Waarom security?
- Verminder risico
2. Bescherm informatie
Wat is compliance?
= in lijn liggen met de wet- en regelgeving.
Denk aan ISO-certificering, wetten, autoriteit.
Wat houden de 3 belangrijke kernwoorden in?
- Availability => 24/7 beschikbaar
- Integrity => Restrict unapproved changes, moet kunnen vertrouwen dat informatie correct (betrouwbaar) is.
- Confidentiality = vertrouwelijkheid => Zorg dat alleen toegang gegeven wordt aan de mensen die iets te zoeken hebben.
Wat is het AAA model?
Security concept van Confidentiality 1. Authenticatie = Identiteit bewijzen / Wie ben jij? 2. Autorisatie = Beperken toestemming / Wat mag jij? 3. Accounting = Loggen van activiteiten / Wat is er gebeurd?
Wat is de CIA triat?
Confidentiality
Integrity
Availability
Wat is Role Based Access Control?
RBCA is het kunnen aanpassen van rechten/regels op basis van een rol, denk aan het rollensysteem van Discord.
Dit zorgt ervoor dat je niet per persoon de autorisatie hoeft te regelen.
Wat is Defense-in-depth/Castle Approach/Honinggraat-methode?
Een confidentiality concept waarbij je meerdere lagen beveiliging hebt. Denk aan een kasteel waarbij je door meerdere muren of langs meerdere obstakels moet komen, zodat het moeilijker is om door te breken.
Benoem enkele Security concepts en bij welk aspect van de CIA triat ze horen?
- Role Based Access Control ()
- Defence-in-depth ()
- Cryptography ()
- Encryption / Decryption ()
- Hardening (Availability)
= Zet uit wat je niet gebruikt.
Wat is symmetrische encryptie?
Beide partijen hebben een afgesproken, geheime sleutel en kunnen daarmee encrypte data decrypten.
- Goed voor grote hoeveelheden data.
Wat is ciphertekst?
Tekst die is ge-encrypt (met een key).
Wat is asymmetrische encryptie?
Iedereen heeft een public en een private key. Met de public key encrypt je data, met de private key decrypt je data.
- Niet geschikt voor bulk data transport.
- Wel geschikt voor encrypten van secret key.
Wat gebeurt er per kernwoord van de CIA Triad als je er niet aan kan voldoen?
- Availability => Destruction
- Failure
- Human error
- Disaster
- Attack - Integrity => Alteration
- Corruption
- Human error
- Attack - Confidentiality => Disclosure
- Menselijk handelen
- Social engineering als gevolg van M.H.
Wat zijn mogelijke oplossingen (preventief en corrigerend) voor de problemen die kunnen ontstaan bij de CIA Triad?
- Failure, Disaster => Redudantie
- Human Error, Attack => Awareness, Backup
- Attack => Monitoren, Awareness
- Integrity => Backup
- Attack => Detecteren, anticiperen
Benoem enkele security concepts bij elk van de CIAT-kernwoorden.
- Confidentiality
- Access control (AAA-model)
- Multifactor Authentication
- Role Based Access Control
- Defense-In-Depth
- Encryptie ((a)symmetrisch) - Integrity
- Hashing - Availability
- Redundancy
- Defense-in-depth
Hoe werkt het versturen van data a.d.h.v. public en private keys?
Situatie 1: A wilt bewijzen dat zij A is.
A stuurt B een bericht.
A encrypt bericht met private key.
Als B de public key van A op het bericht gebruikt en het werkt, dan is bevestigd dat het bericht van A is.
Situatie 2: B, C, D willen A data sturen.
A geeft iedereen haar public key. Iedereen kan een bericht encrypten met de public key van A. Alleen A kan deze berichten dan lezen met haar private key.
Hoe? De public en private key van A zijn als paar gegeneerd. Daardoor ‘weet’ de public key van A hoe het bericht encrypt moet worden voor de private key van A om het te decrypten.
Hoe kan het dat andere mensen niet zomaar jouw private key kunnen berekenen a.d.h.v. jouw public key?
Volgens online bronnen zou dit miljarden jaren duren.
Het algoritme voor het maken van een public en private key is vrij complex en gebruikt zéér grote getallen.
Probeer maar eens een willekeurig bankrekeningnummer te bedenken en daarbij de juiste pincode te gokken.
Probeer dat nu eens in de context van een bankrekeningnummer en pincode van honderden, duizenden of tienduizenden karakters lang.
Succes.
Wat is plain-text?
En cipher?
En ciphertext?
Plain-text => niet-versleutelde data
Cipher => Versleutelingsalgoritme
Ciphertext => Versleutelde bericht
Welke 2 mogelijkheden zijn er met asymmetric encryption?
- Authentication
= Encrypten met private key, decrypten met public key. - ‘Normale’ asymmetrische encryptie (confidentiality)
Encrypten met public key, decrypten met private key.
Wat is een digitale handtekening?
= Het encrypten van een nonce met de private key.
Wat zijn de tegenhangers van de CIA Triad?
Confidentiality => Disclosure
Integrity => Alteration
Availability => Destruction
Wat zijn belangrijke eigenschappen van Hashing?
- One way functie (oorspronkelijke input is niet terug te halen)
- Output heeft vaste grootte, ongeacht input-grootte.
- Input is niet te bedenken bij een gegeven hashwaarde.
- Cryptografische hashwaarde = ‘fingerprint’
- Hedendaagse hashfunctie = SHA-256
Hoe werkt authentication a.d.h.v. public en private keys?
- A identificeert zich.
- B zegt “Bewijs het maar”.
- B stuurt een nonce (= random data) naar A.
- A encrypt de nonce met KA^-
- B decrypt de nonce met KA^+ = bewijs
