizate ca simplu
repetor. Ca și repetoare există și dispozitive dedicate, ele având în general și alte elemente de
adaptare la extinderi ale rețelelor , în funcție de mediul fizic de extensie , cum ar fi spre
exemplu extensi a în exteriorul unei clădiri a unei re țele.

5
Puncte de Acces
Rețelele fără fir utilizează Puncte de Acces (Acces Point) – dispozitive care au funcțiuni
asemănătoare cu a hub -urilor și, mai nou cu a switch -urilor și a router -elor – și interfețe
specializate transmisiilor fără fir (a er-aer). Ele acționează și ca pun ți de leg ătură (bridges)
între rețele "cablate " și rețele rapide Ethernet.
Comutatoare (switch -uri)
Reprezintă dispozitive active – mai inteligente decât HUB -urile, proiectate pentru a
gestiona eficient lărgimea de bandă ut ilizat ă de către utilizatori și/sau grupuri de utilizatori.
Ele pot interpreta adresele din pachetul de date și direcționa fluxurile către segmentele rețelei,
fără a produce transmisii “oarbe ” și fără a supraîncărca traficul cu pachete de date cu
destinați ile necunoscute. Pentru a izola transmisiile între porturi, switch -ul stabilește o
conexiune temporară între sursă și destinație, oprind -o atunci când transferul a luat sfârșit. Un
switch este similar cu un sistem telefonic cu linii private/personalizate.
Router -e (Routers)
Comparativ cu hub -urile și switch -urile, router -ele sunt dispozitive active mai inteligente.
Ele utilizează adrese pentru pachetele de date pentru a determina care router sau stație de
lucru va primi următorul pachet. Bazat pe o hartă a rețelei reprezentată ca și o tabelă de
routare, router -ele pot asigura cel mai eficient traseu al datelor către destinație. În cazul în
care o legătură între două router -e se defectează, router -ele pot reface trasee alternative pentru
a păstra fluența traf icului de date .
Dezvoltarea re țelelor a condus la impunerea unor standarde universal acceptate de toți,
care au scopul de a unifica diverse variante ale tehnologiilor folosite si define ște un set de
reguli generale. Standardele sunt aprobate de organiza ții interna ționale, cum ar fi: OSI
(International Standards Organisation), ECMA (European Computer Manufacturer's
Association), IEEE (Institute of Electrical and Electronical Engineers), ANSI.
Elaborarea
standardelor pentru re țele a devenit necesar ă datorit ă diversifică rii echipamentelor și
serviciilor, care a condus la apari ția de re țele eterogene din punctul de vedere al tipurilor de
echipamente folosite. ISO a elaborat un model arhitectural de referin ță pentru interconectarea
calculatoarelor, cunoscut sub denumirea de modelul arhitectural ISO -OSI (Open System
Interconnection).

Modelul ISO -OSI
Proiectarea, între ținerea și administrarea re țelelor de comunicații se poate face mai
eficient prin folosirea unui model de re țea stratificat. Modelul ISO -OSI împar te arhitectura
rețelei în șapte nivele (Layers ), construite unul deasupra altuia, adaug ând func ționalitate
serviciilor oferite de nivelul inferior. Fiecare nivel are rolul de a ascunde nivelului superior
detaliile de transmisie către nivelul inferior și invers. Nivelele superioare beneficiază de
serviciile oferite de cele inferioare în mod transparent . Acest model permite realizarea de
module software necesare func ționării re țelei care implementeaz ă diferite func ții (codare,
criptare, împachetare, fragment are etc.). Modelul nu precizeaz ă cum se construiesc nivelele,
dar insist ă asupra serviciilor oferite de fiecare și specific ă modul de comunicare între nivele
prin intermediul interfe țelor. Fiecare producator poate construi nivelele a șa cum dore ște, însă
fiecare nivel trebuie sa furnizeze un anumit set de servicii. Proiectarea arhitecturii pe nivele
determin ă extinderea sau îmbun ătățirea facil ă a sistemului.

6
În figura de mai jos, calculatoarele A și B sunt reprezentate pe baza modelului OSI.
Transferul date lor de la A la B, respectiv de la B la A, se face pe traseele marcate cu linie
continuă.

Modelul ISO -OSI

Nivelul fizic (Physical Layer) are rolul de a transmite datele de la un calculator la altul
prin intermediul unui canal de comunica ție. Datele sunt văzute la acest nivel ca un șir de bi ți.
Problemele tipice sunt de natur ă electric ă: nivelele de tensiune, durata impulsurilor de
tensiune, cum se ini țiază și cum se opre ște transmiterea semnalelor electrice, asigurarea
păstrării formei semnalului propagat . La acest nivel natura sursei de informa ție (date, voce,
audio, video) nu se mai cunoaste, ceea ce face ca procesul de comunica ție să fie considerat
transparent.
Nivelul legaturii de date (Data Link Layer) corecteaz ă erorile de transmitere ap ărute la
nivelul fizic, realiz ând o comunicare corect ă între dou ă noduri adiacente ale re țelei. La acest
nivel biții sunt împăr țiți în cadre , adică pachete încapsulate cu antet (H – header) și marcaj
final (T – trail), care includ adresele sursei (SA – Source Address) și destina ției (DA –
Destination Address) pentru a se putea expedia datele între calculatoare. Cadrele sunt
transmise individual, putand fi verificate și confirmate de c ătre receptor.
Nivelul re țea (Network Layer ) asigur ă dirijarea unit ăților de date între nodurile surs ă și
destina ție, trec ănd eventual prin noduri intermediare (routing ). Este foarte important ca fluxul
de date s ă fie astfel dirijat încât să se evite aglomerarea anumitor zone ale re țelei. În unele
LAN -uri, func ția nivelului de rețea se re duce la cea de stocare ( buffering ) și retransmisie a
pachetelor. În WAN -uri, la acest nivel se realizează opera ția de rutare a pachetelor, adică
stabilirea căilor optime de transmisie între noduri. Interconectarea re țelelor cu arhitecturi
diferite este o f uncție a nivelului re țea.
Nivelul transport (Transport Layer) realizeaz ă o conexiune între doua calculatoare
gazdă (host) detect ând și corect ând erorile pe care nivelul re țea nu le trateaz ă (răspunde de
siguran ța transferului datelor de la surs ă la destin ație). Este nivelul aflat în mijlocul ierarhiei,
asigur ând nivelelor superioare o interfa ță independ entă de tipul re țelei utilizate. Func țiile
principale sunt: st abilirea unei conexiuni sigure între doua ma șini gazd ă, ini țierea transferul ui,

7
controlul flux ului de date și inchiderea conexiunii. La acest nivel mesajele de mari dimensiuni
pot fi fragmentate în unită ți mai mici, cu lungime impus ă, procesate și transmise independent
unul de altul. La destina ție, același nivel r ăspunde de refacerea corectă a mesa jului prin
ordonarea fragmentelor indiferent de căile pe care au fost transmise și de ordinea sosirii
acestora.
Nivelul sesiune (Session Layer ) stabile ște și între ține conexiuni (sesiuni) între procesele
aplica ției, rolul său fiind acela de a permite proce selor s ă stabilească "de comun acord"
caracteristicile dialogului și să sincronizeze acest dialog. O sesiune începe doar dacă legătura
între noduri este stabilită, deci este orientată pe conexiune. Nivelul sesiune este considerat ca
fiind interfa ța dintre utilizator și rețea.
Nivelul prezentare (Presentation Layer ) realizează opera ții de transformare a datelor în
formate în țelese de entita țile ce intervin într -o conexiune. La acest nivel se realizează și
codificarea datelor (compresie, criptare) și reprezen tarea lor în formatul standard acceptat, de
exemplu, prin codarea ASCII ( American Standard Code for Information Interchange ) a
caracterelor. Tot aici se supervizează comunica țiile în rețea cu imprimantele, monitoarele,
precum si formatele în care se transf eră fi șierele.
La nivelul aplica ție (Application Layer) se implementează algoritmii software care
convertesc mesajele în formatul acceptat de un anumit terminal de date real. Transmisia se
realizează în formatul standard specific re țelei. Nivelul aplica ție nu comunică cu aplica țiile ci
controlează mediul în care se execută aplica țiile, punându -le la dispozi ție servicii de
comunica ție. Printre functiile nivelului aplica țtie se af ă: identificarea partenerilor de
comunica ție, determinarea disponibilit ății aces tora și autentificarea lor, sincronizarea
aplica țiilor cooperante și selectarea modului de dialog, stabilirea responsabilit ăților pentru
tratarea erorilor, identificarea constr ângerilor asupra reprezentării datelor, transferul
informa ției.
Acestor nivele l i se asociază seturi de protocoale, denumite protocoale OSI. Un protocol
de comunicare reprezintă un set de reguli care determină formatul și modalitatea în care datele
sau informa ția pot fi trimise sau primite. Pe lânga modul de împartire pe vertical ă, în modelul
OSI se mai apelează la unul pe orizontală, adică fiecare start este subdivizat pe orizontală – în
aceste locuri aflandu -se protocoalele. Ca și principiu, un protocol M dintr -un strat 4 al
calculatorului sursă va comunica în calculatorul destina ție cu protocolul M din stratul 4 al
mașinii respective.
Primele trei nivele de la baza ierarhiei (fizic, legatură de date, re țea) sunt considerate ca
form ând o subre țea de comunicație. Subrețeaua este raspunz ătoare pentru realizarea
transferului efectiv al datelor, pentru verificarea corectitudinii transmisiei și pentru dirijarea
fluxului de date prin diversele noduri ale re țelei.
Modelul OSI este foarte general, pur teoretic și asigur ă o mare flexibilitate în cazul
dezvoltării re țelelor prin separarea dive rselor func ții ale sistemului pe nivele specifice.
Numărul relativ mare de nivele din acest model face necesară utilizarea unui mare număr de
interfe țe și a unui volum crescut de secven țe de control. De aceea, în numeroase cazuri
Modelul OSI nu este implem entat în intregime de producători, nivelele sesiune și prezentare
putând să lipseasca (unele din func țiile atribuite acestora în modelul OSI fiind preluate de alte
nivele). Modelul OSI est e un model orientativ, strict t eoretic.
Drept exemplu de realizare a unui transfer de date între doua ma șini gazd ă vom prezenta
modul în care se cite ște o pagin ă web aflată pe un calculator situat la mare distan ță. În primul
rând utilizatorul lansează un program pentru vizualizarea paginilor web (browser). Browser -ul

8
este entitatea aplica ție care va "negocia" ob ținerea paginii solicitate. La nivelul aplica ție se va
identifica existen ța resursei cerute de client (clientul este browserul, care -l reprezinta pe
utilizator) și a posesorului. Se realizeaz ă autentificarea serveru lui și se stabilește dac ă acesta
este disponibil. Nivelul sesiune va stabili o conexiune între procesul client și procesul server
apoi nivelul transport se va ocupa de între ținerea conexiunii și de corectarea erorilor netratate
la nivelul re țea. În final, nivelul re țea va asigura transferul datelor în secven țe (pachete),
stabilind drumul acestora între server și client.
Modelul arhitectural TCP/IP
Modelul TCP/IP a fost utilizat de re țeaua ARPANET și de succesorul acesteia,
INTERNET, numele provenind de la protocoalele care stau la baza modelului: TCP
(Transmission Control Protocol) și IP (Internet Protocol). Obiectivul central avut în vedere la
proiectarea re țelei a fost acela de a se putea interconecta f ăra probleme mai multe tipuri de
rețele, iar transmi sia datelor sa nu fie afectat ă de distrugerea sau defectarea unei par ți a re țelei,
în acela și timp arhitectura rețelei trebuind s ă permită rularea unor aplica ții cu cerinte
divergente, de la transferul fi șierelor și p ână la transmiterea datelor în timp rea l
(videoconferin țe). Suita de protocoale TCP/IP gestionează toate datele care circulă prin
Internet.
Modelul TCP/IP are patru nivele și este diferit de modelul OSI, dar se pot face echivalări
între acestea .

