Advanced IT Security (Summary)
Lecture notes, Studybook & Academic papers
Lecturer : Various
Exams : 1 (21 April 2023)
IT Security College 1 – Introductie
Datum : 27-01-2022
Subject : Advanced Security
Lecturer : Nick van Benschop
Tentamen:
Tentamenstof:
o Artikelen belangrijkste uit reader
o Hoofdstukken boek: ‘Secrets & Lies, Digital Security in a networked world’ van Bruce Schneier.
Hoofdstukken: 2,3,4, 5,6,7,8,9, 10,11, 12,13 15 ,17 19, 20, 21,22,24,25
o Slides zijn ook stof tentamen
Tentamen is fysiek op de campus in computerlokaal en GESLOTEN boek.
TIP: één tentamenvraag gaat over de oefeningen die we hebben behandeld in de Slides.
TIP: Slides kaarten meerdere hoofdonderwerpen aan, maar ook andere onderwerpen kunnen in het
tentamen zitten.
TIP: Doe de huiswerkopdracht, deze levert 0,2 punt op op het eindtentamencijfer (dus van 5.3 naar 5.5)
De dreigingen tussen de digitale- en fysieke wereld verschillen niet heel veel met elkaar. We kennen: Diefstal, fraude,
vernieling, afpersing etc. Zelfs de methodes waarop dit digitaal gebeurd lijken erg op hoe we het ‘analoog’ zouden
doen. Dus eigenlijk spreken we over oude (of dezelfde) dreigingen in een nieuw jasje. Waardoor onze behoeftes wat
betreft veiligheid niet veel afwijken denk bijvoorbeeld aan: privacy, vertrouwelijkheid, betrouwbaarheid van
informatie en beschikbaarheid van diensten.
Maar er zijn ook verschillen tussen de digitale dreigingen waarmee we dagelijks worden geconfronteerd- en hun
analoge evenknie: (1) Aanvallen komen vaker voor, (2)Aanvallen hebben meer bereik (wereldwijd), (3) Aanvallen zijn
vaak op grotere schaal en (4) Aanvallen kunnen méér schade aanrichten. Deze verschillen worden veroorzaakt door:
Automatisering: arbeidsintensief – en herhalend werk kan nu worden geautomatiseerd en volledig worden
overgenomen door een computer. Dit maakt dat kosten/moeite lager zijn om een aanval uit te voeren en dus
ook doelen met een lage payoff de moeite waard zijn om aan te vallen.
Afstand: De dader hoeft niet langer in hetzelfde gebied (dan wel hetzelfde land) te zijn als zijn/haar doel.
Doordat aanvallen op afstand op afstand kunnen worden uitgevoerd, is het lastig mensen te vervolgen.
Omdat aanvallen landsgrenzen overschrijden is het lastig om te bepalen welke wetten van welk land van
toepassing zijn. Het zijn immers wereldwijd bereik en dreigingen vanuit de hele wereld.
Verspreiding van technieken/tools (propagation): Software en aanvalstechnieken kunnen eenvoudig online
verspreid worden en gedeeld (i.e. fora) waardoor de aanvaller niet langer veel eigen kennis/vaardigheid nodig
heeft om een aanval uit te voeren.
Het doel van security ligt in de basis bij het beveiligen van data. Het klassieke model hierop is de CIA triad:
Confidentiality: of vertrouwelijkheid
Integrity: betrouwbaarheid
Availability: beschikbaarheid
In aanvuling hierop kunnen we ook kijken naar:
Non-repudiation (onweerlegbaarheid) & Controleerbaarheid en inzichtelijkheid (zie Parkerian Hexad)
Shadow IT: IT waar de organisatie géén goed zicht op heeft, of onbeheerd is.
,Figure 1 : Twee modellen van informatieveiligheid bij elkaar. CIA triad en Parkerian Hexad.
