TOMÁŠ PŘIBYL > tp.pribyl@seznam.cz

Dnešní Síť sítí představuje čím dál větší zdroj nebezpečí. Ať se nám to líbí nebo ne, musíme se otázkám zabezpečení věnovat. A to zvláště u počítačů, na nichž se střídají uživatelé jako na běžícím pásu a kde tedy nelze předpokládat velkou disciplínu či zodpovědnost.

Kdo a proč útočí?

Abychom výše uvedená slova potvrdili, nechme promluvit statistiky suchou řečí čísel. Podle průzkumu provedeného Department of Computer Science and Engineering při University of Washington v USA je totiž jedna ze 67 www stránek infikovaná nějakou formou škodlivého kódu! Zpracovány přitom byly údaje z osmnácti miliónů stránek (a to ze všech oblastí včetně školství či státní správy, což je číslo bez jakékoliv diskuse statisticky významné). Jinak by se také dalo říci, že 1,5 procenta zkoumaných stránek se pokouší zneužít chyby (nejčastěji v aplikaci Windows Internet Exploreru) k instalaci škodlivého kódu bez vědomí uživatele.

Počet infikovaných www stránek přitom roste geometrickou řadou. Avšak proč tomu tak je? Proč útočníci opouštějí třeba e-mail, který měl před několika lety z hlediska šíření škodlivých kódů téměř „monopol“?

Důvodů můžeme najít hned několik. Prvním z nich je skutečnost, že antivirové a bezpečnostní společnosti dokázaly vypracovat velmi účinné obranné mechanismy. Jejich průměrná reakční doba se dostala pod tři hodiny, což znamená, že prakticky každá rozjíždějící se kalamita byla zastavena na samotném počátku. Právě pořádný start a následné značné rozšíření potřebuje e-mailový červ (virus, prostě jakýkoliv škodlivý kód) ze všeho nejvíce.

Dále: kontrolovat a filtrovat elektronickou poštu je relativně jednoduché. Když už nic jiného, tak stačí prostě a jednoduše „zahazovat“ potenciálně nebezpečné přípony. Kdo z běžných uživatelů potřebuje k práci elektronické posílání souborů s příponou EXE, VBS nebo PIF? Jistě, jsou profese, kde své opodstatnění mají (programátoři apod.), ale pro opravdu běžného uživatele představují buď zdroj legrácek, nebo problémů…

Dalším důvodem, proč agresoři elektronickou poštu rychle opouštějí, je skutečnost, že škodlivé kódy jí šířené si „žijí vlastním životem“. Jakmile je hacker vypustí do světa, má už jen minimální možnosti jejich vlastnosti či chování ovlivňovat. Což opět není pouze mínus hackera, ale zároveň i plus pro uživatele a bezpečnostní firmy.

Naproti tomu škodlivý kód umístěný do webové stránky má mnoho „výhod“ (měřeno pochopitelně očima útočníka). Tím, že se nešíří, nejsou k dispozici tak jednoduše a rychle vzorky. Co si budeme namlouvat: přes všechny heuristické metody a další sofistikované technologie jsou dnešní antivirové programy z větší části stále ještě odkázané na aktualizace svých databází škodlivých kódů. A statický kód umístěný někde v hlubinách internetu mohou bezpečnostní firmy jen obtížně objevit.

A pokud se to přece jen podaří, stačí útočníkovi provést drobné změny v kódu a opět je „nedetekovatelný“. Nehledě na to, že bezpečnostním firmám přibývá práce - kromě detekování škodlivých kódů ještě zdlouhavé a obtížné jednání s provozovateli určitých www stránek s cílem zajistit jejich odpojení (což je ale stejně boj s větrnými mlýny, protože ve světě internetu není pro agresora nic jednoduššího než „živnost“ přesunout).

Dobře, ale v případě elektronické pošty dostane uživatel virus prakticky „pod nos“ - ale v případě škodlivého kódu na internetu je potřeba jej na příslušnou stránku nějak dostat! To je sice pravda, ale není to tak těžký úkol, jak by se na první pohled mohlo zdát. Protože spamová (= nevyžádaná) zpráva s odkazem na příslušnou stránku se do schránky uživatele dostane snadněji než právě virus. A pak už stačí jen trocha fantazie k tomu, aby hacker naivního uživatele zlákal k návštěvě nějaké nebezpečné stránky: zpravidla mu při tom naslibuje hory doly…

Pokud si toto vše shrneme, pak je nám asi bezezbytku jasné, že je zapotřebí věnovat pozornost filtrování internetového provozu.

