IN1020
                     ?vingsoppgaver med l?sningsforslag 12.-16.11.2018


Oppgave 1, 2 og 3 er diskutert i l?rebokas bloggartikkel https://www.datasikkerhetsboka.no/blogg/2018/03/23/hva-vet-tjenestene-om-deg-og-hva-betyr-dette-for-din-sikkerhet-og-ditt-personvern/. 

1. Gj?r f?lgende ?velse: 
a) Lag en liste over alle steder du har en brukerkonto (eller ihvertfall de du husker...). 
b) Legg s? til hvilken informasjon disse lagrer om deg, og hva informasjonen benyttes til i tjenesten (hvis du vet det). 
c) Fyll ogs? p? hvor trygt du mener informasjonen h?ndteres og lagres, og hvilke konsekvenser det ville hatt om den ble offentlig kjent.

2. Er det s? farlig om det er lagret data om deg?
a) Hvis data identifisert i oppgave 1 kommer p? avveie, hva kan det medf?re av farer og ubehag? P? hvilken m?te er dataene _verdifulle_ for deg? 
b) Tenk gjennom og diskuter hva denne type data om deg kan brukes til av de som behandler dataene. 
c) Vet du egentlig hva du har samtykket til n?r du har inng?tt en avtale med de som behandler dataene?

3. Hvordan kommer data p? avveie? Tenk gjennom og diskuter ulike scenarier.



4. Sikkerhetsm?l. 
Sikkerhetsm?l er alts? egenskaper ved informasjonssikkerhet, egenskaper vi ?nsker ? oppn? eller tilby, og som p? sett og vis beskriver informasjonssikkerhet.

Definer og diskuter de syv egenskapene ved informasjonssikkerhet nevnt p? forelesning 9/11:

a) Konfidensialitet
Konfidensialitet betyr at informasjon ikke tilgjengeliggj?res for annet enn de entiteter, systemer og/eller prosesser som er autorisert for tilgang til informasjonen. Det kan gjelde forretningshemmeligheter, personopplysninger, eller ? f.eks. sikre anonymitet der dette er n?dvendig. Konfidensialitet omfatter alle typer informasjon/data, alt fra forretningshemmeligheter, personopplysninger til konfigurering av systemer og da data som er med p? ? styre datamaskiner.

Som sikkerhetstiltak benyttes kryptering (lagring og kommunikasjon), tilgangskontroll (god styring p? hvem som har tilgang til hva) og det som kalles skallforsvar (hindre uvedkommende tilgang innenfor et "skall", jmfr et godt gjerde rundt en bygning. Helseopplysninger er eksempler p? konfidensielle opplysninger som skal beskyttes s?rlig.


b) Integritet
Integritet handler om ? kunne stole p? at informasjon eller systemer ikke er endret eller slettet av entiteter, systemer eller prosesser som ikke er autorisert for handlingen. Brudd p? integritet kan skyldes b?de angrep utenfra og feil i systemer som f?rer til korrupte data. I likhet med konfidensialitet omfatter integritet ogs? alle typer informasjon/data.

Som tiltak er autentisering og logging av andringer viktig, dessuten kryptering, gjerne i form av hash-algoritmer ved deling av data, samt digitalt signert programvare. N?r du f.eks. skal laste ned programvare fra nett f?r du ofte programvaren sammen med en sjekksum, slik at du selv kan sjekke om programvaren stemmer med sjekksummen etter nedlasting (sikrer b?de mot korrupt programvare og nedlastingsfeil).


c) Tilgjengelighet
Tilgjengelighet dreier seg om at informasjon til enhver tid skal v?re tilgjengelig for den som skal ha tilgang til informasjonen. Mobilnett, n?dnett, pasientsystemer, banksystemer, betalingssystemer er viktige systemer vi i dag er forholdsvis avhengige av i hverdagen, og som dermed b?r ha sterkt fokus p? tilgjengelighet. Samtidig vil det for en nettbutikk f?re til svikt i omsetningen hvis deres nettbutikk gj?res utilgjengelig for en periode, selv om det kanskje ikke ber?rer oss forbrukere p? samme m?te (vi velger en annen butikk...). DDOS-angrep eller andre angrep som tar ned et system/en tjeneste er en trussel, men det samme er f.eks. systemfeil, naturkatastrofer eller str?mbrudd.