Bruce Scheier pleit ervoor om verder te kijken dan alleen Data. Hij stelt dat de factoren (1) People, (2) Processes en
(3) Technology centraal staan. Alle 3 moeten goed functioneren voor veiligheid. Maar vaak is de mens de zwakste
schakel.
Als het gaat om IT-security ligt vaak de nadruk op preventieve maatregelen (want voorkomen is beter dan genezen),
maar eigenlijk is het niet mogelijk om IT-risico’s 100% te voorkomen. Dit levert het gevaar op van tunnelvisie omdat
we focussen op deze preventieve maatregelen. Daarom moeten we een goede IT-strategie hebben om ons te blijven
ontwikkelen o.b.v. nieuwe bedreigingen. Daarom zijn ook Detecterende en reactieve maatregelen belangrijk als de
preventieve faalt. Maar voor deze laatste twee is vaak weinig aandacht/funding. Maar security is juist op z’n sterkst
als preventieve, detectieve en reactieve maatregelen elkaar aanvullen.
Encryptie:
Encryptie gaat om het versleutelen van informatie welke alleen bestemd is voor de beoogde ontvanger. Encryptie
zorgt dus niet zozeer voor beveiliging waardoor onbevoegden informatie niet kunnen openen MAAR zorgt ervoor dat
informatie onleesbaar is voor onbevoegden. Belangrijke termen hierbij zijn:
Plaintext: De tekst die leesbaar is voor computers en mensen (ontsleuteld/decrypted)
Ciphertext: De tekst die niet leesbaar is voor computers en mensen zonder dat deze is ontsleuteld
(decrypted). In dat geval spreken we over encrypted informatie
Key: de digitale ‘sleutel’ om ciphertext om te zetten naar plaintext en vice versa.
Binnen encryptie zijn twee fundamentele zorgen:
Hoe zorgt men ervoor dat niemand het algoritme kan kraken?
o In de praktijk is het niet zozeer een kwestie dat een algoritme niet gekraakt kan worden, maar vooral
een kwestie van hoe lang het duurt totdat het algoritme wordt gekraakt. Een algoritme ontwikkelen
die onkraakbaar is kan dus niet. Wat we wel kunnen doen is het ontmoedigen van het kraken door
het héél lastig te maken het algoritme te kraken zodat het soms Jaren duurt totdat het gekraakt is (en
het dus eigenlijk de moeite niet waard is).
Hoe kan men mensen toevoegen/verwijderen? Hoe deelt men de key?
o Hoe delen we veilig de key met nieuwe gebruikers- en zorgen we dat oude gebruikers niet mee
kunnen lezen?
Symmetrische Encryptie:
Bij Symmetrische encryptie wordt dezelfde sleutel (shared Key) gebruikt voor het versleutelen (encryption) en het
ontsleutelen (decryption) van informatie. Het nadeel hiervan is het veilig distribueren van de shared key en
geheimhouding van deze keys.
,Figure 2: Symmetrische Encryptie
Asymmetrische Encryptie (Public Key Encryption):
Bij Asymmetrische encryptie wordt gebruik gemaakt van een aparte sleutel voor versleuteling (public key) en een
aparte sleutel voor decryption (private key). Iedere persoon heeft zijn eigen public- en private key, waarbij de private
key NOOIT te herleiden mag zijn van de public key. De public key wordt gedeeld met meerdere personen (i.e.
gesprekspartners) maar de private key niet.
Hybride Encryptie (EPKE / End-to-end)
Volledige Asymmetrische encryptie kost heel veel rekenkracht en is dus langzaam. Daarom wordt vaak gekozen voor
een hybride tussen de twee. Een voorbeeld hiervan is Enveloped Public Key Encryption (EPKE)
(1) (3)
(2)
(2)
(4)
(5)
Figure 3: Encryptie: (1) Verzender versleuteld boodschap met symmetrisch algoritme via een random
key (zogenaamde session key), (2) Zender versleuteld session key met public key van beoogde ontvanger
(3) zender stuurt session key & boodschap naar ontvanger. Decryptie: (4) Ontvanger ontsleuteld session
key met eigen private key (die hoort bij eigen public key), (5) Ontvanger ontsleuteld boodschap met de
ontvangen session key.
