Контрольная работа: Зашита информации - методы и объекты
ÔÅÄÅÐÀËÜÍÎÅ ÀÃÅÍÑÒÂÎ ÏÎ ÎÁÐÀÇÎÂÀÍÈÞ
Ãîñóäàðñòâåííîå îáðàçîâàòåëüíîå ó÷ðåæäåíèå
âûñøåãî ïðîôåññèîíàëüíîãî îáðàçîâàíèÿ
ÐÎÑÑÈÉÑÊÈÉ ÃÎÑÓÄÀÐÑÒÂÅÍÍÛÉ ÃÓÌÀÍÈÒÀÐÍÛÉ ÓÍÈÂÅÐÑÈÒÅÒ
ÈÍÑÒÈÒÓÒ ÈÍÔÎÐÌÀÖÈÎÍÍÛÕ ÍÀÓÊ È ÒÅÕÍÎËÎÃÈÉ ÁÅÇÎÏÀÑÍÎÑÒÈ
Êàôåäðà îáùåé èíôîðìàòèêè
ТЕРЕХИНА ОКСАНА МИХАЙЛОВНА
ÊÎÍÒÐÎËÜÍÀß ÐÀÁÎÒÀ ÏÎ ÄÈÑÖÈÏËÈÍÅ
«ÈÍÔÎÐÌÀÖÈÎÍÍАЯ БЕЗОПАСНОСТЬ»
ИНФОРМАЦИОННАЯ ВОЙНА И
ИНФОРМАЦИОННАЯ БЕЗОПАСНОСТЬ
ÝÊÑÒÅÐÍÀ 2 ÃÎÄÀ ÎÁÓ×ÅÍÈß (4-Õ ËÅÒÍÅÃÎ ÑÐÎÊÀ ÎÁÓ×ÅÍÈß)
ÃÐÓÏÏÀ Á (èíôîðìàöèîííàÿ ñôåðà)
Íàó÷íûé ðóêîâîäèòåëü
ïðåïîäàâàòåëü
Корякин
Ìîñêâà
2005
ПЛАН
ВВЕДЕНИЕ 3
1. Информационная безопасность человека и общества 4
2. Технические средства охраны объектов и защиты от утечки информации 6
2.1. Противодействие наблюдению в оптическом диапазоне 7
2.2. Противодействие подслушиванию 8
2.3. Защита от электромагнитных наводок 12
3. Традиционные методы защиты информации 15
3.1. Идентификация и аутентификация 16
3.2. Защита паролями 17
3.3. Электронная подпись 20
3.4. Криптографическая защита информации 20
ЗАКЛЮЧЕНИЕ 23
СПИСОК ЛИТЕРАТУРЫ 24
ВВЕДЕНИЕ
Изменения, происходящие в экономической жизни России – создание финансово-кредитной системы, предприятий различных форм собственности и т.п. - оказывают существенное влияние на вопросы защиты информации. Долгое время в нашей стране существовала только одна собственность – государственная, поэтому информация и секреты были тоже только государственные, которые охранялись мощными спецслужбами.
Проблемы информационной безопасности постоянно усугубляется процессами проникновения практически во все сферы деятельности общества технических средств обработки и передачи данных и, прежде всего, вычислительных систем. Объектами посягательств могут быть сами технические средства (компьютеры и периферия) как материальные объекты, программное обеспечение и базы данных, для которых технические средства являются окружением.
Каждый сбой работы компьютерной сети это не только «моральный» ущерб для работников предприятия и сетевых администраторов. По мере развития технологий электронных платежей, серьезный сбой парализует работу целых корпораций и банков, что приводит к ощутимым материальным потерям. Не случайно, что защита данных в компьютерных сетях стала проблемой в современной информатике.
Следует также отметить, что отдельные сферы деятельности (банковские и финансовые институты, информационные сети, системы государственного управления, оборонные и спецслужбы, имеющие отношения к государственной тайне) требуют специальных мер безопасности данных и предъявляют повышенные требования к надежности функционирования информационных систем, в соответствии с характером и важностью решаемых ими задач.
В данной работе рассмотрены
основные аспекты информационной безопасности, а также технические средства и
методы защиты информации от несанкционированного доступа, в том числе с
использованием криптографии.
1. Информационная безопасность человека и общества
До недавнего времени в Уголовном кодексе РФ не существовало статей, связанных с компьютерными преступлениями. К счастью, сейчас положение изменилось. За последние несколько лет многие законы, регулирующие IT-область, были пересмотрены, дополнены и отредактированы в свете современного состояния информатизации в России.
