w w w . v i a v i s . c z 1 / 22 Aplikační bezpečnost Úvod, základní pojmy, autorská bezpečnost Vladimír Lazecký www.viavis.cz 2 / 27 Obsah přednášky Budeme si chvíli hrát Základní pojmy Bezpečnost aplikací z hlediska autorského zákona www.viavis.cz 3 / 27 Pojďme si hrát Představte si, že: Jste management renomované banky Otevíráte nové business příležitosti – krypto měny Potřebujete vyvinout SW pro trading kryptoměn Víte, že jako banka potřebujete záruku vysoké bezpečnosti Úkol: Připravte zadání pro externí SW firmu – specifikace bezpečnostních požadavků Definujte, jak ověříte splnění zadání SW firmou u hotového SW Zadání prezentujte www.viavis.cz 4 / 27 Pojďme si hrát Představte si, že: Jste management SW firmy, 30 zaměstnanců Získali jste zakázku banky na vývoj systému tradingu krypto měn Banka specifikuje extrémní bezpečnostní požadavky Navrhněte, jak budete postupovat a jak požadavky naplníte Jaké máte limity? Co vše musíte ošetřit? Jak budete vyvíjet? Svůj návrh odprezentujte www.viavis.cz 5 / 27 Smysl hry Aplikační bezpečnost je průšvih Neexistují vše řešící metodiky a postupy Často se aplikační bezpečnost zužuje na testování Víra Nejsem expert, nabízím zkušenosti Vývoj šifrovací komunikační platformy Mnoho chyb… www.viavis.cz 6 / 27 Malé opakování Co je a co není bezpečnost? Informační a kybernetická bezpečnost? Co je důvodem pro bezpečnost www.viavis.cz 7 / 27 Základní pojmy - bezpečnost Bezpečnost není stav – častý omyl (nic není absolutně bezpečné) Je vlastnost aktiva určená svou mírou – schopností odolávat hrozbám Neexistuje „oddělená bezpečnost“ BOZP Informační Kybernetická Fyzická Personální Krizová Administrativní Procesní … www.viavis.cz 8 / 27 Bezpečnost informací Bezpečnost informací = zajištění důvěrnosti, dostupnosti a integrity informace ISO/IEC 27001 Důvěrnost – zajištění přístupu k informacím pouze oprávněným osobám Dostupnost – zajištění přístupu k informacím v požadovaném čase Integrita – zajištění celistvosti a neměnnosti informace: Zobrazená data jsou totožná se zdrojovými Data jsou kompletní, nic nechybí Neexistují osiřelá data (SPZ bez auta…) Zachování dat v jejich definované struktuře Odolnost proti neoprávněným změnám Identifikace pokusů o neoprávněnou změnu www.viavis.cz 9 / 27 Bezpečnost informace Bezpečnost - ochrana informací: Během jejich vzniku, zpracování, ukládání, přenosu a likvidace Využitím logických, technických, fyzických a organizačních opatření Všechny aspekty musí být v souladu: Technická bezpečnost x chování uživatele Bezpečnost x komfort užívání Nesoulad generuje hrozby www.viavis.cz 10 / 27 Bezpečnost systému Bezpečnost není jen funkcí systémů zpracovávajících informace Bezpečnost systému není pouze funkcí bezpečnosti jednotlivých komponent Bezpečný celek není pouhé sestavení z bezpečných prvků Požadavky na bezpečnost systému: Systém jehož činnost nezpůsobuje nebezpečné stavy Každá porucha vede bezpečným směrem Míra bezpečnosti x míra spolehlivosti Bezpečnostní incidenty lze identifikovat Je definována míra bezpečnosti www.viavis.cz 11 / 36 Kybernetický prostor Collection WEBINT harvests and extracts information from all layers of the Web, from the surface web – that is easily accessible to all and also from the Deep and Dark web layers that are protected by various security and access mechanisms. + Surface (Open Web) Collection. The web surface applies to any site that can be indexed by a Prostor umožňující datovou komunikaci “Chytré technologie“ IoT Doprava Domácnosti … www.viavis.cz 12 / 27 Bezpečnost v kybernetickém prostoru Komplexní zajištění bezpečnosti: Informací (dat) Systémů, aplikací, infrastruktury Uživatelů Poskytovaných služeb Na výše uvedeném závislých aktiv: Businessu Ekonomiky Organizací Státu Jednotlivců… www.viavis.cz 13 / 27 Aplikační bezpečnost Zajištění stanovené míry bezpečnosti: Důvěrnosti Dostupnosti Integrity Během životního cyklu SW: Návrh Vývoj Provozování Release cykly Ukončení užívání www.viavis.cz 14 / 27 Aplikační bezpečnost Co to je aplikace? SW kód? Kód a zařízení? Co vše ovlivňuje aplikační bezpečnost? www.viavis.cz 15 / 27 Aplikační bezpečnost Aplikace zahrnuje: SW kód se vším, co zahrnuje a obsahuje Infrastruktura – prostředí, může být velmi nepřátelské Způsob užívání Uživatel Způsoby šíření Právní compliance Interakce s okolními aplikacemi www.viavis.cz 16 / 27 Aplikační bezpečnost – moc si s ní nevíme rady… Unikátnost informačních systémů Neexistují dva identické systémy Kombinace HW, OS, SW Data Procesy a kultura užívání Uživatelé Problém testování… www.viavis.cz 17 / 27 Aplikační bezpečnost – těžké téma Zjednodušené zúžení: