Sieci Mapują Się Na Grafy
Topologie Sieci Są Geometrycznymi Grafami
Każda sieć komputerowa ma topologię: geometryczne układanie się węzłów (urządzeń) i krawędzi (połączeń). Topologia determinuje odporność na awarie, przepustowość i właściwości bezpieczeństwa.
Pięć podstawowych topologii:
- Gwiazda: Jedno centralne centrum, wszystkie węzły łączą się z nim. Prosta, tanio. Jedyny punkt awaryjny: jeśli centrum umrze, wszystko umrze. N-1 krawędzi dla N węzłów.
- Pętla: Węzły tworzą koło, każde połączone jest z dwoma sąsiadami. Jeden przełom dzieli sieć na dwie części. N krawędzi dla N węzłów.
- Kabel Bus: Wszystkie węzły dzielą się jednym kablem bazowym. Tanio, ale podatne na kolizje. Jeden awaria kabla powoduje zawalenie całego systemu.
- Siatkowa: Każde węzeł łączy się z każdym innym węzłem. Maksymalna redundancja. Pełna siatkowa z N węzłami ma N(N-1)/2 krawędzi: to O(N²) połączeń. Drogo, ale wysoko odpornie.
- Drzewo: Hierarchiczne rozgałęzienie. N-1 krawędzi (minimum połączonego grafu). Awaria korzenia dzieli poddrzewa.
Prawdziwe sieci są hybrydami: rdzeń siatkowy z warstwami dostępu w formie gwiazdy, hierarchiczne drzewa routingu oraz pętlowe zabezpieczenia w kluczowych punktach.
Topologia I Odporność Na Awarie
Centrum danych ma 20 serwerów. Zespół ds. operacji debatuje między pełną siatką a topologią gwiazdy dla wewnętrznej sieci.
Geometria Wydzielania
Powierzchnia ataku = Geometryczny obszar
W cyberbezpieczeństwie, powierzchnia ataku to łączny zestaw punktów, gdzie atakujący może interakcjonować z systemem. Można to postrzegać geometrycznie: Twój system to kształt, a każdy punkt na jego granicy to potencjalny punkt wejścia.
Składniki powierzchni ataku:
- Powierzchnia sieciowa: Każde otwarte gniazdo na każdej publicznej adresie IP. Serwer z 5 otwartymi portami ma 5 punktów na swojej granicy sieciowej.
- Powierzchnia aplikacji: Każde zakończenie API, każda ścieżka URL, każde pole formularza. Aplikacja internetowa z 200 ścieżkami ma 200 punktów granicznych warstwy aplikacji.
- Powierzchnia ludzka: Każdy pracownik z uprawnieniami, każdy cel phishingowy. Ataki społizujące atakują ludzki pierścień ochrony.
- Powierzchnia fizyczna: Każda drzwi do pokoju z serwerami, każde port USB, każde gniazdo sieciowe.
Zasadnicze przesłanie geometryczne: Bezpieczeństwo poprawia się przez minimalizowanie granicy między strefami uważanymi a nieuważanymi. Firewall definiuje geometryczną granicę: ruch wewnętrzny uważany jest za zaufany, ruch z zewnątrz nie. Im mniej otworów w tej granicy, tym mniejsza powierzchnia ataku.
Tłumaczy, dlaczego zasada minimum uprawnień jest geometryczna: przypisuj każdemu komponentowi minimalną granicę narażenia na wyzwania.
Zmniejszanie Powierzchni Ataku
Spółka uruchamia aplikację internetową z następującym narażeniem: 12 publicznych zakończeń API, SSH otwarte na wszystkich 50 serwerach (port 22), baza danych z publicznym adresem IP, panel administracyjny dostępny z internetu.
Wykresy Ataków i Drzewa Zagrożeń
Modelowanie Zagrożeń Wykorzystuje Teorię Grafów
Specjaliści ds. Bezpieczeństwa modelują zagrożenia jako skierowane grafy. Struktura tych grafów ujawnia ścieżki ataku, wartościowe cele oraz priorytety obronne.