Nejen filtrování

Abychom byli čestní a upřímní: ochrana internetu se netýká pouze filtrování provozu. Je nutné dbát na několik dalších základních pravidel (viz závěr článku). Filtrování ale má několik výhod. Předně umožňuje blokovat přístup na potenciálně či skutečně nebezpečné stránky dříve, než na ně uživatelé fyzicky vstoupí (a ohrozí tím počítač).

Dále umožňuje definovat různá pravidla pro různé uživatele či jejich skupiny. Ostatně, viz dále rodičovská kontrola. Jeho další předností je to, že si poradí se stránkami s nevhodným či neetickým obsahem - tedy i s takovými, které by z hlediska prosté bezpečnosti byly prohlášeny za korektní, ale které jsou třeba v konkrétním případě nevhodné (jde například o problematiku dětí a on-line sázení).

Stejně tak je možné filtrováním blokovat celé nebezpečné domény. Nebo naopak povolovat domény bezpečné. V této souvislosti by třeba velmi pomohlo, kdyby se Evropské unii podařilo prosadit návrh, aby dětské weby získaly doménu „kid“ - měly by tak podobu www.internet.kid, www.google.kid, prostě www.cokoliv.kid. Dětské weby by tak získaly naprosto jednoznačný identifikační znak. (Pochopitelně, aby nebylo možné toto pravidlo zneužívat, musely by být velmi přísné podmínky pro registraci těchto domén a pravděpodobně i pro jejich používání.) Není to nápad nový, už dříve se uvažovalo třeba o zavedení domén „sex“ pro stránky pro dospělé apod.

Každopádně ale nesmíme zapomínat, že stejně jako v reálném světě nic není černé nebo bílé, tak ani samotné filtrování není všelékem a má kromě svých nesporných předností také zápory. Úskalím číslo jedna je vyřešení otázky „podle jakého (pří)znaku weby“ filtrovat. Dá se totiž říci, že když zvolíme jeden, pak na něj spolehlivě všechny www stránky nenapasujeme. A bude docházet k tzv. false positives a false negatives. False positive je situace, kdy je korektní stránka označena (z nějakého důvodu) jako nebezpečná. False negative je přesný opak této situace a nebezpečná/nevhodná stránka při tomto stavu není označena.

Toto úskalí se dá přitom rozdělit na dvě podoblasti. První je kvalita rozhodovacího algoritmu, druhá je kvalita databáze, s níž se pracuje. Obě podoblasti přitom musí být kvalitně ošetřené. Protože pokud máte výtečný vyhledávací a zpracovávací algoritmus, ale mizernou databázi, výsledky nebudou slavné. Stejně tak v případě výtečné databáze, ale silně podprůměrného vyhledávacího algoritmu, který nedokáže stoprocentně využít jejích předností.

Filtrování URL odkazů

Nejčastěji používanou metodou filtrace je filtrování URL odkazů, tzv. URL filtering. Asi si docela dobře dokážeme představit třeba filtrování webů s tematikou pro dospělé, nicméně celá technologie má v praxi mnohem širší využití.

Kontrola přístupu k webu může mít podobu buď nějaké bezpečnostní směrnice (těžko si ale dělat iluze o její funkčnosti, navíc velmi špatně budete definovat, co ještě možné je a co už není žádoucí) nebo specializované aplikace. Nejčastěji se v této souvislosti lze setkat s označením „software pro kontrolu obsahu“, méně častěji se „software pro filtrování webu“ nebo kontroverzním „censorware“. Hlavně poslední ironické označení přitom nerady vidí firmy, které se vývojem a prodejem podobných nástrojů zabývají (software principielně nic necenzuruje, ale pochopitelně může být zneužitý k prosazování určitých zájmů).

Speciální kategorií software pro filtrování webu je tzv. rodičovská kontrola (parental control software). Ale její možnosti jsou zpravidla jiné než u podnikových řešení: umožňuje na jednom počítači vytvářet účty pro různé uživatele, nemá centrální správu, umožňuje pracovat na principu opt-in (navštěvovat mohu jen určité weby), zatímco firemní řešení zpravidla pracují na principu opt-out (navštěvovat mohu vše, kromě zapovězených) apod.

