SI24434A

SI24434A - Sistem podeljevanja spletnih pečatov zaupanja z detekcijo napadov s preusmeritvijo IP naslova

Info

Publication number: SI24434A
Application number: SI201300194A
Authority: SI
Inventors: LipiÄŤnik AleĹˇ; ArtiÄŤek Jure; Klasinc David
Original assignee: Connet D.O.O.
Priority date: 2013-07-17
Filing date: 2013-07-17
Publication date: 2015-01-30
Also published as: WO2015009247A1

Abstract

Sistem podeljevanja spletnih pečatov zaupanja z detekcijo napadov s preusmeritvijo IP naslova omogoča pridobitev dodatne varnosti obiskovalcem spletnih strani. Spletni pečati z detekcijo, napadov z preusmeritvijo IP naslova (pharming) rešujejo problem odkrivanja napada na spletno mesto s tehnikami pharming, IP spoofing , DNS spoofing, ki v bistvu potvarjajo IP naslov spletnega mesta na določeni spletni domeni npr. 'www.moja domena.si'. Napadalec v takem primeru postavi kopijo spletnega mesta na drugem IP naslovu in z preusmeritvijo doseže, da zahteve za prikaz spletnih strani prispejo na lažni steznik. Izum omogoča, da je obiskovalec takšne spletne strani takoj obveščen o nepravilnosti/napadu in sicer tako, da je spletni pečat prikazan kot nepreverjen, ali pa v celoti izgine, ker ga je napadalec odstranil.

Description

SISTEM PODELJEVANJA SPLETNIH PEČATOV ZAUPANJA Z DETEKCIJO NAPADOV S PREUSMERITVIJO IP NASLOVA

Izum posega na področje varnosti uporabe interneta z vidika končnega uporabnika - obiskovalca spletnih strani.

Predemet zaupanj a zaupanj a izkazujejo izuma je sistem podeljevanja spletnih in postopek preverjanja verodostojnosti na spletnih straneh, s katerimi se podeljeni certifikati zaupanja.

pečatov pečatov običajno

Obiskovalci spletnih strani A so vse pogosteje žrtve spletnih prevar. Velik del spletnih prevar uporablja lažne spletne strani, ki so kopija originalnih strani kakšnega ponudnika. Za zaščito in ugotavljanje avtentičnosti spletnih strani je na voljo več ponudnikov t.i. izdajateljev certifikatov zaupanja B, ki s podelitvijo certifikata jamčijo verodostojnost strani oz. spletnega mesta v celoti. Prejemnik takšnega certifikata C na svojih straneh objavi pečat, najpogosteje v obliki sličice E. Ker je sličice pečatov zelo enostavno kopirati, se pri tehnološko naprednejših izdajateljih le-te servirajo iz strežnika izdajatelja in vsebujejo povezavo nazaj na strežnik izdajatelja. Preko takšne povezave lahko obiskovalec s klikom na pečat preveri avtentičnost pečata in strani v celoti.

Naprednejši sistemi zmorejo preveriti ime spletnega mesta (domene) iz katere prihaja zahteva za prikaz pečata. Na ta način lahko sistem certificiranj a v precej primerih zazna kopiranje spletnih mest s pečatom, ker se pečat pač zahteva iz napačnega strežnika.

Bolj napredne vrste napadov pa ohranijo ime strežnika na kopiji in potvorijo IP naslov strežnika tako, da kaže na lažno • · · spletno stran. V takem primeru osnovna detekcija imena strežnika odpove. Tovrstne napade na spletna mesta zasledimo pod imeni 'pharming', 'DNS spoofing', 'IP spoofing'.

Patenti ki obravnavajo področje detekcije 'pharming', 'DNS spoofing', 'IP spoofing' napadov je kar precej, vendar nobeden ne posega na področje detekcije preko storitve izdajanja certifikatov na spletu.

Patent US 2008/0060054 Al obravnava detekcijo pharming napada na osnovi poizvedbe preko dveh različnih infrastruktur izhajajoč iz delovne postaje odjemalca. Predlagani patent ugotavljanje pravilnosti IP naslova začne z zahtevo iz strežnika, ki je potencialno napaden, s čimer je metoda bistveno drugačna.

Patent US 2008/0055928 Al obravnava detekcij na osnovi t.i. 'belega seznama' (white pripadajočih veljavnih IP naslovov. Tudi uporablja t.i. 'beli seznam', vendar je nekoliko drugačna.

o pharming napada list) domen in pričujoči sistem uporaba le tega

Patent US 2009/0208020 Al obravnava detekcijo pharming napada preko programske opreme na strani odjemalca - t.i. password managerj a.