NOTA BENE: De private key BLIJFT bij end-to-end altijd op de device staan en is dus niet in bezit van de fabrikant of
ontwikkelaar. De enige manier onderscheppen is dus dat men fysiek de device heeft. Dit noemen we ook wel End-to-
end-encryptie. Waarbij de servers van de organisatie alleen worden gebruikt voor de opslag/doorgeven van
(onleesbare) berichten. Organisaties kunnen dus zelf niet meelezen (denk Whatsapp). De rol van encryptie is vooral
het borgen van vertrouwelijkheid (zodat onbevoegden niet mee kunnen lezen). Maar encryptie kan ook voor andere
doeleinden gebruikt worden:
, Figure 4: Rollen van encryptie binnen IT-security.
Message Authentication codes: Checkt of er wijzigingen zijn geweest aan een bericht (integrity).
One-Way Hash: is een handtekening of digitale vingerafdruk. Om te bepalen van WIE informatie komt (i.e.
authenticatie) De schrijven van de boodschap berekent een hash-code en stuurt deze mee samen met het
bericht, de ontvanger krijgt de boodschap en berekent zelf de hash code. Als beiden matchen dan is de
inhoud niet aangepast.
(Persoon B)
(Persoon a)
Figure 5: One-way hash
Digital Signatures: een digitale handtekening welke kan gebruikt worden voor Authenticatie. Is vergelijkbaar
met een MAC. Maar zonder een shared key (hash). Het is vergelijkbaar met Asymmetrische encryptie, maar
dan omgekeerd. Het bericht wordt encrypt met de private key maar decrypt met de public key. Hierdoor kan
iedereen het bestand lezen, maar de handtekening bestaat uit de private key + Boodschap. (denk DOCUSIGN)
Lecture notes, Studybook & Academic papers
Lecturer : Various
Exams : 1 (21 April 2023)
IT Security College 1 – Introductie
Datum : 27-01-2022
Subject : Advanced Security
Lecturer : Nick van Benschop
Tentamen:
Tentamenstof:
o Artikelen belangrijkste uit reader
o Hoofdstukken boek: ‘Secrets & Lies, Digital Security in a networked world’ van Bruce Schneier.
Hoofdstukken: 2,3,4, 5,6,7,8,9, 10,11, 12,13 15 ,17 19, 20, 21,22,24,25
o Slides zijn ook stof tentamen
Tentamen is fysiek op de campus in computerlokaal en GESLOTEN boek.
TIP: één tentamenvraag gaat over de oefeningen die we hebben behandeld in de Slides.
TIP: Slides kaarten meerdere hoofdonderwerpen aan, maar ook andere onderwerpen kunnen in het
tentamen zitten.
TIP: Doe de huiswerkopdracht, deze levert 0,2 punt op op het eindtentamencijfer (dus van 5.3 naar 5.5)
De dreigingen tussen de digitale- en fysieke wereld verschillen niet heel veel met elkaar. We kennen: Diefstal, fraude,
vernieling, afpersing etc. Zelfs de methodes waarop dit digitaal gebeurd lijken erg op hoe we het ‘analoog’ zouden
doen. Dus eigenlijk spreken we over oude (of dezelfde) dreigingen in een nieuw jasje. Waardoor onze behoeftes wat
betreft veiligheid niet veel afwijken denk bijvoorbeeld aan: privacy, vertrouwelijkheid, betrouwbaarheid van
informatie en beschikbaarheid van diensten.