Som sikkerhetstiltak benyttes gjerne backup (av b?de informasjon og programvare, slik at gjenoppretting blir enkelt, samt ? ha redundante systemer tilgjengelig.  


d) Autentisering
Autentisering er ? sikre at alle parter er de som de utgir seg for ? v?re. F.eks. at nettsiden du bes?ker er den nettsiden du mente ? bes?ke, og ikke en identisk kopi. 

Hovedtrusselen er at noe eller noen klarer ? utgi seg for ? v?re noen/noe de ikke er. Passord er f.eks. enkelt ? stjele/gjette/knekke, og falske nettsider ganske enkelt ? lage. Som sikkerhetstiltak benyttes f?rst og fremst ulike autentiseringsfaktorerog kryptografiske protokoller. Dette kommer vi n?rmere inn p? i forelesning om autentisering.


e) Uavviselighet (tidligere ikke-fornektelse).

Det skal ikke v?re mulig ? p?st? at man ikke har gjort noe man har gjort, og at man har gjort noe man ikke har gjort. Dette gjelder f.eks om man har undertegnet en kontrakt (f.eks for boligl?n), eller glemmer ? overf?re penger i nettbanken.

Uavviselighet er alts? ? bekrefte at en handling eller et informasjonselement er uendret (integritet) og at det kan knyttes til en bestemt identitet. Uavviselighet er i mange sammenhenger ogs? omtalt om ikke-benekting. En l?sning for uavviselighet er en l?sning som gj?r det mulig for ogs? en tredjepart ? innhente tilstrekkelig dokumentasjon for at en annen part ikke kan nekte for ? ha gjennomf?rt en handlig eller ha valgt ? bekrefte/vedg? seg et informasjonselement.

En l?sning for uavviselighet er bygget opp p? samme m?te som l?sninger for autentisering. Forskjellen er at brukeren skal v?re i stand til ikke bare ? bekrefte hvem man er over nettet, men ogs? ? legge igjen dokumentasjon som entydig knytter personen til en handling eller et uendret informasjonselement.


f) Sporbarhet

Sporbarhet, ogs? omtalt som etterpr?vbarhet, er egenskapen som sikrer at alle handlinger kan spores tilbake til en entydig entitet. Sporbarhet garanterer at alle operasjoner som utf?res av individer (brukere, personer, systemer eller prosesser som kj?res kan identifiseres, og at sporene bevares (logges) for senere bruk.

Ved et datainnbrudd ?ker dette muligheten for ? spore en kriminell handling tilbake til den eller de som utf?rer handlingen. Men fortsatt er det dessverre slik at det p? tvers av landegrenser, uten felles lovverk, kan v?re sv?rt vanskelig ? stille gjerningsmenn til ansvar for kriminelle handlinger.

? s?rge for sporbarhet i et system vil i mange tilfeller ogs? v?re med p? ? rette opp feil som skjer. Et eksempel er, som nevnt p? forelesning, hvis du plutselig oppdager at karakteren din plutselig er endret fra en st?karakter til stryk, uten grunn. I et system som sikrer sporbarhet vil denne endringen kunne spores, og handlingen knyttes til f.eks. en identifiserbar bruker. Personen vil kunne stilles til ansvar for handlingen, og man kan finne ut om det er en feil, sabotasje, el.

For ? kunne sikre sporbarhet brukes de preventive tiltakene autentisering og logging, mens etterforskning er et tiltak som benyttes i etterkant, som et korrigerende tiltak n?r en hendelse er avdekket og man m? n?ste i hva som har skjedd og til slutt "rydde opp". 


g) Personvern (privacy)

Ved innf?ring av EUs Personvernforordning har man f?tt p? plass et felles lovverk for behanding av personopplysninger (opplysninger som kan knyttes til "ekte"/fysiske personer) innen EU/E?S, som ogs? vil gjelde alle som leverer tjenester til borgere i EU/E?S.

