Βικιπαίδεια

Ασφάλεια μέσω αφάνειας

Ασφάλεια μέσω αφάνειας (ή ασφάλεια μέσω συσκότισης ή ασάφειας) στη μηχανική ασφάλειας είναι η εξάρτηση στη μυστικότητα του σχεδιασμού ή υλοποίησης ως την κύρια μέθοδο παροχής ασφάλειας σε ένα σύστημα ή ένα εξάρτημα.

Ιστορία Επεξεργασία

Ένας πρώιμος αντίπαλος της ασφάλειας μέσω της συσκότισης ήταν ο κλειδαράς Άλφρεντ Τσαρλς Χομπς, ο οποίος το 1851 έδειξε στο κοινό πώς θα μπορούσαν να διαλέξουν κλειδαριές τελευταίας τεχνολογίας. Απαντώντας στις ανησυχίες ότι η αποκάλυψη ελαττωμάτων ασφαλείας στο σχεδιασμό των κλειδαριών θα μπορούσε να τις κάνει πιο ευάλωτες στους εγκληματίες, είπε: «Οι απατεώνες είναι πολύ ένθερμοι στο επάγγελμά τους και γνωρίζουν ήδη πολύ περισσότερα από όσα μπορούμε να τους διδάξουμε».[1]

Υπάρχει ελάχιστη επίσημη βιβλιογραφία για το ζήτημα της ασφάλειας μέσω της αφάνειας. Βιβλία για τη μηχανική ασφάλειας παραθέτουν την αρχή του Κέρκχοφ από το 1883, αν αναφέρουν οτιδήποτε. Για παράδειγμα, σε μια συζήτηση σχετικά με τη μυστικότητα και τη διαφάνεια στη Διοίκηση και Έλεγχο Πυρηνικών:

Τα οφέλη από τη μείωση της πιθανότητας ενός τυχαίου πολέμου θεωρήθηκε ότι υπερτερούν των πιθανών οφελών της μυστικότητας. Αυτή είναι μια σύγχρονη μετενσάρκωση της αρχής του Κέρκχοφ, που παρουσιάστηκε για πρώτη φορά τον δέκατο ένατο αιώνα, ότι η ασφάλεια ενός συστήματος πρέπει να εξαρτάται από το κλειδί του και όχι από το ότι ο σχεδιασμός του παραμένει σκοτεινός.[2]

Στον τομέα της νομικής ακαδημαϊκής κοινότητας, ο Peter Swire έχει γράψει για την αντιστάθμιση μεταξύ της ιδέας ότι «η ασφάλεια μέσω της αφάνειας είναι μια ψευδαίσθηση» και της στρατιωτικής αντίληψης ότι «τα ανοιχτά στόματα βυθίζουν πλοία»[3] καθώς και για το πώς ο ανταγωνισμός επηρεάζει τα κίνητρα για αποκάλυψη.[4]

Η αρχή της ασφάλειας μέσω της αφάνειας ήταν γενικότερα αποδεκτή στην κρυπτογραφία την εποχή που ουσιαστικά όλοι οι καλά πληροφορημένοι κρυπτογράφοι απασχολούνταν από εθνικές υπηρεσίες πληροφοριών, όπως η Εθνική Υπηρεσία Ασφαλείας. Τώρα που οι κρυπτογράφοι εργάζονται συχνά σε πανεπιστήμια, όπου οι ερευνητές δημοσιεύουν πολλά ή ακόμα και όλα τα αποτελέσματά τους και δοκιμάζουν δημόσια σχέδια άλλων, ή στην ιδιωτική βιομηχανία, όπου τα αποτελέσματα ελέγχονται πιο συχνά από διπλώματα ευρεσιτεχνίας και πνευματικά δικαιώματα παρά από μυστικότητα, το επιχείρημα έχει χάσει μερικά της παλαιότερης δημοτικότητάς του. Ένα πρώιμο παράδειγμα ήταν το PGP, του οποίου ο πηγαίος κώδικας είναι δημόσια διαθέσιμος σε οποιονδήποτε. Η τεχνολογία ασφαλείας σε μερικά από τα καλύτερα εμπορικά προγράμματα περιήγησης (όπως το Chromium ή ο Mozilla Firefox) θεωρείται επίσης εξαιρετικά ασφαλής παρά το γεγονός ότι είναι ανοιχτού κώδικα. 

