Kriptografska sredstva zaštite informacija. Mehanizmi informacijske sigurnosti

12.08.2019 Programi

Kriptografska zaštita informacija - zaštita informacija pomoću njihove kriptografske transformacije.

Kriptografske metode trenutno su Osnovni, temeljni kako bi se osigurala pouzdana autentifikacija strana u razmjeni informacija, zaštita.

DO sredstva kriptografske zaštite informacija(CIPF) uključuje hardver, firmware i softver koji implementiraju kriptografske algoritme za pretvaranje informacija u svrhu:

Zaštita informacija tijekom njihove obrade, pohrane i prijenosa;

Osiguravanje pouzdanosti i cjelovitosti informacija (uključujući korištenje algoritama digitalnog potpisa) tijekom njihove obrade, pohrane i prijenosa;

Generiranje informacija koje se koriste za identifikaciju i autentifikaciju subjekata, korisnika i uređaja;

Generiranje informacija koje se koriste za zaštitu autentifikacijskih elemenata zaštićenog AS-a tijekom njihovog generiranja, pohrane, obrade i prijenosa.

Kriptografske metode pružaju šifriranje i kodiranje informacija. Postoje dvije glavne metode šifriranja: simetrična i asimetrična. U prvom od njih, isti ključ (koji se čuva u tajnosti) koristi se i za šifriranje i za dešifriranje podataka.

Razvijene su vrlo učinkovite (brze i pouzdane) simetrične metode šifriranja. Postoji i nacionalni standard za takve metode - GOST 28147-89 „Sustavi za obradu informacija. Kriptografska zaštita. Algoritam kriptografske pretvorbe".

Asimetrične metode koriste dva ključa. Jedan od njih, neklasificiran (može se objaviti zajedno s drugim javnim podacima o korisniku), služi za šifriranje, drugi (tajni, poznat samo primatelju) koristi se za dešifriranje. Najpopularnija od asimetričnih je RSA metoda, koja se temelji na operacijama s velikim (100-znamenkastim) prostim brojevima i njihovim umnošcima.

Kriptografske metode omogućuju pouzdanu kontrolu integriteta pojedinačnih dijelova podataka i njihovih skupova (kao što je tok poruka); utvrditi autentičnost izvora podataka; jamčiti nemogućnost odbijanja poduzetih radnji („neporicanje“).

Kontrola kriptografskog integriteta temelji se na dva koncepta:

Elektronički potpis (ES).

Hash funkcija je teško reverzibilna transformacija podataka (jednosmjerna funkcija), implementirana, u pravilu, pomoću simetrične enkripcije s blokovskim povezivanjem. Rezultat enkripcije zadnjeg bloka (ovisno o svim prethodnim) služi kao rezultat hash funkcije.

Kriptografija kao sredstvo zaštite (zatvaranje) informacija postaje sve važnija u komercijalnim aktivnostima.

Za transformaciju informacija koriste se različiti alati za šifriranje: alati za šifriranje dokumenata, uključujući prijenosne, alati za šifriranje govora (telefonski i radio razgovori), alati za šifriranje telegrafskih poruka i prijenos podataka.

Za zaštitu poslovne tajne na međunarodnom i domaćem tržištu nude se različiti tehnički uređaji i kompleti profesionalne opreme za šifriranje i kriptografsku zaštitu telefonskih i radijskih razgovora, poslovne korespondencije i sl.

Scrambleri i maskeri, koji zamjenjuju govorni signal digitalnim prijenosom podataka, postali su široko rasprostranjeni. Proizvode se sigurnosni proizvodi za teletipove, telekse i faksove. U te svrhe koriste se kriptori izrađeni u obliku zasebnih uređaja, u obliku dodataka na uređaje ili ugrađeni u konstrukciju telefona, faks modema i drugih komunikacijskih uređaja (radio postaja i dr.). Kako bi se osigurala pouzdanost poslanih elektroničkih poruka, naširoko se koristi elektronički digitalni potpis.

Povjerljivost informacija karakteriziraju naizgled suprotni pokazatelji kao što su dostupnost i tajnost. O metodama kojima se osigurava da su informacije dostupne korisnicima raspravlja se u odjeljku 9.4.1. U ovom odjeljku razmotrit ćemo načine osiguravanja tajnosti podataka. Ovo svojstvo informacije karakterizira stupanj maskiranja informacije i odražava njegovu sposobnost da se odupre otkrivanju značenja informacijskih nizova, određujući strukturu pohranjenog informacijskog niza ili nositelja (nositeljskog signala) odaslanog informacijskog niza i utvrđujući činjenicu prijenosa informacijskog niza komunikacijskim kanalima. Kriteriji optimalnosti u ovom slučaju, u pravilu, su:

minimiziranje vjerojatnosti prevladavanja ("sloma") zaštite;

maksimiziranje očekivanog sigurnog vremena prije nego što sigurnosni podsustav bude "hakiran";

minimiziranje ukupnih gubitaka od “hakiranja” zaštite i troškova razvoja i rada odgovarajućih elemenata informacijskog nadzorno-zaštitnog podsustava itd.

Općenito, možete osigurati povjerljivost informacija između pretplatnika na jedan od tri načina:

stvoriti apsolutno pouzdan komunikacijski kanal između pretplatnika, nedostupan drugima;

koristiti javni komunikacijski kanal, ali sakriti samu činjenicu prijenosa informacija;

koristiti javni komunikacijski kanal, ali njime prenositi informaciju u transformiranom obliku, a ona mora biti transformirana na način da je samo adresat može vratiti.

Prvu opciju praktički je nemoguće implementirati zbog visokih materijalnih troškova stvaranja takvog kanala između udaljenih pretplatnika.

Jedan od načina osiguranja povjerljivosti prijenosa informacija je steganografija. Trenutno predstavlja jedno od obećavajućih područja za osiguranje povjerljivosti pohranjenih ili prenesenih informacija u računalnim sustavima maskiranjem klasificiranih podataka u otvorenim datotekama, posebice multimedijskim.

Bavi se razvojem metoda za pretvorbu (šifriranje) informacija u svrhu zaštite od ilegalnih korisnika kriptografija.

Kriptografija (ponekad se koristi izraz kriptologija) je područje znanja koje proučava tajni zapis (kriptografija) i metode za njegovo otkrivanje (kriptoanaliza). Kriptografija se smatra granom matematike.

Donedavno su sva istraživanja u ovom području bila samo zatvorena, ali posljednjih nekoliko godina sve više i više publikacija počelo se pojavljivati u otvorenom tisku. Dio razloga za ublažavanje tajnosti je to što je postalo nemoguće sakriti nakupljenu količinu informacija. S druge strane, kriptografija se sve više koristi u civilnim industrijama, što zahtijeva otkrivanje podataka.

9.6.1. Načela kriptografije. Cilj kriptografskog sustava je šifrirati smisleni otvoreni tekst (također nazvan otvoreni tekst) u naizgled besmislen šifrirani tekst (šifrirani tekst). Primatelj kojemu je namijenjen mora biti u stanju dešifrirati (također se naziva "dešifrirati") ovaj šifrirani tekst, vraćajući tako odgovarajući otvoreni tekst. U ovom slučaju, protivnik (koji se također naziva kriptoanalitičar) ne smije biti u mogućnosti otkriti izvorni tekst. Postoji bitna razlika između dešifriranja (dešifriranja) i otkrivanja šifrovanog teksta.

Kriptografske metode i metode pretvorbe informacija nazivaju se šifre. Otkrivanje kriptosustava (šifre) je rezultat rada kriptoanalitičara, što dovodi do mogućnosti učinkovitog otkrivanja bilo kojeg otvorenog teksta šifriranog korištenjem danog kriptosustava. Stupanj do kojeg je kriptosustav nesposoban za detekciju naziva se njegovom snagom.

Problematika pouzdanosti sustava informacijske sigurnosti vrlo je složena. Činjenica je da ne postoje pouzdani testovi koji bi osigurali da su informacije zaštićene dovoljno pouzdano. Prvo, kriptografija ima tu osobitost da za "razbijanje" šifre često treba potrošiti nekoliko redova veličine više novca nego za njezino stvaranje. Posljedično, testiranje sustava kriptografske zaštite nije uvijek moguće. Drugo, opetovani neuspješni pokušaji svladavanja obrane ne znače da sljedeći pokušaj neće biti uspješan. Moguće je da su se profesionalci dugo borili sa šifrom, ali neuspješno, a određeni početnik je uzeo nestandardan pristup - i šifra mu je lako došla.

Kao rezultat tako loše dokazivosti pouzdanosti alata za informacijsku sigurnost, na tržištu postoji mnogo proizvoda čija se pouzdanost ne može pouzdano ocijeniti. Naravno, njihovi programeri hvale svoj rad na sve moguće načine, ali ne mogu dokazati njegovu kvalitetu, a često je to u načelu nemoguće. Nedokazivost pouzdanosti u pravilu prati i tajnost algoritma šifriranja.

Na prvi pogled, tajnost algoritma služi kao dodatno jamstvo pouzdanosti šifre. Ovo je argument usmjeren na amatere. Zapravo, ako je algoritam poznat programerima, više se ne može smatrati tajnim, osim ako korisnik i programer nisu iste osobe. Osim toga, ako se zbog nesposobnosti ili pogrešaka programera algoritam pokaže nestabilnim, njegova tajnost neće dopustiti neovisnim stručnjacima da ga provjere. Nestabilnost algoritma otkrit će se tek kada je već hakiran, ili čak uopće neće, jer se neprijatelju ne žuri hvaliti se svojim uspjesima.

Stoga se kriptograf mora voditi pravilom koje je prvi formulirao Nizozemac O. Kerkhoffs: snagu šifre treba odrediti samo tajnošću ključa. Drugim riječima, pravilo O. Kerkhoffsa je da se cijeli mehanizam šifriranja, osim vrijednosti tajnog ključa, a priori smatra poznatim neprijatelju.

Druga stvar je da je moguć način zaštite informacija (strogo govoreći, nevezano za kriptografiju), kada nije skriven algoritam šifriranja, već sama činjenica da poruka sadrži šifrirane (skrivene u njemu) informacije. Ispravnije bi ovu tehniku bilo nazvati maskiranjem informacija. Razmotrit će se zasebno.

Povijest kriptografije seže nekoliko tisuća godina unatrag. Potreba za skrivanjem napisanog javila se u čovjeku gotovo čim je naučio pisati. Dobro poznati povijesni primjer kriptosustava je takozvana Cezarova šifra, koja jednostavno zamjenjuje svako slovo otvorenog teksta trećim slovom abecede koje ga slijedi (s prelamanjem kada je potrebno). Na primjer, A je zamijenjen sa D,B na E,Z na C.

Unatoč značajnom napretku matematike tijekom stoljeća od vremena Cezara, tajno pisanje nije učinilo značajnije korake naprijed sve do sredine 20. stoljeća. Imao je amaterski, spekulativan, neznanstven pristup.

Na primjer, u 20. stoljeću profesionalci su naširoko koristili "knjižne" šifre, u kojima se kao ključ koristila neka masovna tiskana publikacija. Nepotrebno je reći kako su se takve šifre lako otkrivale! Naravno, s teorijske točke gledišta, šifra "knjiga" izgleda prilično pouzdana, budući da je nemoguće sortirati njezin skup ručno. Međutim, najmanja apriorna informacija oštro sužava ovaj izbor.

Usput, o apriornim informacijama. Tijekom Velikog Domovinskog rata, kao što je poznato, Sovjetski Savez posvetio je značajnu pozornost organiziranju partizanskog pokreta. Gotovo svaki odred iza neprijateljskih linija imao je radio stanicu, kao i neki oblik veze s "kopnom". Šifre koje su partizani imali bile su izuzetno nestabilne - njemački razbijači šifri su ih vrlo brzo dešifrirali. A to je, kao što znamo, rezultiralo vojnim porazima i gubicima. Partizani su se i na ovom području pokazali lukavima i inventivnima. Doček je bio krajnje jednostavan. Izvorni tekst poruke sadržavao je veliki broj gramatičkih pogrešaka, na primjer, napisali su: “prošla su tri ešalona s tenkovima”. Ako se ispravno dešifrira, ruskoj osobi sve je bilo jasno. Ali neprijateljski kriptoanalitičari bili su nemoćni protiv takve tehnike: dok su prolazili kroz moguće opcije, naišli su na kombinaciju "tnk", što je bilo nemoguće za ruski jezik, i odbacili ovu opciju kao očito netočnu.