Pozor, celá záležitost se může velmi jednoduše stát problematickou. A to zvláště v případě, kdy je třeba URL filtrace aplikována bez vědomí uživatelů nebo bez absence jasných pravidel (v zahraničí už bylo mnoho soudních sporů, protože zaměstnavatel blokoval weby nejen v návaznosti na produktivitu práce, ale třeba i v souvislosti se svým náboženským přesvědčením). Otázka filtračního software tak vždy záleží na mnoha okolnostech a způsobech použití, těžko se vytvoří jednotný univerzální mustr.

Pokud si odmyslíme erotiku a otázky spojené s cenzurováním internetu, pak je zapotřebí podotknout, že filtrování odkazů URL (Uniform Resource Locators) má i ryze bezpečnostní kontext. Původně byly URL jednoduchým nástrojem sloužícím ke směrování webového prohlížeče na zvolenou www stránku. Dnes jde ovšem o složité metajazyky sloužící k výměně obsahu a příkazů stejně jako médium pro přenos klientských a serverových dat. Čím dál tím častěji URL využívají hackeři či škodlivé kódy, takže se jeho kontrola stává nezbytnou.

URL filtry ve spojení s kvalitní databází se také mohou stát cennými pomocníky v boji proti spyware a dalším škodlivým kódům. Kromě blokování stránek, jejichž nebezpečnost je veřejně známá, může být eliminováno použití třeba webových e-mailových služeb (častý zdroj problémů), stránek pro sdílení souborů a webových zdrojů umožňujících přístup do sítě bez odpovídající autorizace (tzv. anonymizéry).

Nebezpečí lze také snížit použitím specializovaného firewallu. Ten jednoduše prověřuje, zdali pakety pokoušející se dostat do sítě mají k tomuto vstupu oprávnění. Tedy zda nejde o pakety útočné.

Mějme přitom na paměti, že filtrování obsahu webu vůbec není procházkou růžovým sadem. Software lze poměrně snadno překonávat: třeba použitím protokolu FTP nebo telnetu. Stejně tak lze (někdy) hlídače obejít použitím méně obvyklého jazyka. A pro obcházení nebo vypínání aplikací lze na webu najít různé tipy, triky a tzv. work-arounds („obezličky“).

Pamatujte si, že vždy když budete filtrovat URL, vždybude docházet k situacím, kdy bude filtrován regulérní provoz a uživatelé nebudou potěšeni. Blokování slovíčka „sex“ vede třeba k tomu, že si uživatel ani neškrtne ve chvíli, kdy URL obsahuje „Essex“, „Sussex“ nebo „Marsexpress“.

Proto je při filtrování URL zapotřebí počítat s výjimkami. A také je zapotřebí vytvořit jednoduchý a fungující proces reportování filtračních problémů. Už jen proto, aby nebyla bezpečnost na této úrovni vnímána jako komplikace.

Technologie rodičovské kontroly

Za slovíčky „parental control“ se skrývá český překlad „rodičovská kontrola“, který ale nemusí být úplně nejvýstižnější - ostatně, jako i původní anglické označení. To hovoří pouze o tom, proč celá technologie vznikla. Nicméně možnosti jejího využití jsou přece jen širší.

Zásadní problém v kyberprostoru je v tom, že existuje jen jeden internet. Internet důvěryhodný i nedůvěryhodný, internet bezpečný i nebezpečný. A stejně tak existuje internet, který je pro děti a internet, který je primárně určen především pro dospělé (pokud vůbec). Jenomže neexistuje žádná dělící čára, žádná pevně stanovená hranice. A tak i do e-mailových schránek našich potomků putují od rozesílatelů spamu nabídky na Viagru nebo slevy do kasina. Nehledě na to, že „čistá dětská duše“ je zranitelnější vůči sociálnímu inženýrství (tedy podvodníkům zneužívajícím výhod internetu, a tak třeba v dobré víře, že pomáhá rodičům, prozradí identifikační bankovní údaje) nebo i dalším útokům ze strany dospělých.