Сегодня большое количество сведений, составляющих государственную тайну, также хранятся и передаются средствами ВТ. Закон РФ «О государственной тайне» дает следующую трактовку этого понятия: «Государственная тайна – защищаемые государством сведения в области его военной, внешнеполитической, экономической, разведывательной, контрразведывательной и оперативно-розыскной деятельности, распространение которых может нанести ущерб безопасности Российской Федерации». Также этот закон раскрывает некоторые понятия, с ним связанные, например:
– носители сведений, составляющих государственную тайну, – материальные объекты, в том числе физические поля, в которых сведения, составляющие государственную тайну, находят свое отображение в виде символов, образов, сигналов, технических решений и процессов;
– система защиты государственной тайны – совокупность органов защиты государственной тайны, используемых ими средств и методов защиты сведений, составляющих государственную тайну, и их носителей, а также мероприятий, проводимых в этих целях;
– допуск к государственной тайне – процедура оформления права граждан на доступ к сведениям, составляющим государственную тайну, а предприятий, учреждений и организаций – на проведение работ с использованием таких сведений;
– доступ к сведениям, составляющим государственную тайну, – санкционированное полномочным должностным лицом ознакомление конкретного лица со сведениями, составляющими государственную тайну;
– средства защиты информации - технические, криптографические, программные и другие средства, предназначенные для защиты сведений, составляющих государственную тайну, средства, в которых они реализованы, а также средства контроля эффективности защиты информации.
В России существуют и различные нормативные документы, регулирующие отношения в области информации: «Об участии России в международном информационном обмене» (Федеральный закон от 4 июля 1996 г. № 85-ФЗ), «Об основах государственной политики в сфере информатизации» (Указ Президента РФ от 20 января 1994 г. № 170), Федеральный закон от 10 января 2002 г. № 1-ФЗ «Об электронной цифровой подписи», Указ Президента РФ от 12 мая 1993 г. № 663 «О мерах по созданию единого эталонного банка данных правовой информации», «Доктрина информационной безопасности Российской Федерации» (от 9 сентября 2000 г. № ПР-1895) и многие другие.
Угрозы информационной безопасности условно можно разделить на две большие группы: случайные и преднамеренные.
К случайным угрозам относятся: стихийные бедствия и аварии, сбои и отказы технических средств, ошибки при разработке компьютерной системы, алгоритмические и программные ошибки, ошибки пользователей и обслуживающего персонала.
Класс преднамеренных угроз очень динамичен и постоянно пополняется. Угрозы этого класса в соответствии с их сущностью и реализацией могут быть распределены по пяти группам: традиционный или универсальный шпионаж и диверсии; несанкционированный доступ к информации; электромагнитные излучения и наводки; модификация структур КС; вредительские программы.
2. Технические средства охраны объектов и защиты от утечки информации
Утечка информации в компьютерных системах может быть допущена как случайно, так и преднамеренно, с использованием технических средств съема информации.
Средства противодействию случайной утечки информации, причиной которой может быть программно-аппаратный сбой или человеческий фактор, могут быть разделены на следующие основные функциональные группы: дублирование информации, повышение надёжности компьютерных систем, создание отказоустойчивых компьютерных систем, оптимизация взаимодействия человека и компьютерной системы, минимизация ущерба от аварий и стихийных бедствий (в том числе, за счет создания распределённых компьютерных систем), блокировка ошибочных операций пользователей.
Наибольший интерес представляет преднамеренный съём информации, также известный как промышленный (технический) шпионаж, а также методы защиты от него.
Ïðè çàùèòå èíôîðìàöèè â компьютерных системах (ÊÑ) îò òðàäèöèîííîãî øïèîíàæà è äèâåðñèé èñïîëüçóþòñÿ òå æå ñðåäñòâà è ìåòîäû çàùèòû, ÷òî è äëÿ çàùèòû äðóãèõ îáúåêòîâ, íà êîòîðûõ íå èñïîëüçóþòñÿ ÊÑ. Äëÿ çàùèòû îáúåêòîâ ÊÑ îò óãðîç äàííîãî êëàññà äîëæíû áûòü ðåøåíû ñëåäóþùèå çàäà÷è:
¨ ñîçäàíèå ñèñòåìû îõðàíû îáúåêòà;
¨ îðãàíèçàöèÿ ðàáîò ñ êîíôèäåíöèàëüíûìè èíôîðìàöèîííûìè ðåñóðñàìè íà îáúåêòå ÊÑ;
¨ ïðîòèâîäåéñòâèå íàáëþäåíèþ;
¨ ïðîòèâîäåéñòâèå ïîäñëóøèâàíèþ;
¨ çàùèòà îò çëîóìûøëåííûõ äåéñòâèé ïåðñîíàëà.
