Nowości w NASK Szanowni PaÒstwo! Ten wiosenny numer biuletynu zaczynamy od przedstawienia Tomasza Chlebowskiego, ktûry w lutym br. objπ stanowisko Dyrektora Handlowego NASK. Witamy i øyczymy wielu sukcesûw! PKI dla wirtualnych sieci prywatnych (VPN), a Miros aw Maj ñ Kierownik CERT Polska ñ przekonuje nas o korzyúciach p ynπcych ze skrupulatnej oceny wielkoúci strat powsta ych w wyniku atakûw komputerowych. I ñ last but not least ñ druga czíúê artyku u Andrzeja Pacuta i Adama Czajki z Instytutu Automatyki i Informatyki Stosowanej Politechniki Warszawskiej i Pracowni Biometrii NASK na temat biometrycznych metod weryfikacji toøsamoúci. Zapraszam do lektury W biuletynie czekajπ teø na PaÒstwa informacje o nowoúciach w naszej firmie, m.in. o ofercie e-urzídu, przygotowanej przez NASK dla administracji paòstwowej i samorzπdowej, zaprezentowanej na Targach Komputer Expo 2003. Z Agnieszkπ Korbel-Korcz, Country Managerem Infonet Polska, rozmawiamy o us ugach tego globalnego operatora telekomunikacyjnego, ktûry ñ za poúrednictwem NASK ñ jest od ponad 3 lat obecny na polskim rynku. Mamy teø bardzo interesujπce doniesienia ze úwiata domen: Kierownik Dzia u Domen Andrzej Bartosiewicz pisze o wprowadzanym obecnie w NASK systemie rejestracji domen ÑRegistry-Registrarî oraz o projekcie ñ rozwijanym takøe przez NASK ñ uniwersalnego systemu numeracji pod nazwπ ENUM. Z kolei w czíúci poúwiíconej prawu Justyna Oøegalska- Trybalska, doktorantka z Instytutu Wynalazczoúci i Ochrony W asnoúci Intelektualnej Uniwersytetu JagielloÒskiego w Krakowie, rozwaøa problemy prawne zwiπzane z monopolizacjπ tej grupy nazw domen internetowych, ktûre odpowiadajπ powszechnie uøywanym nazwom rodzajowym. W czíúci poúwiíconej bezpieczeòstwu teleinformatycznemu Kierownik Zespo u Integracji i BezpieczeÒstwa SystemÛw NASK Andrzej Chrzπszcz pisze o zastosowaniach Biuletyn informacyjny Naukowej i Akademickiej Sieci Komputerowej Redakcja: Maria Baranowska, Anna Maj Projekt i przygotowanie do druku: Pracownia Graficzna Dπbrowa ZdjÍcia: Maria Baranowska, Piotr Dzwonnik, Krzysztof Stanisz Redakcja zastrzega sobie prawo do skrûtûw i opracowania tekstûw. W numerze: e-urzπd ñ oferta NASK... 3 Rejestracja domen ñ program partnerski... 4 Infonet ñ sieê globalna zarzπdzana lokalnie... 5 Wieúci ze úwiata ENUM... 7 ÑMonopolizacja" tzw. rodzajowych domen internetowych a prawo nieuczciwej konkurencji... 8 Metody szacowania strat poniesionych w wyniku atakûw komputerowych... 10 PKI w wirtualnych sieciach prywatnych... 14 TwÛj PIN to Ty, czíúê 2... 18 Tomasz Chlebowski Dyrektorem Handlowym NASK Nowy Dyrektor Handlowy NASK jest osobπ znanπ i cenionπ na rynku IT w Polsce. W latach 1990-2001 stworzy i rozbudowa GrupÍ TCH, w sk ad ktûrej wchodzi y firmy z branøy IT: dystrybucyjna, integracyjna, konsultingowa, marketingowa i inne, osiπgajπce w sumie ok. 300 mln z otych rocznego obrotu i zatrudniajπce Tomasz Chlebowski ok. 250 osûb. W 2001 r. Tomasz Chlebowski wniûs czíúê swoich firm do Grupy Optimus. Do wrzeúnia 2002 r. by Wiceprezesem Zarzπdu Optimusa S.A. W tym czasie przy jego udziale rozpoczíto restrukturyzacjí Grupy Optimus, m.in. dokonano ñ pionierskiego w warunkach polskich ñ podzia u spû ki gie dowej Optimus S.A. na dwie odríbne spû ki gie dowe ñ Grupa Onet.pl S.A. i Optimus S.A. 2
Nowości w NASK Tomasz Chlebowski jest laureatem nagrody InfoStarí96 za wybitne osiπgniícia w dziedzinie biznesu. Zosta wybrany Cz owiekiem Roku 1999 przez czytelnikûw pisma ÑComputer Reseller News Polskaî. By cz onkiem wielu rad nadzorczych. W latach 1999-2001 pe ni funkcjí Wiceprezesa Polskiej Izby Informatyki i Telekomunikacji, gdzie wczeúniej ñ od r. 1997 by cz onkiem Prezydium. Jest autorem wielu artyku Ûw na temat rynku teleinformatycznego w prasie branøowej. Tomasz Chlebowski jest z wykszta cenia astronomem, ukoòczy studia na Wydziale Fizyki Uniwersytetu Warszawskiego. Po studiach rozpoczπ prací naukowπ w Centrum Astronomicznym PAN i na Uniwersytecie Warszawskim, w roku 1983 uzyska tytu doktora. W 1991 r. uzyska ñ rûwnieø na Uniwersytecie Warszawskim ñ tytu doktora habilitowanego w dziedzinie fizyki. Prowadzi prace naukowe na najbardziej prestiøowych uczelniach w Stanach Zjednoczonych, w tym przez 4 lata na Uniwersytecie Harvarda i w Smithsonian Institution. /am-mb/ e-urząd systemy teleinformatyczne dla administracji państwowej i samorządowej Na targach teleinformatycznych Komputer Expo 2003 w dniach 21-24 stycznia br. w Warszawie Micha Ma yszko z Zespo u Sprzedaøy przedstawi ofertí NASK dotyczπcπ organizacji e-urzídu, czyli zastosowania konkretnych systemûw teleinformatycznych w pracy administracji paòstwowej i samorzπdowej. Prezentacja ta odby a sií w ramach konferencji ÑInformatyka w administracji paòstwowejî towarzyszπcej Komputer Expo. W dziedzinie tworzenia zasobûw Biuletynu Informacji Publicznej NASK oferuje urzídom paòstwowym aplikacjí modu owπ z rodziny CMS, realizujπcπ standardy ujednolico- Goúcie na stoisku NASK, Komputer Expo 2003 3
Nowości w NASK nego systemu stron Biuletynu Informacji Publicznej, zgodnπ z wymogami ustawy o dostípie do informacji publicznej z dn. 6 wrzeúnia 2001 r. i rozporzπdzenia ministra spraw wewnítrznych i administracji z dn. 17 maja 2002 r. NASK oferuje ponadto kompleksowπ obs ugí urzídu cyfrowego w postaci rozwiπzaò zarzπdzajπcych obiegiem spraw i dokumentûw w urzídzie wraz z us ugami hostingu i kolokacji serwerûw (i aplikacji) urzídu w centrum hostingowym NASK, zapewniajπc bezpieczny dostíp i zarzπdzanie publikowanymi informacjami. OfertÍ rozwiπzaò w zakresie BIP uzupe nia dostíp do Internetu dla urzídûw paòstwowych za poúrednictwem úwiat owodowej sieci metropolitalnej WARMAN, zaprojektowanej z myúlπ o potrzebach administracji centralnej, a takøe oferta wspû pracy w zakresie projektowania i wdraøania bezpiecznego styku sieci klienta z Internetem ñ wraz z moøliwoúciπ po πczeò z uøyciem protoko u IP ñ IPv6. W ramach bezpiecznej πcznoúci pomiídzy urzídami w kraju i komunikacji ze strukturami Unii Europejskiej NASK oferuje sieci korporacyjne umoøliwiajπce: wymianí informacji bezpiecznymi kana ami pomiídzy oddalonymi instytucjami, telefonií wewnítrznπ i miídzynarodowπ πcznoúê telefonicznπ z wybranymi instytucjami, oraz zestawianie kana Ûw do realizacji wspûlnych projektûw, wideoprzekazu i uruchamiania Ñgorπcej liniiî o zasiígu krajowym i miídzynarodowym. Dla uøytkownikûw us ugi sieci korporacyjnych NASK projektuje i wdraøa bezpieczne rozwiπzania teleinformatyczne zapewniajπce: ca odobowy monitoring, utrzymanie i zarzπdzanie sieciami teleinformatycznymi, reagowanie na zdarzenia naruszajπce bezpieczeòstwo systemûw, techniczny i proceduralny audyt zabezpieczanego systemu, wdraøanie systemûw ochrony elektromagnetycznej pomieszczeò, infrastruktury fizycznej, systemûw informatycznych i urzπdzeò pomocniczych. Oferta NASK w zakresie e-urzídu zawiera rûwnieø ñ istotne z punktu widzenia bezpiecznego funkcjonowania instytucji publicznych ñ narzídzia podpisu cyfrowego, czyli mechanizmy identyfikacji i uwierzytelniania oparte o infrastrukturí klucza publicznego (PKI) ñ z zastosowaniem rozwiπzaò wiodπcych producentûw systemûw PKI (o zastosowaniach PKI w VPN pisze na str. 14 Andrzej Chrzπszcz). W pierwszym dniu imprezy targowej stoisko prezentujπce aktualnπ ofertí NASK odwiedzili oficjalni goúcie, m.in. Przewodniczπcy KBN ñ Minister Nauki Micha Kleiber i Wiceminister Infrastruktury Krzysztof Heller. /mb/ Rejestracja i utrzymanie domen program partnerski Dotychczas domeny z koòcûwkπ.pl i.com.pl moøna by o rejestrowaê jedynie bezpoúrednio w NASK. Od grudnia 2002 roku moøna rûwnieø korzystaê z us ug firm, ktûre zawar y odpowiednie umowy z NASK. Kaøda domena krajowa, jak rûwnieø domeny ÑogÛlneî, takie jak.com,.net czy.org, jest administrowana przez jeden podmiot. Aby zarejestrowaê domení, naleøy zawrzeê umowí z administratorem rejestru. W Polsce rejestrem krajowym zarzπdza NASK, w przypadku Francji rolí tí pe ni AFNIC, w Niemczech ñ DENIC itd. Coraz czíúciej jednak nie trzeba kontaktowaê sií z samym rejestrem krajowym po to, by dokonaê rejestracji domeny. Wystarczy skorzystaê z obs ugi wyspecjalizowanej firmy (Registrar), ktûra ma odpowiedniπ umowí z administratorem rejestru (Registry) i rejestruje domeny dla swoich klientûw, uzyskujπc przy tym stosowne upusty cenowe. Obecnie takøe NASK zawiera umowy z firmami-partnerami rejestrujπcymi domeny w imieniu abonentûw. W úwiatowym systemie rejestracji i utrzymywania domen termin Registry oznacza instytucjí zarzπdzajπcπ g Ûwnym rejestrem nazw domenowych w domenie najwyøszego poziomu (cctld ñ krajowej i gtld ñ podstawowej). Takπ jednostkπ w Polsce jest NASK (cctld), zarzπdzajπcy rejestrem w domenie.pl. Registrar to termin oznaczajπcy poúrednika ñ jednostkí úwiadczπcπ us ugi rejestracji i utrzymania nazw domenowych w instytucji pe niπcej rolí Registry (na podstawie szczegûlnej umowy z nim zawartej) dla tzw. Registranta, czyli uøytkownika koòcowego (abonenta zarejestrowanej domeny) lub Registrara niøszego poziomu. W szczegûlnoúci Registry moøe i czísto pe ni jednoczeúnie funkcje Registrara, bo sam rûwnieø úwiadczy us ugi rejestracji i utrzymania domen dla klientûw koòcowych (RegistrantÛw ñ instytucji, firm lub osûb fizycznych), a nie wy πcznie dla poúrednikûw (RegistrarÛw). Innymi s owy: na czubku wieøy jest Registry, jego klientem (czyli poziom niøej) jest Registrar, a klientem Registrara (trzeci poziom) jest Registrant (abonent), ewentualnie Registrar niøszego poziomu. 4