Modelul OSI vs. Modelul TCP/IP

Nivelul de acces la re țea (Network Access) înglobează func țiile nivelelor OSI 1 și 2. Pe
acest nivel se definesc standardele de re țele (Ethernet, Fast Ethernet, GigaEthernet,
10GigaEthernet, Token -Bus, Token -Ring, WLAN, WIFI , Bluetooth etc.) și protocoalele
pentru comun icații seriale PPP ( Point -to-Point Protocol ) și SLIP ( Serial Line Internet
Protocol ). Legătura cu nivelul Internet este făcut de două protocoale de adresare ARP
(Address Resolution Protocol ) și RARP ( Reverse Address Resolution Protocol ). ARP
comunică la ce rere, pe baza adresei IP a unui echipament, adresa fizică (MAC) de 6 octe ți a
acestuia (RFC 826). RARP furnizează la cerere adresa IP dată unui echipament cu adresa

9
MAC, pe baza unor tabele de adrese (RFC 903). ARP și RARP se utilizează numai în
interiorul unui LAN. Aceste protocoale nu folosesc IP pentru încapsularea datelor.

Pe nivelul Internet, se folosesc protocoalele IP (Internet Protocol), ICMP (Internet
Control Message Protocol) și IGMP (Internet Group Management Protocol).
Nivelul internet este ax ul central al arhitecturii, rolul sau fiind acela de a permite
gazdelor s ă emită pachete în rețea și de a asigura transferul lor între surs ă și destina ție
(lucrează asemănător cu nivelu l rețea din modelul OSI). Î n versiunea 4 erau definite adrese IP
de 4 o cteți, exprimați în format zecimal cu separare prin puncte ( dotted -decimal notation ),
pentru localizarea sistematică a sursei și destina ției, într -o anumită re țea sau subrețea de
calculatoare. Versiunea 6 a protocolului IP (IPv6) define ște adrese de 128 de biți, respectiv 16
octeți, adic ă un spa țiu de adrese extrem de larg. IPv6 nu mai folosește sume de control pe
nivelul Internet, controlul erorilor revenind nivelelor legătură de date și celui de transport.
IPv6 include protocoalele de securitate care erau doar op ționale în versiunea anterioar ă a
protocolului IP. O altă facilitate se referă la utilizarea IPv6 pentru comunica ții mobile (MIPv6
– Mobile IPv6 ) care evită o serie de probleme de rutare.
Nivelul transport echivalent ca nume și funcționalitate cu nivelul OSI 4 este proiectat
astfel încat să permită dialogul între entită țile pereche din gazdele surs ă și destinație. Pe
nivelul de transport se folosesc două tipuri de protocoale, cu și fără conexiune.
TCP ( Transmission Control Protocol ) este un protoc ol orientat pe conexiune, asemenea
sistemelor telefonice. Permite controlul traficului, confirmarea sau infirmarea recep ției
corecte a mesajelor, retransmisia pachetelor și ordonarea corectă a fragmentelor unui mesaj.
La destina ție, procesul TCP receptor r easambleaz ă mesajele primite, reconstituind datele
inițiale. TCP realizeaz ă controlul fluxului de date pentru a evita situa ția în care un
transmi țător rapid inund ă un receptor lent cu mai multe mesaje decat poate acesta s ă
prelucreze. U n protocol de transp ort asemănător TCP este SCTP ( Stream Control
Transmission Protocol ) care permite transmisia în paralel a mai multor fluxuri
(multistreaming ), utilă în numeroase aplica ții de tip multimedia (de exemplu, transmisia
simultană a mai multor imagini dintr -o apli cație web ).
UDP ( User Datagram Protocol ) este un protocol de transport fără conexiune, asemănător
sistemului po ștal clasic, mai puțin sigur decât TCP dar mai puțin pretențios. Acesta este
destinat aplica țiilor care doresc s ă utilizeze propria secven țiere ș i control propriu al fluxului și
nu mecanismele asigurate de TCP. Este un protocol folosit în aplica ții pentru care
comunicarea rapid ă este mai important ă decât acurate țea transmisiei, a șa cum sunt aplica țiile
de transmitere a sunetului și imaginilor video .
Nivelul aplica ție din modelul TCP/IP include func țiile nivelelor OSI superioare 5, 6 și 7.
Nivelul aplica ție con ține protocoalele de nivel înalt care oferă direct servicii de re țea
utilizatorului. Printre aceste protocoale găsim:
SMTP (Simple Mail Trans fer Protocol) permite diferitelor calculatoare care folosesc
TCP/IP să comunice prin po șta electronică ( electronic -mail). Acest protocol stabileste
conexiunea punct -la-punct între clientul SMTP și serverul SMTP, asigură transferul mesajului
prin TCP, însti ințează utilizatorul despre noul mesaj primit, după care se desface legătura
dintre client și server.
POP ( Post-Office Protocol ) este protocolul prin care utilizatorul î și preia mesajele din
căsuța postal ă proprie. Spre deosebire de versiunea POP2, POP3 pe rmite accesul de la
distan ță al utilizatorului la căsu ța sa postal ă.

10
IMAP (Internet Message Access Protocol) versiunea 4 este echivalent ă ca func ționalitate
cu POP3, adică permite clientului preluarea de la distan ță a mesajelor de e -mail din căsu ța
postală proprie.
FTP ( File Transfer Protocol ) este un protocol de transfer al fisierelor între calculatoare,
mai precis un limbaj comun care permite comunicarea între oricare două sisteme de operare
(WINDOWS, LINUX/UNIX etc) folosind programe FTP pentru client și server. FTP
foloseste două conexiuni TCP pentru transferul sigur al datelor simultan cu controlul
comunica ției.
SFTP ( Simple File Transfer Protocol ) este o versiune simplificată a FTP, bazată pe o
singură conexiune TCP.
TELNET (Virtual Terminal Connectio n Protocol) este un protocol de terminal virtual
care permite conectarea unui utilizator de la distan ță la anumite calculatoare -gazdă.
FINGER ( Finger User -information Protocol ) este un protocol care permite ob ținerea de
informa ții publice despre utilizato rii unei re țele.
SSH ( Secure Shell Protocol ) oferă mai multe servicii de re țea (po stă electronică, transfer
de fișiere, conexiuni la distan ță s.a.) în mod securizat, folosind algoritmi de criptare.
BOOTP ( BOOTstrap Protocol ) este apelat de un utilizator pe ntru aflarea adresei IP. Acest
protocol foloseste UDP pentru transportul mesajelor.
DHCP (Dynamic Host Configuration Protocol), succesor al protocolului BOOTP, permite
utilizarea unui număr limitat de adrese IP de către mai mul ți utilizatori. Clientul soli cită
serverului DHCP o adresă IP. Acesta îi alocă o adresă dintr -un domeniu de adrese cunoscut,
eventual îi furnizează și masca de re țea. Alocarea este rapid ă și dinamică.
HTTP ( HyperText Transfer Protocol ), protocolul generic al serviciului de web, este
folosit de utilizatorii web și de serverele WWW pentru transferul unor fisiere de tip text,
imagine, multimedia, în format special ( hypertext ), prin intermediul unui limbaj de editare
HTML ( HyperText Markup Language ). Varianta securizată a acestuia este HT TPS (HTTP
Secure ) și ofer ă protec ție faț ă de tentativele de interceptare a comunica ției.
NTP ( Network Time Protocol ) este cel mai precis protocol de timp din Internet. Acesta
sincronizează ceasurile interne din două sau mai multe calculatoare, cu o preciz ie de 1 – 50 ms
față de timpul standard oficial.
SNMP ( Simple Network Management Protocol ) este folosit pentru supravegherea
funcționării re țelelor bazate pe TCP/IP (controlul statistic al traficului, performanțelor,
modului de configurare și securizare) .
IRC ( Internet Relay Chat ) este un protocol de comunica ție în timp real, fie de tip
conferin ță, cu mai mul ți utilizatori, fie de comunicare în pereche de tip unul -la-unul. IRC
foloseste TCP și opțional TLS.

11
Atacuri asupra re țelelor de comunicații

Conexi unea la Internet reprezintă o facilitate dar creează de cele mai multe ori mari
probleme de securitate pentru re țelele de comunicații , asupra acestora putând avea loc diverse
atacuri . În func ție de vulnerabilit ățile rețelei , atacurile se pot manifesta pe m ai multe planuri:
 accesare neautorizată a re țelei sau a unor resurse ale acesteia din interiorul organiza ției
sau din afara acesteia;
 tentative de perturbare sau de întrerupere a func ționării re țelei la nivel fizic (prin
factori mecanici, de întrerupere a unor cabluri sau scoatere din func țiune a unor
echipamente din re țea; factori electrici, de bruiaj în cazul rețelelor radio, semnale de
interferen ță în re țelele cablate);
 tentative de întrerupere sau de încărcare excesivă a traficului din re țea prin
transm iterea unui număr foarte mare de pachete către unul sau mai multe noduri din
rețea (flooding );
 atacuri soft asupra echipamentelor de re țea care concentreaz ă și dirijează fluxurile în
noduri critice (switch, router, access point etc.) prin modificarea fi șierelor de
configurare și a drepturilor de acces stabilite de personalul autorizat;
 modificarea sau distrugerea informa ției, adic ă atacul la integritatea fizică a datelor;
 preluarea și folosirea neautorizată a informa țiilor, adic ă încălcarea confiden țialității și
a dreptului de autor.

