Firewalls

Tulimuurien tehtävä tietoliikenteessä on erottaa kaksi tai usaempaa verkkoa omiksi turva-alueikseen. Usemmiten tulimuureilla erotetaan organisaation oma verkko Internetistä, mutta myös organisaation sisällä voidaan tehdä turva-alueisiin jakoja.

Tässä dokumentissa käsitellään tulimuureissa käytettyjä tekniikoita, lähinnä kuinka ne toimivat, sekä lisäksi tarkastella eri tekniikoiden huonoja ja hyviä puolia. Tavoitteena onkin teknisen tiedon avulla saada lukija suhtautumaan kriittisemmin tulimuureihin ja niiden tekniikoihin.

Sanasto

AG

Application Gateway. Tulimuuri tekniikka joka perustuu sovellustason välitykseen.

Bastion Host

Etuvarustus-kone. Tulimuurin osa joka on suorassa yhteydessä ulkoisen verkkoon ja toimii tulimuurin etuvarustuksena.

DMZ

De-Militarized Zone. Verkkoalue joka on suojeltavan verkon ja ulkoisen verkon välissä.

Firewall

Tulimuuri. Ohjelmisto- ja laitteistokokonaisuus jonka tarkoituksena on erottaa osa verkosta omaksi turva-alueekseen.

ICMP

Internet Control Message Protocol. Yhteyskäytäntö joka välittää IP-yhteyskäytännön signaloinnin.

IP

Internet Protocol. Yhteyskäytäntö joka hoitaa pakettien reitityksen lähettäjältä vastaanottajalle.

MLPF

Multilevel Packet Filtering. Pakettien suodatustapa jossa suodatusta useammassa yhteyskäytäntöpinon eri tasojen rajapinnassa.

NAT

Network Address Translation. Tekniikka jolla tulimuuri vaihtaa IP-osoitteita minkä seurauksena vastaanottaja kuvittelee yhteyden tulevan tulimuurikoneesta eikä varsinaiselta lähettäjältä.

OSI

Open Systems Interconnection. Avoin viitekehys tietoliikennejärjestelmille.

Proxy

Välitin. Välitin jota sovellus pyytää hoitamaan tarvittavan tietoliikenteen. Yleensä välittimissä on välimuisti nopeuttamassa palvelupyyntöjen suorituksia ja vähentämässä tarvittavaa verkkoliikennettä.

SNMP

Simple Network Management Protocol. Verkonhallintaan käytetty yhteyskäytäntö.

TCP

Treansmission Control Protocol. Yhteydellinen TCP/IP-perheen yhteyskäytäntö.

TCP/IP

Treansmission Control Protocol/Internet Protocol. Internetissä käytetty yhteyskäytäntöperhe.

UDP

User Datagram Protocol. Yhteydetön TCP/IP-perheen yhteyskäytäntö.

1. Johdanto

Organisaatioiden liittäessä sisäisiä verkkojaan osaksi Internetiä on tullut ajankohtaiseksi myös miettiä turvaratkaisuja. Myös organisaation sisällä verkon tietoturvatietoisuuden kehittyminen kasvattaa paineita turvallisuusratkaisujen hankkimiseen.

Usein eritetään tulimuurin hankkimista patenttiratkaisuna useimpiin verkkoturvallisuuden ongelmiin. Ajatuksena tuntuu olevan että "me olemme turvassa koska meillä on tulimuuri". Tuontapaiset ajatukset ovat todella epärealistisia ja samalla vaarallisia.

Tässä dokumentissa kuvataan tulimuurehin liittyviä tekniikoita. Tarkoituksena on saada lukija ymmärtää miten tulimuureja voidaan käyttää verkon suojauksessa ja osoittaa joitain eri tekniikoiden huonoja puolia. Tulimuurin pitää aina olla vain osa kokonaisvaltaista tietoturvaratkaisua [1].

2. Tulimuuri tekniikat

2.1 Pakettisuodatus

Pakettisuodatus on yksinkertaisin ja samalla nopein tulimuurien toteutustekniikka. Sen yksinkertaisuuden vuoksi lähes kaikki reitittimet sisältävät jonkinlaisen mahdollisuuden käyttää tätä tekniikkaa. Pakettisuodatus tosin usein tukee vain muutamaa yhteyskäytäntöä.

Pakettisuodatus tapahtuu siten että käydään suodatuslistaa läpi alkio kerrallaan kunnes löytyy suodatussääntö jonka kenttien arvot täsmäävät tarkasteltavan paketin kanssa. Näin löydetty sääntö kertoo pitääkö paketti hylätä vai hyväksyä. [2]

Suodatuslistan sääntö sisältää vain muutamia paketin kenttiä. Näitä kenttiä ovat lähettäjän ja vastaanottajan osoitteet, porttinumero UDP- ja TCP-yhteyskäytäntöjen yhteydessä, ICMP-yhteyskäytännön operaatiokoodi sekä TCP-yhteyskäytännön otsikon lippukenttä. [2]

2.2 Tilallinen pakettisuodatus

Tilallinen pakettisuodatuksen ero pakettisuodatukseen on loogisen yhteyden tilatiedon ylläpito. Yhteydellisen TCP-yhteyskäytännön kohdalla on luonnollista yhteyden avauksen yhteydessä luoda tilatieto yhteydestä. Myös yhteydettömästä UDP-yhteyskäytännöstä voidaan luoda vastaava "loogisen yhteyden" tilatieto, koska useimmiten osapuolet eivät vaihda porttinumeroita kesken UDP-pakettien liikenteen.