Wprowadzenie rejestracji domen przez firmy zewnítrzne podzieliliúmy na dwa etapy. Etap pierwszy to okres rozruchu trwajπcy do po owy marca br., w ktûrym NASK podpisuje pierwsze umowy z partnerami, stosujπcymi uproszczony sposûb rejestracji i obs ugi domen polegajπcy na rejestracji z wykorzystaniem strony WWW i podpisanych cyfrowo e- maili. Etap drugi to wdroøenie w pe ni automatycznego systemu rejestracji opartego o protokû EPP (Extensible Provisioning Protocol), ktûry zosta og oszony przez Internet Engineering Task Force. ProtokÛ ten jest obecnie przyjmowany za standard w relacji Registry-Registrars. JÍzykiem komunikacji jest XML (Extensible Marcup Language). Oprogramowanie uøyte w systemie automatycznym zosta o opracowane w asnymi si ami NASK z wykorzystaniem narzídzi Rational (przy projekcie) oraz Java i Oracle (do implementacji). Demonstracja gotowego systemu mia a miejsce w grudniu na Administrative Workshop of CENTR we Frankfurcie, natomiast jego testy sπ prowadzone od po owy lutego przez kilka zainteresowanych polskich firm. Zak adamy, øe testy powinny potrwaê oko o 5 tygodni. Monika SowiÒska Andrzej Bartosiewicz Infonet w Polsce i na świecie Rozmowa z Agnieszkπ Korbel-Korcz, Country Managerem Infonetu w Polsce Infonet istnieje na úwiecie juø od ponad 30 lat. Od kiedy moøna skorzystaê z us ug Infonetu w Polsce? W Polsce Infonet zaczπ dzia aê w paüdzierniku 1999 r., a pierwsze pod πczenia rozpoczíliúmy w 2000 r. Firma powsta a w Stanach Zjednoczonych dok adnie w 1970 r. Jej g Ûwna siedziba znajduje sií w Kalifornii, w El Segundo ko o Los Angeles. Natomiast przedstawicielstwo na EuropÍ mieúci sií w Holandii, skπd dyrektor regionalny zarzπdza kilkunastoma krajami, przede wszystkim z Europy Wschodniej, Bliskiego Wschodu i Afryki. Czym wyrûønia sií oferta Infonetu na tle us ug oferowanych przez inne firmy? Infonet przyk ada duøπ wagí do konsultingu, dziíki czemu dobiera rozwiπzania dostosowane rzeczywiúcie do potrzeb * * * Znany serwis internetowy www.web.reporter.pl og osi wyniki plebiscytu ÑInternetowe Wydarzenia Rokuî na 10 najwaøniejszych wydarzeò minionego roku, ktûre mia y decydujπcy wp yw na kszta t polskiego Internetu. W rankingu tym znalaz y sií Ñnowe zasady rejestracji i utrzymywania nazw domen oraz powo anie Sπdu Arbitraøowego do rozpatrywania przypadkûw zaistnienia sporu o nazwí domenyî. /am/ * * * Od ponad 3 miesiícy sieê NASK πczy sií ze úwiatem za pomocπ nowych πczy miídzynarodowych, ktûrych dostawcπ jest Telia International Carrier. Sπ to dwa πcza SDH STM-1 w relacji Warszawa-Frankfurt nad Menem oraz jedno πcze SDH STM-1 w relacji Frankfurt nad Menem-Sztokholm. Oba po πczenia do Frankfurtu o sumarycznej przep ywnoúci 310 Mbps gwarantujπ najwyøszy poziom dostípnoúci. πcza poprowadzono w paneuropejskiej sieci Viking, ktûra posiada dwa fizycznie niezaleøne po πczenia ze úwiatowπ sieciπ Telii. /nask, telia/ Sieć globalna zarządzana lokalnie klienta. Nie sprzedajemy np. samego dostípu do Internetu lub po πczenia punkt-punkt, tylko najpierw badamy potrzeby, a rozwiπzanie dostosowujemy do tego, czego klient naprawdí potrzebuje. Infonet ma swûj lokalny Ñsupportî w blisko 70 krajach i w zwiπzku z tym jest w stanie b yskawicznie reagowaê. Barierπ przestaje byê jízyk, poniewaø w biurze lokalnym kaødy pos uguje sií przecieø ojczystym jízykiem danego kraju. Dlatego klientowi pod πczonemu w ramach globalnego projektu o wiele atwiej jest porozumiewaê sií i wymieniaê informacje. SieÊ globalna zarzπdzana lokalnie ñ takie jest infonetowe podejúcie. Obs uga na poziomie lokalnym i konsulting ñ to dwa istotne wyznaczniki us ug Infonetu. Nie moøna takøe zapomnieê o ponad 30-letnim doúwiadczeniu. Infonet nie jest firmπ znikπd, tylko stabilnπ korporacjπ d ugo dzia ajπcπ na rynku i, co niezwykle istotne, rozwijajπcπ sií ca y czas. 5
jest miídzynarodowym operatorem transmisji danych. Zapewnia dostíp do sieci w 182 krajach úwiata (w tym do 67 krajûw przez sieê naziemnπ). Posiada w asnπ sieê globalnπ. Dostarcza us ugi ATM, Frame Relay, MPLS i TCP/IP oraz zapewnia zintegrowane rozwiπzania teleinformatyczne dla przedsiíbiorstw (dane/g os/faks). NASK jako jedyna firma w Polsce oferuje dostíp do úwiatowej sieci INFONET, opartej na jednolitym sprzície, w ramach jednego operatora globalnego. Pozwala to na zapewnienie kaødemu przedsiíbiorstwu w pe ni profesjonalnych i bezpiecznych us ug korporacyjnych. Jakie us ugi oferuje Infonet w Polsce? W Polsce oferujemy wszystkie us ugi úwiadczone przez globalny Infonet (ISC ñ Infonet Service Corporation) z wyjπtkiem ATM. DostÍp do Internetu objíty jest gwarancjπ jakoúci úwiadczonych us ug, czyli SLA (Service Level Agreement). Dostarczamy us ugi Frame Relay z priorytetyzacjπ, czyli np. inny priorytet nadawany jest poczcie elektronicznej, a inny aplikacjom wymagajπcym czasu rzeczywistego typu SAP, Baan. Moøemy w ten sposûb dostosowaê rozwiπzanie do rzeczywistych potrzeb klienta, ktûry poprzez nasze dzia anie unika sytuacji, w ktûrych np. ma zestawione πcze o przep ywnoúci 2 Mbps, a wykorzystuje rzeczywiúcie 128 kbps. åwiadczymy rûwnieø us ugi dodzwaniane. Dial Xpress Office to us uga dodzwanianego dostípu do wirtualnych sieci prywatnych, jak rûwnieø Internetu dla ma ych i úrednich biur; Dial Xpress Professional ñ dostíp do sieci dla uøytkownikûw ruchomych wraz ze úwiatowym roamingiem i moøliwoúciπ dostípu do Internetu. Istnieje rûwnieø dodatkowa moøliwoúê Ñwdzwonienia siíî na linií Ñ0 800î. Jest to idealna us uga dla kogoú, kto duøo podrûøuje. åwiadczymy takøe us ugi transferu g osu w ramach wirtualnej sieci klienta (Multimedia Services). A ostatnio wprowadzona us uga? W ubieg ym roku zosta a wprowadzona us uga IP VPN Secure z klasami us ug, wykorzystujπca protokû MPLS (Multi Protocol Label Switching). Jest ona realizowana w oparciu o prywatnπ sieê IP Infonetu, czyli sieê bez øadnych punktûw peeringowych z innymi operatorami, jak rûwnieø bez tranzytu IP. VPN wykorzystujπce MPLS nie kreujπ zaszyfrowanych tuneli. Tworzone sπ jedynie úcieøki zbliøone do kana Ûw Frame Relay. Brzegowa tablica routingu zawiera tylko prywatne adresy IP innych lokalizacji w ramach tego samego przedsiíbiorstwa lub przedsiíwziícia. Niemoøliwym jest wiíc przes anie pakietûw pomiídzy rûønymi firmami bez interwencji operatora. Tak jest w naszym przypadku. Naleøy jednak pamiítaê, øe moøemy sií spotkaê z rûønymi podejúciami do MPLS VPN. NiektÛrzy operatorzy πczπ ruch MPLS z Internetem w ramach jednego szkieletu. A to stanowi úwietne pole do popisu dla hakerûw. A co ze wsparciem technicznym w Polsce, jak to wyglπda? Korzystamy z zasobûw i doúwiadczenia NASK-u, przede wszystkim z naszego Dzia u Utrzymania Sieci oraz Zespo u Integracji i BezpieczeÒstwa SystemÛw. Infonet zapewnia obs ugí technicznπ 7 dni w tygodniu, 24 godz. na dobí... Nasz lokalny support dzia a od 9.00 do 17.00 przez 5 dni w tygodniu. Natomiast NASK-owy help desk przyjmuje zg oszenia przez ca π dobí, 7 dni w tygodniu. Problemy techniczne moøna rûwnieø zg aszaê w åwiatowym Centrum Pomocy Klientom Infonet, ktûre jest dostípne przez 365 dni w roku. Kim sπ polscy klienci Infonetu? To duøe i znane miídzynarodowe korporacje. Aktualnie obs ugujemy ok. 150 firm, ktûrych pod πczenia zosta y zrealizowane w oparciu o zamûwienia od naszych kolegûw z Infonetu z zagranicy. WúrÛd nich sπ m.in. Nestle, Volkswagen, Progress Software, Armstrong, Hasbro. Sama czo Ûwka znanych i najwiíkszych. Wydarzenie polskiego oddzia u Infonetu... We wrzeúniu ubieg ego roku wspûlnie z dyrektorem regionalnym z Holandii zorganizowaliúmy pierwszπ konferencjí dla tych europejskich krajûw, ktûre nie sprzedajπ aktywnie. Sπ to przede wszystkim kraje Europy årodkowo- Wschodniej. Konferencja odby a sií u nas w NASK-u. Kaødy reprezentant danego kraju musia przygotowaê prezentacjí, ktûra obejmowa a krûtki opis firmy, jej sposûb dzia ania na rynku lokalnym, jak rûwnieø plany na najbliøszπ przysz oúê. PodjÍliúmy takøe decyzjí o organizowaniu takich spotkaò cyklicznie ñ dwa razy do roku. We wrzeúniu zosta a uruchomiona rûwnieø polska strona Infonetu ñ www.infonet.pl. Wyglπdem bardzo zbliøona jest do úwiatowej strony firmy (www.infonet.com). Co najwaøniejsze ñ jest przejrzysta, prosta w nawigacji i bogata w treúê. A co nowego w Infonecie bídzie sií dzia o w najbliøszym czasie? W najbliøszym czasie czeka nas bardzo duøo pracy 6