S sistemom in postopkom po izumu, lahko sistem certificiranj a zazna tudi tovrstne napade in ustrezno ukrepa, npr. obvesti obiskovalca o nepreverjenem pečatu zaupanja z ustrezno spremembo pečata.

Obiskovalec spletne strani s tem pridobi dodatno varnost. Tako zaščitena spletna stran bo vedno izkazovala stanje 'nepreverjeno', tudi v primerih, ko je bil obiskovalčev računalnik 'okužen' z virusom, ki preusmerja IP naslov določene domene.

Podobne rešitve prijavitelju niso poznane.

Izum je možno aplicirati v kateremkoli sistemu certificiranj a spletnih mest, ki izpolnjuje naslednje pogoje;

- v sistemu nastopajo tri entitete: izdajatelj certifikata B, prejemnik certifikata C in obiskovalec A spletne strani prejemnika certifikata C;

- izdajatelj certifikata B razpolaga s tehnologijo (spletni strežnik in spletna aplikacija), ki preverja zahtevke spletnega brskalnika obiskovalca A za prikaz pečata D. Pri tem ni nujno, da je pečat ravno slika, kar je najpogostejša oblika. Pečat je lahko tudi zvočni ali drugačen zapis, ki ga lahko človek zazna in prepozna;

- prejemnik certifikata C ima spletno mesto na katerem je objavil pečat po navodilih la izdajatelja certifikata B;

- prikaz pečata se zahteva s strežnika izdajatelja certifikata B, ki tudi preverja upravičenost zahteve za prikaz.

Izum ponazarjajo naslednje slike:

Slika 1: shematski prikaz sistema certificiranj a spletnih mest s certifikati zaupanja, ki vključuje nastopajoče entitete in podatkovne transakcije.

Slika 2: diagram poteka preverjanja verodostojnosti pečata zaupanja z vključeno detekcijo pravilnosti IP naslova spletnega mesta prejemnika certifikata C.

Slika 3: simbolični prikaz pečata zaupanja.

Ogled internetnih strani se začne z zahtevo za ogled strani 2a, ki jo sproži obiskovalec A na svoji delovni postaji s pomočjo spletnega brskalnika.

Strežnik zahtevane strani odgovori z vsebino spletne strani 2b. V kolikor je zahtevana stran v lasti prejemnika certifikata C in opremljena s pečatom po navodilih la izdajatelja certifikata B, brskalnik obiskovalca A nadaljuje z zahtevo za prikaz pečata 2c na strežnik izdajatelja certifikata B. Strežnik izdajatelja certifikata B odgovori z vsebino pečata 2d, ki jo brskalnik obiskovalca A nato prikaže oziroma predvaja.

Neodvisno od zgornjega postopka mora, v skladu z izumom, prejemnik certfikata zaupanja C na spletno mesto namestiti tudi programsko kodo, ki od strežnika izdajatelja certifikata B periodično zahteva lb podatkovni žeton T. Izdajatelj certifikata B na to zahtevo pošlje odgovor lc z veljavnim podatkovnim žetonom T, ki se shrani lokalno na strežniku

prejmnika	certifikata C	. Če zahteva	lb ni	bila prepoznana kot
veljavna,	izdaj atelj	certifikata	B v	odgovoru lc vrne
neveljaven/prazen žeton	T.
Prej emnik	certifikata	C v nadaljevanju	podatkovni žeton T

uporabi za pošiljanje obiskovalcem, ki zahtevajo ogled spletne strani 2a. Podatkovni žeton T se skupaj z zahtevano vsebino spletne strani 2b pošlje npr.v obliki t.i. 'piškotka' (cookie) ali na drug ustrezen način.

Ko je spletna stran v celoti prikazana v brskalniku obiskovalca A, lahko brskalnik začne preverjati avtentičnost pečata in posledično celotne strani, da se obiskovalec A zaščiti pred morebitnimi zlorabami. V ta namen pošlje zahtevo za prikaz pečata 2c izdajatelju certifikata B. Zahtevi za prikaz pečata 2c je dodan tudi podatkovni žeton T, ki je bil sprejet hkrati z vsebino spletne strani 2b od prejemnika certifikata C. Izdajatelj certifikata B na osnovi takšne zahteve lahko preveri, ali je zahteva prišla za pravo domeno, pa tudi ali je ta domena na pravem IP naslovu.

Po preverjanju, ki ga ponazarja Slika 2, izdajatelj certifikata B vrne pečat zaupanja v obliki, ki ustreza rezultatu preverjanja, torej 'preverjeno' D ali 'nepreverjeno' E, kot to v eni različici simbolično prikazuje slika 3.

