Mustaqil ish mavzu: Seans sathi umumiy risklari

O’ZBEKISTON RESPUBLIKASI AXBOROT TEXNOLOGIYALARI VA KAMUNIKATSIYALARINI RIVOJLANTIRISH VAZIRLIGI MUHAMMAD AL-XORAZMIY NOMIDAGI TOSHKENT AXBOROT TEXNOLOGIYALARI UNIVERSITETI

FAN: Tarmoq xavfsizligi

MUSTAQIL ISH

MAVZU: Seans sathi umumiy risklari

GURUH: 713 - 18

BAJARDI: Suyunov S

TEKSHIRDI: Mo’minova S

TOSHKENT 2020

MAVZU: Seans sathi umumiy risklari

REJA:

1. 
   OSI modeli sathlari
   
2. 
   OSI modeli Seans sathi va uning vazifasi
   
3. 
   Seans sathi umumiy risklari
   
4. 
   Foydalanilgan adabiyotlar va internet saytlari
   
5. 
   Xulosa
   

Mundarija

Kirish----------------------------------------------------------- 4

Asosiy qism

OSI modeli sathlari------------------------------------------- 5

Seans sathi va uning vazifasi-------------------------------- 8

Seans sathi umumy risklari---------------------------------- 9

Foydalanilgan adabiyotlar va internet saytlari------------ 10

Xulosa---------------------------------------------------------- 11

Kirish

OSI – 1980-yillar boshida Halqaro standartlashtirish tashkilotlari – ISO, ITO-T tomonidan tarmoq rivojlanishida muhim o’rin tutgan model ishlab chiqtilar. O’shbu model ochiq tizmlarning o’zaro ishlash modeli (open system interconnection OSI) deb ataladi.

OSI modeli tizimlarning turli sathlarda ozaro ishlashini, ularga standart nom berish va qaysi sath qanday vazifalarni aniqlaydi. Har bir sath tarmoq qurulmalari o’zaro ishlashining ma’lum bir jihati bilan bog’liq bo’ladi.

OSI modelining 7 sathi

Application

Presentation

Session

Transport

Network

Data link

Physical

Asosiy qism

Amaliy sath - maxsus dasturlarning tarmoq bilan o'zaro ta'sirini ta'minlovchi modelning yuqori darajasi:

• 
  ilovalar tarmoq xizmatlaridan foydalanishga imkon beradi:
  
• 
  fayllar va ma'lumotlar bazalariga masofadan kirish,
  
• 
  elektron pochta yuborish;
  
• 
  rasmiy axborotni uzatish uchun mas'uldir;
  
• 
  ilovalar xatolar haqida ma'lumot beradi;
  
• 
  taqdimot darajasiga so'rovlarni shakllantiradi.
  

Amaliy darajadagi protokollar: RDP, HTTP, SMTP, SNMP, POP3, FTP, XMPP, OSCAR, Modbus, SIP, TELNET va boshqalar.

Taqdimot sathi - (eng. presentation layer) protokollarni konvertatsiya qilish va ma'lumotlarni kodlash/dekodlashni ta'minlaydi. Dastur darajasidan olingan dastur so'rovlari taqdimot darajasida tarmoq orqali uzatish uchun formatga aylanadi va tarmoqdan olingan ma'lumotlar dastur formatiga aylanadi. Ushbu darajada, siqishni/ochish yoki shifrlash/parolni hal qilish, shuningdek, so'rovlarni boshqa tarmoq resurslariga qayta yo'naltirish mumkin, agar ular mahalliy sifatida qayta ishlanmasa.

Vakillik darajasi, odatda, qo'shni darajadagi ma'lumotlarni aylantirish uchun oraliq protokol hisoblanadi. Bu ilovalar uchun shaffof tarzda heterojen kompyuter tizimlarida ilovalar o'rtasida almashish imkonini beradi. Ko'rinish darajasi kodni formatlash va konvertatsiya qilishni ta'minlaydi. Kodni formatlash ilovaga ishlov berish uchun ma'lumot olishni kafolatlash uchun ishlatiladi, bu uning uchun mantiqiy bo'ladi. Agar kerak bo'lsa, bu daraja bir ma'lumot formatidan ikkinchisiga o'tishni amalga oshirishi mumkin.

