Tűzfalakkal a hackerek ellen

Tömör számhalmazokra bambuló szuperhackerek, behatolásjelző szirénák hangja, csizmák dobogása, minden másodperc számít, nincs feltörhetetlen rendszer - akármelyik hackeres filmre ráhúzható az iménti klisé, a valóságban azonban más a helyzet.

Ha akár csak egy modemről is felcsatlakozunk az internetre, már veszélyben vagyunk - mondják a szakemberek. Azt gondolhatnánk, hogy a dinamikusan változó IP cím (az egyedi IP azonosítót minden egyes felcsatlakozáskor a szolgáltató adja meg) ismeretlensége miatt sosem talál ránk a hacker. Ráadásul az egyszerűbb támadások ellen roppant egyszerű védekezni: ha egy tűzfalprogram elemi szinten tilt mindenféle bejövő forgalmat, az pont ugyanolyan a külső támadó szempontjából, mintha fel sem csatlakoztunk volna - gépünk az ő számára nem létezik.

Itt azonban sajnos máris meg kell állnunk: egészen biztos, hogy mindent nem fogunk tiltani, hiszen azért csatlakozunk, mert használni is akarunk valamit, ekkor pedig már olyan kapuk nyílnak meg, amelyek támadási felületként is szerepelhetnek. Korrigáljuk tehát kissé a bevezetőben szereplő szlogent: nincs feltörhetetlen rendszer, csak rosszul beállított, rosszul megtervezett jogosultsági rendszer és elavult tűzfal.

A hackerek már a spájzban vannak!

Két alapvető támadási formát kell elkülöníteni: a hálózat forgalmát célzó támadásokat, valamint a hálózatot alkotó gépek ellen irányuló támadásokat - a tűzfalak segítségével ez utóbbi kapcsán tudunk védelmi vonalakat felállítani. A közhiedelemmel ellentétben a támadásoknak csak egy nagyon minimális százaléka jár tényleges behatolással, legnagyobb részük "csak" a gép - és persze egyúttal a mögöttes hálózat - lebénítására irányul, amely azért így is tetemes kárt képes okozni. Ilyen például a hazánkban is közismert és sajnos túlzottan is elterjedt DoS-os módszer (nem a régi DOS operációs rendszerről, hanem a Denial of Service, azaz szolgáltatásmegtagadás rövidítéséről van szó), amelynek használata nem igényel semmiféle "hackerszaktudást", és a hálózatot adatcsomagokkal való masszív és kitartó bombázás által blokkolja.

Kapu az intranetre

Nemcsak a védelmi feladatot ellátó szoftvert nevezzük tűzfalnak, hanem azt a számítógépet is, amelynek egyedüli feladata a tűzfal szerepének biztonságos ellátása, azaz egy belső helyi hálózat védelme a külvilággal és a belső akciókkal szemben. (Nem feltétlenül csak kívülről érhet ugyanis támadás, belülről is szivároghatnak ki adatok, ezek kiszűrése is lehet fontos cél, a művelet tehát olykor kétirányú.) Az erre a célra használt gépet (egyszerűbb esetben routert is alkalmazhatnak tűzfalnak) többnyire speciális operációs rendszerrel, különböző szerver változatokkal látják el, amely már a kernel (rendszermag) szintjén végez némi csomagszűrést (lásd később).

Mivel ezen keresztül folyik mindennemű adatforgalom a belső háló és a külvilág között, csak akkor van értelme a rendszernek, ha betartjuk a játékszabályokat is. Ha valaki a belső hálóról egy modem segítségével a saját szakállára jut ki a világhálóra, az kikerülte és ezáltal értelmetlenné tette a tűzfalat...