:: سخنرانان کلیدی کنفرانس
:: سخنرانان کلیدی
دکتر بهروز ترک لادانی
استاد تمام دانشکده مهندسی کامپیوتر دانشگاه اصفهان
امنيت نرم: مروری بر مفاهیم، کاربرد و پژوهشها
چکیده: امروزه پيشرفت در حوزه هاي مختلف محاسباتي و ارتباطي منجر به تحول و گذار به عصر نويني شده است که در آن اغلب به جای سامانههاي سنتي بسته، کوچک و با مديريت متمرکز، با سامانههاي باز، وسيع، قابل گسترش و با مديريت توزيع شده سروکار داریم. شبکههاي اجتماعي و سامانههای مبتنی بر اینترنت اشیاء نمونههايي از اين تحول به شمار ميآيند. اين تحول را میتوان حرکت از رويکرد سنتی «سازمان محور» به رويکرد جدید «اجتماع محور» تفسير نمود. با اين تلقي ويژه، مفهوم امنيت در سامانهها نيز دستخوش تغيير و توسعه شده است:
- در حالی که امنيت در رويکرد سازمان محور مبتني بر وضع و اعمال خط مشیهاي امنيتي از طريق بکارگيري سازوکارهاي سخت (صفر و يک) نظير رمزنگاري و کنترل دسترسي است، از آنجا که سامانههای جدید محاسباتی به ویژه از جنبه‌ي تعاملات، بسیار به جامعه بشري شبيه شده‌اند، ديگر صرف استفاده از روش‌هاي متمركز و سازمان‌محور پاسخگوي نيازها نيست، و لذا به جاي تکيه بر رويکردهاي امنيتي سازمان محور، يک رويکرد امنيتي اجتماع محور كه مبتني بر تعريف و تبعيت از هنجارها، ارزشها و کنترلهاي اجتماعي از طريق بکارگيري سازوکارهاي نرم (فازي) است مورد استفاده قرار می گیرد.
- در حالي که در رويکرد سازمان محور، امنيت مفهومي وضعي و مبتني بر يقين (اثبات) محاسباتي است، در رویکرد اجتماعمحور امنيت مفهومي اکتشافي و مبتني بر تجربه (اطمینان) دارد.
رويکرد تامین امنیت اجتماع محور كه برگرفته از هوش تجمعي انساني در برخورد با مسئله امنيت است، «امنيت نرم» نامیده میشود. امنيت نرم ريشه در تجربه‌ي هزاران ساله‌ي زندگي اجتماعي بشر و دستاوردهاي معنوي وي دارد و امنيتي است كه نه صرفاً بر مبناي قدرت بازدارندگي (کنترل سلبی)، بلكه بر اساس «اعتماد» افراد به يكديگر شكل گرفته و مبتنی بر کنترل ایجابی است. در واقع انسان‌ها در جامعه غالباً به خوبي ياد مي‌گيرند كه چگونه موجوديت‌هاي قابل اعتماد را از موجوديت‌هاي غير قابل اعتماد تميز داده و راهبردهاي مناسب را در مواجهه با آنان در پيش گيرند. دقت کنید که امنیت نرم جایگزین امنیت سخت نیست، بلکه امنیت نرم یک مکمل اجتنابناپذیر امنیت سخت در برخی سامانههای جدید محاسباتی است.