Îáúåêò, íà êîòîðîì ïðîèçâîäÿòñÿ ðàáîòû ñ öåííîé êîíôèäåíöèàëüíîé èíôîðìàöèåé, èìååò, êàê ïðàâèëî, íåñêîëüêî ðóáåæåé çàùèòû:
1) êîíòðîëèðóåìàÿ òåððèòîðèÿ;
2) çäàíèå;
3) ïîìåùåíèå;
4) óñòðîéñòâî, íîñèòåëü èíôîðìàöèè;
5) ïðîãðàììà;
6) èíôîðìàöèîííûå ðåñóðñû.
Îò øïèîíàæà è äèâåðñèé íåîáõîäèìî çàùèùàòü ïåðâûå ÷åòûðå ðóáåæà è îáñëóæèâàþùèé ïåðñîíàë.
Ñèñòåìà îõðàíû îáúåêòà (ÑÎÎ) ÊÑ ñîçäàåòñÿ ñ öåëüþ ïðåäîòâðàùåíèÿ íåñàíêöèîíèðîâàííîãî ïðîíèêíîâåíèÿ íà òåððèòîðèþ è â ïîìåùåíèÿ îáúåêòà ïîñòîðîííèõ ëèö, îáñëóæèâàþùåãî ïåðñîíàëà è ïîëüçîâàòåëåé.
Ñîñòàâ ñèñòåìû îõðàíû çàâèñèò îò îõðàíÿåìîãî îáúåêòà.  îáùåì ñëó÷àå ÑÎÎ ÊÑ äîëæíà âêëþ÷àòü ñëåäóþùèå êîìïîíåíòû:
¨ èíæåíåðíûå êîíñòðóêöèè;
¨ îõðàííàÿ ñèãíàëèçàöèÿ;
¨ ñðåäñòâà íàáëþäåíèÿ;
¨ ïîäñèñòåìà äîñòóïà íà îáúåêò;
¨ äåæóðíàÿ ñìåíà îõðàíû.
2.1. Противодействие наблюдению в оптическом диапазоне
Íàáëþäåíèå â îïòè÷åñêîì äèàïàçîíå çëîóìûøëåííèêîì, íàõîäÿùèìñÿ çà ïðåäåëàìè îáúåêòà ÈÑ, ìàëîýôôåêòèâíî. Ñ ðàññòîÿíèÿ 50 ìåòðîâ äàæå ñîâåðøåííûì äëèííîôîêóñíûì ôîòîàïïàðàòîì íåâîçìîæíî ïðî÷èòàòü òåêñò ñ äîêóìåíòà èëè ìîíèòîðà. Òàê òåëåîáúåêòèâ ñ ôîêóñíûì ðàññòîÿíèåì 300 ìì îáåñïå÷èâàåò ðàçðåøàþùóþ ñïîñîáíîñòü ëèøü 15x15 ìì. Êðîìå òîãî, óãðîçû òàêîãî òèïà ëåãêî ïàðèðóþòñÿ ñ ïîìîùüþ:
¨ использования оконных стекол с односторонней проводимостью света;
¨ применения штор и защитного окрашивания стекол;
¨ размещения рабочих столов, мониторов, табло и плакатов таким образом, чтобы они не просматривались через окна или открытые двери.
Äëÿ ïðîòèâîäåéñòâèÿ íàáëþäåíèþ â îïòè÷åñêîì äèàïàçîíå çëîóìûøëåííèêîì, íàõîäÿùèìñÿ íà îáúåêòå, íåîáõîäèìî, ÷òîáû:
¨ двери помещений были закрытыми;
¨ расположение столов и мониторов ЭВМ исключало возможность наблюдения документов или выдаваемой информации на соседнем столе или мониторе;
¨ стенды с конфиденциальной информацией имели шторы.
2.2. Противодействие подслушиванию
Методы борьбы с подслушиванием можно разделить на два класса:
1) методы защиты речевой информации при передаче ее по каналам связи;
2) методы защиты от прослушивания акустических сигналов в помещениях.
Речевая èíôîðìàöèÿ, передаваемая по каналам связи, защищается от прослушивания (закрывается) с использованием методов аналогового скремблирования и дискретизации речи с последующим шифрованием.
