Page 158 - 4636

краще не використовувати для цього веб-сервер. Веб-сервер за визначенням є загальнодоступним
комп'ютером і повинен містити або інформацію, яку слід надати клієнтам, або інформацію, щойно
зібрану від клієнтів.
Для зниження ризику розголошення даних буде потрібно обмежити кількість методів отримання
доступу до інформації та кількість людей, які можуть отримати такий доступ. Цього можна домогтися,
якщо під час проектування постійно пам'ятати про захист, належним буде конфігурувати сервер і
серверні додатки, обережно програмувати, ретельно тестувати, видаляти непотрібні служби з веб-
сервера і вимагати від відвідувачів аутентифікації.
Потрібні ретельні проектування, налаштування, кодування і тестування, щоб знизити ризик
успішної незаконної атаки, і, що не менш важливо, зменшити ймовірність того, що якась помилка
зробить інформацію доступною для випадкового прочитання.
Для зменшення кількості потенційно слабких місць видаліть з веб-сервера непотрібні служби.
Кожна служба, що виконується на сервері, володіє своїми уразливими місцями. Щоб уникнути
наявності на сервері відомих усім вразливих місць слід регулярно оновлювати кожну зі служб.
Служби, які не використовуються, можуть представляти ще більшу небезпеку. Якщо, приміром, ви
ніколи не використовуєте команду гер, то навіщо встановлювати цю службу!? Якщо в процесі
інсталяції буде вказано, що комп'ютер підключено до мережі, то програма встановлення, що входить
до складу основних дистрибутивів Linux і Windows NT, скопіює на ваш комп'ютер масу непотрібних
служб, які повинні бути вилучені.
Аутентифікація (authentication) означає вимогу підтвердження своєї особи відвідувачами. Якщо
система знає, від кого надходить запит, вона може вирішити, чи дозволений доступ даній особі. Існує
кілька можливих методів аутентифікації, але в більшості випадків застосовують тільки паролі та
цифрові підписи. Більш докладно ці методи обговорюються нижче.
Компанія CD Universe може послужити хорошим прикладом того, у що обходиться
розголошення конфіденційної інформації - як у грошовому вираженні, так і в плані репутації. Як
повідомлялося, в кінці 1999р. зломщик, що називає себе Maxus, зв'язався з компанією CD Universe,
стверджуючи, що володіє номерами 300 000 кредитних карток, які було вкрадено з сайту компанії. За
знищення номерів кредитних карток він вимагав викуп у розмірі 100 000 доларів США. Компанія
відмовилася платити і виявилася втягнутою в неприємну історію, потрапила на перші шпальти
більшості газет, оскільки згаданий Maxus роздав номери дрібними партіями іншим людям для
нелегального використання.
Дані піддаються ризику розкриття та під час проходження через мережу. Хоча мережі на базі
протоколу TCP / IP володіють масою позитивних якостей, які зробили їх стандартом де-факто для
об'єднання різних мереж в Інтернеті, забезпечення безпеки не входить до їх числа. Протокол TCP / IP
розбиває дані на пакети і пересилає ці пакети від одного комп'ютера до іншого, поки вони не
досягнуть пункту призначення. Це означає, що на шляху проходження дані проходять через безліч
комп'ютерів, як показано на рис. 9.1. Будь-який з цих комп'ютерів має можливість переглянути дані в
момент проходження через нього.

155