Domeny zwiπzanej z migracjπ uøytkownikûw SWIFT z X.25 do IP. Zostaliúmy partnerem, ktûry bídzie realizowa pod πczenia Rewolucja w numeracji dla bankûw oraz instytucji finansowych korzystajπcych z aplikacji SWIFT. Ale o tym wiícej w kolejnym biuletynie. Warszawa, 24 lutego 2003 r. Rozmawia a Anna Maj Wieści ze świata ENUM Andrzej Bartosiewicz W naszym codziennym øyciu pos ugujemy sií wieloma identyfikatorami s uøπcymi do nawiπzania kontaktu z innymi osobami. Sπ to numery telefonûw (komûrkowych i stacjonarnych), numery faksûw, adresy e-mail, numery komunikatorûw internetowych takich jak ICQ, IM, gadu-gadu itd. Zmiana jednego z takich identyfikatorûw zmusza do poinformowania o tym wszystkich naszych znajomych, kontrahentûw czy wspû pracownikûw, wydrukowania nowych folderûw reklamowych i wizytûwek (w sytuacji gdy firma np. zmienia numery telefonûw) i wielu innych podobnych czynnoúci. Co wiícej, z czasem dochodzπ coraz to nowe identyfikatory ñ kilka lat temu by y to e-maile i numery komûrkowe, teraz identyfikatory dla VoIP i wideokonferencji. SprÛbujmy sobie uúwiadomiê, ile rûønych numerûw przypisujemy do danej osoby! System ENUM jest niewπtpliwie rozwiπzaniem prowadzπcym do tego, abyúmy mogli pos ugiwaê sií uniwersalnym identyfikatorem, ktûry umoøliwia kontakt z danπ osobπ na wiele rûønych sposobûw, bez koniecznoúci Na úwiecie koordynacjπ projektu ENUM zajmuje sií MiÍdzynarodowa Unia Telekomunikacyjna (ITU) WWW.itu.int W Polsce administratorem ENUM jest NASK www.nask.pl kontakt: enum@nask.pl pamiítania wszystkich tych adresûw i numerûw, bez troszczenia sií o rozsy anie informacji o zmianach. ENUM co to jest? Projekt ENUM zak ada, øe numer telefonu zostaje wprowadzony do úwiatowego DNS (systemu nazw domenowych). NastÍpnie skojarzeniu z danym numerem (teraz juø domenπ internetowπ) podlega ca y zbiûr danych (tzw. rekordy NAPTR ñ Naming Authority Pointer). Kaødy rekord NAPTR zawiera opis URI (Uniform Resource Identifiers), ktûry wskazuje sposûb kontaktu z w aúcicielem numeru. W szczegûlnoúci bídzie on mûg dodawaê i zmieniaê takie identyfikatory us ug, jak: numer telefonu stacjonarnego, numer telefonu komûrkowego, fax, e-mail, SIP gateway dla VoIP, Klucze publiczne (PGP), Adres skrzynki voice mail, instant messaging, itd. OprÛcz dodawania nowych us ug, bídzie moøliwe nadanie im rûwnieø priorytetûw istotnych przy korzystaniu z us ugi ENUM przez operatorûw telekomunikacyjnych. Aby numer telefonu mûg zostaê umieszczony w DNS musi nastπpiê modyfikacja jego struktury. Dla przyk adu weümy polski numer telefonu 0 606 24-15-70 i zmieòmy go na domení ENUM. 1. Dodajemy do numeru telefonu numer kierunkowy kraju, a wiíc w naszym przypadku jest to Ñ+48î. Wyglπd numeru jest nastípujπcy: +48 606 24-15-70 2. Usuwamy wszystkie znaki z wyjπtkiem cyfr. Nasz numer wyglπda wtedy tak: 48606241570 3. Dodajemy pomiídzy cyframi kropki. Nasz numer ma teraz postaê 4.8.6.0.6.2.4.1.5.7.0 4. Odwracamy kolejnoúê: 0.7.5.1.4.2.6.0.6.8.4 5. Dodajemy strefí Tier-0 czyli e164.arpa 6. Ostatecznie nasz numer uzyskuje postaê: 0.7.5.1.4.2.6.0.6.8.4.e164.arpa ENUM pozwala na rozwiπzania takøe innych problemûw w telekomunikacji, jak np. Ñportowalnoúciî numerûw, o czym napiszí w nastípnym odcinku opowieúci o úwiecie ENUM. Autor kieruje Dzia em Domen NASK 7
Domeny Domeny internetowe a prawo nieuczciwej konkurencji Monopolizacja nazw domen odpowiadających nazwom rodzajowym Justyna Ożegalska Trybalska Nazwy domen odpowiadajπce nazwom rodzajowym cieszπ sií duøπ popularnoúciπ zarûwno wúrûd przedsiíbiorstw prowadzπcych dzia alnoúê on-line, jak i rosnπcego grona uøytkownikûw Internetu. AtrakcyjnoúÊ takich domen wynika z za oøenia, øe osoba chcπca znaleüê np. oferty wyjazdûw wakacyjnych przypuszczalnie ñ intuicyjnie ñ wpisze do paska adresowego adres Ñwww.wakacje.plî lub Ñwww.biuro-podrozy.plî, a ktoú, kto chce za poúrednictwem Internetu kupiê ksiπøkí, sprûbuje np. uøyê adresu Ñwww.ksiegarnia.plî lub Ñwww.ksiazka.plî. Podmioty, ktûrych adresy stron WWW zawierajπ popularne nazwy rodzajowe, mogπ wiíc liczyê na to, øe uøytkownicy Internetu zainteresowani okreúlonym towarem lub us ugπ w pierwszej kolejnoúci trafiπ na ich stroní. Zasada Ñkto pierwszy ten, lepszyî, zgodnie z ktûrπ dzia a system rejestracji domen internetowych, powoduje, øe okreúlona nazwa rodzajowa moøe byê zarejestrowana ñ w konfiguracji z jednπ z domen ogûlnych lub domenπ krajowπ ñ tylko przez jednπ osobí. Pozosta e podmioty dzia ajπce w Internecie nie mogπ wiíc swobodnie operowaê takimi nazwami w adresach swoich stron WWW. Teoretycznie korzyúci zwiπzane z posiadaniem Ñrodzajowej nazwy domenyî przypadajπ wiíc niewielkiej grupie uøytkownikûw Internetu. Poniewaø ze wzglídu na swπ uøytecznoúê informacyjnπ nazwy rodzajowe naleøπ do domeny publicznej, pojawia sií pytanie, czy na gruncie prawa polskiego dopuszczalna jest taka swoista Ñmonopolizacjaî tzw. rodzajowych nazw domen internetowych? Co mówi prawo Naleøy zauwaøyê, øe ograniczenia w zakresie korzystania z nazw rodzajowych w obrocie gospodarczym tradycyjnie zawiera prawo znakûw towarowych, w tym art. 129 ust. 2 pkt. 3 Ustawy prawo w asnoúci przemys owej z 30 czerwca 2000 r. 1 (Ñp.w.pî). W úwietle tego przepisu niemoøliwe jest udzielenie prawa ochronnego na oznaczenie, ktûre jedynie wskazuje na rodzaj towarûw lub us ug, dla ktûrych znak zosta zg oszony do rejestracji. ChoÊ z punktu widzenia prawa o znakach towarowych uzasadnione wydaje sií za oøenie, øe ze wzglídu na ogûlno-informacyjny charakter i brak zdolnoúci odrûøniajπcej, udzielenie jednej osobie prawa wy πcznego korzystania z nazwy rodzajowej mog oby prowadziê do okreúlonych utrudnieò w obrocie gospodarczym, to brak powodûw do stosowania analogicznej argumentacji w odniesieniu do nazw domen internetowych. Dlatego teø zasady rejestracji i utrzymywania nazw domen internetowych NASK ñ podobnie jak regulaminy innych rejestratorûw ñ nie przewidujπ øadnych ograniczeò w zakresie rejestrowania nazw domen internetowych odpowiadajπcych nazwom rodzajowym. Pomimo, øe Ñmonopolizowanieî tzw. rodzajowych domen internetowych nie jest wyraünie zabronione przez przepisy Ustawy o zwalczaniu nieuczciwej konkurencji z 16 kwietnia 1993 r. 2 (Ñu.z.n.kî), to moøna zauwaøyê, øe dysponenci adresûw stron WWW zawierajπcych nazwy rodzajowe, istotnie majπ przewagí rynkowπ nad podmiotami prowadzπcymi konkurencyjnπ dzia alnoúê on-line, gdyø w praktyce ich strony WWW sπ czíúciej odwiedzane przez uøytkownikûw Internetu. RozstrzygniÍcia wymaga jednak kwestia, czy pos ugiwanie sií takimi adresami internetowymi jest sprzeczne z dobrymi obyczajami i zagraøa interesom innych przedsiíbiorcûw, a wiíc czy taka praktyka moøe byê kwestionowana w oparciu o art. 3 ust. 1 u.z.n.k.? Wielu przedsiíbiorcûw prowadzπcych dzia alnoúê on-line moøe argumentowaê, øe Ñzaw aszczenieî nazwy internetowej 1 Dz.U. z 2001 r. Nr 49 poz. 508 z pûün. zm. 2 Dz.U. z 1993 r. Nr 47 poz. 211 z pûün. zm. 8
Domeny odpowiadajπcej nazwie rodzajowej przez jeden podmiot zagraøa ich interesom ekonomicznym, gdyø uøytkownicy Internetu ñ szukajπc okreúlonych towarûw lub us ug w Internecie ñ w pierwszej kolejnoúci trafiajπ na stroní WWW identyfikowanπ przez adres zawierajπcy nazwí rodzajowπ, wskazujπcπ na rodzaj towarûw lub us ug oferowanych za jej poúrednictwem. Tacy uøytkownicy prawdopodobnie skorzystajπ z oferty przedstawionej na tej stronie i nie bídπ zainteresowani sprawdzeniem konkurencyjnych propozycji Komputer Expo 2003 prezentowanych na innych stronach WWW, co zagraøa ich interesom ekonomicznym 3. Naleøy jednak zauwaøyê, øe taka argumentacja oparta jest na nie do koòca s usznych za oøeniach: po pierwsze, øe uøytkownicy Internetu Ñsπ skazaniî na skorzystanie z oferty 3 Warto zasygnalizowaê, øe na takim za oøeniu oparto kilka niemieckich rozstrzygniíê w sporach o domeny. Sπdy stwierdzi y w nich, iø pos ugiwanie sií w obrocie on-line nazwπ domeny internetowej o charakterze rodzajowym jest dzia aniem sprzecznym z art. 1 niemieckiej UWG, ktûry zabrania podejmowania w obrocie wszelkich dzia aò sprzecznych z Ñdobrymi zwyczajamiî. Zgodnie z uzasadnieniem przyjítym w tych rozstrzygniíciach, dysponenci domen rodzajowych nieuczciwie Ñnakierowywujπî potencjalnych klientûw na swojπ stroní WWW, co skutecznie wyklucza moøliwoúê konkurowania o tych klientûw przez inne przedsiíbiorstwa dzia ajπce w trybie on-line. Zob. orzeczenie OLG Hamburg z dnia 13 czerwca 1999 r. w sprawie domeny Ñmitwohzentrale.deî, orzeczenie OLG Monachium z dnia 16 listopada 2000 r. w sprawie adresu Ñrechtsanwaelte.deî; orzeczenie LG Cologne z dnia 10 paüdziernika 2000 r. w sprawie domen: Ñzwangsversteigerungen.deî oraz Ñversteigerungskalender.deî. zamieszczonej na stronie WWW, na ktûrπ trafili po wpisaniu do paska adresowego adresu zawierajπcego nazwí rodzajowπ odpowiadajπcπ rodzajowi poszukiwanego towaru lub us ugi; a po drugie, iø po dotarciu na takπ stroní WWW ñ zaprzestanπ szukania konkurencyjnych ofert. Majπc na uwadze popularnoúê i powszechnπ dostípnoúê Internetu, naleøy przyjπê, øe jego uøytkownicy doskonale znajπ zasady funkcjonowania tego medium i wiedzπ, øe