Под ñêðåìáëèðîâàíèåì ïîíèìàåòñÿ èçìåíåíèå õàðàêòåðèñòèê ðå÷åâîãî ñèãíàëà òàêèì îáðàçîì, ÷òî ïîëó÷åííûé ìîäóëèðîâàííûé ñèãíàë, îáëàäàÿ ñâîéñòâàìè íåðàçáîð÷èâîñòè è íåóçíàâàåìîñòè, çàíèìàåò òàêóþ æå ïîëîñó ÷àñòîò ñïåêòðà, êàê è èñõîäíûé îòêðûòûé.
Îáû÷íî àíàëîãîâûå ñêðåìáëåðû ïðåîáðàçóþò èñõîäíûé ðå÷åâîé ñèãíàë ïóòåì èçìåíåíèÿ åãî ÷àñòîòíûõ и временных характеристик.
Дискретизация речевой информации с последующим шифрованием обеспечивает íàèâûñøóþ степень защиты. В процессе дискретизации речевая информация представляется в цифровой форме. В таком виде она преобразуется в соответствии с выбранными алгоритмами шифрования, которые применяются для преобразования данных в КС. Методы шифрования подробно рассматриваются далее.
Защита àêóñòè÷åñêîé информации в помещениях КС является важным направлением противодействия подслушиванию. Существует несколько методов защиты от прослушивания акустических сигналов:
¨ звукоизоляция и звукопоглощение акустического сигнала;
¨ зашумление помещений или твердой среды для маскировки акустических сигналов;
¨ защита от несанкционированной записи речевой информации на диктофон;
¨ обнаружение и изъятие закладных устройств.
Звукоизоляция îáåñïå÷èâàåò локализацию источника звука в замкнутом пространстве. Звукоизоляционные свойства конструкций и элементов помещений оцениваются величиной ослабления акустической волны и выражаются в децибелах. Наиболее слабыми звукоизолирующими свойствами в помещениях обладают двери и окна. Для усиления звукопоглощения дверей применяются следующие приемы:
¨ устраняются зазоры и щели за счет использования уплотнителей по периметру дверей;
¨ двери покрываются дополнительными звукопоглощающими материалами;
¨ используются двойные двери с покрытием тамбуров звукопоглощающими материалами.
Çâóêîèçîëÿöèÿ окон повышается следующими способами:
¨ использование штор;
¨ увеличение числа рядов стекол (ширина воздушного промежутка между стеклами должна быть не менее 200 мм);
¨ применение полиэфирных пленок (затрудняют прослушивание лазерным методом);
¨ использование специальных оконных блоков с созданием разрежения в межстекольном пространстве.
Звукопоглощение осуществляется путем преобразования кинетической энергии звуковой âîëíû в тепловую энергию. Звукопоглощающие материалы используются для затруднения прослушивания через стены, потолок, воздуховоды вентиляции и кондиционирования воздуха, кабельные каналы и тому подобные элементы зданий. Звукопоглощающие материалы могут быть сплошными и пористыми (плиты минераловатные "Акмигран", "Силакпор", "Винипор"; звукопоглощающие облицовки из слоя пористо-волокнистого материала).
Для ïðîâåäåíèÿ особо ответственных переговоров могут использоваться специальные кабины. Они выполняются из прозрачного материала, имеют сравнительно небольшие размеры. В них невозможно скрытно разместить подслушивающие устройства. За пределы кабины звук практически не проникает, что полностью исключает прослушивание разговора.
Àêòèâíûì методом защиты является зашумление помещений с помощью генераторов акустических сигналов (АД-23, WNG 023, ANG-2000). Зашумление может быть эффективным, если генератор шума находится ближе к подслушивающему устройству, чем источник полезной акустической информации.
Áîëåå надежным способом защиты акустической информации является вибрационное зашумление (генераторы «Барон», «Заслон», «Кабинет», SP-51/A, VNG-012GL, VAG-6/6, «Соната-АВ»). Шумы звукового диапазона создаются пьезокерамическими вибраторами в твердых телах, через которые злоумышленник пытается прослушивать помещение. Вибраторы приклеиваются к поверхности зашумляемого ограждения (окна, стены, потолки и т. д.) или твердотельного звукопровода (трубы водоснабжения и отопления). Один вибратор создает зашумление в радиусе 1,5-5 метров.
Äëÿ предотвращения несанкционированной записи речевой информации необходимо иметь средства обнаружения работающего диктофона и средств воздействия на него, в результате которого качество записи снижается ниже допустимого уровня.
