• Название:

    КС 402 Мороз, Печерский Защита информации №12 Ответы на вопросы

  • Размер: 0.04 Мб
  • Формат: DOC
  • или
2. Фішинг — cпроба оманливим шляхом отримати від вас інформацію (зазвичай з допомогою фальшивого веб-сайту).

3. SSL (Secure Sockets Layer - рівень захищених сокетів) - протокол рівня передачі даних, який пропонує захищений канал передачі даних між клієнтом і сервером з використанням аутентифікації, цифрових підписів і шифрування.
Для шифрування/дешифрування трафіку використовується ключ (сертифікат), отриманий клієнтом від сервера.

В основі технології SSL лежать спеціально розроблені криптографічні алгоритми, що використовують поняття публічного і приватного ключів.
Таким чином SSL-сертифікат - це комбінація спеціальним чином згенерованого приватного і публічного ключів, виписана на певне доменне ім'я, програму або IP-адресу.
Публічний і приватний ключі є звичайними текстовими файлами, що містять табульований набір символів.
Протокол SSL гарантує безпечне з'єднання між сервером і браузером користувача.
При використанні каналу, захищеного SSL-сертифікатом, інформація передається в закодованому вигляді по протоколу HTTPS, і розшифрувати її можна тільки за допомогою спеціального ключа, який відомий тільки власнику сертифіката і довіреному Центру сертифікації, який видав даний SSL-сертифікат.
Використання SSL дозволяє вирішити наступні завдання:
забезпечення цілісність інформації (гарантія того, що дані не були змінені в процесі передачі);
підтвердження дійсності сторін, що беруть участь в обміні інформацією (у діалозі);
гарантування безпеки передачі даних (дані передаються по мережі в зашифрованому вигляді).

4. Веб-сайти використовують файли cookie для збору інформації про користуванням сайтом та для надання користувачам можливості персоналізувати свою роботу.
Багато веб-сайтів також використовують файли cookie для зберігання інформації, що забезпечує відповідність між розділами сайту, наприклад візок для покупок або персоналізовані сторінки.
На надійних веб-сайтах файли cookie можуть підвищити продуктивність роботи, дозволяючи сайту збирати відомості про користувача та надаючи змогу пропускати процедуру входу кожного разу під час переходу на сайт.
Проте деякі файли cookie, наприклад, збережені рекламними банерами, можуть становити загрозу для вашої конфіденційності, відслідковуючи відвідані сайти тому їх потрібно видаляти.

8. ASLR (англ.
Address space layout randomization — рандомизация адресного пространства[1], случайное выравнивание адресного пространства[2]) — технология, применяемая в операционных системах, при использовании которой случайным образом изменяется расположение в адресном пространстве процесса важных структур, а именно: образа исполняемого файла, подгружаемых библиотек, кучи и стека.

Технология ASLR должна значительно усложнить успешную эксплуатацию нескольких типов уязвимостей.
Например, даже если при помощи переполнения буфера или другим методом атакующий получит возможность передать управление по произвольному адресу, ему нужно будет угадать, где же именно расположен стек или куча или другие места в памяти в которые он может поместить шелл-код.
Сходные проблемы возникнут и при атаке типа Возврат в библиотеку (return-to-libc), так как атакующий не знает адреса, по которому загружена библиотека.
В данных примерах от нападающего скрыты конкретные адреса.
Если ему не удастся угадать правильный адрес, приложение скорее всего аварийно завершится, тем самым лишив атакующего возможности повторной атаки и привлекая внимание системного администратора.

9. XSS (англ.
Cross Site Scripting — межсайтовый скриптинг) — тип атаки на веб-системы, заключающийся во внедрении в выдаваемую веб-системой страницу вредоносного кода (который будет выполнен на компьютере пользователя при открытии им этой страницы) и взаимодействии этого кода с веб-сервером злоумышленника.
Является разновидностью атаки внедрение кода.

Специфика подобных атак заключается в том, что вредоносный код может использовать авторизацию пользователя в веб-системе для получения к ней расширенного доступа или для получения авторизационных данных пользователя.
Вредоносный код может быть вставлен в страницу как через уязвимость в веб-сервере, так и через уязвимость на компьютере пользователя.

10. Google Chrome