Atacurile asupra re țelelor de comunicații pot fi clasificate dup ă mai multe criterii.
În func ție de locul de unde se execut ă, atacurile pot fi: locale (local ) sau de la distan ță
(remote ).
Atacurile locale presupun spargerea sec urității unei re țele de calculatoare de către un
utilizator local , adică o persoană care face parte din rețea și care dispune de un cont și de o
parolă de utilizator care îi dau drept de acces la o parte din resursele sistemului. De asemenea,
persoana respectivă poate să aibă cunostin țe despre arhitectura sistemului de securitate al
rețelei, putând astfel lansa atacuri mult mai periculoase , principalele riscuri constând în
acces area informa țiilor la care nu are drept de acces , găsirea punctel or vulnerabile ale re țelei
prin încărcarea unor programe care să scaneze re țeaua.
Riscul de atac local poate fi redus prin:
 acordarea utilizatorilor locali privilegiile minim necesare efectuării sarcinilor zilnice,
potrivit func ției și rolului fiecăruia în companie;
 moni torizarea activită ților din re țea pentru a sesiza eventualele încercări de depă șire a
atribu țiilor, eventual și în afara orelor de program;
 impunerea de restric ții de acces pe cele mai importante echipamente din re țea;
 distribuirea responsabilită ților mari între mai mul ți angaja ți.
Este recomandat ca acord area privilegii lor de utilizare a resurselor re țelei să se facă
ținându -se seama de nivel ul de încredere, de vechimea în re țea și comportamentul membrului
respectiv .
Atacul la distan ță (remote attack ) este un atac lansat împotriva unei re țele de
comunica ții sau a unui echipament din re țea, fa ță de care atacatorul nu de ține nici un fel de
control. Accesul de la distan ță la resursele unei re țele este mai riscant decât accesul din

12
rețeaua local ă deoarece în In ternet sunt câteva miliarde de utilizatori ceea ce face ca num ărul
posibililor atacatori externi s ă fie mult mai mare decât al celor interni. Prin aplicarea unei
politici de securitate corecte și a unor solu ții de securitate performante, riscul atacurilor locale
poate fi minimizat.
Etape în realizarea unui atac la distanță:
Etapa de informare, în care atacatorul trebuie s ă obțină informa ții despre administratorul
rețelei, despre echipamentele din re țea, despre sisteme de operare folosite, despre puncte de
vulnerabilitate, despre topologia rețelei, despre politicile de securitate etc. Aceast ă etapă de
recunoaștere este considerat ă un atac în sine, fiind un pas precedent oric ărui atac informatic.
Cea mai mare importanț ă o are colectarea informației despre admi nistratorul de rețea, aceasta
aducând cele mai multe informații utile atacatorului. Când calculatorul -țintă deține o solu ție
de securitate, eforturile de atac sunt diminuate.
Etapa de testare, care presupune crearea unei clone a țintei și testarea atacului asupra
acesteia, pentru a se vedea modul în care reac ționeaz ă. Realizând aceste experimente pe un
calculator -clonă, atacatorul nu atrage aten ția asupra sa pe durata simul ării iar șansele atacului
real, care va fi lansat ulterior, vor fi foarte mari. Dac ă se fac experimente direct pe ținta real ă,
pentru atacator exist ă riscul s ă fie detectat și se pot alege cele mai eficiente contram ăsuri.
Etapa de lansare a atacului asupra re țelei. Pentru a avea cele mai mari sanse, atacul
trebuie s ă dureze pu țin și să fie efectuat în intervalele când ținta este mai vulnerabil ă.
Extrem de periculoase sunt atacurile combinate, în care una sau mai multe persoane
furnizeaz ă informa ții din interiorul rețelei și altele din exterior lanseaz ă atacul de la distanț ă
folosind acele i nformații. În cazul acestor atacuri mascarea atacului este foarte bun ă iar
șansele sistemului de securitate al re țelei de a reac ționa la timp și eficient sunt mult diminuate.

În func ție de modul în care acționeaz ă, ca sursă și destina ție, atacurile pot f i centrate pe
o singură entitate (de exemplu, este atacat un anumit server din re țea de pe un singur
echipament) sau pot fi distribuite (lansate din mai multe loca ții sau c ătre mai multe ma șini
simult an).
Un alt criteriu de clasificare este acela al intera cțiunii atacatorului cu informa ția obținut ă
în urma unui atac reu șit, putând avea atacuri pasive și atacuri active .
Atacurile pasive sunt acelea în cadrul carora intrusul observă informa ția ce trece prin
"canal", far ă să interfereze cu fluxul sau con ținutu l mesajelor. Ca urmare, se face doar analiza
traficului, prin citirea identit ății par ților care comunic ă și "învățand" lungimea și frecven ța
mesajelor vehiculate pe un anumit canal logic, chiar dac ă conținutul acestora este
neinteligibil. Atacurile pasive pot fi de dou ă feluri:
 de citire și înregistrare a con ținutului mesajelor, de exemplu, în serviciul de po stă
electronic ă;
 de analiz ă a traficului.

Atacul pasiv de simpl ă observare sau de „ascultare” a traficului ( eavesdropping ) poate fi
simplu realizat în rețelele wireless cu echipamente de radiorecep ție acordate pe frecven ța de
lucru a re țelei. Interceptarea pachetelor transmise în re țea (packet sniffing ) reprezint ă de
asemenea un atac pasiv deosebit de periculos deoarece intrusul este conectat la re țeaua de
comunica ție (de exemplu, pe un port la unui switch nesecurizat fizic) și poate prelua din
pachete informa țiile transmise în clar.

13
Atacurile pasive au urmatoarele caracteristici comune:
 nu cauzează pagube (nu se șterg / modifica date);
 încalcă regulile de confidențialitate prin furtul de informații din rețea;
 sunt avantajate de rutarea pachetelor prin noduri de rețea mai puțin protejate, cu risc
crescut;
 observă modificările din rețea (noi echipamemente introduse, schimbarea,
configurărilor etc.) ;
 sunt g reu sau chiar imposibil de detectat.

Aceste atacuri pot fi realizate printr -o varietate de metode, cum ar fi supravegherea
legaturilor telefonice sau radio, exploatarea radia țiilor electromagnetice emise, rutarea datelor
prin noduri aditionale mai putin p rotejate. Pentru contracararea acestor atacuri se dezvolt ă
sisteme de preven ție și detec ție a intrușilor în re țea, fie ca solu ții software, fie cu echipamente
dedicate (de exemplu, prin m ăsurători de câmp radiat pentru stabilirea ariei de acoperire a
unei rețele wireless).
Din punct de vedere al acestor atacuri, re țelele optice sunt cel mai bine protejate, fiind
practic imposibil ă interceptarea traficului f ără a se sesiza prezen ța intrusului. Riscurile cele
mai mari de atac pasiv, de intercep ție a informa țiilor din re țea (date propriu -zise sau de
identificare) apar în re țelele wireless. Re țelele cablate, cu cabluri cu conductoare metalice,
sunt vulnerabile la atacuri pasive în nodurile de comunica ție de tip hub sau switch. Atacurile
pasive nedetectate care a u ca finalitate preluarea cheilor de criptare reprezint ă un risc major
pentru re țea, întrucât prin necunoa sterea cheilor compromise se creeaz ă breșe în sistemul de
securizare a informa țiilor prin criptarea traficului.
Atacurile active sunt acele atacuri în care intrusul se angajeaz ă fie în furtul mesajelor,
fie în modificarea, reluarea sau inserarea de mesaje false , fie prin supraînc ărcarea rețelei cu
pachete ( flooding ). Aceasta înseamn ă ca el poate șterge, întârzia sau modifica mesaje, poate
să facă inser area unor mesaje false sau vechi, poate schimba ordinea mesajelor, fie pe o
anumit ă direc ție, fie pe ambele direc ții ale unui canal logic. Aceste atacuri sunt serioase
deoarece modific ă starea sistemelor de calcul, a datelor sau a sistemelor de comunica ții.
Aceste atacuri se pot clasifica în :
 Mascarada – este un tip de atac în care o entitate din rețea (client, server, utilizator,
serviciu) pretinde a fi o alta entitate. De exemplu, un utilizator încearc ă sa se substitue
altuia sau un serviciu pretinde a fi un alt serviciu, în inten ția de a lua date secrete
(numarul car ții de credit, parola sau cheia algoritmului de criptare). O "mascarad ă"
este însoțită, de regul ă, de o alt ă amenin țare activ ă, cum ar fi înlocuirea sau
modificarea mesajelor . Multe dintre at acurile de acest tip pot fi evitate prin adoptarea
unor politici de securitate adecvate, care presupun responsabilizarea utilizatorilor,
implementarea unor metode de acces robuste, folosirea unor metode de autentificare
cât mai eficiente.
 Reluarea – se pro duce atunci c ănd un mesaj sau o parte a acestuia este reluat ă
(repetat ă), în inten ția de a produce un efect neautorizat (autentificarea atacatorului
folosind informa ții de identificare valide, transmise de un utilizator autorizat al
rețelei). De exemplu, este posibil ă reutilizarea informa ției de autentificare a unui
mesaj anterior. În conturile bancare, reluarea unit ăților de date implic ă dublări și/sau
alte modific ări nereale ale valorii conturilor. Sistemul de gestionare a resurselor și de
monitorizare a accesului poa te depista inten ția de acces fraudulos de pe un anumit
nod din re țea și, pe baza politicii de securitate, poate s ă îl treac ă în carantin ă, pe o