Íåñàíêöèîíèðîâàííàÿ запись речевой информации осуществляется специальными диктофонами двух типов: диктофоны содержащие кинематические узлы (лентопротяжные механизмы, приводы дисков) и диктофоны состоящие только из электронных схем. Диктофоны первого типа называют кинематическими, а диктофоны второго типа - цифровыми. В таких диктофонах снижены демаскирующие признаки: бесшумная работа лентопротяжного механизма, отсутствуют генераторы подмагничивания и стирания, используется экранирование корпуса или только магнитных головок и т. п.
Íàèáîëüøóþ информативность имеет низкочастотное пульсирующее магнитное поле работающего электродвигателя. Слабое поле электродвигателя может быть обнаружено на небольшом расстоянии. Например, отечественная система PRTD 018 обнаруживает диктофон на расстоянии 1,5 метра от датчика, которых в этой системе насчитывается 16 штук. Малое магнитное поле электродвигателя выделяется за счет изменения в месте расположения работающего диктофона параметров полей, создаваемых другими работающими приборами.
Äåìàñêèðóþùèìè признаками цифровых диктофонов являются излучения импульсных преобразователей, а также излучения проводников, которые в устройствах с флэш-памятью достигают длины несколько сантиметров. Существуют также обнаружители как кинематических, так цифровых диктофонов. Так прибор ST-0110 имеет 4 датчика и позволяет обнаруживать кинематические диктофоны с расстояния 0,6 м, а цифровые - с 0,5 м.
При âûÿâëåíèè работающего диктофона руководитель может принять одно из возможных решений:
¨ отменить переговоры, совещание и т. п.;
¨ не вести конфиденциальных разговоров;
¨ использовать средства, создающие помехи записи на диктофон речевой информации;
Устройства çàùèòû от записи речевой информации с помощью диктофона воздействуют создаваемыми ими полями на усилители записи диктофонов. В результате такого воздействия качество записи ухудшается настолько, что невозможно разборчивое воспроизведение речи. Современные средства подавления записи класса («Рубеж», «Шумотрон», «УПД», «Буран») действуют на расстоянии до 3 метров и способны непрерывно работать до 2 часов. Устройство «Буран-2» является мобильным и размещается в портфеле («дипломате»).
2.3. Защита от электромагнитных наводок
Все методы защиты от электромагнитных излучений и наводок можно разделить на пассивные и активные.
Пассивные методы обеспечивают уменьшение уровня опасного сигнала или снижение информативности сигналов.
Активные методы защиты направлены на создание помех в каналах побочных электромагнитных излучений и наводок, затрудняющих прием и выделение полезной информации из перехваченных злоумышленником сигналов.
Для блокирования угрозы воздействия на электронные блоки и магнитные запоминающие устройства мощными внешними электромагнитными импульсами и высокочастотными излучениями, приводящими к неисправности электронных блоков и стирающими информацию с магнитных носителей информации, используется экранирование защищаемых средств.
Защита от побочных электромагнитных излучений и наводок осуществляется как пассивными, так и активными методами.
Пассивные методы защиты от побочных электромагнитных излучений и наводок (ПЭМИН) могут быть разбиты на три группы: экранирование, снижение мощности излучений и наводок, снижение информативности.
Экранирование является одним из самых эффективных методов защиты от электромагнитных излучений. Под экранированием понимается размещение элементов компьютерной системы, создающих электрические, магнитные и электромагнитные поля, в пространственно замкнутых конструкциях. Способы экранирования зависят от особенностей полей, создаваемых элементами компьютерной системы при протекании в них электрического тока.
Активные методы защиты от ПЭМИН предполагают применение генераторов шумов, различающихся принципами формирования маскирующих помех. В качестве маскирующих используются случайные помехи с нормальным законом распределения спектральной плотности мгновенных значений амплитуд (гауссовские помехи) и прицельные помехи, представляющие собой случайную последовательность сигналов помехи, идентичных побочным сигналам.
Используется пространственное и линейное зашумление. Пространственное зашумление осуществляется за счет излучения с помощью антенн электромагнитных сигналов в пространство. Применяется локальное пространственное зашумление для защиты конкретного элемента компьютерной системы и объектовое пространственное зашумление для защиты от побочных электромагнитных излучений компьютерных систем всего объекта.
При локальном пространственном зашумлении используются прицельные помехи. Антенна находится рядом с защищаемым элементом компьютерной системы. Например, шумогенератор ГШ-К-1000 выполнен в виде платы, вставляемой в свободный слот материнской платы компьютера, а антенна выведена и закреплена на корпусе системного блока.
Объектовое пространственное зашумление осуществляется, как правило, несколькими генераторами со своими антеннами, что позволяет создавать помехи во всех диапазонах побочных электромагнитных излучений всех излучающих устройств объекта.
