Upload
siusan
View
68
Download
1
Embed Size (px)
DESCRIPTION
Sigurnost u e-poslovanju. Nastavne teme. glavni problemi sigurnosti u pravljanje rizikom r azvoj sistema sigurnosti k riptografija v atreni zidovi s igurnost ekstraneta s igurnost EDI. Ako vi aktivno ne napadnete rizike , oni ć e aktivno napasti vas . Tom Gilb. - PowerPoint PPT Presentation
Citation preview
Sigurnost u e-poslovanju
Nastavne teme glavni problemi sigurnosti upravljanje rizikom razvoj sistema sigurnosti kriptografija vatreni zidovi sigurnost ekstraneta sigurnost EDI
Ako vi aktivno ne napadnete rizike, oni će aktivno napasti vas. Tom Gilb
Razvoj ICT i sigurnost softver na mainframe računarima i lokalnim mrežama
bio je robustan i sa malo grešaka pojava PC: konkurencija nameće potrebu novih
verzija, sa ispravkama starih, ali i sa novim greškama programi od po više miliona redova čine nemogućim
kompletno testiranje administraciju softvera vrši korisnik, koji najčešće nije
spreman za njene izazove softver se danas preuzima sa Web sajtova i nakon
toga instalira, pri čemu korisnik nije svestan sadržaja koje preuzima
Korišćenje kriptografije na Internetu ekvivalentno je angažovanju blindiranog auta da prenese informacije sa kreditne kartice od nekoga ko živi u kartonskoj kutiji do druge osobe koja živi na klupi u parku.
Eugene Spafford
Sigurnosni problemi najveća pretnja dolazi od zaposlenih i ranije
zaposlenih softver predstavlja slabu kariku u lancu sigurnosnog
sistema - i delenje nulom je moguće iskoristiti za upad u sistem
istraživanje IBM: oko 40% pokušaja prijava na poslovne aplikacije imaju pogrešnu lozinku, a između 30 i 60% transakcija imaju pogrešan broj računa
Problemi softvera upadi u računare dešavaju se kroz pukotine u softveru lica koja razvijaju softver za Internet nisu obučena za
pisanje sigurnosnog dela programskog koda razvojne organizacije samo su zainteresovane za brzo
pojavljivanje na tržištu zlonameran, slab i jak program ne razlikuju se dok se
ne počnu koristiti sigurnosni standardi ne postoje kupci se pouzdaju samo u robnu marku proizvođača
Hakeri sinonimi: hacker, cracker, phreak i computer intruder od računarskih kriminalaca i upadača na tuđi posed do
osobe koja uživa u učenju pojedinosti o računarima osnovna ideja: neautorizovan pristup računaru
koristeći slabosti sigurnosnog sistema sajta i računara klubovi hakera: Legion of Doom, NuKE, Outlaw
Telecomandos, Chaos Computer Club časopisi: Phrack, 40Hex, Chaos Digest, 2600 The
Hacker Quarterly kongresi:The Chaos Congress, Hacking at the End of
the Universe, HoHoCon
Zlonamerni kod virus je računarski program koji ima sposobnost da se
sam kopira i širi na druge datoteke, može samo prikazivati određenu poruku ili lik, ali može biti i vrlo destruktivan i uništavati datoteke, reformatizovati ceo disk ili prouzrokovati da programi ne rade ispravno
virusi se kombinuju sa crvima, čija je funkcija da se šire sa računara na računar
trojanski konj je način na koji se zlonamerni kod uvlači na računar, jer se spolja ne vidi njegov unutrašnji, zlonamerni sadržaj
apleti se prenose (download) sa računara na računar a njihov sadržaj može biti loš i prouzrokovati štetu, pa i nasilni prekid rada
Problem verodostojnosti tehnologije utvrđivanja verodostojnosti kupca:
digitalni potpisi, login procedure, lozinke i sigurnosni protokoli
nemoguće je sa sigurnošću tvrditi da se na drugoj strani nalazi stvarno osoba za koju se ona predstavlja
Upravljanje rizikom poslovni sistemi mogu uspešno upravljati rizikom od
potencijalnih napada realizacija treba da odbije potencijalne napadače i
njihovu pažnju usmeri ka drugim sajtovima definisanje sigurnosne politike zasniva se na