Ova naizgled domaća tehnika zapravo je vrlo učinkovita i često se koristi i danas. Nasumični nizovi simbola umetnuti su u izvorni tekst poruke kako bi zbunili kriptoanalitičke programe koji rade metodom grube sile ili kako bi promijenili statističke obrasce šifrografa, koji također mogu pružiti korisne informacije neprijatelju. Ali općenito, ipak možemo reći da je prijeratna kriptografija bila izrazito slaba i nije mogla polagati pravo na titulu ozbiljne znanosti.

Međutim, striktna vojna nužda ubrzo je natjerala znanstvenike da se uhvate u koštac s problemima kriptografije i kriptoanalize. Jedno od prvih značajnih dostignuća na ovom polju bio je njemački pisaći stroj Enigma, koji je zapravo bio mehanički koder i dekoder s prilično visokim otporom.

U isto vrijeme, tijekom Drugog svjetskog rata, pojavljuju se prve profesionalne usluge dešifriranja. Najpoznatiji od njih je Bletchley Park, jedinica britanske obavještajne službe MI5.

9.6.2. Vrste šifara Sve metode šifriranja mogu se podijeliti u dvije skupine: šifre s tajnim ključem i šifre s javnim ključem. Za prve je karakteristična prisutnost nekih informacija (tajni ključ), čije posjedovanje omogućuje šifriranje i dešifriranje poruka. Stoga se nazivaju i s jednim ključem. Šifre s javnim ključem zahtijevaju dva ključa za dešifriranje poruka. Ove šifre se također nazivaju šiframa s dva ključa.

Pravilo šifriranja ne može biti proizvoljno. Mora biti takav da je iz šifriranog teksta korištenjem pravila dešifriranja moguće jednoznačno rekonstruirati otvorenu poruku. Pravila šifriranja iste vrste mogu se kombinirati u klase. Unutar klase pravila se međusobno razlikuju po vrijednostima nekog parametra koji može biti broj, tablica i sl. U kriptografiji se obično naziva specifična vrijednost takvog parametra ključ.

U biti, ključ odabire određeno pravilo šifriranja iz dane klase pravila. To omogućuje, prvo, kada se koriste posebni uređaji za šifriranje, da se promijeni vrijednost parametara uređaja tako da šifriranu poruku ne mogu dešifrirati čak ni osobe koje imaju potpuno isti uređaj, ali ne znaju odabranu vrijednost parametra, i drugo, omogućuje vam pravovremenu promjenu pravila šifriranja, budući da ponovljena upotreba istog pravila šifriranja za otvorene tekstove stvara preduvjete za dobivanje čistih poruka od šifriranih.

Koristeći koncept ključa, proces šifriranja može se opisati kao relacija:

Gdje A– otvorena poruka; B– šifrirana poruka; f– pravilo šifriranja; α – odabrani ključ, poznat pošiljatelju i primatelju.

Za svaki ključ α pretvorba šifre mora biti invertibilna, odnosno mora postojati inverzna transformacija , koji s odabranom tipkom α jedinstveno identificira otvorenu poruku A putem šifrirane poruke B:

(9.0)

Skup transformacija a zove se skup ključeva kojima odgovaraju kodirati. Među svim šiframa mogu se razlikovati dvije velike klase: supstitucijske šifre i permutacijske šifre. Trenutno se elektronički uređaji za šifriranje široko koriste za zaštitu informacija u automatiziranim sustavima. Važna karakteristika takvih uređaja nije samo snaga implementirane šifre, već i velika brzina procesa enkripcije i dešifriranja.

Ponekad se brkaju dva pojma: šifriranje I kodiranje. Za razliku od enkripcije, za koju morate znati šifru i tajni ključ, kod kodiranja nema ništa tajnog, postoji samo određena zamjena slova ili riječi unaprijed određenim simbolima. Metode kodiranja nisu usmjerene na skrivanje otvorene poruke, već na njezino predstavljanje u prikladnijem obliku za prijenos tehničkim sredstvima komunikacije, smanjenje duljine poruke, zaštitu od iskrivljenja itd.

Šifre tajnog ključa. Ova vrsta šifre podrazumijeva prisutnost neke informacije (ključa), čije vam posjedovanje omogućuje i šifriranje i dešifriranje poruke.

S jedne strane, takva shema ima nedostatke da, osim otvorenog kanala za prijenos šifre, mora postojati i tajni kanal za prijenos ključa; osim toga, ako informacija o ključu procuri, nemoguće je dokazati iz kojeg je od dva dopisnika došlo do curenja.

S druge strane, među šiframa ove skupine nalazi se jedina shema šifriranja na svijetu koja ima apsolutnu teoretsku snagu. Svi ostali mogu se barem načelno dešifrirati. Takva shema je regularna enkripcija (na primjer, XOR operacija) s ključem čija je duljina jednaka duljini poruke. U tom slučaju ključ treba koristiti samo jednom. Svaki pokušaj dešifriranja takve poruke je beskoristan, čak i ako postoje apriorne informacije o tekstu poruke. Odabirom ključa možete dobiti bilo koju poruku kao rezultat.

Šifre s javnim ključem. Ova vrsta šifre podrazumijeva prisutnost dva ključa - javnog i privatnog; jedan se koristi za šifriranje, drugi za dešifriranje poruka. Javni ključ se objavljuje - stavlja na znanje svima, dok tajni ključ čuva njegov vlasnik i ključ je tajnosti poruka. Suština metode je da se ono što je šifrirano tajnim ključem može dešifrirati samo javnim ključem i obrnuto. Ovi se ključevi generiraju u parovima i međusobno odgovaraju jedan na jedan. Štoviše, nemoguće je izračunati drugi iz jednog ključa.

Karakteristična značajka šifara ove vrste, koja ih povoljno razlikuje od šifara s tajnim ključem, je da je tajni ključ ovdje poznat samo jednoj osobi, dok u prvoj shemi mora biti poznat najmanje dvoje. To daje sljedeće prednosti:

nije potreban siguran kanal za slanje tajnog ključa;

sva komunikacija se odvija preko otvorenog kanala;

Posjedovanje jedne kopije ključa smanjuje mogućnost njegovog gubitka i omogućuje uspostavljanje jasne osobne odgovornosti za čuvanje tajne;

prisutnost dva ključa omogućuje korištenje ovog sustava šifriranja u dva načina - tajna komunikacija i digitalni potpis.

Najjednostavniji primjer algoritama šifriranja koji se razmatra je RSA algoritam. Svi ostali algoritmi ove klase ne razlikuju se bitno od njega. Može se reći da je RSA, uglavnom, jedini algoritam s javnim ključem.

9.6.3. Algoritam RSA. RSA (nazvan po svojim autorima, Rivestu, Shamiru i Aldermanu) je algoritam s javnim ključem dizajniran i za šifriranje i za autentifikaciju (digitalni potpis). Ovaj algoritam je razvijen 1977. godine i temelji se na rastavljanju velikih cijelih brojeva na jednostavne faktore (faktorizacija).

RSA je vrlo spor algoritam. Za usporedbu, na razini softvera, DES je najmanje 100 puta brži od RSA; na hardveru – 1.000-10.000 puta, ovisno o izvedbi.

RSA algoritam je sljedeći. Uzmite dva vrlo velika prosta broja str I q. Odlučan n kao rezultat množenja str na q(n=str q). Odabran je veliki nasumični cijeli broj d, koprim s m, Gdje
. Ovaj broj je određen e, Što
. Nazovimo to javnim ključem e I n, a tajni ključ su brojevi d I n.

Sada, za šifriranje podataka pomoću poznatog ključa ( e,n), trebate učiniti sljedeće:

podijelite šifrirani tekst u blokove, od kojih se svaki može predstaviti kao broj M(ja)=0,1,…,n-1;

šifrirati tekst koji se tretira kao niz brojeva M(ja) prema formuli C(ja)=(M(ja)) mod n;

za dešifriranje ovih podataka pomoću tajnog ključa ( d,n), morate izvršiti sljedeće izračune M(ja)=(C(ja))mod n.

Rezultat će biti puno brojeva M(ja), koji predstavljaju izvorni tekst.

Primjer. Razmotrimo korištenje RSA metode za šifriranje poruke: “Računalo”. Radi jednostavnosti koristit ćemo vrlo male brojeve (u praksi se koriste puno veći brojevi - od 200 pa naviše).

Izaberimo str=3 i q=11. Idemo definirati n=3×11=33.

Nađimo ( str-1)×( q-1)=20. Stoga, kao d odaberite bilo koji broj koji je, na primjer, istoprost s 20 d=3.

Izaberimo broj e. Takav broj može biti bilo koji broj za koji vrijedi relacija ( e×3) mod 20=1, na primjer, 7.

Zamislimo šifriranu poruku kao niz cijelih brojeva u rasponu 1...32. Neka slovo “E” bude predstavljeno brojem 30, slovo “B” brojem 3, a slovo “M” brojem 13. Tada se izvorna poruka može prikazati kao niz brojeva (30 03 13 ).

Kriptirajmo poruku pomoću ključa (7.33).

S1=(307) mod 33=21870000000 mod 33=24,

S2=(37) mod 33=2187 mod 33=9,

C3=(137) mod 33=62748517 mod 33=7.

Dakle, šifrirana poruka izgleda kao (24 09 07).

Riješimo inverzni problem. Dekriptirajmo poruku (24 09 07), dobivenu kao rezultat enkripcije pomoću poznatog ključa, na temelju tajnog ključa (3.33):

M1=(24 3) mod 33=13824 mod 33=30,

M2=(9 3) mod 33=739 mod 33=9,

M3=(7 3)mod33=343mod33=13 .

Dakle, kao rezultat dešifriranja poruke, primljena je izvorna poruka "računalo".

Kriptografska snaga RSA algoritma temelji se na pretpostavci da je izuzetno teško odrediti tajni ključ iz poznatog, budući da to zahtijeva rješavanje problema postojanja cjelobrojnih djelitelja. Ovaj problem je NP-kompletan i, kao posljedica te činjenice, trenutno ne dopušta učinkovito (polinomno) rješenje. Štoviše, još uvijek je otvoreno samo pitanje postojanja učinkovitih algoritama za rješavanje NP-kompletnih problema. S tim u vezi, za brojeve koji se sastoje od 200 znamenki (a to su brojevi koji se preporučuju za korištenje), tradicionalne metode zahtijevaju izvođenje ogromnog broja operacija (oko 1023).

RSA algoritam (slika 9.2) patentiran je u SAD-u. Njegovo korištenje od strane drugih nije dopušteno (s duljinom ključa većom od 56 bita). Istina, pravednost takve uspostave može se dovesti u pitanje: kako se može patentirati obično potenciranje? Međutim, RSA je zaštićen zakonima o autorskim pravima.

Riža. 9.2. Shema šifriranja

Poruku šifriranu javnim ključem pretplatnika može samo on dešifrirati jer samo on ima tajni ključ. Dakle, da biste poslali privatnu poruku, morate uzeti javni ključ primatelja i njime šifrirati poruku. Nakon ovoga, ni vi sami to nećete moći dešifrirati.

9.6.4. Elektronički potpis. Kada radimo suprotno, tj. kriptiramo poruku pomoću tajnog ključa, tada je svatko može dešifrirati (uzevši vaš javni ključ). Ali sama činjenica da je poruka šifrirana vašim tajnim ključem služi kao potvrda da je došla od vas, jedinog vlasnika tajnog ključa na svijetu. Ovaj način korištenja algoritma naziva se digitalni potpis.

S tehnološke točke gledišta, elektronički digitalni potpis je softversko-kriptografski (odnosno, prikladno šifriran) alat koji omogućuje potvrdu da je potpis na određeni elektronički dokument stavio njegov autor, a ne bilo koja druga osoba. Elektronički digitalni potpis skup je znakova generiranih prema algoritmu definiranom GOST R 34.0-94 i GOST R 34.-94. Ujedno, elektronički digitalni potpis omogućuje provjeru da podaci potpisani metodom elektroničkog digitalnog potpisa nisu mijenjani tijekom procesa slanja te da ih je pošiljatelj potpisao upravo u onom obliku u kojem ste ih primili.

Proces elektroničkog potpisivanja dokumenta (sl. 9.3) vrlo je jednostavan: niz informacija koje je potrebno potpisati obrađuje poseban softver pomoću tzv. privatnog ključa. Zatim se šifrirani niz šalje e-poštom i po primitku se provjerava odgovarajućim javnim ključem. Javni ključ omogućuje provjeru integriteta niza i vjerodostojnost elektroničkog digitalnog potpisa pošiljatelja. Vjeruje se da ova tehnologija ima 100% zaštitu od hakiranja.

Riža. 9.3. Shema procesa potpisivanja elektroničkog dokumenta

Svaki subjekt koji ima pravo potpisa ima tajni ključ (šifru) i može se pohraniti na disketu ili smart karticu. Javni ključ služi primateljima dokumenta za provjeru vjerodostojnosti elektroničkog digitalnog potpisa. Elektroničkim digitalnim potpisom možete potpisati pojedinačne datoteke ili fragmente baza podataka.