Пространственное зашумление должно обеспечивать невозможность выделения побочных излучений на фоне создаваемых помех во всех диапазонах излучения и, вместе с тем, уровень создаваемых помех не должен превышать санитарных норм и норм по электромагнитной совместимости радиоэлектронной аппаратуры.
При использовании линейного зашумления генераторы прицельных помех подключаются к токопроводящим линиям для создания в них электрических помех, которые не позволяют злоумышленникам выделять наведенные сигналы.
3. Традиционные методы защиты информации
При разработке компьютерных систем, выход из строя (или ошибки в работе) которых могут привести к тяжелым последствиям, вопросы компьютерной безопасности становятся первоочередными. Традиционно меры для противодействия утечкам информации подразделяются на технические и организационные.
К техническим мерам можно отнести защиту от несанкционированного доступа к системе, резервирование особо важных компьютерных подсистем, организацию вычислительных сетей с возможностью перераспределения ресурсов в случае нарушения работоспособности отдельных звеньев, установку оборудования обнаружения и тушения пожара, оборудования обнаружения воды, принятие конструкционных мер защиты от хищений, саботажа, диверсий, взрывов, установку резервных систем электропитания, оснащение помещений замками, установку сигнализации и многое другое.
К организационным мерам отнесем охрану серверов, тщательный подбор персонала, исключение случаев ведения особо важных работ только одним человеком, наличие плана восстановления работоспособности сервера после выхода его из строя, универсальность средств защиты от всех пользователей (включая высшее руководство).
Несанкционированный доступ к информации может происходить во время профилактики или ремонта компьютеров за счет прочтения остаточной информации на носителях, несмотря на ее удаление пользователем обычными методами. Другой способ – прочтение информации с носителя во время его транспортировки без охраны внутри объекта или региона.
Современные компьютерные средства построены на интегральных схемах. При работе таких схем происходят высокочастотные изменения уровней напряжения и токов, что приводит к возникновению в цепях питания, в эфире, в близрасположенной аппаратуре и т.п. электромагнитных полей и наводок, которые с помощью специальных средств (условно назовем их "шпионскими") можно трансформировать в обрабатываемую информацию. С уменьшением расстояния между приемником нарушителя и аппаратными средствами вероятность такого рода съема и расшифровки информации увеличивается.
Несанкционированное ознакомление с информацией возможно путем непосредственного подключения нарушителем «шпионских» средств к каналам связи и сетевым аппаратным средствам.
Для обеспечения безопасности информации в личных компьютерах и в офисных сетях проводятся различные мероприятия, объединяемые понятием «система защиты информации».
Система защиты информации – это совокупность мер, программно-технических средств, правовых и морально-этических норм, направленных на противодействие угрозам нарушителей с целью сведения до минимума возможного ущерба пользователям и владельцам системы.
Традиционными методами защиты информации от несанкционированного доступа являются идентификация и аутентификация, защита паролями, электронная подпись и криптографическая защита информации.
3.1 Идентификация и аутентификация
В компьютерных системах сосредоточивается информация, право на пользование которой принадлежит определенным лицам или группам лиц, действующим в порядке личной инициативы или в соответствии с должностными обязанностями. Чтобы обеспечить безопасность информационных ресурсов, устранить возможность несанкционированного доступа, усилить контроль санкционированного доступа к конфиденциальной либо к подлежащей засекречиванию информации, внедряются различные системы опознавания, установления подлинности объекта (субъекта) и разграничения доступа. В основе построения таких систем находится принцип допуска и выполнения только таких обращений к информации, в которых присутствуют соответствующие признаки разрешенных полномочий.
Ключевыми понятиями в этой системе являются идентификация и аутентификация. Идентификация – это присвоение какому-либо объекту или субъекту уникального имени или образа. Аутентификация – это установление подлинности, т.е. проверка, является ли объект (субъект) действительно тем, за кого он себя выдает.
Конечная цель процедур идентификации и аутентификации объекта (субъекта) – допуск его к информации ограниченного пользования в случае положительной проверки либо отказ в допуске в случае отрицательного исхода проверки.
Объектами идентификации и аутентификации могут быть: люди (пользователи, операторы и др.); технические средства (мониторы, рабочие станции, абонентские пункты); документы (ручные, распечатки и др.); магнитные носители информации; информация на экране монитора и др.
Установление подлинности объекта может производиться аппаратным устройством, программой, человеком и т.д.