به عنوان نمونهای از سازوکارهای امنیت نرم، سامانههاي محاسبه و مديريت «اعتماد» راه کارهاي شناخته شده اي براي ايجاد «اصالت نرم» در محيطهاي محاسباتي جديد به شمار ميروند. در حالی که اصالت در امنیت سنتی یک مفهوم صفر و یکی است، دوگان آن در امنیت نرم یعنی اعتماد، یک مفهوم فازی است. سامانههای اعتماد به موجوديت‌هاي محيط اجازه مي‌دهند که بر اساس تجارب خود و ديگران، میزان درستکاري ساير اعضاء را پيشبینی و بر اساس آن «معتمدترین اعضاء» را جهت همکاري يا درخواست ارائه خدمت شناسايي نمايند. به عنوان نمونه در شبكه‌هاي نظير به نظير براي اشتراك منابع و يا در محيطهاي محاسباتي مشبك براي انتخاب گره همکار، هر گره از سيستم در نتيجه تراكنش‌هايي كه با ديگر گره‌ها انجام مي‌دهد، تجربه‌اي به دست مي‌آورد كه مي‌تواند راهنماي وي در انتخاب گره‌هاي دیگر جهت انجام تراكنش‌هاي پيش رو باشد. در صورتي كه تجربه قبلي نشان‌دهنده رفتار خصمانه يك گره (مانند ارسال فايل‌هاي آلوده به ويروس در شبكه‌هاي نظير به نظير، يا عدم پايبندي يك گره به تعهدات زماني در محيطهاي محاسباتي مشبك) باشد، براي جلوگيري از آسيب‌هاي بيشتر مي‌توان از انجام تراكنش‌هاي جديد با وي خودداري نمود. سامانههاي اعتماد چکيده تجارب گذشته را در قالب کميتي مقايسه‌پذير (تحت عنوان میزان اعتماد) در اختيار موجوديت‌هاي سامانه قرار مي‌دهند. اين قابليت موجب می شود که سامانههاي اعتماد در هر محيطی که نياز به همکاري و تعامل دو به دو بين موجوديت‌هاست، کاربرد داشته باشند. امروزه از محاسبه و مدیریت اعتماد به صورت وسیعی در اغلب سامانهها از قبیل تجارت الکترونيکي، شبکههاي اجتماعي، ارتباطات بيسيم، سامانههاي چندعامله، شبکههاي اقتضايي و نظير به نظير، محاسبات مشبک و اینترنت اشیاء استفاده می شود.
به عنوان کاربردی از مفهوم امنیت نرم نیز میتوان به موضوع کنترل انتشار شايعه در شبکه هاي اجتماعي به عنوان يک سازوکار تأمين «صحت نرم» اشاره نمود. اگر چه رشد روز افزون فضاي مجازي و به ويژه شبکههاي اجتماعي در بسیاری از کاربردها ارزشمند و ارزش آفرين است، با اين حال، سادگی و فراگیری استفاده از امکانات اين فضا و نقصان در فرهنگ بکارگيري آن و کمبود امکانات کافي مديريت اين فضا موجب شده که حجم شایعات موجود در آن نیز روز به روز افزایش یابد. این شایعات می توانند در اندک زمانی به دست ميليونها کاربر رسيده و موجب خسارات فراوان شوند. در سالهای اخیر، رواج شایعات در شبکه های اجتماعی که به ويژه با هدف فریب افکار عمومی ساخته میشوند، به یکی از نگرانیهای جدی در جوامع مختلف تبدیل شده است. شایعات میتواند با قصد آسیبرسانی در حوزه های مختلف مدیریتی و یا حاکمیتی در اجتماع تهيه و هدایت شود. بنابر این، با توجه به حجم بالای شایعات و لزوم تشخیص سریع آنها، توسعه مدلهايی براي تحليل نحوه انتشار و رديابي شايعات و همچنين ارزيابي کارايي و اثربخشي سازوکارهاي مختلف مقابله با شايعه به عنوان بخشي از سازوکارهاي امنيت نرم از اهمیت و جایگاه ویژهای برخوردار است. علاوه بر اين، توسعه سامانههايی که بتواند در مراحل اولیه انتشار، شایعه را به صورت خودکار تشخیص داده و اقدام به جلوگیری از انتشار بیشتر آن کند، از اولویتهای سرمايه گذاري براي هر جامعه به شمار میرود.
