| Περίληψη : | Το πρόβλημα της διαδοχικής τρωτότητας ανακύπτει όταν πρέπει να εξεταστεί αν μια ομάδα ασφαλών συστημάτων διασυνδεδεμένων με ασφαλή τρόπο αποτελεί ένα ασφαλές κατανεμημένο σύστημα. Το πρόβλημα εμφανίζεται όταν ένας αντίπαλος μπορεί, εκμεταλλευόμενος τις δικτυακές συνδέσεις, να έχει πρόσβαση σε πληροφορίες υψηλότερου επίπεδου εμπιστευτικότητας από αυτές που θα του επιτρεπόταν από το κάθε ένα σύστημα ξεχωριστά. Στο παρελθόν έχουν προταθεί διάφορες προσεγγίσεις για την επίλυση του συγκεκριμένου προβλήματος. Αυτές περιλαμβάνουν την εξέταση συνθηκών (nesting condition, cascading condition) ή την χρήση προσεγγιστικών μεθόδων (ως πρόβλημα περιορισμένων πόρων, πρόβλημα περιορισμών, συνδυαστικοί αλγόριθμοι), για τον εντοπισμό και την εξάλειψη των μονοπατιών διαδοχικής τρωτότητας. Καταγράψαμε λοιπόν τις δημοφιλέστερες (βάσει αριθμού χρηστών) υπηρεσίες και εφαρμογές και τις αλληλεπιδράσεις που εμφανίζονται μεταξύ τους. Εντοπίσαμε μεταξύ τους αλληλεπιδράσεις 3 ειδών (Ανάγνωσης , Εγγραφής, Αυθεντικοποίησης). Κατόπιν, ακολουθώντας τις προηγούμενες προσεγγίσεις, αποτυπώσαμε τα ευρήματά της διερεύνησής μας σε ένα γράφο με 46 κόμβους 2 τύπων (υπηρεσίες ιστού ,εφαρμογές για κινητά) και συνολικά 390 αλληλεπιδράσεις μεταξύ τους. Μέσω ανάλυσης συχνοτήτων εμφάνισης επιβεβαιώσαμε τον υψηλό βαθμό αλληλεπίδρασης μεταξύ των εφαρμογών και των υπηρεσιών (κατά μ.ο. 8 εξερχόμενες σχέσεις αλληλεπίδρασης ανά υπηρεσία ή εφαρμογή). Επίσης, μέσω εκτέλεσης ερωτημάτων στον γράφο προσεγγίσαμε τον βαθμό εξάρτησης του δυνητικού αριθμού των μονοπατιών διαδοχικής τρωτότητας με κάθε έναν από τους τύπους αλληλεπίδρασης. Τα αποτελέσματα μας , κατατάσσουν βάσει της επίδρασης σε απόλυτες τιμές, πρώτη την σχέση ανάγνωσης, ακολουθεί η σχέση αυθεντικοποίησης και τρίτη η σχέση εγγραφής. Προτείνουμε λοιπόν τόσο στους παρόχους όσο και στους χρήστες αυτών των εφαρμογών και υπηρεσιών την χρήση περεταίρω αντίμετρων (αυθεντικοποίηση 2 παραγόντων , κρυπτογραφία) καθώς και την εξέταση της επίδρασης σε όρους οριακής διαδοχικής τρωτότητας κάθε νέας αλληλεπίδρασης μεταξύ των εφαρμογών και υπηρεσιών που χρησιμοποιούν.
The problem of cascade vulnerability comes up when one needs to check whether a group of securely interconnected secure systems constitutes a secure distributed system. The problem emerges when an adversary may exploit network connections in order to access data with higher classification level than the one accredited to him in each separate system.Various approaches have been proposed in the past in order to address this specific problem; e.g. nesting condition, cascading condition or the use of approximate methods (limited resources problem, soft constraints problem, combination algorithms) for the identification and elimination of cascade vulnerability paths.We therefore recorded the most popular (in terms of number of users) services and applications as well as all interactions among them. We identified 3 types of interaction (Reading, Writing, Authentication) and on the basis of previously formulated approaches, we visualized the findings of our investigation in the form of a 2-type 46-node graph (web services and mobile applications) with an overall number of 390 interactions.The frequency analysis confirmed the high degree of interaction between applications and services (with an average of 8 outgoing interaction relations per service or application).In addition to this, the execution of queries in the graph helped us approach the degree of dependency of the potential cascade vulnerability paths to each interaction type. When it comes to interaction, on the basis of the conclusions drawn, the reading type ranks first in absolute terms, followed by authentication and writing types, ranking second and third respectively.We therefore recommend both the providers and users of these applications and services to use further counter-measures (i.e. 2-factor authentication, encryption) and test the impact of every new interaction between the applications and services they use, against marginal cascade vulnerability.
|
|---|
Copyright © 2013 Βιβλιοθήκη Ο.Π.Α. Με την επιφύλαξη παντός δικαιώματος.