određivanju osnovnih sigurnosnih stavova procenjuje se postojeći sistem u odnosu na ove
sigurnosne stavove dizajniranje softvera za Internet bez analize
sigurnosnih rizika predstavlja poziv na propast
Utvrđivanje potencijalnih pretnji (1) alternative i gubici u slučaju otkazivanja sistema i
prelaska na off-line pretnje od zaposlenih koji imaju pristup podacima pretnja od krađe podataka postojanje konkurencije koja bi mogla izvršiti sabotažu kakve su pretnje od prevare da li postoji pretnja privatnosti kupaca mogućnost da hakeri iskoriste kao lansirno mesto za
napade
Utvrđivanje potencijalnih pretnji (2) mogućnosti piraterije ili nelegalnog dupliranja
digitalnih proizvoda mogućnost pada sajta snabdevača i
onemogućavanje realizovanja poslova koliko su pouzdani i sigurni pružaoci Internet usluga,
računar na kojem se nalazi Web sajt i aplikacije koje se koriste
Glavni rizici nedozvoljeni ulaz (neautorizovanih lica) pronevera (zloupotreba podataka radi lične koristi) provala (upadi na neregularan način sa
zloupotrebom podataka) zlonamerna destrukcija (uništenje podataka) vandalizam (uništenje sajta)
Rizici u kompanijama (1) upotreba Interneta u druge svrhe zlonamerni kod softver sa greškama poricanje grešaka slučajne pogrešne transakcije prevara hakerisanje
Rizici u kompanijama (2) neodgovarajuće oglašavanje neodgovarajući e-mail nizak kvalitet podataka piratski mediji krađa informacija slučajno otkrivanje poverljivih podataka
Ranjivost sistema EP skup atributa zavisnih od sistema koji omogućavaju
ostvarivanje pristupa do podataka ili dobijanje ovlaštenja koja ne bi smeo realizovati
svi sistemi su ranjivi i upravljanje rizikom nije realno ako se strategija zasniva na postizanju bezgrešnog sistema
ranjivost sistema ne sme dovesti do gubitaka koji se ne bi mogli prihvatiti
Strategija upravljanja rizikom analiza ranjivosti: analiza obuhvaćenih funkcija i
onih koje nedostaju utvrđivanje rizika zbog postojeće ranjivosti: podaci
ispred firewalla, kritični linkovi, aplikacije, baza podataka, komponente i srednji sloj
preduzimanje korektivnih akcija: uvođenje odgovarajuće kriptografije, ispravka programskog koda
Opasnosti pogrešne konfiguracije ponuđene vrednosti parametara pružaju maksimanlnu
funkcionalnost i fleksibilnost i minimalnu sigurnost korisnik nije detaljno upoznat sa funkcijama koje
stavlja na raspolaganje nepoznatim korisnicima omogućava im upotrebu servisa koje nikako ne bi
smeli koristiti proizvođači softvera stavljaju kupcima ispravke na
raspolaganje, ali ih oni ne preuzimaju neažuran softver omogućava ozbiljnu ranjivost
Grupe sigurnosnih rizika
mrežni protokoli aplikaciona logika Web serveri baze podataka operativni sistemi
Mrežni protokoli najčešće opisivana grupa rizika postoji niz dobrih sigurnosnih protokola :SSL, SET,
S/HTTP, S/MIME i CyberCash nezvanični standard pretstavlja SSL, koji je ugrađen
u skoro u sve značajnije pretraživače SET protokol predviđa da se broj kreditne kartice
dešifruje tek u banci, što snižava rizik od prevara protokoli za prenos elektronskog novca su slabo
prihvaćeni
Aplikaciona logika rizici uglavnom vezani za srednji sloj koji koristi CGI
(ili EJB, J2EE, OMG, CORBA, COM i DCOM) i programime napisane u Javi, C ili C++
upotreba interpretera za formiranje skriptova može biti zloupotrebljena jer oni kao ulaze mogu prihvatiti komande interpretera
skriptovi ostavljeni na serveru ili kupljeni mogu biti preuzeti od napadača i analizirani kako ih napasti
Podizanje sigurnosti aplikacione logike (1)
izvršiti detaljnu inspekciju svih skriptova iz ugla napadača i odkloniti sve uočene rizike
kupljene skriptove redovno ažurirati sa svim dodacima skoloniti sve izvorne kodove skriptova i programa za razvoj koristiti prevodioce, a ne interpretere skriptovi koji ne izvršavaju poslovne funkcije treba da