3.2. Защита паролями
Пароль – это совокупность символов, определяющая объект (субъекта). При выборе пароля возникают вопросы о его размере, стойкости к несанкционированному подбору, способам его применения. Естественно, чем больше длина пароля, тем большую безопасность будет обеспечивать система, ибо потребуются большие усилия для его отгадывания. При этом выбор длины пароля в значительной степени определяется развитием технических средств, их элементной базой и быстродействием. К примеру, четырехзначный пароль, в котором используются цифровые символы и 26 букв латинского алфавита (то есть всего 36 возможных знаков) требует трудоемкого процесса распознавания на компьютере, ибо он допускает около 2 млн. уникальных комбинаций; при пятизначной длине пароля число комбинаций возрастает до 365 = 60 466 176. Увеличивая длину пароля и число используемых символов, можно увеличить число возможных комбинаций, повышая время на лобовой взлом пароля.
Высокий уровень безопасности достигается в случае деления пароля на две части: одну -легко запоминаемую человеком, и вторую, содержащую количество знаков, определяемое требованиями к защите и возможностями технической реализации системы. Эта часть помещается на специальный физический носитель – карточку, устанавливаемую пользователем в специальное считывающее устройство.
В случае применения пароля необходимо периодически заменять его на новый, чтобы снизить вероятность его перехвата путем прямого хищения носителя, снятия его копии и даже физического принуждения человека. Пароль вводится пользователем в начале взаимодействия с компьютерной системой, иногда и в конце сеанса (в особо ответственных случаях пароль нормального выхода может отличаться от входного). Для правомочности пользователя может предусматриваться ввод пароля через определенные промежутки времени.
Пароль может использоваться для идентификации и установления подлинности терминала, с которого входит в систему пользователь, а также для обратного установления подлинности компьютера по отношению к пользователю.
Учитывая важность пароля как средства повышения безопасности информации, следует соблюдать некоторые меры предосторожности, в том числе:
· не хранить пароли в вычислительной системе в незашифрованном виде;
· не печатать и не отображать пароли в явном виде на терминале пользователя;
· не использовать в качестве пароля свое имя или имена родственников, а также личную информацию (дата рождения, номер домашнего или служебного телефона, название улицы и др.);
· не использовать реальные слова из энциклопедии или толкового словаря;
· выбирать длинные пароли;
· использовать смесь символов верхнего и нижнего регистров клавиатуры;
· использовать комбинации из двух простых слов, соединенных специальными символами(например, +, = и др.);
· придумывать новые слова (абсурдные или даже бредового содержания);
· чаще менять пароль.
Для идентификации пользователей могут применяться сложные в плане технической реализации системы, обеспечивающие установление подлинности пользователя на основе анализа его индивидуальных параметров: отпечатков пальцев, рисунка линий руки, радужной оболочки глаз, тембра голоса и др.
Широкое распространение нашли физические методы идентификации с использованием носителей кодов паролей. Такими носителями являются пропуска в контрольно-пропускных системах; пластиковые карты с именем владельца, его кодом, подписью; пластиковые карточки с магнитной полосой; пластиковые карты с встроенной микросхемой (smart-card); карты оптической памяти и др.
3.3. Электронная подпись
Одно из интенсивно разрабатываемых направлений по обеспечению безопасности информации – установление подлинности документов на основе электронной цифровой подписи – ныне простирается от проведения финансовых и банковских операций до контроля за выполнением различных договоров. Естественно, при передаче документов по каналам связи применяется факсимильная аппаратура, но в этом случае к получателю приходит не подлинник, а лишь копия документа с копией подписи, которая в процессе передачи может быть подвергнута повторному копированию для использования ложного документа.
Электронная цифровая подпись представляет собой способ шифрования с помощью криптографического преобразования и является паролем, зависящим от отправителя, получателя и содержания передаваемого сообщения.
3.4. Криптографическая защита информации
Криптографическое преобразование – один из наиболее эффективных методов, резко повышающих безопасность:
§ передачи данных в компьютерных сетях;
§ данных, хранящихся в удаленных устройствах памяти;
§ информации при обмене между удаленными объектами.
Криптография известна с древнейших времен, однако она всегда оставалась привилегией исключительно правительственных и военных учреждений. Изменение ситуации связывается с публикацией в 1949 г. книги К. Шеннона по теории информации и кибернетике, когда к криптографическим методам преобразования информации обратились многие ученые, банковские и коммерческие системы.
Защита информации методом криптографического преобразования заключается в приведении ее к неявному виду путем преобразования составных частей информации (букв, цифр, слогов, слов) с помощью специальных алгоритмов либо аппаратных средств и кодов ключей. Ключ – это изменяемая часть криптографической системы, хранящаяся в тайне и определяющая, какое шифрующее преобразование из возможных выполняется в данном случае.