با ديدگاه امنيت نرم مفاهيم نوظهوري همچون جنگ نرم و تهديد نرم نيز قابل تقسير خواهد بود. از آنجا که فضای سایبر در سالهای اخیر امکانات رسانهای بسیار قویتر و اثرگذارتری را نسبت به رسانه های سنتی مثل روزنامه، رادیو و تلویزیون فراهم کرده است، تلاش میشود که از این امکانات در جهت اثرگذاری بر مخاطبین در راستای راه اندازی عملیات روانی، کاهش سرمایه اجتماعی، اعمال فشار براي ايجاد تغيير در اصول و رفتار یک نظام و يا به طور خاص تغيير خود نظام استفاده شود. به این مفهوم جنگ نرم سایبری گفته می شود. اگر از دیدگاه دو نوع کنترل سخت و نرم به موضوع نگاه کنیم، در مقابله با جنگ نرم سایبری هم هر دو نوع ساز و کار دفاعی سخت و نرم قابل تصور است. از آنجا که رويکرد اصلي در جنگ نرم فريبکارانه و مبتنی بر اغوای مخاطبین است، هر چند بکارگيري رويکرد کنترل سخت یا سلبي (روش هايي مثل ايجاد محدوديت در دسترسي مردم به اطلاعات نامناسب) براي مقابله در مواقع و مراحلي اجتناب ناپذير است، ولي قطعاً رويکرد اصلي مقابله با جنگ نرم رويکردی ايجابي و مبتنی بر کنترل نرم است. محققین علوم کامپیوتری برای مدل سازی انتشار شایعه در شبکههای اجتماعی، از مدل انتشار ویروسی استفاده می کنند. ما می دانیم که در مدل انتشار ویروس، رویکرد واقعی و نجات دهنده واکسیناسیون عمومی یعنی مصونیت بخشی به مردم است. هر چند می دانیم در مواقعی که شدت انتشار و اثرگذاری ویروس رو به وخامت می گذارد، استفاده از روشهایی مثل قرنطینه، جدا کردن، فاصله گذاری و ... هم اجتناب ناپذیر است. مصونیت بخشی از طریق تزریق واکسن در مدل انتشار ویروس معادل کنترل نرم یا ایجابی برای جلوگیری از انتشار شایعه در شبکه های اجتماعی است و قرنطینه و فاصله گذاری معادل روشهای کنترل سخت یا سلبی است. همانطور که در مقابله با ویروس کرونا این نهایتاً واکسیناسیون بود که مسئله را فیصله داد نه فاصله گذاری و قرنطینه و ...، در مقابله با ناامنی های ناشی از جنگ نرم سایبری هم دفاع ایجابی یعنی بصیرت افزائی، روشنگری، تلاش برای بالا بردن سطح بلوغ فکری و سواد رسانه ای مخاطبین روش اصلی است و باید روی آن تمرکز شود. همانگونه که برای مقابله با جنگ سخت سایبری (نفوذگری، حملات سایبری و ...) در امنیت سنتی به سیاستگذاری، برنامهریزی، نهادسازی، ابزارسازی و ارائه آموزشهای تخصصی نیاز است، برای مقابله با تأثیرات جنگ نرم سایبری نیز، به صورت مشابه ایجاد تمهیداتی به اقتضاء موضوع برای مقابله و دفاع مؤثر اجتناب ناپذیر است. متاسفانه تا به حال تا حد زیادی از این موضوع در کشور غفلت شده است.
در اين سمينار ضمن تبيين نظری مفاهیم پایه امنیت نرم، به تشريح ديدگاه، رئوس فعاليتها و برخی دستاوردهای علمی حاصل شده در «گروه پژوهشی مدلسازی و تحلیل امنیت دانشگاه اصفهان» در طی حدود یک دهه گذشته در حوزه پژوهشی امنیت نرم مشتمل بر موارد زیر خواهیم پرداخت:
- طراحی مدلها و سامانههای محاسبه اعتماد
- وارسی و اعتبارسنجی مدلهای اعتماد
- مدلسازی و تحلیل نحوه انتشار و کنترل شایعه در شبکه های اجتماعی
- مدلسازی و تحلیل تأثیر بات‌هاي شبکه اجتماعی بر شکل‌دهی افکار عمومی در جنگ نرم سایبری
مهندس محمود خالقی
معاونت امنیت فضای تولید و تبادل اطلاعات سازمان فناوری اطلاعات ایران
عنوان: تاثیر خط‌مشی‌ها و راهبردهای امنیت و دفاع سایبری بر مقابله با آسیب‌پذیری‌ها و تهدیدهای سایبری کشور