Testování aplikací Funkční testy Validační testy Integrační testy Výkonové testy Penetrační testy Jaké mají testy limity? www.viavis.cz 18 / 27 Aplikační bezpečnost – standardy TCSEC – Trusted Computer System Evaluadon Criteria US standard od roku 1983 Definice úrovně bezpečnosd: D – Minimální ochrana (Minimal Protecdon) C1 – Oddělovaná bezpečnostní ochrana (Discredonary Security Protecdon) C2 – Kontrolovaná ochrana přístupu (Controlled Access Protecdon) B1 – Označovaná bezpečnostní ochrana (Labeled Security Protecdon B2 – Strukturovaná ochrana (Structured Protecdon) B3 – Bezpečnostní domény (Security Domains) A1 – Ověřený design (Verified Design). Bude příště J www.viavis.cz 19 / 27 Aplikační bezpečnost – přístupy Black box? Crystal box? Problém kombinace pro SW vývojáře… Víra a zase víra www.viavis.cz 20 / 27 Vývoj aplikací Mnoho metodik Zjednodušeně: Specifikace požadavků: Funkční, nefunkční, bezpečnostní, business model Návrh Ověření, verifikace Kódování Testování Dokumentace Životní cyklus SW – technologický vývoj, opravy chyb, rozvoj funkcionalit, customizace www.viavis.cz 21 / 27 Problémy vývoje aplikací z bezpečnostního pohledu Jak stanovit míru bezpečnosti Jak ji ověřit Jak ji udržet Jak ji ošetřit v prostředí provozu a uživatele Destabilizující prvek: Zpětná kompatibilita Příliš rychlý technologický pokrok Heterogenita prostředí www.viavis.cz 22 / 27 Vlivy na vývoj SW Do vývoje vstupuje: Požadavky na SW Technika: Vývojové nástroje, HW Prostředí, interakce Lidský faktor Klient Vývojáři Testeři Uživatelé Správci Business model Plánovaný životní cyklus www.viavis.cz 23 / 27 Lidský faktor Klíčové otázky: Jak zkontrolujete vývojáře? Analytika… Jak postavíte vývojový tým? Jaké role lze/nelze slučovat? (Architekt, analytik, vývojář, tester, tvorba dokumentace, implementátor, podpora…) Lze vyvíjet levně? www.viavis.cz 24 / 27 Vývojový tým Několik (neúplných) zásad: Překryv a zálohování rolí Nastavení procesů osobní odpovědnosti Motivační a kontrolní systém Dokonalé právní zajištění www.viavis.cz 25 / 27 Právní zajištění – autorský zákon č. 121/2000 Sb. Pro bezpečnost aplikací je zásadní SW je autorské dílo Kdo je autorem? Jaká má práva autor? www.viavis.cz 26 / 27 Právní zajištění – autorský zákon č. 121/2000 Sb. Počítačový program – software je autorské dílo Autorem je vždy fyzická osoba Může jít o kolektivní autorské dílo – spoluautoři Autorská práva – osobnostní práva, nelze se jich vzdát Databáze, struktura a data autorským dílem nejsou www.viavis.cz 27 / 27 Právní zajištění – autorský zákon č. 121/2000 Sb. www.viavis.cz 28 / 27 Právní zajištění – autorský zákon č. 121/2000 Sb. Majetková práva Právo dílo šířit Právo dílo užít … Vykonavatel majetkových práv autorů Může být právnická osoba Může být zaměstnavatel ALE… www.viavis.cz 29 / 27 Právní zajištění – autorský zákon č. 121/2000 Sb. ALE: Zaměstnavatel prokazuje, že dílo je plnění pracovního úkolu Vytvoření díla externisty na objednávku POZOR na právo nedotknutelnosti Extrémní situace: SW vytvořený v pracovní době bez úkolu Práva třetích osob (SW knihovny a licence) Významná bezpečnostní rizika www.viavis.cz 30 / 27 Právní zajištění – autorský zákon č. 121/2000 Sb. Vady SW Pokud není sjednáno, vada neexistuje (mimo právních vad) Vada = rozpor mezi dokumentací a reálným stavem (Pokud dokumentace existuje…) www.viavis.cz 31 / 27 Právní zajištění – autorský zákon č. 121/2000 Sb. POZOR na právní vady Kdo je autorem Kdo je vykonavatelem práv Legální nabytí licence k užití Co licence umožňuje a co ne Užití „stažených“ knihoven, ověření licencí Omezení způsobu užití Záruka a odpovědnost za vady Rada starého a zkušeného – ČTĚTE PEČLIVĚ LICENČNÍ PODMÍNKY www.viavis.cz 32 / 27 Proč právní aspekty bezpečnosti Jeden z nástrojů částečně eliminující rizika víry Číst licenční podmínky Řešit jurisdikci Chránit duševní vlastnictví (pozor na „námořní lupiče“) Smlouvy s vývojáři Nestačí standardní pracovní smlouvy Smlouvy s architekty a analydky Právní zajištění je součás^ důvěrnos_, dostupnos_ i integrity v aplikační bezpečnos_ www.viavis.cz 33 / 27 Nové problémy i v aplikační bezpečnosti https://kechlibar.net/2023/03/04/malinko-vam-to-tady-prepiseme/ www.viavis.cz 34 / 27 Kdo má zařízení, aplikaci pod kontrolou? (Někdy příště) Problém důvěrnos_ S jakými daty aplikace pracuje Jak s nimi nakládá Jak je dále komunikuje Kdo je vlastní Problém integrity Může aplikace zasahovat do dat bez vědomí uživatele? Je schopen uživatel změnu detekovat? Těším se příště J www.viavis.cz 35 Prostor pro vaše dotazy… Děkuji za pozornost Za tým VIAVIS a.s. § Vladimír Lazecký § Vladimir.lazecky@viavis.cz