Jaringan Diterjemahkan ke Graf
Topologi Jaringan Adalah Graf Geometri
Setiap jaringan komputer memiliki topologi: pengaturan geometri dari node (perangkat) dan edge (koneksinya). Topologi menentukan ketahanan kerusakan, bandwidth, dan sifat keamanan.
Lima topologi dasar:
- Bintang: Satu titik pusat, semua node terhubung kepadanya. Sederhana, murah. Titik pusat tunggal: jika hub megalami kematian, segalanya mati. N-1 edge untuk N node.
- Lingkaran: Node membentuk lingkaran, setiap node terhubung ke dua tetangganya. Patah tunggal membagi jaringan. N edge untuk N node.
- Bus: Semua node membagi kabel backbone yang sama. Murah tetapi rawan tabrakan. Pemutusan backbone mengakibatkan kerusakan pada segalanya.
- Mesh: Setiap node terhubung ke setiap node lainnya. Redundansi maksimum. Mesh penuh dengan 20 node memiliki 20(20-1)/2 edge: yaitu O(N²) koneksi. Mahal tetapi sangat toleran terhadap kerusakan.
- Pohon: Pengembangan hierarkis. N-1 edge (graf terhubung minimum). Kematian akar membagi cabang-cabang bawah.
Jaringan nyata adalah campuran: inti mesh dengan lapisan akses topologi bintang, hierarki pengaturan routing pohon, dan kelebihan topologi lingkaran pada titik kritis.
Topologi dan Ketahanan Kerusakan
A data center has 20 servers. The operations team is debating between a full mesh & a star topology for the internal network.
Geometri Keberadaan
Batas Serangan = Batas Geometris
Dalam keamanan siber, batas serangan adalah seluruh set titik di mana seorang penyerang dapat berinteraksi dengan sistem. Bayangkan secara geometris: sistem Anda adalah bentuk, & setiap titik di batasnya adalah titik masuk potensial.
Komponen batas serangan:
- Batas jaringan: Setiap porta terbuka pada setiap alamat IP publik. Sebuah server dengan 5 porta terbuka memiliki 5 titik pada batas jaringan.
- Batas aplikasi: Setiap endpoint API, setiap rute URL, setiap input formulir. Aplikasi web dengan 200 rute memiliki 200 titik batas lapisan aplikasi.
- Batas manusia: Setiap karyawan dengan kreditensial, setiap target penipuan. Serangan sosial mengincar perimeter antara manusia.
- Batas fisik: Setiap pintu ruang server, setiap porta USB, setiap porta jaringan.
Prinsip geometris: Keamanan meningkat dengan mengurangi batas antara zona yang dipercayai dan zona yang tidak dipercayai. Firewall mengdefinisikan batas geometris: lalu lintas di dalamnya dipercayai, lalu lintas di luar tidak dipercayai. Semakin sedikit lubang di batas tersebut, semakin kecil batas serangan.
Ini menjelaskan mengapa prinsip keistimewaan terendah adalah geometri: berikan setiap komponen batas eksposur minimum yang diperlukan untuk berfungsi.
Mengurangi Batas Serangan
Perusahaan menjalankan aplikasi web dengan eksposur berikut: 12 endpoint API publik, SSH terbuka pada semua 50 server (port 22), basis data dengan alamat IP publik, & panel admin yang dapat diakses dari internet.
Graf Serangan dan Pohon Ancaman
Pengembangan Ancaman Menggunakan Teori Graf
Profesional keamanan menggambarkan ancaman sebagai graf arah. Struktur graf ini mengungkapkan jalur serangan, target yang berharga, & prioritas pertahanan.
Grafik serangan: Node mewakili keadaan sistem (atau sistem individu). Edges yang diarahkan mewakili transisi yang mungkin: exploit, gerakan lateral, escalasi hak istimewa. Rute serangan adalah perjalanan di grafik ini dari node luar ke node target.
Pohon serangan: Struktur grafik khusus. Node root adalah tujuan penyerang (misalnya, 'mengambil basis data'). Node anak adalah metode untuk mencapai tujuan orang tua. Daun adalah tindakan serang konkrit. Node AND memerlukan kesuksesan semua anak; node OR hanya memerlukan satu.
Keterpusatan grafik mengidentifikasi target yang berharga:
- Keterpusatan antar: Node melalui mana banyak jalur terpendek melewati. Dalam jaringan, ini adalah titik penghalang: kompromikan, dan Anda mengendalikan aliran lalu lintas. Firewall atau domain controller seringkali memiliki keterpusatan antar yang tinggi.
- Keterpusatan derajat: Node dengan banyak koneksi. Dalam grafik serangan, node yang dapat diakses dari banyak node lain adalah target gerakan lateral yang berharga.
Jalur terpendek = vektor serang yang paling mungkin: Penyerang mengoptimalisasikan yang paling sedikit langkah. Jalur terpendek di grafik serangan dari internet ke basis data adalah rute serang yang paling mungkin. Pertahanan berarti membuat jalur terpendek itu lebih panjang: menambahkan node (kontrol keamanan) yang penyerang harus lalui.
Analisis Grafik Serangan
Pertimbangkan jaringan dengan struktur ini: Internet → Web Server → App Server → Database. Web Server juga terhubung ke File Server. App Server terhubung ke Backup Server. Tujuan penyerang adalah basis data.
Kriptografi Kurva Elips Menggunakan Geometri
Kurva Elips: Dimana Geometri Menjadi Kriptografi
Kriptografi elliptik (ECC) adalah salah satu tempat yang sangat jarang di mana keamanan benar-benar dibangun pada operasi geometris.
Sebuah kurva elips adalah himpunan titik (x, y) yang memenuhi: y² = x³ + ax + b (plus titik khusus 'titik tak hingga'). Di atas bilangan real, ini terlihat seperti kurva halus dan simetris.
Penambahan titik: operasi geometris yang membuat kriptografi berfungsi:
1. Ambil dua titik P & Q di kurva.
2. Gambar garis lurus melalui P & Q.
3. Garis itu menginterseksi kurva di titik lain R'.
4. Refleksikan R' di atas sumbu x untuk mendapatkan R = P + Q.
Operasi 'penambahan' ini membentuk suatu kelompok matematis: itu bersifat assosiatif, memiliki elemen identitas (titik tak hingga), dan setiap titik memiliki invers.
Pembagian vektor skalar: Menambahkan titik P ke dirinya sendiri k kali akan menghasilkan kP. Mengevaluasi (mencari kP diberikan k dan P) cepat: O(log k) operasi menggunakan double-and-add. Mengebalikkan (menemukan k diberikan P dan kP) adalah masalah logaritma diskret elliptik (ECDLP): dianggap komputasional tidak mungkin untuk kurva besar.
Asimetri ini adalah fondasi keamanan TLS modern. Koneksi HTTPS browser Anda mungkin menggunakan ECDHE (Elliptic Curve Diffie-Hellman Ephemeral): dua pihak setuju pada rahasia bersama dengan menukar titik-titik di atas kurva elips, dan tidak ada penyerang pendengaran yang dapat mengambil rahasia tanpa menyelesaikan ECDLP.
Mengapa Geometri Membuat Kriptografi Baik
ECC menyediakan keamanan yang sama dengan RSA dengan ukuran kunci yang lebih kecil. Sebuah kunci ECC 256-bit menyediakan keamanan sekitar sama dengan kunci RSA 3072-bit.