U potonjem slučaju, softver koji implementira elektronički digitalni potpis mora biti integriran u primijenjene automatizirane sustave.

Prema novom zakonu jasno je uređen postupak certificiranja alata za elektronički digitalni potpis i certificiranje samog potpisa.

To znači da nadležno državno tijelo mora potvrditi da određeni softver za generiranje elektroničkog digitalnog potpisa zapravo generira (ili provjerava) samo elektronički digitalni potpis i ništa drugo; da odgovarajući programi ne sadrže viruse, ne preuzimaju informacije od izvođača, ne sadrže “bugove” i zajamčeni su protiv hakiranja. Ovjera samog potpisa znači da relevantna organizacija - certifikacijsko tijelo potvrđuje da taj ključ pripada upravo toj osobi.

Dokumente možete potpisivati i bez navedene potvrde, ali u slučaju sudskog spora bit će teško bilo što dokazati. Certifikat je u ovom slučaju nezamjenjiv, budući da sam potpis ne sadrži podatke o svom vlasniku.

Na primjer, građanin A i građanin U sklopili ugovor na iznos od 10.000 rubalja i ovjerili ugovor svojim digitalnim potpisom. Građanin A nije izvršio svoju obvezu. Uvrijeđeni građanin U, naviknut djelovati unutar zakonskih okvira, ide na sud, gdje se potvrđuje autentičnost potpisa (podudarnost javnog ključa s privatnim). Međutim, građanin A navodi da privatni ključ uopće nije njegov. Kada dođe do takvog presedana, grafološka provjera se provodi s običnim potpisom, no u slučaju elektroničkog digitalnog potpisa potrebna je treća osoba ili dokument koji potvrđuje da potpis doista pripada toj osobi. Tome služi certifikat javnog ključa.

Danas su jedni od najpopularnijih programskih alata koji implementiraju osnovne funkcije elektroničkog digitalnog potpisa sustavi Verba i CryptoPRO CSP.

9.6.5. HASH funkcija. Kao što je prikazano gore, šifra javnog ključa može se koristiti u dva načina: šifriranje i digitalni potpis. U drugom slučaju nema smisla šifrirati cijeli tekst (podatke) tajnim ključem. Tekst se ostavlja čistim, a određeni "kontrolni zbroj" ovog teksta je šifriran, što rezultira blokom podataka koji je digitalni potpis koji se dodaje na kraj teksta ili mu se prilaže u zasebnoj datoteci.

Spomenuti “kontrolni zbroj” podataka, koji se “potpisuje” umjesto cijelog teksta, mora se izračunati iz cijelog teksta tako da se promjena bilo kojeg slova odražava na njemu. Drugo, navedena funkcija mora biti jednosmjerna, to jest, izračunljiva samo "u jednom smjeru". Ovo je neophodno kako neprijatelj ne bi mogao namjerno promijeniti tekst kako bi odgovarao postojećem digitalnom potpisu.

Ova funkcija se zove Hash funkcija, koji je, kao i kriptografski algoritmi, podložan standardizaciji i certificiranju. U našoj zemlji to je regulirano GOST R-3411. Hash funkcija– funkcija koja izvodi raspršivanje niza podataka preslikavanjem vrijednosti iz (vrlo) velikog skupa vrijednosti u (znatno) manji skup vrijednosti. Uz digitalne potpise, hash funkcije se također koriste u drugim aplikacijama. Na primjer, kada se razmjenjuju poruke između udaljenih računala gdje je potrebna provjera autentičnosti korisnika, može se koristiti metoda temeljena na hash funkciji.

Neka Hash kod stvorena funkcijom N:

Gdje M je poruka proizvoljne duljine i h je hash kod fiksne duljine.

Pogledajmo zahtjeve koje hash funkcija mora ispuniti da bi se mogla koristiti kao autentifikator poruke. Pogledajmo vrlo jednostavan primjer hash funkcije. Zatim ćemo analizirati nekoliko pristupa konstruiranju hash funkcije.

Hash funkcija N, koji se koristi za provjeru autentičnosti poruke, mora imati sljedeća svojstva:

N(M) primjenjuje se na blok podataka bilo koje duljine;

N(M) stvoriti izlaz fiksne duljine;

N(M) je relativno lako (u polinomijalnom vremenu) izračunati za bilo koju vrijednost M;

za bilo koju vrijednost hash koda h nemoguće pronaći M takav da N(M) =h;

za bilo koju datost x računski nemoguće pronaći g≠x, Što H(g) =H(x);

Računski je nemoguće pronaći proizvoljan par ( x,g) tako da H(g) =H(x).

Prva tri svojstva zahtijevaju hash funkciju za izradu hash koda za bilo koju poruku.

Četvrto svojstvo definira zahtjev da hash funkcija bude jednostrana: lako je stvoriti hash kod iz dane poruke, ali je nemoguće rekonstruirati poruku iz danog hash koda. Ovo je svojstvo važno ako hash provjera autentičnosti uključuje tajnu vrijednost. Sama tajna vrijednost možda neće biti poslana, međutim, ako hash funkcija nije jednosmjerna, protivnik može lako otkriti tajnu vrijednost na sljedeći način.

Peto svojstvo osigurava da je nemoguće pronaći drugu poruku čija hash vrijednost odgovara hash vrijednosti ove poruke. Ovo sprječava lažiranje autentifikatora kada se koristi šifrirani hash kod. U tom slučaju, protivnik može pročitati poruku i stoga stvoriti njezin hash kod. Ali budući da protivnik nema tajni ključ, on ne može promijeniti poruku a da je primatelj ne otkrije. Ako ovo svojstvo nije zadovoljeno, napadač ima priliku izvršiti sljedeći niz radnji: presresti poruku i njezin šifrirani hash kod, izračunati hash kod poruke, stvoriti alternativnu poruku s istim hash kodom, zamijeniti originalni poruka s lažnom. Budući da su hashovi ovih poruka isti, primatelj neće otkriti lažiranje.

Poziva se hash funkcija koja zadovoljava prvih pet svojstava jednostavan ili slab hash funkcija. Ako je uz to zadovoljeno i šesto svojstvo, tada se poziva takva funkcija snažna hash funkcija. Šesto svojstvo štiti od vrste napada poznatih kao rođendanski napad.

Sve hash funkcije izvode se na sljedeći način. Ulazna vrijednost (poruka, datoteka itd.) smatra se nizom n-bitni blokovi. Ulazna vrijednost se obrađuje sekvencijalno blok po blok, i a m- bitna vrijednost hash koda.

Jedan od najjednostavnijih primjera hash funkcije je bit-wise XOR svaki blok:

S ja = b ja 1 XOR b i2 XOR. . . XOR b ik ,

Gdje S ja – ja th bit hash koda, ja = 1, …, n;

k- broj n-bitni ulazni blokovi;

b i J –ja th bit in j th blok.

Rezultat je hash kod duljine n, poznato kao longitudinalna prekomjerna kontrola. Ovo je učinkovito za povremene neuspjehe provjere integriteta podataka.

9.6.6. DES I GOST-28147. DES (Data Encryption Standard) je algoritam sa simetričnim ključevima, tj. jedan ključ se koristi i za šifriranje i za dešifriranje poruka. Razvio ga je IBM i odobrila vlada SAD-a 1977. kao službeni standard za zaštitu podataka koji nisu državna tajna.

DES ima 64-bitne blokove, temelji se na 16-strukoj permutaciji podataka i koristi 56-bitni ključ za šifriranje. Postoji nekoliko DES modova, kao što su Electronic Code Book (ECB) i Cipher Block Chaining (CBC). 56 bita je 8 sedmo-bitnih ASCII znakova, tj. Lozinka ne može imati više od 8 slova. Ako uz to koristite samo slova i brojke, tada će broj mogućih opcija biti znatno manji od maksimalno mogućih 256.

Jedan od koraka DES algoritma. Blok ulaznih podataka podijeljen je na pola lijevom stranom ( L") i desno ( R") dijelovi. Nakon toga se izlazni niz formira tako da njegova lijeva strana l"" predstavljena desnom stranom R" ulaz, a desno R"" formiran kao zbir L" I R" XOR operacije. Zatim se izlazni niz šifrira permutacijom sa zamjenom. Možete osigurati da se sve izvedene operacije mogu poništiti i da se dešifriranje provodi u nizu operacija koje linearno ovise o veličini bloka. Algoritam je shematski prikazan na sl. 9.4.

Riža. 9.4. Dijagram DES algoritma

Nakon nekoliko takvih transformacija, možemo smatrati da svaki bit izlaznog bloka šifriranja može ovisiti o svakom bitu poruke.

U Rusiji postoji analogni DES algoritam, koji radi na istom principu tajnog ključa. GOST 28147 razvijen je 12 godina kasnije od DES-a i ima viši stupanj zaštite. Njihove usporedne karakteristike prikazane su u tablici. 9.3.

Tablica 9.3

9.6.7. Steganografija. Steganografija- Riječ je o načinu organiziranja komunikacije koji zapravo skriva samu prisutnost komunikacije. Za razliku od kriptografije, gdje protivnik može točno odrediti je li poslana poruka šifrirani tekst, tehnike steganografije dopuštaju da se tajne poruke ugrade u bezopasne poruke tako da je nemoguće posumnjati u postojanje ugrađene tajne poruke.

Riječ "steganografija" u prijevodu s grčkog doslovno znači "tajno pisanje" (steganos - tajna, tajna; graphy - zapis). To uključuje veliki izbor tajnih sredstava komunikacije, kao što su nevidljiva tinta, mikrofotografije, konvencionalni raspored znakova, tajni kanali i sredstva komunikacije na plutajućim frekvencijama, itd.

Steganografija zauzima svoju nišu u sigurnosti: ona ne zamjenjuje, već nadopunjuje kriptografiju. Skrivanje poruke steganografskim metodama značajno smanjuje vjerojatnost otkrivanja same činjenice prijenosa poruke. A ako je i ova poruka šifrirana, onda ima još jednu, dodatnu razinu zaštite.

Trenutno, zbog brzog razvoja računalne tehnologije i novih kanala za prijenos informacija, pojavile su se nove steganografske metode koje se temelje na osobitostima prezentiranja informacija u računalnim datotekama, računalnim mrežama itd. To nam daje priliku govoriti o formiranje novog pravca - računalne steganografije .

Unatoč činjenici da je steganografija kao metoda skrivanja tajnih podataka poznata već tisućama godina, računalna steganografija je mlado područje koje se razvija.

Steganografski sustav odn stegosustav– skup sredstava i metoda koji se koriste za formiranje tajnog kanala za prijenos informacija.

Prilikom izgradnje stegosustava moraju se uzeti u obzir sljedeće odredbe:

Protivnik ima potpuno razumijevanje steganografskog sustava i pojedinosti njegove implementacije. Jedina informacija koja ostaje nepoznata potencijalnom protivniku je ključ, uz pomoć kojeg samo njegov vlasnik može utvrditi prisutnost i sadržaj skrivene poruke.

Ako protivnik na neki način postane svjestan postojanja skrivene poruke, to mu ne bi trebalo dopustiti da izvuče slične poruke u drugim podacima sve dok se ključ drži u tajnosti.

Potencijalni protivnik mora biti lišen svih tehničkih ili drugih prednosti u prepoznavanju ili otkrivanju sadržaja tajnih poruka.

Generalizirani model stegosustava prikazan je na sl. 9.5.

Riža. 9.5. Generalizirani model stegosustava

Kao podaci Može se koristiti bilo koja informacija: tekst, poruka, slika itd.

U općem slučaju, preporučljivo je koristiti riječ "poruka", budući da poruka može biti tekst ili slika ili, na primjer, audio podaci. U nastavku ćemo termin poruka koristiti za označavanje skrivenih informacija.

Kontejner– sve informacije namijenjene prikrivanju tajnih poruka.

Stegokey ili jednostavno ključ - tajni ključ neophodan za skrivanje informacija. Ovisno o broju sigurnosnih razina (na primjer, ugradnja unaprijed šifrirane poruke), u stegosustavu može postojati jedan ili više stegoključeva.

Po analogiji s kriptografijom, na temelju tipa stegokeya, stegosustavi se mogu podijeliti u dvije vrste:

s tajnim ključem;

s javnim ključem.

Stegosustav s tajnim ključem koristi jedan ključ, koji se mora odrediti ili prije razmjene tajnih poruka ili prijenosa preko sigurnog kanala.