budu nedostupni izvorne programe srednjeg sloja aplikacije brižljivo
čuvati od kopiranja i neautorizovanog pristupa
Podizanje sigurnosti aplikacione logike (2)
programi srednjeg sloja treba da dozovljavaju pristup samo sa najnižim ovlaštenjima pristupa neophodnim za određeni program
provera logike aplikacionog koda kojim se unose podaci treba da obezbedi da su prihvatljivi samo dobro formirani podaci
Web serveri sigurnost Web servera je zasnovana na njegovoj
konfiguraciji proizvođači nude verziju maksimalne funkcionalnosti i
minimalne sigurnosti kritične opcije: SSI (Server Side Includes) kojom se
ugnježđuju uputstva u HTML i directory browsing zloupotrebe u browseru : skriveni podataci i cookies u
koji napadači upisuju podatke o izvršenoj verifikaciji detaljno definisati pristupe do pojedinih resursa
Baze podataka
predstavljaju ključno intelektualno dobro kompanija pristup njima je najstrože kontrolisan odobravanje pristupa bazi podataka zasniva se na
autentifikaciji i autorizaciji glavno mesto napada na bazu podataka
predstavljaju skriptovi
Akcije zaštite baze podataka obavezna autentifikacija korisnika pri svakom pristupu autorizacija klijenata vrši se isključivo za određene
slogove baze podataka opšte dozvole za pristup bazi podataka treba ukinuti otkrivene lozinke treba da budu promenjene brzo i
jednostavno interne kontrole pristupa treba da se mogu
konfigurisati i održavati nadzor log fajlova treba da bude usmeren konstantno
na otkrivanje sumnjivih aktivnosti
Operativni sistemi lozinke koje se lako pogađaju treba promeniti redovno uklanjati lozinke kojima je istekao rok dezaktivirati sve servise koji nisu neophodni sigurnosne dodatke OS treba redovno instalirati operativni sistem treba ažurirati na najnoviju verziju redovno proveravati integritet sistemskih datoteka omogućiti kontrolu pomoću log datoteka dozvole za pristup datotekama redovno svoditi
samo na neophodna zaposlena lica
Problemi dizajniranja sigurnosti
Internet nije dizajniran kao siguran protokol, već da bi se prilagodio najnižoj upravljačkoj platformi
ukoliko je sama aplikacija ranjiva na napade, sigurnosni dodaci neće postići nikakav efekat
sistemi zasnovani na Internetu moraju biti dizajnirani tako što sigurnost predstavlja integralni deo dizajna
sigurnost legatnih sistema je prilagođena zatvorenim sistemima na specifičnoj platformi
sigurnost aplikacije u toku razvoja je u drugom planu
Servisi sigurnosti Rizicikontrole pristupa problemi povezivanja
neizvesna ili zakasnela isporuka
integritet neispravni podaci, tabele ili softver neodgovarajuće ili nekompl. transakcijeraspoloživost problemi zadržavanja slogova problemi revizijepoverljivost poricanje usluga otkrivanje sadržaja transakcijenepriznavanje nepriznavanje slanja ili prijema
neautorizovane ili nepro-autentičnost verene transakcije
Postavljanje sigurnosnog sistema zatvaraju se rupe i vrše se preventivne kontrole
u sigurnosnom sistemu stalno se nadgledaju hakerske aktivnosti primenjuje se kriptografija i autentifikacija (tj.
koristi se digitalni potpis) instaliraju se vatreni zidovi formiraju se sigurnosni interfejsi između
korisnika i informacionog sistema uspostavljaju se pravne norme u širem
društvenom okruženju
Sigurnosne mere u toku razvoja zahteve posmatrati iz ugla korisnika i analizirati
moguća patološka ponašanja formirati jedinstvene objekte zadužene za kritične
sigurnosne funkcije izvršavati napade kojima treba da se proveri
ranjivost sistema planirati višestruke kontingente podataka i njihovu
geografsku distribuciju sintaksna provera svakog ulaznog podatka (tj.