istnieje mnûstwo stron WWW oferujπcych podobny zakres towarûw i us ug. Uøytkownicy Internetu mogπ wiíc swobodnie decydowaê o tym, czy chcπ skorzystaê z oferty przedstawionej na stronie WWW, na ktûrπ trafili Ñnakierowaniî przez tzw. rodzajowπ domení internetowπ, czy teø z oferty zaprezentowanej na ktûrejú z innych stron WWW, ktûre sprawdzili. Dlatego teø wydaje sií, øe uøywanie przez jedno przedsiíbiorstwo adresu zawierajπcego element rodzajowy nie powinno byê traktowane jako sprzeczne z dobrymi obyczajami Ñprzechwytywaniaî klientûw innych przedsiíbiorstw i nie powinno byê zakazane w úwietle klauzuli generalnej z art. 3 ust. 1 u.z.n.k 4. W takiej sytuacji nie dochodzi teø do nieuczciwego blokowania przez dysponenta takiego adresu dostípu do rynku on-line konkurencyjnym przedsiíbiorstwom. Zachowanie takie nie stanowi wiíc czynu nieuczciwej konkurencji, o ktûrym mowa w art. 15 u.z.n.k. Szczególne okoliczności Pomimo, øe uøywanie tzw. rodzajowych nazw domen internetowych Ñsamo w sobieî nie stanowi dzia ania sprzecznego z zasadami uczciwej konkurencji, to w przypadku, gdy przemawiajπ za tym szczegûlne okolicznoúci moøe byê uzasadnione powo anie sií na przepisy u.z.n.k. Chodzi tu 4 Podobne stanowisko zajπ sπd najwyøszy Niemiec (Bundesgerichtshof ñ BGH) w orzeczeniu z dnia 17 maja 2001 r. w sprawie domeny Ñmitwohzentrale.deî. Uchylajπc orzeczenia dwûch sπdûw niøszej instancji, BGH stwierdzi, øe rejestracja i uøywanie w obrocie on-line nazw domen o charakterze rodzajowym Ñsamo w sobieî nie jest dzia aniem sprzecznym z prawem nieuczciwej konkurencji. Podobne stanowisko zajíte zosta o w: orzeczeniu OLG Hamburg z dnia 28 marca 2000 r., w sprawie domeny Ñautovermietung.deî,orzeczeniu OLG Braunsweig z dnia 20 lipca 2000 r., w sprawie domeny Ñstahlguss.deî; orzeczeniu OLG Frankfurt z dnia 13 lutego 1997 r. w sprawie domeny Ñwirtschaft.online.deî; orzeczeniu LG Hamburg z dnia 30 czerwca 2000 r, w sprawie domeny Ñlastminute.comî, orzeczeniu OLG Celle z 29 marca 2001 r., w sprawie domeny Ñwww.anwalt-hannower.deî. 9
Bezpieczeństwo o sytuacjí, gdy np.: 1) na stronie WWW identyfikowanej przez adres zawierajπcy element rodzajowy zawarte sπ fa szywe informacje, ktûre mogπ wywo aê b Ídne wraøenie wúrûd odbiorcûw, øe jest to jedyna strona WWW specjalizujπca sií w úwiadczeniu okreúlonych us ug lub øe przedsiíbiorstwo, ktûre zarzπdza danπ stronπ WWW, jest jedynπ lub wiodπcπ firmπ w danej branøy, oferujπcπ najszerszy zakres us ug i najbardziej konkurencyjne na rynku ceny, 2) dysponent danego adresu celowo zarejestrowa na swojπ rzecz tπ samπ nazwí rodzajowπ w wielu kombinacjach, tak aby nikt inny nie mûg wykorzystaê tej nazwy w swoim adresie internetowym. Na marginesie moøna zauwaøyê, øe biorπc pod uwagí ograniczonπ iloúê tzw. rodzajowych domen internetowych, kompromisowym rozwiπzaniem ñ uwzglídniajπcym interesy wszystkich przedsiíbiorcûw dzia ajπcych w okreúlonym segmencie rynku on-line oraz uøytkownikûw Internetu ñ by aby sytuacja, w ktûrej stronami internetowymi identyfikowanymi przez takie domeny zarzπdza yby niezaleøne podmioty. WÛwczas wszyscy zainteresowani mogliby korzystaê z moøliwoúci umieszczenia na stronie WWW, identyfikowanej przez okreúlonπ domení rodzajowπ, odes ania do swojej strony WWW, np. pod adresem Ñwww. doradztwo.personalne.plî mog yby znajdowaê sií informacje, numery kontaktowe, adresy stron WWW lub gotowe oferty dzia ajπcych w danym kraju agencji specjalizujπcych sií w doradztwie personalnym, a uøytkownik Internetu mia by moøliwoúê swobodnego wyboru tej agencji, ktûrej oferta jest dla niego najbardziej korzystna. Autorka jest doktorantkπ w Instytucie Wynalazczoúci i Ochrony W asnoúci Intelektualnej UJ Koszty poniesione w wyniku ataków komputerowych Metody szacowania strat ÑJeúli czegoú nie wiemy to nie znaczy, øe tego nie maî - David A. Dittrich Mirosław Maj Po kaødej nowej fali wirusûw czy teø w przypadku spektakularnych w amaò do systemûw komputerowych dowiadujemy sií, ile kosztowa dany incydent poszkodowanego. Dowiadujemy sií o sumach rzídu milionûw, a nawet miliardûw dolarûw. Kiedy w trakcie procesu sπdowego autora wirusa AnnaKurnikowa holenderski sπd zwrûci sií do strony amerykaòskiej z proúbπ o informacje na temat strat, FBI przys a o rachunek na sumí 166 827 USD. Rachunek dotyczy tylko 3 przypadkûw zawirusowania. Jeúli chodzi o straty zwiπzane z dzia aniem wirusûw CodeRed i Nimda, to media poinformowa y, øe wynios y one 13,2 mld dolarûw, a szalejπcy ostatnio w sieci robak Slammer spowodowa straty oko o 1 mld dolarûw. Autorzy corocznego raportu na temat bezpieczeòstwa, przygotowywanego przez Computer Security Institute i FBI, zsumowali straty zg oszone przez respondentûw ankiety o bezpieczeòstwie w latach 1997 ñ 2001. Straty te wynoszπ 1 004 135 495 dolarûw, a przecieø dotyczπ zaledwie kilkuset firm, ktûre wzií y udzia w badaniu. Niestety nie mamy øadnych informacji, jak te straty zosta y obliczone, a raczej oszacowane. Niemniej jednak ktoú to zrobi, czyli jest to moøliwe. CzÍsto w odpowiedzi na pytanie, ile wynios y straty w wyniku w amania, dowiadujemy sií, øe jest to niemoøliwe do ustalenia. To nieprawda. Moøemy dyskutowaê, jak dalece obliczenia mogπ byê precyzyjne i czy zastosowana metoda jest poprawna czy nie. Jednak odpowiedü, øe to niemoøliwe, naleøy traktowaê jako przejaw braku wiedzy na ten temat, a byê moøe ñ co zdarza sií jeszcze czíúciej ñ braku chíci zrobienia takich obliczeò. Po rozpoznaniu tematu okazuje sií, øe obliczenie strat nie wiπøe sií ze skomplikowanymi metodami, ani nawet z posiadaniem jakiejú specjalistycznej wiedzy na ten temat. Zazwyczaj chodzi o chíci, dyscypliní i solidnoúê w dzia aniu. Metody szacowania strat nie majπ silnego lobby wúrûd kadry zarzπdzajπcej. Dlaczego? Zazwyczaj niechítnie mûwi sií o stratach zwiπzanych z atakami intruzûw. G Ûwnie ze wzglídu na utratí dobrego wizerunku, prestiøu. Lepiej jest mûwiê o wzroúcie kosztûw dzia ania zwiπzanych z budowπ 10
Bezpieczeństwo nowego systemu, niø z przywrûceniem starego do poprawnego dzia ania. Wed ug Charlesa Neala, zastípcy dyrektora Cyber Attacks Tiger Team, tylko 3 proc. poszkodowanych zg asza przypadki atakûw i poniesionych strat. W USA nie robiπ tego czísto nawet te organizacje, na ktûrych taki obowiπzek spoczywa: instytucje finansowe z gwarancjami rzπdowymi, kontrahenci rzπdowi oraz sektor militarny. Jakie są korzyści? Jeúli zostaniemy skutecznie zaatakowani i ktoú w amie sií do naszych systemûw komputerowych, to z pewnoúciπ poniesiemy straty. Jest to nieuniknione. A skoro tak, to warto pozyskaê na ten temat jak najwiícej informacji. Jakie mogπ byê korzyúci? Wymienimy kilka najbardziej znaczπcych: Dane na temat strat mogπ pos uøyê kadrze zarzπdzajπcej w podejmowaniu decyzji na temat inwestycji w system bezpieczeòstwa. OprÛcz wiedzy na temat ogûlnych strat, bardzo pomocne mogπ byê informacje na temat tego, jakiego typu ataki powodujπ najwiíksze straty. Pozwoli to na prawid owe roz oøenie inwestycji w bezpieczeòstwo, przy zazwyczaj i tak skromnym budøecie. Komputer Expo 2003 Jeúli nie potrafimy wskazaê strat, to znaczy, øe nie jesteúmy poszkodowani. Takie podejúcie moøe niestety obowiπzywaê w momencie, kiedy zechcemy dociekaê sprawiedliwoúci i sprûbowaê odzyskaê utracone fundusze. W ewentualnym procesie informacja o poniesionych stratach bídzie niezwykle pomocna dla sπdu w orzeczeniu sprawiedliwego wyroku. Nie ulega teø øadnej wπtpliwoúci, øe przekazanie informacji na temat strat do policji pozwoli jej nadaê sprawie odpowiedni priorytet. Wydaje sií, øe atwiej jest úcigaê przestípcí w momencie, kiedy wiadomo, jakie straty przynios o jego dzia anie. Z pierwszym w Polsce wyrokiem skazujπcym bez zawieszenia zwiπzane jest konkretne oszacowanie strat ñ 5 000 PLN. Nawet jeúli nie zdecydujemy sií wejúê na úcieøkí prawnπ, to systematyczne zbieranie danych na temat strat moøe byê bardzo pomocne w zarzπdzaniu bezpieczeòstwem (i nie tylko) na poziomie firmy, a anonimowe ich przekazywanie podmiotom zewnítrznym moøe przynieúê ogûlnπ korzyúê w poznawaniu zjawiska, badaniu trendûw, uúwiadamianiu skali zjawiska. Jak obliczać straty? Aby obliczyê straty, powinniúmy na poczπtku ustaliê, co przez to pojície rozumiemy. Do tego celu moøna pos uøyê sií definicjπ zamieszczonπ w amerykaòskim dokumencie rzπdowym The Internet Integrity and Critical Information Protection Act of 2000. OtÛø zgodnie z zawartym tam zapisem termin Ñstrataî oznacza kaødy rzeczywisty wydatek poszkodowanego, zawierajπcy koszt reakcji na atak, przeprowadzenia oceny strat, odtworzenia danych, programu, systemu lub informacji do stanu sprzed ataku oraz kaødπ stratí dochodu i kaødπ innπ stratí powsta π w wyniku przerwy w úwiadczeniu us ug. W 1998 roku na Washington University dokonano pionierskich obliczeò strat zwiπzanych z atakiem na 18 maszyn Linuxowych dzia ajπcych na terenie Nowej Zelandii. Ca oúê strat oszacowano na 27 794,54 USD +/- 4 169 USD (1 544 USD na jeden host). By to przypadek w amaò z jednoczesnym instalowaniem snifferûw, IRC botûw, rootkitûw. Co ciekawe, w amywacza wykryto na podstawie danych zebranych przez sniffer zainstalowany przez...niego samego. Do tych obliczeò wykorzystano metodí I-CAMP (Incident Cost Analysis & 11