U stegosustavu s javnim ključem, različiti ključevi se koriste za umetanje i ekstrahiranje poruke, koji se razlikuju na takav način da nije moguće računalno zaključiti jedan ključ od drugog. Stoga se jedan ključ (javni) može slobodno prenositi preko nesigurnog komunikacijskog kanala. Osim toga, ova shema također dobro funkcionira kada postoji međusobno nepovjerenje između pošiljatelja i primatelja.

Trenutno je moguće razlikovati tri Pravci primjene steganografije koji su međusobno blisko povezani i imaju iste korijene: skrivanje podataka(poruke), digitalni vodeni žigovi I zaglavlja.

Skrivanje ubačenih podataka, koji su u većini slučajeva veliki, postavlja ozbiljne zahtjeve na spremnik: veličina spremnika mora biti nekoliko puta veća od veličine ugrađenih podataka.

Digitalni vodeni žigovi koriste se za zaštitu autorskih ili vlasničkih prava na digitalnim slikama, fotografijama ili drugim digitaliziranim umjetničkim djelima. Glavni zahtjevi za takve ugrađene podatke su pouzdanost i otpornost na izobličenje. Digitalni vodeni žigovi male su veličine, ali s obzirom na gore navedene zahtjeve, njihovo ugrađivanje zahtijeva sofisticiranije tehnike od jednostavnog ugrađivanja poruka ili zaglavlja.

Naslovi prvenstveno se koristi za označavanje slika u velikim elektroničkim spremištima (bibliotekama) digitalnih slika, audio i video datoteka. U ovom se slučaju steganografske metode koriste ne samo za uvođenje identifikacijskog zaglavlja, već i za druge pojedinačne karakteristike datoteke. Ugrađeni zaglavlja su male veličine, a zahtjevi za njih su minimalni: zaglavlja moraju predstavljati manja izobličenja i biti otporna na osnovne geometrijske transformacije.

Računalna kriptografija temelji se na nekoliko principa:

Poruka se može poslati pomoću kodiranja šuma. Bit će ga teško otkriti u pozadini hardverske buke u telefonskoj liniji ili mrežnim kabelima.

Poruke se mogu smjestiti u datoteke ili prostore na disku bez gubitka funkcionalnosti. Izvršne datoteke imaju višesegmentnu strukturu izvršnog koda; hrpa bajtova može se umetnuti između praznih segmenata. Ovako virus WinCIH skriva svoje tijelo. Datoteka uvijek zauzima cijeli broj klastera na disku, tako da su fizička i logička duljina datoteke rijetko iste. U ovom razdoblju možete i nešto zapisati. Možete formatirati međustazu diska i na nju postaviti poruku. Postoji jednostavniji način, koji se sastoji u dodavanju određenog broja razmaka koji nose informacijsko opterećenje na kraj HTML reda ili tekstualne datoteke.

Ljudska osjetila ne mogu razlikovati male promjene u boji, slici ili zvuku. Ovo se primjenjuje na podatke koji nose suvišne informacije. Na primjer, 16-bitni zvuk ili 24-bitna slika. Promjena vrijednosti bitova odgovornih za boju piksela neće dovesti do primjetne promjene boje. Ovo također uključuje metodu skrivenih fontova. Nastaju suptilna izobličenja u obrisima slova koja će nositi semantičko opterećenje. Možete umetnuti slične simbole u Microsoft Word dokument koji sadrži skrivenu poruku.

Najčešći i jedan od najboljih softverskih proizvoda za steganografiju je S-Tools (status freeware). Omogućuje skrivanje datoteka u GIF, BMP i WAV formatima. Obavlja kontroliranu kompresiju (arhiviranje) podataka. Osim toga, vrši enkripciju koristeći MCD, DES, triple-DES, IDEA algoritme (po izboru). Grafička datoteka ostaje bez vidljivih promjena, mijenjaju se samo nijanse. Zvuk također ostaje bez primjetnih promjena. Čak i ako se pojave sumnje, nemoguće je utvrditi da se S-Tools koristi bez poznavanja lozinke.

9.6.8. Certifikacija i standardizacija kriptosustava. Sve države posvećuju veliku pozornost pitanjima kriptografije. Stalno se pokušavaju nametnuti određena ograničenja, zabrane i druga ograničenja na proizvodnju, korištenje i izvoz kriptografskih alata. Na primjer, u Rusiji je uvoz i izvoz sredstava za zaštitu informacija, posebno kriptografskih sredstava, licenciran u skladu s Dekretom predsjednika Ruske Federacije od 3. travnja 1995. br. 334 i Dekretom Vlade Ruske Federacije od 15. travnja 1994. br.331.

Kao što je već spomenuto, kriptosustav se ne može smatrati pouzdanim ako algoritam njegova rada nije u potpunosti poznat. Samo poznavanjem algoritma možete provjeriti je li zaštita stabilna. Međutim, to može provjeriti samo stručnjak, a čak i tada je takva provjera često toliko složena da nije ekonomski isplativa. Kako se običan korisnik koji ne poznaje matematike može uvjeriti u pouzdanost kriptosustava koji mu se nudi?

Za nespecijaliste, dokaz pouzdanosti može biti mišljenje kompetentnih neovisnih stručnjaka. Tu je nastao sustav certificiranja. Podliježu mu svi sustavi informacijske sigurnosti kako bi ih poduzeća i institucije mogle službeno koristiti. Nije zabranjeno koristiti necertificirane sustave, ali u tom slučaju preuzimate sav rizik da neće biti dovoljno pouzdani ili će imati “stražnja vrata”. Ali za prodaju proizvoda za informacijsku sigurnost potrebna je certifikacija. Takve odredbe vrijede u Rusiji i većini zemalja.

Naše jedino tijelo ovlašteno za provođenje certifikacije je Savezna agencija za vladine komunikacije i informacije pri predsjedniku Ruske Federacije (FAPSI). Ovo tijelo vrlo pažljivo pristupa pitanjima certifikacije. Vrlo malo razvoja tvrtki trećih strana uspjelo je dobiti FAPSI certifikat.

Osim toga, FAPSI licencira aktivnosti poduzeća u vezi s razvojem, proizvodnjom, prodajom i radom alata za šifriranje, kao i sigurnih tehničkih sredstava za pohranu, obradu i prijenos informacija, pružanje usluga u području enkripcije informacija (Ukaz predsjednika Ruske Federacije od 3. travnja 1995. br. 334 "O mjerama za poštivanje zakona u razvoju proizvodnje, prodaje i rada alata za šifriranje, kao i pružanja usluga u području šifriranja informacija"; i Zakon Ruske Federacije "O federalnim tijelima državnih komunikacija i informacija").

Za certifikaciju je preduvjet usklađenost sa standardima pri razvoju sustava informacijske sigurnosti. Standardi imaju sličnu funkciju. Oni omogućuju, bez provođenja složenih, skupih i ne uvijek mogućih istraživanja, da se stekne povjerenje da dati algoritam pruža zaštitu dovoljnog stupnja pouzdanosti.

9.6.9. Šifrirane arhive. Mnogi aplikacijski programi uključuju značajku šifriranja. Evo primjera nekih softverskih alata koji imaju mogućnosti šifriranja.

Programi za arhiviranje (primjerice WinZip) imaju mogućnost šifriranja arhiviranih podataka. Može se koristiti za podatke koji nisu previše važni. Prvo, metode šifriranja koje se tamo koriste nisu vrlo pouzdane (podložne su službenim ograničenjima izvoza), a drugo, nisu detaljno opisane. Sve to nam ne dopušta da ozbiljno računamo na takvu zaštitu. Arhive s lozinkom mogu se koristiti samo za "obične" korisnike ili nekritične informacije.

Na nekim internetskim stranicama možete pronaći programe za otvaranje šifriranih arhiva. Primjerice, ZIP arhiva se na dobrom računalu može otvoriti u nekoliko minuta, a od korisnika nisu potrebne nikakve posebne kvalifikacije.

Bilješka. Programi za pogađanje lozinki: Ultra Zip Password Cracker 1.00 – Brz program za pogađanje lozinki za šifrirane arhive. Rusko/englesko sučelje. Win"95/98/NT. (Developer - "m53group") Advanced ZIP Password Recovery 2.2 - Snažan program za odabir lozinki za ZIP arhive. Velika brzina, grafičko sučelje, dodatne funkcije. OS: Windows95/98/NT. Tvrtka developer – “Elcom doo”, shareware.

Enkripcija u MS Word i MS Excel. Microsoft je uključio neki privid kriptografske zaštite u svoje proizvode. Ali ova zaštita je vrlo nestabilna. Osim toga, algoritam šifriranja nije opisan, što je pokazatelj nepouzdanosti. Osim toga, postoje dokazi da Microsoft ostavlja "stražnja vrata" u kripto algoritmima koje koristi. Ako trebate dešifrirati datoteku za koju ste izgubili lozinku, možete kontaktirati tvrtku. Na službeni zahtjev, uz opravdane razloge, dekriptiraju MS Word i MS Excel datoteke. Usput, to rade i neki drugi proizvođači softvera.

Šifrirani pogoni (direktorije). Enkripcija je prilično pouzdana metoda zaštite podataka na tvrdom disku. Međutim, ako količina informacija koje treba zatvoriti nije ograničena na dvije ili tri datoteke, tada je prilično teško raditi s njom: svaki put ćete morati dešifrirati datoteke, a nakon uređivanja, šifrirati ih natrag. U tom slučaju sigurnosne kopije datoteka koje stvaraju mnogi urednici mogu ostati na disku. Stoga je prikladno koristiti posebne programe (drivere) koji automatski šifriraju i dešifriraju sve informacije prilikom pisanja na disk i čitanja s diska.

Zaključno, napominjemo da se sigurnosna politika definira kao skup dokumentiranih upravljačkih odluka usmjerenih na zaštitu informacija i povezanih resursa. Prilikom njegove izrade i implementacije preporučljivo je voditi se sljedećim osnovnim načelima:

Nemogućnost zaobilaženja zaštitne opreme. Svi tokovi informacija prema i od zaštićene mreže moraju proći kroz sigurnosne mjere. Ne bi trebalo biti tajnih modemskih ulaza ili testnih linija koje zaobilaze sigurnost.

Jačanje najslabije karike. Pouzdanost svake zaštite određena je najslabijom karikom, budući da je napadači hakiraju. Često najslabija karika nije računalo ili program, već osoba, pa tada problem osiguranja informacijske sigurnosti postaje netehničke naravi.

Nemogućnost ulaska u nesigurno stanje. Načelo nemogućnosti prijelaza u nesigurno stanje znači da u bilo kojim okolnostima, uključujući nenormalne, zaštitni uređaj ili u potpunosti obavlja svoje funkcije ili potpuno blokira pristup.

Minimiziranje privilegija. Načelo najmanjih privilegija zahtijeva da se korisnicima i administratorima daju samo ona prava pristupa koja su im potrebna za obavljanje njihovih radnih obveza.

Podjela dužnosti. Načelo podjele dužnosti pretpostavlja raspodjelu uloga i odgovornosti u kojoj jedna osoba ne može poremetiti proces kritičan za organizaciju.

Razina obrane. Načelo ešalonirane obrane propisuje da se ne oslanja na jednu obrambenu liniju. Dubinska obrana može barem odgoditi napadača i znatno otežati izvođenje zlonamjernih radnji neprimijećeno.

Raznolikost zaštitne opreme. Načelo raznolikosti zaštitnih sredstava preporuča organiziranje obrambenih linija različite prirode, tako da potencijalni napadač mora ovladati različitim, po mogućnosti, nekompatibilnim vještinama.

Jednostavnost i upravljivost informacijskog sustava. Načelo jednostavnosti i upravljivosti kaže da se samo u jednostavnom i upravljivom sustavu može provjeriti dosljednost konfiguracije različitih komponenti i provesti centralizirana administracija.

Osigurajte podršku svih za sigurnosne mjere. Načelo univerzalne podrške sigurnosnim mjerama je netehničke prirode. Ako korisnici i/ili administratori sustava smatraju informacijsku sigurnost nečim nepotrebnim ili neprijateljskim, tada sigurno neće biti moguće stvoriti sigurnosni režim. Potrebno je od samog početka predvidjeti niz mjera usmjerenih na osiguranje lojalnosti osoblja te kontinuirano teoretsko i praktično usavršavanje.

Iz perspektive informacijske sigurnosti, kriptografski ključevi su ključni podaci. Ako su ranije, da bi opljačkali tvrtku, napadači morali ući na njen teritorij, otvoriti prostorije i sefove, sada je dovoljno ukrasti token s kriptografskim ključem i izvršiti prijenos putem internetskog sustava Klijent-Banka. Temelj osiguranja sigurnosti korištenjem kriptografskih sustava zaštite informacija (CIPS) je očuvanje povjerljivosti kriptografskih ključeva.