14
perioad ă de timp limitat ă în care se verific ă existen ța atacului, și ulterior s ă îi interzic ă
total accesul în r ețea pe baza adresei fizice, a celei de re țea sau de pe un anumit cont
de utilizator de pe care s -a produs atacul . De cele mai multe ori acest atac este
considerat pasiv, dar dac ă se iau în considerare efectele pe care le poate avea, inclusiv
interceptarea și distrugerea informa țiilor transmise prin re țea, este mai indicat ă
includerea lui în categoria atacurilor active.
 Modificarea mesajelor – face ca datele mesajului sa fie alterate prin modificare,
inserare sau ștergere. Poate fi folosit ă pentru a se schi mba beneficiarul unui credit în
transferul electronic de fonduri sau pentru a modifica valoarea acelui credit. O alt ă
utilizare poate fi modificarea c âmpului destinatar/expeditor al po ștei electronice. Un
astfel de atac se întâlne ste în rețelele wireless bazate pe WEP, cu vulnerabilit ăți ale
mecanismului de criptare. Atacatorul reu șește să intercepteze pachetele, s ă decripteze
datele și să modifice informa țiile, dup ă care le cripteaz ă din nou, cu acela si algoritm,
și corectează CRC -ul (componenta de verifi care a erorilor ) pentru ca datele
modificate să fie considerate valide la destina ție. Acest tip de atac este denumit și
atac subtil, fiind extrem de dificil de depistat. Falsificarea datelor și a mesajelor este
posibil ă și prin atacul de tip “omul -din-mijloc” când atacatorul se afl ă într-un nod
intermediar dintr -un link de comunicare și poate intercepta mesajele transmise de
sursă substituindu -le cu mesaje proprii, cu informa ții false.
 Refuzul serviciului – se produce când o entitate nu izbutește să îndepli neasca propria
funcție sau când face acțiuni care împiedică o alta entitate de la îndeplinirea propriei
funcții. Acest lucru se realizează prin supraînc ărcarea serverelor cu cereri din partea
atacatorului și consumarea resurselor, astfel încât acele servic ii să nu poat ă fi oferite
și altor utilizatori. Ca urmare a acestui atac, conexiunile existente se închid, fiind
necesar ă reautentificarea utilizatorilor , atacatorul profit ând de acest moment pentru a
intercepta date le de identificare, informa ții despre re țea și conturi de utilizare
autorizat ă.
 Repudierea serviciului – se produce când o entitate refuză să recunoască un serviciu
deja executat. Este evident că în aplicațiile de transfer electronic de fonduri este
important sa se evite repudierea serviciului a tât de catre emițător, cât și de către
destinatar. Dacă utilizatorul neag ă folosirea serviciului și refuz ă plata acestuia,
furnizorul trebuie s ă dispun ă de dovezi solide care s ă împiedice repudierea serviciului
în context legal.

Din aceea și categorie a at acurilor active, fac parte si programele cu scopuri distructive
(virus, worm, spy, spam ) care afecteaz ă securitatea echipamentelor și a informa țiilor din re țea,
fie prin preluarea unor informa ții confiden țiale, fie prin distrugerea par țială sau total ă a
datelor, a sistemului de operare și a altor programe software, și chiar prin distrugeri de natur ă
hardware. Răspândirea acestor programe în re țea se face prin diverse servicii de re țea mai
puțin protejate (ex. sisteme de po stă electronic ă, de sharing de fi șiere, de mesagerie în timp
real etc.) sau prin intermediul mediilor de stocare externe (CD, DVD, removable disk ) atunci
când mecanismele de transfer de fi șiere nu sunt verificate cu programe specializate de
detectare a viru șilor și a viermilor de re țea. De asemenea, rularea unor programe de protec ție a
sistemelor, de tip antivirus sau antispy, devine de cele mai multe ori ineficient ă dacă acestea
nu sunt corect configurate și nu dispun de liste actualizate ( up-date) cu semn ăturile celor mai
noi viru și sau al e altor elemente de atacare a re țelei. Dintre aceste programe distructive
amintim urmatoarele:

15
 Virușii – reprezint ă programe inserate în aplica ții, care se multiplic ă singure în alte
programe din spatiul rezident de memorie sau de pe discuri , apoi, fie sat ureaz ă
complet spa țiul de memorie/disc și blocheaz ă sistemul, fie, dupa un numar fixat de
multiplic ări, devin activi și intr ă într-o faz ă distructiv ă (care este de regul ă
exponential ă). Pătrunderea unui virus într -o rețea de comunica ții o face vulnerabil ă la
orice form ă de atac, tentativ ă de fraud ă sau de distrugere. Infectarea se poate produce
de oriunde din re țea. Cei mai mulți viru și pătrund în sistem direct din Internet, prin
serviciile de download, atunci când se fac up -date-uri pentru driverele compon entelor
sau pentru diferite programe software, inclusiv pentru sistemul de operare. De multe
ori sursele de viru și de re țea sunt mascate de serviciile gratuite oferite de diferite
servere din Internet , de aceea fiind indicat ă folosirea up -date-urilor oferi te numai de
firme consacrate, surse autentice de software, cu semn ături recunoscute ca fiind
valide de c ătre sistemele de operare .
 Bomba software – este o procedura sau parte de cod inclusă intr -o aplicație
"normală", care este activată de un eveniment pre definit (lansarea în execu ție a unui
program, deschiderea unui document sau fi șier ata șat transmis prin po ștă electronic ă,
o anumit ă dată calendaristic ă, accesarea unui anumit site web etc .).
 Viermii de rețea – au efecte similare cu cele ale bombelor și virușilor. Principalele
diferen țe față de acestea sunt acelea c ă își schimb ă permanent loca ția fiind dificil de
detectat și că nu se multiplic ă singuri. Cel mai renumit exemplu este viermele
Internet -ului care a reușit s ă scoat ă din func țiune un num ăr mare de servere din
Internet în noiembrie 1988.
 Trapele – reprezint ă căi de acces la sistem care sunt rezervate în mod normal pentru
proceduri de încărcare de la distan ță, întreținere sau pentru dezvoltatorii unor
aplica ții. Din cauza faptului c ă permit accesu l nerestric ționat la sistem sau pe baza
unor date simple de identificare, acestea devin puncte vulnerabile ale re țelei care fac
posibil accesul neautorizat al unor intru și în re țea.
 Calul Troian – este o aplica ție care are o func ție de utilizare foarte cun oscut ă și care,
într-un mod ascuns, îndepline ște și o alt ă funcție. Un astfel de program este dificil de
observat deoarece nu creeaz ă copii. De exemplu, un hacker poate înlocui codul unui
program normal de autentificare prin alt cod, care face acela și lucr u, dar, adi țional,
copiaz ă într-un fi șier numele și parola pe care utilizatorul le tasteaz ă în procesul de
autentificare. Contram ăsurile folosite în acest caz constau în rularea programelor
antivirus cu liste de semn ături cât mai complete și prin folosirea unor protocoale de
comunica ții și programe securizate pentru accesarea serviciilor de Internet .
 Rețelele botnet reprezintă un atac extrem de eficient din Internet prin care a tacatorii
își creează o re țea din calculatoare deja compromise de o aplica ție de tip malware,
numite și computere bot, pe care le comandă un botmaster. Prin intermediul acestei
rețele și al programelor de aplica ții de Internet (de exemplu, e -mail, chat IRC –
Internet Relay Chat), sunt lansate diverse atacuri (spam, spyware, adware, ke ylogger,
sniffer, DDoS s.a.). Aceste re țele acumulează o putere de procesare extrem de mare
consumând resursele calculatoarelor cooptate pentru execu ția aplica țiilor. În general,
atacurile distribuite în re țea sunt dificil de urmărit și de anihilat. Contro lul re țelelor
botnet se poate face centralizat, peer -to-peer sau aleator. Pentru combaterea acestor
rețele, este necesară întreruperea căilor de comandă și control al lor .

O categorie aparte de atac asupra informa țiilor stocate sau transmise în rețea o re prezint ă
atacurile criptografice , prin care se încearc ă extragerea informa țiilor din mesajele criptate.

16
Când se transmite un mesaj, pentru asigurarea confiden țialității, acesta este criptat cu
ajutorul unui algoritm, generându -se text cifrat (engl. ciphert ext). Receptorul autorizat trebuie
să poată recupera textul clar aplic ând un algoritm asupra textului cifrat. Adversarul, care
dispune de textul cifrat dar nu cunoa ște anumite detalii ale algoritmului aplicat de emiț ător,
trebuie să nu fie capabil să recon stituie textul clar. Opera ția prin care emiț ătorul transformă
textul clar în text cifrat se nume ște criptare sau, uneori, cifrare (engl. encryption). Opera ția
prin care receptorul ob ține textul clar din textul cifrat se numește decriptare sau descifrare
(engl. decryption).
Atacurile criptografice se aplică direct mesajelor cifrate în vederea obținerii informației
originale în clar și/sau a cheilor de criptare și de decriptare. Știința care se ocupă cu studiul
metodelor de ob ținere a înțelesului informațiilo r criptate, fără a avea acces la informa ția
secretă necesară în mod normal pentru aceasta estre criptanaliza iar criptanalistul este
persoana care se ocupă cu criptanaliza mesajelor cu caracter secret. Scopul metodelor de
criptanaliz ă este descoperirea mes ajelor în clar (M) și/sau a cheii (K) din mesajul criptat (C).
Atacurile criptografice pot fi de mai multe tipuri:
 Brut (brute force ), prin încercarea tuturor combina țiilor posibile fie de chei de criptare,
fie de simboluri din text pentru deducerea textul ui în clar . Atacul devine ineficient
atunci când lungimea cheii este suficient de mare, astfel num ărul de încerc ări fiind
foarte mare, dep ășindu -se capacitatea de procesare a celor mai performante sisteme
de calcul ori durata de procesare criptanalitic ă fiind mai mare decât perioada de
valabilitate a informa țiilor transmise.
 Asupra textului criptat ( cipher text attack ) interceptat, prin analiza căruia se încearc ă
găsirea textului original sau a cheii de criptare.
 Asupra unui text în clar cunoscut ( known pla in-text attack ), pentru care s -a aflat
criptograma și pe baza c ăruia se face o extrapolare pentru deducerea altor por țiuni din
mesaj.
 Asupra unor texte criptate alese ( chosen cipher -text attack ), pentru care se ob țin
criptogramele asociate unor texte folos ind algoritmi de criptare cu chei publice și se
urmăreste aflarea cheilor de decripta re.