Taqdimot darajasi nafaqat format va ma'lumotlar taqdimoti bilan bog'liq, balki dasturlarda ishlatiladigan ma'lumotlar tuzilmalari bilan ham shug'ullanadi. Shunday qilib, 6 darajasi ularni jo'natishda ma'lumotlarni tashkil etishni ta'minlaydi.

Taqdimot darajasi protokollari: AFP-Apple filing Protocol, ICA-mustaqil komponent arxitekturasi, LPP-engil taqdimot bayonnomasi, NCP-NetWare Core protokoli, NDR - tarmoq ma'lumotlarini takrorlash, xdr-tashqi ma'lumotlar Representatsiyasi, X. 25 PAD-paket Assembler / Disassembler protokoli.

Seans sathi - (eng. session layer) modeli ilovalarni uzoq vaqt davomida bir-biri bilan muloqot qilish imkonini beruvchi aloqa seansining saqlanishini ta'minlaydi. Ushbu daraja sessiyani yaratish/tugatish, axborot almashish, vazifalarni sinxronlashtirish, ma'lumotlarni uzatish huquqini aniqlash va ilovalarning harakatsizligi davrida sessiyani saqlab turishni boshqaradi.

Seans sathi protokollari -  ADSP (AppleTalk Data Stream Protocol), ASP (AppleTalk Session Protocol), H.245 (Call Control Protocol for Multimedia Communication), ISO-SP (OSI Session Layer Protocol (X.225, ISO 8327)), iSNS (Internet Storage Name Service), L2F (Layer 2 Forwarding Protocol), L2TP, NetBIOS (Network Basic Input Output System), PAP (Password Authentication Protocol), PPTP (Point-to-Point Tunneling Protocol), RPC (Remote Procedure Call Protocol), RTCP (Real-time Transport Control Protocol), SMPP (Short Message Peer-to-Peer), SCP (Session Control Protocol), ZIP (Zone Information Protocol), SDP (Sockets Direct Protocol)…

Transport darajasi (eng. transport layer) modeli jo'natuvchidan qabul qiluvchiga ishonchli ma'lumotlarni uzatish uchun mo'ljallangan. Shu bilan birga, ishonchlilik darajasi keng doirada farq qilishi mumkin. Faqatgina asosiy transport funktsiyalarini ta'minlaydigan protokollardan (masalan, qabulni tasdiqlamasdan ma'lumotlarni uzatish funktsiyalari) va bir nechta ma'lumotlar paketlarini to'g'ri ketma-ketlikda etkazib berishni kafolatlaydigan protokollarga qadar, bir nechta ma'lumotlar oqimlarini ko'paytirib, ma'lumotlar oqimini boshqarish mexanizmini ta'minlaydi va qabul qilingan ma'lumotlarning ishonchliligini kafolatlaydi. Misol uchun, UDP bir datagramdagi ma'lumotlarning yaxlitligini nazorat qilish bilan cheklangan va paketning to'liq yo'qolishi yoki paketlarni takrorlash qobiliyatini istisno qilmaydi, ma'lumotlar paketlarini olish tartibini buzadi; TCP ma'lumotlar yo'qotilishi yoki ularni qabul qilish yoki takrorlash tartibini buzishni bartaraf etadigan ishonchli uzluksiz ma'lumotlarni uzatishni ta'minlaydi, ma'lumotlarni katta qismlarga ajratish va aksincha, parchalarni bitta paketga yopishtirishi mumkin.

Transport sathi protokollari – TCP, UDP, ATP, CUDP, DCCP, FCP, NBF, NCP, SPX…

Tarmoq darajasi (ingliz tili. tarmoq qatlami) modeli ma'lumotlarni uzatish yo'lini aniqlash uchun mo'ljallangan. Mantiqiy manzillar va nomlarni jismoniy, eng qisqa marshrutlarni aniqlash, kommutatsiya va marshrutlash, muammolarni kuzatish va tarmoqdagi "tiqilish" ga etkazish uchun mas'uldir.

Tarmoq sathi protokollar manbadan olingan ma'lumotlarni qabul qiluvchiga yo'naltiradi. Ushbu darajada ishlaydigan qurilmalar (routerlar) shartli ravishda uchinchi darajali qurilmalar (Osi modelidagi darajadagi raqam bo'yicha) deb ataladi.

