Hvordan kryptografi, digitale signaturer, TLS, IPsec og brannmurer samarbeider for å beskytte data som reiser gjennom et nettverk fullt av potensielle angripere.
Overblikk
Det store bildet
Nettverkssikkerhet handler om å beskytte data som reiser gjennom et nettverk fullt av potensielle angripere — med fire verktøy som hver løser ett bestemt problem.
I læreboken (kap. 8.1) møter du ofte CIA-triaden som rammeverk: Confidentiality (konfidensialitet — bare autoriserte kan lese innholdet), Integrity (integritet — innholdet er autentisk og uendret), og Availability (tilgjengelighet — tjenester er tilgjengelige for legitime brukere). De fire egenskapene vi bruker i dette kapittelet (konfidensialitet, autentisering, meldingsintegritet, tilgjengelighet) overlapper med CIA: autentisering og integritet støtter særlig I-delen, mens tjenestenekt (DoS) er et typisk angrep på A-delen.
Tenk deg at du skal sende en verdifull diamant gjennom et postsystem fullt av tyver. Du trenger: (1) en låst boks som bare mottakeren kan åpne (kryptering), (2) en forsegling som viser om noen har åpnet boksen underveis (integritet / MAC), (3) en måte å bevise at det virkelig er du som sendte den (autentisering / digitale signaturer), og (4) vakter ved døren som sjekker hver eneste pakke (brannmurer). Hvert sikkerhetsverktøy løser ett spesifikt problem.
Alice sender en kryptert, integritetssikret og autentisert melding til Bob. Trudy (angriperen) sitter i midten og forsøker å avlytte eller manipulere, men kryptering, MAC og digitale signaturer beskytter meldingen. En brannmur hos Bob filtrerer uønsket trafikk.
Eksempel fra virkeligheten
Når du ser hengelåsen i nettleseren din på ntnu.no, betyr det at TLS er aktiv. Nettleseren og serveren har gjennomført et handshake der de ble enige om krypteringsnøkler — og nå er alt du sender kryptert slik at ingen på WiFi-nettverket kan lese det.
Verktøykassen — fire lag med sikkerhet
Symmetrisk kryptering (f.eks. AES) — rask, men krever at begge parter har samme hemmelige nøkkel.
Offentlig nøkkelkryptografi — løser nøkkelfordeling og digitale signaturer; pensum utelater detaljert utledning av RSA, men prinsippet om nøkkelpar er sentralt i TLS og sikker e-post.
Meldingsintegritet og digitale signaturer (bl.a. HMAC og hash + signatur) — garanterer at innholdet ikke er endret og at avsenderen kan verifiseres.
Brannmurer (kap. 8.9.1) — tilstandsløs og tilstandsfull pakkefiltrering, applikasjons-gateway og ACL-regler som styrer hvilken trafikk som slipper gjennom.
Sjekk om du har forstått de viktigste konseptene fra dette kapittelet. Spørsmålene følger pensum for kapittel 8 i Kurose & Ross (8. utg.): 8.1, 8.2 uten detaljert RSA, 8.3, 8.5 innledning og 8.5.1, 8.6, 8.7 innledning og 8.7.1, 8.8, 8.9 innledning og 8.9.1 — se pensumoversikten for full liste.
Spørsmål 1 · Lett
Hva beskriver best CIA-triaden?
Riktig. Konfidensialitet, integritet og tilgjengelighet er grunnmålene i informasjonssikkerhet.
Spørsmål 2 · Middels
Hvilken påstand er mest korrekt om symmetrisk kryptering i praksis?
Riktig. Symmetrisk kryptering er rask og egnet for store datamengder med delt hemmelig nøkkel.
Spørsmål 3 · Vanskelig
I et større nettverk, hvilken vurdering om asymmetrisk kryptering er faglig best?
Riktig. Asymmetrisk kryptografi bruker nøkkelpar og er nyttig for nøkkeldeling og signaturer.
Spørsmål 4 · Middels
Hvilken påstand er mest korrekt om hybrid kryptering i praksis?
Riktig. Hybridoppsett bruker asymmetri til nøkkelutveksling og symmetri til selve datakrypteringen.
Spørsmål 5 · Lett
Hva beskriver best AES?
Riktig. AES er en symmetrisk blokk-krypteringsalgoritme som brukes bredt i moderne protokoller.
Spørsmål 6 · Vanskelig
I et større nettverk, hvilken vurdering om offentlig nøkkel og nøkkelpar er faglig best?
Riktig. Private nøkkel holdes hemmelig, mens offentlig nøkkel kan deles for verifisering og nøkkelavtale.
Spørsmål 7 · Middels
Hvilken påstand er mest korrekt om hashfunksjoner i praksis?