Kako možete osigurati povjerljivost nečega za što nemate pojma da postoji? Da biste stavili token s ključem u sef, morate znati o postojanju tokena i sefa. Koliko god paradoksalno zvučalo, vrlo malo tvrtki ima predodžbu o točnom broju ključnih dokumenata koje koriste. To se može dogoditi iz više razloga, na primjer, podcjenjivanje prijetnji informacijskoj sigurnosti, nedostatak uspostavljenih poslovnih procesa, nedovoljna kvalificiranost osoblja za pitanja sigurnosti itd. Obično se sjete ovog zadatka nakon incidenata, kao što je ovaj.

Ovaj članak će opisati prvi korak ka poboljšanju informacijske sigurnosti korištenjem kripto alata, točnije, razmotrit ćemo jedan od pristupa provođenju revizije CIPF-a i kripto ključeva. Pripovijedanje će se voditi u ime stručnjaka za informacijsku sigurnost, a pretpostavit ćemo da se posao izvodi od nule.

Pojmovi i definicije

Na početku članka, kako ne bismo prestrašili nespremnog čitatelja složenim definicijama, naširoko smo koristili pojmove kriptografski ključ ili kriptoključ; sada je vrijeme da poboljšamo naš konceptualni aparat i uskladimo ga s važećim zakonima. Ovo je vrlo važan korak jer će vam omogućiti da učinkovito strukturirate informacije dobivene iz rezultata revizije.

Kriptografski ključ (cryptokey)- skup podataka koji omogućava izbor jedne određene kriptografske transformacije između svih mogućih u danom kriptografskom sustavu (definicija iz “ružičaste upute - Naredba FAPSI br. 152 od 13. lipnja 2001., u daljnjem tekstu FAPSI 152).
Ključne informacije- posebno organiziran skup kriptoključeva dizajniranih za pružanje kriptografske zaštite informacija u određenom vremenskom razdoblju [FAPSI 152].
Na sljedećem primjeru možete razumjeti temeljnu razliku između kriptoključa i ključnih informacija. Prilikom organiziranja HTTPS-a generira se par javnog i privatnog ključa, a iz javnog ključa i dodatnih informacija dobiva se certifikat. Dakle, u ovoj shemi kombinacija certifikata i privatnog ključa čini informacije o ključu, a svaki od njih pojedinačno je kripto ključ. Ovdje se možete voditi sljedećim jednostavnim pravilom - krajnji korisnici koriste ključne informacije kada rade s CIPF-om, a kriptoključevi obično koriste CIPF interno. U isto vrijeme, važno je razumjeti da se ključne informacije mogu sastojati od jednog kripto ključa.
Ključni dokumenti- elektronički dokumenti na bilo kojem mediju, kao i papirnati dokumenti koji sadrže ključne informacije ograničenog pristupa za kriptografsku transformaciju informacija korištenjem algoritama za kriptografsku transformaciju informacija (kriptografski ključ) u enkripcijskim (kriptografskim) sredstvima. (definicija iz Uredbe Vlade br. 313 od 16. travnja 2012., u daljnjem tekstu PP-313)
Jednostavnim rječnikom rečeno, ključni dokument je ključna informacija zabilježena na mediju. Pri analizi ključnih informacija i ključnih dokumenata treba istaknuti da se ključne informacije iskorištavaju (odnosno koriste se za kriptografske transformacije – enkripciju, elektronički potpis i sl.), a ključni dokumenti koji ih sadrže prenose se zaposlenicima.
Sredstva kriptografske zaštite informacija (CIPF)– sredstva za šifriranje, sredstva za zaštitu od imitacije, sredstva za elektronički potpis, sredstva za kodiranje, sredstva za izradu ključnih dokumenata, ključna dokumenta, hardverska enkripcijska (kriptografska) sredstva, programska i hardverska enkripcijska (kriptografska) sredstva. [PP-313]
Kada analizirate ovu definiciju, možete pronaći u njoj prisutnost pojma ključni dokumenti. Termin je naveden u Vladinoj Uredbi i mi ga nemamo pravo mijenjati. U isto vrijeme, daljnji opis će se provesti na temelju toga da će CIPF uključivati samo sredstva za implementaciju kriptografskih transformacija). Ovakav pristup će pojednostaviti reviziju, ali istovremeno neće utjecati na njezinu kvalitetu, budući da ćemo i dalje voditi računa o ključnim dokumentima, ali u svom dijelu i vlastitim metodama.

Metodologija revizije i očekivani rezultati

Glavne značajke revizijske metodologije predložene u ovom članku su postulati koji:

nijedan zaposlenik tvrtke ne može točno odgovoriti na pitanja postavljena tijekom revizije;
postojeći izvori podataka (popisi, registri i sl.) su netočni ili loše strukturirani.

Stoga je metodologija predložena u članku svojevrsno rudarenje podataka, tijekom kojega će se isti podaci izvlačiti iz različitih izvora, a zatim uspoređivati, strukturirati i pročišćavati.

Evo glavnih ovisnosti koje će nam u tome pomoći:

Ako postoji CIPF, onda postoji ključna informacija.
Ako postoji elektronički protok dokumenata (uključujući ugovorne strane i regulatore), tada se najvjerojatnije koristi elektronički potpis i, kao rezultat, CIPF i ključne informacije.
Upravljanje elektroničkim dokumentima u ovom kontekstu treba shvatiti široko, odnosno uključivat će i izravnu razmjenu pravno značajnih elektroničkih dokumenata, i podnošenje izvješća, i rad u platnim ili trgovačkim sustavima i sl. Popis i oblici upravljanja elektroničkim dokumentima određeni su poslovnim procesima tvrtke, kao i važećim zakonskim propisima.
Ako se zaposlenik bavi elektroničkim upravljanjem dokumentima, tada najvjerojatnije ima ključne dokumente.
Prilikom organiziranja elektroničkog upravljanja dokumentima s protustrankama obično se izdaju organizacijski i upravni akti (nalozi) o imenovanju odgovornih osoba.
Ako se informacije prenose putem interneta (ili drugih javnih mreža), najvjerojatnije su šifrirane. To se prije svega odnosi na VPN-ove i razne sustave udaljenog pristupa.
Ako se u mrežnom prometu otkriju protokoli koji prenose promet u šifriranom obliku, tada se koriste CIPF i informacije o ključu.
Ako su izvršene nagodbe s drugim ugovornim stranama koje se bave: isporukom opreme za informacijsku sigurnost, telekomunikacijskim uređajima, pružanjem usluga prijenosa informacija, uslugama certifikacijskih centara, tada se tijekom te interakcije može kupiti CIPF ili ključni dokumenti.
Ključni dokumenti mogu biti na prenosivim medijima (diskete, flash diskovi, tokeni, ...) ili snimljeni unutar računala i hardverskih kriptografskih sustava zaštite informacija.
Kada koristite alate za virtualizaciju, ključni dokumenti mogu se pohraniti unutar virtualnih strojeva i montirati na virtualne strojeve pomoću hipervizora.
Hardverski CIPF može se instalirati u poslužiteljskim sobama i ne biti dostupan za analizu putem mreže.
Neki sustavi za upravljanje elektroničkim dokumentima mogu biti u neaktivnom ili neaktivnom obliku, ali istovremeno sadrže aktivne ključne informacije i CIPF.
Interna regulatorna i organizacijska dokumentacija može sadržavati informacije o sustavima za elektroničko upravljanje dokumentima, CIPF-u i ključnim dokumentima.

Za dobivanje primarnih informacija mi ćemo:

intervjuirati zaposlenike;
analizirati dokumentaciju tvrtke, uključujući interne regulatorne i administrativne dokumente, kao i izlazne naloge za plaćanje;
provoditi vizualnu analizu poslužiteljskih soba i komunikacijskih ormara;
provoditi tehničku analizu sadržaja automatiziranih radnih stanica (AWS), poslužitelja i virtualizacijskih alata.

Kasnije ćemo formulirati konkretne aktivnosti, a za sada pogledajmo konačne podatke koje bismo trebali dobiti kao rezultat revizije:

Popis CIPF-a:

CIPF model. Na primjer, CIPF Crypto CSP 3.9 ili OpenSSL 1.0.1
CIPF identifikator instance. Na primjer, serijski, licencni (ili registracijski prema PKZ-2005) broj CIPF-a
Informacije o certifikatu FSB-a Rusije za kriptografsku zaštitu podataka, uključujući broj te datume početka i završetka valjanosti.
Podaci o mjestu rada CIPF-a. Primjerice, naziv računala na kojem je instaliran programski CIPF ili naziv tehničkog sredstva ili prostora u kojem je instaliran hardverski CIPF.

Ove informacije će vam omogućiti da:

Upravljajte ranjivostima u CIPF-u, odnosno brzo ih otkrijte i ispravite.
Pratite rokove valjanosti certifikata za CIPF, a također provjerite koristi li se certificirani CIPF u skladu s pravilima utvrđenim dokumentacijom ili ne.
Planirajte troškove za CIPF, znajući koliko je već u funkciji i koliko je konsolidiranih sredstava još dostupno.
Generirajte regulatorna izvješća.

Popis ključnih informacija:

Za svaki element popisa bilježimo sljedeće podatke:

Naziv ili identifikator ključnih informacija. Na primjer, „Ključ kvalificiranog elektroničkog potpisa. Certifikat serijski broj 31:2D:AF", a identifikator treba odabrati tako da se po njemu može pronaći ključ. Na primjer, pri slanju obavijesti, certifikacijska tijela obično identificiraju ključeve prema brojevima certifikata.
Kontrolni centar ključnog sustava (KSUC), koji je objavio ovu ključnu informaciju. To može biti organizacija koja je izdala ključ, na primjer, tijelo za izdavanje certifikata.
Pojedinac, u čije ime je objavljena ključna informacija. Ove informacije mogu se izdvojiti iz CN polja X.509 certifikata
Format ključnih informacija. Na primjer, CIPF CryptoPRO, CIPF Verba-OW, X.509, itd. (ili drugim riječima za korištenje s kojim CIPF-om su ove ključne informacije namijenjene).
Dodjeljivanje ključnih informacija. Na primjer, "Sudjelovanje u trgovanju na Sberbank AST stranici", "Kvalificirani elektronički potpis za izvješćivanje" itd. S tehničkog gledišta, u ovo polje možete zabilježiti ograničenja zabilježena u poljima proširene upotrebe ključa i drugim X.509 certifikatima.
Početak i kraj razdoblja valjanosti ključnih informacija.
Procedura ponovnog objavljivanja ključnih informacija. Odnosno, znanje o tome što treba učiniti i kako prilikom ponovnog objavljivanja ključnih informacija. U najmanju ruku, preporučljivo je zabilježiti kontakte službenika središnjeg kontrolnog centra koji je objavio ključnu informaciju.
Popis informacijskih sustava, usluga ili poslovnih procesa unutar kojih se koriste ključne informacije. Na primjer, "Sustav usluga daljinskog bankarstva Internet klijent-banka".

Ove informacije će vam omogućiti da:

Pratite datume isteka ključnih informacija.
Brzo ponovno objavite ključne informacije kada je to potrebno. Ovo može biti potrebno i za planirano i za neplanirano ponovno izdavanje.
Blokirati korištenje ključnih podataka po otkazu zaposlenika za kojeg su izdani.
Istražite incidente informacijske sigurnosti odgovarajući na pitanja: "Tko je imao ključeve za plaćanje?" i tako dalje.

Popis ključnih dokumenata:

Za svaki element popisa bilježimo sljedeće podatke:

Ključne informacije sadržane u ključnom dokumentu.
Nositelj ključnih informacija, na kojem se bilježe ključne informacije.
Lice, odgovoran za sigurnost ključnog dokumenta i povjerljivost ključnih informacija sadržanih u njemu.

Ove informacije će vam omogućiti da:

Ponovno objaviti ključne informacije u slučajevima: otpuštanja zaposlenika koji posjeduju ključne dokumente, kao iu slučaju kompromitacije medija.
Osigurajte povjerljivost ključnih informacija popisom medija koji ih sadrže.

Plan revizije

Došlo je vrijeme za razmatranje praktičnih značajki provođenja revizije. Učinimo to na primjeru financijske institucije ili, drugim riječima, na primjeru banke. Ovaj primjer nije odabran slučajno. Banke koriste prilično veliki broj različitih sustava kriptografske zaštite, koji su uključeni u veliki broj poslovnih procesa, a osim toga, gotovo sve banke su nositelji licenci FSB-a Rusije za kriptografiju. Dalje u članku bit će predstavljen plan revizije za CIPF i kriptoključeve u odnosu na Banku. U isto vrijeme, ovaj se plan može uzeti kao osnova pri provođenju revizije gotovo svake tvrtke. Radi lakše percepcije, plan je podijeljen u faze, koje su zauzvrat urušene u spojlere.