Tarmoq darajasidagi protokollar: IP/IPv4/IPv6( Internet protokoli), IPX (Internetwork Packet Exchange, tarmoqlararo almashinuv protokoli), X. 25 (qisman ushbu protokol 2 darajasida amalga oshiriladi), CLNP (ulanishlarni tashkil qilmasdan tarmoq protokoli), IPsec (Internet protokoli xavfsizligi).

Marshrutlash protokollari – RIP, OSPF, BGP, EIGRP.

Kanal sathi - (eng. data link layer) tarmoqlarning jismoniy darajadagi o'zaro ta'sirini ta'minlash va yuzaga kelishi mumkin bo'lgan xatolarni nazorat qilish uchun mo'ljallangan. Jismoniy darajadan olingan ma'lumotlar bitlarda taqdim etilgan bo'lib, u ramkalarga o'raladi, ularni yaxlitlik uchun tekshiradi va agar kerak bo'lsa, xatolarni tuzatadi (yoki buzilgan ramkaning qayta so'rovini shakllantiradi) va tarmoq darajasiga yuboradi. Kanal darajasi ushbu o'zaro ta'sirni nazorat qilish va boshqarish orqali bir yoki bir nechta jismoniy darajalar bilan o'zaro ta'sir qilishi mumkin.

Ushbu sathda switch wifi routerlar ishlaydi va bu qurulmalar L2 qurulmalar dep ataladi.

Fizik sath - (ingliz tili. Physical layer ) - ikki tomonlama shaklda taqdim etilgan ma'lumotlarni bir qurilmadan (kompyuterdan) boshqasiga o'tkazish usulini belgilaydigan modelning pastki darajasi. Bunday usullarni turli tashkilotlar, shu jumladan: elektrotexnika va elektronika muhandislari instituti, elektron sanoat alyansi, Evropa telekommunikatsiya standartlari instituti va boshqalar. Elektr yoki optik signallarni kabelga yoki radiosga uzatish va shunga mos ravishda ularni qabul qilish va raqamli signallarni kodlash usullariga muvofiq ma'lumotlar bitlariga aylantirishni amalga oshiradi.

Ushbu darajada hublar, signallarni takrorlash va media konvertorlari ham ishlaydi.

Jismoniy darajadagi funktsiyalar tarmoqqa ulangan barcha qurilmalarda amalga oshiriladi. Kompyuter tomonidan jismoniy darajadagi funktsiyalar tarmoq adapteri yoki ketma-ket port tomonidan amalga oshiriladi. Jismoniy daraja ikki tizim o'rtasida jismoniy, elektr va mexanik interfeyslarni o'z ichiga oladi. Jismoniy daraja optik tolali, o'ralgan bug', koaksiyal kabel, sun'iy yo'ldosh ma'lumot uzatish kanali va boshqalar kabi ma'lumotlarni uzatish muhitlarini belgilaydi.jismoniy darajaga tegishli tarmoq interfeyslarining standart turlari quyidagilardir: V. 35, RS-232, RS-485, RJ-11, RJ-45, AUI va BNC ulagichlari.

Seans sathi – ikkita o’zaro ishlovchi xostlar o’rtasida aloqani o’rnatish, boshqarish va uni yakunlash vazifalarini bajaradi.

Sathning faoliyati – muloqot, dialog, ma’lumot almashish. Sath bo’yicha misollar Network File System, Apple Talk Session Protocol.

Seans sathidagi Umumiy risklar

• 
  Authentication and Authorization: DNS, NFS, SMB
  
• 
  Session Hijacking – agar sessiya identifikatori kodlanmagan bo’lsa, tajovuzkor seans identifikatorini sotib olish va seansni o’g’irlash mimkin.
  
• 
  Blind session attacks – agar sessiya ulanmasdan transport xizmatidan foydalansa u holda ko’r – ko’rona seans hujmiga qarshi himoyasiz bo’ladi.
  
• 
  Main-in-the-Middle – seans sathi protokollari MitM xujumlariga qarshi himoyasiz.
  
• 
  Information Leakage and Privacy – Seans sathi standartlari sessiya va holatni saqlashni belgilasa ham ular autentifikasiya yoki maxfiylikni qo’llab quvvatlamaydi.
  