Bezpieczeństwo Modelling Project), opracowanπ w po owie lat dziewiíêdziesiπtych przez pracownikûw uczelni amerykaòskich. Jest to w tej chwili najbardziej znana i najbardziej popularna metoda. Inne (np: CICA ñ Cyber Incident Cost Assessment), sπ w rzeczywistoúci bardzo podobne. UwzglÍdnia ona nastípujπce wydatki: koszt pracownikûw pracujπcych nad rozwiπzaniem problemu (incident investigators, system administrators, consultants, detective), koszt uøytkownikûw systemu, ktûrzy nie mogπ w nim pracowaê w zwiπzku z incydentem, koszty zwiπzane z wymianπ skradzionego lub zniszczonego sprzítu i oprogramowania, koszt odzyskania poniesionych strat (28% procent tych strat), wydatki uboczne zwiπzane z incydentem. Z punktu widzenia matematycznego metody obliczania strat sπ niezwykle proste. O wiele bardziej skomplikowane mogπ byê te z elementûw obliczeò, ktûre bídziemy musieli uwzglídniê. Sk adowe koòcowego wyniku moøna podzieliê na dwie grupy: atwe i trudne do oszacowania. atwe to te, ktûre w dosyê prosty sposûb moøemy pozyskaê korzystajπc z posiadanej przez nas wiedzy. Sπ to takie elementy, ktûre zosta y wskazane przy przedstawieniu metody I-CAMP. WúrÛd elementûw trudnych do ustalenia moøna wskazaê nastípujπce: odcinek czasu, w ktûrym system nie by dostípny dla klientûw (moøliwoúê uzyskania dochodu), straty wynikajπce z niewywiπzania sií z umûw, koszty zaimplementowania nowego zabezpieczenia, koszty przeprowadzenia dodatkowych szkoleò dla personelu, koszty utraty reputacji, podniesienie stawek ubezpieczeniowych, koszty dodatkowego kredytu na pokrycie strat itp. Druga grupa elementûw jest nie tylko znacznie trudniejsza do ustalenia, ale rûwnieø w wielu wypadkach kontrowersyjna. W przypadku tej grupy moøe byê konieczne skorzystanie z doradztwa wykwalifikowanych ekspertûw, posiadajπcych wiedzí na temat procesûw biznesowych. Warto w tym miejscu zaznaczyê, øe w ca ym procesie szacowania strat bardzo poøyteczna ñ a nawet bezwzglídnie konieczna ñ jest wiedza na temat ustalania kosztûw prowadzenia projektûw. Jak wiíc obliczamy? Zgodnie z przytoczonπ metodπ I-CAMP wzûr wyglπda nastípujπco: KC = (KPT + KUS) x 1.28 + KPZ + WU gdzie: KC ñ koszt ca kowity, KPT ñ koszt pracownikûw technicznych, pracujπcych nad rozwiπzaniem problemu, KUS ñ koszt zwiπzany z brakiem moøliwoúci pracy uøytkownikûw systemu, KPZ ñ koszt pracownikûw zewnítrznych, WU ñ wydatki uboczne zwiπzane z incydentem (w tym koszty sprzítu i oprogramowania), 1.28 ñ ustalony eksperymentalnie wspû czynnik zwiπzany z wydatkami jakie muszπ byê poniesione, aby powrûciê do pe nej wydajnoúci pracy uøytkownikûw systemu. Otrzymany wynik jest podawany ze wskaünikiem +/- 15%. Title Hours Cost/Hr. Total -15% 15% Incident Investigator 43 $15,68 $674,24 $573,10 $775,38 System Administrator 3,75 $25 $93,75 $79,69 $107,81 Consultant 1 $24,95 $24,95 $21,21 $28,69 Detective 10 $18,63 $186,30 $158,36 $214,25 Staff 0,833 $15 $12,50 $10,62 $14,37 Subtotal 58,583 $991,74 $842,97 $1 140,50 Benefits @ 28% $277,69 $236,03 $319,34 Subtotal (Salary and Benefits) $1 269,42 $1 079,01 $1 459,83 Indirect Costs $660,10 $561,09 $759,12 Total Labor Cost $1 929,52 $1 640,09 $2 218,95 Median Cost +/- 15% $1 929,52 $289,43 12
Bezpieczeństwo Number of Users Hours Cost/Hr. Total -15% 15% 12 80 $12,00 $960,00 $816,00 $1 104,00 Total Userís Cost $960,00 $816,00 $1 104,00 Median Cost $960,00 $144,00 Tabela: Przyk adowe koszty zwiπzane z incydentem Przy tak prostym podejúciu do metody atwo jπ wzbogaciê o dodatkowe elementy, np. kary umowne zwiπzane z niedzia ajπcym systemem. KrÛtko mûwiπc, jeúli potrafimy i jesteúmy przekonani co do s usznoúci do πczenia do kalkulacji kolejnych elementûw strat z grupy elementûw trudnych do oszacowania, moøemy zawsze to zrobiê. Obliczanie jest atwe, znacznie trudniejsze jest uzyskanie potrzebnej nam informacji. W aúciwie nie ma lepszego sposobu na uzyskanie tych informacji niø wprowadzenie dyscypliny i solidnoúci w dokumentowaniu pracy nad likwidacjπ skutkûw ataku. Najlepszym rozwiπzaniem by oby tu wprowadzenie pewnej automatyzacji, ktûra pomaga aby nam uporaê sií z tym zadaniem i eliminowa a proste, acz istotne b Ídy, np. zastosowanie programu, ktûry automatycznie rejestrowa by czas pracy nad danym problemem. Jego uruchomienie by oby obowiπzkowe przy pracy nad danym przypadkiem. Zmuszenie ludzi do prowadzenia dokumentacji pracy nie jest atwe, zw aszcza gdy wszyscy jesteúmy skupieni nad powaønym problemem, pracujemy czístokroê w stresie, itd. Niemniej jednak wydaje sií, øe jest to klucz do sukcesu. W konkluzji Zdecydowanie namawiam do stosowania sposobûw na okreúlenie poniesionych strat przy atakach komputerowych. Bezsprzecznie wp ywa to na skuteczniejszπ walkí ze zjawiskiem przestípczoúci komputerowej. Naleøy jednak pamiítaê, øe z takπ pracπ wiπøe sií wiele problemûw organizacyjnych. Ich najlepszym rozwiπzaniem wydaje sií byê dyscyplina w dzia aniu, odpowiednia procedura, i posiadanie bazy danych wspomagajπcej obliczenia. Nie obídzie sií bez dobrej woli i wsparcia personelu zarzπdzajπcego ñ jak by nie by o, chodzi przecieø o pieniπdze. Miros aw Maj kieruje zespo em CERT Polska dzia ajπcym w ramach NASK Bibliografia Cyber Incident Cost Assessment ñ Urs E. Gattiker ñ http://security.weburb.net/government/other/ 020625assesscostsinfosecincidents.pdf Intrusion Cleanup: Whatís the Cost? ñ Mark Joseph Edwards ñ http://www.ntsecurity.net/articles/ Index.cfm?ArticleID=25154 Estimating the cost of damages due to a security incident (FAQ) ñ Dave Dittrich ñ http://staff.washington.edu/ dittrich/misc/faqs/incidentcosts.faq Incident Cost Analysis and Modeling Project II (I-CAMP II) ñ Gale Berkowitz ñ http://www.usenix.org/ publications/login/1999-6/icamp.html Incident Cost Analysis and Modeling Project ñ ICAMP I ñ Committee on Institutional Cooperation ñ www.cic.uiuc.edu/groups/cic/archive/report/icamp-i.htm Incident Cost Analysis and Modeling Project ñ ICAMP II ñ Committee on Institutional Cooperation ñ www.cic.uiuc.edu/groups/cic/archive/report/icamp-ii.htm Strategies & Issues: Deciphering the Cost of a Computer Crime ñ Andrew Conry-Murray ñ http:// www.networkmagazine.com/article/nmg20020401s0003 Finally, a Real Return on Security Spending ñ Scott Berinato ñ http://www.cio.com/archive/021502/ security.html Calculating return on security investment ñ Scott Berinato ñ http://www.cio.com/archive/021502/ security_sidebar_content.html Counting the cost of Slammer ñ Robert Lemos ñ http://news.com.com/2100-1001-982955.html 13
Teleinformatyka Technologie zapewniające bezpieczeństwo danych Zastosowania PKI w wirtualnych sieciach prywatnych Andrzej Chrząszcz Rozleg e sieci komputerowe coraz czíúciej przestajπ byê mechanizmem komplementarnym wspomagajπcym obs ugí przedsiíbiorstw. Ich rola w widoczny sposûb zyskuje na znaczeniu. Skuteczne mechanizmy komunikacji sieciowej zapewniajπ niezbídnπ podstawí, a niekiedy wrícz g Ûwnπ bazπ dla efektywnego funkcjonowania wszystkich elementûw nowoczesnego przedsiíbiorstwa. Dotyczy to zarûwno obs ugi jego procesûw wewnítrznych, jak i dzia- alnoúci rynkowej. Komunikacja w ramach jednolitej zintegrowanej infrastruktury teleinformatycznej sta a sií kluczem do sukcesu rynkowego. G Ûwne bariery stojπce na drodze do masowego stosowania sieciowych technologii informatycznych to zagroøenia, na jakie naraøone sπ dane przesy ane przez sieci rozleg e oraz czynniki finansowe. Bariery te mogπ byê jednak pokonane. Zbudowanie wydzielonej infrastruktury sieciowej, dedykowanej dla potrzeb przedsiíbiorstwa o wielowydzia- owej, rozproszonej geograficznie strukturze, jest przedsiíwziíciem kosztowym. Jednak koszty moøna obniøyê, wykorzystujπc technologie wirtualnych sieci prywatnych opartych o Internet. Mechanizmy bezpieczeństwa Niewπtpliwie Internet stanowi najsprawniejsze, najwiíksze i naj atwiej dostípne wspû czesne medium komunikacyjne. Jego niski koszt i olbrzymi zasiíg zachíca do wykorzystywania tej sieci w szeroko rozumianym biznesie, takøe do kompleksowej obs ugi przedsiíbiorstw. Z kolei powszechnoúê Internetu jako codziennego narzídzia komunikacji zaciera granicí pomiídzy jego zastosowaniami i sk ania do mylnego przekonania, øe nasze dane sπ w sieci anonimowe, a tym samym bezpieczne. Wraz z rosnπcymi potrzebami dotyczπcymi w asnoúci stricte transmisyjnych, takich jak wymagane pasmo czy dopuszczalne opûünienia transmisji, rosnπ wymagania w odniesieniu do mechanizmûw ochrony informacji. RozwÛj technologii telekomunikacyjnych pociπgnπ za sobπ wyraüne nasilenie zjawiska hackingu. Coraz bardziej zaawansowanym technologiom telekomunikacyjnym towarzyszy pojawianie sií coraz bardziej wyrafinowanych metod atakûw. Inna cecha wspû czesnych sieci to atwoúê dostípu do informacji. Publiczna dostípnoúê oprogramowania wykorzystujπcego s aboúci systemûw, duøy stopieò zautomatyzowania i prostota ich stosowania powoduje znaczny wzrost naduøyê i przestípstw komputerowych. Sprawπ kluczowπ staje sií stosowanie technologii zapewniajπcych bezpieczeòstwo danych, a wiíc silnych mechanizmûw identyfikacji, uwierzytelniania oraz poufnoúci transmisji. Dotyczy to zarûwno stron transakcji jak i uøytkownikûw korzystajπcych z udostípnianych w sieci serwisûw. Powstajπ technologie skutecznie minimalizujπce zagroøenia zwiπzane z nieuprawnionym dostípem do informacji. Technologiπ takπ sπ wirtualne sieci prywatne VPN (Virtual Private Network), ktûre mogπ byê skutecznie wspomagane mechanizmami infrastruktury klucza publicznego PKI (Private Key Infrastructure). PKI, kryptografia klucza publicznego PKI to architektura, organizacja, techniki, zasady oraz procedury, ktûre wspûlnie wspomagajπ implementacjí i dzia- anie kryptograficznych systemûw klucza publicznego, opartych na certyfikatach. PKI sk ada sií z systemûw, ktûre dziíki wspû pracy realizujπ oraz udostípniajπ us ugi certyfikacji. W kryptografii klucza publicznego (w przeciwieòstwie do kryptografii symetrycznej, wykorzystujπcej wspûlny klucz do szyfrowania i deszyfrowania informacji) kaødy uøytkownik lub urzπdzenie pos uguje sií parπ kluczy: kluczem prywatnym i kluczem publicznym, przy czym: 14