Faza 1. Prikupljanje podataka iz infrastrukturnih odjela tvrtke

№	Akcijski
Izvor – svi zaposlenici tvrtke
1	Šaljemo korporativnu e-poštu svim zaposlenicima tvrtke tražeći od njih da obavijeste službu za informacijsku sigurnost o svim kriptografskim ključevima koje koriste.	Primamo e-mailove, na temelju kojih izrađujemo popis ključnih informacija i popis ključnih dokumenata
Izvor – voditelj Službe za informatiku
1	Tražimo popis ključnih informacija i ključnih dokumenata	Uz određenu vjerojatnost, IT služba održava slične dokumente; koristit ćemo ih za generiranje i pojašnjenje popisa ključnih informacija, ključnih dokumenata i CIPF-a
2	Tražimo popis CIPF-a
3	Tražimo registar softvera instaliranih na poslužiteljima i radnim stanicama	U ovom registru tražimo softverske CIPF-ove i njihove komponente. Na primjer, CryptoPRO CSP, Verba-OW, Signal-COM CSP, Signature, PGP, ruToken, eToken, KritoARM itd. Na temelju tih podataka formiramo listu CIPF-a.
4	Tražimo popis zaposlenika (vjerojatno tehničke podrške) koji pomažu korisnicima u korištenju CIPF-a i ponovnom izdavanju ključnih informacija.	Od tih osoba tražimo iste podatke kao i od administratora sustava
Izvor – administratori sustava Službe informatike
1	Tražimo popis domaćih kripto pristupnika (VIPNET, Continent, S-terra, itd.)	U slučajevima kada tvrtka ne provodi redovne poslovne procese za upravljanje informatikom i informacijskom sigurnošću, takva pitanja mogu pomoći podsjetiti administratore sustava na postojanje određenog uređaja ili softvera. Ove informacije koristimo za dobivanje popisa CIPF-a.
2	Tražimo popis domaćeg softvera CIPF (CIPF MagPro CryptoPacket, VIPNET CSP, CryptonDisk, SecretDisk, ...)
3	Tražimo popis usmjerivača koji implementiraju VPN za: a) komunikacije između ureda tvrtke; b) interakcije s izvođačima i partnerima.
4	Tražimo popis informacijskih usluga objavljenih na Internetu (dostupan s Interneta). To može uključivati: a) korporativna e-pošta; b) sustavi za razmjenu trenutnih poruka; c) korporativne web stranice; d) servisi za razmjenu informacija s partnerima i izvođačima (extranet); e) sustave daljinskog bankarstva (ako je tvrtka banka); f) sustavi daljinskog pristupa mreži poduzeća. Kako bismo provjerili potpunost dostavljenih informacija, uspoređujemo ih s popisom pravila Portforwarding rubnih vatrozida.	Analizirajući primljene informacije, velika je vjerojatnost da ćete se susresti s korištenjem CIPF-a i kriptoključeva. Dobivene podatke koristimo za izradu popisa CIPF-a i ključnih informacija.
5	Tražimo popis informacijskih sustava koji se koriste za izvješćivanje (Taxcom, Kontur, itd.)	Ovi sustavi koriste kvalificirane ključeve elektroničkog potpisa i CIPF. Kroz ovaj popis izrađujemo popis CIPF-a, popis ključnih informacija, a također saznajemo zaposlenike koji koriste ove sustave za izradu popisa ključnih dokumenata.
6	Tražimo popis internih sustava za elektroničko upravljanje dokumentima (Lotus, DIRECTUM, 1C: Document Management itd.), kao i popis njihovih korisnika.	Ključevi elektroničkog potpisa mogu se pronaći unutar internih sustava za upravljanje elektroničkim dokumentima. Na temelju dobivenih informacija izrađujemo popis ključnih informacija i popis ključnih dokumenata.
7	Tražimo popis internih certifikacijskih centara.	Sredstva koja se koriste za organiziranje certifikacijskih centara evidentiraju se u popisu CIPF-a. U budućnosti ćemo analizirati sadržaj baza podataka certifikacijskih tijela kako bismo identificirali ključne informacije.
8	Tražimo informacije o korištenju tehnologija: IEEE 802.1x, WiFiWPA2 Enterprise i IP sustavi video nadzora	Ako se te tehnologije koriste, mogli bismo pronaći ključne dokumente o uključenim uređajima.
Izvor – voditelj ljudskih resursa
1	Molimo opišite proces zapošljavanja i otpuštanja zaposlenika. Fokusiramo se na pitanje tko preuzima ključne dokumente od zaposlenika koji daju otkaz	Analiziramo dokumente (zaobilazne listove) na prisutnost informacijskih sustava u njima u kojima se CIPF može koristiti.

Faza 2. Prikupljanje podataka iz poslovnih jedinica tvrtke (na primjeru Banke)

№	Akcijski	Očekivani rezultat i njegova upotreba
Izvor – Voditelj obračunske službe (korespondentni odnosi)
1	Navedite shemu za organiziranje interakcije s platnim sustavom Banke Rusije. Ovo će posebno biti relevantno za banke koje imaju razvijenu mrežu podružnica, u kojima se podružnice mogu izravno povezati s platnim sustavom Centralne banke	Na temelju dobivenih podataka utvrđujemo lokaciju pristupnika plaćanja (AWC KBR, UTA) i popis uključenih korisnika. Dobivene podatke koristimo za izradu popisa CIPF-a, ključnih informacija i ključnih dokumenata.
2	Tražimo popis banaka s kojima su uspostavljeni izravni korespondentski odnosi, a također molimo da nam kažete tko je uključen u obavljanje transfera i koja tehnička sredstva se koriste.
3	Tražimo popis platnih sustava u kojima Banka sudjeluje (SWIFT, VISA, MasterCard, NSPK itd.), kao i lokaciju komunikacijskih terminala	Isto kao i za platni sustav Banke Rusije
Izvor – Voditelj odjela odgovornog za pružanje usluga daljinskog bankarstva
1	Tražimo popis sustava daljinskog bankarstva.	U tim sustavima analiziramo korištenje CIPF-a i ključnih informacija. Na temelju dobivenih podataka izrađujemo popis CIPF-a i ključnih informacija i ključnih dokumenata.
Izvor – Voditelj odjela odgovornog za funkcioniranje procesiranja platnih kartica
1	Zahtjev za HSM registar	Na temelju primljenih informacija izrađujemo popis CIPF-a, ključnih informacija i ključnih dokumenata.
2	Tražimo registar zaštitara
4	Tražimo informacije o komponentama LMK HSM
5	Tražimo informacije o organizaciji sustava poput 3D-Secure i organizaciji personalizacije platnih kartica
Izvor – Voditelji odjela koji obavljaju poslove riznice i depozita
1	Popis banaka s kojima su uspostavljeni korespondentski odnosi i koje sudjeluju u međubankarskom kreditiranju.	Primljene informacije koristimo za razjašnjavanje prethodno primljenih podataka od usluge namire, a također bilježimo informacije o interakciji s burzama i depozitarima. Na temelju dobivenih informacija izrađujemo popis CIPF-a i ključnih informacija.
2	Popis burzi i specijaliziranih depozitorija s kojima Banka radi
Izvor – Voditelji službi i odjela za financijski nadzor odgovorni za podnošenje izvješća Banci Rusije
1	Tražimo informacije o tome kako šalju informacije i primaju informacije od Centralne banke. Popis uključenih osoba i tehničke opreme.	Informacijska interakcija s Bankom Rusije strogo je regulirana relevantnim dokumentima, na primjer, 2332-U, 321-I i mnogim drugima, provjeravamo usklađenost s tim dokumentima i stvaramo popise CIPF-a, ključnih informacija i ključnih dokumenata.
Izvor – Glavni računovođa i računovodstveni djelatnici uključeni u plaćanje računa za unutarbankarske potrebe
1	Tražimo informacije o tome kako se izvješća pripremaju i podnose poreznim inspektoratima i Banci Rusije	Pojašnjavamo prethodno primljene informacije
2	Tražimo registar platnih dokumenata za plaćanje za unutarbankarske potrebe	U ovom registru ćemo tražiti dokumente gdje: 1) kao primatelji plaćanja navedeni su certifikacijski centri, specijalizirani telekom operateri, proizvođači CIPF-a i dobavljači telekomunikacijske opreme. Imena tih tvrtki mogu se dobiti iz Registra certificiranih CIPF-a FSB-a Rusije, popisa akreditiranih certifikacijskih centara Ministarstva telekomunikacija i masovnih komunikacija i drugih izvora. 2) kao dešifriranje plaćanja postoje riječi: „CIPF“, „potpis“, „token“, „ključ“, „BKI“ itd.
Izvor – Voditelji službi za upravljanje dospjelim dugovima i rizicima
1	Tražimo popis ureda za kreditnu povijest i agencija za naplatu s kojima Banka surađuje.	Zajedno s informatičkom službom analiziramo zaprimljene podatke radi pojašnjenja organizacije upravljanja elektroničkim dokumentima, na temelju čega pojašnjavamo popise CIPF-a, ključnih informacija i ključnih dokumenata.
Izvor – Voditelji službi za upravljanje dokumentima, unutarnju kontrolu i unutarnju reviziju
1	Tražimo registar internih organizacijskih i upravnih akata (naredbi).	U ovim dokumentima tražimo dokumente koji se odnose na CIPF. Da bismo to učinili, analiziramo prisutnost ključnih riječi "sigurnost", "odgovorna osoba", "administrator", "elektronički potpis", "digitalni potpis", "digitalni potpis", "digitalni potpis", "digitalni digitalni potpis", “ASP”, “CIPF” i njihove izvedenice. Zatim identificiramo popis zaposlenika Banke zabilježen u tim dokumentima. Vodimo razgovore sa zaposlenicima o njihovoj upotrebi kriptovaluta. Primljene informacije odražavaju se na popisima CIPF-a, ključnim informacijama i ključnim dokumentima.
2	Tražimo popise ugovora s drugim ugovornim stranama	Pokušavamo identificirati ugovore o elektroničkom upravljanju dokumentima, kao i ugovore s tvrtkama koje nude proizvode za informacijsku sigurnost ili pružaju usluge u ovom području, kao i tvrtke koje pružaju usluge certifikacijskih centara i usluge izvješćivanja putem interneta.
3	Analiziramo tehnologiju pohranjivanja dnevnih dokumenata u elektroničkom obliku	Pri provedbi pohrane dokumenata dana u elektroničkom obliku mora se koristiti kriptografska zaštita informacija

Faza 3. Tehnička revizija

№	Akcijski	Očekivani rezultat i njegova upotreba
1	Provodimo tehničku inventuru softvera instaliranog na računalima. Da bismo to učinili koristimo: · analitičke mogućnosti korporativnih protuvirusnih sustava zaštite (na primjer, Kaspersky Anti-Virus može izgraditi sličan registar). · WMI skripte za prozivanje računala s operativnim sustavom Windows; · mogućnosti upravitelja paketa za prozivanje *nix sustava; · specijalizirani softver za popis.	Od instaliranog softvera tražimo softver CIPF, upravljačke programe za hardver CIPF i ključne medije. Na temelju dobivenih informacija ažuriramo popis CIPF-a.
2	Ključne dokumente tražimo na poslužiteljima i radnim stanicama. Za ovo · Koristeći skripte za prijavu, ispitujemo radne stanice u domeni o prisutnosti certifikata s privatnim ključevima u korisničkim profilima i računalnim profilima. · Na svim računalima, file serverima, hipervizorima tražimo datoteke s nastavcima: crt, cer, key, pfx, p12, pem, pse, jks itd. · Na hipervizorima virtualizacijskih sustava tražimo montirane diskovne pogone i slike disketa.	Vrlo često se ključni dokumenti prikazuju u obliku spremnika ključeva datoteka, kao i spremnika pohranjenih u registrima računala s operativnim sustavom Windows. Pronađeni ključni dokumenti evidentiraju se u popisu ključnih dokumenata, a ključni podaci sadržani u njima evidentiraju se u popisu ključnih podataka.
3	Analiziramo sadržaj baza podataka certifikacijskih tijela	Baze podataka certifikacijskih tijela obično sadrže podatke o certifikatima koje su izdala ta tijela. Primljene podatke upisujemo u popis ključnih podataka i popis ključnih dokumenata.
4	Provodimo vizualni pregled poslužiteljskih soba i ormara za ožičenje, tražeći CIPF i hardverske ključne medije (tokene, diskove)	U nekim je slučajevima nemoguće provesti popis CIPF-a i ključnih dokumenata putem mreže. Sustavi se mogu nalaziti u izoliranim mrežnim segmentima ili uopće nemaju mrežne veze. Da bismo to učinili, provodimo vizualni pregled, čiji bi rezultati trebali utvrditi nazive i namjene sve opreme predstavljene u poslužiteljskim sobama. Primljene podatke unosimo u popis CIPF-a i ključnih dokumenata.
5	Analiziramo mrežni promet kako bismo identificirali tokove informacija pomoću šifrirane razmjene	Šifrirani protokoli - HTTPS, SSH, itd. omogućit će nam identificiranje mrežnih čvorova na kojima se izvode kriptografske transformacije, a kao rezultat sadrže CIPF i ključne dokumente.