چکیده: جمهوری اسلامی ایران، یکی از اولین کشورهایی بود که نسبت به تشکیل نهاد سیاست‌گذار و اتخاذ خط‌مشی‌ها و راهبردهای ملی در حوزه امنیت فضای تبادل اطلاعات خود اقدام نمود. در پی پیشنهاد انجمن رمز ایران در اسفند 1381 و با دستور رئیس‌جمهور وقت، شورای عالی امنیت فضای تبادل اطلاعات (افتا)، تشکیل و تدوین سند راهبردی امنیت فضای تبادل اطلاعات کشور را در اولویت اقدام قرار داد. در نهایت، سند راهبردی افتا در تاریخ 13 تیرماه 1384 به تصویب هیأت محترم دولت ج.ا.ایران رسید. در رتبه‌بندی سال 2020 اتحادیه بین المللی مخابرات (ITU) بر اساس شاخص جهانی امنیت سایبری (GCI)، وضعیت انطباق امنیت فضای تبادل اطلاعات ج.ا.ایران با کسب امتیاز 81.07 از مجموع 100، در جایگاه 54 قرار گرفته است و مجموعاً 61 کشور در رتبه‌های بالاتر قرار گرفته‌اند. از منظر اثربخشی اقدام‌های انجام‌شده در حوزه امنیت نیز وقوع حملات و حوادث متعدد در فضای تبادل اطلاعات دستگاه‌های مختلف زیرساختی و غیرزیرساختی کشور طی یک‌سال اخیر، نمایان‌گر وضعیت بحرانی امنیت در این حوزه است. چرا با وجود پیش‌تازی کشور در حوزه نهادسازی و اتّخاذ خط‌مشی‌ها و راهبردهای ملی، با گذشت نزدیک به دو دهه، نه‌تنها وضعیت اثربخشی امنیت، بلکه وضعیت انطباق امنیت با بسیاری از به‌گزینه‌های حوزه امنیت نیز قابل پذیرش نمی‌باشد؟ بر اساس بررسی‌های انجام شده، عدم توجه کارشناسان و مدیران حوزه فناوری اطلاعات و امنیت دستگاه‌ها به فرامین و هشدارهای صادر شده توسط مراجع رسمی کشور و کمبود شدید سرمایه‌های انسانی متخصص، جزء اصلی‌ترین دلایل این امر محسوب میشوند. این در حالی است که از یک‌سو بالغ بر 9 مرجع رسمی، اقدام‌های دستگاه‌های دولتی در این حوزه را رصد نموده و در تمامی اسناد راهبردی منتشر شده در حوزه امنیت و دفاع سایبری کشور نیز اقدام‌هایی از قبیل آگاهی‌رسانی، آموزش، همکاری‌های داخلی و بین‌المللی، هماهنگی، امن‌سازی و ... پیش‌بینی شده‌اند. شرایط موجود، حاصل اتّخاذ خط‌مشی‌ها و راهبردهای نامتوازن، بدیل‌سازی‌ها و فقدان توجه به برخی اصول اولیه امنیت در نهادها و اسناد بالادستی حوزه امنیت و دفاع سایبری محسوب میشود. از جمله این موارد، میتوان به بومی‌سازی و امنیتی‌سازی اشاره نمود. بومی‌سازی در موارد متعدد، به‌عنوان بدیل امن‌سازی مورد تأکید قرار گرفته است و الزام به به‌روزرسانی نرم‌افزارها و نصب وصله‌های امنیتی، در سایه بی‌اعتمادی به محصولات غیربومی، در اغلب اسناد، مورد غفلت قرار گرفته‌اند. کسب‌وکارهای افتا، در فرآیندهای امنیتی پیچیده، مجوز دریافت می‌نمایند، در حالی که برای عرضه خدمت یا فروش محصول به هر دستگاه دولتی، باید مراحل امنیتی متعدد و زمان‌بر را طی کنند.
Dr. Sushmita Ruj
Senior Lecturer in the School of Computer Science and Engineering, UNSW, Sydney
Title of Keynote Speech: Proofs of Storage and Applications
Abstract: Cloud service providers can be malicious and tamper with the data. Proofs of storage enable clients to verify data integrity. We will discuss the concept of proofs of storage and present some of our constructions. We will then discuss limitations of existing proofs of storage and show how blockchains can address these limitations. We will discuss applications of proofs of storage for secure, privacy preserving and accountable data sharing and trading.
