Kodutöö #3 (5p)

Tähtaeg: 23. mai

Kirjalik ülesanne (2p)

1. Kuidas oleks võimalik rünnata kahefaktorilist autentimissüsteemi, mis põhineb paroolil ja SMS teel saabunud ühekordsel koodil? Koostage samm-sammuline lühikirjeldus võimalikust ründest, mis sisaldab olulisemaid ründaja poolt sooritatavaid tegevusi. Selguse huvides tuleb see esitada nummerdatud loeteluna. Vastuse lugeja peab saama üldise arusaama sellest kuidas rünne toimiks. Sellele küsimusele saab vastata mitmel erineval viisil. Kui teil ei tule ideid, siis sirvige mõtete kogumiseks artiklit Man in the Browser Attack vs. Two Factor Authentication (2012).
   
   Piirangud: ründaja ei saa juurdepääsu ohvri telefonile ja ei saa rünnata teenusepakkujat, kellele ennast autenditakse. Samas on võimalik nakatada ohvri arvuti kahjurvaraga. (2p)

Kirjalike lahenduste esitamine

Lahendused tuleb esitada läbi selle veebilehe. Lahenduste esitamiseks tuleb ülikooli kasutajakontoga courses.cs.ut.ee lehele sisse logida. Vastused peavad olema esitatud PDF failina. Praktiliste ülesannete lahendused tuleb esitada eraldi nende jaoks ette nähtud vormidesse, mis asuvad lehe alumises osas.

Palume võimaluse korral lisada kommentaarina ülesannete lahendamisele kulunud aeg. Selle põhjal oskame järgmise aasta tudengite jaoks ülesannete mahtu paremini planeerida.

15. 3. Kodune töö (lahendus PDF kujul)

Praktilised ülesanded (3p)

1. Räsi murdmise ülesanne: Iga tudengi pseudonüümi juurde on juhuslikult määratud üks räsiväärtus. Teie ülesandeks on leida sisend, mis annab tulemuseks teie pseudonüümile määratud räsi ning lisaks kirjutada, mis räsifunktsiooni abil oli see räsi genereeritud. See ülesanne illustreerib paroolide soolamise vajalikkust. Pseudonüümide ning räside nimekirja leiate siit: räsid ja pseudonüümid. Oma infoturbe aine pseudonüümi näete kui vaatate enda profiili selle lehe ülemisest paremast nurgast. (1p)
   
   Vihjed ning soovitused:
   • Ülesande lahendamiseks ei ole vaja lisatarkvara ning te ei pea hakkama ise reaalselt seda räsi murdma. Samas on teil võimalik leida vastav sisendväärtus. Mõelge loengus räägitule ning sellele, et kas ründajad hakkavad pärast leket ise räsisid arvutama või teevad midagi muud.
   • Kasutage sisendi otsimisel kindlasti enda pseudonüümile vastavat räsi, lahenduse hindamine toimub automatiseeritult.
   • Infot levinumate räsifunktsioonide kohta (nt. räsi pikkus) leiab näiteks Wikipedia artiklist:
     List of cryptographic hash functions
   • Räsid on enamasti kodeeritud hex abil. Kui on teada räsi pikkus bittides, siis on lihtne leida selle pikkust hex kodeerituna. Selleks tuleb bittide arv jagada kaheksaga (et saada baitide arv) ning seejärel tulemus korrutada kahega (ühe baidi esitamiseks kulub kaks hex kujul olevat sümbolit).
   • Ülesande lahendamiseks võib vaja minna otsingumootorit. Siit leiab juhendi, mille abil saab teha efektiivsemaid otsingupäringuid: Google Search Tips You'll Want to Learn

Lahenduseks tuleb esitada tekstifail (.txt laiendusega), mille esimesel real on leitud sisendväärtus ja teisel real on kasutatud räsifunktsiooni nimi. Muud infot ei tohi faili lisada, muidu võite automaatkontrolli käest saada 0 punkti. Windowsis saate kasutada tekstifaili loomiseks tarkvara Notepad. Lahendusi kontrollitakse automatiseeritult, seega peab lahendus olema kindlasti esitatud .txt failina ning eelpool kirjeldatud kujul.

12. 2. praktikum - Räsi murdmine - järgige nõutud formaati

2. KeePassXC ülesanne: Looge KeePassXC abil paroolide andmebaas ja esitage see lahendusena. (2p)
   
   KeePassXC kasutamise juhendid on lingitud loengumaterjalides.
   
   Ülesande lahendus peab vastama järgmistele tingimustele:
   • Andmebaasi peaparooliks on: turve (see on meelega ainult viiest tähest koosnev, et teha lahenduste kontrollimine lihtsamaks). Vale peaparooli kasutamisel on tulemuseks automaatselt 0 punkti.
   • Paroolide andmebaasis on ainult üks rida / väli / konto (näidisväljad kustutage).
     • Välja nimeks olgu teie pseudonüüm, mis on teile infoturbe aine raames courses.cs.ut.ee lehe poolt genereeritud. Pseudonüümi näete kui vaatate enda profiili lehe ülemisest paremast nurgast.
     • Kasutajanimeks peab olema teie matriklinumber. Selle saate leida courses.cs.ut.ee lehelt enda profiili alt.
     • Parool peab olema 40 kohaline ja see peab olema juhuslikult genereeritud KeePassXC poolt.
   • Esitatava faili laiendiks peab olema .kdbx

11. 3. koduse töö ülesanne - KeePassXC - esitage .kdbx fail