Nejjednodušším řešením by samozřejmě bylo děti k počítači vůbec nepouštět. Ale nejjednodušší zpravidla není nejsprávnější. Můžeme přitom jmenovat desítky důvodů, proč tomu tak je - upírat nastupující generaci seznámení s informačními technologiemi, přístup k zajímavému zdroji informací atd. Proto musíme použít jiné postupy, a to nejlépe softwarové. Tedy takové, které budou blokovat nevhodný obsah.

Programy z kategorie parental control bychom mohli rozdělit do tří základních kategorií podle činností, kterým se věnují:

• Filtrování obsahu. Veškerý obsah, který vstupuje do počítače, je kontrolován na základě několika parametrů. Jedná se vlastně o něco podobného jako v případě personálních firewallů nebo antivirových programů, ale na trochu jiné úrovni. Zatímco tyto mají pevně definovaná pravidla (blokování nežádoucího provozu, hledání určitých řetězců v souborech apod.), tak v případě parental control je to trochu odlišné: hledá nevhodná slova nebo spojení v e-mailech a www stránkách, měl by umět rozpoznat obrázky nebo i texty v nich.

• Monitorování aktivity na počítači. Ne vše se samozřejmě podaří zablokovat na vstupu do počítače (příkladem budiž třeba nevhodný obsah v zašifrovaných e-mailech). A ne všechen nevhodný obsah přichází po internetu - ale třeba i prostřednictvím CD půjčených od spolužáků apod. Proto je potřeba věnovat pozornost také kontrole počítačů. Ta přitom funguje na podobném principu jako filtrování obsahu, neboť vyhledává nežádoucí nebo přinejmenším podezřelé objekty.

• Omezování přístupu ke zdrojům.Toto je další metoda, která se v oblasti parental control používá a která vychází z předpokladu, že nejlépe se nevhodný obsah bude blokovat tak, že se k němu odepře přístup. Jinými slovy: v počítači existuje databáze nevhodných zdrojů (seznam www stránek určených pro dospělé apod.) a počítač při přihlášení nepovolané osoby (dítěte) odmítne příslušnou stránku zobrazit. Tato metoda je velmi účinná, ale na druhé straně je velmi závislá na kvalitě použité databáze. A ta bude těžko někdy obsahovat všechny nevhodné zdroje. Proto je nutné ji kombinovat i s výše uvedenými metodami.

Parental control má v současné době mnohem širší využití. Je to tak, neboť nejde pouze o ochranu našich potomků, ale blokováním obsahu, o který nemáte zájem, šetříte čas při surfování a v konečném důsledku chráníte bezpečí počítače, protože výše uvedené stránky bývají prolezlé viry, trojskými koni a dalšími škodlivými kódy, které pak můžete (i nedopatřením) aktivovat.

Na rozdíl od pouhého filtrování obsahu provozu umožňuje rodičovská kontrola nastavovat i další prvky. Třeba zakázat instalaci nových programů (výtečná ochrana před nelegálním softwarem nebo před viry!) či omezit čas strávený na internetu (výtečné zvláště u jedinců z kategorie „ještě pět minut“, ale jistě vás napadnou i další příklady ze života).

Upozorňujeme jen, že jednotlivé koncepty rodičovské kontroly se od sebe program od programu odlišují, a to někdy i dosti výrazně (třeba Windows Vista má rodičovskou kontrolu řešenou právě na úrovni systému). Pokud se rozhodnete ať již doma či na pracovišti používat k regulování www provozu právě rodičovskou kontrolu (dnes bývá povětšinou součástí různých komplexních bezpečnostních řešení), seznamte se nejprve s možnostmi používané aplikace. Předejdete tak případnému možnému zklamání, že právě váš program neumí to, co si představujete - nebo naopak tomu, že nedokážete naplno využít všech možností, které nabízí.

Podle čeho filtrovat?

Dnešní filtry webového provozu používají zpravidla většího množství metod, podle nichž jednotlivé weby, protokoly, dotazy apod. hodnotí. Někdy je možné nežádoucí obsah jednoznačně identifikovat už podle jistého znaku (jednoznačně kontroverzní web), jindy je provoz nutné posoudit z mnoha hledisek a až na základě tohoto posudku se s vysokou mírou pravděpodobnosti (ale nikoliv s jistotou) rozhodnout, zdali jde o korektní či nekorektní provoz. Nesmíme zapomínat, že filtrování dělají pouze tupé nástroje a že vykonají pouze práci, kterou přesně nadefinujeme. Chybí jim zdravý selský rozum, tedy jakási „umělá inteligence“.