Preverjanje poteka v treh korakih. Naprej se preveri ali je žeton T sploh prisoten v zahtevi za prikaz pečata 2c. V naslednjem koraku se preveri ali je žeton T veljaven, kar se ugotavlja iz pričakovane oblike zapisa žetona T in vsebine zapisa. Veljavnost žetona T je časovno omejena, kar je zapisano tudi v vsebini žetona.

V zadnjem koraku se preveri še veljavnost IP naslova strežnika prejemnka certifikata C. Del vsebine žetona T so tudi:

- enoznačna oznaka prejemnka certifikata C,

- enoznačna oznaka domene za katero je certifikat veljaven,

- IP naslov strežnika prejemnka certifikata C, s katerega je bila podana zahteva lb za žeton T.

IP naslov iz žetona T se primerja z veljavnimi IP naslovi domene na kateri prejemnik certifikata C prikazuje svoje spletne strani. Seznam veljavnih IP naslovov (white-list) prijavi prejemnik certifikata C.

Da bi sistem zaščite deloval mora izdajatelj certifikata B izpolniti nekaj predpogojev:

- izdajatelj certifikatov B zaupanja mora razpolagati z ustreznim strežnikom, programsko opremo in podatkovno bazo 3, ki omogoča opisane transakcije;

- izdajatelj certifikatov B mora v podatkovno bazo 3 registrirati/ zapisati prejemnika certifikata C, njegove spletne domene, ki naj bodo zaščitene in seznam veljavnih IP naslovov za posamezno domeno (white-list);

- prejemnik certifikata C mora na domeno, ki ji pripada certifikat zaupanja namestiti program pečata in program za osveževanje žetona T, izdajatelja certifikata B.

skladno z navodili la

Claims

PATENTNI ZAHTEVKI

1. Sistem podeljevanja spletnih pečatov zaupanja z detekcijo napadov s preusmeritvijo IP naslova za varno uporabo interneta obiskovalca spletnih strani značilen po tem, da vključuj e:

izdajatelja certifikatov (B), ki razpolaga z infrastrukturo, ki vsebuje najmanj računalniški strežnik z ustrezno programsko opremo, podatkovno bazo (3) in internetno povezavo, pri čemer se v bazo podatkov (3) vpiše prejemnike certifikatov (C), njihove spletne domene in veljavne IP naslove teh domen;

prejemnika certifikatov (C) , ki razpolaga s spletno domeno nameščeno na strežnik, na katerem ima delujoče spletno mesto z eno ali več spletnimi stranmi, pri čemer se na spletno mesto namesti pečat po navodilih (la) izdajatelja certifikata (B) in programska koda, ki od strežnika izdajatelja certifikata (B) periodično zahteva (lb) podatkovni žeton (T).

obiskovalca certifikata informacijo prej emnika

Postopek preverjanja verodostojnosti pečatov zaupanja na spletni strani prejemnika (C) značilen po tem, da se skupaj z zahtevo (
2c) za prikaz pečata iz delovne naprave (A) spletne strani pošlje izdajatelju (B) tudi podatkovni žeton (T), ki nosi o veljavnem IP naslovu spletnega mesta certifikatov (C), na osnovi katerega izdajatelj certifikatov (B) ugotovi veljavnost zahteve (2c) .
3. Postopek po zahtevku 2, značilen po tem, da se podatkovni žeton (T) prenese v delovno napravo obiskovalca (A) spletne strani hkrati z vsebino spletne strani (2b).
4. Postopek po zahtevku 2, značilen po tem, da se podatkovni žeton (T) periodično prenese iz strežnika izdajatelja certifikata (B) v strežnik prejemnika certifikata (C) s pomočjo programske kode, ki od strežnika izdajatelja certifikata (B) periodično zahteva (ib) podatkovni žeton (T) .
5. Postopek po predhodnih zahtevkih, značilen po tem, da se najprej preveri ali je žeton (T) sploh prisoten v zahtevi za prikaz pečata (2c); v naslednjem koraku se preveri ali je žeton (T) veljaven, kar se ugotavlja iz pričakovane oblike zapisa žetona (T) in vsebine zapisa; v zadnjem koraku se preveri še veljavnost IP naslova strežnika prejemnika certifikata (C), pri čemer se IP naslov iz žetona (T) primerja z veljavnimi IP naslovi domene na kateri prejemnik certifikata (C) prikazuje svoje spletne strani.
6. Postopek po predhodnih zahtevkih, značilen po tem, da je del vsebine žetona (T) enoznačna oznaka prejemnka certifikata (C), enoznačna oznaka domene za katero je certifikat veljaven in IP naslov strežnika prejemnka certifikata (C) , s katerega je bila podana zahteva (ib) za podatkovni žeton (T).