Tilatietojen ansiosta TCP-yhteyskäytännön suodatus tulee paljon paremmaksi, samoin UDP-yhteyskäytännön yhteydessä voidaan käyttää hyväksi tilatietoja.

Yleensä tilallisen suodatuksen yhteydessä käytetään sovellustason yhteyskäytäntökohtaisia suodatuksia, joiden tehtävä on estää liikenteen läpimeno jos se näyttää hyökkäykseltä. [3]

2.3 Sovellustason välitys

Sovellustason välitystekniikka samankaltainen kuin proxy-tekniikka. Erona on läpinäkyvyys: siinä missä proxy-tekniikkaa vaatii useimmiten sovelluksilta tietoa proxyn olemassaolosta, tulimuureissa oleva sovellustason välitys on pääsääntöisesti läpinäkyvä sovelluksille.

Sovellustason välitystä käyttävässä tulimuurissa on erilaisia välitinohjelmistoja, joko yleiskäyttöisiä tai sitten sovellustason yhteyskäytäntöjä toteuttavia. Nämä välitinohjelmat suorittavat mahdollisesti normaalia enemmän auditointia ja voivat vaatia käyttäjän erityistä todentamista. [2]

3. Tekniikoiden ongelmat

3.1 Liikenteen kaksisuuntaisuus

Tulimuuri useimmiten on laitettu toteuttamaan periaatetta jossa sallitaan ulospäin yhteydet, mutta estetään kaikki ulkopäin tulevat yhteydet. Tämä periaate kuulostaa hyvältä ja turvalliselta, mutta yhteydet ovat lähes aina kaksisuuntaisia.

Tilattoman pakettisuodatuksen ongelmana on se että siinä joudutaan sallimaan myös paketit ulkoa sisäänpäin jotta kaksisuuntaiset yhteyskäytännöt toimisivat. Ainoastaan yhteyden aloitukset on estetty ulkoapäin. Seurauksena tästä on se että hyökkääjä saa toimitettua verkon sisälle haluamiaan paketteja kunhan ne eivät ole yhteyden avauksia, mikä selviää TCP-yhteyskäytännön otsikon lippukentän SYN- ja ACK-lipusta [4].

Käytännössä tästä ei ole suurta haittaa tämänhetkisen tietämyksen perusteella, mutta tulevaisuudessa tätä ominaisuutta voitaisiin hyödyntää esimerkiksi kohdeorganisaation sisäisen verkon hidastamisessa lähettämällä sinne suuren määrän paketteja. Erityisesti tilattomassa pakettisuodatus hyväksyy kaikki kaikki paketit jotka ovat IP-tasolla fragmentoituneet.

Tilallinen pakettisuodatus ja sovellustason välitys mahdollistavat tämän ominaisuuden käytön estämisen.

3.2 Tulevaisuuden hyökkäykset

Tärkeä ominaisuus tulimuurille on se kyky estää mahdollisia tulevaisuudessa keksittyjä hyökkäyksiä vastaan. Varsinkin pakettien suodatus on tässä suhteessa ongelmallinen. Pakettien suodatusta voidaan tässä suhteessa verrata fyysisessä verkkotekniikassa esiintyvään toistimeen, joka toistaa, ja mahdollisesti myös vahvistaa, signaalin virheet. Sovellustason välitys sen sijaan ei päästä alkuperäisiä paketteja suojeltavaan verkkoon, vaan muodostaa itse omat pakettinsa.

Myös tulimuureissa on suunnittelu- ja toteutusvirheitä. Eräässä kaupallisesta tulimuurissa oli sallittuna SNMP-yhteyskäytäntö, mitä hyväksikäyttäen kuka tahansa pystyi lukemaan tulimuurin asetustietoja.

4. Yhteenveto

Ei ole olemassa "100% turvallista" tulimuuria, jollei Marcus J. Ranumin ehdottamia sivuleikkureita hyväksytä. Tulimuuri pienentää, muttei koskaan poista kokonaan, riskiä siitä että hyökkääjät pääsevät suojeltavaan verkkoon ja sen laitteisiin käsiksi. [5]

Usein on tapana ostaa tulimuuri ilman että on tietoa sen sisältämästä tekniikoista ja luottaa sokeasti sen tuomaan suojaukseen. Tämä on väärä suhtautumistapa. Tulimuuri on aina vain osa laajempaa turvallisuuskäytäntöä, noudattaen vain siihen asetettuja sääntöjä.

Lähdeluettelo

Lisätietoja aiheesta