K základní filtrační metodě patří seznamy blacklistů - jakési „černé seznamy“ nevhodných adres. Tedy adres nebo domén automaticky zakázaných. Opakem blacklistu jsou whitelisty - seznamy povolených (žádaných) domén. Zatímco na internetu lze nalézt několik více či méně kvalitních blacklistů, v případě whitelistů tomu tak není - a pokud se je někdo historicky pokusil vytvořit, okamžitě byly plné nekorektních záznamů. Navíc whitelist je pro každý počítač či síť jiný: každý navštěvuje jinou skupinou webů, služeb apod. Tyto seznamy si tak musíme vytvářet sami nebo si je vytváří filtr na základě našich zvyklostí. Což ale jde třeba u počítače využívaného jedním člověkem a ne u stroje, k němuž zasedají desítky uživatelů s rozličnými návyky a zlozvyky.

Obsahové filtry zase hodnotí obsah komunikace. Hodnotí, cože komunikace vlastně obsahuje. Tedy klíčová slova, slovní spojení, v lepším případě jsou schopné s vysokou mírou pravděpodobnosti rozhodovat i o obsahu obrázků… (Zdůrazňujeme, že s vysokou mírou, protože z hlediska počítačové interpretace obrazu mohou být duny na poušti stejné jako nahé lidské tělo. A to už nemluvíme o černobílých fotografiích. Nebo o textech v obrázcích… Inu, lidská vynalézavost nezná mezí.)

Na závěr upozorňujeme, že různé počítačové programy řeší problematiku filtrování www provozu různými způsoby. Protože plně respektujeme právo zvolit si vlastní softwarové vybavení či celou koncepci, je celý článek koncipovaný tak, aby čtenář získal obecný přehled o problematice - ale nikoliv o tom, jak „modelově“ řešit konkrétní situace. Nicméně po základním pochopení problematiky a při základních znalostech možností vlastního systému by něco podobného nemělo být obtížné.

Tip na bezpečnost: 
Jedním z nejzajímavějších zdrojů z hlediska dalšího (sebe)vzdělávání v oblasti informační bezpečnosti je portál Safer Internet. Nalézt ho lze na snadno zapamatovatelné adrese www.saferinternet.cz

Rady „jak zajistit bezpečnost na internetu“

• Neklikejte bezhlavě na všechny odkazy!

• Používejte nejen antivirový, ale také antispywarový program.

• Používejte kvalitní osobní firewall.

• Neinstalujte do počítače vše, co se vám na internetu nabízí.

• Používejte bezpečný software (rozhodně nejde o častokrát doporučovaný krok - „nepoužívejte Windows Internet Explorer“, protože jeho bezpečnost je v současnosti na velmi slušné úrovni a také je prokázáno, že uživatelé jiných prohlížečů se jaksi automaticky chovají méně bezpečně).

• Pravidelně záplatujte a aktualizujte software.

• Používejte pouze legální programy (protože pirátské kopie mohou obsahovat nebezpečné vlastnosti, rovněž mohou mít neprofesionálním zásahem narušené bezpečnostní mechanismy a nemusí korektně fungovat - třeba právě v případě aktualizací).

• Snažte se problémům předcházet, protože nejlepší incident je takový, který vůbec nenastane. Aneb nepokoušejte štěstí, když to není nezbytně nutné. Jsou určité internetové stránky (warez, porno, nelegální obsah…), kde je pravděpodobnost průšvihu výrazně větší.

Pamatujte si

• Hranice mezi bezpečným a nebezpečným internetem NEEXISTUJÍ.

• Pokud používáte veřejný počítač, nikdy nevíte, kdo (a s jakým úmyslem) k němu usedal před vámi a kdo (a s jakým úmyslem) k němu usedne po vás.

• Technika dělá přesně to, co po ní vyžadujete. Náhodné kolapsy v to nepočítaje. Ale jinak počítač půjde na stránky, na které ho pošlete, a zde udělá, co mu řeknete. Stejně tak bude pátrat jen po věcech, po kterých pátrat má (byť třeba na základě matematických algoritmů).

• Připojovat se k internetu bez zabezpečeného počítače je HAZARD. Během deseti minut se s pravděpodobností 99 procent stanete cílem nějakého útoku. A ani si toho nemusíte všimnout!