Для преобразования (шифрования) используется некоторый алгоритм или устройство, реализующее заданный алгоритм, которые могут быть известны широкому кругу лиц. Само же управление процессом шифрования осуществляется с помощью периодически меняющегося кода ключа, обеспечивающего оригинальное представление информации при использовании одного и того же алгоритма или устройства. Знание ключа позволяет относительно быстро, просто и надежно расшифровать данные. Однако без знания ключа эта процедура может оказаться практически невыполнимой даже при использовании компьютера.
Требования к методам криптографии следующие :
ü достаточная устойчивость к попыткам раскрытия исходного текста на основе зашифрованного;
ü обмен ключа не должен быть труден для запоминания;
ü затраты на защитные преобразования должны быть приемлемы при заданном уровне сохранности информации;
ü ошибки в шифровании не должны приводить к явной потере информации;
ü длина зашифрованного текста не должна превышать длину исходного текста.
Существуют несколько методов защитных преобразований, которые можно подразделить на четыре основные группы: перестановки, замены (подстановки), аддитивные и комбинированные методы.
Для методов перестановки и замены (подстановки) характерна короткая длина ключа, а надежность защиты определяется сложностью алгоритмов преобразования и, наоборот, для аддитивных методов характерны простые алгоритмы и длинные ключи.
Названные четыре метода криптографического преобразования относятся к методам симметричного шифрования, т.е. один и тот же ключ используется и для шифрования, и для дешифрования. В методах несимметричного шифрования для шифрования применяется один ключ, называемый открытым, а для дешифрования другой – закрытый.
Основными методами криптографического преобразования считаются методы перестановки и метод замены. Суть первого метода заключается в разбиении исходного текста на блоки, а затем записи этих блоков и чтении шифрованного текста по разным путям геометрической фигуры, например запись исходного текста по строкам матрицы, а чтение – по ее столбцам.
Шифрование методом замены заключается в том, что символы исходного текста (блока), записанные в одном алфавите, заменяются символами другого алфавита в соответствии с принятым ключом преобразования.
Комбинация этих методов породила так называемый производный шифр, обладающий сильными криптографическими возможностями. Комбинированый метод принят в США в качестве стандарта для шифрования данных, а также в отечественном ГОСТе 28147–89. Алгоритм метода реализуется как аппаратно, так и программно, но базовый алгоритм рассчитан на реализацию с помощью электронных устройств специального назначения, что обеспечивает высокую производительность и упрощенную организацию обработки информации.
ЗАКЛЮЧЕНИЕ
В интегрированных и локальных системах обработки данных с использованием разнообразных технических средств, включая компьютерные, под защитой информации принято понимать использование различных средств и методов, принятие мер и осуществление мероприятий с целью системного обеспечения надежности передаваемой, хранимой и обрабатываемой информации.
Защитить информацию – это значит:
ü обеспечить физическую целостность информации, т.е. не допустить искажений или уничтожения элементов информации;
ü не допустить подмены (модификации) элементов информации при сохранении ее целостности;
ü не допустить несанкционированного получения информации лицами или процессами, не имеющими на это соответствующих полномочий;
ü быть уверенным в том, что передаваемые (продаваемые) владельцем информации ресурсы будут использоваться только в соответствии с обговоренными сторонами условиями.
Процессы по нарушению надежности информации можно классифицировать на случайные и злоумышленные (преднамеренные). В первом случае источниками разрушительных, искажающих и иных процессов являются непреднамеренные, ошибочные действия людей, технические сбои и др.; во втором случае – злоумышленные действия людей. Однако независимо от причин нарушения надежности информации это чревато самыми различными последствиями.
СПИСОК ЛИТЕРАТУРЫ
1. Гмурман А.И. Информационная безопасность. М.: «БИТ-М», 2004 г.
2. Дъяченко С.И. Правовые аспекты работы в ЛВС. СП-б, «АСТ», 2002 г.
3. Доктрина информационной безопасности РФ /от 9 сентября 2000 г. №ПР–1895
4. Îá èíôîðìàöèè, èíôîðìàòèçàöèè è çàùèòå èíôîðìàöèè: Ôåäåðàëüíûé Çàêîí // Ðîññèéñêàÿ ãàçåòà. - 1995. - 22 ôåâðàëÿ.
5. О правовой охране программ для электронных вычислительных машин и баз данных: Закон РФ от 23 сентября 1992 г. N 3523-I (с изменениями от 24 декабря 2002 г., 2 ноября 2004 г.)