Υπάρχουν αντικρουόμενες ιστορίες σχετικά με την προέλευση αυτού του όρου. Οι θαυμαστές του Συστήματος Μη Συμβατού Χρονομερισμού (ITS) του MIT λένε ότι δημιουργήθηκε σε αντίθεση με τους χρήστες του Multics πέρα από τον διάδρομο, για τους οποίους η ασφάλεια ήταν πολύ μεγαλύτερο ζήτημα παρά για το ITS. Μέσα στην κουλτούρα του ITS, ο όρος αναφερόταν, αυτοσαρκαστικά, στην κακή κάλυψη της τεκμηρίωσης και στην ασάφεια πολλών εντολών, και στη στάση ότι όταν ένας τουρίστας καταλάβαινε πώς να δημιουργήσει προβλήματα, θα είχε γενικά ξεπεράσει την επιθυμία να να τα καταφέρει, γιατί ένιωθε μέρος της κοινότητας. Ένα παράδειγμα σκόπιμης ασφάλειας μέσω της αφάνειας στο ITS έχει σημειωθεί: η εντολή για να επιτρέπεται η ενημέρωση κώδικα του τρέχοντος συστήματος ITS (altmode altmode control-R) ήταν $$^D . Πληκτρολογώντας Alt Alt Control-D όριζε μια σημαία που θα εμπόδιζε την επιδιόρθωση του συστήματος ακόμα κι αν ο χρήστης αργότερα το έκανε σωστά.[5]

Τον Ιανουάριο του 2020, το NPR ανέφερε ότι αξιωματούχοι του Δημοκρατικού Κόμματος στην Αϊόβα αρνήθηκαν να μοιραστούν πληροφορίες σχετικά με την ασφάλεια της εφαρμογής κοινοβουλευτικής ομάδας του, για «να βεβαιωθούμε ότι δεν μεταδίδουμε πληροφορίες που θα μπορούσαν να χρησιμοποιηθούν εναντίον μας». Οι ειδικοί στον τομέα της κυβερνοασφάλειας απάντησαν ότι «η απόκρυψη των τεχνικών λεπτομερειών της εφαρμογής της δεν προστατεύει το σύστημα». [6]

Κριτική Επεξεργασία

Η ασφάλεια μόνο μέσω της αφάνειας αποθαρρύνεται και δεν συνιστάται από τους φορείς τυποποίησης. Το Εθνικό Ινστιτούτο Προτύπων και Τεχνολογίας (NIST) στις Ηνωμένες Πολιτείες προτείνει μερικές φορές κατά αυτής της πρακτικής: «Η ασφάλεια του συστήματος δεν πρέπει να εξαρτάται από το απόρρητο της υλοποίησης ή των στοιχείων της.»[7]

Η τεχνική έρχεται σε αντίθεση με την ασφάλεια από το σχεδιασμό και την ανοιχτή ασφάλεια, αν και πολλά έργα του πραγματικού κόσμου περιλαμβάνουν στοιχεία όλων των στρατηγικών.