Zaključak

U ovom smo članku ispitali teoriju i praksu revizije CIPF-a i kriptoključeva. Kao što ste vidjeli, ovaj postupak je prilično složen i dugotrajan, ali ako mu pristupite ispravno, sasvim je izvediv. Nadamo se da će vam ovaj članak pomoći u stvarnom životu. Hvala vam na pažnji, veselimo se vašim komentarima

Oznake:

skzi
kriptografija
Elektronički potpis
revizija
upravljanje

Dodaj oznake

Pojmovi i definicije

Kriptografski ključ (cryptokey)- skup podataka koji omogućava izbor jedne određene kriptografske transformacije između svih mogućih u danom kriptografskom sustavu (definicija iz “ružičaste upute - Naredba FAPSI br. 152 od 13. lipnja 2001., u daljnjem tekstu FAPSI 152).
Ključne informacije- posebno organiziran skup kriptoključeva dizajniranih za pružanje kriptografske zaštite informacija u određenom vremenskom razdoblju [FAPSI 152].
Na sljedećem primjeru možete razumjeti temeljnu razliku između kriptoključa i ključnih informacija. Prilikom organiziranja HTTPS-a generira se par javnog i privatnog ključa, a iz javnog ključa i dodatnih informacija dobiva se certifikat. Dakle, u ovoj shemi kombinacija certifikata i privatnog ključa čini informacije o ključu, a svaki od njih pojedinačno je kripto ključ. Ovdje se možete voditi sljedećim jednostavnim pravilom - krajnji korisnici koriste ključne informacije kada rade s CIPF-om, a kriptoključevi obično koriste CIPF interno. U isto vrijeme, važno je razumjeti da se ključne informacije mogu sastojati od jednog kripto ključa.
Ključni dokumenti- elektronički dokumenti na bilo kojem mediju, kao i papirnati dokumenti koji sadrže ključne informacije ograničenog pristupa za kriptografsku transformaciju informacija korištenjem algoritama za kriptografsku transformaciju informacija (kriptografski ključ) u enkripcijskim (kriptografskim) sredstvima. (definicija iz Uredbe Vlade br. 313 od 16. travnja 2012., u daljnjem tekstu PP-313)
Jednostavnim rječnikom rečeno, ključni dokument je ključna informacija zabilježena na mediju. Pri analizi ključnih informacija i ključnih dokumenata treba istaknuti da se ključne informacije iskorištavaju (odnosno koriste se za kriptografske transformacije – enkripciju, elektronički potpis i sl.), a ključni dokumenti koji ih sadrže prenose se zaposlenicima.
Sredstva kriptografske zaštite informacija (CIPF)– sredstva za šifriranje, sredstva za zaštitu od imitacije, sredstva za elektronički potpis, sredstva za kodiranje, sredstva za izradu ključnih dokumenata, ključna dokumenta, hardverska enkripcijska (kriptografska) sredstva, programska i hardverska enkripcijska (kriptografska) sredstva. [PP-313]
Kada analizirate ovu definiciju, možete pronaći u njoj prisutnost pojma ključni dokumenti. Termin je naveden u Vladinoj Uredbi i mi ga nemamo pravo mijenjati. U isto vrijeme, daljnji opis će se provesti na temelju toga da će CIPF uključivati samo sredstva za implementaciju kriptografskih transformacija). Ovakav pristup će pojednostaviti reviziju, ali istovremeno neće utjecati na njezinu kvalitetu, budući da ćemo i dalje voditi računa o ključnim dokumentima, ali u svom dijelu i vlastitim metodama.

Metodologija revizije i očekivani rezultati

Glavne značajke revizijske metodologije predložene u ovom članku su postulati koji:

nijedan zaposlenik tvrtke ne može točno odgovoriti na pitanja postavljena tijekom revizije;
postojeći izvori podataka (popisi, registri i sl.) su netočni ili loše strukturirani.

Stoga je metodologija predložena u članku svojevrsno rudarenje podataka, tijekom kojega će se isti podaci izvlačiti iz različitih izvora, a zatim uspoređivati, strukturirati i pročišćavati.

Evo glavnih ovisnosti koje će nam u tome pomoći:

Ako postoji CIPF, onda postoji ključna informacija.
Ako postoji elektronički protok dokumenata (uključujući ugovorne strane i regulatore), tada se najvjerojatnije koristi elektronički potpis i, kao rezultat, CIPF i ključne informacije.
Upravljanje elektroničkim dokumentima u ovom kontekstu treba shvatiti široko, odnosno uključivat će i izravnu razmjenu pravno značajnih elektroničkih dokumenata, i podnošenje izvješća, i rad u platnim ili trgovačkim sustavima i sl. Popis i oblici upravljanja elektroničkim dokumentima određeni su poslovnim procesima tvrtke, kao i važećim zakonskim propisima.
Ako se zaposlenik bavi elektroničkim upravljanjem dokumentima, tada najvjerojatnije ima ključne dokumente.
Prilikom organiziranja elektroničkog upravljanja dokumentima s protustrankama obično se izdaju organizacijski i upravni akti (nalozi) o imenovanju odgovornih osoba.
Ako se informacije prenose putem interneta (ili drugih javnih mreža), najvjerojatnije su šifrirane. To se prije svega odnosi na VPN-ove i razne sustave udaljenog pristupa.
Ako se u mrežnom prometu otkriju protokoli koji prenose promet u šifriranom obliku, tada se koriste CIPF i informacije o ključu.
Ako su izvršene nagodbe s drugim ugovornim stranama koje se bave: isporukom opreme za informacijsku sigurnost, telekomunikacijskim uređajima, pružanjem usluga prijenosa informacija, uslugama certifikacijskih centara, tada se tijekom te interakcije može kupiti CIPF ili ključni dokumenti.
Ključni dokumenti mogu biti na prenosivim medijima (diskete, flash diskovi, tokeni, ...) ili snimljeni unutar računala i hardverskih kriptografskih sustava zaštite informacija.
Kada koristite alate za virtualizaciju, ključni dokumenti mogu se pohraniti unutar virtualnih strojeva i montirati na virtualne strojeve pomoću hipervizora.
Hardverski CIPF može se instalirati u poslužiteljskim sobama i ne biti dostupan za analizu putem mreže.
Neki sustavi za upravljanje elektroničkim dokumentima mogu biti u neaktivnom ili neaktivnom obliku, ali istovremeno sadrže aktivne ključne informacije i CIPF.
Interna regulatorna i organizacijska dokumentacija može sadržavati informacije o sustavima za elektroničko upravljanje dokumentima, CIPF-u i ključnim dokumentima.

Za dobivanje primarnih informacija mi ćemo:

intervjuirati zaposlenike;
analizirati dokumentaciju tvrtke, uključujući interne regulatorne i administrativne dokumente, kao i izlazne naloge za plaćanje;
provoditi vizualnu analizu poslužiteljskih soba i komunikacijskih ormara;
provoditi tehničku analizu sadržaja automatiziranih radnih stanica (AWS), poslužitelja i virtualizacijskih alata.

Kasnije ćemo formulirati konkretne aktivnosti, a za sada pogledajmo konačne podatke koje bismo trebali dobiti kao rezultat revizije:

Popis CIPF-a:

CIPF model. Na primjer, CIPF Crypto CSP 3.9 ili OpenSSL 1.0.1
CIPF identifikator instance. Na primjer, serijski, licencni (ili registracijski prema PKZ-2005) broj CIPF-a
Informacije o certifikatu FSB-a Rusije za kriptografsku zaštitu podataka, uključujući broj te datume početka i završetka valjanosti.
Podaci o mjestu rada CIPF-a. Primjerice, naziv računala na kojem je instaliran programski CIPF ili naziv tehničkog sredstva ili prostora u kojem je instaliran hardverski CIPF.

Ove informacije će vam omogućiti da:

Upravljajte ranjivostima u CIPF-u, odnosno brzo ih otkrijte i ispravite.
Pratite rokove valjanosti certifikata za CIPF, a također provjerite koristi li se certificirani CIPF u skladu s pravilima utvrđenim dokumentacijom ili ne.
Planirajte troškove za CIPF, znajući koliko je već u funkciji i koliko je konsolidiranih sredstava još dostupno.
Generirajte regulatorna izvješća.

Popis ključnih informacija:

Za svaki element popisa bilježimo sljedeće podatke:

Naziv ili identifikator ključnih informacija. Na primjer, „Ključ kvalificiranog elektroničkog potpisa. Certifikat serijski broj 31:2D:AF", a identifikator treba odabrati tako da se po njemu može pronaći ključ. Na primjer, pri slanju obavijesti, certifikacijska tijela obično identificiraju ključeve prema brojevima certifikata.
Kontrolni centar ključnog sustava (KSUC), koji je objavio ovu ključnu informaciju. To može biti organizacija koja je izdala ključ, na primjer, tijelo za izdavanje certifikata.
Pojedinac, u čije ime je objavljena ključna informacija. Ove informacije mogu se izdvojiti iz CN polja X.509 certifikata
Format ključnih informacija. Na primjer, CIPF CryptoPRO, CIPF Verba-OW, X.509, itd. (ili drugim riječima za korištenje s kojim CIPF-om su ove ključne informacije namijenjene).
Dodjeljivanje ključnih informacija. Na primjer, "Sudjelovanje u trgovanju na Sberbank AST stranici", "Kvalificirani elektronički potpis za izvješćivanje" itd. S tehničkog gledišta, u ovo polje možete zabilježiti ograničenja zabilježena u poljima proširene upotrebe ključa i drugim X.509 certifikatima.
Početak i kraj razdoblja valjanosti ključnih informacija.
Procedura ponovnog objavljivanja ključnih informacija. Odnosno, znanje o tome što treba učiniti i kako prilikom ponovnog objavljivanja ključnih informacija. U najmanju ruku, preporučljivo je zabilježiti kontakte službenika središnjeg kontrolnog centra koji je objavio ključnu informaciju.
Popis informacijskih sustava, usluga ili poslovnih procesa unutar kojih se koriste ključne informacije. Na primjer, "Sustav usluga daljinskog bankarstva Internet klijent-banka".

Ove informacije će vam omogućiti da:

Pratite datume isteka ključnih informacija.
Brzo ponovno objavite ključne informacije kada je to potrebno. Ovo može biti potrebno i za planirano i za neplanirano ponovno izdavanje.
Blokirati korištenje ključnih podataka po otkazu zaposlenika za kojeg su izdani.
Istražite incidente informacijske sigurnosti odgovarajući na pitanja: "Tko je imao ključeve za plaćanje?" i tako dalje.

Popis ključnih dokumenata:

Za svaki element popisa bilježimo sljedeće podatke:

Ključne informacije sadržane u ključnom dokumentu.
Nositelj ključnih informacija, na kojem se bilježe ključne informacije.
Lice, odgovoran za sigurnost ključnog dokumenta i povjerljivost ključnih informacija sadržanih u njemu.

Ove informacije će vam omogućiti da:

Ponovno objaviti ključne informacije u slučajevima: otpuštanja zaposlenika koji posjeduju ključne dokumente, kao iu slučaju kompromitacije medija.
Osigurajte povjerljivost ključnih informacija popisom medija koji ih sadrže.

