Nätverk kartläggs till grafer
Nätverkstopologier är geometriska grafer
Varje datornätverk har en topologi: den geometriska arrangemanget av noder (enheter) och kanter (anslutningar). Topologin bestämmer feltolerans, bandbredd och säkerhetegenskaper.
Fem grundläggande topologier:
- Stjärna: En central nav, alla noder ansluter till den. Enkel, billig. En enskild felningspunkt: om navet slutar fungera, slutar allt att fungera. N-1 kanter för N noder.
- Ring: Noder bildar en cirkel, var och en ansluten till två grannar. En enskild brytning delar nätverket. N kanter för N noder.
- Buss: Alla noder delar en enda ryggradskabel. Billig men benägen för kollisioner. En ryggradskabelfel tar ner allt.
- Mesh: Varje nod ansluter till alla andra noder. Maximal redundans. Ett fullständigt mesh med N noder har N(N-1)/2 kanter: det är O(N²) anslutningar. Dyr men mycket feltolerant.
- Träd: Hierarkisk förgrening. N-1 kanter (minimalt ansluten graf). Rotfel partitionerar underträd.
Verkliga nätverk är hybrider: en mesh-kärna med stjärnmönstrad åtkomstlager, trädstrukturerad routinghierarki och ringtopologiredundans vid kritiska knutpunkter.
Topologi och feltolerans
Ett datacenter har 20 servrar. Driftteamet diskuterar mellan en fullständig mesh & en stjärntopologi för det interna nätverket.
Geometri för exponering
Attackyta = Geometrisk gräns
Inom cybersäkerhet är attackytan den totala uppsättningen av punkter där en angripare kan interagera med ett system. Tänk på det geometriskt: ditt system är en form, & varje punkt på dess gräns är en potentiell ingångspunkt.
Komponenter i attackytan:
- Nätverksyta: Varje öppen port på varje offentlig IP-adress. En server med 5 öppna portar har 5 punkter på sin nätverksgräns.
- Applikationsyta: Varje API-slutpunkt, varje URL-väg, varje formulärinmatning. En webbapp med 200 vägar har 200 programlagergränspunkter.
- Humanyta: Varje anställd med autentiseringsuppgifter, varje phishing-mål. Socialteknikkattacker riktar sig mot den mänskliga gränsen.
- Fysisk yta: Varje serverrumsdörr, varje USB-port, varje nätverkskontakt.
Den geometriska principen: Säkerheten förbättras genom att minimera gränsen mellan betrodda och icke-betrodda zoner. En brandvägg definierar en geometrisk gräns: trafik innanför är betrodd, trafik utanför är det inte. Ju färre hål i denna gräns, desto mindre attackyta.
Detta förklarar varför principen om minsta behörighet är geometrisk: ge varje komponent den minsta gränsexponering den behöver för att fungera.
Minska attackyta
Ett företag kör en webbapplikation med följande exponering: 12 offentliga API-slutpunkter, SSH öppen på alla 50 servrar (port 22), en databas med en offentlig IP-adress & en adminpanel som är tillgänglig från internet.
Attackgrafer och hotträd
Hotmodellering använder grafteori
Säkerhetspersonal modellerar hot som riktade grafer. Strukturen av dessa grafer avslöjar attackvägar, högvärdiga mål & defensiva prioriteringar.
Attackgrafer: Noder representerar systemtillstånd (eller individuella system). Riktade kanter representerar möjliga övergångar: exploateringar, laterala rörelser, rättighetseskaleringar. En attackväg är en väg genom denna graf från en extern nod till en målnod.
Hotträd: En specialiserad grafstruktur. Rotnoden är angriparens mål (t.ex. 'stjäla databas'). Barnod är metoder för att uppnå föräldramålet. Blad är konkreta attackåtgärder. AND-noder kräver att alla barn lyckas; OR-noder kräver bara en.
Grafsentralitet identifierar högvärdiga mål:
- Mellannödscentralitet: En nod genom vilken många kortaste vägar passerar. I ett nätverk är detta flaskhalsen: kompromissa den, och du kontrollerar trafikflödet. En brandvägg eller domänkontroller har ofta hög mellannödscentralitet.
- Gradcentralitet: En nod med många anslutningar. I en attackgraf är en nod som kan nås från många andra noder ett högvärdigt lateralt rörelsemål.
Kortaste väg = mest sannolikt attackvektor: Angripare optimerar för färrest steg. Den kortaste vägen i en attackgraf från internet till databasen är den mest sannolika attackvägen. Försvar betyder att göra den kortaste vägen längre: lägga till noder (säkerhetskontroller) som angriparen måste genomkorsa.
Attackgrafanalys
Tänk på ett nätverk med denna struktur: Internet → Webbserver → Appserver → Databas. Webbservern ansluter också till en filserver. Appservern ansluter till en säkerhetskopieserver. En angripares mål är databasen.
Elliptisk kurvkryptografi använder geometri
Elliptiska kurvor: Där geometri blir kryptering
Elliptisk kurvkryptografi (ECC) är en av de sällsynta platser där säkerhet bokstavligen är byggd på geometriska operationer.
En elliptisk kurva är uppsättningen av punkter (x, y) som uppfyller: y² = x³ + ax + b (plus en special 'punkt i oändligheten'). Över de reella talen ser detta ut som en jämn, symmetrisk kurva.
Punktaddition: den geometriska operationen som gör kryptering möjlig:
1. Ta två punkter P & Q på kurvan.
2. Rita en rak linje genom P & Q.
3. Den linjen skär kurvan på exakt en annan punkt R'.
4. Reflektera R' över x-axeln för att få R = P + Q.
Denna 'additions'-operation bildar en matematisk grupp: den är associativ, har ett identitetselement (punkten i oändligheten) och varje punkt har en invers.
Skalär multiplikation: Att lägga till en punkt P till sig själv k gånger ger kP. Gå framåt (beräkna kP givet k och P) är snabb: O(log k) operationer med dubbel-och-add. Gå bakåt (hitta k givet P och kP) är problemet med den diskreta logaritmen för elliptiska kurvor (ECDLP): anses vara beräkningsmässigt omöjligt för stora kurvor.
Denna asymmetri är säkerhetsfundamentet för modern TLS. Din webbläsares HTTPS-anslutning använder troligen ECDHE (Elliptic Curve Diffie-Hellman Ephemeral): båda sidorna är eniga om en delad hemlighet genom att utbyta punkter på en elliptisk kurva, och ingen avlyssnare kan återställa hemligheten utan att lösa ECDLP.
Varför geometri gör god kryptering
ECC ger samma säkerhet som RSA med mycket mindre nyckelstorlekar. En 256-bitars ECC-nyckel ger ungefär samma säkerhet som en 3072-bitars RSA-nyckel.