DNS protokoli risklari

• 
  DNS Poisoning
  
• 
  DNS Cache Poisoning
  
• 
  Blind ID Attack
  

Autentifikatsiya - Parollarni saqlash va uzatishda eng yaxshi xavfsizlik nuqtai nazaridan bir tomonlama funktsiyalar qo'llanilishi kerak. Odatda bu maqsadlar uchun kriptografik jihatdan chidamli Xash funktsiyalari qo'llaniladi. Bunday holda, server faqat parol tasvirini saqlaydi. Parolni qabul qilib, uni Xash-konvertatsiya qilishni amalga oshirganingizdan so'ng, tizim natijani unda saqlangan mos yozuvlar usuli bilan taqqoslaydi. Ularning identifikatorlari bilan parollar bir xil. Tasvirga kirish imkoniga ega bo'lgan tajovuzkor uchun parolni o'zi hisoblash deyarli mumkin emas.

Avtorizatsiya autentifikatsiya qilish bilan aralashmaslik kerak — foydalanuvchi yoki ma'lumotlarning qonuniyligini tekshirish tartibi, masalan, foydalanuvchi tomonidan kiritilgan parolni ma'lumotlar bazasida hisobga muvofiqligini tekshirish yoki shifrlash kalitidagi xatning raqamli imzoini tekshirish yoki faylning nazorat summasini tekshirish ushbu faylning muallifi tomonidan e'lon qilingan. Avtorizatsiya shuningdek, huquqiy foydalanuvchilarning autentifikatsiya muvaffaqiyatli o'tishidan so'ng, tizimning turli resurslariga kirishni nazorat qiladi.

Session Hijacking - Bir foydalanuvchi Majlisi bir tajovuzkor tomonidan qabul qilinadi hujum hisoblanadi. Agar xizmat kirish qachon bir sessiya boshlanadi, misol uchun, bank dastur, agar tizimga qachon va tugaydi. Hujum sizning sessiya cookie tajovuzkor bilim tayanadi, shuning uchun u ham cookie O'g'irlashga yoki cookie tomoni-jacking deyiladi. Har qanday kompyuter sessiyasi o'g'irlab mumkin bo'lsa-da,, sessiya O'g'irlashga eng keng tarqalgan brauzer sessiyalari va veb-ilovalar uchun amal qiladi Muvaffaqiyatli bo'lsa, tajovuzkor, keyin original foydalanuvchi faol sessiya davomida, albatta, vakolatli bo'lgan har qanday harakatlarni amalga oshirish mumkin. Maqsadli dasturga qarab, bu foydalanuvchi bank hisobidan pul o'tkazish, veb-do'konlarda mahsulot sotib olish, o'g'irlanishi uchun batafsil shaxsiy ma'lumotlarga kirish, mijozlarning shaxsiy ma'lumotlarini kompaniya tizimlaridan o'g'irlash, qimmatli ma'lumotlarni shifrlash va ularni parolini hal qilish uchun to'lov talab qilishni anglatishi mumkin – Katta tashkilotlar uchun alohida xavf cookies ham yagona belgisi-kuni tizimlarida autentifikatsiyalangan foydalanuvchilar aniqlash uchun foydalanish mumkin, deb hisoblanadi (SSO). Bu shuni anglatadiki, muvaffaqiyatli sessiya hijack, tajovuzkor SSO-ga bir nechta veb-ilovalarga, moliyaviy tizimlar va mijozlar yozuvlaridan potentsial qimmatli intellektual mulkni o'z ichiga olgan biznes tizimlariga kirish imkonini berishi mumkin. Individual foydalanuvchilar uchun, ilovalar kirish uchun tashqi xizmatlaridan foydalanish paytida o'xshash xatarlar ham mavjud, lekin tufayli qo'shimcha himoya qilish uchun siz Facebook yoki Google hisob yordamida tizimga qachon, sessiya Cookie O'g'irlashga odatda Majlisi oqish uchun etarli bo'lmaydi.

