...hogy senki ne tudjon lehallgatni minket, akkor hogyan tudja ellenőrizni a hálózati forgalmunkat a tûzfalunk? Ha a hálózatunkat nem védjük tûzfallal, a gonosz crackerek betörnek, a vírusok, trójai programok elárasztanak minket, a korrupt alkalmazottak pedig ellopják és kiküldik az összes fontos adatunkat. Ez is köztudott, és egy magára valamit is adó internetező legalább egy tûzfalat és persze víruskeresőt is használ.

A szabályzatok, előírások pedig megkövetelik, hogy a cég, a szervezet saját hálózatát tûzfallal, víruskeresővel, behatolás-érzékelővel (IDS) védje. Viszont ilyen titkosítás mellett hogyan tudja ellenőrizni a hálózati forgalmat a tûzfal? Mi veszi észre, ha a titkosított kommunikációban vírusok jönnek, ha tiltott weboldalakat látogatunk meg, ha kiküldjük a konkurenciának az ügyfelek összes adatát, vagy ha éppen egy cracker „készül betörni " a szerverünkre? Ha a forgalom egyszer titkosított, akkor egy normál tûzfal vagy víruskereső számára nincs sok esély. Joggal kérdezheti bárki, hogy most akkor hagyjam a titkosítást, vagy inkább dobjam ki a tûzfalamat, hiszen úgy sem ér sokat.

Modern netmese
Következzen most egy modern „netmese" Alice-ról, Bobról és Malloryról, amelyből kiderül, hogy Mallory nem is olyan rossz fiú, mint amilyennek eddig gondoltuk, és amelyben talán megoldást lelhetünk kedvenc tûzfalaink kiszolgáltatott helyzetére.
A kérdés tisztázásához először is nézzük meg, mit várhatunk el a tûzfalaktól. Sokan mint csodaszerre tekintenek a tûzfalra, ami, mint egy védelmező hős, megóv minket az interneten ránk leselkedő veszélyektől. Ha van tûzfalam, nincs mitől tartanom. Sajnos a helyzet nem ilyen egyszerû. A legbiztosabb, ha úgy tekintünk a tûzfalakra, mint hálózati hozzáférés-vezérlési eszközökre, amelyek az informatikai biztonsági szabályzat határvédelemre vonatkozó részét betartatják. Azaz a megadott keretek között ellenőrzik a forgalmat, és ha egy kommunikáció engedélyezett, akkor azt átengedik, minden mást - legalábbis optimális esetben - pedig tiltanak. Természetesen a különböző tûzfalak más-más módon ellenőrzik a forgalmat, ennek áttekintéséhez vegyük alapul a hagyományos határátkelőket, és nézzük meg, hogy milyen módon ellenőrzik a forgalmat az egyes tûzfal típusú határőrök.

Kamionok, szállítmányok
Az egyszerûség kedvéért tekintsük csak a kamionforgalmat, ezek egyébként is hasonlítanak az informatikai hálózatokhoz. Van a kamion sofőrje, aki tekinthető a hálózati csomag fejlécének, ami tartalmazza a szállítmánnyal kapcsolatos információkat, mit, honnan és hova visz a fuvar. A konténer pedig felfogható, mint a csomag adatrésze. Elsőként figyeljük meg, hogyan ellenőrzi a csomagszûrő típusú határőr ezt a „kamionkapcsolt" forgalmat! A határőr csak a fejléccel foglalkozik, azaz elkéri a fuvarlevelet a sofőrtől. A példánkban legyen a szállítmány turmixgép Budapestről Bukarestbe. Ha a határőr listája alapján lehet Budapestről Bukarestbe turmixgépet szállítani, akkor átengedi a kamiont, egyébként visszafordítja.  A csomagszûrő határőr nem nagyon néz bele konténerbe, az akár tele is lehetne kokainnal. Ezzel szemben az alkalmazás-szintû (proxy) határőrből nagyon sok van, mindegyikük egy-egy árura specializálódott. Az előző példánál maradva, a turmixgépekhez egy turmixgép-ellenőrző határőrre van szükség, aki átpakolja az összes turmixgépet az egyik konténerből a másikba, és csak az átpakolt konténer folytathatja az útját. Természetesen ha a turmixgépek helyett kokainnal van tele a konténer, azt a turmixgép-ellenőrző határőr nem tudja átpakolni, azaz a kokain nem jut át a határon. (Itt a lényeg nem a kokain kiszûrésén volt, hanem a turmixgép átpakolásán, és mivel a kokain nem turmixgép, ezért az nem került át a másik konténerbe. Nyilván nemcsak a kokain, de az egyébként ártatlanabb habverőgép sem jutott volna át.)
A harmadik, IDS/IPS (behatolás-érzékelő) típusú határőr sokkal közelebb áll a megszokott, humán határőrökhöz Az alapvető ellenőrzések mellett van egy listája az ismert támadásokról, mondhatni a szokásos kokaincsempészési módszerekről. Azaz az áthaladó kamionoknál megnézi, hogy nem csempésznek-e kokaint valamelyik ismert helyen, például a duplafalu üzemanyagtankban.