Atacurilor sus amintite li se mai adaugă un alt tip de atac, și anume ac țiunea de
“cump ărare” a cheii, adic ă aflarea cheii f ără nici un efort de criptanaliz ă, prin al te mijloace
decât cele tehnice ( santaj la adresa persoanelor care o de țin, furt sau scurgeri de informa ții de
la persoane sau din documente scrise sau în fomat electronic etc.). Acest procedeu este unul
dintre cele mai puternice atacuri lansate la adresa u nor surse din interiorul re țelei. Pentru
preîntâmpinarea lui este util ă responsabilizarea personalului, eliminarea bre selor de securitate
a documentelor, eventual dubla criptare a datelor astfel încât secretul lor s ă nu depind ă de o
singur ă persoan ă.
Pentr u protejarea împotriva atacurilor criptografice s -au creat algoritmi din ce în ce mai
complec și, ca regul ă generală, un algoritm fiind considerat sigur dacă cea mai pu țin
costisitoare metodă prin care poate fi atacat (ca timp de procesare, spa țiu de memori e, pre ț)
este atacul brut. La crearea acestor algoritmi se au în vedere următoarele:
 Asigurarea confiden țialității, care are drept obiectiv împiedicarea în țelegerii mesajului
criptat interceptat de către adversar ;
 Asigurarea autenticită ții, care are ca obi ectiv detectarea, de c ătre receptor a mesajelor
create sau modi ficate de un adversar activ;

17
 Asigurarea non -repudiabilită ții mesajelor , adică emitentul să nu poat ă nega faptul c ă a
transmis un anumit mesaj, iar receptorul să nu poată crea mesaje care s ă pară
autentic e;
 Verificarea prospe țimii are ca obiectiv detectarea, de c ătre receptor, a eventualelor
copii ale unui mesaj (autentic) mai vechi. Este posibil ca un adversar s ă intercepteze,
de exemplu, un ordin de transfer de bani în favoarea sa și apoi s ă transmit ă băncii
multiple copii ale ordinului respectiv iar fără a verifica prospe țimea, banca va efectua
de mai multe ori transferul de bani. Doar v erificarea autenticit ății mesajelor nu ar
rezolv a problema deoarece fiecare copie este identic ă cu originalul , deci este
autentic ă.
 Autenti ficarea entit ăților, care are drept obiectiv veri ficarea, de c ătre o entitate, a
identit ății entit ății cu care comunic ă.
 Stabilirea cheii are ca obiectiv ob ținerea, de către partenerii de comu nicație legitimi, a
unui șir de bi ți, numit cheie , ce urmeaz ă a fi utilizat ă la asigurarea con fidențiialității și
la veri ficarea autenticit ății mesajelor. Cheia ob ținut ă trebuie să fie cunoscută doar de
către parteneri i care doresc să comunice. Autentificarea nu are sens decât dacă se
realizează și verificarea integrită ții mesajului .

18
Soluțiile teoretice și practice de reducere/eliminare a pericolelor
Securitatea unei re țele de calculatoare poate fi afectat ă de mai mul ți factori, cum ar fi:
dezastre sau calamit ăți naturale, defectări ale ec hipamentelor, gre șeli umane de operare sau
manipulare, fraude. Primele trei tipuri de amenin țări sunt accidentale, în timp ce ultima este
inten ționat ă. Studiile efectuate au arătat ca jumătate din costurile implicate de incidente sunt
datorate ac țiunilor v oit distructive, un sfert dezastrelor accidentale și un sfert greșelilor
umane. Acestea din urma pot fi evitate sau, în cele din urm ă, reparate printr -o mai buna
aplicare a regulilor de securitate (salv ări regulate de date, discuri oglindite, limitarea
drepturilor de acces). Fără a depinde de mediul fizic prin care se realizează (cablu metalic,
fibră optică sau mediul wireless) sau de specificul re țelei de transmisie a informa țiilor (de
calculatoare, de telefonie fixă sau mobilă, de televiziune prin cablu, de distribu ție a energiei
electrice), securitatea comunica țiilor reprezint ă un aspect esen țial al serviciilor oferite, fiind
critică în cazul informa țiilor cu caracter secret din aplicații fianciar -bancare, militare,
guvernamentale și nu numai acestea. Vulnerabilită țile rețelelor de comunicații și ale
sistemelor informatice actuale pot antrena pierderi uria șe de ordin financiar și nu numai.
Aceste aspecte impun o analiză minu țioas ă a riscurilor și vulnerabilit ăților diferitelor rețele de
comunica ții, precum și găsirea solu țiilor, strategiilor, tehnicilor și protocoalelor de securitate
care să prevină aceste aspecte neplăcute.
Pentru asigurarea securită ții unei rețele s -au creat a șa numitele servicii de securitate care
au scopul de a asigura securitatea apli cațiilor precum și a informațiilor stocate pe suport sau
transmise prin re țea. Când este vorba despre securitatea unei rețele apar mai multe aspecte,
cum a r fi: securizarea accesului fizic și logic, securitatea serviciilor de rețea, secretizarea
informa țiilor etc.
În func ție de importanța informațiilor, de caracterul public sau privat al rețelei de
comunica ții, indiferent de terminalul folosit (calculator, laptop, telefon mobil, PDA, iPOD,
bancomat etc.) se elaborează anumite politici de securitate care, p e baza analizei de securitate ,
exprimă cel mai bine principiile care stau la baza adoptării unei anumite strategii de
securitate, implementată prin diverse măsuri specifice, cu tehnici și protocoale adecvate.
Pentru o analiză completă a securită ții trebuie avute în vedere toate aspectele referitoare la o
rețea de comunicații, interne și externe, hardware și software, factorul uman și de tip automat,
tipurile de re țea, topologiile și mediile de transmisie, protocoalele de comunica ții, aplicațiile
rulate, ris curile de securitate și, nu în ultimul rând, costurile.
Vulnerabilită țile rețelelor se manifest ă pe toate nivelele OSI, fiind necesară adoptarea
unor măsuri de securitate adecvate fiecărui nivel și fiecărui model de re țea în parte.
Toate acestea arată că t rebuie avute în vedere, cu prioritate, două aspecte principale legate
de securitatea re țelelor:
 integritatea și disponibilitatea resurselor unei re țele, fizice sau logice, indiferent de
defectele de func ționare, hard sau soft, de perturbații sau de tentati ve de întrerupere a
comunica țiilor;
 caracterul privat al informa țiilor, exprimat ca fiind dreptul individual de a controla sau
de a influen ța care informație referitoare la o persoan ă poate fi memorată în fisiere sau
în baze de date din re țea ți cine are a cces la acestea, re țeaua fiind responsabil ă de
împiedicarea încercărilor ilegale de sustragere a informa țiilor, precum si de încerc ările
de modificare ale acestora.

19
Comunica țiile între echipamentele interconectate fizic și logic într -o rețea se realizeaz ă pe
baza protocoalelor de comunica ții. Prin protocol se în țelege o suit ă de reguli de comunicare și
formate impuse pentru reprezentarea și transferul datelor între dou ă sau mai multe
calculatoare sau echipamente de comunica ție. Se folosesc numeroase suite de protocoale dar
scopul oricărei re țele de comunicații este acela de a permite transmisia informațiilor între
oricare două echipamente, indiferent de producător, de sistemul de operare folosit sau de suita
de protocoale aleasă .
Un concept de baz ă, care ap are în mecanismele IP pentru autentificare și
confiden țialitate, este asocia ția de securitate (SA – Security Association ). SA este o rela ție
unidirec țional ă între o surs ă și o destina ție care asigur ă servicii de securitate traficului efectuat
pe baza ei , putând fi privită ca un ansamblu de date de tip nume de algoritm – cheie , care
reprezintă capabilită țile criptografice comune entit ăților participante la asociere, adică grupuri
de utilizatori autoriza ți să folosească o anumită re țea, denumit ă rețea virtua lă privată (VPN –
Virtual Private Network). Protocoalele de securitate pentru rețelele de comunica ții sunt
definite pentru a stabili modul în care sunt oferite serviciile de securitate. Aceste protocoale
de securizare a comunica țiilor pot lucra pe diferite nivele ale modelului OSI , între acestea
regăsind :
 pe nivelul legăturii de date: protocoale de tunelare, precum L2TP (Layer2 Tunnelling
Protocol) care, de și definit pe acest nivel, operează de fa pt pe nivelul OSI 5, de
sesiune;
 pe nivelul de re țea: IPsec ( IP Security ) ofer ă servicii de autentificare, de control al
accesului, de confiden țialitate și integritate a datelor;
 pe nivelul de transport: TLS ( Transport Layer Security ), SSL (Secure Socket Layer ),
protocolul Handshake de autentificare mutual ă a clien ților și serverelor și negocierea
algoritmilor de criptare înaintea desf ăsurării pro priu-zise a transmisiei datelor;
 pe nivelul de aplica ție: SSH ( Secure Shell ), PGP ( Pretty Good Privacy ), S/MIME
(Secure Multipurpose Internet Mail Extension ).

De cele mai m ulte ori, se definesc suite de protocoale de securitate cum ar fi: IPSec,
KERBEROS, SESAME și altele. Implementarea suitelor de protocoale de securitate în
rețelele de comunicații se face cu mai multe servere de rețea dedicate diferitelor servicii, cum
ar fi: servere de autentificare, servere de certificare, servere de distribu ție a cheilor de criptare,
servere de gestiune a cheilor de criptare etc.

Protocolul IPSec (Internet Protocol Security)

IPSec este o suită de protocoale pentru securizarea comunica țiilor peste stiva TCP/IP.
Această suită se bazează pe folosirea func țiilor matematice și a algoritmilor de criptare și
autentificare pentru a asigura confiden țialitatea, integritatea și non -repudierea informa țiilor
din fiecare pachet IP transmis pe re țea. IPSec este la ora actuală una dintre cele mai folosite
metode de securizare a transmisiei pe Internet, alături de SSL (Secure Sockets Layer) și TLS
(Transport Layer Security). Spre deosebire de acestea, protocoalele IPSec se regăsesc la
nivelul 3 al stive i TCP/IP și la nivelul 3 al stivei ISO -OSI, ceea ce face posibilă securizarea
tuturor aplica țiilor care folosesc stiva TCP/IP. IPSec are o arhitectur ă de tip end -to-end,
compatibilă atât cu stiva IPv4, cât și cu IPv6, unde integrarea funcțiilor de securiza re este
nativă, încă de la proiectarea stivei pe 128 de octe ți. Un router sau un server pe care sunt
activate protocoalele de securitate IPsec se nume ște poart ă de securitate ( securi țy gateway)

20
sau "zid" de protec ție (firewall). În general, asigurarea secu rității unei transmisii se realizeaz ă
la ambele capete ale c ăii de comunica ție, cu dou ă echipamente care folosesc IP Sec lucrând în
pereche (IPsec peers). Prin suita IPSec pot fi securizate comunica țiile între dou ă sau mai
multe calculatoare independente, î ntre două sau mai multe subre țele aflate fiecare în spatele
unui gateway care se ocupă de folosirea func țiilor criptografice pentru fiecare subrețea aflat ă
în administrarea sa, precum și între un calculator independent și o subrețea aflat ă în spatele
unui gateway. IPSec se bazează pe proprietă țile criptografice ale unor modele precum Diffie –
Hellman, RSA sau DSA și a algoritmilor de criptare și autentificare, cum sunt DES, 3 DES,
AES, MD5, SHA1.
IPsec ofer ă următoarele servicii de securitate pe nivelul IP al rețelelor TCP/IP:
 integritatea conexiunii – asigur ă faptul c ă în procesul de comunica ție nu intervin
entități neautorizate care s ă modifice datele sau s ă genereze mesaje false în re țea;
 autentificarea sursei de date – permite identificarea sursei și asigu rarea autenticit ății
mesajelor;
 criptarea datelor – asigur ă confiden țialitatea mesajelor transmise și imposibilitatea
prelu ării neautorizate a informa țiilor;
 protec ția la atacuri în re țea – detecteaz ă pachetele repetitive, replici ale aceluia și
pachet, car e se transmit la infinit în re țea și pot produce blocaje sau saturarea re țelei
(flooding).