Qanday himoyalanish mumkin: Sessiya hijacking tahdid tufayli fuqaroligi bo'lmagan HTTP protokoli cheklashlar mavjud. Sessiya cookies bu cheklovlar bartaraf etish va veb-ilovalar individual kompyuter tizimlarini aniqlash va joriy sessiya holatini saqlash uchun ruxsat bir yo'l bor, onlayn do'kon sizning xarid qilish kabi.

Muntazam brauzer foydalanuvchilar uchun, ba'zi asosiy onlayn xavfsizlik qoidalariga quyidagi xavfini kamaytirish yordam berishi mumkin, lekin sessiya o'g'irlab veb-ilovalar ko'pchilik tomonidan ishlatiladigan asosiy mexanizmlarini ekspluatatsiya ishlari, chunki, yagona kafolatlangan himoya usuli yo'q.

Main – in –the – middle - Kriptografiya va kompyuter xavfsizligi, bir odam-in-o'rta, monster-in-o'rta, mashina-in-o'rta, maymun-in-o'rta (MITM) yoki shaxs-in-o'rta (PITM) hujum yashirincha bir cyberattack qaerda tajovuzkor o'rni va, ehtimol, ular bevosita bir-biri bilan muloqot, deb ishonaman, ikki tomon o'rtasida aloqa o'zgartiradi. MITM hujumining bir misoli faol tinglashdir, unda tajovuzkor qurbonlar bilan mustaqil aloqalar o'rnatadi va ular orasidagi xabarlarni shaxsiy aloqa orqali to'g'ridan-to'g'ri bir-birlari bilan gaplashayotganlariga ishonishadi, aslida butun suhbat tajovuzkor tomonidan nazorat qilinadi. Tajovuzkor ikki jabrlanuvchi o'rtasida o'tadigan barcha tegishli xabarlarni ushlashi va yangilarini AOK qilishi kerak. Bu juda ko'p holatlarda sodda; misol uchun, shifrlanmagan Wi-Fi kirish nuqtasining qabul qilish oralig'idagi tajovuzkor o'zlarini o'rtada odam sifatida joylashtirishi mumkin. O'zaro autentifikatsiyani chetlab o'tishni maqsad qilganidek, MITM hujumi faqat tajovuzkor o'z talablarini qondirish uchun har bir so'nggi nuqtani etarlicha yaxshi ko'rsatganda muvaffaqiyat qozonishi mumkin. Eng kriptografik protokollar maxsus MITM hujumlar oldini olish uchun endpoint autentifikatsiya ba'zi formasini o'z ichiga oladi. Misol uchun, TLS bir yoki ikki tomonni o'zaro ishonchli sertifikat vakolatidan foydalanishi mumkin.

Biz maxfiy shaxsiy ma'lumotlarimizni har doim himoya qilinishini kutish bilan beramiz. Agar kredit karta uchun murojaat qachon, yangi ish boshlash yoki doktorlik ofisiga tashrif, misol uchun, shaxsiy ma'lumot to'plangan va saqlanadi. Lekin bu ma'lumot noto'g'ri yoki noto'g'ri notog'ri saqlanganda nima bo'ladi? Siz uchun natijalar jiddiy bo'lishi mumkin.

Information Leakage and Privacy - O'g'irlanishi ham maxfiy ma'lumotlar notog'ri eng xavfli ta'sir hisoblanadi. Agar tenglik o'g'ri sizning nomi uchun kirish turkcha bo'lsa, manzil va ijtimoiy xavfsizlik raqami, qalbaki hisob sizning nomi bilan yaratilgan bo'lishi mumkin va minglab dollar ayblovlar qiymat o'sha hisob bo'yicha amalga oshirilishi mumkin. Hatto ko'proq zarar, ba'zi o'g'irlanishi holatlar jinoyat hujjatlari o'g'irlangan shaxsiyatlar yordamida o'z ichiga oladi. Misol uchun, agar jinoyatchi hibsga olingan va sizning nomingizdan soxta identifikatsiya kartasini ishlatsa, siz hatto bilmagan jinoiy rekord, mashhur kafolatlar va jarimalarga ega bo'lishingiz mumkin. Kredit hisoboti tozalash va o'g'irlanishi, chunki jinoiy rekord uzoq bo'lishi mumkin, sermashaqqat va ba'zan qimmat jarayon.