njegove dužine)
Testiranje sigurnosti treba izvršiti odvojeno od testiranja funkcionalnosti i
performansi, jer je ono drukčije usmereno ne postoje jasne tehnike kojima bi se moglo utvrditi
da li je sistem siguran voditi računa o utvrđenim rizicima i svaki od njih
detaljno ispitati
Vrste testova sigurnosti (1) testovi probijanja: pokušaji probijanja uspostavljenih
sigurnosnih kontrola procesa timovi tigrova: specijalizovane ekipe koje, uz dozvolu,
pokušavaju da kompromituju fizičke i logičke kontrole sistema (specijalni slučaj testa probijanja)
određivanje ranjivosti: ispitivanje posledica koje mogu nastati u slučaju da se probije sigurnost sistema
Vrste testova sigurnosti (2) pregled sigurnosti: formalna analiza kontrola u
okruženju neophodnom za uspostavljanje kvalitetne poslovne logike
naknadna istraživanja: sprovode se nakon izvršenog probijanja sigurnosnog sistema organizacije
nadzori: uspostavljaju unutrašnji kontrolni mehanizam i određuju kritične procese iz sigurnosnog ugla
Aktivnosti u testovima probijanja pokušava se na razne načine prevariti fizičko
obezbeđenje objekata i doći do podataka iz IS pronalaženje slabih mesta organizaciji (npr. pokušaji
otkrivanja ulaza u IS preko telefona, analiza odbačenih medija, pokušaji zaposlenja na mestu sa ovlaštenjima)
pokušaji probijanja elektronskim putem
Sigurnosne mere u eksploataciji autorizacija transakcije se prva sprovodi u okviru IS aplikacione kontrole tačnosti i kompleksnosti modeli procene poslovnih partnera i podataka koji
ulaze ili izlaze iz IS kontrole platežne sposobnosti žurnali podataka, datoteke sa prijavama korisnika i
greške evidentirane u transakcijama
Dodatne sigurnosne mere realizacija stalnog nadzora sistema kod kojih se
uočavaju kritične akcije funkcije pomoću kojih se brzo reaguje na napade i
onemogućava napadač formiranje rezervne kopije sistema (back-up) utvrđivanje mogućih katastrofa planiranje oporavka sistema istražne mere, procena i popravka nastalih šteta
9/11: razorene kompanije
• American Express nije prekidao sa radom•Merrill Lynch je restaurirao IS sistem isti dan•AON nije izgubio nijedan podatak, a brzi pristup je obezbedio za 3 dana•Marsh Mc Lennan je oporavio svih 25.000 izgubljenih dokumenata •Cantor Fitzgerald je za 2 dana uspostavio kompletno e-poslovanje•Morgan Stenley nije imao gubitke u podacima
Kriptografija
podrazumeva sve načine tajnog pisanja kojima se otežava otkrivanje sadržaja poruke u toku nesigurnog transporta
Pošiljalac Primalac
Neprijatelj
poruka
napad
Razlozi za napade da se ugrozi tajnost poruke promena sadržaja poruke lažno predstavljanje onemogućavanje prijema poruke
Prva kriptografija Sparta, 5. vek pre Hrista traka od kože ili papirusa se obmota oko drvenog
valjka ispišu se poruke razmota se traka i pošalje traka se obmota oko valjka istog prečnika i čita se
poruka
Kripto-sistem Caesar za poznati pripodni broj k, dogovoren između
pošiljaoca i primaoca, svako se slovo abecede pomera za k, s tim što se nakon poslednjeg slova pomeranje vrši na prvo
primalac svako dobijeno slovo pomera za k mesta u suprotnom smeru
moguće je šifrirati na ovaj način sa 29 različitih slučajeva
Glavni nedostatak šifriranja zamenom u dužim tekstovima u svakom jeziku
karakteristična je učestanost pojedinih znakova u engleskom jeziku:
najčešći su ETAONISRHsrednje učestani LDCUPFMWYretki su BGVKQXJZ
u evropskim jezicima česti su INSEA
Zaštita od analize učestanosti: homofoni
svako slovo, zavisno od procenta učestanosti, dobija odgovarajući broj zamena
zamene su brojevi od 0 do 999, slučajno izabrani svako šifriranje slova preuzima sledeću šifru u
nizu zamena, ciklično se ponavljajući primeri u engleskom: e -123 zamene, b i g – po
16 zamena, j i z – po 1 zamena
Mehaničko šifriranje Giovanni Battista Porta u 16. veku konstruisao disk
za šifriranje Šveđanin Grippenstierna u 18. veku konstruisao
mašinu za šifriranje prva rotirajuća mašina: Jeffersonov točak ENIGMA: razvio Artur Scherbius 1919. za Deutche
BundespostC-36 (M-209): Borisa Hagelina, izgrađen 1920. u Stockolmu za AB Cryptotehnik