IPsec oferă posibilitatea unei comunicări sigure în re țelele de arie larg ă (WAN), în
aplica ții precum:
 Definirea re țelelor virtuale private (VPN – Virtual Private N etwork), în care uzual
IPsec este configurat să folosească protocolul ESP în modul tunel pentru furnizarea
confiden țialității. Pentru o organizație cu mai multe rețele locale, aflate în diferite
locații, traficul intern rețelelor locale nu este securizat î n timp ce traficul între acestea
utilizează IPsec pentru securizare. IPsec este activat în echipamentele de acces la
rețeaua de arie larg ă, de exemplu în gateway, router sau firewall. Opera țiile de
criptare/decriptare și de autentificare executate de IPsec sunt transparente pentru
stațiile de lucru și serverele din re țelele locale.
 Accesul securizat de la distan ță prin re țeua public ă de Internet la un sistem în care este
implementat protocolul IPsec. Se poate apela la un furnizor de Internet (ISP – Internet
Service Provider) pentru a ob ține accesul securizat la o rețea privat ă.
 Îmbunătă țirea securit ății aplicațiilor distribuite care au o serie de mecanisme de
securitate incluse. Principala caracteristică a IPsec care îi permite să securizeze o
gamă atât de l argă de aplica ții distribuite (e -mail, transfer de fi șiere, acces Web etc.),
este faptul că pentru întregul trafic IP se pot utiliza mecanismele de criptare si/sau
autentificare.

Pentru o asocia ție de securitate, ca și identificatori , avem un număr aleato r denumit
identificator de securitate (SPI – Security Parameter Index), o adresă IP de destina ție și un
protocol de securitate (AH sau ESP).
 Identificatorul de securitate constă într -un sir de bi ți cu semnificație local ă, inclus în
antetele AH și ESP pentr u a permite destina ției s ă selecteze SA -ul pentru procesarea
pachetului recep ționat;

21
 Adresa IP de destina ție este adresa nodului de destinație al asociației de securitate,
care poate fi un calculator -gazdă (host) sau un echipament de comunica ție al rețelei
(router, firewall, access point);
 Identificatorul protocolului de securitate indică pentru care protocol, AH sau ESP,
lucrează SA. Dacă este necesar ă utilizarea ambelor protocoale de securitate în
Internet (AH si ESP), atunci se creeaz ă și se configureaz ă legăturile dintre dou ă sau
mai multe asocia ții de securitate.

Pentru ca în momentul securizării traficului fiecare entitate să cunoască parametrii de
securizare pentru fiecare tip de trafic este folosit identificatorul SPI – Security Parameter
Index , un index pe baza de date SAD. Folosind acest index și valoarea adresei IP din
destina ția pachetului ce urmeaz ă a fi supus procesului de criptare sau autentificare, fiecare
entitate IPSec știe exact ce transformare trebuie realizat ă pe fiecare pachet IP pentru ca acesta
să poată fi decriptat la receptor și corect interpretat.
Procesul de decriptare este asemănător în momentul recep ției unui pachet astfel securizat.
În cazul în care sunt mai mult de doi participan ți la asocierea de securitate, în cazul traficulu i
de tip multicast, asocierea de securitate este furnizată pentru întregul grup și este prezent ă pe
fiecare sistem participant. Pot exista, deasemenea, mai multe asocieri de securitate pentru un
acela și grup de entit ăți, fiecare cu diverse nivele de securi tate în interiorul grupului.
În func ție de al tipului entit ății participante la IPSec putem avea modelul de trafic:
 Site-to-Site sau LAN -to-LAN , în cazul în care entită țile sunt dou ă gateway -uri de
securitate care realizează opera ții criptografice pentru s ubrețele protejate aflate în
administrarea lor.
 Remote -Access sau Dial-Up VPN , în cazul în care entită țile sunt un gateway de
securitate care are în administrare o subre țea și un calculator independent care dorește
să comunice cu acea subre țea.

Această m anieră de clasificare se pretează în exclusivitate tipului de încapsulare tunel ,
neavând sens pentru tipul transport , în principal datorită faptului că un pachet trimis pe re țea
are două seturi de adrese IP: un set "extern", reprezentat de adresele IP are calculatorului și al
gateway -ului căruia se adresează, și un set de adrese IP "intern", reprezentat de adresa IP a
unei ma șini din interiorul re țelei și a unei adrese IP noi a calculatorului, obținut ă de la acel
gateway pentru a avea adresabilitate de nive l IP în interiorul re țelei la care acest calculator se
conectează. Procedeul prin care un calculator ob ține, în momentul negocierii IPSec, o adres ă
de la gateway pentru a avea acces într -o rețea intern ă este numit mode -config în scenariile de
tip IKEv1 sau configurare remote în cele de IKEv2.
În momentul negocierii de IKE a parametrilor asocierii de securitate se realizează și faza
de autentificare mutuală sau unilaterală a entită ților, existând mai multe modalit ăți de a realiza
această autentificare:
 PSK – Pre-Shared Key : pentru autentificare, fiecare entitate are pre -configurată o
cheie secretă, o parolă. În momentul realizării negocierii IKE, entită țile trimit aceast ă
cheie pe re țea, spre a fi verificat ă de entită țile omoloage și verific ă, la rândul lor, că o
anumită entitate -pereche are o anumită cheie secretă.
 PKI – Public Key Infrastructure: pentru autentificare este folosit un sistem de tip PKI.
Fiecare entitate are un certificat digital semnat de o autoritate de certificare publică
sau internă compan iei, dar de încredere pentru toate entită țile participante în IPSec. În

22
faza de autentificare din IKE, fiecare entitate î și trimite certificatul digital c ătre
omologi spre a fi verificat și verific ă la rândul ei validitatea acelui certificat digital.
 EAP – Extensible Authentication Protocol : la rândul său un framework, de data aceasta
de autentificare, EAP nu realizează autentificare per se, ci oferă o schemă de mesaje
de autentificare ce folose ște metode specifice, cum sunt MD5, GTC, TLS, SIM,
AKA. În faza de autentificare, EAP este folosit ca extensie a protocolului IKEv2,
acest framework nefiind suportat în IKEv1.

Cele mai multe implementări de IPSec încearcă să realizeze pe cât posibil optimizarea
utilizării resurselor computa ționale disponibile. Un exe mplu în acest sens este închiderea
tunelului IPSec în cazul în care nu se mai trimit date pentru o anumită durată de timp, sau
dacă lărgimea de bandă ocupată pentru o anumită conexiune este nulă. Dacă aceasta este
configura ția implicit ă, pentru anumite con exiuni se poate dori suprascrierea ei și menținerea
acelei conexiuni. Una dintre posibilită țile puse la dispoziție de standard se numește DPD –
Dead Peer Detection . Acesta este un mecanism de timp keepalive care presupune trimiterea
unui pachet între capet ele conexiunii, la un interval stabilit.
Cu toate "măsurile de siguran ță" luate în cazul IPSec , au fost raportate și unele
vulnerabilități în anumite configurații ale acestuia, acestea putând fi exploatate de atacatori
pentru a sustrage informații confiden țiale. Aceste atacuri sunt posibile când IPSec folosește
ESP (Encapsulating Security Payload) în modul de funcționare tunnel cu opțiunea
confidentiality only, sau opțiunea integrity protection oferită de modulul AH sau de un
protocol de nivel mai ridicat. Dacă un atacator poate intercepta și modifica comunicațiile
IPSec și ICMP între dou ă servere de tip security gateway, exploatând această vulnerabilitate
poate lansa atacuri de tip Destination Address Rewriting, IP Options modification și Protocol
Field mod ification, astfel făcând posibilă sustragerea de informații din datele transferate
folosind IPsec. Ca și soluție este recomandat să se configureze ESP astfel încât să folosească
atât opțiunea confidentiality, cât și integrity protection și să se folosească protocolul AH
alături de ESP pentru a oferi protecția integrității.

Protocolul Kerberos
Protocolul Kerberos1 a fost proiectat la Massachusetts Institute of Technology (MIT) , în
jurul anului 1984 pentru a proteja serviciile de reț ea oferite de proiectul A thena. Scopul
protocolului Kerberos era să extindă noțiunea de autentificare, autorizare și contabilizare a
mediului MIT.
Kerberos a fost proiectat pe baza modelului client -server și asigură autentificarea
mutuală, adică atât utilizatorul cât și serverul s e autentifică unul fa ță de celălalt. În
terminologia Kerberos, un domeniu administrativ se numește realm. Se presupune că orice
companie sau organizație care dorește să ruleze Kerberos poate crea un realm identificat unic
printr -un nume. Teoretic, Kerberos poate suporta mai bine de 100.000 de utilizatori . Kerberos
se bazează pe modelul client / server. Protocolul în sine constă dintr -un schimb de mesaje
între un client și o serie de servere, fiecare cu o altă misiune.

1 În mitologia greacă, cerberul (Kerberos) este numele unui câine de pază cu trei capete al lui Hades, a cărui
misiune era să păzească intrarea în lumea de dedesubt.