Η αφάνεια στην αρχιτεκτονική εναντίον της τεχνικής Επεξεργασία

Η γνώση του τρόπου κατασκευής του συστήματος διαφέρει από την απόκρυψη και το καμουφλάζ. Η αποτελεσματικότητα της αφάνειας στην ασφάλεια των επιχειρήσεων εξαρτάται από το αν η αφάνεια είναι πάνω από άλλες καλές πρακτικές ασφαλείας ή εάν χρησιμοποιείται μόνη της.[8] Όταν χρησιμοποιείται ως ανεξάρτητο επίπεδο, η αφάνεια θεωρείται έγκυρο εργαλείο ασφαλείας.[9]

Τα τελευταία χρόνια, η ασφάλεια μέσω της αφάνειας έχει κερδίσει υποστήριξη ως μεθοδολογία στον τομέα της κυβερνοασφάλειας μέσω του Moving Target Defense και της εξαπάτησης στον κυβερνοχώρο.[10] Το πλαίσιο ανθεκτικότητας στον κυβερνοχώρο του NIST, 800-160 Volume 2, συνιστά τη χρήση της ασφάλειας μέσω της αφάνειας ως συμπληρωματικό μέρος ενός ανθεκτικού και ασφαλούς υπολογιστικού περιβάλλοντος. [11]

Δείτε επίσης Επεξεργασία

Παραπομπές Επεξεργασία

  1. ↑ Stross, Randall (17 December 2006). «Theater of the Absurd at the T.S.A.». The New York Times. https://www.nytimes.com/2006/12/17/business/yourmoney/17digi.html. Ανακτήθηκε στις 5 May 2015. 
  2. ↑ Anderson, Ross (2001). Security Engineering: A Guide to Building Dependable Distributed Systems. New York, NY: John Wiley & Sons, Inc. σελ. 240. ISBN 0-471-38922-6. 
  3. ↑ Swire, Peter P. (2004). «A Model for When Disclosure Helps Security: What is Different About Computer and Network Security?». Journal on Telecommunications and High Technology Law 2. 
  4. ↑ Swire, Peter P. (January 2006). «A Theory of Disclosure for Security and Competitive Reasons: Open Source, Proprietary Software, and Government Agencies». Houston Law Review 42. 
  5. ↑ «security through obscurity». The Jargon File. 
  6. ↑ «Despite Election Security Fears, Iowa Caucuses Will Use New Smartphone App». NPR.org. https://www.npr.org/2020/01/14/795906732/despite-election-security-fears-iowa-caucuses-will-use-new-smartphone-app. 
  7. ↑ «Guide to General Server Security» (PDF). National Institute of Standards and Technology. Ιουλίου 2008. Ανακτήθηκε στις 2 Οκτωβρίου 2011. 
  8. ↑ «Obscurity is a Valid Security Layer - Daniel Miessler» (στα αγγλικά). Daniel Miessler. https://danielmiessler.com/study/security-by-obscurity/. Ανακτήθηκε στις 2018-06-20. 
  9. ↑ «Cyber Deception | CSIAC». www.csiac.org (στα Αγγλικά). Ανακτήθηκε στις 20 Ιουνίου 2018. 
  10. ↑ «CSD-MTD» (στα αγγλικά). Department of Homeland Security. 2013-06-25. https://www.dhs.gov/science-and-technology/csd-mtd. Ανακτήθηκε στις 2018-06-20. 
  11. ↑ (NIST), Author: Ron Ross; (MITRE), Author: Richard Graubart; (MITRE), Author: Deborah Bodeau; (MITRE), Author: Rosalie McQuaid (21 March 2018) (στα αγγλικά). SP 800-160 Vol. 2 (DRAFT), Systems Security Engineering: Cyber Resiliency Considerations for the Engineering of Trustworthy Secure Systems. Αρχειοθετήθηκε από το πρωτότυπο στις 2020-06-23. https://web.archive.org/web/20200623010701/https://csrc.nist.gov/publications/detail/sp/800-160/vol-2/draft. Ανακτήθηκε στις 2018-06-20. 

Εξωτερικοί σύνδεσμοι Επεξεργασία

Ανακτήθηκε από "https://el.wikipedia.org/w/index.php?title=Ασφάλεια_μέσω_αφάνειας&oldid=10212682"