Wykresy ataków: Węzły reprezentują stany systemów (lub pojedyncze systemy). Kierunkowe krawędzie reprezentują możliwe przejścia: eksploatacje, ruch boczny, podwyższenie uprawnień. Ścieżka ataku to przejście przez ten wykres od węzła zewnętrznego do celu (węzła docelowego).
Drzewa ataku: Struktura graficzna specjalna. Węzeł korzenowy to cel atakującego (np. 'ukradnąć bazę danych'). Podwęzły to metody osiągnięcia celu rodzicielskiego. Liście to konkretne działania ataku. Węzły AND wymagają powodzenia wszystkich dzieci; węzły OR wymagają tylko jednego.
Współczynnik centralny grafu identyfikuje cele o wysokiej wartości:
- Współczynnik międzywęźlności: Węzeł przez który przechodzą wiele najkrótszych ścieżek. W sieci jest to punkt zahamowania: jeśli go kompromitujesz, kontrolujesz przepływ ruchu. Serwer proxy lub kontroler domeny często ma wysoką międzywęźlność.
- Współczynnik stopni: Węzeł z wieloma połączeniami. W wykresie ataku, węzeł dostępny z wielu innych węzłów jest celem ruchu bocznego o wysokiej wartości.
Najkrótsza ścieżka = najbardziej prawdopodobny wektor ataku: Atakujący optymizują się najmniejszą liczbą kroków. Najkrótsza ścieżka w wykresie ataku od Internetu do bazy danych jest najbardziej prawdopodobnym środkiem ataku. Obrona polega na zwiększeniu długości tej najkrótszej ścieżki: dodawaniu węzłów (kontrolach bezpieczeństwa), których atakujący musi przejść.
Analiza Wykresu Ataku
Rozważ sieć o tej strukturze: Internet → Serwer Web → Serwer Aplikacji → Baza Danych. Serwer Web także łączy się z Serwerem Pliek. Serwer Aplikacji łączy się z Serwerem Rezerwacyjnym. Cel atakującego to Baza Danych.
Elliptic Curve Cryptography Uses Geometry
Krzywe Elipsy: Gdzie Geometria Staje się Szyfrowaniem
Kryptografia za pomocą krzywych eliptycznych (ECC) to jedno z nielicznych miejsc, gdzie bezpieczeństwo jest dosłownie oparte na operacjach geometrycznych.
Krzywa eliptyczna to zbiór punktów (x, y) spełniających warunek: y² = x³ + ax + b (plus jeden specjalny 'punkt na nieskończoności'). W liczbie rzeczywistych wygląda to jak gładka, symetryczna krzywa.
Dodawanie punktów: operacja geometryczna, która sprawia, że kryptografia działa:
1. Weź dwa punkty P & Q na krzywej.
2. Narysuje prostą przechodnią przez P & Q.
3. Ta prosta przecinająca krzywą znajduje się dokładnie w jednym innym punkcie R'.
4. Odbij R' względem osi x, aby otrzymać R = P + Q.
Ta 'dodawanie' operacja tworzy matematyczny grupę: jest łączna, ma element neutralny (punkt na nieskończoności) i każdy punkt ma odwrotność.
Mnożenie wektorowe: Działa to tak, że dodając punkt P do siebie k razy otrzymujemy kP. Idąc naprzód (obliczanie kP zadanym k i P) jest szybkie: O(log k) operacji korzystając z metody double-and-add. Idąc wstecz (znalezienie k zadanego P i kP) to problem logarytmu dyskretnego krzywych eliptycznych (ECDLP): uważa się, że jest to obliczenie niemożliwe dla dużych krzywych.
Ta nieregularność jest podstawą bezpieczeństwa współczesnych połączeń TLS. Twoja przeglądarka prawdopodobnie korzysta z ECDHE (Elliptic Curve Diffie-Hellman Ephemeral): obie strony zgadzają się na wspólny sekret, wymieniając punkty na krzywej eliptycznej, a nikt nie może odzyskać sekretu bez rozwiązania ECDLP.
Dlaczego Geometria Sprawia, Że Dobrym Kryptografią Jest
ECC dostarcza takiego samego bezpieczeństwa jak RSA, ale z mniejszymi rozmiarami kluczy. 256-bitowy klucz ECC dostarcza takiego samego bezpieczeństwa jak 3072-bitowy klucz RSA.