Diplomata küldemények
A további szûrési, ellenőrzési funkciók is végig követhetőek, mint például a vírusszûrés, amihez a határőrök hőkamerát használhatnak, vagy a felhasználók hitelesítése, ami akár a vízumkényszernek is tekinthető. Ugyanakkor a problémák is hasonlóak. A titkosítási problémánknál maradva merül fel a kérdés, hogy mit is kezdhet bármelyik típusú határőrünk a titkosított forgalommal, ami számára a diplomata küldeményekhez hasonlatos. Nincs lehetősége belenézni, így nem tudja ellenőrizni, hogy nincs-e tele kokainnal, vagy más illegális holmival. Hasonlóan a tûzfalak is csak annyit érzékelnek, hogy valami - számukra ellenőrizhetetlen - forgalom halad át. Mivel a tûzfal elsődleges feladata a forgalom ellenőrzése és szûrése, így ebben az esetben csak a teljes átengedés, illetve a teljes tiltás lehetősége marad. (Természetesen a honnan-hová információ rendelkezésre áll, de sok esetben csak ez alapján nem lehet dönteni.) Sok vírus, trójai program használja ki, hogy az internet irányában a 443/TCP, azaz a HTTPS port a tûzfalakon általában nyitva van, azaz teljes sebességgel - különösebb trükközés nélkül - lehet kommunikálni, adatokat ki-/bejuttatni. (Az akciófilmekben szereplő kémek is előszeretettel küldik át a megszerzett információt diplomáciai küldeménybe rejtve.) A hozzáférés-vezérlés szemszögéből az ilyen kommunikációs csatornákat nevezzük teljes sebességû „covert-channelnek”, és ahol lehet, próbáljuk minimalizálni. 
Látható tehát, hogy a tûzfalak önmagukban nem képesek megoldani ezt a problémát, ezért kicsit tágabb körben kell keresni a megoldást.

Alice és társai
A titkosítást a szakkönyvek általában Alice, Bob és pár további karakter főszereplésével mutatják be, ez személyesebb és könnyebben megjegyezhető, mint ha A, B és C kommunikációjáról beszélnénk. Az alapszituáció szerint Alice üzenetet akar küldeni Bobnak, de azt Eve (Eavesdropper) lehallgatja, ezért Alice-nak titkosítania kell a kommunikációt. A titkosításhoz szükséges, hogy a felek megbízhatóan tudják hitelesíteni egymást, különben előfordulhat, hogy ugyan titkosítva, de nem a megfelelő személynek küldik az üzenetet. A hitelesítéshez rendszerint egy megbízható harmadik személyt (Trent) választanak, aki Alice és Bob számára is kiállít egy-egy tanúsítványt. A tanúsítvány (certificate) segítségével hitelesíthetik egymást, és ez alapján tudnak titkosítva kommunikálni. Itt jön a képbe az eredeti történet szerint Mallory, aki Alice és Bob közé „beékelődve", Alice felé Bobnak, Bob felé Alice-nak adja ki magát. Ezt a támadást nevezzük Man In The Middle Attack-nak, avagy rövidítve egyszerûen csak MITM-nak.  A támadás majdnem tökéletese, csakhogy a Mallory által használt tanúsítvány nem egyezik meg Alice és Bob eredeti tanúsítványával, mivel a Mallory által használtakat nem Trent állította ki. Azaz mind Alice, mind Bob, megfelelő körültekintéssel észreveheti, hogy a tanúsítvány nem „eredeti", azaz lehetséges, hogy nem is közvetlenül egymással kommunikálnak, hanem Malloryval. Így Mallory a rossz fiú lebukik, a jó győz és a gonosz megbûnhődik.
A kedves olvasó viszont már nyilván elég bátor ahhoz, hogy megkérdőjelezze a mese alapszituációját és nézőpontot váltson. Mi van - tegyük fel a kérdést - ha nem is Alice a pozitív szereplő, hanem Mallory? Lehet, hogy Mallory nem önös érdekből akart belehallgatni a kommunikációba, hanem csak ellenőrizni akarta, hogy Alice nem küld-e egy vírussal fertőzött levelet a mit sem sejtő Bobnak? Amennyiben tényleg ez a helyzet, akkor a gonosz győzött és a jó elbukott.

A cikk teljes terjedelemben itt olvasható>>

(Forráa: www.hvg.hu)