Maar er zijn ook verschillen tussen de digitale dreigingen waarmee we dagelijks worden geconfronteerd- en hun
analoge evenknie: (1) Aanvallen komen vaker voor, (2)Aanvallen hebben meer bereik (wereldwijd), (3) Aanvallen zijn
vaak op grotere schaal en (4) Aanvallen kunnen méér schade aanrichten. Deze verschillen worden veroorzaakt door:
Automatisering: arbeidsintensief – en herhalend werk kan nu worden geautomatiseerd en volledig worden
overgenomen door een computer. Dit maakt dat kosten/moeite lager zijn om een aanval uit te voeren en dus
ook doelen met een lage payoff de moeite waard zijn om aan te vallen.
Afstand: De dader hoeft niet langer in hetzelfde gebied (dan wel hetzelfde land) te zijn als zijn/haar doel.
Doordat aanvallen op afstand op afstand kunnen worden uitgevoerd, is het lastig mensen te vervolgen.
Omdat aanvallen landsgrenzen overschrijden is het lastig om te bepalen welke wetten van welk land van
toepassing zijn. Het zijn immers wereldwijd bereik en dreigingen vanuit de hele wereld.
Verspreiding van technieken/tools (propagation): Software en aanvalstechnieken kunnen eenvoudig online
verspreid worden en gedeeld (i.e. fora) waardoor de aanvaller niet langer veel eigen kennis/vaardigheid nodig
heeft om een aanval uit te voeren.
Het doel van security ligt in de basis bij het beveiligen van data. Het klassieke model hierop is de CIA triad:
Confidentiality: of vertrouwelijkheid
Integrity: betrouwbaarheid
Availability: beschikbaarheid
In aanvuling hierop kunnen we ook kijken naar:
Non-repudiation (onweerlegbaarheid) & Controleerbaarheid en inzichtelijkheid (zie Parkerian Hexad)
Shadow IT: IT waar de organisatie géén goed zicht op heeft, of onbeheerd is.
,Figure 1 : Twee modellen van informatieveiligheid bij elkaar. CIA triad en Parkerian Hexad.
Bruce Scheier pleit ervoor om verder te kijken dan alleen Data. Hij stelt dat de factoren (1) People, (2) Processes en
(3) Technology centraal staan. Alle 3 moeten goed functioneren voor veiligheid. Maar vaak is de mens de zwakste
schakel.
Als het gaat om IT-security ligt vaak de nadruk op preventieve maatregelen (want voorkomen is beter dan genezen),
maar eigenlijk is het niet mogelijk om IT-risico’s 100% te voorkomen. Dit levert het gevaar op van tunnelvisie omdat
we focussen op deze preventieve maatregelen. Daarom moeten we een goede IT-strategie hebben om ons te blijven
ontwikkelen o.b.v. nieuwe bedreigingen. Daarom zijn ook Detecterende en reactieve maatregelen belangrijk als de
preventieve faalt. Maar voor deze laatste twee is vaak weinig aandacht/funding. Maar security is juist op z’n sterkst
als preventieve, detectieve en reactieve maatregelen elkaar aanvullen.
Encryptie:
Encryptie gaat om het versleutelen van informatie welke alleen bestemd is voor de beoogde ontvanger. Encryptie
zorgt dus niet zozeer voor beveiliging waardoor onbevoegden informatie niet kunnen openen MAAR zorgt ervoor dat
informatie onleesbaar is voor onbevoegden. Belangrijke termen hierbij zijn:
Plaintext: De tekst die leesbaar is voor computers en mensen (ontsleuteld/decrypted)
Ciphertext: De tekst die niet leesbaar is voor computers en mensen zonder dat deze is ontsleuteld
(decrypted). In dat geval spreken we over encrypted informatie
Key: de digitale ‘sleutel’ om ciphertext om te zetten naar plaintext en vice versa.