Riktig. En kryptografisk hash gir et kort fingeravtrykk som endres dramatisk ved små inputendringer.
Spørsmål 8 · Vanskelig
I et større nettverk, hvilken vurdering om MAC (Message Authentication Code) er faglig best?
Riktig. MAC gir integritet og autentisering mellom parter som deler en hemmelig nøkkel.
Spørsmål 9 · Lett
Hva beskriver best digitale signaturer?
Riktig. Digitale signaturer gir verifiserbar avsenderautentisering og ikke-benektbarhet.
Spørsmål 10 · Vanskelig
I et større nettverk, hvilken vurdering om sertifikater og CA er faglig best?
Riktig. Et sertifikat binder identitet til offentlig nøkkel via en signatur fra en betrodd CA.
Spørsmål 11 · Middels
Hvilken påstand er mest korrekt om TLS-handshake i praksis?
Riktig. TLS-handshake etablerer kryptoparametre og felles sesjonsnøkler før applikasjonsdata sendes.
Spørsmål 12 · Vanskelig
I et større nettverk, hvilken vurdering om sesjonsnøkler er faglig best?
Riktig. Sesjonsnøkler er kortlivede nøkler brukt for effektiv kryptering av en enkelt forbindelse.
Spørsmål 13 · Lett
Hva beskriver best Perfect Forward Secrecy?
Riktig. PFS gjør at kompromittering av langsiktig nøkkel ikke avslører gamle sesjoner.
Spørsmål 14 · Middels
Hvilken påstand om ciphertext-only-angrep (mot kryptering) er mest korrekt?
Riktig. Ved ciphertext-only har angriperen kun chiffertekst tilgjengelig — et svakest mulig utgangspunkt for angriperen, men fortsatt relevant i nettverk med avlytting.
Spørsmål 15 · Vanskelig
I et større nettverk, hvilken vurdering om stateless pakkefiltrering er faglig best?
Riktig. Stateless filtrering matcher pakker mot regler uten kontekst om tidligere pakker i flyten.
Spørsmål 16 · Middels
Hvilken påstand er mest korrekt om stateful brannmur i praksis?
Riktig. Stateful brannmur holder tilstand på forbindelser og kan tillate returtrafikk dynamisk.
Spørsmål 17 · Lett
Hva er hovedideen med en applikasjons-gateway i brannmur (kap. 8.9.1)?
Riktig. Applikasjons-gatewayen er en spesialisert brannmur som forstår applikasjonsprotokollen og kan håndheve policy på innholdsnivå.
Spørsmål 18 · Vanskelig
I et større nettverk, hvilken vurdering om DDoS-mekanismen er faglig best?
Riktig. DDoS bruker mange distribuerte kilder for å overbelaste mål og vanskeliggjøre filtrering.
Spørsmål 19 · Middels
Hva beskriver best IP-spoofing i nettverkssammenheng (kap. 8.1)?
Riktig. IP-spoofing handler om å utgi pakker for å komme fra en annen verts IP-adresse — et klassisk problem i uautentiserte best-effort-nett.
Spørsmål 20 · Vanskelig
I et større nettverk, hvilken vurdering om man-in-the-middle-angrep er faglig best?
Riktig. MITM plasserer angriper i trafikkbanen for avlytting, endring eller injeksjon av data.
Spørsmål 21 · Middels
Hvilken påstand er mest korrekt om replay-angrep i praksis?
Riktig. I replay gjenbrukes gyldige meldinger senere for å lure systemet til å akseptere gammel handling.
Spørsmål 22 · Vanskelig
I et større nettverk, hvilken vurdering om nonces og tidsstempler er faglig best?
Riktig. Unike nonces/tidsstempler gjør meldinger ferske og reduserer replay-risiko.
Spørsmål 23 · Lett
Hva beskriver best DNS-spoofing?
Riktig. DNS-spoofing forsøker å få klienter til å slå opp feil IP og dermed kontakte angriperstyrte mål.
Spørsmål 24 · Middels
Hvilken påstand om IPsec transport- versus tunnel-modus (kap. 8.7.1) er mest korrekt?
Riktig. Transport-modus beskytter data mellom endepunkter uten å skjule hele den opprinnelige IP-headeren; tunnel-modus brukes særlig når to sikkerhetsgatewayer skal «trekke hele pakken» inn i en kryptert tunnel.
Spørsmål 25 · Vanskelig
I et større nettverk, hvilken vurdering om brannmur og SYN-flooding (kap. 8.9.1) er faglig best?
Riktig. Brannmurer brukes blant annet til å dempe DoS/DDoS inkludert SYN-flooding ved å filtrere eller forvalte tilkoblingsoppsett (jf. tilstandsfull filtrering og begrensning av åpne halvforbindelser).