Teleinformatyka klucz publiczny i prywatny stanowiπ niepowtarzalnπ i nieroz πcznπ parí, klucz prywatny jest sekretny ñ s uøy do podpisywania, klucz publiczny jest jawny ñ s uøy do weryfikacji podpisu. Certyfikaty i usługi certyfikacji Certyfikaty sπ oparte (wspierajπ) kryptografií klucza publicznego. Certyfikat jest kryptograficznie potwierdzonym i weryfikowalnym zaúwiadczeniem potwierdzajπcym przynaleønoúê (do danej osoby lub urzπdzenia) oraz autentycznoúê klucza publicznego. Obs ugπ certyfikatûw zajmujπ sií specjalne urzídy certyfikacyjne (CA ñ Certification Authority). Mogπ one tworzyê hierarchiczne struktury dostosowane do potrzeb odbiorcy. Do ich g Ûwnych zadaò naleøy potwierdzanie toøsamoúci komunikujπcych sií uøytkownikûw lub urzπdzeò, a takøe generowanie, dystrybucja, aktualizacja i uniewaønianie certyfikatûw. Wirtualne sieci prywatne Komunikacja pomiídzy oddzia ami przedsiíbiorstwa wymaga zestawienia dedykowanego bezpiecznego kana u komunikacyjnego. ProtokÛ IP w wersji 4 nie zapewnia jednak mechanizmûw bezpieczeòstwa w warstwie sieci. Pakiety przesy ane sπ w postaci jawnej, brak teø moøliwoúci wiarygodnej weryfikacji ürûd a ich pochodzenia. Dopiero wersja 6 protoko u IP posiada wbudowane opcje zwiπzane z bezpieczeòstwem. Podstawowe elementy wymagane dla bezpiecznej komunikacji to: kryptograficznie gwarantowane potwierdzenia toøsamoúci stron stanowiπcych koòce kana u, poufnoúê i integralnoúê danych. Cechy te moøna osiπgnπê przez zastosowanie technologii wirtualnych sieci prywatnych VPN. Uøywajπc ogûlnej definicji moøna powiedzieê, øe VPN sπ wydzielonπ logicznie strukturπ opartπ o sieê publicznπ (np. Internet), zapewniajπcπ bezpieczeòstwo transmisji w oparciu o techniki kryptograficzne. Dominujπcπ technologiπ wykorzystywanπ do tworzenia wirtualnych sieci prywatnych jest IPSec. Sieci wirtualne wykorzystujące IPSec IPSec jest standardem IETF [1]. ArchitekturÍ systemu opisujπ zalecenia RFC [2]. W zaleceniach tych nie ma zdefiniowanych algorytmûw obligatoryjnie uøywanych do uwierzytelnienia stron transmisji i szyfrowania, jednakøe sugeruje sií uøycie MD5 i SHA, zaú do szyfrowania ñ algorytmu DES. Jak widaê IPSec πczy w sobie rûøne techniki kryptograficzne. IPSec jest zbiorem protoko Ûw i metod s uøπcych do budowania sieci wirtualnych w oparciu o sieci publiczne. Jest to niewπtpliwa zaleta tego rozwiπzania, ktûre wykorzystujπc Internet umoøliwia budowanie bezpiecznych sieci o úwiatowym zasiígu. W celu zapewnienia us ug bezpieczeòstwa IPSec definiuje dwa nag Ûwki wstawiane pomiídzy standardowy nag Ûwek IP a pole danych. Sπ to Authentication Header (AH) zapewniajπcy integralnoúê i autentycznoúê danych oraz Encapsulating Security Payload (ESP) umoøliwiajπcy szyfrowanie danych. IPSec moøe pracowaê w dwûch trybach ñ transportowym i tunelowania. W trybie transportu zestawiany jest tunel Ñod koòca do koòcaî. W trybie tym, szyfrowaniu podlega tylko pole danych pakietu IP. W dowolnym innym przypadku (czyli przy zestawieniu bezpiecznego po πczenia nie siígajπcego obu komunikujπcych sií stacji) stosowany jest tryb tunelowania, w ktûrym szyfrowaniu podlega ca y pakiet IP. NastÍpnie pakiet taki przesy any jest jako pole danych ÑzewnÍtrznegoî pakietu IP. Rys. 1 ZasiÍg trybûw dzia ania IPSec Tryb tunelowania zapewnia ochroní przed analizπ ruchu pomiídzy stacjami, poniewaø adresy stacji prowadzπcych wymianí informacji sπ ukryte. Wiπøe sií to jednak z wiíkszymi narzutami na pasmo oraz wp ywa na wyd uøenie czasu potrzebnego do szyfrowania i deszyfrowania ca ego pakietu. Tryb transportowy umoøliwia wykorzystanie mechanizmûw CoS (Class of Service) dla przesy anych pakietûw, np. priorytetyzacjí pakietûw w zaleønoúci od nadawcy i od- 15
Teleinformatyka biorcy, nie zapewnia on jednak ochrony przed analizπ ruchu przez osoby niepowo ane. identyfikacja i potwierdzenie toøsamoúci stron transakcji. NastÍpnie tworzony jest szyfrowany kana ISAKMP SA (ISAKMP Security Association). Dla uzgodnienia kluczy stosowany jest protokû Oakley oparty o algorytm Diffie- Hellmana. ProtokÛ IKE wspiera dwa mechanizmy wzajemnego uwierzytelnienia komunikujπcych sií urzπdzeò: kluczy dzielonych (Pre-shered keys); certyfikowanych kluczy publicznych (Public key certificates). Rys. 2 Pola nag ÛwkÛw w zaleønoúci od trybu dzia ania IPSec Kolejnym aspektem wp ywajπcym na bezpieczeòstwo informacji przesy anych przez sieci wirtualne oparte o IPSec jest dystrybucja i proces uzgadniania parametrûw po πczenia oraz kluczy kryptograficznych. Dla sieci o ma ej liczbie komunikujπcych sií urzπdzeò g Ûwne parametry komunikacji mogπ byê uzgodnione i rícznie wpisane do konfiguracji urzπdzeò. Dla duøych sieci niezbídne jest stosowanie mechanizmûw automatycznej wymiany i negocjacji parametrûw. NajczÍúciej wykorzystany jest w tym celu protokû IKE (Internet Key Exchange). Protokół IKE IKE tworzy tak zwane SA (Security Association) definiujπce w asnoúci tworzonych po πczeò. W procesie negocjowania parametrûw wykorzystywany jest protokû UDP port 500. Dzia anie protoko u IKE przebiega etapowo. W oparciu o protokû ISAKMP (Internet Security Association and Key Management Protocol), s uøπcy do negocjacji parametrûw po πczenia, nastípuje Pierwsza metoda wykorzystuje dla identyfikacji stron transakcji wspûlne (symetryczne) klucze dla obydwu stron transakcji. Klucze takie muszπ byê uzgodnione i bezpiecznie wymienione za pomocπ zewnítrznych mechanizmûw. BezpieczeÒstwo komunikacji wymaga stosowanie unikalnego klucza dla kaødej pary urzπdzeò. Druga metoda pozwala na ustanowienie relacji zaufania pomiídzy stronami transmisji w oparciu o certyfikaty w standardzie X.509. Dobór właściwej strategii Zastosowanie w aúciwej strategii trybu pracy protoko u IKE jest elementem niezwykle istotnym. Przy niewielkiej liczbie po πczeò metoda Pre-shered key moøe byê z powodzeniem stosowana, ma nawet pewne zalety, z ktûrych podstawowa to prostota implementacji. Metoda ta jednak nie jest skalowalna. Naleøy zauwaøyê, øe wraz ze wzrostem liczby wíz Ûw bardzo szybko roúnie liczba po πczeò. Przy za oøeniu stosowania oddzielnego klucza dla kaødego po πczenia i relacji typu Full mesh (komunikacja Ñkaødy z kaødymî) nawet struktura z oøona z kilkunastu wíz Ûw staje sií k opotliwa w zarzπdzaniu. ZaleønoúÊ pomiídzy liczbπ wíz Ûw a liczbπ po πczeò VPN obrazuje Rys. 3: Rys. 3 ZaleønoúÊ pomiídzy liczbπ wíz Ûw a liczbπ po πczeò IPSec 16