Personvern forordningen stiller krav til hjemmel (lovligheten) av behandling (og oppbevaring) av denne type informasjon, at det gis samtykke, osv.



5. Personopplysninger
Ta utgangspunkt i datatilsynets artikkel "Hva er en personopplysning?" (https://www.datatilsynet.no/rettigheter-og-plikter/personopplysninger/). Diskuter personopplysninger og s?rlige kategorier personopplysninger. Hvilke opplysninger faller under hvilke kategori, og kan du tenke deg hvorfor? Se gjerne p? GDPR artikkel 4, 9 og 10.

SVAR: Ingen fasit her, diskuter med utgangpunkt i artikkelen. Det viktige er ? forst? hva som er personopplysninger. Tenk ogs? spesielt over hvorfor opplysningene som er kategorisert som s?rlige kategorier data er nettopp det.



6. Diskusjonoppgave:

   Jim jobber i justisdepartementet. Han er veldig forn?yd med ? f? jobbe med deres nye satsningsomr?de,  automatisert  saksbehandling,  de  neste to ?rene. Han har f?tt beskjed om ? bytte kontorplass fordi alle som jobber i prosjektet skal sitte samlet i et ?pent landskap i ?verste etasje.  Samtidig som de flytter inn i landskapet f?r de utdelt nye PC-er. P? disse er det et klistremerke med budskapet ?L?s PC-en n?r du g?r fra den!?.  Jim  husker  at  informasjonssikkerhetsansvarlig  snakket  om  dette  p?  nyansattkurset  han  deltok  p? for lenge siden, men har egentlig aldri forst?tt hvorfor han skal l?se PC-en sin. Alle i landskapet jobber p? det samme prosjektet. Hvorfor skal de egentlig l?se PC-en sin?
 
SVAR:
Alle sider av informasjonssikkerhet m? vurderes, men spesielt konfidensialitet, integritet, autentisitet og sporbarhet (etterpr?vbarhet). Skal alle alltid ha tilgang til all informasjon selv om man jobber p? samme prosjekt? Hvis alle kan bruke en ul?st pc vet man ikke hvem som har endret/lagt til/slettet informasjon. Hvilke konsekvenser vil dette f?, og for hvem? (Arbeidsplassen, deg selv, andre brukere) Kan du f? problemer dersom en kollega bruker din pc til ? utf?re handlinger som ikke er tillatt? F.eks. spre informasjon som ikke skal spres, laste ned ?ler ulovlig eller utf?rt andre handlinger i strid med intern sikkerhetsinstruks.



7. (Praktisk oppgave uten l?sningsforslag) 

a) SSL/TLS: Finn ut n?r sertifikatet for https://devilry.ifi.uio.no utl?per. Kan du se hvem som har utstedt sertifikatet?

   En nettleser inneholder oversikt over alle betrodde sertifikatutstedere (Certificate Authority, CA). Disse kan du finne i nettleserens oppsett. For Firefox finner du listen under Edit -> Preferences -> Advanced -> Ceritficates -> View certificates.



8. (Praktisk oppgave uten l?sningsforslag) 

a) Bruk https://www.ssllabs.com/ for ? sjekke browseren din. Browser p? Ifi, laptop, mobil, nettbrett, etc.
      Er den s?rbar? Hvilke protokoller st?tter den?

   b) Bruk https://www.ssllabs.com/ for ? sjekke kjente web-servers sertifikat og konfigurasjon (f.eks. devilry.ifi.uio.no).
      Finner du s?rbarheter? Kan du si noe om sertifikater, n?kler, protokoller og Cipher Suites de st?tter?

   c) Ta ogs? en kikk p? https://www.ssllabs.com/ssl-pulse/