Simetrična kriptografija osmobitna kombinacija svakog znaka pomnoži
sa određenim, tajnim ključem i tako se dobije šifrirani sadržaj
ključevi za kriptografisanje su dužine 56, 128, 256 ili 512 bita
najpoznatiji simetrični 56-bitni ključ je DES
Data Encryption Standard (DES) nastao na principima rotirajućih mašina objavio ga 1977. National Bureau of Standards prvi javno objavljen algoritam zasniva se na ključu od 56 bita isti ključ služi za šifriranje i dešifrovanje za svaki korak šifriranja vrše se određene
permutacije i rotacije bitova ključa, da bi se, nakon toga, dobijena permutacija ključa i originajni tekst sabrali po modulu 2
dešifrovanje se vrši sa istim ključem, u istim koracima, ali u suprotnom smeru
Najsnažniji algoritmi
triple DES sa trostrukim šifriranjem ključevima dužine od 168 bita (3X56)
RC4-MD5 sa ključem dužine 128 bita van SAD i Kanade: SSLeay protokol i
StrongHold server
Ideja javnih ključeva zasnivaju se na funkcijama čiju je inverznu
funkciju gotovo nemoguće odrediti kriptografisanje pomoću javnih ključeva je vrlo
sporo Diffie i Hellman 1976. razvili metodu zasnovanu
na ireverzibilnim funkcijama sa ključevima od 128, 256 i 512 bita
Princip javnih ključeva
uzmite telefonski imenik velikog grada:pronađite telefonski broj određene osobepronađite osobu koja ima određeni telefonski
broj koji ćete postupak sprovesti lako, a od kojeg
ćete odustati?
Osobine sistema javnih ključeva nezavistan od sadržaja: kriptografiše se znak po
znak polialfabetski: svako pojavljivanje znaka verovatno
će biti drukčije šifrirano nedeterministički: veliki broj kriptografisanih
tekstova formira se iz istog originalnog teksta lako i brzo rukovanje: lice koje ima direktorij za
dešifrovanje brzo pronalazi rešenje sporo otkrivanje šifri: postupak koji se mere
decenijama na najbržim računarima
RSA tvorci Ronald Rivest, Adi Shamir i Leonard Adleman ključevi dužine 1024 bita dva izuzetno velika prosta broja (sa približno po 100
cifara) je lako pomnožiti, ali gotovo nemoguće rastaviti na faktore
proizvod – osnova za kriptografisanje, a faktori – za dešifrovanje
Digitalna koverta simetrični ključ se kriptografiše pomoću javnog
ključa onoga kome se poruka šalje sadržaj dokumenta kriptografiše se pomoću
kriptografisanog, simetričnog ključa koriste se dobre osobine obe metode: efikasno
kriptografisanje pomoću simetričnih ključeva i pouzdana razmena pomoću javnih ključeva
Digitalni potpisi zasnovani na asimetričnoj kriptografiji za šifriranje potpisa koristi se privatni ključ pošiljaoca
poruke sprečavanje zloupotrebe digitalnog potpisa: u ključ
se integrišu datum i vreme generiše se hash od 128 ili 160 bita koji se stavlja u
poruku i šifrira javnim ključem primaoca primalac prvo svojim privatnim ključem dešifruje
poruku, a onda primljenim ključem digitalni potpis
Sertifikacija sistem sertifikacije otklanja pretnje maskerade
digitalnih potpisa sertifikati su dokumenti koji povezuju javne
ključeve sa fizičkim ili pravnim subjektom kojima je on dodeljen
sertifikaciono telo (Certificate Authority ‑ CA) garantuje za verodostojnost sertifikata koji je izdala
u sastavu sertifikata se nalazi hash funkcija potpisana privatnim ključem CA
najpoznatiji CA: Verisign i Tawte
Public Key Infrastrukture (PKI) sertifikaciono telo koje se bavi izdavanjem ključeva na
Internetu i prati korektnost u poslovanju onih kojima su ključevi izdati
to je računarska mreža organizovana u 3 nivoa: Certificate Server se privatnim ključem kompletne
strukture – najosetljivije mesto Intermediate Server‑i zaduženi su za vezu između
servera prvog i trećeg nivoa Issuing Server‑i se bave izdavanjem sertifikata
klijentima i ima ih više u ovoj infrastrukturi
Vatreni zid (firewall)definiše se kao sistem sa sledećim karakteristikama:
sav saobraćaj između dve mreže mora proći kroz vatreni zid
samo saobraćaju koji je autorizovan lokalnom sigurnosnom politikom biće dozvoljen prolaz
vatreni zid, kao posebna celina, je otporan na prodiranje
Prednosti vatrenog zida