Bio: Sushmita Ruj is Senior Lecturer at UNSW, Sydney. Before joining UNSW, she was a Senior Research Scientist at CSIRO's Data61, an Associate Professor at Indian Statistical Institute and an Assistant Professor at Indian Institute of Technology, IIT, Indore. She was a researcher/visiting faculty at University of Ottawa, Canada, Lund University, Sweden, NTU, Singapore, KDDI R&D Labs, Japan, INRIA, France, Kyushu University, Japan and intern at Microsoft Research Labs, India. She received her B.E. degree from Indian Institute of Engineering, Science and Technology (IIEST), Shibpur, India and Masters and Ph.D. from Indian Statistical Institute, India, all in Computer Science. Her research interests are in applied cryptography, blockchains, cybersecurity and data privacy. Sushmita serves on the Editorial board of Elsevier Journal of Information Security and Applications (JISA) and Pervasive and Mobile Computing (PMC). She served as a Program Co-Chair for ACISP 2021 and Indocrypt 2019. She won best paper awards at ISPA 2007, IEEE PIMRC 2011 and IEEE ANTS WIE'17. She received Samsung GRO award, NetApp Faculty Fellowship, Cisco University Research Grant, OCSP grant from IBM Research. Sushmita is a Senior member of ACM and IEEE.
مشاهده اطلاعات بیشتر:
https://research.unsw.edu.au/people/dr-sushmita-ruj-0
Dr. Pedro Peris-Lopez
Associate Professor (accredited as a full professor) with the Department of Computer Science, Carlos III University of Madrid
Biosignals: a powerful tool in the world of cybersecurity
In recent years, we can observe a proliferation of the use of vital signals for the design of novel cryptographic solutions. Likewise, incorporating telemetry in implanted or semi-implanted medical devices requires solutions that guarantee the patient's safety and the device's security. We will review state of the art in the use of biosignals in the world of cybersecurity, starting from identification/authentication solutions, through key generation algorithms or random number generators, to distance verification algorithms, among others.
Biography: Pedro Peris-Lopez received an M.Sc. degree in telecommunications engineering and a PhD in computer science from the Carlos III University of Madrid, Spain, in 2004 and 2008, respectively. He is currently an Associate Professor (accredited as a full professor) with the Department of Computer Science, Carlos III University of Madrid. His research interests are in the field of cybersecurity and e-health, digital forensics and hardware security. He has published many articles in specialized journals (62) and conference proceedings (45). His works have more than 4800 citations, and his h-index is 31. For additional information, see
https://www.lightweightcryptography.com/.
مشاهده اطلاعات بیشتر:
https://www.lightweightcryptography.com/
Prof. Lejla Batina
Professor, applied cryptography and embedded systems security, Radboud University, The Netherlands.
Title: Side-channel analysis of cryptographic implementations: Lessons learned and future directions
Abstract: In this talk we give an overview of side-channel attacks on implementations of cryptography and countermeasures. We survey the approaches to analysis and attacks, from mutual information to deep learning and recent efforts on leakage simulators for attack prevention. In the end, we identify some avenues for future research.
Bio: Lejla Batina received her Ph.D. from KU Leuven, Belgium (2005) and prior to that studied at the Eindhoven University of Technology, (Professional Doctorate in Engineering in 2001) and worked as a cryptographer for SafeNet B.V. (2001–2003). Currently, she is a professor in embedded systems security at the Radboud University in Nijmegen, the Netherlands.
She has coauthored more than 150 refereed articles. Her current research interests include implementations of cryptography and physical security. Her research group at Radboud consists of 10+ researchers and 10 Ph.D. students have graduated under her supervision.
She is a senior member of IEEE and an Editorial board member of top journals in security, such as IEEE Transactions on Information Forensics and Security and ACM Transactions on Embedded Computing Systems. She was program co-chair of CHES 2014, ACM WiSec 2021 and Africacrypt 2022. Currently, she serves as a program co-chair for SPACE 2022.