Teleinformatyka Dodanie pojedynczego wíz a wymaga wygenerowania i dystrybucji n-1 kluczy. Podobnie k opotliwa operacja usuwania kluczy czeka administratora w przypadku koniecznoúci usuniícia wíz a ze struktury. Jak widaê, rozwiπzanie z zastosowaniem klucza dzielonego ma dla wiíkszych sieci VPN istotne mankamenty. IKE i PKI Powyøsze problemy skutecznie niweluje wykorzystanie do identyfikacji urzπdzeò PKI. Zastosowanie tej metody wymaga na poczπtku dodatkowych inwestycji, szybko jednak korzyúci rekompensujπ poniesione nak ady. W πczenie metody IKE pozwala na identyfikacjí urzπdzeò w fazie tworzenia bezpiecznych po πczeò IPSEC w oparciu o indywidualnie przyznane certyfikaty. Certyfikaty X509 sπ wystawiane urzπdzeniom przez zaufane CA gwarantujπce przynaleønoúê klucza publicznego do urzπdzenia. Dla duøych sieci zalecane jest tworzenie dedykowanych urzídûw certyfikujπcych. Dla u atwienia procesu przyznawania i pûüniejszej obs ugi certyfikatûw pojawi y sií dedykowane protoko y. Naleøπ do nich: SCEP (Simple Certificate Enrollment Protocol) [3] i CMP (Certificate Management Protocol) [4]. Proces obs ugi certyfikatu od poczπtkowej fazy, czyli jego wystawienia aø do wygaúniícia bπdü uniewaønienia, jak rûwnieø tryb wspû pracy z urzídem powinien byê elementem projektu sieci VPN. Zastosowanie certyfikatûw powoduje, øe dodanie nowego wíz a wymaga wystawienie przez CA tylko jednego certyfikatu, zaú jego usuniície wy πcznie uniewaønienia wystawionego wczeúniej certyfikatu. Technicznie, w uproszczeniu wykorzystanie certyfikatûw odbywa sií w opisany niøej sposûb. ProtokÛ IKE w czasie pierwszej fazy ustanawia bezpieczny kana dla dalszej komunikacji oraz ustala SA wykorzystywane dla negocjowania parametrûw. W czasie drugiej fazy negocjowane sπ SA dla protoko u IPSec. Pierwsza faza jest przeprowadzana tylko raz dla kaødego po πczenia, strona inicjujπca transmisje generuje skrût komunikatu IKE payload oraz podpisuje wygenerowany skrût swoim kluczem prywatnym. Odbiorca weryfikuje podpis kluczem publicznym nadawcy, zawartym w certyfikacie. Dla obustronnego uwierzytelnienia wíz Ûw po pozytywnej weryfikacji toøsamoúci nadawcy, odbiorca inicjuje bliüniaczy dialog. Przed zaakceptowaniem certyfikatu kaødorazowo sprawdzana jest jego aktualnoúê, data waønoúci oraz kontrolowana jest specjalna lista udostípniana przez CA, zawierajπcπ informacje o certyfikatach uniewaønionych, tzw. CRL (Certificate Revocation List). Zastosowanie w aúciwego trybu pracy protoko u IKE wp ywa na bezpieczeòstwo sieci VPN wykorzystujπcych IPSec. Uøycie certyfikatûw centralizuje, upraszcza oraz czyni ca oúê procesu zarzπdzania sieciπ bardziej elastycznym. WÍze nie musi posiadaê informacji o innych urzπdzeniach, a jedynie zdolnoúê komunikowania sií z urzídem certyfikacji, niezbídnπ dla weryfikacji certyfikatu. Nie znaczy to, øe dostípne technologie w ca oúci pokrywajπ potrzeby w zakresie efektywnej obs ugi certyfikatûw wystawianych urzπdzeniom. Na przyk ad brakuje systemûw pozwalajπcych na przeprowadzenie bezpiecznego, zautomatyzowanego procesu wystawiania nowych certyfikatûw w miejsce tracπcych waønoúê. Bezsprzecznie jednak administratorzy zarzπdzajπcy sieciami VPN o wiíkszej liczbie wíz Ûw powinni rozwaøyê zastosowanie certyfikatûw X.509. Autor kieruje Zespo em Integracji i BezpieczeÒstwa SystemÛw NASK Bibliografia [1] IETF Internet Engineering Task Force (http://www.ietf.org) [2] RFC zwiπzane z IPSEC RFC 2104 HMAC: Keyed-Hashing for Message Authentication RFC 2144 The CAST-128 Encryption Algorithm RFC 2202 Test Cases for HMAC-MD5 and HMAC-SHA-1 RFC 2268 A Description of the RC2(r) Encryption Algorithm RFC 2401 Security Architecture for the Internet Protocol RFC 2402 IP Authentication Header RFC 2403 The Use of HMAC-MD5-96 within ESP and AH RFC 2404 The Use of HMAC-SHA-1-96 within ESP and AH RFC 2405 The ESP DES-CBC Cipher Algorithm With Explicit IV RFC 2406 IP Encapsulating Security Payload (ESP) RFC 2407 The Internet IP Security Domain of Interpretation for ISAKMP RFC 2408 Internet Security Association and Key Management Protocol (ISAKMP) RFC 2409 The Internet Key Exchange (IKE) RFC 2410 The NULL Encryption Algorithm and Its Use With IPsec RFC 2411 IP Security Document Roadmap RFC 2412 The OAKLEY Key Determination Protocol RFC 2451 The ESP CBC-Mode Cipher Algorithms RFC 2631 Diffie-Hellman Key Agreement Method [3] SCEP Standard komunikacji z CA w procesie uzyskiwania certyfikatu zaproponowany przez CISCO System i zaaprobowany przez IPSEC Konsorcjum [4] CMP RFC 2510 Internet X.509 Public Key Infrastructure Certificate Management Protocols RFC 2511 Internet X.509 Certificate Request Message Format 17
Biometria Biometryczne metody weryfikacji tożsamości Twój wój PIN to Ty T Część 2 Ten artyku jest drugπ czíúciπ wyk adu wyg oszonego w czasie VI Festiwalu Nauki Polskiej we wrzeúniu 2002 roku w siedzibie NASK. Obraz siatkówki oka Historia identyfikacji toøsamoúci na bazie siatkûwki oka siíga lat 30-tych minionego stulecia. W roku 1936 C. Simon i I. Goldstein opracowali pierwszy system do automatycznej weryfikacji wzoru naczyò krwionoúnych widocznych na zdjíciu siatkûwki wykonanym w podczerwieni. Rysunek 1. ZdjÍcie siatkûwki oka z automatycznie wyznaczonym po oøeniem naczyò krwionoúnych naczyniûwki oraz ich rozga Ízieniami (punkty charakterystyczne) 1 Obserwowany obraz nie jest w rzeczywistoúci zdjíciem siatkûwki, gdyø sama siatkûwka jest przezroczysta dla úwiat a podczerwonego uøywanego w tej metodzie. ZdjÍcie uøywane w procesie weryfikacji jest efektem odbicia úwiat a od uk adu naczyò krwionoúnych znajdujπcego sií tuø pod siatkûwkπ ñ w ukrwionej warstwie naczyniûwki oka, rys. 1. ZdjÍcie wykonywane jest jedynie w obríbie ma ego okrπg ego obszaru siatkûwki przy uøyciu specjalnej kamery z bardzo ma ej odleg oúci od oka przy jednoczesnym oúwietlaniu dna oka. Zastosowanie siatkûwki oka w systemach biometrycznych ma zalety podobne do zalet systemûw bazujπcych na tíczûwce. Naleøπ do nich: znikoma penetracja genetyczna, co zapewnia wysokπ rûønorodnoúê wzorûw siatkûwki w obríbie danej populacji, wysoka stabilnoúê wzoru w czasie, Andrzej Pacut Adam Czajka ogromne trudnoúci (wiíksze niø w przypadku badania wzoru tíczûwki), zwiπzane z jakπkolwiek prûbπ oszustwa takiego systemu, ale teø zwiπzane z wysokim ryzykiem podczas ingerencji chirurgicznych w uk ad naczyò krwionoúnych oka. Wady towarzyszπce tej metodzie sπ jednak znacznie wiíksze niø wady systemûw wykorzystujπcych odciski palcûw czy teø tíczûwkí oka i wciπø dyskwalifikujπ jπ w powszechnych zastosowaniach. Sπ to m.in.: ma a wygoda uøytkowania. Oko musi znaleüê sií w úciúle ustalonym po oøeniu wzglídem obiektywu kamery, nie dopuszcza sií zdjíê w okularach lub soczewkach kontaktowych, faza wprowadzania uøytkownika do bazy jest skomplikowana i wymaga pomocy przeszkolonego operatora, obawa (nie potwierdzona jednak w badaniach naukowych), øe úwiat o podczerwone (o mocy oko o 7mW w systemie ICAM 2001) jest w stanie uszkodziê delikatne receptory siatkûwki, wysoki koszt sensorûw. Rysunek 2. Czytnik siatkûwki oka ICAM 2001, produkt firmy RaycoSecurity G Ûwnym producentem systemu automatycznej weryfikacji siatkûwki oka (ICAM 2001, rys. 2) jest firma Rayco Security 2. System tworzy 40-bajtowy wzorzec na bazie wspû czynnikûw transformaty Fouriera badanego obrazu. Wed ug danych firmowych, prawdopodobieòstwo zaakceptowania fa szywej osoby podczas procesu weryfikacji (ang. FAR ñ False Acceptance Rate) jest bliskie zeru (zerowe dla bazy danych uøytej w eksperymentach). PrawdopodobieÒstwo odrzucenia uprawnionej osoby (ang. FRR ñ False Rejection Rate) jest jednak stosunkowo duøe i wynosi 12.4% przy pierwszej prûbie i spada do 0.4% przy trzeciej prûbie weryfikacji. Czas weryfikacji jest krûtki ñ wynosi oko o 1.5 sek. B Ídy fa szywego odrzucenia powodujπ, øe systemy te stosuje sií jak na razie jedynie w úrodowiskach, w ktûrych wysokie 1 ZdjÍcie pochodzi z artyku u: G. Lin, C. Stewart, B. Roysam, K. Fritzsche, ìalgorithms for Real-time Feature Extraction and Spatial Referencing: Application to Retinal Image Sequencesî, przyjítego do druku w IEEE Transactions on Biomedical Engineering, October 2002 2 zobacz http://www.raycosecurity.com/biometrics/eyedentify.html 18
Biometria bezpieczeòstwo ma zasadnicze znaczenie a wygoda uøytkowania nie jest najistotniejsza. Do zastosowaò naleøπ wiíc systemy dostípu do reaktorûw jπdrowych, obiektûw militarnych (np. w Szwecji i Hiszpanii), archiwûw bankowych, obszarûw wiíziennych, itp. Geometria dłoni Badanie geometrycznych cech ludzkiej d oni nie wymaga tak zaawansowanego sprzítu jak ma to miejsce w przypadku fotografowania siatkûwki oka. ZdjÍcia wykonywane sπ kamerami o parametrach standardowej kamery przemys owej. D oò oúwietla sií najczíúciej od gûry promieniami podczerwonymi, co przy dodatkowym zastosowaniu filtrûw podczerwieni niweluje zak Ûcenia spowodowane umiejscowieniem czytnika (np. blisko okna lub sztucznych ürûde úwiat a). Sama biometria d oni jest jednπ z najprostszych, najszybszych i najmniej k opotliwych dla uøytkownika metod, i z tych wzglídûw cieszy sií ogromnπ popularnoúciπ g Ûwnie tam, gdzie wymagany jest pewien kompromis miídzy wygodπ a wysokim poziomem bezpieczeòstwa (np. rejestracja czasu pracy, dostíp pracownikûw firmy do wyznaczonych obszarûw w budynku, szybka kontrola uczestnikûw wielkich zgromadzeò, itp.). Rysunek 3 przedstawia przyk adowe zdjície d oni oraz obrazy przetworzone w kolejnych krokach algorytmu wyznaczania geometrycznych cech d oni, wykonane przez system rozwijany w NASK i PW. Po wyznaczeniu krawídzi i wyszukaniu obrysu d oni system wyszukuje automatycznie wierzcho ki palcûw (w 1,...,w 4 ), punkty u nasady palcûw (s 1, s 2, s 3 oraz na ich podstawie p 1,...,p 4 ) oraz dwa punkty zewnítrzne d oni z 1, z 2. Na 25-elementowy wektor cech sk adajπ sií (por. rys. 3C): szerokoúci palcûw mierzonych w czterech rûwnoodleg ych miejscach wzd uø kaødego palca na prostych wi-pi (16 elementûw), d ugoúci palcûw (4 elementy), szerokoúê nasady kaødego palca tzn. odleg oúci pomiídzy punktami si i zi (4 elementy) oraz szerokoúê d oni jako odleg oúê pomiídzy punktami z 1 i z 2 (1 element). Decyzja o kwalifikacji danego zdjícia d oni na bazie przedstawionego