Plan revizije

Faza 1. Prikupljanje podataka iz infrastrukturnih odjela tvrtke

№	Akcijski
Izvor – svi zaposlenici tvrtke
1	Šaljemo korporativnu e-poštu svim zaposlenicima tvrtke tražeći od njih da obavijeste službu za informacijsku sigurnost o svim kriptografskim ključevima koje koriste.	Primamo e-mailove, na temelju kojih izrađujemo popis ključnih informacija i popis ključnih dokumenata
Izvor – voditelj Službe za informatiku
1	Tražimo popis ključnih informacija i ključnih dokumenata	Uz određenu vjerojatnost, IT služba održava slične dokumente; koristit ćemo ih za generiranje i pojašnjenje popisa ključnih informacija, ključnih dokumenata i CIPF-a
2	Tražimo popis CIPF-a
3	Tražimo registar softvera instaliranih na poslužiteljima i radnim stanicama	U ovom registru tražimo softverske CIPF-ove i njihove komponente. Na primjer, CryptoPRO CSP, Verba-OW, Signal-COM CSP, Signature, PGP, ruToken, eToken, KritoARM itd. Na temelju tih podataka formiramo listu CIPF-a.
4	Tražimo popis zaposlenika (vjerojatno tehničke podrške) koji pomažu korisnicima u korištenju CIPF-a i ponovnom izdavanju ključnih informacija.	Od tih osoba tražimo iste podatke kao i od administratora sustava
Izvor – administratori sustava Službe informatike
1	Tražimo popis domaćih kripto pristupnika (VIPNET, Continent, S-terra, itd.)	U slučajevima kada tvrtka ne provodi redovne poslovne procese za upravljanje informatikom i informacijskom sigurnošću, takva pitanja mogu pomoći podsjetiti administratore sustava na postojanje određenog uređaja ili softvera. Ove informacije koristimo za dobivanje popisa CIPF-a.
2	Tražimo popis domaćeg softvera CIPF (CIPF MagPro CryptoPacket, VIPNET CSP, CryptonDisk, SecretDisk, ...)
3	Tražimo popis usmjerivača koji implementiraju VPN za: a) komunikacije između ureda tvrtke; b) interakcije s izvođačima i partnerima.
4	Tražimo popis informacijskih usluga objavljenih na Internetu (dostupan s Interneta). To može uključivati: a) korporativna e-pošta; b) sustavi za razmjenu trenutnih poruka; c) korporativne web stranice; d) servisi za razmjenu informacija s partnerima i izvođačima (extranet); e) sustave daljinskog bankarstva (ako je tvrtka banka); f) sustavi daljinskog pristupa mreži poduzeća. Kako bismo provjerili potpunost dostavljenih informacija, uspoređujemo ih s popisom pravila Portforwarding rubnih vatrozida.	Analizirajući primljene informacije, velika je vjerojatnost da ćete se susresti s korištenjem CIPF-a i kriptoključeva. Dobivene podatke koristimo za izradu popisa CIPF-a i ključnih informacija.
5	Tražimo popis informacijskih sustava koji se koriste za izvješćivanje (Taxcom, Kontur, itd.)	Ovi sustavi koriste kvalificirane ključeve elektroničkog potpisa i CIPF. Kroz ovaj popis izrađujemo popis CIPF-a, popis ključnih informacija, a također saznajemo zaposlenike koji koriste ove sustave za izradu popisa ključnih dokumenata.
6	Tražimo popis internih sustava za elektroničko upravljanje dokumentima (Lotus, DIRECTUM, 1C: Document Management itd.), kao i popis njihovih korisnika.	Ključevi elektroničkog potpisa mogu se pronaći unutar internih sustava za upravljanje elektroničkim dokumentima. Na temelju dobivenih informacija izrađujemo popis ključnih informacija i popis ključnih dokumenata.
7	Tražimo popis internih certifikacijskih centara.	Sredstva koja se koriste za organiziranje certifikacijskih centara evidentiraju se u popisu CIPF-a. U budućnosti ćemo analizirati sadržaj baza podataka certifikacijskih tijela kako bismo identificirali ključne informacije.
8	Tražimo informacije o korištenju tehnologija: IEEE 802.1x, WiFiWPA2 Enterprise i IP sustavi video nadzora	Ako se te tehnologije koriste, mogli bismo pronaći ključne dokumente o uključenim uređajima.
Izvor – voditelj ljudskih resursa
1	Molimo opišite proces zapošljavanja i otpuštanja zaposlenika. Fokusiramo se na pitanje tko preuzima ključne dokumente od zaposlenika koji daju otkaz	Analiziramo dokumente (zaobilazne listove) na prisutnost informacijskih sustava u njima u kojima se CIPF može koristiti.

Faza 2. Prikupljanje podataka iz poslovnih jedinica tvrtke (na primjeru Banke)

№	Akcijski	Očekivani rezultat i njegova upotreba
Izvor – Voditelj obračunske službe (korespondentni odnosi)
1	Navedite shemu za organiziranje interakcije s platnim sustavom Banke Rusije. Ovo će posebno biti relevantno za banke koje imaju razvijenu mrežu podružnica, u kojima se podružnice mogu izravno povezati s platnim sustavom Centralne banke	Na temelju dobivenih podataka utvrđujemo lokaciju pristupnika plaćanja (AWC KBR, UTA) i popis uključenih korisnika. Dobivene podatke koristimo za izradu popisa CIPF-a, ključnih informacija i ključnih dokumenata.
2	Tražimo popis banaka s kojima su uspostavljeni izravni korespondentski odnosi, a također molimo da nam kažete tko je uključen u obavljanje transfera i koja tehnička sredstva se koriste.
3	Tražimo popis platnih sustava u kojima Banka sudjeluje (SWIFT, VISA, MasterCard, NSPK itd.), kao i lokaciju komunikacijskih terminala	Isto kao i za platni sustav Banke Rusije
Izvor – Voditelj odjela odgovornog za pružanje usluga daljinskog bankarstva
1	Tražimo popis sustava daljinskog bankarstva.	U tim sustavima analiziramo korištenje CIPF-a i ključnih informacija. Na temelju dobivenih podataka izrađujemo popis CIPF-a i ključnih informacija i ključnih dokumenata.
Izvor – Voditelj odjela odgovornog za funkcioniranje procesiranja platnih kartica
1	Zahtjev za HSM registar	Na temelju primljenih informacija izrađujemo popis CIPF-a, ključnih informacija i ključnih dokumenata.
2	Tražimo registar zaštitara
4	Tražimo informacije o komponentama LMK HSM
5	Tražimo informacije o organizaciji sustava poput 3D-Secure i organizaciji personalizacije platnih kartica
Izvor – Voditelji odjela koji obavljaju poslove riznice i depozita
1	Popis banaka s kojima su uspostavljeni korespondentski odnosi i koje sudjeluju u međubankarskom kreditiranju.	Primljene informacije koristimo za razjašnjavanje prethodno primljenih podataka od usluge namire, a također bilježimo informacije o interakciji s burzama i depozitarima. Na temelju dobivenih informacija izrađujemo popis CIPF-a i ključnih informacija.
2	Popis burzi i specijaliziranih depozitorija s kojima Banka radi
Izvor – Voditelji službi i odjela za financijski nadzor odgovorni za podnošenje izvješća Banci Rusije
1	Tražimo informacije o tome kako šalju informacije i primaju informacije od Centralne banke. Popis uključenih osoba i tehničke opreme.	Informacijska interakcija s Bankom Rusije strogo je regulirana relevantnim dokumentima, na primjer, 2332-U, 321-I i mnogim drugima, provjeravamo usklađenost s tim dokumentima i stvaramo popise CIPF-a, ključnih informacija i ključnih dokumenata.
Izvor – Glavni računovođa i računovodstveni djelatnici uključeni u plaćanje računa za unutarbankarske potrebe
1	Tražimo informacije o tome kako se izvješća pripremaju i podnose poreznim inspektoratima i Banci Rusije	Pojašnjavamo prethodno primljene informacije
2	Tražimo registar platnih dokumenata za plaćanje za unutarbankarske potrebe	U ovom registru ćemo tražiti dokumente gdje: 1) kao primatelji plaćanja navedeni su certifikacijski centri, specijalizirani telekom operateri, proizvođači CIPF-a i dobavljači telekomunikacijske opreme. Imena tih tvrtki mogu se dobiti iz Registra certificiranih CIPF-a FSB-a Rusije, popisa akreditiranih certifikacijskih centara Ministarstva telekomunikacija i masovnih komunikacija i drugih izvora. 2) kao dešifriranje plaćanja postoje riječi: „CIPF“, „potpis“, „token“, „ključ“, „BKI“ itd.
Izvor – Voditelji službi za upravljanje dospjelim dugovima i rizicima
1	Tražimo popis ureda za kreditnu povijest i agencija za naplatu s kojima Banka surađuje.	Zajedno s informatičkom službom analiziramo zaprimljene podatke radi pojašnjenja organizacije upravljanja elektroničkim dokumentima, na temelju čega pojašnjavamo popise CIPF-a, ključnih informacija i ključnih dokumenata.
Izvor – Voditelji službi za upravljanje dokumentima, unutarnju kontrolu i unutarnju reviziju
1	Tražimo registar internih organizacijskih i upravnih akata (naredbi).	U ovim dokumentima tražimo dokumente koji se odnose na CIPF. Da bismo to učinili, analiziramo prisutnost ključnih riječi "sigurnost", "odgovorna osoba", "administrator", "elektronički potpis", "digitalni potpis", "digitalni potpis", "digitalni potpis", "digitalni digitalni potpis", “ASP”, “CIPF” i njihove izvedenice. Zatim identificiramo popis zaposlenika Banke zabilježen u tim dokumentima. Vodimo razgovore sa zaposlenicima o njihovoj upotrebi kriptovaluta. Primljene informacije odražavaju se na popisima CIPF-a, ključnim informacijama i ključnim dokumentima.
2	Tražimo popise ugovora s drugim ugovornim stranama	Pokušavamo identificirati ugovore o elektroničkom upravljanju dokumentima, kao i ugovore s tvrtkama koje nude proizvode za informacijsku sigurnost ili pružaju usluge u ovom području, kao i tvrtke koje pružaju usluge certifikacijskih centara i usluge izvješćivanja putem interneta.
3	Analiziramo tehnologiju pohranjivanja dnevnih dokumenata u elektroničkom obliku	Pri provedbi pohrane dokumenata dana u elektroničkom obliku mora se koristiti kriptografska zaštita informacija

Faza 3. Tehnička revizija

№	Akcijski	Očekivani rezultat i njegova upotreba
1	Provodimo tehničku inventuru softvera instaliranog na računalima. Da bismo to učinili koristimo: · analitičke mogućnosti korporativnih protuvirusnih sustava zaštite (na primjer, Kaspersky Anti-Virus može izgraditi sličan registar). · WMI skripte za prozivanje računala s operativnim sustavom Windows; · mogućnosti upravitelja paketa za prozivanje *nix sustava; · specijalizirani softver za popis.	Od instaliranog softvera tražimo softver CIPF, upravljačke programe za hardver CIPF i ključne medije. Na temelju dobivenih informacija ažuriramo popis CIPF-a.
2	Ključne dokumente tražimo na poslužiteljima i radnim stanicama. Za ovo · Koristeći skripte za prijavu, ispitujemo radne stanice u domeni o prisutnosti certifikata s privatnim ključevima u korisničkim profilima i računalnim profilima. · Na svim računalima, file serverima, hipervizorima tražimo datoteke s nastavcima: crt, cer, key, pfx, p12, pem, pse, jks itd. · Na hipervizorima virtualizacijskih sustava tražimo montirane diskovne pogone i slike disketa.	Vrlo često se ključni dokumenti prikazuju u obliku spremnika ključeva datoteka, kao i spremnika pohranjenih u registrima računala s operativnim sustavom Windows. Pronađeni ključni dokumenti evidentiraju se u popisu ključnih dokumenata, a ključni podaci sadržani u njima evidentiraju se u popisu ključnih podataka.
3	Analiziramo sadržaj baza podataka certifikacijskih tijela	Baze podataka certifikacijskih tijela obično sadrže podatke o certifikatima koje su izdala ta tijela. Primljene podatke upisujemo u popis ključnih podataka i popis ključnih dokumenata.
4	Provodimo vizualni pregled poslužiteljskih soba i ormara za ožičenje, tražeći CIPF i hardverske ključne medije (tokene, diskove)	U nekim je slučajevima nemoguće provesti popis CIPF-a i ključnih dokumenata putem mreže. Sustavi se mogu nalaziti u izoliranim mrežnim segmentima ili uopće nemaju mrežne veze. Da bismo to učinili, provodimo vizualni pregled, čiji bi rezultati trebali utvrditi nazive i namjene sve opreme predstavljene u poslužiteljskim sobama. Primljene podatke unosimo u popis CIPF-a i ključnih dokumenata.
5	Analiziramo mrežni promet kako bismo identificirali tokove informacija pomoću šifrirane razmjene	Šifrirani protokoli - HTTPS, SSH, itd. omogućit će nam identificiranje mrežnih čvorova na kojima se izvode kriptografske transformacije, a kao rezultat sadrže CIPF i ključne dokumente.

Zaključak

Oznake: Dodajte oznake

Kriptografska sredstva zaštite informacija. Mehanizmi informacijske sigurnosti

Pojmovi i definicije

Metodologija revizije i očekivani rezultati

Plan revizije

Zaključak

Pojmovi i definicije

Metodologija revizije i očekivani rezultati

Plan revizije

Zaključak

Najbolji članci na temu