Computer Security 2021/22 spring

Referaat

• Referaat on individuaalne ning unikaalne (ei luba korduvaid teemasid).
• Kohustuslik eksamile pääsemiseks.
• Teema registreerimine: 15. aprill vastaval Teams kanalil. Hilinemine lahutab tulemusest 3 punkti.
• Referaadi esitamine: 13. mai. Hilinemisel korrutatakse tulemus koefitsendiga: <1 nädal: 0.75, >1 nädal: 0.5.

Registreerimisel:

• kontrollige, et keegi pole sama teemat registreerinud;
• kontrollige, et referaadi teemat pole eelmise 3 aasta referaatide hulgas (referaadid 2019-2021) ]];
• esitage CVE kood, kui see on nõrkusele omistatud.

Referaat mingist konkreetsest turvaaugust või -probleemist:

• Milles turvaauk seisneb? (tehniline kirjeldus ja analüüs),
• Miks turvaauk ohtlik on? (mõjud süsteemile ning kuidas seda ära saab kasutada),
• Kuidas seda parandada? ning miks see parandus piisav on.

Referaadi esitamine

• Esitatakse cources.cs.ut.ee keskkonnas.
• Referaadi keel: eesti või inglise.
• Referaadi formaat: PDF, TXT, HTML. Teistes formaatides töid ei hinnata.
• Referaadi sissejuhatuses peab olema volitus töö avaldamiseks, näiteks sõnastuses: Käesolevaga luban Tartu Ülikoolil seda referaati avalikult eksponeerida kuni aastani 2027.

Vihjeid:

Enne tähtaega võib teemat vahetada. Kui pärast registreerumis tähtaega teise teema valite, siis kaotate 3 punkti - aga parem 7 punkti hea referaadi eest kui 5 punkti kehva õigeaegselt registreeritu eest.

Soovitav on saata referaat varem, sest kui referaadi eest vähe punkte saate, võite saata uue ja parema referaadi - aga ikka ainult enne tähtaega. Õppejõud küll ei garanteeri, et jõuan kõiki referaate enne tähtaja lõppu kohe üle lugeda, seega mida varem saadate, seda rohkem on lootust.

Paranduse juures ei piisa sellest, et installida tootja paik (patch), vaid vaja on detailsemat kirjeldust, mida see parandus teeb ja miks ta piisav on (see seab muide ka piirangud referaadi teemale - valitud teema kohta peab olema piisavalt sisulist infot ja parem kui see oleks lähtekoodi analüüsi tasemel). Piisav maht on 2-4 lehekülge - parajasti niipalju, et suudaksite mind veenda, et olete probleemi sisust ja lahendusest aru saanud. Seega üheks oluliseks osaks referaadi tegemisel on ka teema valik - mitte igast teadaolevast turvaaugust pole piisavalt sisulist infot. Näiteks on lihtne jääda osadest punktidest ilma, kui te ei näe, mida see parandus teeb ja seega ei suuda seda ära seletada (ei piisa tootja üldsõnalisest kirjeldusest).

Eestikeelsete terminite kohta tasub vaadata standardipõhist tarkvaratehnika sõnastikku, andmekaitse ja infoturbe leksikoni ning Vallaste e-teatmikku.

Referaaditeemadest on mul välja pakkuda üks aukude nimekiri CVE, asub aadressidel http://cve.mitre.org/cve/ ja http://cve.mitre.org/cve/downloads/allitems.html (viimane on pikk fail ja võib vähese mäluga arvutis probleeme tekitada). Lisaks on olemas NIST'i turvaaukude andmebaas NVD: http://nvd.nist.gov/ . Soovitav on valida CVE selle järgi, millel on References-i all kõige rohkem linke, eriti neid, mis on märksõnaga [misc] - need on tavaliselt lihtsamalt loetavamad artiklid ja muudavad CVE olemuse kergemini hoomatavaks, kui seda võiks teha ametlik teade või vea koodi lugemine. Alati on teretulnud ka teie enda ideed - kirjutage ja arutame, kas sobib referaadiks.

Soovitav on võtta mõni eelmise aasta teise poole või käesoleva aasta CVE, siis ei ole muret varasematega kattumisega.

Teema ei pea lähtuma CVE nimekirjast -- näiteks Eestiga seotud turvaprobleemid on olulised, kuid neile ei omistata CVE tähist.

Soovitav on valida teema, millest ka tõesti aru saad. Pole väga mõtet võtta teemat, mis on küll väga huvitav, aga aega kulub liiga palju. Tuleb varakult otsida omale hea teema, mille kohta leidub internetis piisavalt infot. Suvaliselt mingisugust teemat ei tohiks kohe kindlasti võtta. Väga soovitav on võtta teema, mille kohta on näha lähtekoodi parandus, muidu on raske näidata, milles viga ja parandus seisnevad.

CVE pole andmebaas, pigem sõnaraamat. Enamusel aukudel on juures mingi viide, tihti CERTile või BUGTRAQ-le, nende järgi leiab detailsema kirjelduse. Nii et lugege seda, otsige Internetist otsingumootoritega detailne kirjeldus ning kui leiate ning aru saate, registreerige teema MS Teams referaadid alamvestluses, kirjutage referaat ja esitage courses keskkonnas.