23
Utilizatorii, clienții și serviciile de rețea instanțiate pe un host în particular se consideră în
mod tipic parteneri. Fiecare partener este identificat în mod unic de un identificator de
partener . Un identificator de partener are în componență trei câmpuri, fiecare fiind un șir
terminat cu null de până la 40 de caractere. Aceste trei câmpuri sunt:
 Numele partenerului, NAME
 Numele instanței, INSTANCE
 Numele realm -ului, REALM

Mesajele protocolului Kerberos sunt protejate împotriva atacurilor de ascultare
(eavesdropping) și de reluare a mesajelo r (replay ), scopul sistemului Kerberos fiind acela de a
permite unui client ce rulează în numele unui utilizator anume să se identifice unui serviciu
sau unui server de aplicații corespunzător, fără a se necesita trimiterea unor date secrete care
ulterior să poată fi folosite de un atacator la impersonarea utilizatorului. Pentru a realiza acest
lucru, modelul Kerberos necesită existența unui terț de încredere care servește ca centru de
distribuție a cheilor (KDC) în realm -ul Kerberos. Kerberos utilizeaz ă tehnici simetrice de
criptare și ofer ă un sistem de mesaje criptate numite tichete , care asigur ă în mod securizat
încrederea reciproc ă dintre dou ă entități din re țea. Utilizând Kerberos, parolele nu mai sunt
transmise prin re țea, nici m ăcar criptate. În cazu l în care un tichet Kerberos este interceptat
acesta r ămâne protejat deoarece este criptat cu algoritmi robu sti de criptare. Odat ă ce o
entitate -client ob ține un tichet c ătre un anume server, tichetul este p ăstrat pe calculatorul local
până la expirare, f ăcând astfel din Kerberos un sistem de autentificare foarte eficient. Depinde
de implementare, dar în mod uzual un tichet Kerberos expir ă după opt ore. Fiecare entitate din
rețea, fie client, fie server, de ține o cheie secret ă, cunoscut ă doar de ea și de KD C. Aceast ă
cheie constituie dovada identit ății unei entit ăți. Pentru o comunicare sigur ă între dou ă entități
din re țeaua public ă, KDC genereaz ă o cheie a sesiunii . Pentru implementarea protocolu lui
Kerberos trebuie acordată o aten ție deosebit ă stocării parolelor fiecărui client , motiv pentru
care server ul central trebuie să fie o mașină foarte sigură . KDC menține o bază de date cu
informații despre fiecare partener din cadrul sistemului. Deoarece securitatea este foarte
importantă, această informație este r edusă la un minim posibil pentru a efectua cu succes
autentificarea. Astfel, deși baza de date Kerberos este la nivel de utilizator, aceasta nu conține
informații cum ar fi numere de telefon sau adrese, neutilizate în mod curent la autentificare, ci
următo arele:
 Identificatorul partenerului
 Cheia master K p (sau parola dacă este utilizator)
 Data expirării identității
 Data ultimei modificări a înregistrării
 Identitatea partenerului care a operat modificarea
 Timpul maxim de viață a biletelor emise partenerului
 Unele atribute
 Unele date interne de implementare invizibile la exterior cum ar fi versiunea cheilor,
versiunea cheii master sau indicatori către valori vechi ale înregistrării .

Cheia master (K p) a fiecărui partener trebuie ținută secretă, de aceea toate aceste chei se
codifică cu o cheie master a KDC. Pe lângă o protecție sporită, această metodă permite
distribuirea bazei de date între servere fără riscul de a fi capturată de un potențial atacator.
Cheia master KDC nu se păstrează în aceeași bază de date , ci se operează separat.
Un centru de distribu ție a cheilor are două păr ți:

24
 un server de autentificare ( Authentication Server – AS);
 un server de alocare a tichetelor ( Ticket Granting Server – TGS).

AS și TGS sunt componente separate logic dar pot fi pro cese care rulează pe aceeași
mașină. Aceasta trebuie să fie protejată cu grijă și securizată fizic, deoarece un intrus ar putea
compromite ușor întreg sistemul de la acest nivel. Un tichet este un certificat emis de KDC și
criptat cu cheia master a serveru lui. Printre altele, un tichet conține:
 Cheia de sesiune care va fi utilizată pentru autentificarea între client și server
 Numele partenerului către care cheia de sesiune a fost emisă
 Un timp de expirare după care cheia de sesiune nu mai este validă

Pentr u înțelege rea principiul de func ționare a protocolului, explicăm noțiunile:
 Serverul TGS ( Ticket Granting Server ) ofer ă tichete de tip sesiune pentru accesarea
altor resurse. De obicei, TGS ruleaz ă în KDC ;
 Tichetul TGT ( Ticket Granting Ticket ) reprezint ă un jeton de validare a unui tichet
Kerberos care atest ă faptul c ă o entitate a fost deja autentificat ă și ne asigur ă că
utilizatorii nu mai trebuie s ă reintroduc ă parola dup ă un login ini țial, pân ă la expirarea
tichetului ;
 Tichetul de sesiune ST ( Session Ti cket) reprezint ă un jeton de sesiune care permite
accesul la resurse protejate. Pentru accesarea oricărei aplica ții care utilizeaz ă
Kerberos este necesar un tichet de sesiune valid.

Pașii protocolului Kerberos sunt (a se vedea figura de mai sus) :
pasul 1
Utilizatorul unui sistem client, utilizând un username și o parol ă sau un smart card, se
autentific ă față de server -ul de autentificare (AS din KDC). C lientul de login furnizează AS
numele, iar AS caută intrarea corespunzătoare utilizatorului în baza de date KDC .
pasul 2
Cu parola cerută de c lient utilizatorului se va cripta TGT. Dacă cheia derivată din parola
utilizatorului poate decripta cu succes TGT, acestuia i se permite accesul. Pe partea de client,
TGT -ul este memorat pentru folosire ulterioară și anume pentru a obține bilete pentru 1 2 3 4
5
6

25
autentificarea în servicii de rețea particulare. Scopul principal al TGT este deci să faciliteze o
singură autentificare pentru utilizatori. Parola este astfel cerută o singură dată, și nu de fiecare
dată când se cere accesul la un serviciu.
pasul 3
Biletele sunt eliberate de TGS -ul specificat în TGT -ul primit de utilizator. Pentru a obține
un bilet, clientul trimite o cerere către TGS.
pasul 4
Dacă TGS consideră atât biletul cât și autentificatorul valid, biletul este returnat.
Mesajul include numele serviciului cerut, TGT -ul și autentificatorul . Acesta din urmă
este o informație ce poate proba că a fost generată recent utilizând cheia de sesiune de către
client și server împreună. În particular, autentificatorul conți ne numele utilizatorului, adresa
de rețea a clientului și timpul curent, fiind criptat cu cheia de sesiune returnată în TGT.
Autentificatorul descuraj ează atacurile replay.
pasul 5
Clientul creează un alt autentificator și îl trimite împreună cu bi letul d e serviciu
serverului .
pasul 6
Dacă se cere autentificare reciprocă, serverul returnează un autentificator .

Așa cum a fost descris până acum, modelul Kerberos nu oferă decât serviciul de
autentificare. În sine, el nu oferă informații despre autorizarea cl ientului în a folosi anumite
servicii de rețea. În general, sunt trei posibilități pentru atingerea problemei autorizării, și
anume:
 baza de date Kerberos ar putea conține informații de autorizare pentru fiecare serviciu
și să emită bilete doar utilizatori lor autorizați.
 un serviciu dedicat poate menține informațiile de autorizare prin liste de acces pentru
fiecare serviciu și permiterea clientului să obțină certificate sigilate de apartenență la
listă. În acest caz clientul ar prezenta serviciului certific area în locul biletului
Kerberos.
 fiecare serviciu poate menține propria informație de autorizare cu ajutorul opțional al
unui serviciu care stochează aceste liste de acces și oferă certificări de apartenență la
listă.

Modelul Kerberos se bazează pe faptu l că fiecare serviciu cunoaște cu exactitate cine sunt
utilizatorii săi și ce formă de autorizare este potrivită pentru aceștia. În consecință Kerberos
folosește cea de -a treia metodă. Pentru simplificarea implementării celei de a treia metode,
Kerberos fo losește modelul de autorizare bazat pe liste de control al accesului. Orice serviciu
care consideră că i se potrivește acest tip de autorizare poate încorpora a bibliotecă cu funcții
adecvate. Utilizarea acestui model presupune că serviciul verifică dacă o identitate verificată
aparține unei liste de acces.
Primele trei versiuni ale Kerberos au fost folosite doar în cadrul MIT , în prezent
nemaifiind f olosite . Prima versiune făcută publica a fost Kerberos V4, versiune ce a cunoscut
o răspândire importantă în afara MIT . Deoarece unele medii necesit au funcționalități
neacoperite de Kerberos V4, iar altele a veau o structură diferită de modelul MIT , în 1989 a

26
început lucrul la Kerberos V5 . În septembrie 1993, Kerberos V5 a fost specificat ca standard
Internet în RFC 1510 [KOHL93]. MIT a dezvoltat și testat Kerberos V5 pe Ultrix, SunOS,
Solaris și Linux, fiind portat și pe alte sisteme de către terți. Deși similare ca și concept,
Kerberos V4 și V5 sunt substanțial diferite și chiar sunt în competiție pentru dominaț ia pe
piață. Pe scurt, Kerberos V4 are o bază de instalare mai mare, este mai simplu și are o
performanță mai mare decât V5, însă lucrează doar cu adrese IP. Kerberos V5 pe de altă parte,
are o bază de instalare mai redusă, este mai complicat și implicit m ai puțin eficient, dar
prezintă mai multă funcționalitate decât V4.
În ciuda faptului că este disponibil codul sursă pentru Kerberos V4 și V5, MIT nu -l
susține oficial și nu oferă suport. Unele companii însă oferă contra cost versiuni comerciale de
impleme ntări Kerberos. Informații despre versiunile freeware și comerciale se găsesc în
Kerberos FAQ publicat periodic în grupul de știri comp.protocols.kerberos .
Printre protocoalele criptografice implementate de Kerberos se află: Protocolul Needham –
Schroeder, Protocolul Kerberos V4 .