wektora cech dokonywana jest przez sieê neuronowπ (dwuwarstwowy perceptron z sigmoidalnymi funkcjami aktywacji). Dla bazy zdjíê wykonanych dla 50 uøytkownikûw system identyfikuje poprawnie wszystkie osoby, natomiast w przypadku weryfikacji otrzymujemy odpowiednio FAR=0% oraz FRR=2% (dla pierwszej prûby). Niekwestionowanym liderem w produkcji zarûwno czytnikûw, jak i algorytmûw weryfikujπcych kszta t d oni jest firma Recognition Systems Inc. Produkt tej firmy, czytnik HandKey (rys. 4) jest instalowany w wielu miejscach na ca ym úwiecie. Mniej znane sπ produkty firm Dermalog i Biomet Partners. Rysunek 4. Komercyjne systemy weryfikacji geometrii d oni, rûøniπce sií jednak metodπ pomiaru. Od lewej: czytnik HandKey firmy Recognition Systems Inc. identyfikujπcy na bazie geometrii 4 palcûw, czytnik firmy Dermalog analizujπcy odcisk ca ej d oni oraz czytnik FingerPhoto firmy Biomet Partners identyfikujπcy na podstawie geometrii jedynie dwûch palcûw Biometria d oni znalaz a wiele rûønorodnych zastosowaò. Naleøπ do nich: Rysunek 3. A) zdjície d oni wykonane przez system skonstruowany w Pracowni Biometrii NASK i Politechnice Warszawskiej, B) znajdowanie krawídzi d oni (przy zastosowaniu operatorûw gradientowych), C) znajdowanie i wype nianie konturu d oni oraz automatyczny pomiar jej cech geometrycznych (czerwone punkty pomiarowe wyznaczane automatycznie) Igrzyska Olimpijskie 1996, lotnisko Kennedyíego ñ system INSPASS (Immigration and Naturalization Serviceís Passenger Accelerated Service System) dla pasaøerûw bezwizowych, wiízienie federalne w Jesup, Georgia (1995), parlament kolumbijski (1992), przedszkole w Nowym Meksyku, do weryfikacji rodzicûw dzieci, 19
Biometria weryfikacja klientûw sto Ûwki studenckiej w University of Georgia (od 1973), elektronie atomowe i obiekty wojskowe w USA. Podpis odręczny Rozwiπzania problemûw weryfikacji i klasyfikacji podpisûw odrícznych podzieliê moøna na bazie wymiarowoúci informacji dostípnej podczas procesu pisania. W podejúciu statycznym wykorzystywane sπ podpisy skanowane, natomiast w podejúciu dynamicznym zak ada sií dostípnoúê informacji zaleønej od czasu w formie p-wymiernych danych, dla p od 3 do 5. Metody bazujπce na skanowanych podpisach nie wymagajπ specjalistycznego sprzítu, jednakøe iloúê dostípnej informacji niejednokrotnie dyskwalifikuje je w powaønych zastosowaniach, gdyø obraz podpisu (np. na papierze) doúê atwo jest sfa szowaê. Metody wykorzystujπce dynamikí procesu podpisywania wykorzystujπ zwykle podczas podpisu tablety graficzne, ktûre ñ pomimo niskich kosztûw ñ cechujπ sií wysokπ dok adnoúciπ pomiaru po oøenia koòcûwki piûra, nacisku piûra oraz kπtûw elewacji i azymutu piûra, rûwnieø wtedy, gdy koòcûwka piûra wídruje ponad powierzchniπ tabletu (do ok. 1cm). System skonstruowany w Pracowni Biometrii NASK oraz w Instytucie Automatyki i Informatyki Stosowanej PW [2] wykorzystuje panel podpisu ñ tablet firmy WACOM 3 ze specjalnie przygotowanπ ramkπ, rys. 5. Dane pochodzπce z tabletu sk adajπ sií na ciπg uporzπdkowanych w czasie piíciowymiarowych prûbek (po oøenie na p aszczyünie, nacisk oraz dwa kπty). Moøna je traktowaê w rûønoraki sposûb, np. jako krzywπ parametrycznπ w piíciowymiarowej przestrzeni (gdzie parametrem jest czas) lub ñ co atwiej sobie wyobraziê ñ jako zestaw piíciu sygna Ûw w czasie, rys. 6. Sπ one nastípnie uøywane do wyznaczania unikalnych cech podpisu danej osoby. Pod uwagí bierzemy d ugoúê podpisu, wspû czynniki trendu dla sk adowych po oøenia na p aszczyünie tabletu, oraz pierwsze, drugie i trzecie momenty statystyczne wybranych sygna Ûw. Cechy niosπce w przybliøeniu tí samπ informacjí (czyli cechy odznaczajπce sií wysokim wspû czynnikiem korelacji) sπ eliminowane, a pozosta e cechy (u nas od 12 do 20) tworzπ wektor uøywany do weryfikacji bπdü identyfikacji danego podpisu. Stosowane sπ rûøne techniki porûwnywania wyznaczonych wektorûw cech w celach weryfikacji lub identyfikacji. Dobre rezultaty, wymagajπce jednak fazy uczenia, otrzymywane sπ np. przy uøyciu ukrytych modeli Markowa (Hidden Markov Models) oraz klasyfikacji za pomocπ sieci neuronowych. Metody te uøywane sπ w systemie rozwijanym w NASK i PW. Prostsze, choê zwykle mniej dok adne sπ metody wykorzystujπce metryki dwûch wektorûw w przestrzeni cech. Obecnie istnieje kilka komercyjnych wersji systemûw weryfikacji podpisu odrícznego. Najbardziej znane sπ produkty firm SoftPro, SignPlus oraz CyberSign Japan Inc. Inne przyk ady takich systemûw to propozycje firm MotionTouch, Communication Intelligence Corp., LCI SMARTpen, Inc., Net Nanny Software Inc., WonderNet, Ltd. B Ídy pope niane przez te systemy zaleøπ ñ jak w przypadku kaødej biometrii ñ nie tylko od metody lecz takøe od przyjítych kryteriûw akceptacji uøytkownika i zawsze odnoszπ sií do konkretnej, czísto niewielkiej bazy danych biometrycznych. Dla wspomnianych systemûw wartoúci wspû czynnikûw FAR podawane przez producentûw wahajπ sií pomiídzy 0% i 5%, zaú wartoúci FRR pomiídzy 2% a 15% (dla pierwszej prûby). System opracowany przez NASK i PW dla bazy 48 osûb osiπgnπ dla FAR=0% wspû czynnik FRR=8.3% (weryfikacja) oraz 100% poprawnej klasyfikacji osûb w procesie identyfikacji. Rysunek 5. Specjalnie przygotowana ramka podpisu (wyøej) oraz tablet WACOM jako panel podpisu (niøej) 3 zobacz http://www.wacom.de Rysunek 6. Przyk adowy podpis uøywany w eksperymencie 20
Biometria Rysunek 7. ZbiÛr 5 sygna Ûw w czasie ñ otrzymanych dla podpisu z rys. 6 pû obraz 5 wykonywany jest przy oúwietleniu interesujπcego obiektu úwiat em znajdujπcym sií w osi obiektywu, zaú drugi pû obraz úwiat em nie wspû liniowym. PorÛwnujπc oba pû obrazy najwiíksze rûønice dostrzec moøna w okolicy ürenic oczu, gdzie dla pierwszego pû obrazu widaê bídzie wyraüne odbicie úwiat a od dna oka, a w drugim takiego efektu nie dostrzeøemy. Metoda taka lokalizuje rûwnieø twarz obrûconπ o pewien kπt, co jest najpowaøniejszym problemem wiíkszoúci algorytmûw. Rysunek 8. Tablet firmy MotionTouch przeznaczony do systemûw weryfikacji podpisûw odrícznych Rozpoznawanie twarzy Poczπtkowo systemy weryfikacji twarzy dzia a y poprawnie wy πcznie w tzw. úrodowisku kontrolowanym, czyli posiadajπcym jednolite t o, atwo odrûøniajπce sií od g owy, a fotografie by y robione zawsze dla identycznej orientacji i odleg oúci g owy od kamery. Pierwsze algorytmy wraøliwe by y (w wiíkszym stopniu niø obecnie) na zmiany wyglπdu twarzy spowodowane okularami, zmianπ fryzury, obecnoúciπ wπsûw, brody, itp. Dzisiejsze algorytmy sπ w wiíkszoúci przypadkûw inwariantne w stosunku do przytoczonych zak ÛceÒ (choê nie zawsze wobec orientacji g owy), a g Ûwnym kierunkiem ich rozwoju jest czas przetwarzania, tak aby maksymalnie skrûciê czas identyfikacji osoby w duøych bazach danych. Podstawowym elementem wspû czesnych systemûw weryfikacji twarzy jest detekcja i lokalizacja twarzy w obrazie otrzymywanym z kamery. Rysunek 9 przedstawia cztery kroki algorytmu detekcji twarzy w systemie budowanym w NASK i PW. Algorytm ten oparty jest na powszechnie wykorzystywanej technice transformaty Hougha. Metody oparte wy πcznie na geometrycznych cechach obiektûw obrazu zawodzπ jednak, gdy w obrazie pojawiajπ sií inne kszta ty, na ktûre wraøliwy jest algorytm. Ciekawym pomys- em metody nie posiadajπcej tej wady, choê wymagajπcej specjalistycznego sprzítu, jest podejúcie oparte na detekcji po oøenia oczu, z wykorzystaniem... efektu czerwonych oczu, tak niepoøπdanego w normalnej fotografii 4. Pierwszy 4 Carlos Morimoto, Dave Koons, Arnon Armir, Myron Flickner, ìreal-time Detection of Eyes and Facesî, IBM Research Center 5 W telewizji przemys owej standardem jest tzw. wybieranie miídzyliniowe ñ kaødy obraz sk ada sií z dwûch pû obrazûw o dwukrotnie mniejszej liczbie linii poziomych Rysunek 9. Cztery kolejne kroki algorytmu lokalizacji twarzy wykonane przez system konstruowany w Pracowni Biometrii NASK i Politechnice Warszawskiej: A) zdjície twarzy wykonane celowo w úrodowisku zawierajπcym w tle inne kszta ty, B) obraz kierunkowy, C) macierz akumulatorowa transformaty Hougha, D) obraz wejúciowy z automatycznie oznaczonπ lokalizacjπ twarzy Wycinek obrazu zawierajπcy zlokalizowanπ twarz jest przekazywany do algorytmu weryfikacji/identyfikacji. Pierwsza grupa metod weryfikujπcych obraz twarzy traktuje obraz jako wektor jednakowo istotnych elementûw (tu: pikseli). NastÍpnie za pomocπ znanych narzídzi statystycznych eliminowane sπ elementy silnie skorelowane, prowadzπc do zestawu s abo zaleønych liczb tworzπcych wektor cech twarzy. M. Turk i A. Pentland zaproponowali w roku 1991 tzw. metodí twarzy w asnych (ang. eigenfaces), bazujπcπ na transformacie Karhunena-Loevego (czíúciej okreúlanej w literaturze mianem analizy sk adowej g Ûwnej ñ PCA, ang. Principal Component Analysis), ktûra obecnie jest niemaløe standardem w systemach weryfikacji twarzy. Metoda ta doczeka a sií licznych modyfikacji zwiíkszajπcych jej niezawodnoúê (np. metoda fisherfaces, analiza sk adowych niezaleønych). 21