ukoliko ne postoji vatreni zid, lako je moguće prodreti u informacione sisteme bez znanja onih koji njime upravljaju
njegova implementacija omogućava standarde u politici blokiranja veza i propuštanja
on predstavlja najbolje mesto za uspostavljanje nadzora i praćenje svih tragova pri istraživanju sumnjivih aktivnosti, prevara, zloupotreba, problema u uspostavljanju veza, traćenja vremena kao i u merenje saobraćaja
Ograničenja vatrenih zidova (1) pokušaji otkrivanja virusa u vatrnom zidu značajno
ruše performanse vatreni zid spoljnim korisnicima sakriva određene
vrste informacija sa lokalne mreže vatreni zidovi ne štite saobraćaj koji ne prolazi kroz
njih ukoliko postoji mogućnost zaobilaženja vatrenog
zida, oni ne pružaju nikakvu zaštitu vatreni zidovi mogu izvršavati i autentifikaciju, ali je
bolje da ona bude sprovedena na višem softverskom nivou
Ograničenja vatrenih zidova (2) poverljivost protoka podataka između dva vatrena
zida postoji samo ako ih je razvio isti proizvođač organizacije koje prethodno nisu imale vatreni zid
obično nemaju dokumentaciju potrebnu za realizaciju zahteva njegovog korisnika
određeni tipovi poruka korisnih u mrežnom saobraćaju više se ne mogu koristiti
Kriterijumi formiranja vatrenog zida (1)
računar sa vatrenim zidom mora biti dovoljno snažan da čekanje svede na minimum
vatreni zid mora podržavati sve aplikacije koje treba koristiti između mreža
kontrola pristupa može biti na raznim nivoima: od kontrole IP adresa do autentifikacije i kontrola koje formira korisnik
podrška većem broju korisničkih profila koji se u isto vreme prijavljuju za saobraćaj
način upravljanja autentifikacijom može varirati od ručnog upravljanja od strane administratora do potpune automatizacije
Kriterijumi formiranja vatrenog zida (2)
fizička sigurnost vatrenog zida treba da podržava lokalnu politiku sigurnosti
nadzor treba da bude usklađen sa zahtevima prometniji vatreni zidovi koriste alate za pronalaženje
tragova vatreni zidovi mogu uočavati pokušaje probijanja i
alarmirati administratora ili se prilagoditi ovim pokušajima na neki drugi način
podrška održavanja vatrenog zida od strane proizvođača je vrlo bitna
što je vatreni zid transparentniji korisnicima, oni će ga brže i lakše prihvatiti
Važne osobine vatrenog zida moguće ga je tako konfigurisati da spoljnim
korisnicima omogućava pristupe do određenih informacija
on ne predstavlja apsolutnu zaštitu (npr. lažno predstavljanje preko poverljivog posrednika se ne može sprečiti)
različite tehnike imaju različite stepene zaštite i ne štite podjednako od različitih napada
Principi sigurnosti ekstraneta kompleksni sistemi imaju više tačaka u kojima može
doći do greške i teže ih je proveravati treba da zna šta treba da zaštite, procene osetljivost i
ranjivost odbacivanje se podrazumeva, odobravanje prema
zahtevima propusti u pojedinim komponentama ne smeju izložiti
opasnosti od napada ceo sistem inženjering sigurnosti odnosi se na sve komponente i
to na serveru organizacije i na udaljenom korisniku sigurnost osnovne mreže IS postiže se kriptografijom sigurna arhitektura se kreira, nije slučajna
Pretnje sigurnosti EDI pretnja integriteta: poruka može treće lice promeniti
u cilju ostvarivanja interesa gubitak ili dupliranje: poruka može biti izgubljena u
mreži ili duplirana ponovnim emitovanjem treće strane
pretnja poverljivosti: poruka može biti pročitana od treće strane
maskerada: treća strana se može pretvarati da je poslovni partner
nepriznavanje: poslovni partner može tvrditi da nikada nije poslao ili primio određenu poruku
Mehanizmi eliminisanja pretnji integritet se čuva formiranjem kontrolnog broja
koji se dodaje poruci poverljivost se štiti kriptografisanjem nepriznavanje slanja ili prijema poruke
prevazilazi se digitalnim potpisivanjem multipliciranje poruke proverava se posebnim
programima koji ih porede integritet ukupno razmenjenih poruka postiže se
povremenom razmenom njihovih zbireva verodostojnost se štiti digitalnim potpisama i
raznim aplikativnim proverama