Slăbiciunile lui Kerberos

Utilizarea sistemului Kerberos îmbunătățește securitatea aplicațiilor în rețea dar, prezintă
și unele deficiențe:
 Dependența de criptosistem: implementarea de referință de la MIT pentru Kerberos
V4 utiliz ează DES pentru a codifica mesajele. Înainte ca restricțiile de export ale
sistemelor criptografice să fie ridicate, răspândirea utilizării lui Kerberos a fost destul
de dificilă.
 Dependența față de protocolul Internet: Kerberos V4 necesită utilizarea adreselor de
tip IP, ceea ce îl face nepotrivit în anumite medii.
 Ordinea octeților în mesaj: în Kerberos V4, host -ul care trimite mesajul ordonă octeții
în conformitate cu ordinea sa naturală. Receptorul este responsabil de a re -ordona
octeții pentru a se pot rivi modului său nativ. În timp ce acest lucru va ușura
comunicarea între host -uri cu aceeași ordine a octeților, comunicarea cu un tip diferit
de host poate afecta interoperabilitatea.
 Timpul de viață al tichetului : limita de via ță de aproximativ 21 de or e a unui tichet
este un neajuns major în Kerberos V4, deoare ce împiedică acordarea de tichete unor
sarcini care rulează multă vreme.
 Înaintarea autentificării: Kerberos V4 nu permite ca un tichet emis unui client de pe
un host să fie trimis altui host sau utilizat de alt client.
 Numirea utilizatorilor: în Kerberos V4, numele sunt compuse din trei componente:
nume, instanță și domeniu, fiecare având maxim 40 de caractere , aceste dimensiuni
dovedindu -se prea mici pentru unele aplicații.
 Necesitatea a utentific ării inter -domenii
 Dubla criptare: TGT -ul emis de AS este codificat de două ori când este returnat la
client și numai o dată când este trimis la TGS.
 Autentificarea mesajului: algoritmul de sumă de control din Kerberos V4 nu este
documentat sau publicat, d e aceea nu există dovezi despre slăbiciunea sau tăria sa.
Totuși, faptul că un algoritm nu a fost spart până în prezent nu înseamnă că algoritmul
este sigur.

27
În Kerberos V5 , multe dintre probleme prezentate anterior au fost luate în seamă la
proiectarea a cestuia. Una din marile probleme este aceea că sistemul Kerberos se bazează în
continuare pe parole bine alese și pe faptul că acestea sunt ținute secrete. Dacă un atacator
poate primi acces la parola unui utilizator, Kerberos nu poate distinge între cei d oi. O
problemă oarecum înrudită a Kerberos V5 este și faptul că nu e rezistent la atacuri reply.

Protocolul SESAME
Protocolul SESAME (Secure European System for Applicxations in a Multivendor
Environment) este rezultatul unui proiect al Asocia ției Fabrica nților Europeni de Calculatoare
(ECMA – European Computer Manufacturer Asociation) propus pentru optimizarea și
extinderea protocolului Kerberos pentru controlul distribuit al accesului în re țea. SESAME
folose ste o tehnic ă de autorizare și control al acces ului similar ă celei aplicate de protocolul
Kerberos, cu autentificare a clientului de către AS. Suplimentar, este necesar ă și autentificarea
de către un server de privilegii (PAS – Privilege Attribute Server) care elibereaz ă un certificat
de privilegii (PA C – Privilege Attribute Certificate ) dup ă prezentarea unei dovezi de
autenticitate. Certificatul este semnat cu cheia privat ă a serverului emitent. În certificat se
specific ă identitatea și rolul utilizatorului, grupul organiza țional c ăruia îi apar ține, pe rmisiuni
și restric ții impuse, condi ții de utilizare a certificatului. După obținerea certificatului, clientul
se adreseaz ă serverului KDS (Key Distribution Center Server ), conform RFC 3634, pentru
obținerea tichetului de serviciu.
SESAME a adoptat termin ologia introdusă de cadrele de securitate ISO/IEC. În
particular, se folosește termenul de partener pentru a referi o persoană sau entitate înregistrată
și autentificabilă. Când joacă un rol activ (spre exemplu când solicită acces), partenerul se
numește inițiator . Când joacă un rol pasiv (spre exemplu este accesat), partenerul se numește
țintă. Un serviciu este un set abstract de funcționalități care poate fi implementat de un număr
de servere separate. Referindu -ne la modelul client / server, componentele aplicației client
joacă rolul de inițiatori comunicând cu componentele aplicației server care joacă rolul de
țintă.
Obiectivul primar al proiectului SESAME este producerea de tehnologie pentru controlul
accesului în sisteme distribuite, adică să ofere ser vicii de autentificare, control al accesului,
confidențialitate și integritate a datelor.
Arhitectura sistemului SESAME folose ște o ierarhie de chei cu dou ă niveluri:
 o cheie simpl ă – stabilit ă și utilizat ă între un SACM ini țiator și PVF-ul SACM -ului
țintă, pentru a proteja PAC -urile corespunz ătoare precum si informa țiile de stabilire a
cheilor.
 o cheie de dialog – derivat ă din cheia simpl ă cu o func ție de dispersie cu sens unic
(one-way function ). Scopul acesteia este de a proteja datele schimbate într -un context
de securitate. Pentru protec ția integrit ății și a confiden țialității se pot stabili chei de
dialog separate, permi țând ca mecanisme cu puteri de criptare diferite s ă fie utilizate
conform cu legisla ția local ă.

SESAME este proiectat pentru sisteme deschise, cu echipamente de la diferi ți produc ători
(multi -vendor ), pentru servicii de autentificare, de confiden țialitate si integritate a datelor, de
autorizare si control al accesului în aplica ții distribuite în re țea.

28
În modelul SESAME se folosește o tehnică similară cu Kerberos pentru autorizare și
controlul accesului. Dacă un client dorește să utilizeze un serviciu, el nu trebuie doar
autentificat de AS, ci drepturile sale autentificate de un server de privilegii (PAC). În
principiu, un PAC constă at ât din privilegiile utilizatorilor cât și informația de control
corespunzătoare. Privilegiile utilizatorilor sunt date precum identitatea utilizatorului, rolul,
grupul organizațional, permisiunile de securitate, iar informațiile de control spun unde și cân d
se poate folosi PAC -ul și dacă poate fi delegat sau nu. PAC este conceptual similar cu un
certifica de control al accesului, așa cum se specifică în (ISO / IEC, 1993b). În modelul
SESAME, un PAS generează un PAC la prezentarea unei dovezi de autentificar e, iar PAC -ul
este semnat digital cu cheia privată a PAS -ului corespunzător.
Printre versiunile modelului SESAME se eviden țiază SESAME V3 care folosește
criptografia cu chei publice, oferind o posibilitate de a genera și distribui certificate de chei
publice.
Modelul poate fi descris astfel:
pasul 1
se Aflat la o stație de lucru pentru a se loga, clientul prezintă numele, parola și rolul
solicitat. Mesajul KRB_AS_REQ ajunge la AS, solicitândui -se un TGT. Formatul mesajului
este aproximativ același cu cel din cadrul protocolului Kerberos.
pasul 2
AS generează un tichet PAS și o cheie simplă corespunzătoare și returnează mesajul
KRB_AS_REP lui APA. Schimbul Kerberos AS are ca rezultat achiziția unui bilet PAS și a
cheii simple corespunzătoare, care sunt depo zitate în SACM la partea inițiatoare. De acum
înainte, toate interacțiunile între DSS și client sunt efectuate de SACM -ul inițiator.
pasul 3
SACM -ul inițiator trimite un mesaj KRB_PAS_REQ către PAS. Mesajul include atât
tichetul PAS cât și rolul utilizator ului. Luând în calcul rolul solicitat, PAS -ul generează un
PAC, îl semnează cu cheia sa privată și în plus generează un bilet KDS.
pasul 4
PAS-ul returnează un mesaj KRB_PAS_REP SACM -ului inițiator, iar acest mesaj
include atât PAC cât și biletul KDS. În p lus față de acestea, mesajul poate include valori de
control necesare dacă PAC -ul este delegabil. Mesajul KRB_PAS_REP este codificat cu cheia
simplă cunoscută de SACM -ul inițiator și de PAS. SACM -ul inițiator păstrează toate
informațiile primite până acum, în speță biletele PAS și KDC, PAC -ul, valorile de control și
cheia simplă. Un program de manipulare a utilizatorilor poate accesa atributele în PAC prin
apeluri API corespunzătoare, așa încât spre exemplu, un utilizator poate fi informat cu ce
privilegii lucrează în mod curent. Cu condiția ca acești pași de inițializare au fost parcurși cu
succes, orice aplicație pe partea inițiatorului poate invoca componenta SACM prin apeluri
corespunzătoare. Dacă pentru orice motiv PAC -ul memorat de SACM nu este valid s au este
nepotrivit, SACM solicită un nou PAC de la PAS.
pasul 5
Dacă un client dorește să folosească un server de aplicații specific pe partea țintă, el cere
SACM -ului inițiator să solicite un bilet corespunzător prin trimiterea mesajului
KRB_TGS_REQ către KDS.

29
pasul 6
Dacă KDS are o cheie secretă cu PVF -ul corespunzător SACM -ului țintă, KDS -ul
returnează un mesaj KRB_TGS_REP către SACM -ul inițiator.
pasul 7
SACM -ul inițiator generează un mesaj SES_INIT_CTXT care conține un bilet de
serviciu, un pachet con ținând semințele cheilor de integritate și confidențialitate, precum și
PAC -ul. Când protocolul de comunicație transmite marcajul de stabilire a contextului de la
SACM -ul inițiator la cel țintă, acesta din urmă îl înaintează PVF -ului său pentru verificare.
PVF-ul procesează informația pentru a extrage cheia simplă și utilizează pachetul cheii de
dialog pentru a genera două chei de dialog, și anume cheia de confidențialitate și cheia de
integritate.
pasul 8
Dacă biletul este valid și dacă se solicită autenti ficare reciprocă, SACM -ul țintă
returnează SACM –ului inițiator în, mesajul SES_INIT_CTXT_COMPLETE. Acum este
stabilit un context de securitate între SACMurile inițiator și țintă, orice aplicație putând folosi
acest context pentru transmisie de date. După c e aplicația a terminat, se solicită terminarea
contextului prin trimiterea SES_CTXT_ABORT.
SESAME V3 oferă autentificare, confidențialitate, integritatea datelor și servicii de
autorizare și control al accesului. Drept urmare, SESAME este o alternativă int eresantă la
Kerberos. Un alt avantaj este faptul că SESAME nu este un sistem proprietar. În schimb,
rădăcinile sale sunt în munca ECMA și nu este legat de o platformă specifică sau protocol
anume. De la început, SESAME a fost proiectat pentru un mediu mult i-vendor, iar acest
obiectiv se dovedește util când se realizează integrarea unui sistem în organizații mari sau
clustere de organizații cooperante.

Acestor protocoale li se mai adaugă și altele, cum ar fi: Protocolul RADIUS, Protocolul
DIAMETER , Protocol ul de Autentificare Extinsă (EAP ).