Aksariyat Yevropa davlatlari va Kanada maxfiy axborot xavfsizligini himoya qilish uchun federal qonunlarga ega, ammo Qo'shma Shtatlarda bunday qonunlar yo'q. Buning o'rniga, U. S. Sog'liqni saqlash sug'urtasi taşınabilirlik va javobgarlik Qonuni kabi tarmoq maxfiylik qonunlari bor ([Object window]), qaysi tibbiy yozuvlarni himoya qiladi, va adolatli kredit hisobot Qonuni, qaysi iste'mol kredit huquqlarini tartibga soladi. Lekin bu qonunlar shaxsiy ma'lumotlarning barcha foydalanish himoya emas, ba'zi davlatlar bo'lsa-da,, Kaliforniya kabi, kengroq iste'mol maxfiylik qonunlari bor.

So'nggi bir necha yil ichida ma'lumotlar buzilishi amerikaliklar millionlab maxfiy moliyaviy ma'lumotlarni xavf bor qaerda ko'p misollar bor edi. Eng so'nggi keng ko'lamli ma'lumotlar buzilishi TJX kompaniyalarida sodir bo'lgan. ichida 2006 va xabarlarga ko'ra, ta'sir ustidan 450,000 mijozlar. Shu yilning boshida AQSh faxriylar ishlari boshqarmasi ham 26.5 million faxriyning ijtimoiy xavfsizlik raqamlari o'g'irlangan katta xavfsizlik buzilishini boshdan kechirdi. Xuddi shunday buzilishlar ChoicePoint Inc. da ham sodir bo'lgan., Amerika banki, CardSystems Solutions va DSW poyabzal ombori.

Bu ma'lumotlar buzilishi sodir bo'lsa, U. S. Federal savdo komissiyasi ([Object window]) tekshirayotgan va kompaniyalari penalizes deb boshqarish organi hisoblanadi. Kompaniyalar tez-tez millionlab dollar jarima va iste'molchilar zarar saqlab qolish yordam berish uchun o'rnatish xizmatlari buyurdi bor. Banklar, shuningdek, buzilishi sodir qaerda kompaniyalari sue mumkin, agar buzilishi qalbaki kredit hisob va zarar olib keldi, agar. Iste'molchilar, shuningdek, zarar uchun sudga berish imkoniga ega, lekin eng yaxshi katta hollarda bir sinf harakat kostyum qo'shilish tomonidan xizmat qilishi mumkin. Katta kompaniya bilan cho'zilgan huquqiy jang qimmat bo'lishi mumkin.

Yaxshi maxfiy shaxsiy ma'lumotlarni xavfsiz uchun harakat tortish qozonmoqda. Pirg va Maxfiylik huquqlari Clearinghouse iste'molchi va xodimlarning maxfiylik huquqlarini himoya qilish uchun kuchli federal qonunchilikni talab qilmoqda. Ko'p kompaniyalar, shuningdek, iste'mol va xodim ma'lumotlarni ham himoya qilish uchun maxfiylik siyosati amalga oshirilmoqda. Misol uchun, Procter & Gamble kompaniyasi shaxsiy ma'lumotlarni sotishni taqiqlaydigan va ma'lumotlarni himoya qilish protokollari va hisobdorligini o'rnatadigan keng qamrovli "Global Maxfiylik siyosati" ga ega. Har doim shaxsiy ma'lumotlarni taqdim oldin kompaniyaning maxfiylik siyosati haqida so'rash.

Agar shaxsiy ma'lumot xavf qilingan, deb siz sezilsa, birinchi qadam hech kredit yangi hisob sizning nomi bilan ochilgan bo'lishi mumkin, shunday qilib, kredit hisoboti bo'yicha firibgarlik bir ogohlantirish qo'yish bo'lishi kerak. O'zingizni himoya sizning soni bir ustuvor bo'lishi kerak.

Foydalanilgan adabiyotlar va internet saytlari

1. 
   https://thenationaltv.com/Bihar/the-fifth-layer-of-the-open-systems-interconnection-osi-model-is-named-session-layer
   
2. 
   https://wikipedia.org
   
3. 
    Peter John Down, Frank Edward Taylor. Why Distributed Computing?: An NCC Review of Potential and Experience in the UK. — NCC Publications, 1976. — 188 с.
   
4.