Binnen encryptie zijn twee fundamentele zorgen:
Hoe zorgt men ervoor dat niemand het algoritme kan kraken?
o In de praktijk is het niet zozeer een kwestie dat een algoritme niet gekraakt kan worden, maar vooral
een kwestie van hoe lang het duurt totdat het algoritme wordt gekraakt. Een algoritme ontwikkelen
die onkraakbaar is kan dus niet. Wat we wel kunnen doen is het ontmoedigen van het kraken door
het héél lastig te maken het algoritme te kraken zodat het soms Jaren duurt totdat het gekraakt is (en
het dus eigenlijk de moeite niet waard is).
Hoe kan men mensen toevoegen/verwijderen? Hoe deelt men de key?
o Hoe delen we veilig de key met nieuwe gebruikers- en zorgen we dat oude gebruikers niet mee
kunnen lezen?
Symmetrische Encryptie:
Bij Symmetrische encryptie wordt dezelfde sleutel (shared Key) gebruikt voor het versleutelen (encryption) en het
ontsleutelen (decryption) van informatie. Het nadeel hiervan is het veilig distribueren van de shared key en
geheimhouding van deze keys.
,Figure 2: Symmetrische Encryptie
Asymmetrische Encryptie (Public Key Encryption):
Bij Asymmetrische encryptie wordt gebruik gemaakt van een aparte sleutel voor versleuteling (public key) en een
aparte sleutel voor decryption (private key). Iedere persoon heeft zijn eigen public- en private key, waarbij de private
key NOOIT te herleiden mag zijn van de public key. De public key wordt gedeeld met meerdere personen (i.e.
gesprekspartners) maar de private key niet.
Hybride Encryptie (EPKE / End-to-end)
Volledige Asymmetrische encryptie kost heel veel rekenkracht en is dus langzaam. Daarom wordt vaak gekozen voor
een hybride tussen de twee. Een voorbeeld hiervan is Enveloped Public Key Encryption (EPKE)
(1) (3)
(2)
(2)
(4)
(5)
Figure 3: Encryptie: (1) Verzender versleuteld boodschap met symmetrisch algoritme via een random
key (zogenaamde session key), (2) Zender versleuteld session key met public key van beoogde ontvanger
(3) zender stuurt session key & boodschap naar ontvanger. Decryptie: (4) Ontvanger ontsleuteld session
key met eigen private key (die hoort bij eigen public key), (5) Ontvanger ontsleuteld boodschap met de
ontvangen session key.
NOTA BENE: De private key BLIJFT bij end-to-end altijd op de device staan en is dus niet in bezit van de fabrikant of
ontwikkelaar. De enige manier onderscheppen is dus dat men fysiek de device heeft. Dit noemen we ook wel End-to-
end-encryptie. Waarbij de servers van de organisatie alleen worden gebruikt voor de opslag/doorgeven van
(onleesbare) berichten. Organisaties kunnen dus zelf niet meelezen (denk Whatsapp). De rol van encryptie is vooral
het borgen van vertrouwelijkheid (zodat onbevoegden niet mee kunnen lezen). Maar encryptie kan ook voor andere
doeleinden gebruikt worden:
, Figure 4: Rollen van encryptie binnen IT-security.
Message Authentication codes: Checkt of er wijzigingen zijn geweest aan een bericht (integrity).
One-Way Hash: is een handtekening of digitale vingerafdruk. Om te bepalen van WIE informatie komt (i.e.
authenticatie) De schrijven van de boodschap berekent een hash-code en stuurt deze mee samen met het
bericht, de ontvanger krijgt de boodschap en berekent zelf de hash code. Als beiden matchen dan is de
inhoud niet aangepast.
(Persoon B)
(Persoon a)
Figure 5: One-way hash
Digital Signatures: een digitale handtekening welke kan gebruikt worden voor Authenticatie. Is vergelijkbaar
met een MAC. Maar zonder een shared key (hash). Het is vergelijkbaar met Asymmetrische encryptie, maar
dan omgekeerd. Het bericht wordt encrypt met de private key maar decrypt met de public key. Hierdoor kan
iedereen het bestand lezen, maar de handtekening bestaat uit de private key + Boodschap. (denk DOCUSIGN)
